Betriebsvereinbarung Zeiterfassung und Mitarbeiter-App (Deutschland)

Betriebsvereinbarung über die Einführung und Anwendung von kloq (Zeiterfassung und Mitarbeiter-App)

abgeschlossen zwischen

[UNTERNEHMEN], [ANSCHRIFT], im Folgenden Arbeitgeber,

und dem Betriebsrat des Betriebs [BETRIEB], vertreten durch [BETRIEBSRAT], im Folgenden Betriebsrat.

1. Präambel und Grundsätze

1. Der Arbeitgeber führt die Software kloq (Module time, mobile und, soweit in Anhang 1 angekreuzt, people und pay) ein. Diese Vereinbarung regelt, welche Funktionen genutzt werden, welche Daten dabei verarbeitet werden und wer sie sehen darf.
2. Die Einführung und Anwendung betrifft Mitbestimmungsrechte des Betriebsrats nach § 87 Abs. 1 Nr. 1 (Ordnung des Betriebs und Verhalten der Arbeitnehmer), Nr. 2 (Beginn und Ende der täglichen Arbeitszeit, Verteilung auf die Wochentage), Nr. 6 (technische Einrichtungen, die zur Überwachung von Verhalten oder Leistung geeignet sind) und Nr. 14 (Ausgestaltung mobiler Arbeit mittels Informations- und Kommunikationstechnik) BetrVG.
3. Datenschutzrechtlich stützt der Arbeitgeber die Verarbeitung auf Art. 6 Abs. 1 lit. b, c und f DSGVO, für Gesundheitsdaten zusätzlich auf Art. 9 Abs. 2 lit. b DSGVO und § 26 Abs. 3 BDSG. Diese Betriebsvereinbarung ist zugleich Kollektivvereinbarung im Sinn von § 26 Abs. 4 BDSG.
4. Diese Vereinbarung ist kein Freibrief. Nach der Rechtsprechung des Europäischen Gerichtshofs (C-65/23) müssen auch Regelungen in Kollektivvereinbarungen die Grundsätze und Rechtsgrundlagen der DSGVO (Art. 5, 6, 9) einhalten und sind gerichtlich voll überprüfbar. Die Parteien können das Schutzniveau der DSGVO nicht absenken. Sie haben deshalb für jede Datenkategorie die Erforderlichkeit begründet (Anhang A).
5. Es gilt der Grundsatz der Datensparsamkeit. Funktionen, die in Anhang 1 nicht mit „Gilt: ja“ gekennzeichnet sind, bleiben ausgeschaltet.
6. Die Zeiterfassung dient der Erfüllung gesetzlicher und vertraglicher Pflichten und der Abrechnung. Sie dient nicht der Leistungs- oder Verhaltenskontrolle.
7. Beteiligungsrechte des Betriebsrats bleiben unberührt (§ 26 Abs. 6 BDSG).

2. Geltungsbereich

1. Die Vereinbarung gilt räumlich für den Betrieb [BETRIEB] und persönlich für alle Arbeitnehmerinnen und Arbeitnehmer im Sinn des BetrVG, die kloq nutzen oder deren Daten in kloq verarbeitet werden.
2. Leitende Angestellte im Sinn des § 5 Abs. 3 BetrVG sind ausgenommen, soweit Anhang 1 sie nicht ausdrücklich einbezieht: [REGELUNG LEITENDE ANGESTELLTE].
3. Soweit Beschäftigte mehrerer Betriebe betroffen sind, gilt diese Vereinbarung für den Betrieb [BETRIEB]; für andere Betriebe ist [ZUSTÄNDIGES GREMIUM] zuständig.

3. Begriffe

• Funktionsgruppe: Ein in Anhang 1 beschriebenes Modul, das als Ganzes eingeschaltet oder ausgeschaltet ist (Module A bis J).
• Personenbezogene Daten: alle Informationen, die sich auf eine bestimmte oder bestimmbare Person beziehen.
• Auswertung: jede Zusammenstellung, Verknüpfung oder Darstellung von Daten, die über die Anzeige einzelner Datensätze hinausgeht.
• Teamleitung: die vom Arbeitgeber benannte Führungskraft für eine Gruppe von Beschäftigten.
• Personal: die Personalabteilung. Lohnbüro: interne oder externe Stelle der Entgeltabrechnung.

