Checkliste zur IT-Rahmenvereinbarung

Es geht darum, ob im System verarbeitete Daten auf Beschäftigte des Unternehmens bezogen werden können.

• direkt bedeutet datei, dass in den Datensätzen Personen direkt identifiziert sind, z.B. durch Name, Personalnummern oder sonstige Merkmale, die erkennen lassen, wer die betroffene Person ist.
• indirekt bedeutet, dass sich ein Personenbezug auch ohne direkte Identifizierung der Person mittelbar herstellen lässt. So kann z.B. durch die Bezeichnung einer Maschine und den Zeitpunkt des Ereignisses in den meisten Fällen ein Personenbezug hergestellt werden.
• kein Personenbezug: eine Person lässt sich weder direkt noch mittelbar aus den verarbeiteten Daten bestimmen

Um die Überwachungseignung von Daten zu beurteilen, ist der Personenbezug nur eine notwendige Voraussetzung. Darüber hinaus müssen die Daten Informationen über den Fortschritt der von Mitarbeiterinnen und Mitarbeitern geleisteten Arbeit oder über nähere Umstände dieser Arbeit enthalten. Dies trifft z.B. für die Produktionssteuerung, das Projekt- oder Qualitätsmanagement zu, generell auf alle Systeme, in denen auf irgendeine Weise der Fortschritt der von Menschen geleisteten oder begleiteten Arbeit registriert oder Ergebnisse dieser Arbeit dokumentiert werden, z.B. produzierte Mengen, bearbeitete Vorgänge, durchgeführte Kundenkontakte, gefahrene Kilometer.

Komplette Unterstützung der Arbeit bieten ERP-System wie SAP oder spezielle Systeme z.B. für Customer Realashionship Management (CRM) oder Materialwirtschaft. Sie unterstützen fast f alle Geschäftsprozesse in den betroffenen Bereichen eines Unternehmens.

Reine Informations- oder Auskuftsysteme stehen unabhängig von anderen Softwaresystemen für spezielle Aufgaben zur Verfügung, wie z.B. Chatbots der Klasse Generative Künstliche Intelligenz (ChatGPT, Gemini, Claude oder DeepSeek) oder elektronische "Nachschlagwerke" aus dem Bereich des früher beliebten sog. Wissensmanagements.

Informationssysteme mit Assistenzfunktionen können direkt in andere Softwaresysteme für spezielle Aufgaben integriert sein, leisten nur Hilfestellungen, bieten aber keine Vorschläge für Entscheidungen, z.B. in der Materialwirtschaft Überwachung der Lagerbestände, Meldungen über Unterschreitungen von Mindestmengen, Anzeige möglicher Lieferanten, jedoch keine automatische Auslösung von Bestellungen

Systeme mit eingebauten Workflows (oft als Agentensysteme bezeichnet) können Vorschläge für Entscheidungen machen oder diese sogleich selber ausführen, z.B. in der Materialwirtschaft automatische Bestellungen bei unterschrittenem Materialbedarf oder in der Personalwirtschaft, wo z.B. ein solches Agentenprogramm die Verfügbarkeit von Personen für bestimmte Aufgaben ermittelt, ein anderer Agent die gesetzlichen Vorgaben (Arbeitszeitgesetz, Betriebsvereinbarungen) prüft, ein dritter Agent dokumentierte Mitarbeiterwünsche auswertet und ein vierter Agent auf der Grundlage der Ergebnisse der anderen Agenten Vorschläge für die Optimierung des Personaleinsatzplans macht oder selber Entscheidungen trifft.

Ob ein System Elemente Künstlicher Intelligenz enthält, ist schwer zu beurteilen, weil alle Anbieter dies von ihren Produkten behaupten. Hier sollte ein strenger Maßstab angelegt und nur berücksichtigt werden, ob dem System Techniken Neuronaler Netze oder eine Nutzung von Sprachmodellen (sog. LLMs) zugrunde liegen und nicht nur Algorithmen für automatisierte Workflows.

Bei den Cloud-Anwendungen lassen sich verschiedene Formen von private Cloud von der public Cloud unterscheiden. Eine private Cloud kann zu 100 Prozent vom Unternehmen selber mit dessen eigenen Computern betrieben oder als Sevice von einem Provider bezogen werden. Dabei kann der Provider zusichern, keinen Zugang zu den in dieser Cloud gespeicherten Daten zu haben.Es kann aber auch sein, dass der Provider verschiedene Serviceaufgaben übernimmt und damit zumindest einen teilweisen Zugriff auf die Daten hat. Oder es kann sich um eine komplette Funktionsübertragung handeln, wobei der Serviceanbieter die Ausführung kompletter Gechäftsabläufe übernimmt. Die diversen Modalitäten müssen vertraglich geregelt sein, sowohl was die Zweckbindung der erlaubten Verarbeitung als auch die Verarbeitungsverfahren betrifft.

Eine hybride Cloud stellt eine Mischform dar. Die betroffene Cloud-Lösung kann in andere Softwareprodukte integriert sein, gleich ob es sich dabei um eine auf den Rechnern des Unternehmens betriebene Software (on Premise) oder ein anderes Cloud-Produkt handelt.

Eine public cloud wie beispielsweise viele Chatbots wird nach alleinigem Ermessen des Serviceanbieters betrieben. Bei unter solchen Bedingungen benutzten Chatbots (Stand 2025) sollte man klären, ob Daten des Unternehmens vom Serviceanbieter zu Trainingszwecken seiner Systeme genutzt werden können.

Im Ablauf des Planungs- und Einführungsprozesses eines Softwareprodukts können eine weitere Anzahl von Dokumenten entstehen, z.B. ein Löschkonzept, Schulungskonzept oder eine Risikobewertung. Um die Checkliste überschaubar zu halten, sind sie hier nicht eigens aufgeführt. Wenn ein solches Dokument im Rahmen der betriebsverfassungsrechtlichen Mitbestimmung von einer Seite für wichtig erachtet wird, kann es im Anmerkungsfeld aufgeführt werden, sinnvollerweise mit einem Link direkt auf den Text des Dokuments.