Datenschutz im Personalmanagement 2012 Gemeinschaftsstudie

Transkript

1 Datenschutz im Personalmanagement 2012 Gemeinschaftsstudie CONSULT

2 Impressum Herausgeber: Bitkom Servicegesellschaft mbh Albrechtstraße 10 A Berlin-Mitte Tel.: Fax: info@bitkom-service.de Ansprechpartner: Lars Kripko Tel.: datenschutz@bitkom-consult.de Studienleitung:: Anja Olsok (Bitkom Servicegesellschaft mbh), Horst-Dieter Bruhn (Kienbaum Management Consultants) Studien-Team: Dr. Johannes Kirch (Kienbaum Management Consultants), Lars Kripko, Sonja Rutow (beide Bitkom Servicegesellschaft mbh) Kommunikationspartner: Patrick Merke, Thomas Klein, Sascha Radewald (alle F.A.Z.-Institut, Innovationsprojekte) Gestaltung / Layout: Martin Flemming (Studio 2o46) / Astrid Scheibe (BITKOM e.v.) Titelbild: Astrid Scheibe (BITKOM e.v.) Copyright: Bitkom Servicegesellschaft mbh 2012 Diese Publikation stellt eine allgemeine, unverbindliche Information dar. Die Inhalte spiegeln die Auffassung der Bitkom Servicegesellschaft mbh zum Zeitpunkt der Veröffentlichung wider. Obwohl die Informationen mit größtmöglicher Sorgfalt erstellt wurden, besteht kein Anspruch auf sachliche Richtigkeit, Vollständigkeit und/oder Aktualität, insbesondere kann diese Publikation nicht den besonderen Umständen des Einzelfalles Rechnung tragen. Eine Verwendung liegt daher in der eigenen Verantwortung des Lesers. Jegliche Haftung wird ausgeschlossen. Alle Rechte, auch der auszugsweisen Vervielfältigung, liegen bei der Bitkom Servicegesellschaft mbh.

3 Datenschutz im Personalmanagement 2012 Datenschutz im Personalmanagement 2012 Gemeinschaftsstudie CONSULT

4 Inhaltsverzeichnis Intro 3 Warum diese Studie? 3 Wer steht hinter dieser Studie? 3 Stichprobe 3 Zusammenfassung 6 Fakten und Zahlen 8 Bedeutung von Datenschutz im Personalmanagement 8 Vereinbarungen zum Rechtsrahmen 10 Risikomanagement im Datenschutz 13 Kooperationen im Datenschutz 14 Beeinflussende gesellschaftliche Entwicklungen 17 Beeinflussende IT-Trends 18 Datenschutz und Projektmanagement 19 Detailbetrachtung ausgewählter personalwirtschaftlicher Daten 22 Impulsabfrage 24 2

5 Datenschutz im Personalmanagement 2012 Intro Warum diese Studie? Die gesellschaftliche Sensibilisierung für den Datenschutz wird durch die rasante Entwicklung von Internettechnologien (z.b. in den sozialen Netzwerken) und allgemein in der IT-Branche (z.b. bei Smartphones oder Cloud Computing) immer wieder neu entfacht. Um die Fragen des Schutzes personenbezogener Daten entzündet sich politischer Streit, spätestens wenn eine aktuelle Datenschutzverletzung öffentlich wird. Nicht nur national und EU-weit, zunehmend auf der ganzen Welt schlagen sich die Fragen zum Umgang mit schützenswerten Daten in Gesetzesinitiativen nieder. Diese Entwicklung ist auch in den Unternehmen spürbar. Das Personalmanagement steht in Zeiten des demografischen Wandels vor Herausforderungen, denen vielfach mit Instrumenten begegnet wird, die einen deutlichen Zuwachs personenbezogener Daten vermuten lassen. Darunter fallen sehr viele Daten, die zu Profilen verdichtet werden und dergestalt für Personalauswahl-Prozesse eine erhebliche Relevanz haben. Entsprechende Softwarelösungen (z.b. für das sogenannte Talent Management) halten Einzug selbst in mittlere und kleine Organisationen aus Privatwirtschaft und öffentlichem Bereich. Konzern-HR-Manager übernehmen im Rahmen zentraler personalwirtschaftlicher Aufgaben die Verantwortung für derartige Prozesse. Die Interessen der Arbeitgeber und Arbeitnehmer in diesen personalwirtschaftlichen Initiativen unter einen Hut zu bringen wird durch das Fehlen eines»konzernprivilegs«nicht einfacher. Unser Ziel war es, den Grad der Sensibilisierung sowie den Status vorhandener Regelungen und Maßnahmen zu identifizieren, um Handlungsfelder für das Personalmanagement zu erkunden und Orientierungshilfen zu geben. Auch war es unser Anliegen, herauszufinden, an welchen Stellen sich Konflikte entzünden und wie es um die Kooperation zwischen Datenschutzbeauftragten, Arbeitnehmervertretungen, IT und Human Resources bestellt ist. Wer steht hinter dieser Studie? Die Bitkom Servicegesellschaft als ein bedeutender Anbieter von Consulting-Dienstleistungen im Bereich Datenschutz, Kienbaum als Deutschlands führende HR-Management-Beratung und das F.A.Z.-Institut, Innovationsprojekte als Kommunikationspartner haben im März 2012 gemeinsam eine branchenübergreifende Be fragung von Geschäftsführern und Personalverantwortlichen deutscher Unternehmen durchgeführt. Motivation war für die drei Partner bei der Studie insbesondere die Beantwortung der Frage, wie der Datenschutz heute in den Personalabteilungen nicht nur organisiert, sondern auch konkret gelebt wird und ob es Entwicklungen gibt, von denen andere Organisationen lernen können. Stichprobe Wir haben diese Studie aufgelegt, um die unterstellte zunehmende Bedeutung datenschutzrechtlicher Themen in zentralen personalwirtschaftlichen Prozessen und den Umgang mit personenbezogenen Daten im Personalmanagement differenzierter zu beleuchten. Die Einladungen für die Studie richteten sich an Geschäftsführer und Human Resources Manager deutscher Unternehmen unterschiedlicher Größe. Die für die Auswertung relevante Stichprobe setzt sich aus 779 deutschen Unternehmen und Organisationen mit der folgenden Branchenzuordnung zusammen: CONSULT 3

