DSFA-Arbeitshilfe für die Dienstplanung

1. Stammdaten der Folgenabschätzung

2. Prüfung der Erforderlichkeit

Eine DSFA ist erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat (Art. 35 Abs 1 DSGVO). Geprüft wurden die Kriterien der Art.-29-Datenschutzgruppe (WP 248 rev.01), die Verordnung der Datenschutzbehörde über Verarbeitungsvorgänge, für die eine DSFA durchzuführen ist (DSFA-V, BGBl. II Nr. 278/2018), und die Ausnahmeverordnung (DSFA-AV, BGBl. II Nr. 108/2018).

Ergebnis: Wegen der Verarbeitung von Gesundheitsdaten Beschäftigter und der Protokollierung aller Planänderungen führt der Verantwortliche vorsorglich eine DSFA durch, auch wenn einzelne Kriterien nur teilweise erfüllt sind.

3. Systematische Beschreibung der Verarbeitung (Art. 35 Abs 7 lit a)

3.1 Zwecke

• Erstellung, Abstimmung, Veröffentlichung und Anpassung von Dienst- und Besetzungsplänen.
• Einhaltung der Arbeitszeit- und Ruhezeitvorschriften (KA-AZG, AZG, ARG, MSchG, Kollektivvertrag, Betriebsvereinbarungen) durch Prüfung jeder Zuteilung vor dem Speichern.
• [Optional] Weitergabe des veröffentlichten Dienstplans samt Änderungen an die Lohnverrechnung als Grundlage der Entgeltermittlung.
• Bearbeitung von Anträgen der Beschäftigten (Urlaub, Abwesenheit, Diensttausch, Dienstpräferenzen).
• Gleichmäßige Verteilung belastender Dienste.
• Nachvollziehbarkeit der Planung und ihrer Änderungen sowie Sicherheit (Protokollierung).

3.2 Betroffene Personen

Beschäftigte der [Abteilung(en)] einschließlich Planer:innen; lesende Nutzer:innen ohne eigene Personalzeile (z. B. Pflegeleitung). Keine Patient:innen.

3.3 Datenkategorien

3.4 Empfänger und Datenflüsse

1. Browser der Nutzer:innen (dienstliche oder private Endgeräte, TLS 1.3) an die Anwendungsserver des Anbieters bei IONOS SE, Deutschland. Dort werden Anfragen verarbeitet, nichts dauerhaft gespeichert.
2. Anwendungsserver an die Datenbank und Authentifizierung bei Supabase, EU-Region Frankfurt am Main. Speicherung verschlüsselt (AES-256). Zugriffsregeln werden in der Datenbank selbst durchgesetzt (Row-Level-Security, geprüfte Prozeduren für alle Schreibvorgänge am Plan, auch nach der Veröffentlichung).
3. E-Mail-Versand für Einladungen, Kontoverwaltung, Benachrichtigungen und Einspringanfragen über Brevo SAS, Frankreich (Name, E-Mail-Adresse, Inhalt der Nachricht ohne Grund eines Ausfalls, Links in die Anwendung). E-Mails zu Benachrichtigungen und Einspringanfragen kann jede Person in ihrem Profil abschalten.
4. Technische Fehlerdaten ohne personenbezogene Standardfelder an das Fehler-Monitoring (Sentry, EU-Region Frankfurt); Verfügbarkeitsprüfung ohne Personenbezug (Better Stack, Tschechien).
5. Exporte (Dienstplan als PDF und Excel, Auswertungen, Kalender) werden vom Verantwortlichen erzeugt und an [Lohnverrechnung, Personalabteilung, betroffene Person] weitergegeben. Der Anbieter versendet keine Exporte.
6. Keine Übermittlung an Dritte durch den Anbieter. Speicherung in Deutschland, Verarbeitung primär in der EU; soweit Personal des Datenbankanbieters Supabase Pte. Ltd. (Singapur) aus einem Drittland zugreift, etwa für Betrieb und Support, ist das durch Standardvertragsklauseln abgesichert und wird protokolliert (siehe Unterauftragsverarbeiter, Anlage 6 der Betriebsvereinbarung).

3.5 Rollen und Zugriff

Zugriff richtet sich nach dem Zugriffskonzept des Anbieters (monkaru.com/vorlagen/zugriffskonzept-dienstplanung): Rollen Inhaber:in, Admin (optional auf Teams beschränkt), Mitarbeiter:in, Betrachter:in; Änderungen in veröffentlichten Monaten nur durch Inhaber:innen und Admins; Export der Auswertungen nur mit der von Inhaber:innen vergebenen Berechtigung "Lohndaten verwalten"; Krankenstände anderer Personen für Mitarbeiter:innen und Betrachter:innen standardmäßig verborgen. Betrachter:innen lesen nur veröffentlichte Monate; Mitarbeiter:innen lesen diese immer und Monate im Entwurf und in der Abstimmung, solange die Organisation diese Phasen für sie nicht ausblendet (Standard: sichtbar); die Organisation kann das auf Monate mit eigenem Vertrag beschränken (Standard: alle Monate). Die Liste der berechtigten Personen des Verantwortlichen: [Anlage 3 der Betriebsvereinbarung].

