DSFA-Arbeitshilfe für Dienstplanung und Arbeitszeiterfassung

1. Stammdaten der Folgenabschätzung

2. Prüfung der Erforderlichkeit

Eine DSFA ist erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat (Art. 35 Abs 1 DSGVO). Geprüft wurden die Kriterien der Art.-29-Datenschutzgruppe (WP 248 rev.01), die Verordnung der Datenschutzbehörde über Verarbeitungsvorgänge, für die eine DSFA durchzuführen ist (DSFA-V, BGBl. II Nr. 278/2018), und die Ausnahmeverordnung (DSFA-AV, BGBl. II Nr. 108/2018).

Ergebnis: Wegen der Verarbeitung von Gesundheitsdaten Beschäftigter und der Aufzeichnung der Arbeitszeit führt der Verantwortliche vorsorglich eine DSFA durch, auch wenn einzelne Kriterien nur teilweise erfüllt sind.

3. Systematische Beschreibung der Verarbeitung (Art. 35 Abs 7 lit a)

3.1 Zwecke

• Erstellung, Abstimmung, Veröffentlichung und Anpassung von Dienst- und Besetzungsplänen.
• Einhaltung der Arbeitszeit- und Ruhezeitvorschriften (KA-AZG, AZG, ARG, MSchG, Kollektivvertrag, Betriebsvereinbarungen) durch Prüfung jeder Zuteilung vor dem Speichern.
• Aufzeichnung der geleisteten Arbeitszeit (§ 11 KA-AZG, § 26 AZG) und Nachweis gegenüber der Arbeitsinspektion.
• Ermittlung von Entgeltbestandteilen, Überstunden, Zeitausgleich und Urlaub; Übergabe an die Lohnverrechnung.
• Bearbeitung von Anträgen der Beschäftigten (Urlaub, Abwesenheit, Diensttausch, Dienstwünsche).
• Gleichmäßige Verteilung belastender Dienste.
• Nachvollziehbarkeit und Sicherheit (Protokollierung).

3.2 Betroffene Personen

Beschäftigte der [Abteilung(en)] einschließlich Planer:innen; lesende Nutzer:innen ohne eigene Personalzeile (z. B. Pflegeleitung). Keine Patient:innen.

3.3 Datenkategorien

3.4 Empfänger und Datenflüsse

1. Browser der Nutzer:innen (dienstliche oder private Endgeräte, TLS 1.2 oder höher) an die Anwendungsserver des Anbieters bei IONOS SE, Deutschland. Dort werden Anfragen verarbeitet, nichts dauerhaft gespeichert.
2. Anwendungsserver an die Datenbank und Authentifizierung bei Supabase, EU-Region Frankfurt am Main. Speicherung verschlüsselt (AES-256). Zugriffsregeln werden in der Datenbank selbst durchgesetzt (Row-Level-Security, geprüfte Prozeduren für alle Schreibvorgänge an Plan, Ist und Konten).
3. E-Mail-Versand für Einladungen, Kontobestätigung und Passwort-Rücksetzung über Brevo SAS, Frankreich (Name, E-Mail-Adresse, Link).
4. Technische Fehlerdaten ohne personenbezogene Standardfelder an das Fehler-Monitoring (Sentry, EU-Region Frankfurt); Verfügbarkeitsprüfung ohne Personenbezug (Better Stack, Tschechien).
5. Exporte (Zeitnachweis, Lohnexport, Fehlzeitenauszug, Kalender) werden vom Verantwortlichen erzeugt und an [Lohnverrechnung, Personalabteilung, betroffene Person] weitergegeben. Der Anbieter versendet keine Exporte.
6. Keine Übermittlung an Dritte durch den Anbieter; keine Verarbeitung von Beschäftigtendaten in Drittländern (siehe Unterauftragsverarbeiter, Anlage 6 der Betriebsvereinbarung).

3.5 Rollen und Zugriff

Zugriff richtet sich nach dem Zugriffskonzept des Anbieters (monkaru.com/vorlagen/zugriffskonzept-dienstplanung): Rollen Inhaber:in, Admin (optional auf Teams beschränkt), Mitarbeiter:in, Betrachter:in; Schreiben von Ist-Zeiten und Erzeugen von Lohnexporten nur mit der von Inhaber:innen vergebenen Berechtigung "Lohndaten verwalten"; Krankenstände anderer Personen für Mitarbeiter:innen und Betrachter:innen standardmäßig verborgen; Ist-Uhrzeiten anderer Personen werden an diese Rollen nicht übertragen. Die Liste der berechtigten Personen des Verantwortlichen: [Anlage 3 der Betriebsvereinbarung].