6 Dienstleistungen n=209 ITK und neue Medien n=192 Produktion n=110 Handel/ Vertrieb n=75 Sonstige n=67 Finanzen n=63 Public n=63 Abbildung 1: Branchenverteilung < > Abbildung 2: Größe der Unternehmen 4

7 Datenschutz im Personalmanagement 2012 Die Branchen ITK und neue Medien, Dienstleistungen sowie ferner der produzierende Sektor sind besonders stark vertreten, aber auch Handel/Vertrieb, Finanzen sowie öffentliche Organisationen sind mit jeweils deutlich mehr als 50 Unternehmen repräsentiert. Unter»Sonstige Branchen«wurde überwiegend das Spektrum Energieerzeugung und -versorgung subsumiert, ein kleinerer Teil rekrutiert sich aus Beratungsunternehmen. Die Größe der befragten Unternehmen lag zum überwiegenden Teil zwischen 500 und Mitarbeitern, aber es sind auch viele Unternehmen zwischen 50 und 249 sowie Konzerne mit über Arbeitnehmern vertreten. Wie aus Grafik 2 ersichtlich wird, sind die Unternehmen der Größe deutlich weniger präsent. Daneben fällt auf, dass die Unternehmen der Dienstleistungsbranche im Schnitt etwas kleiner und die Firmen des produzierenden Sektors etwas größer sind als der Mittelwert aller Unternehmen. Insgesamt kann sowohl branchenbezogen als auch aus der Perspektive der Mitarbeiteranzahl von einer uneingeschränkt repräsentativen Stichprobe gesprochen werden. CONSULT 5

8 Zusammenfassung Die rasante Entwicklung sozialer Medien hinterlässt auch in den Unternehmen ihre Spuren. Kein Unternehmen kann es sich im globalen Wettbewerb leisten, die sich ständig erweiternden Möglichkeiten des Internets zu ignorieren. Zunehmend entdeckt auch das Personalmanagement diesen Kosmos aus Netzwerken, Kommunikation, Information und ausgelagerten Datenspeichern für sich. Mit Folgen für das bisherige Selbstverständnis der Verantwortung für die Mitarbeiterdaten. Gerade vor dem Hintergrund öffentlich geführter Debatten über das Recht auf informationelle Selbstbestimmung stellte sich uns die Frage: Wie fit sind die Personalmanager im Datenschutz? Die Antworten auf unsere Fragen lassen den Schluss zu, dass der Datenschutz im Personalmanagement überwiegend in guten Händen ist.»überwiegend«deswegen, weil unsere Studie sehr wohl deutliche Hinweise auf Konflikte gibt, die Projekte im Personalmanagement beeinflussen. Durchgängig jedoch bescheinigen die befragten HR-Manager sich und ihren Kollegen eine sehr hohe Sensibilität für den Datenschutz. Wobei diese nicht in einer tiefen persönlichen Überzeugung gründet, sondern eher dem erlebten Bedrohungsszenario geschuldet ist. Beschädigungen der Arbeitgebermarke und Konflikte mit den Arbeitnehmervertretungen rangieren im Bedrohungskontext sehr hoch. Schwerwiegende Konflikte in Datenschutzfragen sind aber die Ausnahme. Meist bestehen kooperative Beziehungen zwischen Datenschutzbeauftragten, Gremien der Mitbestimmung, externen Dienstleistern (meist Softwareanbieter), IT, Revision und Personalmanagern. Diese fußen in der Regel auf Vereinbarungen zwischen Betriebsund Personalräten, an denen Datenschutzbeauftragte maßgeblich mitgewirkt haben. Trotz dieser überwiegend geregelten Datenschutzlandschaft zeigen sich Personalmanager deutlich messbar verunsichert durch Cloud Computing 1 und Soziale Netzwerke, mithin also durch Trends im Internet, an die für HR-Manager strategisch relevante Themen wie das Arbeitgeberimage, Online-Bewerbungen, elektronische Personalakte oder auch die Nutzung spezialisierter Softwarelösungen im Rahmen des Talent Managements geknüpft sind. Unsere Studie kann aber nicht nachweisen, dass aus den Entwicklungen des Internets heraus ein zunehmendes Konfliktpotenzial erwächst, wenn Unternehmen diese Möglichkeiten in ihrem Personalmanagement ausschöpfen. Das insgesamt verunsichernd wirkende Bedrohungsszenario erklärt sicherlich die auffallend hohe Forderung nach einer Qualifizierung des Personalmanagements in Datenschutzfragen. Die befragten Personalmanager fühlen sich nicht ausreichend informiert und ziehen Experten hinzu, die maßgeblichen Einfluss auf Projekte im Personalbereich nehmen. Sehr viele HR-Manager berichten von negativen Beeinflussungen ihrer Projekte durch Interventionen der Arbeitnehmervertreter und Datenschutzbeauftragten. Während die Gremienvertreter offenbar restriktiv auftreten, werden die Datenschutzbeauftragten dagegen eher als lösungsorientiert erlebt. Wobei die tendenziell hohe Konsensorientierung im Datenschutz nicht zu übersehen ist. Diejenigen Unternehmen, die nach Interventionen in Datenschutzfragen von schwerwiegenden Störungen im geplanten Projektverlauf berichten, haben hinzugelernt. Diese Unternehmen planen im Rahmen ihrer Projekte entsprechende Ressourcen ein, um die Datenschutzfragen einvernehmlich zu klären. Auffallend gering scheinen IT-Abteilungen in Fragen des Datenschutzes aktiv zu werden. Die Personalmanager erleben die IT-Experten im Vergleich zu den Arbeitnehmervertretungen nur wenig restriktiv. Dort, wo externe IT-Dienstleister für 1 Ein Teil der IT-Landschaft (in diesem Zusammenhang etwa Hardware wie Rechenzentrum, Datenspeicher) 6

