Betriebsvereinbarung Einsatz der Informations-, Kommunikations- und Prozessleittechnik (BV IT )

Transkript

1 BV vom Vorlagennummer: Datum Revisionsfreigabe: entfällt Seite 1 von 7

2 Inhalt 1 Gegenstand Geltungsbereich Begriffsdefinition Überwachungs-, Informations- und Mitbestimmungsrechte Ausnahmen von der betrieblichen Mitbestimmung Qualifizierungen Operative Umsetzung Leistungs- und Verhaltenskontrolle Rechte der Beschäftigten Inkrafttreten/Schlussbestimmungen... 6 Vorlagennummer: Datum Revisionsfreigabe: entfällt Seite 2 von 7

3 Zwischen Vorstand und Betriebsrat der.. wird die folgende geschlossen: 1 Gegenstand Diese konkretisiert den Umfang der betrieblichen Mitbestimmung, beschreibt die operative Umsetzung und regelt die Beteiligung der betroffenen Rollen bei der Durchführung von IT-bezogenen Vorhaben. Die unterstützt insbesondere die folgenden Ziele: Die rechtzeitige und umfassende Beteiligung des Betriebsrates und der beteiligten Rollen. Die Durchführung der datenschutzrechtlichen Prüfungen und Freigaben, sowie die ordnungsgemäße Erhebung und Fortschreibung der internen Verarbeitungsübersicht. Die Sicherstellung von Qualifizierungs- und Sensibilisierungsmaßnahmen für die Beschäftigten. 2 Geltungsbereich Der Geltungsbereich dieser umfasst die... und folgende Beteiligungen:.. Die gilt für alle Beschäftigten (siehe 5 Abs. 1 BetrVG). Das Unternehmen stellt sicher, dass alle Leitenden Angestellten auf die Einhaltung dieser verpflichtet werden. Hierzu hat sich der Sprecherausschuss der leitenden Angestellten in einer Vereinbarung gemäß 28 des Sprecherausschussgesetzes (SprAUG) mit den Inhalten dieser einverstanden erklärt und nimmt an den Regelungen und dem Verfahren teil. 3 Begriffsdefinition Begriffsdefinitionen, welche im Kontext dieser relevant sind (zum Beispiel: IT-bezogene Vorhaben, IT-Verfahren) werden zwischen den Vertragsparteien abgestimmt und in einem Glossar dokumentiert. Das Glossar unterliegt nicht dem Mitbestimmungs- oder dem Freigabeverfahren des I.S.M.S. 4 Überwachungs-, Informations- und Mitbestimmungsrechte Der Betriebsrat erhält frühzeitig eine Erstinformation über die Planung und Umsetzung von IT-bezogenen Vorhaben ( 90 Abs. 1 BetrVG). Die Initiierung der betrieblichen Mitbestimmung erfolgt im Rahmen des vereinbarten Prozesses (Mitbestimmungsrecht aus 87 Abs. 1, Ziffer 6 BetrVG, bezogen auf personenbezogene Daten sowie Verhaltens- oder Leistungsüberwachung). Der Umfang der zu liefernden Informationen zur Ausübung der Überwachungs-, Informations- und Mitbestimmungsrechte ergibt sich aus der Anlage 01. Auf Anforderung erhält der Betriebsrat die für Prüfungen notwendigen Zugriffsberechtigungen auf IT-Werkzeuge. 5 Ausnahmen von der betrieblichen Mitbestimmung Folgende Punkte unterliegen nach gemeinsamem Verständnis nicht der Mitbestimmung: Vorlagennummer: Datum Revisionsfreigabe: entfällt Seite 3 von 7

