Rahmendienstvereinbarung

Transkript

1 Rahmendienstvereinbarung Datenschutz bei Personaldaten zwischen der Universität Hamburg (Dienststelle) und den Personalräten der Universität Hamburg ohne UKE dem Wissenschaftlichen Personalrat (WIPR) und dem Technischen und Verwaltungspersonalrat (TVPR) 1

2 1. Ziele und Grundsätze (1) Diese Vereinbarung soll der Universität die Verarbeitung personenbezogener Daten ihrer Beschäftigten in dem Maße ermöglichen, wie es für die Erfüllung ihrer Aufgaben erforderlich ist, und gleichzeitig den Beschäftigten einen weitest möglichen Schutz ihrer berechtigten persönlichen Belange und ihrer Persönlichkeitsrechte gewähren. (2) Die Universität und ihre Personalräte werden die notwendige Abwägung zwischen diesen beiden Zielen in dem Bewusstsein vornehmen, dass jede Erhebung und Verarbeitung von personenbezogenen Daten eine Einschränkung des Rechts der Betroffenen auf informationelle Selbstbestimmung bedeuten kann. Dabei werden sie sich an den in 3 (4) des Hamburgischen Datenschutzgesetzes (HmbDSG) festgelegten Grundsätzen orientieren, so wenig wie möglich personenbezogene Daten zu erheben und diese soweit als möglich anonym oder pseudonym zu verarbeiten. 2. Geltungsbereich Diese Vereinbarung gilt für die Erhebung und Verarbeitung personenbezogener Daten aller an der Universität Beschäftigten mit Ausnahme derjenigen des UKE (im Folgenden Beschäftigte). 3. Begriffsbestimmungen Begriffe, die im Hamburgischen Datenschutzgesetz insbesondere in 4 definiert sind, werden in dieser Vereinbarung mit der dort festgelegten Bedeutung benutzt. 4. Verarbeitung personenbezogener Daten (1) Personenbezogene Daten von Beschäftigten der Universität werden grundsätzlich innerhalb der Universität und von Beschäftigten der Universität erhoben und verarbeitet. (2) Die Universität erörtert jedes Vorhaben zur Datenverarbeitung im Auftrag, von dem personenbezogene Daten Beschäftigter betroffen sein können, rechtzeitig vor Abschluss des entsprechenden Vertrages mit dem zuständigen Personalrat und gewährt ihm Einsicht in den Vertragsentwurf. In den Verträgen mit den beauftragten Stellen sichert die Universität die Rechte der Personalräte ab, die sich aus dieser Dienstvereinbarung insbesondere aus Punkt 11 ergeben. (3) Die Universität trägt dafür Sorge, dass personenbezogene Daten von Beschäftigten nur von Mitarbeiterinnen und Mitarbeitern erhoben und verarbeitet werden, die eine Unterweisung über die Grundsätze des Datenschutzes nach Punkt 6 (1) dieser Vereinbarung erhalten haben, auf das Datengeheimnis nach 7 HmbDSG verpflichtet worden sind und dieses schriftlich bestätigt haben. 2

