Hilfreiche Informationen über „Datenschutz & Datensicherheit bei elektronischer Personalakte“ finden Sie in dieser Präsentation. Sie erhalten u.a. Informationen über den Datenschutz, der in Verbindung mit der digitalen Personalakte eingehalten werden muss. Aber auch zu den Aufbewahrungsfristen ihrer elektronisch vorliegenden Personalakte und Einsichtsrechte der jeweiligen Arbeitnehmer in die Personalakte. Rechtlich gibt es keine Unterscheidungen zwischen dem Datenschutz der Personalakte in Papierform und der elektronischen Personalakte. Zusätzlich informieren wir Sie über besondere Risiken im Datenschutz, über verschiedene technische Maßnahmen innerhalb der digitalen Personalakte, wie beispielsweise den Berechtigungsstrukturen. Außerdem erklären wir Ihnen das Thema Revisionssicherheit und was Sie hierzu wissen sollten und welche Risiken aus der elektronischen Personalakte entstehen. Die inPuncto GmbH bietet in Zusammenarbeit mit dem AuditCoach Beratungsunter-nehmen Intensiv-Seminare zu den Themen: „Datenschutz und Datensicherheit bei elektronischer Personalakte“ und „Software-Lösung für die Personalakte – voll-integriert in SAP HCM“. Unsere Software-Lösungen wurden gemäß Institut der Wirtschaftsprüfer PS 880 nach aktuellsten Kriterien geprüft und zertifiziert. Mehr unter: http://www.inpuncto.com/de/loesungen/prozessoptimierung-in-sap/compliance-anforderungen.html Weitere Infos über die elektronische Lösung für die Personalakte finden Sie auf unsere Webseite: http://www.inpuncto.com/de/loesungen/digitalisierung-und-eakte-in-sap/personalakte.html

1. Datenschutz und Datensicherheit
bei elektronischer (Personal-
)Aktenführung
inPuncto-Seminar 2014
Andreas Stork

2. Andreas Stork

3. AGENDA
1. Arbeitnehmerdatenschutz und
Aufbewahrungspflichten
2. Technische und organisatorische
Maßnahmen
3. Risikovermeidung und Zertifizierung

4. 1. ARBEITNEHMERDATENSCHUTZ UND
AUFBEWAHRUNGSPFLICHTEN
• Struktur
• Einsichtsrechte
• Datenschutzaspekte
• Aufbewahrungsfristen

5. Struktur der ePersonalakte
• Weder Form noch Inhalt sind
gesetzlich geregelt
• Sammlung der für das Arbeits-
verhältnis relevanten
Unterlagen
• Keine grundlegende Unter-
scheidung zwischen eAkte und
pAkte
• Aus der Rechtsprechung ent-
wickelte Grundsätze:
• Transparenz
• Richtigkeit
• Zulässigkeit
• Vertraulichkeit
Quelle: Wikipedia

6. Einsichtsrecht in die Personalakte: Grundlage
Quelle: Verdi

7. Einsichtsrecht in die Personalakte: Praxis
• Berechtigter Personenkreis:Alle Arbeitnehmer
• Umfang der Einsichtnahme: Sämtliche Personaldaten (entschlüsselt)
• Durchführung: - Während der Arbeitszeit
- Einsicht kann unter Aufsicht stattfinden
- Akte reist – nicht der Mitarbeiter
- Notizen sind zulässig
- Kopien (auf eigene Kosten) möglich
• Hinzuziehung Dritter: Mitglied des Betriebsrats
Bevollmächtigung möglich
Schwerbehinderte: Vertrauensmann
Betroffene (BDSG): Datenschutzbeauftr.
Öffentlicher Dienst: Frauen- bzw. Gleich-
stellungsbeauftragte

8. Zulässigkeit nach Bundesdatenschutzgesetz
• Seit 01.09.2009:
Arbeitnehmerrechte im BDSG
• Davor: § 28 Abs. 1 S. 1 Nr. 1 BDSG
„... wenn es für Begründung, Durch-
führung und Beendigung eines rechtge-
schäftsähnlichen Schuldverhältnisses er-
forderlich ist“
• Aktuell: § 32 BDSG erlaubt die
„Datenverarbeitung zur Begründung,
Durchführung und Beendigung des Be-
schäftigungsverhältnisses“