9 Datenschutz im Personalmanagement 2012 Personalmanager im Rahmen der Cloud aktiv werden (z.b. spezialisierte Software für das Talent Management), existieren überwiegend Regelungen, die auch regelmäßig durch Datenschutzbeauftragte des beauftragenden Unternehmens, IT-Abteilungen oder die HR-Projektmanager überwacht werden. Konzern-Personalmanager stehen vor der Herausforderung, dass besondere Konzerninteressen als Legitimationsgrund herangezogen werden müssen, um Mitarbeiterdaten zu erheben und zu verarbeiten. Auffallend ist dementsprechend die hohe Regelungsdichte mit dem Sprecherausschuss der leitenden Angestellten sowie den Betriebs- und Personalräten. In diesem Zusammenhang scheint das Bundesdatenschutzgesetz (BDSG) gut zu wirken und rechtliche Grauzonen scheinen weitgehend die Ausnahme zu sein. Auch fällt auf, dass im Ranking alle Daten aus Beurteilungsverfahren sowie Daten aus dem Gesundheitsmanagement als vordringlich sensible Daten angesehen werden. Kommende Veränderungen im Rechtsrahmen werden erwartet. Kenntnisse dazu liegen im Personalmanagement aber nicht vor. In diesem Punkt sind es vor allem EU-weite Neuerungen, welche als große Unbekannte angesehen werden. Jeder fünfte Personalmanager erlebt den Datenschutz als Innovationshemmnis, ebenso viele Befragte geben an, dass dem Datenschutz ein zu großer Stellenwert beigemessen werde. Trotz dieser persönlichen Vorbehalte aber agieren die Personalmanager in ihrer professionellen Rolle sensibel, streben nach einvernehmlichen Regelungen mit den Interessengruppen im Unternehmen und leisten einen messbaren Beitrag zum sicheren Umgang mit den ihnen anvertrauten Daten. Und dies trotz fehlender Sachkenntnis, die aber im Zusammenwirken mit Datenschutzbeauftragtem, IT-Abteilung und auch Arbeitnehmervertretern mehr als wettgemacht wird. CONSULT 7

10 Fakten und Zahlen Bedeutung von Datenschutz im Personalmanagement Generell herrscht in den Unternehmen eine auffallend hohe Sensibilität für den Datenschutz. Allein die hohe Teilnehmerzahl zeigt die besondere Bedeutung, die dem Thema zugeschrieben wird. Als besonders sensibel schätzen die Studienteilnehmer die Gremien der Mitbestimmung ein. Diese gemessene Wahrnehmung durchzieht nahezu alle Studienergebnisse. In ihrer beruflichen Rolle als HR-Manager weisen die befragten Personaler dem Datenschutz eine größere Bedeutung zu, als sie es tun, wenn sie als Privatperson befragt werden. Auffällig ist die Einschätzung der Studienteilnehmer zur Bedeutung des Datenschutzes aus Sicht der jüngeren Mitarbeiter. Ihnen wird weniger Sensibilität als älteren Mitarbeitern zugeschrieben. Diese mit dem weitverbreiteten Bild der»digital natives«korrespondierende Einschätzung wurde im Rahmen dieser Studie nicht überprüft 2. Die Verteilung der einzelnen Messwerte gleicht der Normalverteilung, was nach unserer Auffassung auch als Ausdruck von Unsicherheit angesehen werden kann. Es konnten hier keine relevanten Branchenunterschiede, bspw. zwischen Öffentlichen und ITK/Neue Medien, nachgewiesen werden. Bedeutung von Datenschutz im Personalmanagement Sicht Gremien der Mitbestimmung (Betriebsrat, Personalrat, Sprecherausschuss) Sicht Personalmanager Sicht Vorstand/Geschäftsführung Sicht aktueller gesellschaftlicher Debatten Sicht Privatperson Sicht älterer Mitarbeiter Sicht jüngerer Mitarbeiter Eher hoch Eher mittel Eher gering Abbildung 3: Welche allgemeine Bedeutung hat der Datenschutz? Nehmen Sie bitte unterschiedliche Blickwinkel ein. 2 In der Befragung»Managing Trust-Verbraucher«des BITKOM e.v. (01/2012) haben zumindest junge Verbraucher dem Datenschutz eine signifikant höhere Bedeutung beigemessen. 8

11 Datenschutz im Personalmanagement 2012 Die Fragen zur Informiertheit beantworten die Personalmanager äußerst positiv. Den Datenschutzbeauftragten beschreiben knapp 90 % als sehr fachkompetent 3. Das widerlegt, zumindest für das Teilnehmerfeld, die Legende von bestellten Pseudo-Datenschutzbeauftragten. An der Studie haben das Thema legt dies nahe datenschutzaffine Personalmanager teilgenommen, was auch der Unterschied des hohen Grades der Selbsteinschätzung im Vergleich zu der geringeren Einschätzung des Informationsstandes der Kollegen im Personalmanagement belegt. Die insgesamt durchaus positive Einschätzung zum Wissensstand im Datenschutz wird durch die Ergebnisse einer späteren Befragung jedoch nicht bestätigt. Bei der Beurteilung der Sensibilität einiger personaltypischer Datenkategorien haben Teilnehmer nicht alle vom Gesetz als besonders sensibel definierte Daten erkannt 5. Die Anzahl dieser Teilnehmer spiegelt sich in der hier dargestellten Einschätzung nicht ausreichend wider. Auffallend ist, dass im produzierenden Sektor allgemein ein etwas geringerer Grad an Informiertheit beobachtbar ist, für die Einschätzung des eigenen Vorstands/ Geschäftsführers ist dieser Unterschied statistisch über signifikant abweichende Mittelwerte nachweisbar 4. Bedeutung von Datenschutz im Personalmanagement Für Ihre(n) Dateschutzbeauftragte(n) Persönlich Für Ihre(n) Vorstand/Geschäftsführung Für Ihre(n) Kollegen im Personalmanagement Eher stark Eher mittel Eher gering Abbildung 4: Wie beurteilen Sie den Grad der Informiertheit sowie den Erfahrungshintergrund im Datenschutzrecht? 3 Diese Darstellung weicht vom Ergebnis der Studie»Das Selbst- und Fremdbild von Datenschutzbeauftragten«im Auftrag der Carl von Ossietzky Universität Oldenburg in Kooperation mit dem Berufsverband der Datenschutzbeauftragten Deutschlands (BvD) e.v. (2011) ab. 4 T = -2,452* (Die Irrtumswahrscheinlichkeit liegt bei + < 0,1, * < 0,05 und bei ** < 0,01) 5 Siehe dazu Abbildung 20 CONSULT 9