4 5.1 Der Test und die Entwicklung von IT-Werkzeugen; werden hierbei personenbezogene Daten erhoben, verarbeitet oder genutzt, gelten die bestehenden Regelungen. 5.2 Die Veränderung bestehender und mitbestimmter IT-Werkzeuge in den Fällen: Veränderung der technischen Leistungsfähigkeit Durchführen von technischen (Sicherheits-)Updates Releasewechsel ohne Nutzung von Daten- und Funktionserweiterungen 5.3 Die Entwicklung/Einführung und der Betrieb fachbereichseigener Lösungen auf Basis von MS-Office Komponenten (hierzu zählt auch MS Access) von nachrangigen IT-Werkzeugen sofern die folgenden Punkte zutreffen: Es ergeben sich keine Auswirkungen für die Beschäftigten. Kein Anpassungsbedarf an den IT-Verfahren. Es sind keine Qualifizierungsmaßnahmen erforderlich. zusätzlich bei 5.3.1: Die im IT-Verfahren festgelegten technischen und organisatorischen Maßnahmen werden eingehalten. zusätzlich bei 5.3.2: Es werden keine personenbezogenen oder vertraulichen Daten erhoben, verarbeitet oder genutzt. 5.4 Der Fernzugriff externer Dienstleistungspartner im Rahmen der genehmigten IT-Verfahren 6 Qualifizierungen Mit der Planung und Durchführung von IT-bezogenen Vorhaben werden erforderliche Qualifizierungsmaßnahmen ermittelt und rechtzeitig umgesetzt. Die Qualifizierungsmaßnahmen gelten in vollem Umfang als Arbeitszeit. Zu dem Thema Informationssicherheit werden Sensibilisierungs-Aktivitäten konzipiert, umgesetzt und regelmäßig aktualisiert. 7 Operative Umsetzung 7.1 Grundsätzliches Grundlage für die betriebliche Mitbestimmung und die datenschutzrechtliche Prüfung und Freigabe von ITbezogenen Vorhaben sind die vereinbarten und mitbestimmten Inhalte der Anlage 01. Die Informationen werden in standardisierten Anträgen und IT-Verfahren dokumentiert Für die Dokumentation der IT-Verfahren sind unterschiedliche, unternehmenseinheitliche Kataloge (zum Beispiel: IT-Verfahren, Datenkategorien, IT-Treuhänder, Software-Werkzeuge, Hardware-Kategorien) erforderlich. Diese Kataloge werden inhaltlich zentral gepflegt und bereitgestellt. Hiervon ausgenommen ist der Katalog für Software- Werkzeuge. Dieser wird durch die jeweiligen IT-Treuhänder inhaltlich gepflegt Die Beteiligung des Betriebsrates und der anderen beteiligten Rollen erfolgt in einem gemeinsam festgelegten und mitbestimmten Prozess. Die Tätigkeiten dieser Rollen sind in der Regelung Beteiligte Rollen am Informationssicherheitsmanagementprozess beschrieben Die operative Umsetzung des Prozesses und die Dokumentation der abgestimmten Informationsbedarfe erfolgt elektronisch; hierzu stellt das Unternehmen ein geeignetes Software-Werkzeug bereit. 7.2 Software-Werkzeug Das Software-Werkzeug ist so gestaltet, dass Vorlagennummer: Datum Revisionsfreigabe: entfällt Seite 4 von 7

5 rollenbasiert in einem festgelegten Prozess alle notwendigen Informationen zur Beantragung, Bearbeitung und Freigabe der relevanten IT-bezogenen Vorhaben und IT-Verfahren bereitgestellt werden. jederzeit die mitbestimmungsrelevanten und datenschutzrechtlich erforderlichen Informationen sowie die mitbestimmten IT-Verfahren (prüf- und revisionsgerecht) abgerufen werden können. aus den Dateninhalten die interne Verarbeitungsübersicht erstellt werden kann Die Bereitstellung des Software-Werkzeugs und der elektronischen Erfassung für den Katalog der Software- Werkzeuge erfolgt durch den IT-Treuhänder kommerzielle DV (101). 7.3 Regelungsstruktur Regelungen, welche im Kontext dieser erforderlich sind, werden innerhalb der bestehenden Regelungsstrukturen zur Organisationssicherheit (Teilbereich: Informationssicherheitsmanagementsystem I.S.M.S. ) integriert. Regelungen des I.S.M.S. sind, bis auf gemeinsam vereinbarte Ausnahmen, mitbestimmungspflichtig und verbindlicher Bestandteil dieser Es werden darüber hinaus keine en abgeschlossen. 7.4 IT-Verfahren Basis-IT-Infrastruktur IT-Infrastrukturkomponenten der kommerziellen DV, die unternehmensweit in allen Geschäftsprozessen verwendet werden (zum Beispiel: MS Office, MS Outlook, Anmelde-/Authentifizierungsverfahren, Multifunktions-geräte, Betriebssysteme, systemnahe Tools), sind in den IT-Verfahren (11.03 und 11.04) durch den IT-Treuhänder kommerzielle DV (101) dokumentiert. 7.5 Schriftverkehr mit dem Betriebsrat Sofern im Rahmen der operativen Umsetzung der IT wechselseitig Schriftverkehr erforderlich ist, wird dieser ausschließlich elektronisch geführt (Format: , Anlage:.PDF) Schriftverkehr der Beteiligten an den Betriebsrat ist ohne Unterschrift verbindlich. Die Fachbereiche stellen sicher, dass nur Berechtigte verbindliche Erklärungen gegenüber dem Betriebsrat abgeben Schriftverkehr des Betriebsrates ist ohne Unterschrift verbindlich, sofern die von den folgenden Absendern erfolgt: Betriebsratsvorsitz (oder Stellvertretung) DV-Ausschussvorsitz (oder Stellvertretung) Bevollmächtigte des Betriebsrates 8 Leistungs- und Verhaltenskontrolle Personenbezogene Daten der Beschäftigten werden nicht zur Leistungs- und Verhaltenskontrolle erhoben, verarbeitet oder genutzt. Generelle, unternehmensweite Ausnahmen sind in der Regelung Zugriff auf Unternehmensdaten und IT-Werkzeuge in besonderen Fällen beschrieben oder unterliegen im Einzelfall der vorherigen Prüfung und Freigabe des betrieblich bestellten Datenschutzbeauftragten und des Betriebsrats. Darüber hinaus können in den einzelnen IT-Verfahren Ausnahmen vereinbart werden. Unzulässig gewonnene Erkenntnisse aus Leistungs- und Verhaltenskontrollen unterliegen einem Verwertungsverbot. 9 Rechte der Beschäftigten Alle durch diese begründeten Regelungen werden den Beschäftigten für den jederzeitigen elektronischen Abruf bereitgestellt. Die mitbestimmten IT-Verfahren werden, auf Anforderung, durch den Datenschutzbeauftragten bereitgestellt. Vorlagennummer: Datum Revisionsfreigabe: entfällt Seite 5 von 7

6 10 Inkrafttreten/Schlussbestimmungen 10.1 Diese tritt ab dem in Kraft Mit dem Aufbau der datenschutzrechtlich erforderlichen internen Verarbeitungsübersicht und der konzeptionellen Neuausrichtung dieser ist eine Grunderhebung aller IT-Verfahren verbunden. Diese Grunderhebung erfolgt je IT-Treuhänder/sekundärer IT-Treuhänder. Die Vertragsparteien streben an, die Grunderhebung insgesamt bis zum abzuschließen Die durch die bisherige Rahmenbetriebsvereinbarung mitbestimmten Soft- und Hardware-Werkzeuge bleiben so lange gültig, bis die Grunderhebung aller IT-Verfahren, aller IT-Treuhänder abgeschlossen ist, diese durch den betrieblichen Datenschutzbeauftragten geprüft und freigegeben und durch den Betriebsrat mitbestimmt wurden Nach Inkrafttreten dieser und bis zum Abschluss der erforderlichen Grunderhebung aller IT-Verfahren wird es eine Übergangszeit geben, in der IT-bezogene Vorhaben nach dieser mitbestimmt werden müssen, die davon betroffenen IT-Verfahren aber inhaltlich noch nicht den tatsächlichen Gegebenheiten entsprechen. In diesen Fällen werden die betroffenen IT-Verfahren lediglich auf das konkret beantragte IT-bezogene Vorhaben hin angepasst und in den Abstimmungsprozess gegeben. Die bis zum Abschluss der Grunderhebung bestehende Unschärfe ist allen Beteiligten bekannt und wird gemeinsam getragen Durch diese werden folgende en und Regelungen abgelöst: RBV Einsatz der Informationsverarbeitung (RBV IT ) vom Allgemeine Vereinbarung zur RBV IT RBV IT Information zur Erstellung RBV IT Protokollnotiz RBV IT Leitfaden RBV IT SAP Überführungsvereinbarungen (Classic, IS/U, BW, PI, HR, jedoch erst nach Abschluss der Grunderhebung Diese kann unter Einhaltung der gesetzlichen Kündigungsfrist gekündigt werden. Nach der Kündigung sind unverzüglich Verhandlungen zum Abschluss einer neuen aufzunehmen. Bis zum Abschluss dieser neuen gilt diese unverändert weiter Sollte eine Bestimmung dieses Vertrages unwirksam sein, wird die Wirksamkeit der übrigen Bestimmungen davon nicht berührt. Die Parteien verpflichten sich, anstelle der unwirksamen Bestimmung eine dieser Bestimmung möglichst nahekommende wirksame Regelung zu treffen. Hannover, Vorstand Betriebsrat Vorlagennummer: Datum Revisionsfreigabe: entfällt Seite 6 von 7

7 Anlage 01 1 Der Umfang der Überwachungs-, Informations- und Mitbestimmungsrechte erstreckt sich insbesondere auf die folgenden Aspekte: Auswirkungen des IT-bezogenen Vorhabens auf die Beschäftigten Arbeitsverfahren Arbeitsabläufe Organisationsstrukturen Personalwirtschaftliche Auswirkungen Qualifizierungserfordernisse Betroffene IT-Treuhänder und IT-Verfahren Auswirkungen auf Unternehmensregelungen Zweckbindung der IT-Verfahren Betroffene enercity Datenkategorien Verwendete IT-Werkzeuge Beabsichtigte Datenverarbeitung bei Dritten Einhaltung bestehender Gesetze, Verordnungen und interner Regelungen (Organisationssicherheit) 2 Sofern personenbezogene (Beschäftigten-) Daten erhoben, verarbeitet oder genutzt werden sollen zusätzlich: Rechtsgrundlagen Betroffene Personengruppen Datenschutz-Datenkategorien Ursprung der Daten Datenübermittlung an Dritte (Datenweitergaben, Auswertungen, Schnittstellen; intern wie extern) Aufbewahrungs- und Löschfristen Berechtigungskonzepte Beabsichtigte Datenverarbeitung bei Dritten IT-Sicherheits- und Datenschutzkonzepte (technische und organisatorische Maßnahmen) Vorlagennummer: Datum Revisionsfreigabe: entfällt Seite 7 von 7