9. Datenschutzaspekte und Aufbewahrung
Gesetzliche
Aufbe-
wahrung
Gesetzliche
Aufbe-
wahrung
Vermeidung
von
Rechts-
risiken
Vermeidung
von
Rechts-
risiken
Datenspar-
samkeit
Datenspar-
samkeit
Datenver-
meidung
Datenver-
meidung

10. Aufbewahrungsfristen in der Personalakte
6 Monate6 Monate
Eigene (End-)
Zeugnisse
Eigene (End-)
Zeugnisse
2 Jahre2 Jahre
Jugendschutz-
unterlagen
Jugendschutz-
unterlagen
Mutterschutz-
unterlagen
Mutterschutz-
unterlagen
Arbeitszeit-
unterlagen
Arbeitszeit-
unterlagen
3 Jahre3 Jahre
Arbeits-
verträge
Arbeits-
verträge
BeurteilungenBeurteilungen
Unfallve-
rsicherungs-
unterlagen
Unfallve-
rsicherungs-
unterlagen
6 Jahre6 Jahre
Fahrtkosten-
belege
Fahrtkosten-
belege
Anträge auf
AN-Sparzulage
Anträge auf
AN-Sparzulage
Reisekosten-
abrechnungen
Reisekosten-
abrechnungen
10 Jahre10 Jahre
Gehaltsab-
rechnungen
Gehaltsab-
rechnungen
Belege für
Sozialver-
sicherung
Belege für
Sozialver-
sicherung
Arbeitsan-
weisungen
Arbeitsan-
weisungen
unbestimmtunbestimmt
alles anderealles andere
Aufbewahrung: Praktikerlösung in der Personalverwaltung

11. 2. TECHNISCHE UND ORGANISA-
TORISCHE MAßNAHMEN
• Besondere Risiken im Datenschutz
• Beweisqualität
• Organisatorische Maßnahmen
• Technische Maßnahmen

12. Besondere Risiken im Datenschutz
Image-
schäden
Image-
schäden
Schadens-
ersatzpflicht
Schadens-
ersatzpflicht
Staatliche
Aufsicht
Staatliche
Aufsicht
Beweislast-
umkehr
Beweislast-
umkehr

13. Beweisqualität
Papier-
Personalakte
Urkunde
gem. ZPO
Anerkanntes
Beweismittel
Elektronische
Personalakte
Anscheins-
beweis
Freie
richterliche
Würdigung

14. Organisatorische Maßnahmen
Vernichtung
des
Originals
Dokumentation
des Verfahrens
(GoBS)
Verzicht auf
Original ist
zulässig
Innerbetriebl.
Regelungen und
Kontrollen
GoB-konformes
Verfahren

15. Technische Maßnahmen
BerechtigungsstrukturBerechtigungsstruktur
Relative Berechtigung
Individuelle
Berechtigung
Ausschluss der eigenen
Akte
ZugriffZugriff
Temporärer Zugriff
Dezentrale
Zugriffsmöglichkeiten
Zugriff des Betriebsrats

16. Umsetzung technischer Anforderungen
• Ordnungsmäßigkeit
• Vollständigkeit
• Sicherheit des Gesamtverfahrens
• Schutz vor Veränderung und
Verfälschung
• Sicherung vor Verlust
• Nutzung nur durch Berechtigte
• Einhaltung der Aufbewahrungsfristen
• Dokumentation des Verfahrens
• Nachvollziehbarkeit
• Prüfbarkeit

17. 3. RISIKOVERMEIDUNG UND
ZERTIFIZIERUNG
• Risiken aus der ePersonalakte
• Cremeschnitten-Modell
• Risikobilanz
• Zertifizierung