12 Vereinbarungen zum Rechtsrahmen Meist sind Betriebsrat/Personalvertretung die Ansprechpartner für die Unternehmen, um zum Datenschutz in der Personalwirtschaft kollektivrechtliche Vereinbarungen zu treffen. Für die Umsetzung personalwirtschaftlicher Prozesse, die sich überwiegend an leitende Angestellte wenden (z.b. das Talent Management), werden eher einzelvertragliche Regelungen getroffen, als dass diese mit dem Sprecherausschuss der leitenden Angestellten vereinbart werden. Dieser Sachverhalt korreliert hoch mit der Größe der befragten Unternehmen. Gerade kleine und mittlere Unternehmen verfügen seltener über belastbare datenschutzkonforme Regelungen mit Gremien wie Mitarbeitervertretung 6 und Sprecherausschuss 7. Das liegt sicherlich zum Teil in deren zunehmender Verbreitung in größeren Organisationen begründet. Einen messbaren Zusammenhang gibt es ebenfalls zwischen dem Vorhandensein von Regelungen zum Datenschutz und dem Grad der Kooperation mit dem Datenschutzbeauftragten 8. Wir leiten daraus den Schluss ab, dass Personalmanager einen belastbaren Regelungsrahmen eher herbeiführen, wenn der Datenschutzbeauftragte die Vorteile deutlich machen konnte. Datenschutzvereinbarungen im Personalmanagement Mit dem Sprecherausschuss der leitenden Angestellten Mit einzelnen Arbeitnehmern (einzelvertragliche Regelungen) Mit dem Betriebsrat/der Personalvertretung Eher ja Eher nein weiß nicht Abbildung 5: Gibt es in Ihrem Unternehmen Vereinbarungen zum Datenschutz im Personalmanagement? Einen Handlungsbedarf im Datenschutz sehen die befragten Personalmanager eher nicht. Sowohl die bestehenden vertraglichen Regelungen als auch, mit einigen Abstrichen, die gelebte Praxis schätzen die Studienteilnehmer als konform mit gesetzlichen Anforderungen und vertraglichen Regelungen ein. Diese hohe Zustimmung korrespondiert mit der Unternehmensgröße: Je größer die befragten Unternehmen sind, desto rechtssicherer fühlen sich die Personaler 9. 6 Korrelation nach Pearson: 0,381** 7 0,256** 8 0,130** 9 0,181** 10

13 Datenschutz im Personalmanagement 2012 Handlungsbedarf im Datenschutz... unser bestehendes Regelwerk den Datenschutzanforderungen entspricht unsere tatsächlich gelebten Prozesse, Instrumente und deren technische Untersützung den Datenschutzanforderungen entsprechen Eher ja Eher neutral Eher nein Abbildung 6: Als Personalmanager würde ich sagen, dass Über die Einhaltung des Datenschutzes wachen unterschiedliche Akteure. Meist sind es die Datenschutzbeauftragten, häufig jedoch auch die Personalabteilung selbst, die regelkonformes Verhalten sicherstellen. In ca. 5 % der Fälle kontrolliert HR allein, in 36% übernimmt HR gemeinsam mit dem Datenschutzbeauftragten und ggf. mit weiteren Partnern die Überwachung. Für IT-Systeme kommen IT-Sicherheitsexperten, aber auch externe Gutachter (meist beim Audit von externen Rechenzentren) zum Zuge. Ergänzend wurde häufig das Qualitätsmanagement als Kontrollinstanz genannt. Beobachten konnten wir in unserer Studie einen auffälligen Zusammenhang zwischen der Kontrolle durch HR alleine und der Wahrnehmung von negativen Auswirkungen datenschutzrechtlicher Versäumnisse auf die Kooperation mit den Gremien 10. Bei der Kontrolle durch den Datenschutzbeauftragten besteht dagegen keine signifikante Korrelation. Das Einbeziehen des Datenschützers in relevante HR-Projekte und Vorhaben kann also die innerbetriebliche Kooperation fördern. Kontrolle der Datenschutzmaßnahmen Datenschutzbeauftragter 34 HR-Abteilung 21 IT-Abteilung 17 Revisionsabteilung 10 Externer Gutachter/Rezertifizierer 9 sonstiges 6 weiß nicht 3 Abbildung 7: Wer kontrolliert, ob die vereinbarten Maßnahmen zum Datenschutz auch durchgeführt werden? 10 0,135** CONSULT 11

14 Das Gesamtbild überwiegend rechtssicherer Datenschutzmaßnahmen zieht sich wie ein roter Faden durch die Studienergebnisse: Werden personenbezogene Daten im Personalmanagement verwendet, ist in den allermeisten Fällen sowohl mit den internen Gremien als auch mit externen Dienstleistern ein Regelwerk erstellt worden, dem eine hohe Rechtssicherheit unterstellt wird. Bedenklich bleibt, dass externe Dienstleister in nahezu jedem zehnten Unternehmen Mitarbeiterdaten erheben und verarbeiten, ohne dass Datenschutzmaßnahmen verbindlich geregelt sind. Handlungsbedarf im Datenschutz Interne Regelungen mit den Gremien Externe Regelungen mit Dienstleistern (Lohnabrechnung, IT-Dienstleister etc.) Eher ja Eher neutral Eher nein Abbildung 8: Für alle personalwirtschaftlichen Prozesse, in denen Personaldaten benutzt werden, existieren datenschutzkonforme Verträge. 12

