Compliance, BDSG, Urheberrecht

Mitarbeiterdatenschutz in IT-Projekten

11.07.2013 von Andreas Bögemann
Datenschutz und Urheberrecht spielen nicht nur in der Außenwirkung eines Unternehmens eine Rolle. Auch in internen Projekten und Systemen kommen diese Themen zum Tragen.
Das komplexe deutsche Datenschutzrecht stellt Unternehmen auch vor interne Probleme.
Foto: Jürgen Fälchle, Fotolia.de

Viele Unternehmen legen großen Wert auf die penible Einhaltung der geltenden Vorschriften und Gesetze gegenüber Kunden und Geschäftspartnern. Aber auch in internen IT-Projekten und -Systemen muss der Datenschutz gegenüber den eigenen Mitarbeiter beachtet werden. Darüber hinaus sind Fragen des Arbeits- und des Urheberrechts zu klären - letzteres lässt sich schließlich nicht allein dadurch aushebeln, dass Unternehmen Inhalte nur innerhalb einer geschlossenen Benutzergruppe publizieren.

Die Daten der Mitarbeiter

Wann muss sich internes IT-Projektteam um Daten- und Mitarbeiterschutz Gedanken machen? Einfach ausgedrückt immer dann, wenn personenbezogene Daten von Mitarbeitern in irgendeiner Form bearbeitet oder ausgewertet werden sollen oder können. Abzugrenzen ist dies übrigens von der Datensicherheit, die sich mit dem Schutz vor unerlaubten Zugriff beschäftigt, jedoch keine Aussagen über die Verwendung von Daten macht.

Nach dem Bundesdatenschutzgesetz (BDSG) ist die Nutzung und Verarbeitung personenbezogener Daten des Arbeitnehmers erlaubt, soweit dies zur Wahrung berechtigter Interessen des Arbeitgebers erforderlich ist. Dies ist allerdings nur dann der Fall, wenn kein Grund zu der Annahme besteht, dass schutzwürdige Interessen der Mitarbeiter überwiegen. Dennoch ist nicht jede Nutzung gestattet. Insbesondere ist nicht alles erlaubt, was nicht verboten ist.

Anhand der vermehrt auch unternehmensintern eingesetzten so genannten "Enterprise 2.0"- oder "Web 2.0"-Systeme wird dies deutlich. Hierzu zählen beispielsweise intern veröffentlichte Mitarbeiter- und Projektblogs, unternehmensinterne Wikis oder soziale Netzwerke wie Xing. Aber auch Empfehlungs- und Bewertungsfunktionalitäten oder Social Bookmarking können problematisch sein. All diese Systeme gehen mit personenbezogenen Daten um, erzeugen sie oder machen sie leicht auswertbar.

Vyew
Hier kommen Anwender in virtuellen Räumen zusammen, um gemeinsam Texte, Bilder oder Videos zu begutachten und Anmerkungen anzufügen. Dafür steht ihnen wie bei anderen Reviewing-Lösungen eine Reihe von Werkzeugen wie etwa Textmarker zur Verfügung. <br /><br /> <a href="http://vyew.com/s/">... zu Vyew</a>
InVision
InVision ist ein anspruchsvoller Web-Dienst, mit dem Designer interaktive Prototypen für Desktop-, Mobile- und Watch-Apps kollaborativ erstellen und mit Kollegen und Kunden auf professionelle Weise teilen und diskutieren können. <br /><br /> <a href="http://invisionapp.com/">... zu InVision</a>
ConceptShare
"ConceptShare" richtet sich primär an Kreative, die Bilder, Videos, Grafiken und Designvorschläge online diskutieren wollen. Zu ändernde Bereiche können in den einzelnen Dateien markiert und kommentiert werden. Positiv hervorzuheben ist insbesondere die Unterstützung verschiedenster Grafik- und Videoformate. <br /><br /> <a href="http://www.conceptshare.com/">... zu ConceptShare</a>
ReviewStudio
Mit "ReviewStudio" lassen sich Bilder, Videos, PDFs und Dokumente im Team online bearbeiten und erfolgte Änderungen diskutieren. Zu ändernde Bereiche können über graphische Tools markiert sowie mit Kommentaren versehen werden. <br /><br /> <a href="https://www.reviewstudio.com">... zu ReviewStudio</a>
InMotion
"InMotion" präsentiert sich als funktionsstarkes Tool für Kreative, die den Reviewprozess von Grafikenwürfen, Bildmaterial, Texten, Videos und Flash-Animationen möglichst effizient managen wollen. So bietet der Dienst neben den klassischen Collaborative Reviewing Funktionen unter anderem die Möglichkeit verschiedene Projekte rollenbasiert zu verwalten sowie detaillierte Reportings zu erstellen. <br /><br /> <a href="http://www.inmotionnow.com/">... zu InMotion</a>
ProofHQ
"ProofHQ" erlaubt den Upload aller gängigen Bild-, Video- und Textformate. Änderungswünsche und Antworten auf diese können dann über graphische Tools und Kommentarfunktionen eingefügt werden. <br /><br /> <a href="http://www.proofhq.com/">... zu proofHQ</a>
Diigo
"Diigo" richtet sich eigentlich an Forscher, die Wissensnetzwerke aufbauen und aktuelle Forschungsergebnisse diskutieren wollen. Zu diesem Zweck bietet Diigo unter anderem die Möglichkeit von Webseiten Snapshots zu erstellen. Diese können dann im Team mittels verschiedener Werkzeuge beliebig kommentiert und markiert werden. Damit eignet sich der Dienst natürlich auch hervorragend für die Weiterentwicklung bestehender Webseiten. <br /><br /> <a href="http://www.diigo.com/">... zu Diigo</a>