3 (3) Studentische Hilfskräfte werden nicht routinemäßig zur Erhebung und Verarbeitung personenbezogener Daten von Beschäftigten eingesetzt. Aushilfsweise können sie für die Abarbeitung eines besonderen Arbeitsanfalls bei derartigen Tätigkeiten insbesondere zur Dateneingabe eingesetzt werden, wenn sie: unter der Verantwortung einer Mitarbeiterin oder eines Mitarbeiters arbeiten, die oder der gemäß Absatz (3) unterwiesen und verpflichtet worden ist, sowie auf das Datengeheimnis nach 7 HmbDSG verpflichtet worden sind und dies schriftlich bestätigt haben. 5. Personaldatenverarbeitung (1) Die Verarbeitung von Personaldaten erfolgt grundsätzlich mit dem dafür vorgesehenen geschlossenen System derzeit PAISY auf der Grundlage der hierzu abgeschlossenen Vereinbarung gemäß 94 HmbPersVG zur Weiterentwicklung des Personalwesens durch Reorganisation und Technikunterstützung in der Freien und Hansestadt Hamburg und unter Beachtung des dort festgelegten Datenschutzkonzepts und Positivkatalogs in der jeweils geltenden Fassung. (2) Für Verfahren, Auswertungen und Schnittstellen, die auf die Daten von PAISY zugreifen und nicht Gegenstand des Positivkatalogs nach 15 der in Absatz (1) erwähnten Vereinbarung gemäß 94 HmbPersVG sind, führt die Universität die datenschutzrechtlich erforderlichen Verfahren durch. Hierüber informiert sie die Personalräte unter Übermittlung der entsprechenden Verfahrensbeschreibung gemäß 9 HmbDSG. Außerdem ermöglicht sie ihnen die Einsichtnahme in die Dokumentation über die Untersuchung gemäß 8 (4) HmbDSG. (3) Für Verfahren und Auswertungen nach Absatz (2), die nicht ausschließlich der Gewinnung anonymer statistischer Daten dienen, schließt die Universität mit dem zuständigen Personalrat eine Dienstvereinbarung nach Punkt 13 dieser Vereinbarung ab. 6. Unterweisungen und Schulungen zum Datenschutz (1) Die Universität trägt dafür Sorge, dass Mitarbeiterinnen und Mitarbeiter, die mit der Erhebung und Verarbeitung personenbezogener Daten von Beschäftigten betraut werden, eine Unterweisung über die Grundsätze des Datenschutzes erhalten. Diese umfasst mindestens: Grundsätze und Regeln des Datenschutzes nach dem HmbDSG sowie Dienstvereinbarungen der Universität und Vereinbarungen gemäß 94 HmbPersVG zum Datenschutz. (2) Mitarbeiterinnen und Mitarbeiter, die mit der Administration von Datenverarbeitungssystemen und den zugehörigen Datennetzen betraut sind, erhalten eine zusätzliche Unterweisung zu den speziellen Datenschutzproblemen ihres Aufgabenbereichs. 3

4 (3) Für die Mitarbeiterinnen und Mitarbeiter, die eine Unterweisung nach den vorstehenden Absätzen erhalten haben, wird regelmäßig eine Informationsveranstaltung zum Datenschutz angeboten, die der Auffrischung der erworbenen Kenntnisse und der Information über neue Entwicklungen im Datenschutz dient. (4) Die Universität führt ein zentrales Verzeichnis der Mitarbeiterinnen und Mitarbeiter, die an einer Unterweisung teilgenommen haben. Dieses Verzeichnis wird jährlich aktualisiert. Eine Kopie wird einem Personalrat auf Verlangen zur Verfügung gestellt. (5) Für alle Dekaninnen und Dekane, alle Verwaltungsleiterinnen und Verwaltungsleiter sowie alle Planerinnen und Planer der Fachbereiche und für alle Leitungen der senatsunmittelbaren Einrichtungen führt die Universität regelmäßig Schulungsveranstaltungen zum Datenschutz durch. (6) Die Universität beteiligt die Personalräte an der Festlegung der Inhalte von Unterweisungen und Schulungen zum Datenschutz und ermöglicht die Teilnahme von Personalratsmitgliedern. (7) Unmittelbar nach Unterzeichnung dieser Vereinbarung beginnen die Universität und die Personalräte mit der gemeinsamen Erarbeitung eines Konzepts für die hier vorgesehenen Unterweisungen und Schulungen. 7. Verfahrensbeschreibung (1) Die Verfahrensbeschreibungen gemäß 9 HmbDSG sowie die Dokumentation über die Untersuchungen gemäß 8 HmbDSG werden von der Universität zentral geführt. (2) Vor der Einführung eines neuen oder der wesentlichen Änderung eines bestehenden Verfahrens, von dem Beschäftigte betroffen sind, übermittelt die Universität dem zuständigen Personalrat rechtzeitig die zugehörige Verfahrensbeschreibung gemäß 9 HmbDSG, ermöglicht ihm die Einsichtnahme in die Dokumentation über die Untersuchungen gemäß 8 (4) HmbDSG und gibt ihm Gelegenheit, das Verfahren mit der Universität zu erörtern. Die Universität leitet die Unterlagen zu einem Verfahren erst an die Datenschutzbeauftragte oder den Datenschutzbeauftragten weiter, wenn diese Erörterung stattgefunden oder der zuständige Personalrat darauf verzichtet hat. (3) Die Verfahrensbeschreibungen zu Verfahren, die bei Unterzeichnung dieser Vereinbarung bereits bestehen, übermittelt die Universität den Personalräten unmittelbar nach der Unterzeichnung, spätestens aber bei der Weiterleitung an die Datenschutzbeauftragte oder den Datenschutzbeauftragten. 8. Datenschutzbeauftragte / Datenschutzbeauftragter (1) Bei Bestellung einer Datenschutzbeauftragten oder eines Datenschutzbeauftragten gemäß 10 a HmbDSG beteiligt die Universität die Personalräte rechtzeitig. Sie bestellt keine Person, gegen deren Fachkunde oder Zuverlässigkeit ein Personalrat schwerwiegende Bedenken erhebt. 4