3.6 Technische Merkmale, die für die Bewertung wesentlich sind

• Keine Stechuhr, keine Anwesenheitserkennung, keine Standort-, Geräte- oder biometrischen Daten. Ist-Zeiten entstehen durch Übernahme des Plans und manuelle Korrektur durch berechtigte Personen.
• Automatische Planung erzeugt Vorschläge; jede Veröffentlichung erfolgt durch eine Planer:in (keine ausschließlich automatisierte Entscheidung im Sinne des Art. 22).
• Jede Änderung an Plan, Ist, Abwesenheiten, Stammdaten und Berechtigungen wird mit handelnder Person und Werten vorher und nachher protokolliert; Ist-Änderungen serverseitig in der Datenbank.
• Monate können veröffentlicht und gesperrt werden; der Regelstand wird je Monat festgehalten.
• Gelöschte Datensätze liegen 30 Tage im Papierkorb und werden dann endgültig gelöscht.

4. Notwendigkeit, Verhältnismäßigkeit und Rechtsgrundlagen (Art. 35 Abs 7 lit b)

4.1 Rechtsgrundlagen

4.2 Grundsätze nach Art. 5 DSGVO

• Zweckbindung: Zwecke sind in der Betriebsvereinbarung abschließend festgelegt; Verwertungsverbot für Leistungs- und Verhaltenskontrolle (§ 5 der Betriebsvereinbarung).
• Datenminimierung: Krankenstand nur als Art und Zeitraum; Ist gleich Plan, nur Abweichungen werden erfasst; keine Standort- oder Gerätedaten; Freitextfelder ohne Gesundheitsangaben (organisatorische Anweisung).
• Richtigkeit: Einsicht der Beschäftigten in eigene Ist-Zeiten, Einspruchsfrist vor Sperre, vollständige Änderungshistorie.
• Speicherbegrenzung: Löschfristen nach Abschnitt 3.3; Export und Löschung bei Vertragsende.
• Integrität und Vertraulichkeit: Maßnahmen nach Abschnitt 7.
• Transparenz: Information der Beschäftigten nach Art. 13 vor der ersten Verarbeitung; Kundmachung der Betriebsvereinbarung; Selbstauskunft in der Anwendung.

4.3 Erforderlichkeit und Alternativen

Die Arbeitszeitaufzeichnung ist gesetzlich vorgeschrieben; die Alternative ist die bisherige Aufzeichnung [auf Papier / in Tabellen], die dieselben Daten mit weniger Zugriffskontrolle und ohne Änderungshistorie enthält. Die Dienstplanung mit Regelprüfung verringert Ruhezeitverstöße, die Beschäftigte unmittelbar belasten. Die Verarbeitung ist geeignet, erforderlich und angemessen; die Fairness-Tabelle ist die einzige Funktion ohne gesetzliche Grundlage und kann deaktiviert werden.

4.4 Rechte der Betroffenen

Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch werden über [Ansprechstelle] binnen eines Monats erfüllt. Die Anwendung stellt Selbstauskunft (eigener Plan, eigene Ist-Zeiten, eigene Konten, eigener Änderungsverlauf) und Kalenderexport bereit; der Anbieter unterstützt bei Export und Löschung.

5. Standpunkt der Betroffenen (Art. 35 Abs 9)

Der Betriebsrat / die Personalvertretung wurde am [Datum] in die Bewertung eingebunden. Vorgelegt wurden: Systembeschreibung, Zugriffskonzept, Auftragsverarbeitungsvereinbarung, Liste der Unterauftragsverarbeiter, Entwurf dieser DSFA und der Betriebsvereinbarung. Der Anbieter stand am [Datum] für eine Fragerunde zur Verfügung.

Weitere Betroffene wurden [durch eine Informationsveranstaltung am Datum / nicht gesondert] konsultiert, weil [Begründung].

6. Bewertung der Risiken (Art. 35 Abs 7 lit c)

Bewertet werden Eintrittswahrscheinlichkeit (gering, mittel, hoch) und Schwere (gering, mittel, hoch) für die Rechte und Freiheiten der Beschäftigten vor Maßnahmen (Brutto) und nach Maßnahmen (Rest). Die Vorschläge stammen aus dem Systemdesign und sind vom Verantwortlichen zu bestätigen oder anzupassen.