Letzteres spielt im Rahmen von internen IT-Projekten insbesondere dann eine Rolle, wenn es um Leistungs- oder Verhaltenskontrolle geht. Generell unterliegen Systeme, mit denen eine solche Kontrolle vorgenommen werden kann, der betrieblichen Mitbestimmung. Das bedeutet, die Vertretung der Mitarbeiter (Betriebs- oder Personalrat) besitzt ein Informations- und in vielen Punkten auch ein Mitbestimmungs- oder Einspruchsrecht.

Blogs und Foren

In einem internen Blog oder Forum können Mitarbeiter Beiträge posten. Dies kann dazu genutzt werden, Wissen innerhalb des Unternehmens zu verteilen, Experten zu lokalisieren und eine Kollaboration über Abteilungsgrenzen oder sogar Standortgrenzen hinweg zu ermöglichen. Der Nutzen für das Unternehmen ist also klar erkennbar. Gleichzeitig werden dabei Daten über jeden Mitarbeiter erzeugt, die dem Arbeitgeber prinzipiell die Möglichkeit der Leistungskontrolle geben, wie zum Beispiel durch eine Auswertung der Anzahl der Postings oder wie oft ein Posting in Suchergebnissen anderer Mitarbeiter auftaucht und an welcher Stelle des Suchergebnisses. Das könnte einen Hinweis darauf geben, wie gut oder wertvoll ein Betrag und damit der Mitarbeiter ist. Auch hier ist der Nutzen für das Unternehmen erkennbar. Aus Sicht der Mitarbeitervertretung ist dies jedoch nicht wünschenswert. Ein Unternehmen kann sich behelfen, indem der Mitarbeiterbezug bei der späteren Auswertung oder bei der Anzeige als Suchergebnis entfernt wird.

Soziale Netze

Ein internes soziales Netzwerk birgt ebenfalls Chancen und Risiken. So ist die automatische Übernahme von Mitarbeiterdaten aus einem Identity Management System oder Active Directory ohne Einwilligung des Mitarbeiters problematisch. Die Auflistung von Fähigkeiten und Kenntnissen ist einerseits sinnvoll, damit andere Mitarbeiter im Unternehmen schnell den passenden Experten finden können. Andererseits kann solch eine Funktion dazu führen, dass sich andere Mitarbeiter unter Druck gesetzt fühlen, sich ebenfalls optimal zu präsentieren. Werden dann noch Beziehungen zwischen Mitarbeitern wie bei bekannten sozialen Netzwerken abgeleitet ("Folgende Mitarbeiter haben ähnliche Fähigkeiten …") begleiten den unternehmerischen Nutzen dieser Ergebnisse problematische Rückschlüsse auf eine mögliche Leistungskontrolle.