5 (2) Auf Verlangen eines Personalrats erörtert die Universität mit den Personalräten die Arbeitsbedingungen der oder des Datenschutzbeauftragten, insbesondere die Freistellung von anderen Aufgaben und die Unterstützung durch die Universität. (3) Beabsichtigt die Universität den Widerruf der Bestellung einer Datenschutzbeauftragten oder eines Datenschutzbeauftragten, erörtert sie dieses rechtzeitig mit den Personalräten. (4) Bringt einer der Personalräte gegenüber der Universität Gründe vor, die für die Widerrufung der Bestellung einer Datenschutzbeauftragten oder eines Datenschutzbeauftragten sprechen könnten, erörtert die Universität diese umgehend mit beiden Personalräten. 9. Erörterungen mit dem Amt der oder des Datenschutzbeauftragten Die Universität informiert die Personalräte rechtzeitig, wenn sie Erörterungen mit dem Amt der oder des Datenschutzbeauftragten plant, bei denen weitreichende Probleme der Verarbeitung personenbezogener Daten von Beschäftigten angesprochen werden sollen, und ermöglicht Vertreterinnen oder Vertretern der Personalräte die Teilnahme an den Gesprächen. 10. Verdachtsfälle (1) Die Universität überprüft alle ihr bekannt werdenden Hinweisen auf einen möglichen Verstoß gegen die Bestimmungen des Datenschutzes (Verdachtsfälle). Sie informiert die Personalräte über alle Fälle begründeten Verdachts, bei denen personenbezogene Daten von Beschäftigten betroffen sein könnten, und erörtern mit ihnen die getroffenen und beabsichtigten Maßnahmen; 28 (3) HmbDSG findet Anwendung. (2) Alle Beschäftigten haben das Recht, die Universität oder die Personalräte über Verdachtsfälle zu informieren. (3) Die Personalräte informieren die Universität über Verdachtsfälle, die ihnen bekannt geworden sind. 11. Kontrollrecht der Personalräte (1) Jeder der beiden Personalräte hat das Recht, jederzeit die Einhaltung dieser Dienstvereinbarung zu überprüfen. (2) Auf Verlangen eines Personalrats ermöglicht ihm die Universität die Einsichtnahme in sämtliche Verfahrens- und Systemunterlagen einschließlich der vergebenen Berechtigungen und der Zugriffsprotokolle (Monitoring) der von ihr betriebenen Datenverarbeitungssysteme, mit denen personenbezogene Daten von Beschäftigten verarbeitet werden. Die Einsichtnahme erfolgt durch beauftragte Mitglieder des jeweiligen Personalrats in Anwesenheit einer verantwortlichen Fachkraft der Universität, die zu Auskünften berechtigt und verpflichtet ist. (3) Zur Wahrnehmung seiner Kontrollrechte kann ein Personalrat nach Abstimmung mit der Universität über die Kosten externe sachverständige Beratung in Anspruch nehmen. 5

