Personaldaten im Data Warehouse

1. Gegenstand und Geltungsbereich

Diese Vereinbarung regelt den Einsatz eines Data Warehouses für die Personaldatenverarbeitung in der Firma .....

Sie gilt für alle Mitarbeiterinnen und Mitarbeiter, deren Daten im System verarbeitet werden ..

2. Grundsätze für die Übertragung der Daten aus dem operativen System

Das Data Warehouse-System bezieht seine Daten ausschließlich aus dem Lohn- und Gehaltsabrechnungssystem [Name des Produktes, z.B. SAP HR]. Die Übertragung erfolgt regelmäßig in Tagesaktualität.

    Theoretisch kann ein Data Warehouse Daten aus allmöglichen Systemen unter einem Dach versammeln. Dies muss man nicht grundsätzlich ausschließen; die Frage sollte allerdings geklärt werden. Gibt es mehrere "Datenlieferanten", so wären sie hier aufzuzählen, eventuell in einer Anlage zur Vereinbarung.

    Auch die "Aktualisierungsrate" der Daten im Data Warehouse kann hier festgelegt werden. Viele Unternehmen brauchen die Daten nur mit Monatsgenauigkeit.

Die Daten im Data Warehouse sind in Datenwürfeln (data cubes) organisiert, wobei sog. Kennzahlen in Abhängigkeit von sog. Dimensionen dargestellt werden können und grundsätzlich alle Kennzahlen eines Datenwürfels mit allen Dimensionen kombiniert werden können.

Im Einzelnen gelten folgende Regelungen:

  • Um die Auswertungsmöglichkeiten überschaubar zu halten, werden für im Einzelnen beschriebene Verwendungszwecke eigene Datenwürfel (Data Cubes) gebildet. Diese umfassen nur eine überschaubare Anzahl von Kennzahlen und Dimensionen, die sich allein aus dem Verwendungszweck des Datenwürfels ableiten.

    • Auswertungen werden bei dieser Technik online erstellt und lassen sich daher nicht mehr durch Kopien der Listen oder Berichte dokumentieren. Man kann jede der verfügbaren Kennzahlen in Abhängigkeit von einer oder mehreren Diemsionen darstellen, wobei für die Dimensionen eines sog. Drill-Down-Technik zur Auflösung grober Einheiten in feinere Abstufungen angeboten wird. Lautet die Dimension z.B. Organisationseinheit, so erlaubt das Drill Down eine Darstellung der Ergebnisse für die Einheiten gesamter Konzern -> einzelne Unternehmen -> Unternehmensbereiche -> Hauptabteilungen -> Abteilungen -> Kostenstellen -> einzelne Arbeitsplätze. Bei den Dimensionen kommt es - wie das Beispiel zeigt - also darauf an, was die kleinste erlaubte Einheit ist. Reicht diese herunter bis zum Arbeitsplatz, so sind darüber aller Voraussicht nach die Beschäftigten reindividualisiert. Es ist also wichtig, festzulegen, bis zu welcher Einheit die Auflösung einer Dimension erlaubt wird. Die Datenbasis des Systems ist fast immer einzelpersonenbezogen, auch wenn die einzelnen Personen nicht unmittelbar identifiziert sind. Ihre mittelbare Identifizierung muss durch geeignete Verarbeitungsregeln unterbunden werden.

    Leider gibt es eine nicht unbeachtliche Anzahl von Unternehmen, die insbesondere das SAP-Business Warehouse einführen, weil es chic und modern ist. Man erkennt dies meist daran, dass die operative Datenbasis aus dem HR-System mehr oder weniger eins zu eins in das Business Warehouse übertragen wird. Dann laufen die alten Auswertungsprogramme mit nur geringen Änderungen auch im neuen System. Bezahlt wird das mit einer schnell siebenstelligen Geldsumme und mit riesengroßen Datenwürfeln, die den Nachteil haben, dass kaum noch Überblick über die möglichen Auswertungen besteht, weil im Prinzip "alles mit allem" kombinierbar ist - ein Zustand, den Betriebsräte nicht hinnehmen sollten.

  • Die verfügbaren Datenwürfel sind in Anlage 1 dokumentiert. Aus der Anlage gehen eine Beschreibung des jeweiligen Verwendungszwecks in Stichworten und eine Aufzählung der Datenfelder, getrennt nach Kennzahlen und Dimensionen und der Kreis der zugriffsberechtigten Personen hervor.

  • Für jede Dimension in den Datenwürfeln ist in Anlage 1 ebenfalls ihre Auflösbarkeit (Drill-Down-Möglichkeit) beschrieben.

3. Regeln für die Auswertung

Anonymität: Kein Datenwürfel bietet Informationen an, die eine Person direkt identifizieren können (Personalnummer, Name oder eine vergleichbare Information). Wegen der relativ leichten Reindividualisierungsmöglichkeit erfolgt bei Datumsangaben wie Geburts- oder Eintrittsdatum die Darstellung nur mit Monatsgenauigkeit.

Aggregierung: In allen Auswertungen werden Informationen, die sich nicht auf mindestens fünf verschiedene Personen beziehen, nicht ausgewiesen.