Exchange-Alternative:
Scalix
Exchange-Alternative:
Open-Xchange
Exchange-Alternative:
Zarafa
Exchange-Alternative:
Zimbra
Exchange-Alternative:
Kerio
Exchange-Alternative:
Communigate Pro

Dieses Problem lässt sich nicht so einfach lösen. Viel kann ein Unternehmen über Transparenz und den offenen Umgang mit dem Feedback der Mitarbeiter erreichen. Nur in einem von Vertrauen geprägten Umfeld werden Lösungen gefunden, die alle Beteiligten mittragen.

Mitarbeiterdatenschutz - eine Checkliste

Schon diese wenigen Beispiele vermitteln einen Eindruck davon, welche datenschutzrechtlichen Fallstricke bei einem internen IT-Projekt warten können. Zusammenfassend gesagt liegt der Schlüssel zum Erfolg stets in der frühzeitigen und nachhaltigen Einbindung aller Betroffenen. Dabei sollte Transparenz an erster Stelle stehen, um Misstrauen und Widerstand zu verhindern oder abzubauen. Die Ziele und der Nutzen für jeden Beteiligten müssen eindeutig und verständlich kommuniziert werden. Dies sollte nicht erst kurz vor Fertigstellung des Projektes erfolgen, sondern bereits in der Anfangsphase. So bleibt Zeit, Feedback einzuholen und zu berücksichtigen. Dabei sollte möglichst konkret angegeben werden, wie erhobene personenbezogene Daten verarbeitet werden. Dieser Fragenkatalog kann der Orientierung dienen, was Mitarbeiter üblicherweise wissen müssen:

Es kann darüber hinaus sinnvoll sein, sich beispielsweise beim ersten Login ein Opt-In vom Mitarbeiter abzuholen, wie dies bei öffentlichen Systemen üblich ist. Dies bedingt, dass konkrete Nutzungsbedingungen samt Rechten und Pflichten der Anwender definiert sind. Ein einmaliger Aufwand, der sich auf Dauer lohnen wird. Um ganz auf der sicheren Seite zu sein, sollte bei der Erarbeitung der Nutzungsbedingungen unbedingt ein Experte (idealerweise ein Jurist) hinzugezogen werden. Da es in diesem Bereich auch bei der Rechtsprechung regelmäßig neue Entwicklungen gibt, müssen die getroffenen Entscheidungen und Richtlinien immer wieder vor dem Hintergrund neuer Regelungen angepasst werden.

Tools für das Social Business
Instant Messaging, Acivity-Streams, Dokumenten-Sharing, Tagging und Profilseiten – diverse Plattformen stellen beliebte Social-Media-Funktionen für den internen Gebrauch zur Verfügung. Ein Überblick über die wichtigsten Tools:
Chatter
Das Tool lässt sich mit der CRM-Lösung von Salesforce integrieren und kann so Geschäftsprozesse etwa im Vertrieb abbilden, ist aber auch als Stand-alone-Lösung einsetzbar. Sein Engagement im Social-Business unterstrich der Anbieter zudem mit der Übernahme von Radian6, einem Anbieter von Tools zur Analyse unstrukturierter Daten. Chatter bietet zudem die Möglichkeit, Prozessschritte anderer Enterprise-Anwendungen, zum Beispiel von SAP, einzubinden.
Jabber
Cisco fährt im Social-Business zweigleisig. Unter dem Namen "Jabber" bündelt die Networking-Company seit Kurzem sämtliche Communications- und Collaboration-Clients, die im Lauf der Jahre unter anderem durch Zukäufe ins Unternehmen kamen. Der Jabber-Client integriert Kommunikationsfunktionen wie Präsenzanzeige oder Instant Messaging und stellt mit Hilfe der hauseigenen Webex-Produktfamilie Audio- und Videoconferencing bei Bedarf auch in HD-Qualität bereit.
Quad
Das zweite Standbein ist "Quad", von Cisco als Plattform für das Enterprise 2.0 positioniert. Es integriert Features wie Blogs und Wikis.
Quad
Quad ist am Frontend mit eingeschränkter Funktionalität mittels Web-Browser zu bedienen. Wollen Anwender die gesamte Bandbreite der Möglichkeiten ausschöpfen, ist der Jabber-Client ratsam. Er gewährleistet auch die Interaktion mit Fremdprodukten wie Microsoft Office und Sharepoint.
Jive
Eine beliebte Anwendung unter den Social-Business-Lösungen stellt das 2001 gegründete kalifornische Unternehmen Jive Software mit dem Produkt "Jive Engage" bereit. Es kombiniert Collaboration- und Community-Features und stellt Lösungen für das Knowledge-Management zur Verfügung. Ständige Erweiterungen haben die Software zu einer Social-Business-Plattform anwachsen lassen. So kamen im Lauf der Zeit Funktionen für Instant Messaging sowie die Mobility-Unterstützung für iPhones und Blackberrys hinzu.
Jive
Die funktionalen Erweiterungen hat Jive in wesentlichen Teilen eingekauft: Die Akquisition von OfficeSync wurde beispielsweise zur Basis für das Dokumenten-Sharing, das übernommene Start steuert Konnektoren zur Microsofts Office-Welt bei. Im Frühjahr 2011 schluckte der Hersteller den Business-Analytics-Anbieter Proximal Labs. Seitdem können Anwender der Software bei Bedarf große Menge unstrukturierter Daten auswerten. Beachtung fand zuletzt auch Jives Marktplatz für Applikationen, der Partner dazu ermuntern soll, die Social-Business-Plattform mit Drittanwendungen anzureichern.
Sharepoint
Microsoft setzt im Social Business auf "Sharepoint". Die Collaboration-Umgebung stellt Anwendern Dokumenten-Sharing und Kommunikationsmöglichkeiten bereit. Spezielle Social-Network-Angebote sind unter anderem integrierte Profile, Wikis, Blogs, Newsfeeds und interne Videoportale sowie Funktionen für die unternehmensinterne Suche, das Tagging, Rating und zur Kommentierung.
SmartCloud for Social Business und Connections
IBM vertreibt im Geschäft mit der unternehmensinternen Collaboration die Produktlinien "Connections" und "SmartCloud for SocialBusiness" (vormals LotusLive). Connections wird in die Unternehmens-IT integriert und bietet mit Activity Streams, Social Analytics, Wikis, Blogs, Dokumenten-Sharing sowie E-Mail- und Kalenderintegration typische Enterprise-2.0-Funktionen.
SmartCloud for Social Business und Connections
Anwendungen von Drittparteien lassen sich mittels Portal integrieren. IBM verspricht auch die Einbindung von Geschäftsprozessen, beispielsweise können Nutzer SAP-Transaktionen in der Connections-Umgebung bearbeiten. Connections lässt sich auch als SaaS-Ausführung beziehen.
SocialCast
Zudem schaffen Schnittstellen zu Lotus Notes, Outlook, Sharepoint sowie zum Active Directory ergänzende Kommunikations- und Integrationsmöglichkeiten. Jüngste Neuerung, die bereits zu VMware-Zeiten eingeführt wurde, ist die Social-Applikation "Strides", die Socialcast zur integrierten Collaboration-Plattform ausbauen soll. Interessenten an Socialcast können zunächst eine kostenlose Version ausprobieren, die sich aber nicht im internen Data Center installieren lässt und der einige Funktionen, etwa zur Datenanalyse, fehlen.
Streamwork
"Streamwork" wurde ursprünglich als Plattform entwickelt, die mit Hilfe von Business Intelligence die Entscheidungsfindung in Unternehmen schneller und kollaborativ gestalten soll. Dabei setzt SAP auf die Integration von Fremdprodukten. Anknüpfungspunkte bestehen etwa für Webex, Evernote sowie Outlook und Google Mail.
Streamwork
Die Nähe zu betriebswirtschaftlichen Anwendungen spiegelt sich in der Feature-Liste wider: Wesentliche Funktionen betreffen etwa die Agendaplanung, Prioritätenlisten, Ad-hoc-Umfragen, SWOT- und Kosten-Nutzen-Analysen sowie Verantwortlichkeits-Diagramme. Die Social-Business-Komponenten erstrecken sich auf News-Feeds für Geschäftsdaten und Monitoring-Dienste, die Aktivitäten und Ereignisse darstellen. Streamwork ist mit verschiedenen SAP-Anwendungen integriert.
Tibbr
Mit "Tibbr" hat sich der SOA- und Integrationsspezialist Tibco in das Social-Business-Geschäft vorgewagt. Folgerichtig betont auch Tibbr die Verzahnung verschiedener Anwendungen (etwa von Oracle, SAP, Microsoft Sharepoint und Salesforce.com) in einer Plattform, so dass sich beispielsweise der Activity-Stream durch Ereignisse und Veränderungen aus den Business-Applikationen speisen lässt.
Tibbr
Tibbr bietet soziale Services wie Microblogging, Profile, Instant Messaging und Voice-Memos, Videoconferencing und Communities. Die Nutzer können sogenannten Subjects folgen, das sind entweder andere Nutzer, Gruppen oder Themen. Auch Tibco bietet Unternehmen Möglichkeiten zur Analyse der Inhalte.
Yammer
"Yammer" kam vor knapp vier Jahren als unternehmensinterne, Cloud-basierende Software für das Microblogging auf den Markt. Der gleichnamige Betreiber vermarktet die Lösung zum einen als kostenlose und funktional reduzierte Version, zum anderen als kostenpflichtige Ausführung für fünf Dollar pro Monat sowie als Premium-Lösung für Unternehmen inklusive Admin-Rechten und Integrationsmöglichkeiten.
Yammer
Mit dem aktuellen Release können Anwender beispielsweise Communities einrichten, Termine in Outlook und Google Calendar planen, in verteilten Teams kommunizieren und gemeinsam Dokumente bearbeiten. Eine Präsenzanzeige erstreckt sich auch auf mobile Clients, zudem liefern Analysewerkzeuge Daten über die Aktivitäten im sozialen Netz. Die Version für Unternehmen stellt besondere Sicherheitsfunktionen sowie Andockmöglichkeiten an Geschäftsapplikationen etwa von Salesforce.com, Microsoft und Netsuite bereit.
Haben wir ein Tool vergessen?
Dann schicken Sie uns doch eine E-Mail und präsentieren Sie uns und unseren Lesern Ihre Lösung.