4. Beschreibung des Systems

1. kloq besteht aus einer Weboberfläche, einer Mitarbeiter-App, optionalen Kiosk- und Terminal-Geräten sowie Schnittstellen zur Lohnabrechnung.
2. Der Arbeitgeber übergibt dem Betriebsrat vor Unterzeichnung die technische Funktionsbeschreibung der eingesetzten kloq-Version mit Datenflüssen, Auswertungen, Rollen und Unterauftragsverarbeitern. Sie ist Anlage dieser Vereinbarung: [BEZEICHNUNG UND VERSION].
3. Hosting: [HOSTING-ORT UND ANBIETER]. Auftragsverarbeitungsvertrag: [DATUM, FUNDSTELLE]. Die aktuelle Liste der Unterauftragsverarbeiter erhält der Betriebsrat auf Verlangen.

5. Zwecke der Verarbeitung

Die Daten werden ausschließlich verarbeitet für:

1. Aufzeichnung der geleisteten Arbeitszeit, soweit gesetzlich oder vertraglich geboten.
2. Abrechnung von Entgelt, Zuschlägen, Abwesenheiten und Spesen.
3. Planung der Arbeitszeit (soweit Modul F gilt).
4. Verwaltung von Urlaub und Abwesenheiten.
5. Nachweis der Einhaltung gesetzlicher Arbeitszeitgrenzen und Ruhezeiten.
6. Sicherheit und Nachvollziehbarkeit des Systems.

Andere Zwecke sind unzulässig. Insbesondere werden keine Leistungs-, Verhaltens- oder Bewegungsprofile erstellt (Abschnitt 9).

6. Rechte der Beschäftigten

1. Jede beschäftigte Person kann ihre eigenen Rohbuchungen, Korrekturen und Abwesenheiten jederzeit einsehen und sieht, wer eine Korrektur vorgenommen hat.
2. Der Arbeitgeber erfüllt Auskunfts-, Berichtigungs-, Lösch- und Übertragungsansprüche nach der DSGVO und den Regelungen des BDSG.
3. Beschäftigte erhalten die Information nach Art. 13 DSGVO (Vorlage „Mitarbeiter-Information“) vor Beginn der Nutzung.
4. Aus der Ablehnung freiwilliger Funktionen (Komfortfunktionen, Push-Erinnerungen) entstehen keine Nachteile. Eine Einwilligung wird nur eingeholt, wo sie freiwillig sein kann (Vorteil für die Person); sie ist jederzeit widerruflich, und der Widerruf wirkt sofort.
5. Anlaufstelle für Datenschutzfragen: [DATENSCHUTZKONTAKT UNTERNEHMEN, GGF. DATENSCHUTZBEAUFTRAGTE/R].

7. Rollen und Berechtigungen

1. Jede Rolle erhält nur die Rechte, die sie für ihre Aufgabe braucht. Die Rollenmatrix je Funktionsgruppe steht in Anhang 1.
2. Die Teamleitung sieht Zeiten ihrer Gruppe, aber keine Lohndaten und keine Gesundheitsdaten.
3. Personal und Lohnbüro sehen Daten nur, soweit sie für Abrechnung und Personalverwaltung nötig sind.
4. Administratorinnen und Administratoren verwalten das System und sehen Inhalte nur, wenn dies zur Fehlerbehebung nötig ist und protokolliert wird.
5. Die Berechtigungsübersicht („Rechte“-Seite) ist für den Betriebsrat jederzeit einsehbar.

