Sicherheit
Sicherheit, Datenschutz und Mitbestimmung, einschließlich der offenen Punkte.
Diese Seite beschreibt den Stand der Entwicklung. Was noch nicht umgesetzt ist, steht hier im Futur, und was fehlt, steht weiter unten.
Wir behaupten keine Zertifizierung, die wir nicht haben.
Stand der Umsetzung
- Verarbeitung und Speicherung in der EUvorgesehen
- Vertrag nach Art. 28 DSGVOvor der ersten Verarbeitung
- Rollen- und Rechtekonzeptim Aufbau
- Externer Penetrationstestoffen
- Zertifizierung nach ISO/IEC 27001nicht vorhanden
Datenschutz
Verarbeitung, Speicherung, Rechte
Die Grundzüge sind entschieden, bevor die erste produktive Belegschaftsdatei angefasst wird. Das ist kein Nachweis, sondern eine Zusage.
Verarbeitung und Speicherung in der EU
QualiShift wird in Rechenzentren innerhalb der Europäischen Union laufen. Wird für einen Teilbereich ein Dienstleister außerhalb der EU nötig, steht er samt Rechtsgrundlage im Verzeichnis der Unterauftragsverarbeiter, bevor er eingesetzt wird.
Auftragsverarbeitung nach Art. 28 DSGVO
Das Unternehmen ist Verantwortlicher, QualiShift Auftragsverarbeiter. Anlagen des Vertrags werden die technischen und organisatorischen Maßnahmen, die Unterauftragsverarbeiter, die Weisungsbindung und die Löschpflicht nach Vertragsende sein.
Rollen- und Rechtekonzept
Zugriff entsteht aus einer Rolle, nicht aus einer Position in der Hierarchie. Beschäftigte sehen ihre eigenen Daten, Fachbereiche ihren Bereich, der Betriebsrat die aggregierten Unterlagen. Administrative Rechte bleiben getrennt.
Löschkonzept
Gelöscht wird, sobald der Zweck entfällt: Teilnahmedaten nach Ablauf der Nachweisfristen, Analysedaten mit dem Ende des Vorhabens, Zugänge mit dem Ausscheiden. Backups laufen mit kürzerer Frist aus.
Datenminimierung
Welche Daten wirklich gebraucht werden
Die kürzeste Sicherheitsmaßnahme ist die Datenart, die gar nicht erst erhoben wird.
Die zweite Spalte ist der eigentliche Punkt. Ein System, das Entgelt, Beurteilung und Lernverhalten in einem Datensatz zusammenführt, wird zu einer Überwachungseinrichtung, ganz gleich wie es gemeint war.
6
Wird gebraucht
- Bereich, Standort und Schicht
- Zuordnung zu einem Rollencluster
- Heutiger Kompetenzstand auf Ebene der Rolle
- Formale Nachweise, soweit für die Zulassung nötig
- Teilnahme-, Termin- und Abschlussstatus
- Ein Kontaktweg für die Einladung
6
Wird nicht erhoben
- Entgelt und Entgeltgruppe
- Leistungsbeurteilung und Potenzialeinschätzung
- Gesundheits- und Abwesenheitsdaten
- Einschätzung zum Kündigungsrisiko
- Nutzungsprofile über Lernzeit und Klickverhalten
- Freitextbewertungen von Vorgesetzten
Datenmodell
Rollenebene und Personenebene sind getrennt
Die Analyse arbeitet auf der Rollenebene. In dieser gesamten Kette kommt kein Name vor. Die Personenebene beginnt erst bei der Einladung zu einer konkreten Maßnahme.
Diese Trennung ist eine Frage des Datenmodells, nicht nur der Zugriffsrechte. Ein Bericht auf der Rollenebene bleibt aussagekräftig, auch wenn niemand die Personen dahinter einsehen darf. Genau das ist die Unterlage, die der Betriebsrat braucht.
Rollenebene, ohne Personenbezug
- Vorhaben und betroffene Bereiche
- Rollencluster mit Kopfzahl
- Heutiges und zukünftiges Tätigkeitsprofil
- Kompetenzlücke und Lernpfad
- Programmvorschlag und Kohortengröße
Personenebene, erst ab der Einladung
- Einladung zu einer konkreten Kohorte
- Anmeldung, Zulassung und Freistellung
- Teilnahme- und Abschlussstatus
Mitbestimmung
Was das Betriebsverfassungsgesetz hier verlangt
Wer eine Qualifizierungswelle plant, berührt mehrere Beteiligungsrechte gleichzeitig, und zwar früher, als die meisten Projektpläne es vorsehen.
- § 92 BetrVG
Unterrichtung über die Personalplanung einschließlich der Berufsbildung, rechtzeitig, umfassend und anhand von Unterlagen. Rechtzeitig heißt vor der Entscheidung.
Diese Unterlage entsteht als Nebenprodukt der Analyse: Bereiche, Rollencluster mit Kopfzahl, verändertes Tätigkeitsprofil und Bildungsbedarf, mit Datum und Herkunft.
- § 96 Abs. 1 BetrVG
Auf Verlangen des Betriebsrats hat der Arbeitgeber den Berufsbildungsbedarf zu ermitteln und Fragen der Berufsbildung mit ihm zu beraten.
Die Ermittlung ist damit keine freiwillige Fleißarbeit, sondern eine Pflicht, die der Betriebsrat auslösen kann. QualiShift macht sie wiederholbar statt einmalig.