18. Risiken aus der ePersonalakte sind wie ...
... eine Cremeschnitte
- VIELSCHICHTIG!
Quelle: http://cremeschnitte.ch

19. Risiken ePersonalakte: Cremeschnitten-Modell

20. Risikobilanz
Mehr Effizienz
Geringere Trans-
aktionskosten
Mehr Transparenz
Mehr Platz
Bessere Schutzmöglich-
keiten
Verknüpfung mit HR-
Prozessen
Zusätzliche IT-Risiken
Sicherheitsrisiken
Investitionsrisiken
VorteileVorteile
NachteileNachteile

21. Standards des IDW
IDW RS FAIT 1IDW RS FAIT 1
GoB bei Einsatz von
Informationstechnologie
GoB bei Einsatz von
Informationstechnologie
IDW RS FAIT 2IDW RS FAIT 2
GoB bei Einsatz von Electronic
Commerce
GoB bei Einsatz von Electronic
Commerce
IDW RS FAIT 3IDW RS FAIT 3
GoB beim Einsatz
elektronischer
Archivierungsverfahren
GoB beim Einsatz
elektronischer
Archivierungsverfahren
IDW RS FAIT 4IDW RS FAIT 4
Anforderung an die
Ordnungsmäßigkeit und
Sicherheit IT-gestützter
Konsolidierungsprozesse
Anforderung an die
Ordnungsmäßigkeit und
Sicherheit IT-gestützter
Konsolidierungsprozesse
IDW PS 261IDW PS 261
IDW PS 330IDW PS 330
Abschlussprüfung bei Einsatz von
Informationstechnologie
Abschlussprüfung bei Einsatz von
Informationstechnologie
IDW PS 951IDW PS 951
Die Prüfung des internen Kontroll-
systems beim Dienstleistungs-
unternehmen für auf das
Dienstleistungsunternehmen
ausgelagerte Funktionen
Die Prüfung des internen Kontroll-
systems beim Dienstleistungs-
unternehmen für auf das
Dienstleistungsunternehmen
ausgelagerte Funktionen
IDW PS 880IDW PS 880
Die Prüfung von SoftwareproduktenDie Prüfung von Softwareprodukten
IKS
IKS
IKS-IT
Anwendung
Prüfungsstandards Bescheinigungen
Feststellung und Beurteilung von
Fehlerrisiken und Reaktionen des
Abschlussprüfers auf die beurteilten
Fehlerrisiken
Feststellung und Beurteilung von
Fehlerrisiken und Reaktionen des
Abschlussprüfers auf die beurteilten
Fehlerrisiken
PH.9.330.1PH.9.330.1
Checkliste zur Abschluss-
prüfung bei Einsatz von
Informationstechnologie
Checkliste zur Abschluss-
prüfung bei Einsatz von
Informationstechnologie
PH.9.330.2PH.9.330.2
Prüfung von IT-gestütz-
ten Geschäftsprozessen
im Rahmen der
Abschluss-prüfung
Prüfung von IT-gestütz-
ten Geschäftsprozessen
im Rahmen der
Abschluss-prüfung
PH.9.330.3PH.9.330.3
Einsatz von
Datenanalysen im
Rahmen der
Abschlussprüfung
Einsatz von
Datenanalysen im
Rahmen der
Abschlussprüfung

22. Zertifizierung
Prüfung erfolgt auf Grundlage einer Verfahrensdoku-
mentation. Basis hierfür sind die Prüfkriterien für
Dokumententenmanagementlösungen (PK-DML) des
VOI e.V.
Überprüfung der Einhaltung der Vorgaben und die Zertifizierung von elektro-
nischen Archivsystemen, bzw. in kaufmännische Anwendungen oder Doku-
mentenmanagement integrierte Archivkomponenten, erfolgt durch Wirt-
schaftsprüfer beim Anwender vor Ort. Sofwarebescheinigung, die dem Auf-
traggeber Ordnungsmäßigkeit und Sicherheit des Systems bestätigt.

23. Noch Fragen?
• Andreas Stork
o Telefon: (07151) 502671
o Telefax: (07151) 502672
o Handy: (0174) 600 8831
o web: www.auditcoach.org
o eMail: info@auditcoach.de
o Xing:
https://www.xing.com/profile/Andreas_Stork