8. Besondere Kategorien von Daten

1. Gesundheitsdaten werden nur im notwendigen Mindestumfang verarbeitet: Tatsache und Dauer der Arbeitsunfähigkeit, keine Diagnose.
2. Biometrische Daten werden nur nach Modul D verarbeitet.
3. Schwangerschaft, Stillzeit und Behinderung erscheinen in der Planung nur als neutrale Einsatzbeschränkung ohne Grund.

9. Auswertungsverbot

1. Der Arbeitgeber und seine Führungskräfte werten Daten aus kloq nicht aus, um Leistung oder Verhalten einzelner Personen zu beurteilen oder zu vergleichen (Leistungs- oder Verhaltensprofil).
2. Unzulässig sind insbesondere Rankings nach Stempelzeiten, Pünktlichkeit, Standortabweichungen, Krankheitshäufigkeit oder Tauschverhalten sowie das Ableiten von Bewegungsprofilen.
3. Daten aus kloq dürfen nicht allein Grundlage personeller Maßnahmen (Abmahnung, Kündigung) sein. Systemhinweise (zum Beispiel Plan/Ist-Abweichung) sind keine Sanktionsgrundlage ohne Anhörung der betroffenen Person.
4. Zulässige Auswertungen sind in Modul G abschließend aufgezählt. Jede neue Auswertung ist ein Änderungsfall (Abschnitt 12).
5. Aus der Wahl eines Kanals oder der Verweigerung eines freiwilligen Verfahrens werden keine Schlüsse gezogen.

10. Erforderlichkeit und Verhältnismäßigkeit

1. Die Parteien haben je Datenkategorie geprüft, ob die Verarbeitung erforderlich ist und ob ein milderes Mittel besteht (Anhang A).
2. Ändern sich die Umstände, überprüfen die Parteien Anhang A; spätestens nach [ZEITRAUM, Vorschlag: 12 Monaten].
3. Entfällt die Erforderlichkeit, wird die Verarbeitung eingestellt und die Daten werden nach Abschnitt 11 behandelt.

11. Fristen für Aufbewahrung und Löschung

1. Aufbewahrung und Löschung richten sich nach der Aufbewahrungsklasse. Als Ausgangswerte für Deutschland gelten:

1. Der Arbeitgeber kann Fristen innerhalb gesetzlicher Grenzen anpassen. Er informiert den Betriebsrat und ergänzt Anhang A: [ABWEICHENDE FRISTEN].
2. Daten, die noch aufzubewahren sind, werden gesperrt statt gelöscht. Nach Fristablauf werden sie gelöscht oder unwiderruflich unkenntlich gemacht. Eine Löschsperre (Rechtsstreit, Prüfung) wird protokolliert und dem Betriebsrat auf Verlangen mitgeteilt.
3. Löschläufe werden als Vorschau angezeigt und protokolliert.

12. Änderungsverfahren und Funktionsregister

1. Die Vereinbarung gilt für die Funktionen, die in Anhang 1 mit „Gilt: ja“ gekennzeichnet sind, in der dort beschriebenen Form.
2. Neue Funktion ist Änderungsfall. Wird eine Funktion neu aktiviert, erweitert oder kommt sie durch ein Update hinzu, bleibt sie ausgeschaltet, bis die Parteien die Vereinbarung ergänzt haben. kloq zeigt dafür im Verwaltungsbereich einen Hinweis (Mitbestimmungs-Gate) und protokolliert die Bestätigung des Arbeitgebers. Das Gate sperrt die Funktion technisch nicht; der Arbeitgeber verpflichtet sich daher, sie intern erst nach Ergänzung der Vereinbarung freizuschalten.
3. Der Arbeitgeber informiert den Betriebsrat vor jedem Versionswechsel über neue, mitbestimmungsrelevant gekennzeichnete Funktionen, spätestens [FRIST, Vorschlag: 14] Tage vor dem geplanten Einsatz.
4. Der Probebetrieb mit echten Beschäftigtendaten („Pilot“) ist Einführung im Sinn dieser Vereinbarung und nur mit Zustimmung des Betriebsrats zulässig. Eine Pilotteilnahme darf nicht erzwungen werden.
5. Ergänzungen werden schriftlich als Nachtrag zu Anhang 1 vereinbart, mit Datum und Versionsnummer.