    Auswertungen werden bei der Data Warehouse-Technik dynamisch gemäß den Anforderungen des Benutzers erzeugt. In diese Programme muss eine Abfrage einbebaut werden, die klärt, ob das darzustellende Ergebnis sich nicht auf mindestens fünf Personen bezieht. Ist dies nicht der Fall, so muss die Darstellung des Ergebnisses unterdrückt werden (oder Dartstellung als Strich, Stern oder Fragezeichen). Auf der nächsthöheren Bereichtsebene werden die Zahlen dann wieder berücksichtigt, vorausgesetzt, dass mindestens fünf Personen betroffen sind.

    Die Zahl fünf ist kein Dogma, sondern ein weitgehend anerkannter Richtwert. In der Regel kann man davon ausgehen, dass bei fünf Personen Einzelne nicht mehr erkennbar sind.

    Das hier geschilderte Verfahren hat den Vorteil, unabhängig von der Rasterund der Auswertung zu sein. Interessiert man sich z.B. für alle 20-25-Jähringen in der Abteilung X, so wird deren Zahl angezeigt, so lange es mindestens fünf Personen sind. Fragt man nach allen 20-25-Järigen mit English-Sprachkenntnissen, so ist die Trefferzahl natürlich kleiner. Das Ergebnis wird immer noch angezeigt, wenn mindestens fünf Personen gefunden wurden. Eine weitere Rasterung, z.B. alle 20-25-Jähringen mit Englisch-Kenntnissen und Führerschein Klasse II, liefert selbstverständlich eine kleinere Trefferquote. Das Ergebnis wird nicht mehr angezeigt, wenn die Zahl unter fünf sinkt. Das Beispiel macht auch deutlich, dass man mit der Anzeige-Grenze nicht unter die Zahl fünf gehen sollte.

Verknüpfungsverbot: Es werden keine Möglichkeiten zur Verfügung gestellt, die es erlauben, die Daten unterschiedlicher Würfel miteinander zu verknüpfen.

Eingeschränktes Download: Die Ausgabe erfolgt nur im traditionellen Internet-/Intranet-Format als Web-Seiten (HTML-Format). Soweit die Programme Download-Möglichkeiten enthalten, liefern diese nur Ausgabennur im PDF-Format.

Durch diese Regelung wird die Ausgabe als Excel-Datei unterbunden. Das HTML- und PDF-Format eigenet sich nicht zum Weiterverarbeiten; man müsste die Daten schon in ein Excel-Formular abtippen. Den Betriebsräten bleibt die Hoffnung, dass die zu große Mühe hinreichend Schutz darstellt. Man kann auch die Benutzer ausdrücklich darauf verpflichten, dass es ihnen nicht erlaubt ist, auf ihrem PC eigene Personaldatenbestände anzulegen.

Kein Datenbank-Direktzugriff: Die Benutzer erhalten keinerlei Zugriff auf Software-Werkzeuge, mit denen ein direkter Zugang zur Datenbank des Data Warehouse möglich ist.

4. Rechte des Betriebsrats

Der Betriebsrat wird über geplante neue Datenwürfel oder die Veränderung bestehender Datenwürfel informiert. Auf Wunsch findet eine Beratung statt. Änderungen der Anlage 1 bedürfen des gegenseitigen Einvernehmens. Kommt dieses nicht zu Stande, so entscheidet eine gemäß § 76 Abs. 5 BetrVG zu bildende Einigungsstelle.

4. Schlussbestimmungen

Diese Vereinbarung tritt mit Unterzeichnung in Kraft. Sie kann mit einer Frist von drei Monaten zum Jahresende gekündigt werden. Im Falle einer Kündigung wirkt sie nach bis zum Abschluss einer neuen Regelung.

In vielen Konzernen wird ein Data Warehouse nicht auf der Ebene der einzelnen Unternehmen, sondern auf Konzernebene eingesetzt. Damit in solchen Fällen nicht eine datenschutzrechtlich unerlaubte Weitergabe an Dritte vorliegt, sind Verträge erforderlich, die die Datenübermittlung in das Data Warehouse als Auftragsdatenverarbeitung im Sinne des Datenschutzgesetzes regeln. Dies bedeutet, dass Datenherr - ebenfalls im Sinne des Datenschutzgesetzes - immer das Daten übermittelnde Unternehmen ist und die Konzernstelle nur die "verarbeitende Stelle" darstellt, die nach alleinigen Weisungen des Datenherrn zu handeln hat. Dies gesteltet sich in der Regel schwierig, da die wirklichen Machtverhältnisse genau umgekehrt liegen und die Konzerne ihren Untereinheiten meist Weisung erteilen, welche Daten sie wie zu übermitteln haben. Die Betriebsräte sollten sich an dieser Stelle nicht missbrauchen lassen, durch Abschluss einer das Verfahren legitimierenden Vereinbarung den Tatbestand der "sonstigen Erlaubnisvorschrift" zu schaffen, die dann die Übermittlung datenschutzrechtlich legitimiert.

Viele Unternehmen richten für ihre Personaldatenverarbeitung ein eigenen Data Warehouse ein. In letzter Zeit nimmt aber die Zahl der Unternehmen zu, die ihre Personeldaten zusammen mit den betriebswirtschaftlichen, Produktions- und Logistikdaten in einer einzigen Anwendung konzentrieren. Damit eröffnen sich Verknüpfungsmöglichkeiten von Betriebs- und Personaldaten, für deren Trennung viele Betriebsräte jahrelang gekämpft haben. Bei einer solchen technischen Lösung bleibt nur die Vergabe der Zugriffsrechte als Mittel, um unliebsame Verknüpfungen zu unterbinden. Um so wichtiger werden klare Regeln für die Architektur der Datenwürfel.