15 Datenschutz im Personalmanagement 2012 Risikomanagement im Datenschutz Die befragten Personalmanager sind überaus risikobewusst. Versäumnisse im Datenschutz beeinflussen ihrer Ansicht nach die Arbeitgebermarke negativ. Diese kritische Sichtweise korreliert stark mit der Größe des Unternehmens: Je größer das Unternehmen, desto risikobewusster agieren Personaler gerade vor dem Bedrohungsszenario für die Arbeitgebermarke 11. Der Respekt vor den Aufsichtsbehörden ist augenscheinlich. Vor allem aber fällt auf, welche hohe negative Bedeutung Versäumnisse im Datenschutz für die Kooperation mit den Gremien der Mitbestimmung haben. Offenbar sind die Wahrnehmungen negativer Auswirkungen auf Projektlaufzeiten und -kosten weniger stark ausgeprägt. Allerdings bewerten Unternehmen, die bereits negative Erfahrungen mit Datenschutz-Thematiken in Human- Resources-Projekten erlebt haben, diesen Wert deutlich höher 12. Offenbar sind für deutsche Personaler Social Media und die Datenwolke die neuen großen Unbekannten im Datenschutz. Werden diese beiden IT-Trends als wirksam für Datenschutz-Thematiken erlebt, dann steigt gleichzeitig das Bedrohungsszenario im Datenschutz auffallend! 13 Nachvollziehbar ist daher, dass diejenigen Personalmanager, die im Rahmen der Bedrohungsszenarien verlängerten Projektlaufzeiten und -kosten eine hohe Bedeutung zumessen, eine höhere Bereitschaft zeigen, in Projektplanungen für den Datenschutz entsprechende Ressourcen einzuplanen 14. Risikomanagement im Datenschutz Für die Arbeitgebermarke Für die Kooperation mit den Gremien der Mitbestimmung Für die Kooperation mit Aufsichtsbehörden (z.b. Bußgelddrohung) Für die Kooperation mit dem Datenschutzbeauftragten Für Mitarbeitermotivation und Zufriedenheit Für die Kooperation mit der IT-Abteilung Für Projektlaufzeiten/-kosten Eher hohe negative Auswirkung Eher mittlere negative Auswirkung Eher gering negative Auswirkung Abbildung 9: Welche Auswirkungen haben Versäumnisse im Datenschutz für das Personalmanagement, wenn diese publik werden? 11 0,117** 12 Für Projektverzögerung: 0,105** und für Höhere Kosten: 0,129** 13 Wer Social Media als den Datenschutz stark beeinflussenden IT-Trend in der Personalwirtschaft ansieht, der nimmt eine durchweg höhere Bedrohung in allen Dimensionen der Auswirkungen von Versäumnissen im Datenschutz wahr (Arbeitgebermarke: 0,101*, Projektlaufzeiten/-kosten: 0,113**, Kooperation mit den Gremien: 0,088*, Kooperation mit dem Datenschutzbeauftragten: 0,126**, Kooperation mit der Aufsichtsbehörde: 0,131**, Kooperation mit IT: 0,138**). Ein ganz ähnliches Bild bietet sich bei der Nutzung von Cloud-Lösungen im Rahmen von Human-Resources-IT und der Wahrnehmung starker Bedrohungen (Arbeitgebermarke: 0,092*, Kooperation mit den Gremien: 0,140*, Kooperation mit dem Datenschutzbeauftragten: 0,120**, Kooperation mit der Aufsichtsbehörde: 0,104*). 14 0,110** CONSULT 13

16 Kooperationen im Datenschutz Personalmanager sind selten Datenschutzexperten. Umso dringlicher sind sie auf funktionierende Kooperationen mit Fachexperten innerhalb und außerhalb des Unternehmens angewiesen. Aus diesem Grunde wollten wir wissen, wie gut es um diese Kooperationen bestellt ist. Kooperation im Datenschutz Mitbestimmungsgremien Revision Externe Datenschutz-Berater (z.b. Kanzleien, sofern eingesetzt) Datenschutzbeauftragter IT-Abteilung Eher restriktiv Ausgewogen Eher pragmatisch und lösungsorientiert Abbildung 10: Wie beurteilen Sie im Rahmen personalwirtschaftlicher Projekte das Verhalten der Ansprechpartner für den Datenschutz? Es zeigt sich, dass die Mitbestimmungsgremien deutlich restriktiver und damit weniger pragmatisch und lösungsorientiert wahrgenommen werden als der Datenschutzbeauftragte. Dieses Wahrnehmungsmuster durchzieht die Studienergebnisse: Gremienvertreter sind in Datenschutzfragen die höhere Hürde für Personalmanager als die gesetzlich im Wesentlichen mit der Beratung der Geschäftsführung betrauten Datenschutzbeauftragten. Entgegen dem weit verbreiteten Vorurteil, dass IT-Abteilungen unter Hinweis auf Sicherheitsbedenken personalwirtschaftliche Anforderungen kritisch beäugen und meist nicht anforderungskonform umsetzen, werden IT-Manager in Datenschutzfragen überwiegend als pragmatisch und lösungsorientiert erlebt. Dieses Muster korrespondiert insofern mit der Unternehmensgröße, als dass die Kontrollfunktionen in großen Unternehmen deutlich restriktiver erlebt werden als in kleineren und mittleren Organisationen. Gründe hierfür liegen im Grad der Professionalisierung auf Seiten der Kontrolleure. Signifikante Branchenunterschiede für die Kooperation im Datenschutz konnten nicht nachgewiesen werden. Der insgesamt harmonische Eindruck von den Kooperationen im Datenschutz wird durch die Antworten zu einer weiteren Frage bestätigt: Zwei von drei Unternehmen haben in personalwirtschaftlichen Projekten noch niemals Interessenkonflikte mit den Anspruchsgruppen im Datenschutz erlebt. Je größer jedoch das Unternehmen ist, desto häufiger werden Konflikte wahrgenommen. Wer von Disharmonien im Datenschutz berichten kann, der bestätigt auch auffallend oft Störungen in HR-Projekten (Dauer und Kosten). 14

17 Datenschutz im Personalmanagement 2012 Kooperation im Datenschutz 8 32 Noch nie Vereinzelt 60 Regelmäßig Sieht man sich an, welche Akteure im Falle von Konflikten als besonders datenschutzsensibel erlebt werden, dann nennen 20% den Datenschutzbeauftragten und 17% die Mitbestimmungsgremien. Aber auch die eigene Fachabteilung überzeugt die Personaler durch einen vergleichbar sensiblen Umgang mit den Mitarbeiterdaten. Ein stark messbarer Zusammenhang besteht zwischen den negativen Projekterfahrungen (hier: Projektstopp) und der Nennung der Mitbestimmungsgremien im Rahmen der Konfliktpartner. Wer die Gremienvertreter als konfliktreich erlebt, berichtet signifikant oft von Projektstopps. Dieser Zusammenhang ist bei anderen potenziell besonders sensiblen Funktionen im Datenschutz nicht messbar. Abbildung 11: Hat es in Ihrem Unternehmen in der Vergangenheit Interessenkonflikte beim Datenschutz im Personalmanagement gegeben? Kooperation im Datenschutz Datenschutzbeauftragter 20 Mitbestimmungsgremien 17 Personalmanagement 14 IT-Abteilung 10 Interne und externe Bewerber 9 Top-Management 7 Revision 7 weiß nicht 5 Tarifmitarbeiter 4 Externe Gutachter/Rezertifizierer 4 Außertarifliche Mitarbeiter 3 Abbildung 12: Sofern es Interessenkonflikte gegeben hat: Welche Rolle haben Sie als besonders datenschutzsensibel erlebt? CONSULT 15

