Detailbetriebsvereinbarung

Transkript

1 Detailbetriebsvereinbarung betreffend die Verwendung personenbezogener Beschäftigtendaten in SAP Anwendungen uni.verse und uni.pers gemäß der Rahmenbetriebsvereinbarung betreffend automationsunterstütze Verwendung personenbezogener Beschäftigtendaten (vom ) abgeschlossen zwischen der Universität für angewandte Kunst Wien als Betriebsinhaberin, vertreten durch den Rektor einerseits und dem Betriebsrat des künstlerischen und wissenschaftlichen Universitätspersonals an der Universität für angewandte Kunst Wien sowie dem Betriebsrat des allgemeinen Universitätspersonals an der Universität für angewandte Kunst Wien Vertreten durch die jeweiligen Vorsitzenden andererseits. Rechtsgrundlage: 97 Abs. 1 Z 24 Arbeitsverfassungsgesetz (ArbVG) ivm 96a Abs. 1 Z 1 leg.cit.

2 1. Geltung (1) Diese Detailbetriebsvereinbarung gilt für die Planung, Verwendung und Veränderung der SAP Anwendungen uni.verse und uni.pers der Universität für angewandte Kunst Wien, im Sinne des 96a Abs. 1 Z 1 erster Satz Arbeitsverfassungsgesetz (ArbVG). (2) Das Vorliegen eines Zustimmungsrechts der Betriebsräte gem. 96 und 96a ArbVG hängt von den leg.cit. formulierten Kriterien ab. (3) Die Gültigkeit der Detailbetriebsvereinbarung bezieht sich auf alle natürlichen Personen, die in einem privatrechtlichen Dienstverhältnis (einschließlich freier DienstnehmerInnen) zur Universität stehen, in einem öffentlich-rechtlichen Dienstverhältnis dem Amt der Universität zum Dienst zugewiesen sind oder ihren Dienst im Rahmen einer Nebentätigkeit an der Universität versehen. (4) Die Begriffe in dieser Detailbetriebsvereinbarung entsprechen den Definitionen laut 4 Datenschutzgesetz 2000 (DSG 2000) und der Rahmenbetriebsvereinbarung. 2. SAP System (1) Das SAP System der Angewandten wird einerseits für das gesamte Rechnungswesen (uni.verse) und andererseits für die Personalverwaltung inklusive Lohnverrechnung (uni.pers) eingesetzt. (2) Betrieb, laufende Wartung und gegebenenfalls Weiterentwicklung werden entsprechend einem gültigen Betriebsvertrag von der Bundesrechenzentrum GmbH durchgeführt. (3) Die Universität hat mit dieser eine Dienstleistervereinbarung gemäß 10 DSG 2000 im gültigen Betriebsvertrag abgeschlossen. (siehe Anlage 5: Betriebsvertrag) 3. Information der innerbetrieblichen Datenschutzkommission (1) Die Universität hat der innerbetrieblichen Datenschutzkommission (idsk) eine schriftliche Systembeschreibung vorzulegen, die insbesondere die in 3 Abs. 7 der Rahmenbetriebsvereinbarung genannten Punkte behandelt, sofern diese nicht bereits in dieser Detailbetriebsvereinbarung geregelt sind (siehe Anlage 1: Inhaltliche Kurzbeschreibung; siehe Anlage 3: Standort der Server; siehe Anlage 4: Übermittlung von personenbezogenen Daten). (2) Die Universität hat für das SAP-System unmittelbar nach Unterzeichnung dieser Betriebsvereinbarung eine/n Verantwortliche/n zu benennen und dies den Mitgliedern der idsk schriftlich bekannt zu geben, ebenso alle Änderungen. Dieser/m SAP Verantwortliche/Verantwortlichen obliegt die zweckmäßige und korrekte Vergabe der Zugriffsberechtigungen. Die Universität hat dafür Sorge zu tragen, dass der idsk der aktuelle Stand der BenutzerInnen und deren Zugriffsberechtigungen zugänglich sind. (3) Erweiterungs- und Veränderungsprojekte des SAP-Systems werden im Anlassfall geplant, die entsprechenden Planungsunterlagen und Projektdetails werden den Mitgliedern der idsk rechtzeitig, jedenfalls aber spätestens 4 Wochen vor Beginn der Umsetzung bzw. Produktivsetzung seitens der Universität vorgelegt.