13. Kontrollrechte des Betriebsrats

1. Der Betriebsrat kann jederzeit die Berechtigungsübersicht, das Funktionsregister mit Aktivierungsstand und die Liste der Unterauftragsverarbeiter einsehen.
2. Der Arbeitgeber gewährt auf Verlangen Einblick in die Protokolle über Administrationsvorgänge und Zugriffe auf sensible Felder, soweit diese selbst keine unzulässige Kontrolle einzelner Personen ermöglichen. Die Einsicht erfolgt zu zweit und wird protokolliert: [REGELUNG EINSICHT].
3. Der Betriebsrat kann bei Verdacht auf Verstöße eine Prüfung durch [UNABHÄNGIGE STELLE, ZUM BEISPIEL DATENSCHUTZBEAUFTRAGTE/R] verlangen.
4. Der Arbeitgeber informiert den Betriebsrat unverzüglich über Datenschutzverletzungen, die Beschäftigte betreffen.
5. Der Betriebsrat kann zur Beurteilung technischer Fragen eine sachverständige Person hinzuziehen (§ 80 Abs. 3 BetrVG); Näheres: [REGELUNG KOSTEN UND UMFANG].
6. Das Zugriffsprotokoll ist selbst ein Datenbestand über Beschäftigte mit Zugriffsrechten. Die Parteien stellen klar, dass es nicht zur Leistungs- oder Verhaltenskontrolle der Zugreifenden verwendet wird.

14. Streitbeilegung

1. Bei Meinungsverschiedenheiten verhandeln die Parteien innerhalb von [FRIST] Tagen.
2. Kommt keine Einigung zustande, entscheidet in den Angelegenheiten des § 87 Abs. 1 BetrVG die Einigungsstelle (§ 87 Abs. 2 BetrVG). Ihr Spruch ersetzt die Einigung zwischen Arbeitgeber und Betriebsrat.
3. Die Einigungsstelle ersetzt nicht die Prüfung der Datenschutzkonformität; die Anforderungen der DSGVO bleiben bindend.
4. Besetzung der Einigungsstelle, Vorsitz und Verfahren: [VEREINBARUNG, FALLS GEWÜNSCHT].

15. Schlussbestimmungen

1. Die Vereinbarung tritt am [DATUM] in Kraft.
2. Sie wird auf [unbestimmte Zeit / BEFRISTUNG] geschlossen und kann von jeder Partei mit einer Frist von [FRIST] zum [TERMIN] schriftlich gekündigt werden. Nachwirkung: [REGELUNG].
3. Sie wird im Betrieb ausgelegt oder digital zugänglich gemacht; der Hinweis darauf erfolgt in kloq und in der Beschäftigteninformation.
4. Ist eine Bestimmung unwirksam, bleibt die Vereinbarung im Übrigen wirksam. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem Zweck am nächsten kommt.

[ORT], [DATUM]

Für den Arbeitgeber: [NAME, FUNKTION]

Für den Betriebsrat: [NAME, FUNKTION]

Anhang 1: Funktionsgruppen

Jede Funktionsgruppe ist ein eigener Abschnitt. Gilt ein Abschnitt nicht, wird die Funktion im Betrieb nicht eingesetzt. Die Parteien tragen vor Unterzeichnung bei jedem Modul „ja“ oder „nein“ ein, streichen Nichtzutreffendes und halten das Datum der Entscheidung fest.

Modul A: Stempeln (Web, Kiosk, Terminal)

Gilt: ja / nein (Entscheidung am [DATUM])

Zweck. Erfassung von Beginn, Ende und Pausen der Arbeitszeit für gesetzlich oder vertraglich gebotene Aufzeichnung und Abrechnung.

Datenkategorien. Zeitpunkt, Art der Buchung (Kommen, Gehen, Pause, Dienstgang), Kanal (Web, Kiosk, Terminal, App), Kennung der Person, Korrekturen mit Begründung und korrigierender Person; bei Ausweis oder PIN die Kennung des Ausweises und des Geräts.