18 Von besonderem Interesse war für uns die Frage, ob es zu Begutachtungen vorhandener personalwirtschaftlicher Instrumente kommt und wer diese Prüfungen vornimmt. Immerhin sechzig von einhundert Unternehmen führen diese Begutachtungen durch. Meist ist es der Datenschutzbeauftragte, der das Verfahren an sich zieht. Diese Form offenbar eingespielter Kooperation zwischen Personalmanagement und Datenschutzbeauftragtem ist stärker in großen Unternehmen feststellbar. Ein weiterer deutlich messbarer Zusammenhang konnte festgestellt werden zwischen der Hinzuziehung des Datenschutzbeauftragten und dem Gefühl rechtssicheren Agierens im Rahmen personalwirtschaftlicher Prozesse und Instrumente. Immer dann, wenn der Datenschutzbeauftragte involviert ist, bekunden die Personalmanager spürbar häufiger, dass das vorhandene Regelwerk den Vorschriften entspricht. Auf eine kurze Formel gebracht, können wir sagen, dass der Datenschutzbeauftragte sofern er hinzugezogen wird dem Personaler ein Gefühl der Sicherheit verschafft. Kooperation im Datenschutz Ja Nein Weiß nicht Durch Datenschutzbeauftragten Durch Externe Durch beide Abbildung 13: Wurden in Ihrem Unternehmen die personalwirtschaftlichen Instrumente bereits auf deren Datenschutz-Konformität hin begutachtet? Falls ja: Durch wen? 16

19 Datenschutz im Personalmanagement 2012 Beeinflussende gesellschaftliche Entwicklungen Die Unternehmen bewegen sich in Fragen des Mitarbeiter-Datenschutzes in einem gesellschaftlichen Rahmen. Entsprechend wollten wir wissen, welche gesellschaftlichen Entwicklungen erwartet werden und welche Folgen diese für den Datenschutz im Personalmanagement haben. Es zeigt sich, dass der Komplexitätszuwachs bei IT-Systemen sowie das Thema»Cloud Computing«die Anforderungen an das Personalmanagement genauso erhöhen wie der sich ändernde rechtliche Anforderungsrahmen (nationales und EU-Recht). Die Öffnung des Arbeitsplatzes gegenüber der häuslichen Umgebung stellt ebenfalls hohe Anforderungen. Beeinflussende gesellschaftliche Entwicklungen Zunehmende Komplexität in IT-Systemen (Vernetzung, Cloud Computing etc.) Zunehmende rechtliche Komplexität im nationalen und internationalen Datenschutzrecht Veränderungen in der Arbeitswelt (z.b. Home Offices, Nutzung privater Hardware, Nutzung privater Netzwerke für den Job) Veränderung in der Haltung der Politik gegenüber dem Datenschutz Veränderung in der Haltung der Bevölkerung gegenüber dem Datenschutz Veränderung in der Haltung der Medien gegenüber dem Datenschutz Zunehmende Anforderungen Mittlere Anforderungen Abnehmende Anforderungen Abbildung 14: Welche gesellschaftlichen Entwicklungen erwarten Sie und welche Anforderungen ergeben sich daraus für den Datenschutz? CONSULT 17

20 Beeinflussende IT-Trends Personalmanager haben im Laufe der letzten Jahre zunehmend auf Software und IT-Dienstleistungen zurückgegriffen, mit deren Unterstützung unterschiedliche Personalprozesse effizienter geworden sind. Vor diesem Hintergrund interessierte uns die Frage, welche Auswirkung Veränderungen dieser IT-Landschaft auf den Datenschutz haben. Die im Fragebogen angebotenen Optionen zeigen bei insgesamt sehr hoher Bedeutungszuweisung nur geringe Schwankungen. Unübersehbar ist eine starke Verunsicherung in Bezug auf den Datenschutz bei der Nutzung webgestützter Software und Dienstleistungen. Offenbar können die vorhandenen Regelungen bei den Personalmanagern eine Grundverunsicherung nicht auflösen. Weiterhin steigende Bemühungen der beteiligten Dienstleister um das Vertrauen der Personalmanager durch Unterstützung bei der Erstellung von Regelwerken und vor allem durch überprüfbare Gestaltung der Regelwerke scheinen angebracht. Gesellschaftliche Debatten rund um die Nutzung sozialer Netzwerke werden das Grundvertrauen auf Seiten der Personalmanager derzeit eher nicht unterstützen. Beeinflussende IT-Trends Nutzung eines Online- Bewerbermanagement-Tools Einführung der elektronischen Personalakte Präsenz als Arbeitgeber in Social-Media- Plattformen (z.b. Facebook) Verlagerung v. personalwirtschaftlichen Daten in die Cloud v. externen IT-Dienstleistern (außerhalb d. eigenen Unternehmens) Bereitstellung von Self-Service-Funktionen für Mitarbeiter und deren Manager Einsatz von Online Assessments im Bewerbungsverfahren Aufbau eines unternehmensweiten Talent Managements unter Nutzung von Spezial-Softwarelösungen Eher ja Mittlere Zustimmung Eher nein Abbildung 15: Welche Trends sehen Sie im personalwirtschaftlichen IT-Umfeld, die sich auf den Datenschutz im Personalmanagement auswirken? 18

