Sicher ist sicher: Mitarbeiter- und Führungskräftebefragungen aus datenschutzrechtlicher Perspektive

tivian GmbH Whitepaper Sicher ist sicher Mitarbeiter- und Führungskräftebefragungen aus datenschutzrechtlicher Perspektive Simone Weltzin & Florian Reiß tivian GmbH tivian GmbH – Gesellschaft für Evaluation und Analyse in der Organisationsentwicklung Ausgangssituation und rechtliche Grundlagen Die Gewährleistung von Datenschutz und Anonymität ist zentrale Voraussetzung und entschei- dender Erfolgsfaktor für die Durchführung von Mitarbeiter- und Führungskräftebefragungen. Die Akzeptanz von Mitarbeitern, Führungskräften, Geschäftsführung, Betriebsrat sowie Daten- schutzbeauftragtem hängt maßgeblich von der Handhabung und Kommunikation des Themas ab. Eine zentrale Aufgabe bei jeder Mitarbeiter- und Führungskräftebefragung ist daher eine sorgfältige Planung und Einhaltung von Datenschutz und Anonymität. Die rechtliche Grundlage für Befragungen bildet das Bundesdatenschutzgesetz, mit dem grund- sätzlich die Erhebung und Verarbeitung von personenbezogenen Daten geregelt ist.1 Im Folgenden wird, anschließend an eine kurze Begriffsklärung, auf die zentralen Punkte im Kontext von Datenschutz, -sicherheit und Anonymität bei Mitarbeiterbefragungen eingegangen. Abschließend werden die Besonderheiten bei Führungskräftebefragungen kurz skizziert. Begriffsklärung In der Praxis werden häufig unterschiedliche Begrifflichkeiten für ähnliche Sachverhalte verwen- det: Im Folgenden werden daher kurz die am häufigsten verwendeten Begriffe – Datenschutz, Datensicherheit und Anonymität – erklärt. Datenschutz Datenschutz im Kontext von Mitarbeiterbefragungen umfasst die Regelung von Umfang, Art und Zweck der vorgesehenen Erhebung, Verarbeitung oder Nutzung von Daten sowie Art der Daten und Kreis der Betroffenen. Im Fokus steht dabei der Schutz des Persönlichkeitsrechts. 1 Vgl. hierzu §3 und §4 BDSG sowie §9 und §11 BDSG vom 01.09.2009 Erhebung, Verarbeitung oder Nutzung personenbezogener Daten im Auftrag. Weitere Änderungen folgen am 01.04.2010 (BDSG- Novelle I) und am 11.06.2010 (BDSG-Novelle III). © tivian GmbH – Mitarbeiter- und Führungskräftebefragungen aus datenschutzrechtlicher Perspektive – Simone Weltzin, Florian Reiß 1 Datensicherheit Unter Datensicherheit wird in Abgrenzung zum Datenschutz der technische und organisatori- sche Schutz bei der Erhebung, Speicherung und Archivierung von personenbezogenen Daten verstanden. Anonymität Anonymität bezieht sich sowohl auf den Prozess der Datenerfassung und -speicherung sowie auf die Übermittlung der Befragungsergebnisse. Im Fokus steht dabei der Ausschluss des Rückbezugs auf Angaben von Einzelpersonen. Grundsätzlich gilt für Befragungen von Mitarbeitern die Freiwilligkeit der Teilnahme. Eine Ver- pflichtung ist auf Basis der aktuellen Rechtsgrundlage nicht zulässig und auch im Hinblick auf die Zielsetzung von offenen Feedbackprozessen als Bestandteil von Organisations- und Perso- nalentwicklungsmaßnahmen nicht erwünscht. Do‘s und Don’ts bei Mitarbeiterbefragungen Datenschutz und -sicherheit mit dem Dienstleister vertraglich regeln In einem ersten Schritt ist von der Unternehmensleitung sicherzustellen, dass die Unterneh- mensziele der Mitarbeiter- bzw. Führungskräftebefragung mit den notwendigen technischen, rechtlichen und organisatorischen Voraussetzungen umgesetzt werden können. Erfahrungsgemäß steigt die Akzeptanz der Mitarbeiter für das Instrument der Befragung durch die Beauftragung eines externen Dienstleisters. Externe Dienstleister werden als weitgehend unabhängig und vertrauenswürdig wahrgenommen. Wird ein externer Dienstleister mit der Durchführung der Befragung beauftragt, dann sind fol- gende Punkte vertraglich explizit zu regeln: • Datenschutzvorgehen (u.a. Service Level Agreements, Datenflusskonzept); • Technische Gewährleistung der Datensicherheit; • Datenschutzvereinbarungen mit Einzelpersonen (am Projekt Beteiligte). Ein maßgeblicher Vorteil ist, wenn externe Dienstleister insbesondere im Hinblick auf die techni- sche Gewährleistung der eingesetzten Software und der Datenaufbewahrung bereits zertifiziert © tivian GmbH – Mitarbeiter- und Führungskräftebefragungen aus datenschutzrechtlicher Perspektive – Simone Weltzin, Florian Reiß 2 sind.2 SSL-verschlüsselte Zugriffskontrolle, wie bspw. beim Online-Banking, sowie technisch implementierte Sicherheitsregularien bspw. bei der Passwortgenerierung, -änderung und erneu- ter Zustellung sind Grundvoraussetzung für Softwarelösungen und Plattformen für den Downlo- ad von Ergebnisberichten. Mitarbeiter informieren Grundsätzlich gilt bei Mitarbeiterbefragungen: Nicht zu viel und nicht zu wenig Kommunikation