6 12. Verhaltens- und Leistungskontrolle (1) Eine Erhebung und Verarbeitung von personenbezogenen Daten von Beschäftigten zur Verhaltens- und Leistungskontrolle erfolgt nur auf Grund eines erfolgreich abgeschlossenen Mitbestimmungsverfahrens nach dem HmbPersVG mit dem zuständigen Personalrat. Das gleiche gilt für die Verwendung von zu anderen Zwecken erhobenen Daten zur Verhaltens- und Leistungskontrolle. (2) Die zur Datensicherung erfassten Daten über Zugang, Benutzung und Eingabe dienen nicht zur Leistungskontrolle der Beschäftigten. Zur Verhaltenskontrolle werden sie nur im Zusammenhang mit der Überprüfung der System- und Verfahrenssicherheit herangezogen, oder wenn Tatsachen den Verdacht eines Dienstvergehens oder einer Verletzung arbeitsvertraglicher Pflichten begründen. (3) Im Rahmen der vertrauensvollen Zusammenarbeit informiert die Universität den jeweils zuständigen Personalrat unbeschadet 18 (5) HmbDSG über Art und Umfang der Übermittlungen personenbezogener Daten von Beschäftigten an Strafverfolgungsoder andere Behörden. 13. Dienstvereinbarungen (1) Für die Erhebung und Verarbeitung personenbezogener Daten von Beschäftigten schließt die Universität in allen Fällen, in denen dieses nicht bereits aufgrund einer Rechtsvorschrift, eines Tarifvertrags oder einer Vereinbarung gemäß 94 HmbPersVG zulässig ist, eine Dienstvereinbarung mit dem jeweils zuständigen Personalrat ab, die folgende Punkte enthält: Sämtliche nach 9 (Verfahrensbeschreibung) HmbDSG erforderlichen Angaben, Eine Aufstellung der Personen, die Zugriff auf die Daten haben, mit den jeweiligen Zugriffsrechten, Eine abschließende Zusammenstellung (Positivliste) aller vorgesehenen Auswertungen der Daten, mit Angaben über eine vorgesehene Anonymisierung von Daten nach der Auswertung. (2) Soll von den in einer Dienstvereinbarung beschriebenen Daten und Verfahren abgewichen werden, bedarf es einer ergänzenden Vereinbarung. (3) Bezüglich der Verarbeitung personenbezogener Daten von Beschäftigten des Technischen und Verwaltungspersonals ist der TVPR zuständig, bezüglich der Verarbeitung personenbezogener Daten von Beschäftigten des Wissenschaftlichen Personals der WIPR. Sind beide Personalräte zuständig, soll mit ihnen eine gemeinsame Dienstvereinbarung geschlossen werden. 14. Gesonderte Dienstvereinbarungen (1) Für größere Datenverarbeitungsvorhaben, in deren Rahmen auch personenbezogene Daten von Beschäftigten erhoben und verarbeitet werden sollen, werden gesonderte Dienstvereinbarungen geschlossen. Dieses gilt insbesondere, wenn für das jeweilige 6

7 Vorhaben eine längere Einführungsphase zur Entwicklung oder Konfigurierung eines Datenverarbeitungssystems vorgesehen ist, oder wenn weitere Mitbestimmungsrechte der Personalräte berührt sind. (2) Die Universität informiert die Personalräte frühzeitig über größere Datenverarbeitungsvorhaben. Für solche Vorhaben wird in der Regel zunächst eine Dienstvereinbarung über die Einführungsphase abgeschlossen, in der eine schrittweise Regelung aller der Mitbestimmung oder Mitwirkung des betroffenen Personalrats unterliegenden Fragen im Verlauf des Projektfortschritts vorgesehen wird. (3) Die endgültige Nutzung (Produktivsetzung) eines in der Einführungsphase entwickelten Datenverarbeitungssystems bedarf der entsprechenden Dienstvereinbarung. 15. Anschlussvereinbarungen (1) Über Datenverarbeitungsvorhaben, in deren Rahmen auch personenbezogene Daten von Beschäftigten erhoben und verarbeitet werden sollen, werden Anschlussvereinbarungen zu dieser Rahmendienstvereinbarung abgeschlossen, falls nicht eine gesonderte Dienstvereinbarung erforderlich ist. (2) Die Verfahrensregelung für den Abschluss einer Anschlussvereinbarung ist Bestandteil dieser Rahmendienstvereinbarung siehe Anlage. 16. Information der Betroffenen (1) Die Universität informiert alle Beschäftigten über ihre Rechte nach 6 HmbDSG und ermöglicht ihnen die Einsichtnahme in eine laufend aktualisierte Zusammenstellung sämtlicher Verfahren, mit denen personenbezogene Daten von Beschäftigten erhoben und verarbeitet werden. Sie trifft Vorkehrungen, um Auskunftsersuchen von Beschäftigten gemäß 18 HmbDSG in angemessener Frist nachkommen zu können. (2) Unmittelbar nach Unterzeichnung dieser Vereinbarung erörtert die Universität mit den Personalräten die von ihr zur Information der Beschäftigten und zur Auskunftserteilung gemäß 18 HmbDSG vorgesehenen Verfahren. 17. Schiedsverfahren (1) Meinungsverschiedenheiten zwischen den Parteien über Auslegung oder Anwendung sowie Zweifel über die Einhaltung dieser Dienstvereinbarung werden zunächst von einer internen Schlichtungskommission behandelt. Sie besteht aus der Präsidentin oder dem Präsidenten der Universität oder einer von ihr oder ihm beauftragten Person und je einer Vertreterin oder einem Vertreter des TVPR oder des WIPR. (2) Die Schlichtungskommission kann Sachverständige sowie eine Moderatorin oder einen Moderator hinzuziehen. Bei Zweifeln über die Einhaltung dieser Dienstvereinbarung ist das Amt der oder des Datenschutzbeauftragten hinzuzuziehen. (3) Wird innerhalb von sechs Wochen nach Einberufung der Schiedskommission keine Einigung erzielt, können die Parteien rechtliche Schritte unternehmen. 7