Rollenmatrix.

Fristen. Zeitbuchungen: Abschnitt 11 (Ausgangswert 36 Monate); Terminal-Lesevorgänge 30 Tage.

Kontrollrechte des Betriebsrats. Einsicht in Geräte- und Kanalliste; Mitteilung vor Änderung der Stempelregeln (Rundung, Pausenautomatik): [REGELUNG].

Änderungen. Neue Kanäle oder Gerätetypen sind Änderungsfall.

Modul B: Mitarbeiter-App

Gilt: ja / nein (Entscheidung am [DATUM])

Zweck. Stempeln, Einsicht in eigene Zeiten, Urlaubs- und Abwesenheitsanträge, Dienstplan, Mitteilungen (mobile Arbeit im Sinn von § 87 Abs. 1 Nr. 14 BetrVG). Die Nutzung ist freiwillig; ein gleichwertiger Kanal (Kiosk, Web) bleibt verfügbar. Es besteht keine Pflicht, ein privates Gerät zu verwenden: [ALTERNATIVE FÜR PERSONEN OHNE FIRMENGERÄT].

Datenkategorien. Kontodaten (Name, Personalnummer, Rolle), Gerätekennung für Anmeldung und Push, Buchungen und Anträge, Einstellungen. Keine Hintergrund-Ortung; Standort nur bei aktiver Buchung (Modul C).

Rollenmatrix.

Push. Mitteilungen sind inhaltsfrei und enthalten keine Gesundheits- oder Entgeltdaten. Die Zustellung läuft über Dienste von Apple und Google (USA); die Beschäftigteninformation weist darauf hin. Push-Erinnerungen sind freiwillig und widerruflich.

Fristen. Gerätekennungen: bis Abmeldung oder Austritt. Einwilligungsnachweise: Widerruf plus 36 Monate.

Kontrollrechte des Betriebsrats. Einsicht in die Liste der App-Funktionen und Betriebssystem-Berechtigungen.

Änderungen. Hintergrund-Standort ist ausgeschlossen; weitere Berechtigungen sind Änderungsfall.

Modul C: Standort (Geofence, NFC-Tag)

Gilt: ja / nein (Entscheidung am [DATUM])

Zweck. [ZWECK, ZUM BEISPIEL NACHWEIS DES ARBEITSORTS BEI AUSSENDIENST ODER BAUSTELLE]. Nur zulässig, soweit der Zweck nicht mit einem milderen Mittel gleich gut erreichbar ist (Anhang A). Der NFC-Tag am Arbeitsort ist milder als GPS.

Modus (genau einen ankreuzen/streichen).

• Modus 1: aus.
• Modus 2: nur NFC-Tag am Arbeitsort (kein GPS).
• Modus 3: Geofence mit Markierung „innerhalb/außerhalb“ (Hinweis für Personal, Buchung wird nie abgelehnt).
• Modus 4: Geofence mit Durchsetzung. Nur mit ausdrücklicher Zustimmung des Betriebsrats: [JA / NEIN].

Datenkategorien. Standortergebnis (innerhalb, außerhalb, unbekannt, nicht erhoben), Genauigkeit in Metern, Kennung des Geofence oder NFC-Tags. Koordinaten werden nicht gespeichert. Falls Rohkoordinaten vorgesehen sind: [BEGRÜNDUNG, FRIST HÖCHSTENS 30 TAGE].

Regeln.

1. Abfrage nur im Moment der Buchung, nie im Hintergrund.
2. „Außerhalb“ ist bei Außendienst, Homeoffice und Baustelle der Normalfall und löst keine Sanktion aus.
3. Eine Buchung wird nie stillschweigend verworfen.
4. Die Teamleitung sieht höchstens „Plausibilisierung nötig“, nicht den Standort. Personal sieht das Ergebnis, nicht die Koordinaten.
5. Es werden keine Bewegungsprofile gebildet; Dienstgang-Beginn und -Ende werden nicht zu Wegen verbunden.
6. Wer die Standortfreigabe verweigert, bucht über einen anderen Kanal, ohne Nachteil.