21 Datenschutz im Personalmanagement 2012 Datenschutz und Projektmanagement Datenschutz und Projektmanagement Vielfach bemängeln Datenschützer, Personalmanager würden zu leichtfertig mit Mitarbeiterdaten verfahren. Diese kritische Sicht bestätigt sich in der vorliegenden Studie nicht. Auffällig ist, dass 86 % dem Datenschutz in HR-Projekten eine mittlere bis hohe Bedeutung beimessen, aber nur etwas mehr als die Hälfte der Befragten entsprechende Projektressourcen für den Datenschutz einplanen Datenschutz und Projektmanagement Ja Nein 14 Abbildung 17: Planen Sie in Ihren Projekten entsprechende Ressourcen für die Belange des Datenschutzes ein? 25 Fester Bestandteil des Projektdesigns Mittlere Bedeutung Nicht nennenswert Abbildung 16: Welche Rolle spielt der Datenschutz im Rahmen Ihrer HR-Projektarbeit? Größere Unternehmen reservieren dem Datenschutz eher Projekt-Ressourcen als kleinere Unternehmen. Dieser Zusammenhang korrespondiert mit einer offenbar konsequenteren Wahrnehmung von Kontrollfunktionen durch Datenschutzbeauftragte und Betriebsräte/Personalräte. Wer zudem über Projektstörungen aufgrund von Konflikten im Datenschutz berichtet, der zeigt eine größere Bereitschaft, entsprechende Ressourcen in seinen Projekten vorzusehen. 61 Viele HR-Projektmanager (überwiegend in mittleren und größeren Unternehmen) berichten von Mehraufwänden aufgrund komplexer Datenschutzfragen. Das Risiko von kompletten Projektstopps scheint jedoch gering zu sein. Aber Einschnitte in geplante Projektverläufe die hohe Anforderungen an HR-Projektmanager stellen sind nicht selten. Verzögerungen treten auffallend oft auf. Steigende Kosten werden genauso häufig erlebt wie notwendige Änderungen an den Projektzielen. Projekte ohne Datenschutzaspekte sind die Ausnahme, so dass festzuhalten bleibt: HR-Projektmanager sind gut beraten (und die meisten tun es auch), dem Datenschutz bereits in einer frühen Projektphase die notwendige Aufmerksamkeit zu widmen und entsprechende Ressourcen einzuplanen. Aus dem beobachtbaren Zusammenhang zwischen Störungen im Projektverlauf und der Qualität der Kooperation mit den Gremien der Mitbestimmung leiten wir die Empfehlung ab, personalwirtschaftliche Projekte in einer möglichst frühen Phase durch die zuständigen Abteilungen im Unternehmen auf ihre Datenschutz-Relevanz prüfen zu lassen und geeignete Schritte einzuleiten. Das Agieren in Grauzonen ist nach der Auswertung der Angaben der Studienteilnehmer keine empfehlenswerte Alternative. CONSULT 19

22 Wenn Konflikte in Datenschutzfragen schon einmal zu Projektmehrkosten geführt haben, sagen Personalmanager deutlich häufiger, dass die eigene Qualifizierung und die der HR-Kollegen notwendig ist 15. Datenschutz und Projektmanagement Es gab derartige Projekte, aber keine besonderen Herausforderungen 28 Projektverzögerungen 27 Veränderungen im Projektergebnis 15 Höhere Projektkosten 14 Es gab keine Projekte mit Datenschutzthematiken 13 Projektstopp 3 Abbildung 18: Gab es bereits Projekte im Personalmanagement, bei denen Datenschutz-Themen eine besondere Herausforderung darstellten? Wenn ja, welche Auswirkungen für die Projektarbeit haben sich ergeben? Sind externe Dienstleister in HR-Projekte involviert, teilen sich der Datenschutzbeauftragte sowie die IT-Abteilung die Prüfung des Datenschutzes durch diese Partner. Kaum ein Personalmanager verlässt sich auf Zertifikate des Dienstleisters. Den Vorgaben des Bundesdatenschutzgesetzes entsprechend werden eigene Prüfungen vorgenommen, ggf. auch zusätzlich zu vorhandenen Zertifikaten. Aber immerhin 6% aller Personaler vertrauen auf ihre Dienstleister, und 7% fühlen sich entgegen der gesetzlichen Vorgabe aufgrund von Haftungsregeln mit ihren Dienstleistern sicher genug. 15 0,132** 20

23 Datenschutz im Personalmanagement 2012 Datenschutz und Projektmanagement Datenschutzbeauftragter 31 IT-Abteilung 29 HR-Projektmanagement 14 Das entfällt, da wir auf Haftungsregeln mit dem IT-Dienstleister bestehen 6 Interne Revision 6 Wir verlassen uns auf vorhandene uns vorliegende Zertifikate Dritter (z.b. TÜV) 6 Einkauf 3 Anwaltskanzleien 2 Abbildung 19: Wer prüft im Rahmen von personalwirtschaftlichen Projekten in Ihrem Unternehmen die Sicherheit externer IT-Dienstleister? CONSULT 21

24 Detailbetrachtung ausgewählter personalwirtschaftlicher Daten Sieht man sich ausgewählte personalwirtschaftliche Daten an, fällt insgesamt ein recht homogenes Antwortverhalten auf. Die allermeisten Daten werden als sensibel betrachtet. Eine deutlich erkennbare Differenzierung haben die Studienteilnehmer eher zwischen Gruppen von Datenkategorien vorgenommen, die in folgendem Ranking abgebildet wird: 1 Gesundheitsdaten 2 Gehaltsdaten 2 Weitere Daten der Personalakte (Amtliches Führungszeugnis, Ermahnungen/Abmahnungen, Zeugnisse, Pfändungs- und Überweisungsbeschlüsse etc.) 2 Daten aus Kontrollmaßnahmen am Arbeitsplatz (z.b. Video-Überwachung) 3 Beurteilungsdaten (Leistung, Potenzial, Kompetenzen u.a.) von aktuellen und ehemaligen Mitarbeitern 3 Mitarbeiter-Stammdaten (z.b. Adresse, Konto, Familienstand, Alter, Geschlecht) 3 Daten zur Mitgliedschaft in einer Glaubensgemeinschaft 4 Bewerberdaten aus den Bewerbungsunterlagen 4 Daten aus Assessment-Centern von Bewerbern 4 Arbeitsvertrag mit Stellenbeschreibung 5 Daten, die im Rahmen konzernweiter HR-Prozesse von lokalen HR-Einheiten an Corporate HR abgegeben werden (z.b. globales Talent Management) 5 Daten aus Arbeitszeitkonten 5 Bewerberdaten aus eigenen zusätzlichen Recherchequellen (z.b. Facebook des Bewerbers) 6 Weiterbildungsnachweise Abbildung 20: Rangliste ausgewählter personalwirtschaftlicher Daten und ihrer Datenschutzanforderungen. 22