8 18. Kündigung (1) Jede Partei kann diese Vereinbarung kündigen, wenn Verhandlungen über einen von ihr unterbreiteten Vorschlag zur Änderung oder Ergänzung dieser Vereinbarung nicht binnen drei Monate nach seiner Unterbreitung zu einer Einigung geführt haben. Die Kündigungsfrist beträgt sechs Monate, gerechnet von der Unterbreitung des Vorschlags. (2) Wird in einem Konfliktfall innerhalb von sechs Wochen nach Einberufung der Schiedskommission keine Einigung erzielt, kann jede Partei diese Vereinbarung mit einer Frist von sechs Monaten nach Einberufung der Schiedskommission kündigen. (3) Nach dieser Rahmenvereinbarung abgeschlossene Anschlussvereinbarungen bleiben nach Kündigung dieser Vereinbarung in Kraft. Eine Anschlussvereinbarung kann nur gekündigt werden, wenn bei einem Zweifel über ihre Einhaltung in einem Schiedsverfahren keine Einigung erzielt werden konnte. Die Kündigungsfrist beträgt drei Monate, gerechnet von der Einberufung der Schiedskommission. (4) Eine Anschlussvereinbarung tritt außer Kraft, wenn die Universität dem zuständigen Personalrat schriftlich mitteilt, dass sie keine Erhebung und Verarbeitung von Daten nach dieser Anschlussvereinbarung mehr vornehmen will und die zugehörigen Dateien gelöscht sind. Übergangsregelungen (1) Diese Vereinbarung wird spätestens zwei Monate nach ihrem Inkrafttreten in den Mitteilungen der Verwaltung veröffentlicht. (2) Spätestens zwei Monate nach ihrem Inkrafttreten informiert die Universität die Dekaninnen und Dekane sowie die Leiterinnen und Leiter der Verwaltungen der Fachbereiche sowie die Leitungen der senatsunmittelbaren Einrichtungen über diese Vereinbarung und weist darauf hin, dass die Erhebung und Verarbeitung personenbezogener Daten ohne eine entsprechende Dienstvereinbarung auf der Grundlage dieser Rahmenvereinbarung unzulässig ist. (3) Spätestens zwei Monate nach Inkrafttreten dieser Rahmendienstvereinbarung eröffnet die Universität das Verfahren zum Abschluss einer Anschlussvereinbarung für alle bestehenden Dateien, für die nach dieser Rahmendienstvereinbarung der Abschluss einer Dienstvereinbarung erforderlich ist. (4) Die Maßnahmen nach Punkt 6 (Unterweisungen und Schulungen zum Datenschutz) dieser Vereinbarung werden erstmalig im Laufe von drei Monaten nach Inkrafttreten dieser Vereinbarung von der Universität durchgeführt. 20. Schlussbestimmungen (1) Sollten Bestimmungen dieser Vereinbarung ungültig oder unwirksam sein oder werden, bleiben die übrigen Teile unberührt. (2) Diese Vereinbarung tritt mit der Unterzeichnung in Kraft. Hamburg, den