Rollenmatrix.

Fristen. Ergebnis wie Zeitbuchungen; Rohkoordinaten höchstens [0 bis 30] Tage, tägliche Löschung.

Kontrollrechte des Betriebsrats. Einsicht in Konfiguration (Modus, Orte, Radien), in Löschprotokolle und einmal jährlich in eine anonymisierte Statistik der „außerhalb“-Markierungen.

Änderungen. Moduswechsel, neue Geofences und Rohdaten sind Änderungsfall.

Datenschutz-Folgenabschätzung. Vor Aktivierung von Modus 3 oder 4 führt der Arbeitgeber eine DSFA durch und bezieht den Betriebsrat ein: [DATUM DER DSFA].

Modul D: Biometrie-Terminal

Gilt: ja / nein (Entscheidung am [DATUM]). Standardmäßig: nein.

Zweck. [ZWECK, NUR WENN ERFORDERLICH BEGRÜNDET]. Biometrische Zeiterfassung (Fingerabdruck) wurde von einem Landesarbeitsgericht als nicht erforderlich beurteilt; eine Verweigerung durfte nicht abgemahnt werden. Sie wird nur eingeführt, wenn der Arbeitgeber die Erforderlichkeit im Einzelnen begründet und keine gleich geeignete Alternative besteht.

Voraussetzungen (alle erfüllt).

1. Eine Alternative ohne Biometrie (Ausweis, PIN) steht gleichwertig und ohne Nachteil offen.
2. Die Teilnahme ist freiwillig, die ausdrückliche Einwilligung dokumentiert und jederzeit widerruflich (Art. 9 Abs. 2 lit. a DSGVO, § 26 Abs. 2 und 3 BDSG).
3. Eine Datenschutz-Folgenabschätzung liegt vor: [DATUM].
4. Das Merkmal verbleibt im Terminal; kloq erhält nur die Kennung der Person. Templates werden nicht exportiert.
5. Bei Widerruf oder Austritt wird das Template im Terminal gelöscht und die Löschung dokumentiert.

Datenkategorien. Biometrisches Merkmal (nur im Terminal), Kennung der Person, Zeitpunkt, Kanal.

Rollenmatrix.

Fristen. Template bis Widerruf oder Austritt, dann Löschung binnen [FRIST, Vorschlag: 7] Tagen.

Kontrollrechte des Betriebsrats. Einsicht in die Teilnahmequote (Anzahl, keine Namen) und den Löschnachweis; Prüfung des Terminals durch eine sachverständige Person.

Änderungen. Weitere biometrische Verfahren sind Änderungsfall.

Modul E: Abwesenheiten und Krankenstand

Gilt: ja / nein (Entscheidung am [DATUM])

Zweck. Verwaltung von Urlaub, Arbeitsunfähigkeit und sonstigen Abwesenheiten für Lohn und Planung.

Datenkategorien. Zeitraum, Abwesenheitsart aus einem minimalen Katalog (Urlaub, Arbeitsunfähigkeit, Arbeitsunfall, Pflege, Sonstiges), Antragsstatus. Keine Diagnose. Die Arbeitsunfähigkeit wird, soweit möglich, elektronisch bei der Krankenkasse abgerufen. Ein Foto der Bescheinigung wird nur gespeichert, wenn der Arbeitgeber dies in Anhang A begründet hat (zum Beispiel bei Privatversicherten): Upload eingeschaltet ja / nein.

Regeln.

1. Im Team erscheint die Abwesenheit als „abwesend“ ohne Grund, soweit der Grund für die Einsatzplanung nicht nötig ist.
2. Anhänge werden getrennt gespeichert, verschlüsselt, nur für Personal und Lohnbüro lesbar; jedes Öffnen wird protokolliert.
3. Beschäftigte werden gewarnt, nur die für den Arbeitgeber bestimmte Ausfertigung hochzuladen. Die Belegerkennung (Modul J) läuft nie auf Bescheinigungen.