3 (4) Die Mitglieder der idsk sind über vorgenommene Änderungen an größeren Programmteilen und Funktionen sowie über neue Vereinbarungen über Entwicklung, Wartung oder Support mit Dritten unverzüglich schriftlich zu informieren. (5) Ad-hoc Queries dürfen ausschließlich zur Abdeckung eines im Einzelfall nicht vorhersehbaren, sachlich begründeten Auswertungsbedarfs zur Anwendung gelangen. Alle BenutzerInnen, die mit Ad-hoc Queries arbeiten, sind den Mitgliedern der idsk bkannt zu geben. Auswertungen, die Daten der Kategorie D beinhalten sind den Mitgliedern der idsk bekannt zu geben. 4. Qualifizierungsmaßnahmen für SystembenutzerInnen (1) Die Datenschutzrichtlinie SAP (siehe Anlage 7: Datenschutzrichtlinie) ist sämtlichen BenutzerInnen, die Zugang zu personenbezogenen Daten haben, als Dienstanweisung nachweislich zur Kenntnis zu bringen. (2) Die Universität hat nachweislich dafür Sorge zu tragen, dass die BenutzerInnen Kenntnis über die Grundzüge des Datenschutzes hinsichtlich der in ihrem Modul verwendeten personenbezogenen Daten haben. (Siehe Anlage 2. SystembenutzerInnen und Zugriffsberechtigungen) (3) Die Universität hat dafür Sorge zu tragen, dass alle Modulverantwortlichen ausreichende Kenntnisse hinsichtlich datenschutzrechtlicher Bestimmungen haben. Dies kann insbesondere durch regelmäßige Schulungen, Besprechungen und Informationsblätter erfolgen. Über die Maßnahmen sind die Mitglieder der idsk schriftlich zu informieren. (Siehe Anlage 6: Modulverantwortliche). 5. Zustimmung der Betriebsräte (1) Die Betriebsräte erteilen ihre Zustimmung zum Betrieb der SAP Anwendungen uni.verse und uni.pers gemäß 96 bzw. 96a ArbVG entsprechend der von der idsk vorgelegten Systembeschreibung (Stand: Juni 2011) und den Bestimmungen dieser Detailbetriebsvereinbarung. (2) Die der idsk vorliegenden Systembeschreibungen (Anlagen 2 6) sind als vertrauliche Geschäftsdaten zu qualifizieren und unterliegen demgemäß der Verschwiegenheitspflicht. Es besteht ein Einsichtsrecht für die Mitglieder der Betriebsräte. 6. Schlussbestimmungen (1) Sollten einzelne Bestimmungen dieser Detailbetriebsvereinbarung unwirksam werden, bleiben die anderen Teile davon unberührt. (2) Diese Detailbetriebsvereinbarung tritt am 01. Juli 2011 in Kraft und wird auf unbestimmte Zeit abgeschlossen. Sie kann halbjährlich schriftlich unter der Einhaltung einer dreimonatigen Kündigungsfrist von jeder Seite aufgekündigt werden.

4 Wien, am Für die Universität Rektor Dr.iur. Gerald Bast Für den Betriebsrat des künstlerischen und wissenschaftlichen Universitätspersonals an der Universität für angewandte Kunst Wien Prof. Mag.art. Susanne Mann Für den Betriebsrat des allgemeinen Universitätspersonals an der Universität für angewandte Kunst Wien Annetraud Haslbeck

5 Anlage 1 zur Detailbetriebsvereinbarung SAP Anwendungen Inhaltliche Kurzbeschreibung Das SAP System der Angewandten besteht aus zwei Anwendungen. uni.pers dient in erster Linie zur Gehaltsverrechnung. Zum ordnungsgemäßen Funktionieren dieses Programmteils ist es erforderlich auch andere Programmteile zu pflegen. Im Organisationsmanagement erfolgt die Zuordnung von Organisationseinheiten und Kostenstellen. In der Personaladministration werden einerseits die Unternehmensstruktur und durch Zuordnung der Mitarbeiter die Personalstruktur dargestellt. Weiters werden die Mitarbeiter in Mitarbeitergruppen und Mitarbeiterkreise eingeteilt. Dies ermöglicht der Abrechnung etwa für gleichartige Mitarbeiter Vorschlagswerte zu übernehmen. Weiters werden in der Personaladministration Abrechnungsrelevante Daten gepflegt wie: Basisbezüge, Bankverbindung, wiederkehrende oder einzelne sonstige Bezüge, steuerliche Behandlung, Sozialversicherung, Mitarbeitervorsorgekasse, Pensionskasse etc. Das Reisemanagement dient der Abrechnung von Dienstreisen. In der Zeitwirtschaft wird derzeit nur negative Zeiterfassung betrieben (Urlaube, Krankenstände etc). Das Abrechnungsmodul dient der Gehaltsabrechnung. Uni.verse bezeichnet das Rechnungswesen der Angewandten. Es werden die Module FI (Buchhaltung und Bilanzierung), Fi-AA (Anlagenbuchhaltung), MM & SD (Beschaffung und Rechnungslegung), FM (Budgetplanung) und CO (Controlling) eingesetzt. Weiters wird ein Business Warehouse (BW) betrieben. Grundsätzlich sind hier personenbezogene Mitarbeiterdaten eher von untergeordneter Bedeutung. Über die Verbuchung der Gehaltsdaten sind diese aber auch in FI, FM und CO verfügbar. In keinem der angeführten Programmteile sind derzeit Systemabfragen im Sinne einer vergleichenden Mitarbeiteranalyse speziell programmiert worden noch werden vorhandene Reports für derartige Zwecke genutzt. Technisch werden beide Anwendungen von der Bundesrechenzentrum GmbH betrieben und gewartet. Die Verbindung erfolgt über geschützte Verbindungen, sog. vpn-tunnel. Derzeitiger Release Stand: SAP ECC 6.0