Urheberrecht

Das Urheberrecht ist seit langem ein heiß diskutiertes Thema in der digitalen Welt. Sei es bei Internet-Tauschbörsen, die regelmäßig in den Medien thematisiert werden, sei es bei der Frage um die Verwendung und Schutzwürdigkeit von Programmcode, Bildern oder Texten. Auch bei unternehmensintern aufgebauten und betriebenen Systemen spielt das Urheberrecht eine Rolle, denn rechtlich betrachtet ist jeder Mensch, der ein Werk erschafft, ein Urheber und sein Werk damit geschützt. Auch die Urheberrechte von Mitarbeitern müssen also gewahrt werden, selbst wenn die Inhalte nur einer geschlossenen Gruppe, wie zum Beispiel Mitarbeitern eines Unternehmens, zugänglich sind.

Dazu einige Beispiele: In einem Unternehmens-Wiki werden Artikel und Präsentationen aus fremden unternehmensexternen Quellen gespeichert, die zu dem entsprechenden Themenbereich passen. Es ist praktisch, wenn hier alles an einem Ort liegt, aber ohne die Genehmigung des Autors ist dies nicht zulässig. Gleiches gilt für den intern verschickten Newsletter mit eingescannten Artikeln aus Fachmagazinen oder Tageszeitungen. Ohne Genehmigung ist auch dies unzulässig. Bei dem als "Tauschbörse" für MP3-Dateien und kopierten DVDs verwendeten Fileserver ist die Sache auch intern immer rechtswidrig, sofern keine Erlaubnis des Urhebers der kopierten Daten vorliegt.

In Fällen des Urheberrechtsmissbrauchs bewegen sich nicht nur die Mitarbeiter, die gegen die Regeln verstoßen, auf dünnem Eis. Auch das Unternehmen ist in der Pflicht, da es unter Umständen selbst zur Verantwortung gezogen wird. Um zu vermeiden, im Rahmen der so genannten Störerhaftung in Anspruch genommen zu werden, müssen Unternehmen rechtswidrige Praktiken der Mitarbeiter unterbinden. Konkret heißt das, klare Regeln zu schaffen, zu kommunizieren und ihre Einhaltung sicherzustellen. Verstöße sind unbedingt zu ahnden.

Achtung Nutzungsrechte!