Rollenmatrix.

Fristen. Zeitraum wie Lohnunterlagen; Anhang bis Abrechnung plus 6 Monate.

Kontrollrechte des Betriebsrats. Einsicht in Katalog der Abwesenheitsarten und Sichtbarkeitsregeln; keine Einsicht in individuelle Gesundheitsangaben.

Änderungen. Neue Abwesenheitsarten und der Upload sind Änderungsfall.

Modul F: Dienstplan

Gilt: ja / nein (Entscheidung am [DATUM])

Zweck. Planung von Schichten und Besetzung. Fristen, Tausch, Wunschfrei und Konfliktregeln regelt die gesonderte Betriebsvereinbarung Dienstplan (§ 87 Abs. 1 Nr. 2, 3 BetrVG): [BEZEICHNUNG]. Ohne sie bleibt die Auto-Bestätigung beim Schichttausch ausgeschaltet.

Datenkategorien. Schichten, Besetzung, Wunschfrei und Verfügbarkeit, Tauschanträge, neutrale Einsatzbeschränkungen. Das Geburtsdatum dient nur der Jugendschutzprüfung und wird der Planung nicht angezeigt.

Rollenmatrix.

Fristen. Wie Zeitbuchungen.

Kontrollrechte des Betriebsrats. Nach der BV Dienstplan.

Änderungen. Neue Planungsfunktionen (zum Beispiel Bedarfsplanung aus Erfahrungswerten) sind Änderungsfall.

Modul G: Auswertungen und Berichte

Gilt: ja / nein (Entscheidung am [DATUM])

Zweck. Arbeitszeitnachweis, Lohnabrechnung, Besetzungsplanung, Einhaltung gesetzlicher Grenzen. Es gilt das Auswertungsverbot nach Abschnitt 9.

Zulässige Auswertungen (abschließend).

1. Monatsliste je Person.
2. Lohnexport je Person und Lohnart.
3. Überstunden- und Zeitsaldo je Person (Personal, Lohnbüro, Teamleitung für die Gruppe).
4. Besetzungsübersicht („Wer ist da?“) ohne Abwesenheitsgrund.
5. [WEITERE AUSWERTUNGEN, KONKRET BENENNEN].

Unzulässig: Rankings, Pünktlichkeits- oder Fehlzeitenranglisten, Vergleiche einzelner Personen, Scoring, automatische Bewertung.

Rollenmatrix.

Fristen. Auswertungen werden bei Bedarf erzeugt; gespeicherte Exporte werden nach [FRIST, Vorschlag: 7 Tagen] gelöscht.

Kontrollrechte des Betriebsrats. Einsicht in die Liste aller Auswertungen und Exportvorlagen; jährlicher Bericht über erzeugte Exporte.

Änderungen. Jede neue Auswertung ist Änderungsfall, auch wenn sie nur aus vorhandenen Daten gebildet wird.

Modul H: Rechtesteuerung und Protokoll

Gilt: ja / nein (Entscheidung am [DATUM])

Zweck. Steuerung von Rollen und Zugängen, Nachvollziehbarkeit, Sicherheit. Das Protokoll wird nur zu diesen Zwecken verwendet.

Datenkategorien. Protokoll von Administrationsvorgängen, Anmeldungen, Exporten, Zugriffen auf sensible Felder (Geburtsdatum, Schutzzeiträume, Gesundheitsanhänge), Bestätigungen des Mitbestimmungs-Gates. Personenbezug nur über Pseudonyme; Inhalte verschlüsselt.

Ansicht „Wer hat meine Daten gesehen?“. Beschäftigte sehen Datum, Rolle, Objektart und Zweck. Namen der Zugreifenden werden nicht angezeigt (Einstellung: Namen anzeigen ja / nein; Standard nein).

Rollenmatrix.

Fristen. Einsichtsprotokoll 12 Monate; Administrationsprotokoll: [FRIST].