7. Maßnahmen zur Bewältigung der Risiken (Art. 35 Abs 7 lit d)

7.1 Technische Maßnahmen des Anbieters

• Transportverschlüsselung TLS 1.2 oder höher; Speicherverschlüsselung AES-256; Passwörter gehasht.
• Rollenbasierte Zugriffskontrolle mit Durchsetzung in der Datenbank (Row-Level-Security); Schreibvorgänge an Plan, Ist und Konten nur über geprüfte Datenbankprozeduren, die die Berechtigung selbst prüfen.
• Serverseitige Filterung: Krankenstände und private Abwesenheitsarten anderer Personen sowie Ist-Uhrzeiten anderer Personen verlassen den Server nicht in Richtung der Rollen Mitarbeiter:in und Betrachter:in.
• Optionale Zwei-Faktor-Authentifizierung, vertrauenswürdige Geräte, erneute Authentifizierung für sensible Aktionen, automatische Abmeldung bei Inaktivität, Rate-Limiting, Content-Security-Policy.
• Vollständiger Änderungsverlauf; Ist-Änderungen serverseitig protokolliert und von der Löschfrist ausgenommen; Konfigurationsstand je Monat festgehalten.
• Tägliche Sicherungen; 30-Tage-Papierkorb; automatisierte Löschläufe für Protokolle und Papierkorb.
• Hosting in Deutschland (IONOS SE) und EU-Region Frankfurt (Supabase); Fehler-Monitoring ohne personenbezogene Standardfelder.
• Erkennung und Behandlung von Sicherheitsvorfällen mit Meldung an den Verantwortlichen binnen 72 Stunden.

7.2 Organisatorische Maßnahmen des Verantwortlichen

1. Abschluss der Betriebsvereinbarung mit Verwertungsverbot, Einspruchsverfahren und Berechtigungsliste (Anlage 3) [erledigt am Datum].
2. Abschluss der Auftragsverarbeitungsvereinbarung mit dem Anbieter [erledigt am Datum].
3. Information der Beschäftigten nach Art. 13 vor der ersten Verarbeitung [Informationsblatt, Datum].
4. Konfiguration nach dem Zugriffskonzept, Abschnitt 7: "Lohndaten verwalten" nur an Anlage-3-Personen, Team-Einschränkung für Admins, Krankenstände für Mitarbeiter:innen und Betrachter:innen verborgen, eigener Änderungsverlauf für Beschäftigte freigeschaltet, Zwei-Faktor-Authentifizierung für Planungsrollen [erledigt am Datum].
5. Anweisung und Schulung der berechtigten Personen: keine Gesundheitsangaben in Freitextfeldern, Meldeweg für Ist-Abweichungen, Einspruchsverfahren [Datum].
6. Eintrag im Verarbeitungsverzeichnis (Art. 30) [Nummer].
7. Regelmäßiger Export der Arbeitszeitaufzeichnungen für die gesetzliche Aufbewahrung [Intervall]; Notfallprozess bei Ausfall.
8. Jährliche Überprüfung der Berechtigungsliste und dieser DSFA gemeinsam mit dem Betriebsrat; Wiederholung bei wesentlichen Änderungen (Art. 35 Abs 11).

8. Ergebnis und Freigabe

Nach Umsetzung der Maßnahmen aus Abschnitt 7 verbleibt nach Einschätzung des Verantwortlichen [kein hohes Restrisiko]. Eine vorherige Konsultation der Datenschutzbehörde nach Art. 36 DSGVO ist [nicht] erforderlich.

Höchstes Restrisiko: [R1 / R2 / R4], jeweils mit geringer Eintrittswahrscheinlichkeit bei hoher Schwere. Diese drei Risiken werden im Rahmen der jährlichen Überprüfung und bei jedem Einspruch nach § 7 der Betriebsvereinbarung gesondert betrachtet.

Stellungnahme der Datenschutzbeauftragten (Art. 35 Abs 2): [Text oder Verweis auf Beilage].

Weitere Unterlagen für Betriebsrat und Datenschutz

• Muster einer Betriebsvereinbarung Dienstplanung und Zeiterfassung (§ 96, § 96a ArbVG)
• Zugriffskonzept: Wer sieht was in Monkaru (Rollen und Berechtigungen)
• Auftragsverarbeitungsvereinbarung (Art. 28 DSGVO)
• Beschaffungsunterlagen: Hosting, Sicherheit, Preise