- § 97 Abs. 2 BetrVG
Ändert sich die Tätigkeit der Beschäftigten durch Maßnahmen des Arbeitgebers und reichen die beruflichen Kenntnisse nicht mehr aus, bestimmt der Betriebsrat bei der Einführung von Berufsbildungsmaßnahmen mit.
Der Kernfall eines Transformationsvorhabens und der wichtigste Paragraf auf dieser Seite. Qualifizierung ist dann mitbestimmungspflichtig, nicht bloß beratungspflichtig.
- § 98 BetrVG
Mitbestimmung bei der Durchführung, dazu ein Vorschlagsrecht des Betriebsrats für die Teilnahme von Beschäftigten.
Die Mitbestimmung endet nicht bei der Frage, ob geschult wird. Eine Kohortenliste ohne den Betriebsrat ist angreifbar, auch wenn sie fachlich richtig ist.
- § 94 BetrVG
Personalfragebogen und allgemeine Beurteilungsgrundsätze bedürfen der Zustimmung des Betriebsrats.
Wir sagen offen, was viele auslassen: Ein Kompetenzprofil je Beschäftigtem fällt sehr wahrscheinlich darunter. Der Weg dahin ist eine Betriebsvereinbarung, keine enge Auslegung.
- § 87 Abs. 1 Nr. 6 BetrVG
Mitbestimmung bei technischen Einrichtungen, die zur Überwachung von Verhalten oder Leistung bestimmt sind. Nach ständiger Rechtsprechung genügt die objektive Eignung.
Weil die Eignung genügt und nicht die Absicht, ist jede Software mit Lernfortschritt je Person im Zweifel erfasst. Wir behandeln das als gegeben.
Was daraus für das Produkt folgt
Unterlagen entstehen aus der Analyse. Die Unterlage nach § 92 BetrVG kommt aus derselben Rechnung wie der Programmvorschlag, nicht aus einer Nachtschicht vor der Sitzung.
Keine Bewertung von Personen. Keine Eignungsnote, keine Rangfolge, kein Score. Verglichen werden die Anforderungen einer Zielrolle mit dem Stand einer Gruppe.
Die unbequeme Hälfte sagen wir mit. Sobald ein Kompetenzprofil je Beschäftigtem geführt wird, ist die Zustimmung nach § 94 BetrVG der wahrscheinliche Fall.
Was eine Betriebsvereinbarung sinnvoll regelt
- Zweck der Verarbeitung und ausdrückliche Zweckbindung
- Abschließende Liste der verarbeiteten Datenarten
- Rollen, Zugriffsrechte und wer sie vergibt
- Mindestgrößen für Auswertungen
- Verbot der Verhaltens- und Leistungskontrolle
- Verfahren für neue Auswertungen
- Löschfristen nach dem Ende des Vorhabens
- Laufzeit, Kündigung und Umgang mit den Daten danach
EU AI Act
Ein Dokumentationswerkzeug ist kein System, das über Menschen entscheidet
QualiShift dokumentiert und ordnet zu. Es schlägt keine Kündigung vor, bewertet keine Leistung, trifft keine Auswahl unter Bewerbungen und steuert keine Beförderung.
Ob und in welchem Umfang die KI-Verordnung für einen konkreten Einsatz greift, hängt vom Zuschnitt beim Kunden ab. Wir ordnen uns deshalb keiner Risikoklasse zu, sondern klären die Einstufung im Einzelfall und dokumentieren sie.
Was wir unabhängig von der Einstufung zusagen
- Offenlegung der verwendeten Klassifikationen und Regeln
- Nachvollziehbarkeit jeder Zuordnung bis zur Quelle
- Eine menschliche Entscheidung, wo es um eine Person geht
- Protokollierung von Änderungen an Profilen und Auswertungen
- Kein Training von Modellen mit Kundendaten für andere Kunden
Offene Punkte
Was heute noch nicht steht
Vier Dinge fehlen, und es ist billiger, sie hier zu lesen als in der zweiten Sicherheitsprüfung zu entdecken.
- Keine Zertifizierung
- Wir besitzen keine Zertifizierung nach ISO/IEC 27001 und behaupten auch keine. Verlangt Ihre Beschaffung eine, ist das eine Anforderung, über die wir reden.
- Penetrationstest noch offen
- Ein Test durch einen externen Dienstleister ist vorgesehen, bevor produktive Beschäftigtendaten verarbeitet werden. Das Ergebnis legen wir Kunden auf Anfrage offen.
- Unterlagen im Entstehen
- Verarbeitungsverzeichnis, Beschreibung der technischen und organisatorischen Maßnahmen und ein Gerüst für eine Betriebsvereinbarung entstehen mit den ersten Partnerunternehmen.
- Keine Förderberatung
- Wir prüfen keine Förderfähigkeit nach § 82a SGB III, stellen keine Anträge und bewerten keine Ansprüche. Der Paragraf steht hier nur als Beleg, dass der Gesetzgeber das Problem anerkennt.
Nächster Schritt
Fragen zu Sicherheit, Datenschutz oder Beteiligung?
Schreiben Sie uns, gern mit dem Fragenkatalog Ihrer IT-Sicherheit. Wir antworten schriftlich und sagen dazu, was wir noch nicht belegen können.