Kontrollrechte des Betriebsrats. Abschnitt 13.

Änderungen. Neue Rollen, geänderte Rechte und neu protokollierte Vorgänge sind Änderungsfall.

Modul I: Postfach-Prozess (Austritt)

Gilt: ja / nein (Entscheidung am [DATUM]). Standardmäßig: nein. Nur nach rechtlicher Beratung einschalten.

Zweck. Geordnete Behandlung von Postfach und Dateien ausscheidender Personen. kloq speichert keine Mailinhalte; es steuert Rechte und protokolliert.

Zwei Stufen.

1. Stufe A, Geschäftsübergabe (ohne Zugriff auf Inhalte). Sperre des Postfachs zur Austrittsuhrzeit, Abwesenheitsnotiz mit Ansprechperson (ohne Austrittsgrund, [90] Tage), Funktionsadresse, Übergabe-Checkliste vor dem Austritt, Archivierung geschäftlicher Mails nach Aufbewahrungsklasse. Keine automatische Weiterleitung.
2. Stufe B, Zugriff auf Inhalte. Nur bei dokumentiertem Anlass (Zweck, Rechtsgrund, Antragsteller, Umfang nach Ordner, Zeitraum und Suchbegriffen, Ablaufzeit), mit Freigabe durch zwei Personen einschließlich Datenschutz und Betriebsrat. Privatordner und markierte Mails sind ausgenommen; Betriebsrats-, Gesundheits- und Anwaltskommunikation wird nie an die Teamleitung gegeben. Die Person wird, soweit erreichbar, informiert und kann anwesend sein.

Die Einwilligung der ausscheidenden Person ist nur eine zusätzliche Möglichkeit, nie der einzige Weg. Privatnutzung des Postfachs ist im Betrieb: [VERBOTEN / GEDULDET / ERLAUBT].

Rollenmatrix.

Fristen. Postfach gesperrt: 90 Tage ohne Zugriff; geschäftliche Mails nach Dokumenttyp (6 Jahre nach Handels- und Abgabenrecht).

Kontrollrechte des Betriebsrats. Mitfreigabe in Stufe B; Einsicht in anonymisierte Fallübersicht.

Änderungen. Jede Erweiterung der Zugriffsmöglichkeiten ist Änderungsfall.

Modul J: Belegerkennung (optional)

Gilt: ja / nein (Entscheidung am [DATUM]). Standardmäßig: nein.

Zweck. Auslesen von Betrag, Datum, Händler und Steuer aus Belegfotos für die Spesenabrechnung. Das Ergebnis wird immer von der Person oder dem Personal bestätigt; es gibt keine automatische Entscheidung.

Datenkategorien. Belegbild und Erkennungsergebnis, Name auf Quittung, gegebenenfalls Kartenstummel, Kilometerangaben. Der Anbieter ist Anthropic (USA). Übermittlung auf Grundlage von [TRANSFERGRUNDLAGE: Data Privacy Framework / Standardvertragsklauseln], mit Auftragsverarbeitungsvertrag; keine Nutzung zum Training: [NACHWEIS]. Manuelle Erfassung bleibt ohne Nachteil möglich.

Rollenmatrix.

Fristen. Belege 96 Monate (Ausgangswert, Zuordnung Beleg/Lohnkonto prüfen). Beim Anbieter: Löschung nach Erkennung, soweit vertraglich zugesichert: [NACHWEIS].

Kontrollrechte des Betriebsrats. Einsicht in Auftragsverarbeitungsvertrag und Transfergrundlage; Abschaltung auf Verlangen bei Verstoß.

Änderungen. Wechsel des Anbieters oder Verarbeitungsorts ist Änderungsfall.

Anhang A: Erforderlichkeitsbegründung je Datenkategorie

Der Arbeitgeber trägt je Datenkategorie ein, warum sie erforderlich ist und welche milderen Mittel geprüft und verworfen wurden. Die Spalte „Rechtsgrundlage“ ist ein Vorschlag, den der Arbeitgeber prüft.