Vergleichsweise einfach zu regeln ist die unternehmensinterne Nutzung von Inhalten, die Mitarbeiter erstellt haben oder an denen sie die Rechte besitzen. Die Verwertung von in der Arbeitszeit erstellten Inhalten, wie Artikeln, Programmcode und ähnlichem, ist meist schon im Arbeitsvertrag geregelt, die Rechtsabtretung üblich.

Anders verhält es sich bei der Verwendung eines Mitarbeiterfotos im internen sozialen Netzwerk. Dies ist nur mit Einwilligung des Mitarbeiters rechtlich unbedenklich, selbst wenn das Bild für das Unternehmen bereits zu einem anderen Zweck erstellt wurde, zum Beispiel für einen Mitarbeiterausweis. Bei frühzeitiger Einbindung des Mitarbeiters und Einholung einer Erlaubnis bei Information über die Verwendung ist die Einwilligung meist schnell erteilt. Eine persönliche Anfrage ist hierbei einer einfachen Checkbox vorzuziehen. Auch eine freiwillige Aktion mit Fotosession kann motivieren!

Zähne zeigen
Dieses Foto wäre perfekt, wenn der Herr Zähne zeigen würde. Denn, so Bewerbungsexpertin Svenja Hofert: "Gute Fotos zeigen Zähne. Diese sind auch im Miniaturformat sichtbar."
Ungünstiger Hintergrund
Hier stimmt gar nichts. Das Foto wirkt zu verspielt und ist sehr unprofessionell. Offenbar liegt die Dame zu Hause auf dem Bett, was vor allem am Hintergrund zu erkennen ist. Wer sein Bild zu Hause macht, sollte darauf achten, dass der Hintergrund neutral ist. Svenja Hofert rät: "Tapeten gehören ins Wohnzimmer, nicht zu Xing. Hintergründe sind neutral, ohne Muster und am besten hell."
Dunkel auf Hell
Apropos Hintergrund: Der sollte also hell sein. Am besten zieht man dazu etwas Dunkles an mit möglichst wenig Muster. Im abgebildeten Foto ist das schon ganz gut. Der Herr sollte jetzt nur noch direkt in die Kamera blicken, dann wäre es perfekt.
Werbeberater
Kleiden Sie sich branchengerecht, wie der Werbeberater auf diesem Foto! Werber sehen nun einmal anders aus als Banker und sollten das auch zeigen.
Ganzkörper-Foto
Ganzkörper-Fotos sind absolut tabu. Ins Internet mit seinen Miniaturbildern gehören nur Porträts vom Gesicht.
Private Fotos
Private Fotos gehören ins Fotoalbum: Xing ist ein Netzwerk für Business-Kontakte.
Fußporträt
Bleiben Sie erkennbar! Nasen- oder Fußporträts sind etwas für StudiVZ oder andere Fun-Plattformen, haben aber im Business-Internet nichts verloren.

Fazit

Die Beispiele aus den Anwendungsbereichen Mitarbeiterdatenschutz und Urheberrecht im Unternehmen haben gezeigt, dass bei IT-Projekten, die den internen Einsatz von Web 2.0-Technologien zum Ziel haben, auch rechtliche Herausforderungen zu bestehen sind. Einmal aufgesetzt, können Zugriffsrechte zwar meist noch in späten Projektphasen wieder justiert werden. Geplante Nutzungsmuster und Arbeitsabläufe sind jedoch häufig elementarer Bestandteil eines IT-Systems und lassen sich nur mit großem Aufwand in späten Projektphasen ändern, wenn sie datenschutz- oder urheberrechtlich problematisch sind. Die Einbindung eines erfahrenen Beraters kann hier viele Probleme von Beginn an vermeiden helfen. Der Vertrauensverlust, den ein Unternehmen gegenüber seinen Mitarbeitern erleiden kann, wiegt schwer, so dass die Investition lohnt.

Es gilt, gemeinsam eine sinnvolle Balance zwischen der Nutzung neuer Technologien und dem Daten- und Urheberrechtsschutz der Mitarbeiter zu finden. Dazu sollten die Beteiligten von Anfang an in die Projekte einbezogen werden, um Bedenken zu adressieren und Lösungen zu finden. Dann überwiegt der Nutzen sowohl für das Unternehmen als auch für die Mitarbeiter. (sh)