6 Anlage 3 zur Detailbetriebsvereinbarung SAP Anwendungen Standort der verwendeten Server 1. Die Server stehen in einem gesicherten Serverraum der BRZ-G, Hintere Zollamtstraße 4, 1030 Wien.

7 Anlage 4 zur Detailbetriebsvereinbarung SAP Anwendungen Übermittlung von personenbezogenen Daten Im Rahmen der Gehaltsabrechnungen werden übermittelt: 1. Abrechnungsdaten der Angestellten an a. die Hausbank (Bank Austria) b. die Sozialversicherungsträger (BVA, GKK) c. das Finanzamt Im Zuge der Bilanzerstellung werden Daten an den Wirtschaftsprüfer übermittelt. In diesen Daten sind auch Gehaltsdaten enthalten zur Berechnung der Rückstellungen für: 1. Zeitguthaben 2. Abfertigungen 3. Pensionskasse

8 Anlage 5 zur Detailbetriebsvereinbarung SAP Anwendungen Betriebsvertrag der Betriebsvertrag wurde der idsk vorgelegt und ist jederzeit in der Rechtsabteilung einsehbar. Auszug (umseitig)

9 Anlage 6 zur Detailbetriebsvereinbarung SAP Anwendungen Modulverantwortliche FI, FI-AA AbteilungsleiterIn Finanzbuchhaltung CO, BW AbteilungsleiterIn Controlling FM AbteilungsleiterIn Ressourcenplanung MM/SD AbteilungsleiterIn Zentrales Beschaffungswesen HR (uni.pers) AbteilungsleiterIn Personalabteilung

10 Anlage 7 Datenschutzrichtlinie - SAP Die Richtlinie regelt die aus datenschutzrechtlicher Sicht ordnungsgemäße Verwendung der SAP Systeme der Universität für angewandte Kunst Wien. 1. Die Vergabe von user accounts und Berechtigungen erfolgt durch den/die SAP- KoordinatorIn im Zusammenwirken mit der/dem für das jeweilige Modul Verantwortlichen. 2. Jede/r BenutzerIn darf sich ausschließlich mit ihrem/seinem account in der Datenbank anmelden. Die Weitergabe von Zugangsdaten ist jedenfalls unzulässig. 3. Jede Nutzung von in der Datenbank gespeicherten Daten darf ausschließlich zu dienstlichen Zwecken erfolgen. Die Weitergabe von Daten ohne gesetzlichen Auftrag ist unzulässig. 4. Die Eingabe von Daten darf nur gemäß der Dokumentation der einzelnen Eingabefelder erfolgen. Die Eingabe von feldfremden Informationen ist jedenfalls unzulässig. 5. In freien Textfeldern wie Bemerkungen, Anmerkungen, Hinweise etc. dürfen keinesfalls heikle interne Geschäftsdaten oder sensible Daten im Sinne der Rahmenbetriebsvereinbarung Datenschutz ( 4 Kategorien c und d) eingegeben werden. 6. Ist es erforderlich, externen Dritten (z.b. ProgrammiererInnen, Wartungsfirmen etc.) Zugang zur Datenbank zu gewähren, ist in jedem Fall eine DienstleisterInnenvereinbarung im Sinne des 10 Datenschutzgesetz 2000 abzuschließen und dafür Sorge zu tragen, dass Daten nur im geringsten bzw. absolut unvermeidbaren Ausmaß eingesehen werden können. 7. Ad hoc - queries die personenbezogene Daten enthalten dürfen nur nach vorheriger Genehmigung durch den Vorsitzenden der Datenschutzkommission durchgeführt werden. Enthalten solche Abfragen sensible Daten oder sensible Verknüpfungen, sind sie der Datenschutzkommission zu melden. 8. Erfolgen Zugriffe auf die SAP Systeme von mobilen Computern oder von außerhalb der Räumlichkeiten der Universität, ist sicherzustellen, dass unbefugten Dritten keine Einsicht in die Daten gewährt wird. 9. Diese Datenschutzrichtlinie ist jeder/jedem BenutzerIn nachweislich zur Kenntnis zu bringen. Die für den jeweiligen Bereich Verantwortlichen haben für die Einhaltung Sorge zu tragen. Die Nichteinhaltung stellt eine Verletzung der Dienstpflichten dar. Wien, Der Rektor: