Betriebsvereinbarung Zeiterfassung und Mitarbeiter-App (Österreich)

Betriebsvereinbarung über die Einführung und Anwendung von kloq (Zeiterfassung und Mitarbeiter-App)

abgeschlossen zwischen

[UNTERNEHMEN], [ANSCHRIFT], im Folgenden Unternehmen,

und dem Betriebsrat des Betriebs [BETRIEB], vertreten durch [BETRIEBSRAT], im Folgenden Betriebsrat.

1. Präambel und Grundsätze

1. Das Unternehmen führt die Software kloq (Module time, mobile und, soweit in Anhang 1 angekreuzt, people und pay) ein. Diese Vereinbarung regelt, welche Funktionen genutzt werden, welche Daten dabei verarbeitet werden und wer sie sehen darf.
2. Rechtsgrundlage dieser Vereinbarung ist eine Betriebsvereinbarung nach § 96 Abs. 1 Z 3 und § 96a ArbVG, soweit Kontrollmaßnahmen und Datenverarbeitungssysteme betroffen sind, und nach § 97 Abs. 1 Z 2 ArbVG, soweit die Verteilung der Arbeitszeit betroffen ist.
3. Datenschutzrechtlich stützt das Unternehmen die Verarbeitung auf Art. 6 Abs. 1 lit. b, c und f DSGVO, für Gesundheitsdaten zusätzlich auf Art. 9 Abs. 2 lit. b DSGVO. Diese Vereinbarung ist kein Freibrief. Sie ersetzt nicht die Prüfung, ob jede Verarbeitung erforderlich ist, und sie kann das Schutzniveau der DSGVO nicht absenken. Die Parteien haben die Erforderlichkeit je Datenkategorie in Anhang A begründet.
4. Es gilt der Grundsatz der Datensparsamkeit: Was nicht erforderlich ist, wird nicht erhoben. Funktionen, die in Anhang 1 nicht mit „Gilt: ja“ gekennzeichnet sind, bleiben ausgeschaltet.
5. Die Zeiterfassung dient der Erfüllung gesetzlicher und vertraglicher Pflichten (Arbeitszeitaufzeichnung nach § 26 AZG, Lohnabrechnung). Sie dient nicht der Leistungs- oder Verhaltenskontrolle.

2. Geltungsbereich

1. Die Vereinbarung gilt räumlich für den Betrieb [BETRIEB] und persönlich für alle Arbeitnehmerinnen und Arbeitnehmer im Sinn des ArbVG, die kloq nutzen oder deren Daten in kloq verarbeitet werden.
2. Sie gilt nicht für leitende Angestellte im Sinn des § 36 ArbVG, soweit diese in Anhang 1 nicht ausdrücklich einbezogen sind: [REGELUNG LEITENDE ANGESTELLTE].
3. Für Beschäftigte, die in anderen Ländern eingesetzt werden, gelten die dortigen Vorschriften zusätzlich; sie sind nicht Gegenstand dieser Vereinbarung.

3. Begriffe

• Funktionsgruppe: Ein in Anhang 1 beschriebenes Modul, das als Ganzes eingeschaltet oder ausgeschaltet ist (Module A bis J).
• Personenbezogene Daten: alle Informationen, die sich auf eine bestimmte oder bestimmbare Person beziehen.
• Auswertung: jede Zusammenstellung, Verknüpfung oder Darstellung von Daten, die über die Anzeige einzelner Datensätze hinausgeht.
• Teamleitung: die vom Unternehmen benannte Führungskraft für eine Gruppe von Beschäftigten.
• Personal: die Personalabteilung des Unternehmens.
• Lohnbüro: interne oder externe Stelle, die die Entgeltabrechnung durchführt.

4. Beschreibung des Systems

1. kloq besteht aus einer Weboberfläche für Verwaltung und Beschäftigte, einer Mitarbeiter-App für Smartphones, optionalen Kiosk- und Terminal-Geräten sowie Schnittstellen zur Lohnabrechnung.
2. Das Unternehmen übergibt dem Betriebsrat vor Unterzeichnung die technische Funktionsbeschreibung der eingesetzten kloq-Version, einschließlich Datenflüssen, Auswertungen, Rollen und Unterauftragsverarbeitern. Sie ist Anlage zu dieser Vereinbarung: [BEZEICHNUNG UND VERSION DER FUNKTIONSBESCHREIBUNG].
3. Hosting: [HOSTING-ORT UND ANBIETER]. Auftragsverarbeitungsvertrag mit dem Anbieter: [DATUM, FUNDSTELLE].
4. Die jeweils aktuelle Liste der Unterauftragsverarbeiter wird dem Betriebsrat auf Verlangen ausgehändigt.

5. Zwecke der Verarbeitung

Die Daten werden ausschließlich für folgende Zwecke verarbeitet:

1. Aufzeichnung der geleisteten Arbeitszeit nach § 26 AZG.
2. Abrechnung von Entgelt, Zuschlägen, Abwesenheiten und Spesen.
3. Planung und Abstimmung der Arbeitszeit (soweit Modul F gilt).
4. Verwaltung von Urlaub und Abwesenheiten.
5. Nachweis der Einhaltung gesetzlicher Arbeitszeitgrenzen und von Ruhezeiten.
6. Sicherheit und Nachvollziehbarkeit des Systems (Protokollierung).

Eine Verarbeitung für andere Zwecke ist unzulässig. Insbesondere werden keine Leistungs-, Verhaltens- oder Bewegungsprofile erstellt (siehe Abschnitt 9).

6. Allgemeine Rechte der Beschäftigten

1. Jede beschäftigte Person kann ihre eigenen Rohbuchungen, Korrekturen und Abwesenheiten jederzeit einsehen. Sie sieht auch, wer eine Korrektur vorgenommen hat.
2. Das Unternehmen erfüllt Auskunfts-, Berichtigungs- und Löschansprüche nach der DSGVO. Beschäftigte erhalten auf Verlangen die Arbeitszeitaufzeichnungen nach § 26 AZG.
3. Beschäftigte erhalten die Information nach Art. 13 DSGVO (Vorlage „Mitarbeiter-Information“) vor Beginn der Nutzung.
4. Aus der Ablehnung freiwilliger Funktionen (Modul B Komfortfunktionen, Standort-Komfort, Push-Erinnerung) dürfen keine Nachteile entstehen.
5. Das Unternehmen benennt als Anlaufstelle für Datenschutzfragen: [DATENSCHUTZKONTAKT UNTERNEHMEN].

7. Rollen und Berechtigungen (Grundsatz)

1. Jede Rolle erhält nur die Rechte, die sie für ihre Aufgabe braucht. Die Rollenmatrix je Funktionsgruppe steht in Anhang 1.
2. Die Teamleitung sieht Zeiten ihrer Gruppe, aber keine Lohndaten und keine Gesundheitsdaten.
3. Personal und Lohnbüro sehen Daten nur, soweit sie für Abrechnung und Personalverwaltung nötig sind.
4. Administratorinnen und Administratoren verwalten das System, sehen aber Inhalte nur, wenn dies für die Fehlerbehebung nötig ist und protokolliert wird.
5. Der Betriebsrat erhält die in Abschnitt 13 beschriebenen Kontrollrechte, nicht aber Einsicht in personenbezogene Einzeldaten ohne Anlass nach Abschnitt 13.
6. Die Berechtigungsübersicht („Rechte“-Seite in kloq) ist für den Betriebsrat jederzeit einsehbar.

8. Besondere Kategorien von Daten

1. Gesundheitsdaten (Krankenstand, Einsatzbeschränkungen) werden nur im notwendigen Mindestumfang verarbeitet: Tatsache und Dauer der Abwesenheit, keine Diagnose.
2. Biometrische Daten werden nur nach Modul D verarbeitet.
3. Daten über Schwangerschaft, Stillzeit oder Behinderung werden in der Planung nur als neutrale Einsatzbeschränkung ohne Angabe des Grundes sichtbar.

9. Auswertungsverbot

1. Das Unternehmen und seine Führungskräfte werten Daten aus kloq nicht aus, um Leistung oder Verhalten einzelner Personen zu beurteilen oder zu vergleichen (Leistungs- oder Verhaltensprofil).
2. Unzulässig sind insbesondere Rankings einzelner Personen nach Stempelzeiten, Pünktlichkeitsquoten, Standortabweichungen, Krankheitshäufigkeit oder Tauschverhalten sowie die Ableitung von Bewegungsprofilen aus Standortdaten.
3. Daten aus kloq dürfen nicht allein Grundlage arbeitsrechtlicher Maßnahmen (Abmahnung, Kündigung, Entlassung) sein. Hinweise des Systems (zum Beispiel Plan/Ist-Abweichungen) sind keine Sanktionsgrundlage ohne Anhörung der betroffenen Person.
4. Zulässige Auswertungen sind in Modul G abschließend aufgezählt. Jede neue Auswertung ist ein Änderungsfall nach Abschnitt 12.
5. Aus der Wahl des Kanals (zum Beispiel Verweigerung eines freiwilligen Verfahrens) dürfen keine Schlüsse gezogen werden.

10. Erforderlichkeit und Verhältnismäßigkeit

1. Die Parteien haben für jede Datenkategorie geprüft, ob die Verarbeitung erforderlich ist und ob ein milderes Mittel besteht. Das Ergebnis steht in Anhang A.
2. Ändern sich Umstände, die der Prüfung zugrunde liegen, überprüfen die Parteien Anhang A. Spätestens nach [ZEITRAUM, Vorschlag: 12 MONATEN] erfolgt eine Überprüfung.
3. Entfällt die Erforderlichkeit für eine Datenkategorie, wird die Verarbeitung eingestellt und die Daten werden nach Abschnitt 11 behandelt.

11. Fristen für Aufbewahrung und Löschung

1. Aufbewahrung und Löschung richten sich nach der Aufbewahrungsklasse. Maßgeblich sind die im System hinterlegten Fristen je Land und Datenklasse. Als Ausgangswerte für Österreich gelten:

1. Das Unternehmen kann die Fristen innerhalb gesetzlicher Grenzen anpassen, nicht aber verlängern, ohne den Betriebsrat zu informieren und die Begründung in Anhang A zu ergänzen: [ABWEICHENDE FRISTEN, FALLS VEREINBART].
2. Daten, die noch aufbewahrt werden müssen, werden gesperrt statt gelöscht. Nach Fristablauf werden sie gelöscht oder unwiderruflich unkenntlich gemacht. Das Unternehmen kann eine Löschsperre setzen (zum Beispiel bei Rechtsstreit oder Prüfung); jede Sperre wird protokolliert und dem Betriebsrat auf Verlangen mitgeteilt.
3. Löschläufe werden vorab als Vorschau angezeigt und protokolliert.

12. Änderungsverfahren und Funktionsregister

1. Diese Vereinbarung gilt für die Funktionen, die in Anhang 1 mit „Gilt: ja“ gekennzeichnet sind, in der in Anhang 1 beschriebenen Form.
2. Neue Funktion ist Änderungsfall. Wird eine Funktion neu aktiviert, erweitert oder kommt sie durch ein Software-Update hinzu, bleibt sie ausgeschaltet, bis die Parteien die Vereinbarung um sie ergänzt haben. kloq zeigt dafür im Verwaltungsbereich einen Hinweis (Mitbestimmungs-Gate) und protokolliert die Bestätigung des Unternehmens. Das Gate blockiert die Funktion technisch nicht; das Unternehmen verpflichtet sich daher, die Funktion intern erst nach Ergänzung der Vereinbarung freizuschalten.
3. Das Unternehmen informiert den Betriebsrat vor jedem Versionswechsel über neue, mitbestimmungsrelevant gekennzeichnete Funktionen, spätestens [FRIST, Vorschlag: 14] Tage vor dem geplanten Einsatz.
4. Der Probebetrieb mit echten Beschäftigtendaten („Pilot“) ist Einführung im Sinn dieser Vereinbarung und nur mit Zustimmung des Betriebsrats zulässig. Pilotteilnahme darf nicht erzwungen werden.
5. Ergänzungen werden schriftlich als Nachtrag zu Anhang 1 vereinbart und tragen Datum und Versionsnummer.

13. Kontrollrechte des Betriebsrats

1. Der Betriebsrat kann jederzeit die Berechtigungsübersicht, das Funktionsregister mit Aktivierungsstand und die Liste der Unterauftragsverarbeiter einsehen.
2. Das Unternehmen gewährt dem Betriebsrat auf Verlangen Einblick in die Protokolle über Administrationsvorgänge und Zugriffe auf sensible Felder, soweit diese Protokolle selbst keine unzulässige Kontrolle einzelner Personen ermöglichen. Die Einsicht erfolgt zu zweit (Vier-Augen-Prinzip) und wird protokolliert: [REGELUNG EINSICHT].
3. Bei Verdacht auf Verstöße gegen diese Vereinbarung kann der Betriebsrat eine Überprüfung durch [UNABHÄNGIGE STELLE, ZUM BEISPIEL DATENSCHUTZBEAUFTRAGTE/R] verlangen.
4. Das Unternehmen informiert den Betriebsrat unverzüglich über Datenschutzverletzungen, die Beschäftigte betreffen.
5. Der Betriebsrat kann sich bei der Prüfung technischer Fragen von einer sachverständigen Person seiner Wahl unterstützen lassen; die Kosten trägt das Unternehmen im Rahmen von [REGELUNG KOSTEN].
6. Der Betriebsrat wird zu Auskunftsersuchen von Beschäftigten nicht automatisch informiert. Die Beschäftigte oder der Beschäftigte kann den Betriebsrat jedoch zur Unterstützung hinzuziehen.

14. Streitbeilegung

1. Bei Meinungsverschiedenheiten über Auslegung oder Anwendung verhandeln die Parteien innerhalb von [FRIST] Tagen.
2. Für Maßnahmen nach § 96a ArbVG kann die Zustimmung des Betriebsrats durch Entscheidung der Schlichtungsstelle ersetzt werden (§ 96a Abs. 2 ArbVG). Für die in § 97 Abs. 1 Z 2 ArbVG genannten Regelungen der Arbeitszeitverteilung kann die Schlichtungsstelle angerufen werden.
3. Für Kontrollmaßnahmen, die die Menschenwürde berühren (§ 96 Abs. 1 Z 3 ArbVG), bedarf es der Zustimmung des Betriebsrats; ein Ersatz durch die Schlichtungsstelle ist dafür nicht vorgesehen.
4. Weitere Regelungen zur Streitbeilegung: [ZUSÄTZLICHE VEREINBARUNG, FALLS GEWÜNSCHT].

15. Schlussbestimmungen

1. Die Vereinbarung tritt am [DATUM] in Kraft.
2. Sie wird auf [unbestimmte Zeit / BEFRISTUNG] abgeschlossen und kann von jeder Partei mit einer Frist von [FRIST] zum [TERMIN] schriftlich gekündigt werden.
3. Sie wird im Betrieb aufgelegt oder digital zugänglich gemacht; der Hinweis darauf erfolgt in kloq und in der Beschäftigteninformation.
4. Sollte eine Bestimmung unwirksam sein, bleibt die Vereinbarung im Übrigen wirksam. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem Zweck am nächsten kommt.
5. Nachwirkung: [REGELUNG NACHWIRKUNG, FALLS GEWÜNSCHT].

[ORT], [DATUM]

Für das Unternehmen: [NAME, FUNKTION]

Für den Betriebsrat: [NAME, FUNKTION]

Anhang 1: Funktionsgruppen

Jede Funktionsgruppe ist ein eigener Abschnitt. Gilt der Abschnitt nicht, wird die Funktion im Betrieb nicht eingesetzt. Die Parteien tragen vor Unterzeichnung bei jedem Modul „ja“ oder „nein“ ein, streichen Nichtzutreffendes und halten das Datum der Entscheidung fest.

Modul A: Stempeln (Web, Kiosk, Terminal)

Gilt: ja / nein (Entscheidung am [DATUM])

Zweck. Erfassung von Beginn, Ende und Pausen der Arbeitszeit zur Erfüllung der Aufzeichnungspflicht (§ 26 AZG) und zur Abrechnung.

Datenkategorien. Zeitpunkt der Buchung, Art der Buchung (Kommen, Gehen, Pause, Dienstgang), Kanal (Web, Kiosk, Terminal, App), Kennung der Person, Korrekturen mit Begründung und korrigierender Person. Bei Terminals mit Ausweis oder PIN: Kennung des Ausweises und des Geräts.

Rollenmatrix.

Fristen. Zeitbuchungen: Klasse „Zeitbuchungen“ (Abschnitt 11, SPEC 17.2). Terminal-Lesevorgänge: 30 Tage.

Kontrollrechte des Betriebsrats. Einsicht in die Liste der Geräte und Kanäle; Mitteilung vor Änderung der Stempelregeln (Rundung, Pausenautomatik): [REGELUNG RUNDUNG UND PAUSEN].

Änderungen. Neue Stempelkanäle oder neue Gerätetypen sind Änderungsfall nach Abschnitt 12.

Modul B: Mitarbeiter-App

Gilt: ja / nein (Entscheidung am [DATUM])

Zweck. Stempeln, Einsicht in eigene Zeiten, Urlaubs- und Abwesenheitsanträge, Dienstplan, Mitteilungen. Die App ist freiwillig; ein gleichwertiger Kanal (Kiosk, Web) bleibt verfügbar. Privatgeräte müssen nicht verwendet werden: [ALTERNATIVE FÜR PERSONEN OHNE PRIVATES SMARTPHONE].

Datenkategorien. Kontodaten (Name, Personalnummer, Rolle), Gerätekennung für Anmeldung und Push-Mitteilungen, Buchungen und Anträge, Einstellungen. Es erfolgt keine Hintergrund-Ortung; Standort nur bei aktiver Buchung (Modul C).

Rollenmatrix.

Push-Mitteilungen. Mitteilungen enthalten keine Inhalte aus Gesundheits- oder Entgeltdaten. Die Zustellung läuft über die Dienste von Apple und Google (USA); das Unternehmen weist darauf in der Beschäftigteninformation hin. Push-Erinnerungen sind freiwillig und widerruflich.

Fristen. Gerätekennungen werden mit Abmeldung oder Austritt gelöscht. Einwilligungsnachweise: Widerruf plus 36 Monate.

Kontrollrechte des Betriebsrats. Einsicht in die Liste der in der App verfügbaren Funktionen und Berechtigungen der App (Betriebssystem-Freigaben).

Änderungen. Neue Betriebssystem-Berechtigungen (zum Beispiel Hintergrund-Standort) sind unzulässig; weitere Berechtigungen sind Änderungsfall.

Modul C: Standort (Geofence, NFC-Tag)

Gilt: ja / nein (Entscheidung am [DATUM])

Zweck. [ZWECK, ZUM BEISPIEL NACHWEIS DES ARBEITSORTS BEI AUSSENDIENST/BAUSTELLE]. Die Funktion ist nur zulässig, soweit der Zweck anders nicht gleich gut erreicht werden kann; das Unternehmen hat dies in Anhang A begründet.

Modus (genau einen ankreuzen/streichen).

• Modus 1: aus (kein Standort).
• Modus 2: nur NFC-Tag am Arbeitsort (kein GPS, mildestes Mittel).
• Modus 3: Geofence mit Markierung „innerhalb/außerhalb“ (Hinweis für Personal, keine Ablehnung der Buchung).
• Modus 4: Geofence mit Durchsetzung (Buchung nur innerhalb des Geofence). Dieser Modus ist nur zulässig, wenn der Betriebsrat ihm ausdrücklich zugestimmt hat: [JA / NEIN].

Datenkategorien. Standortergebnis (innerhalb, außerhalb, unbekannt, nicht erhoben), Genauigkeit in Metern, Kennung des Geofence oder des NFC-Tags. Koordinaten werden nicht gespeichert. Falls die Parteien dennoch Rohkoordinaten vorsehen: [BEGRÜNDUNG UND MAXIMALFRIST, HÖCHSTENS 30 TAGE].

Regeln.

1. Der Standort wird nur im Moment der Buchung abgefragt, nie im Hintergrund.
2. „Außerhalb“ ist für Außendienst, Homeoffice und Baustellen der Normalfall und löst keine Sanktion aus.
3. Eine Buchung wird nie stillschweigend verworfen.
4. Die Teamleitung sieht höchstens den Hinweis „Plausibilisierung nötig“, nicht den Standort. Personal sieht das Ergebnis, nicht die Koordinaten.
5. Aus Standortergebnissen werden keine Bewegungsprofile gebildet; Dienstgang-Beginn und -Ende werden nicht zu Wegen verbunden.
6. Wer die Standortfreigabe verweigert, bucht über einen anderen Kanal, ohne Nachteil.

Rollenmatrix.

Fristen. Ergebnis: wie Zeitbuchungen. Rohkoordinaten: höchstens [0 bis 30] Tage; tägliche Löschung.

Kontrollrechte des Betriebsrats. Einsicht in die Konfiguration (Modus, Orte, Radien), in die Löschprotokolle der Rohdaten und, einmal jährlich, in eine anonymisierte Statistik der „außerhalb“-Markierungen.

Änderungen. Wechsel des Modus, neue Geofences und Erweiterung auf Rohdaten sind Änderungsfall nach Abschnitt 12 (neue Gate-Bestätigung).

Datenschutz-Folgenabschätzung. Das Unternehmen führt vor Aktivierung von Modus 3 oder 4 eine Datenschutz-Folgenabschätzung durch und bezieht den Betriebsrat ein (Vorlage „DSFA“): [DATUM DER DSFA].

Modul D: Biometrie-Terminal

Gilt: ja / nein (Entscheidung am [DATUM]). Standardmäßig: nein.

Zweck. [ZWECK, FALLS ERFORDERLICH BEGRÜNDET]. Biometrische Zeiterfassung ist in der Rechtsprechung kritisch (Fingerscan nach OGH 9 ObA 109/06d ohne Zustimmung des Betriebsrats unzulässig). Sie wird nur eingeführt, wenn das Unternehmen die Erforderlichkeit im Einzelnen begründet hat und keine gleich geeignete Alternative besteht.

Voraussetzungen (alle erfüllt).

1. Eine Alternative ohne Biometrie (Ausweis, PIN) steht jeder Person gleichwertig und ohne Nachteil offen.
2. Die Teilnahme ist freiwillig; die Einwilligung ist ausdrücklich, schriftlich oder elektronisch dokumentiert und jederzeit widerruflich.
3. Eine Datenschutz-Folgenabschätzung liegt vor: [DATUM].
4. Das Merkmal (Template) verbleibt im Terminal; kloq erhält nur die Kennung der Person. Templates werden nicht exportiert.
5. Bei Widerruf oder Austritt wird das Template im Terminal gelöscht; das Unternehmen dokumentiert die Löschung.

Datenkategorien. Biometrisches Merkmal (nur im Terminal), Kennung der Person, Zeitpunkt der Buchung, Kanal.

Rollenmatrix.

Fristen. Template: bis Widerruf oder Austritt, dann Löschung im Terminal binnen [FRIST, Vorschlag: 7] Tagen.

Kontrollrechte des Betriebsrats. Einsicht in die Teilnahmequote (Anzahl, nicht Namen) und in den Löschnachweis; Prüfung des Terminals durch eine sachverständige Person.

Änderungen. Jede Einführung weiterer biometrischer Verfahren ist Änderungsfall.

Modul E: Abwesenheiten und Krankenstand

Gilt: ja / nein (Entscheidung am [DATUM])

Zweck. Verwaltung von Urlaub, Pflegefreistellung, Krankenstand und sonstigen Abwesenheiten für Lohn und Planung.

Datenkategorien. Zeitraum, Abwesenheitsart aus einem minimalen Katalog (Urlaub, Krankenstand, Arbeitsunfall, Pflegefreistellung, Sonstiges), Status des Antrags. Keine Diagnose. Ein Foto der Krankenstandsbestätigung wird nur gespeichert, wenn das Unternehmen dies in Anhang A begründet hat: Upload-Funktion eingeschaltet ja / nein.

Regeln.

1. Im Team erscheint die Abwesenheit als „abwesend“, ohne Grund, soweit der Grund für die Einsatzplanung nicht nötig ist.
2. Die Teamleitung sieht „krank“ nur, wenn dies für die Einsatzplanung erforderlich ist.
3. Anhänge werden getrennt gespeichert, verschlüsselt, nur für Personal und Lohnbüro lesbar; jedes Öffnen wird protokolliert.
4. Beschäftigte werden gewarnt, nur die für den Arbeitgeber bestimmte Ausfertigung hochzuladen. Belegerkennung (Modul J) läuft nie auf Krankenstandsunterlagen.

Rollenmatrix.

Fristen. Zeitraum: wie Lohnunterlagen. Anhang: bis Abrechnung plus 6 Monate.

Kontrollrechte des Betriebsrats. Einsicht in den Katalog der Abwesenheitsarten und in die Sichtbarkeitsregeln. Keine Einsicht in individuelle Gesundheitsangaben.

Änderungen. Neue Abwesenheitsarten und die Aktivierung des Uploads sind Änderungsfall.

Modul F: Dienstplan

Gilt: ja / nein (Entscheidung am [DATUM])

Zweck. Planung von Schichten und Besetzung. Die Details (Fristen, Tausch, Wunschfrei, Konfliktregeln) regelt die gesonderte Betriebsvereinbarung Dienstplan nach § 97 Abs. 1 Z 2 ArbVG: [BEZEICHNUNG DER BV DIENSTPLAN]. Ohne diese Vereinbarung bleibt die Schichttausch-Automatik ausgeschaltet.

Datenkategorien. Schichten, Besetzung, Wunschfrei und Verfügbarkeit, Tauschanträge, neutrale Einsatzbeschränkungen. Das Geburtsdatum wird nur für die Prüfung des Jugendschutzes verwendet und der Planung nicht angezeigt.

Rollenmatrix.

Fristen. Wie Zeitbuchungen.

Kontrollrechte des Betriebsrats. Nach der BV Dienstplan.

Änderungen. Neue Planungsfunktionen (zum Beispiel Bedarfsplanung aus Erfahrungswerten) sind Änderungsfall.

Modul G: Auswertungen und Berichte

Gilt: ja / nein (Entscheidung am [DATUM])

Zweck. Auswertungen für Arbeitszeitnachweis, Lohnabrechnung, Planung der Besetzung und Einhaltung gesetzlicher Grenzen. Es gilt das Auswertungsverbot nach Abschnitt 9.

Zulässige Auswertungen (abschließende Liste).

1. Monatsliste je Person (für die Person, Personal, Lohnbüro).
2. Lohnexport je Person und Lohnart.
3. Überstunden- und Zeitsaldo je Person (Personal, Lohnbüro, Teamleitung für die Gruppe).
4. Besetzungsübersicht („Wer ist da?“) ohne Abwesenheitsgrund.
5. [WEITERE AUSWERTUNGEN, KONKRET BENENNEN].

Unzulässig: Rankings, Pünktlichkeits- oder Fehlzeitenranglisten, Vergleiche einzelner Personen, Scoring, automatische Bewertung (siehe Abschnitt 9).

Rollenmatrix.

Fristen. Auswertungen werden bei Bedarf erzeugt; gespeicherte Exporte werden nach [FRIST, Vorschlag: 7 TAGEN] gelöscht.

Kontrollrechte des Betriebsrats. Einsicht in die Liste aller verfügbaren Auswertungen und Exportvorlagen; jährlicher Bericht über erzeugte Exporte.

Änderungen. Jede neue Auswertung ist Änderungsfall, auch wenn sie nur aus vorhandenen Daten gebildet wird.

Modul H: Rechtesteuerung und Protokoll

Gilt: ja / nein (Entscheidung am [DATUM])

Zweck. Steuerung von Rollen und Zugängen, Nachvollziehbarkeit von Änderungen, Sicherheit. Das Protokoll ist selbst ein Datenbestand über Personal und Führungskräfte; es wird nur für die genannten Zwecke verwendet und nicht zur Leistungs- oder Verhaltenskontrolle der Zugreifenden.

Datenkategorien. Protokoll von Administrationsvorgängen, Anmeldungen, Exporten, Zugriffen auf sensible Felder (Geburtsdatum, Schutzzeiträume, Gesundheitsanhänge), Bestätigungen des Mitbestimmungs-Gates. Personenbezug nur über Pseudonyme; die Inhalte sind verschlüsselt.

Ansicht „Wer hat meine Daten gesehen?“. Beschäftigte sehen Datum, Rolle, Objektart und Zweck. Die Namen der Zugreifenden werden nicht angezeigt (Einstellung: Namen anzeigen ja / nein; Standard nein).

Rollenmatrix.

Fristen. Einsichtsprotokoll 12 Monate. Administrationsprotokoll: [FRIST].

Kontrollrechte des Betriebsrats. Abschnitt 13.

Änderungen. Neue Rollen, geänderte Rechte und neue protokollierte Vorgänge sind Änderungsfall.

Modul I: Postfach-Prozess (Austritt)

Gilt: ja / nein (Entscheidung am [DATUM]). Standardmäßig: nein. Nur nach rechtlicher Beratung einschalten.

Zweck. Geordnete Behandlung von Postfach und Dateien ausscheidender Personen. kloq speichert keine Mailinhalte; es steuert Rechte und protokolliert.

Zwei Stufen.

1. Stufe A, Geschäftsübergabe (ohne Zugriff auf Inhalte). Sperre des Postfachs zur Austrittsuhrzeit, Abwesenheitsnotiz mit Ansprechperson (ohne Austrittsgrund, Dauer [90] Tage), Funktionsadresse, Übergabe-Checkliste vor dem Austritt, Archivierung geschäftlicher Mails nach Aufbewahrungsklasse. Keine automatische Weiterleitung.
2. Stufe B, Zugriff auf Inhalte. Nur bei dokumentiertem Anlass (Zweck, Rechtsgrund, Antragsteller, Umfang nach Ordner, Zeitraum und Suchbegriffen, Ablaufzeit), mit Freigabe durch zwei Personen einschließlich Datenschutz und, soweit vorhanden, Betriebsrat. Privatordner und markierte Mails sind ausgenommen; Betriebsrats-, Gesundheits- und Anwaltskommunikation wird nie an die Teamleitung gegeben. Die betroffene Person wird, soweit erreichbar, informiert und kann anwesend sein.

Eine Einwilligung der ausscheidenden Person ist nur eine zusätzliche Möglichkeit, nie der einzige Weg; sie wird vor dem Austritt eingeholt.

Rollenmatrix.

Fristen. Postfach gesperrt: 90 Tage ohne Zugriff; geschäftliche Mails nach Dokumenttyp (7 Jahre, § 132 BAO).

Kontrollrechte des Betriebsrats. Mitfreigabe in Stufe B; Einsicht in anonymisierte Fallübersicht (Anzahl, Zweck).

Änderungen. Jede Erweiterung der Zugriffsmöglichkeiten ist Änderungsfall.

Modul J: Belegerkennung (optional)

Gilt: ja / nein (Entscheidung am [DATUM]). Standardmäßig: nein.

Zweck. Auslesen von Betrag, Datum, Händler und Steuer aus Belegfotos (Essen, Reisen) für die Spesenabrechnung. Das Ergebnis ist immer von der Person oder vom Personal zu bestätigen; es gibt keine automatische Entscheidung.

Datenkategorien. Belegbild und Erkennungsergebnis, Name auf Quittung, gegebenenfalls Kartenstummel, Kilometerangaben. Der Anbieter ist Anthropic (USA). Die Übermittlung erfolgt auf Grundlage von [TRANSFERGRUNDLAGE: Data Privacy Framework / Standardvertragsklauseln], mit Auftragsverarbeitungsvertrag; der Anbieter nutzt die Daten nicht zum Training: [BESTÄTIGUNG UND NACHWEIS]. Beschäftigte können Belege manuell erfassen, ohne Nachteil.

Rollenmatrix.

Fristen. Belege: 84 Monate (§ 132 BAO). Beim Anbieter: sofortige Löschung nach Erkennung, soweit vertraglich zugesichert: [NACHWEIS].

Kontrollrechte des Betriebsrats. Einsicht in den Auftragsverarbeitungsvertrag und die Transfergrundlage; Abschaltung auf Verlangen bei Verstoß.

Änderungen. Wechsel des Anbieters oder des Verarbeitungsorts ist Änderungsfall.

Anhang A: Erforderlichkeitsbegründung je Datenkategorie

Das Unternehmen trägt je Datenkategorie ein, warum sie erforderlich ist und welche milderen Mittel geprüft und verworfen wurden. Die Spalte „Rechtsgrundlage“ ist ein Vorschlag, den das Unternehmen prüft.