25 Datenschutz im Personalmanagement 2012 Sehr deutlich als sensibelste Datenkategorie wurden die Gesundheitsdaten angegeben. Erst mit Abstand folgt eine Gruppe aus Gehaltsdaten, sensiblen Daten der Personalakte und Daten aus Überwachungseinrichtungen. Ganz unten in der Rangliste erscheinen mit uneinheitlicher Bewertung und im Ergebnis deutlich geringerer Sensibilität Informationen aus eigenen Recherchequellen (z.b. aus dem Facebook-Konto eines Mitarbeiters/Bewerbers) sowie Daten zur Bildungshistorie. wodurch die bereits als wesentliche Treiber des Datenschutzes identifizierten Mitbestimmungsgremien an der Prozessgestaltung zu beteiligen sind. Diese Teilnehmergruppe erkannte ebenfalls eine weitere Datenschutzherausforderung: die konzernweite Verarbeitung von Personaldaten. Aufgrund des fehlenden Konzernprivilegs im Datenschutzrecht erfordert die gesellschaftsübergreifende Verarbeitung besondere Sicherheits- und Prüfprozesse. Die dargestellte Sicht der Personalmanager ist bemerkenswert, weil sie von Datenschützern in einigen Punkten nicht geteilt wird. Aus Datenschutzsicht bilden die Gesundheitsdaten mit den Informationen zu Mitgliedschaften in Glaubensgemeinschaften eine besonders sensible Gruppe von Daten. Im Gegenzug ergibt sich für Gehaltsdaten keine besondere Sensibilität aus Datenschutzsicht. Deren vertrauliche Behandlung liegt eher im Interesse der Arbeitgeber. Allerdings ist diese Einschätzung der Personalmanager unbestritten gesellschaftlich verbreitet und möglicherweise der Katalysator für die besondere Datenschutzsensibilität im Berufsbild der Personalmanager. In der Gruppe der als weniger sensibel eingeschätzten Datenkategorien dürften Informationen aus eigenen Recherchequellen wie Facebook zu Gesprächsbedarf mit dem Datenschutzbeauftragten führen. Allerdings könnte die Verteilung der Messergebnisse auch als unvollständige oder unklare Datenschutzbeurteilung interpretiert werden. Diese Interpretation würde sich mit den Einschätzungen zu den Bedrohungsszenarien decken. Personalmanager großer Unternehmen, die ein Datenschutz-Audit durchlaufen haben, zeigen ein etwas anderes Antwortverhalten. Einschätzungen zu Daten wie Assessment-Beurteilungen oder Potenzialaussagen und zu Daten aus konzernweiten Personalprozessen entsprechen deutlich genauer der Datenschutzbeurteilung als im Durchschnitt des gesamten Panels. Informationen zur Leistungs- und Verhaltenskontrolle bedürfen aus Datenschutzsicht einer besonderen Behandlung, die entsprechenden Prozesse sind einem Audit zu unterziehen. Diese Prozesse sind aber auch mitbestimmungspflichtig, CONSULT 23

26 Impulsabfrage Die in dieser Studie befragten Personalmanager zeigen ein überwiegend hohes Maß an Datenschutzakzeptanz. Ob diese Haltung einer professionellen Risiko-Minimierung geschuldet ist oder aber aus tiefer innerer Überzeugung von der Notwendigkeit des Mitarbeiterdatenschutzes resultiert, zeigt sich anhand der Beantwortung unserer Impulsabfrage. Der Datenschutz wird von jedem fünften HR-Manager als Innovationshemmnis wahrgenommen. Es ist jedoch nachweisbar, dass diese Ansicht eher in Organisationen verbreitet ist, die über keine mit den Gremien der Mitbestimmung abgestimmten Regelungen verfügen. Ebenfalls knapp 20% der Teilnehmer betrachten das Thema Datenschutz innerhalb von Human Resources als überbewertet. Gleichzeitig aber sehen viele Personalmanager den deutschen Datenschutz in einer Vorbildrolle, aus der sogar ein Wettbewerbsvorteil resultiert. Hauptsächlicher Treiber für eigene Datenschutz-Anstrengungen ist demnach weniger die eigene Überzeugung als vielmehr die Haltung von professionellen (HR-)Managern, die aus Gründen der Risiko-Minimierung und vor allem der Vermeidung von Konflikten mit den Gremien der Mitbestimmung dem Datenschutz eine hohe Bedeutung zuschreiben. Entsprechend hoch ausgeprägt ist die Zustimmung zu der Aussage, dass Personalmanager ihre eigene Expertise stärken sollen, um von internen und externen Rechtsberatern unabhängiger zu werden (über 50%). Dieser Aussage pflichten dabei vorwiegend Personalmanager bei, deren Bedrohungsszenarien vor allem um Risiken für die Arbeitgeberattraktivität kreisen und somit durch eine kritische Außenwahrnehmung gesteuert werden 16. Impulsabfrage zu Statements des Panels Die Qualität des Datenschutzes ist ein verlässlicher Indikator für eine vertrauensvolle Zusammenarbeit mit Mitarbeitern und den Gremien Personalmanager sollten ihre Kenntnisse im Datenschutz erweitern und sich weniger auf die Expertise von Rechtsberatern und Datenschutzbeauftragten verlassen Der deutsche Datenschutz ist international vorbildlich und kann ein Wettbewerbsvorteil sein Der Datenschutz in Deutschland ist ein Innovationshemmnis Dem Thema Datenschutz wird im Personalmanagement ein zu großer Stellenwert beigemessen Hohe Zustimmung Neutral Keine Zustimmung Abbildung 21: Ein uneinheitliches Bild zeigt sich bei der Impulsabfrage zu Statements des Panels. 16 0,093* 24

27 Datenschutz im Personalmanagement 2012 Auffällig waren dabei die folgenden Branchenunterschiede: Öffentliche Organisationen sind signifikant häufiger der Meinung, dass sie ihre Datenschutzkenntnisse erweitern müssen, als die Befragten aus dem produzierenden Sektor 17. Interessant ist weiterhin, dass öffentliche Organisationen weitaus häufiger Datenschutz als Innovationshemmnis in Deutschland einschätzen als die ITK-Branche, die ja viel direkter betroffen sein sollte 18. Doch die ITK-Branche selber empfindet die deutschen Datenschutzbestimmungen viel eher auch als international vorbildlich und somit als Chance, potenzielle Wettbewerbsvorteile zu generieren. 17 T = -1, T = -2,069* CONSULT 25

28 CONSULT Bitkom Servicegesellschaft mbh Albrechtstraße 10 A Berlin-Mitte Tel.: 03o Fax: info@bitkom-service.de