9 Verfahrensregelung für den Abschluss einer Anschlussvereinbarung zur Rahmendienstvereinbarung Datenschutz bei Personaldaten 1. Verfahrenseröffnung Beabsichtigt die Universität für ein neues Verfahren oder die wesentliche Änderung eines bestehenden Verfahrens der Erhebung und Verarbeitung von Daten, das auch personenbezogene Daten von Beschäftigten umfassen soll, eine Anschlussvereinbarung zur Rahmendienstvereinbarung Datenschutz bei Personaldaten, teilt sie dieses dem zuständigen Personalrat mit und leitet ihm eine Personalratsvorlage zum Abschluss einer solchen Vereinbarung zu. 2. Personalratsvorlage (1) Eine Personalratsvorlage zum Abschluss einer Anschlussvereinbarung zur Rahmendienstvereinbarung Datenschutz bei Personaldaten enthält in der Regel folgende Informationen: a) die für eine Verfahrensbeschreibung gemäß 9 (1) HmbDSG erforderlichen Angaben: 1. den Namen und Anschrift der Daten verarbeitenden Stelle, 2. die Bezeichnung des Verfahrens und seine Zweckbestimmung, 3. die Art der verarbeiteten Daten sowie die Rechtsgrundlage ihrer Verarbeitung oder die Ziele, zu deren Erfüllung die Kenntnis dieser Daten erforderlich ist, 4. den Kreis der Betroffenen, 5. die Empfängerinnen oder Empfänger oder den Kreis der Empfängerinnen oder Empfänger, die Daten erhalten sollen, 6. eine beabsichtigte Datenübermittlung nach 17 (2) HmbDSG und (3) HmbDSG, 7. Fristen für die Sperrung und Löschung der Daten, 8. die technischen und organisatorischen Maßnahmen nach 8 HmbDSG zur Sicherung: 1) der Vertraulichkeit, 2) der Integrität, 3) der Verfügbarkeit, 4) der Authentizität und 5) der Revisionsfähigkeit der Daten sowie 9. die Art der Geräte, die Stellen, bei denen sie aufgestellt sind, sowie das Verfahren zur Übermittlung, Sperrung, Löschung, Auskunftserteilung und Benachrichtigung; b) eine Darstellung sämtlicher vorgesehenen Auswertungen (Positivliste); c) eine vollständige Liste der Personen, die Zugriff auf die Datei haben, mit einer genauen Angabe über die jeweiligen Zugriffsrechte. (2) Gleichzeitig mit der Zuleitung der Personalratsvorlage eröffnet die Universität dem zuständigen Personalrat die Einsichtnahme in die Dokumentation über die gemäß 8 (4) HmbDSG angestellte Untersuchung darüber, ob und in welchem Umfang mit der Nutzung des Verfahrens Gefahren für die Rechte der Betroffenen verbunden sind, sowie die zu deren Beherrschung getroffenen Maßnahmen. 9

10 (3) Auf Verlangen des betroffenen Personalrats gibt die Universität zu einzelnen Positionen einer Personalratsvorlage zusätzliche Erläuterungen, die auf Verlangen des Personalrats als Anlage in die Anschlussvereinbarung aufgenommen werden. 3. Abschluss der Anschlussvereinbarung (1) Spätestens zwei Wochen, nachdem dem zuständigen Personalrat die vollständige, mit allen verlangten Erläuterungen versehene Personalratsvorlage zugegangen ist, beschließt der Personalrat über die Vorlage. Sind beide Personalräte zuständig, beträgt die Frist vier Wochen. (2) Stimmt der betroffene Personalrat zu, gilt die Anschlussvereinbarung als abgeschlossen. Soll diese mit beiden Personalräten abgeschlossen werden, ist die Zustimmung beider Personalräte erforderlich. (3) Wird die Zustimmung nicht gegeben und erklärt die Universität binnen zwei Wochen, dass sie den Abschluss einer Vereinbarung weiterhin anstrebt, tritt der zuständige Personalrat unverzüglich in Verhandlungen mit der Universität ein, deren Ziel eine zustimmungsfähige Vereinbarung ist. Soll die Vereinbarung mit beiden Personalräten abgeschlossen werden, werden diese Verhandlungen mit beiden Personalräten gemeinsam geführt. ************ 10