zum Thema Datenschutz und Anonymität. Zweck der Kommunikation ist es, Vertrauen zu schaf- fen und die Mitarbeiter nicht zu verunsichern. Die Mitarbeiter sind über den Ablauf, den Gegenstand und den Zweck der Befragung zu infor- mieren. Es ist weiterhin wichtig transparent zu machen, wer Auftraggeber3 und wer für die Erhe- bung und Verarbeitung der Daten verantwortlich ist. Zentral für die Kommunikation mit den Be- schäftigten ist die Aufklärung darüber, wie die Ergebnisse weiter verwendet werden. Im Rahmen der Konzeptionsphase wird festgelegt, über welchen Informationskanal die Mitarbei- ter zu einzelnen Aspekten informiert werden. Mögliche Kanäle bzw. Medien sind bspw.: • Information im Intranet, FAQs zur Befragung, Mitarbeiterzeitung; • Vorankündigung durch die Geschäftsführung; • Einladungsschreiben zur Befragung; • Datenschutzerklärung des Dienstleisters im Fragebogen oder Intranet; • Darlegung der Auswertungsregularien im Ergebnisbericht. Über die Freiwilligkeit der Teilnahme sollte direkt im Fragebogen informiert werden. Personalvertretung, Datenschutzbeauftragte und IT-Verantwortliche einbeziehen Ein zentraler Erfolgsfaktor für die Durchführung einer Mitarbeiterbefragung ist die Akzeptanz aller Beteiligten. Daher ist der Zweck, geplanten Inhalt und Durchführung sowie die Auswertung der Befragung insbesondere im Hinblick auf die Einhaltung von Datenschutz, -sicherheit und 2 Vgl. Bundesamt für Sicherheit in der Informationstechnik https://www.bsi.bund.de/cln_156/ContentBSI/Themen/ZertifizierungundAkkreditierung/ZertifierungnachCC undITSEC/zertifizierung.html 3 In der Regel ist der Auftraggeber die Geschäftsleitung des Unternehmens. © tivian GmbH – Mitarbeiter- und Führungskräftebefragungen aus datenschutzrechtlicher Perspektive – Simone Weltzin, Florian Reiß 3 Anonymität mit der Personalvertretung und dem Datenschutzbeauftragten möglichst früh im Un- ternehmen abzustimmen. Ob Befragungen mitbestimmungspflichtig sind, hängt von Inhalt, Umfang und Verwendungs- zweck der Befragung ab. Wird die Befragung anonym durchgeführt und fokussiert auf die Ar- beitszufriedenheit und Arbeitsbedingungen von Mitarbeitern, unterliegt sie nicht grundsätzlich dem Mitbestimmungsrecht im Sinne des Betriebsverfassungsgesetzes. Die Mitbestimmungsrechte des Betriebsrats sind im Falle von personenbezogenen Inhalten mit Leistungsbezug bspw. bei Personalfragebögen (§94 Abs.1 BetrVG) geregelt. Übliche Mitar- beiterbefragungen fallen zwar nicht zwingend darunter, dennoch sind der frühe Einbezug des Betriebsrats und eine gemeinsame Vereinbarung zu Zielsetzung, Zweck, Freiwilligkeit und Ano- nymität der Befragung zwischen Arbeitgeber und Betriebsrat empfehlenswert. Üblicherweise werden Befragungsdaten EDV-gestützt erhoben, weiterverarbeitet und ausgewer- tet. Im Kontext von technischen Überwachungseinrichtungen besteht ein Recht auf Mitbestim- mung des Betriebsrats (§87 Abs. 1 Nr.6 BetrVG), daher ist dieser früh in den Planungsprozess zu involvieren. Anonymität der Online-Befragung gewährleisten Jeder Teilnehmer erhält bei einer online-durchgeführten Befragung einen Link mit einem Pass- wort bzw. Zugangscode. Die eingesetzte Software muss sicherstellen, dass es keine technische Verbindung zwischen Teilnehmerinformation (Name, E-Mail-Adresse), Passwort bzw. Zugangs- code und Umfrageergebnis besteht. Weiterhin sollte die Befragung verschlüsselt durchgeführt werden, üblicherweise über ein HTTPS-Protokoll.4 Von einem persönlichen Anschreiben mit Name des Teilnehmers wird abgeraten. Persönliche Ansprachen können bei den Teilnehmern zur Verunsicherung im Hinblick auf die Rückführbar- keit ihrer Angaben führen. Um eine differenzierte Auswertung auf Ebene einzelner organisatorischer Einheiten vornehmen zu können, wird die Zuordnung einzelner Teilnehmer zu ihrer direkten organisatorischen Einheit (bspw. Abteilung oder Team) benötigt. Die Zuordnung kann durch den Teilnehmer selbst im 4 In wenigen Ländern, bspw. China, bestehen jedoch Einschränkungen bei der Durchführung einer ver- schlüsselten Befragung. Daher muss im Vorfeld mit den lokalen Ansprechpartnern im Unternehmen dieser Punkt geklärt werden. © tivian GmbH – Mitarbeiter- und Führungskräftebefragungen aus datenschutzrechtlicher Perspektive – Simone Weltzin, Florian Reiß 4 Fragebogen durch eine entsprechende Auswahlmaske erfolgen. Dieses Vorgehen kann dazu führen, dass Teilnehmer sich – gewollt oder ungewollt – zu einer anderen Einheit als die Eigene zuordnen. Die Anzahl der Mitarbeiter, die teilgenommen haben, können daher von den zentral geplanten Soll-Werten abweichen. Rücklaufquoten in einzelnen Einheiten von mehr als hundert Prozent können die Folge davon sein.