Datenschutz und Sicherheit · 3 Min. Lesezeit
Personaldaten gehören zu den sensibelsten Daten im Unternehmen. So gestalten Sie Rollen und Berechtigungen, damit alle sehen, was sie brauchen, ohne die tägliche Arbeit auszubremsen.
In den meisten Unternehmen entstehen Zugriffe auf Personaldaten ganz beiläufig. Ein freigegebener Ordner wird für einen bestimmten Zweck einer Führungskraft geöffnet, dann einer Vertretung, dann jemandem aus der Buchhaltung. Ein paar Jahre später weiß niemand mehr genau, wer was lesen kann.
Dabei umfassen HR-Daten Verträge, Gehälter, Ausweisdokumente, Beurteilungen und Abwesenheiten. Das sind Informationen, bei denen Menschen Vertraulichkeit erwarten und die nach den Datenschutzvorschriften mit Sorgfalt behandelt werden müssen. Zugriffe methodisch zu planen, ist deshalb nicht nur Pflicht, sondern auch eine Frage des Respekts.
Das Leitprinzip ist schnell formuliert: Jede Person sieht die Daten, die sie für ihre Rolle braucht, und nichts darüber hinaus. Eine Abteilungsleitung muss wissen, wer morgen fehlt und welche Kompetenzen ihr Team hat; die Gehaltsabrechnungen muss sie nicht einsehen. Die Personalabteilung verwaltet Verträge und Unterlagen, die Geschäftsleitung sieht die Übersichten.
Dieses Prinzip anzuwenden bedeutet, in Rollen statt in Personen zu denken. Statt Mario oder Giulia Zugriff zu gewähren, definieren Sie Profile wie Teamleitung, Personalverwaltung, Geschäftsleitung und Mitarbeitende und ordnen die Personen diesen Profilen zu. Wechselt jemand die Position, ändert sich das Profil, und die Zugriffe passen sich entsprechend an.
Auch Mitarbeitende selbst sind eine vollwertige Rolle. Wer die eigenen Unterlagen, Abwesenheiten und Stammdaten einsehen und bei Unstimmigkeiten eine Korrektur melden kann, entlastet die Personalabteilung und verbessert die Datenqualität insgesamt.
Zugriffe pro Person
Zugriffe pro Rolle
Eine Rolle legt fest, was jemand tun darf. Es muss aber auch geklärt sein, bei wem. Eine Führungskraft sieht die Daten ihres Teams, nicht die des ganzen Unternehmens; eine Standortverantwortliche sieht die Beschäftigten ihres Standorts. Dieser Geltungsbereich ergibt sich ganz natürlich aus dem Organigramm, vorausgesetzt, es wird als Datenbestand gepflegt und nicht als Zeichnung.
Achten Sie auf Sonderfälle, denn gerade dort entstehen häufig Lücken: befristete Vertretungen, kommissarische Führungskräfte, externe Beraterinnen und Berater. Es empfiehlt sich, Zugriffe mit einem Enddatum zu versehen, damit sie nicht aus Versehen aktiv bleiben.
Selbst das beste Rollenkonzept verwässert mit der Zeit, wenn es nicht kontrolliert wird. Jeder Zugriff auf die Personalakten und jede Änderung sollte mit Datum und Urheber protokolliert werden. Es geht nicht darum, Kolleginnen und Kollegen zu überwachen, sondern darum, im Zweifelsfall nachvollziehen zu können, was geschehen ist, und den Personen, deren Daten verarbeitet werden, Sicherheit zu geben.
Eine regelmäßige Überprüfung der Zugriffe, etwa halbjährlich, hilft, nicht mehr gerechtfertigte Berechtigungen zu entfernen. Bei wenigen, klaren Rollen ist das schnell erledigt. Wurden Zugriffe dagegen von Fall zu Fall vergeben, wird es aufwendig.
Ein letzter Punkt betrifft Exporte. Auch das bestkonfigurierte System verliert an Wirkung, wenn Daten in Tabellen heruntergeladen werden, die dann per E-Mail kursieren. Beschränken Sie Exporte daher auf die Rollen, die sie wirklich benötigen, und setzen Sie nach Möglichkeit auf Berichte, die sich direkt im Werkzeug einsehen lassen.
Regelmäßige Überprüfung der Zugriffe
Der erste Schritt ist eine Bestandsaufnahme: Welche Personaldaten gibt es, wo liegen sie, und wer hat heute Zugriff darauf? Der zweite besteht darin, eine überschaubare Zahl von Rollen mit ihren Berechtigungen und Geltungsbereichen festzulegen und mit der Geschäftsleitung abzustimmen. Erst danach ist es sinnvoll, das Werkzeug auszuwählen oder zu konfigurieren.
In People werden Zugriffe nach Rolle und organisatorischem Geltungsbereich definiert, das Organigramm leitet sich aus den Daten der Personalakten ab, und jeder Vorgang wird protokolliert. Die wichtigste Arbeit bleibt jedoch das Konzept: Gemeinsam festzulegen, wer was sehen soll, macht jede weitere Entscheidung einfacher und besser begründbar.
Weiterlesen
Eine gute Onboarding-Checkliste ist keine Liste von Formularen zum Unterschreiben, sondern ein gemeinsamer Plan für HR, Führungskräfte und IT. So gestalten Sie sie Schritt für Schritt.
Verträge, Unterlagen, Zertifikate und Fristen an einem Ort: So organisieren Sie die Personalakte, damit sie vollständig und aktuell ist und nur von den Berechtigten eingesehen werden kann.
Innovaq befindet sich in der Startphase.