3.6 Technische Merkmale, die für die Bewertung wesentlich sind

• Keine Stechuhr, keine Anwesenheitserkennung, keine Aufzeichnung von Kommen- und Gehen-Zeiten, keine Standort-, Geräte- oder biometrischen Daten. Nach der Veröffentlichung bleibt der veröffentlichte Plan gespeichert; Änderungen werden daneben gespeichert und im Plan gekennzeichnet.
• Automatische Planung erzeugt Vorschläge; jede Veröffentlichung erfolgt durch eine Planer:in (keine ausschließlich automatisierte Entscheidung im Sinne des Art. 22).
• Jede Änderung an Plan, Abwesenheiten, Stammdaten und Berechtigungen wird mit handelnder Person und Werten vorher und nachher protokolliert, von der Datenbank selbst und in derselben Transaktion wie die Änderung. Einträge sind nicht änderbar und nicht löschbar; eine Prüfsummenkette, die jede Nacht geprüft wird, macht nachträgliche Eingriffe erkennbar.
• Mit der Veröffentlichung eines Monats wird der geltende Regelstand festgehalten.
• Gelöschte Datensätze liegen 30 Tage im Papierkorb und werden dann endgültig gelöscht.

4. Notwendigkeit, Verhältnismäßigkeit und Rechtsgrundlagen (Art. 35 Abs 7 lit b)

4.1 Rechtsgrundlagen

4.2 Grundsätze nach Art. 5 DSGVO

• Zweckbindung: Zwecke sind in der Betriebsvereinbarung abschließend festgelegt; Verwertungsverbot für Leistungs- und Verhaltenskontrolle (§ 5 der Betriebsvereinbarung).
• Datenminimierung: Krankenstand nur als Art und Zeitraum; Änderungen nach der Veröffentlichung nur als geänderter Dienst, ohne Kommen- und Gehen-Zeiten; keine Standort- oder Gerätedaten; Freitextfelder ohne Gesundheitsangaben (organisatorische Anweisung).
• Richtigkeit: Einsicht der Beschäftigten in den eigenen Plan mit gekennzeichneten Änderungen, Benachrichtigung bei Änderung des eigenen Dienstes, Einwände nach § 7 der Betriebsvereinbarung, vollständige Änderungshistorie.
• Speicherbegrenzung: Löschfristen nach Abschnitt 3.3. Nach Vertragsende bleiben die Daten beim Anbieter gespeichert und exportierbar (vollständiger Datenexport der Organisation, JSON); gelöscht wird auf dokumentierte Weisung des Verantwortlichen unter Beachtung der gesetzlichen Aufbewahrungspflichten.
• Integrität und Vertraulichkeit: Maßnahmen nach Abschnitt 7.
• Transparenz: Information der Beschäftigten nach Art. 13 vor der ersten Verarbeitung; Kundmachung der Betriebsvereinbarung; Selbstauskunft in der Anwendung.

4.3 Erforderlichkeit und Alternativen

Ohne Dienstplan ist der Betrieb einer Krankenanstalt nicht möglich, und jeder Plan muss die Arbeitszeitgrenzen einhalten; die Alternative ist die bisherige Planung [auf Papier / in Tabellen], die dieselben Daten mit weniger Zugriffskontrolle und ohne Änderungshistorie enthält. Die Dienstplanung mit Regelprüfung verringert Ruhezeitverstöße, die Beschäftigte unmittelbar belasten. Die Verarbeitung ist geeignet, erforderlich und angemessen; die Fairness-Tabelle ist die einzige Funktion ohne gesetzliche Grundlage und kann deaktiviert werden.

4.4 Rechte der Betroffenen

Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch werden über [Ansprechstelle] binnen eines Monats erfüllt. Die Anwendung stellt Selbstauskunft (eigener Plan, eigene Abwesenheiten, eigener Änderungsverlauf) und Kalenderexport bereit; der Anbieter unterstützt bei Export und Löschung.

5. Standpunkt der Betroffenen (Art. 35 Abs 9)

Der Betriebsrat / die Personalvertretung wurde am [Datum] in die Bewertung eingebunden. Vorgelegt wurden: Systembeschreibung, Zugriffskonzept, Auftragsverarbeitungsvereinbarung, Liste der Unterauftragsverarbeiter, Entwurf dieser DSFA und der Betriebsvereinbarung. Der Anbieter stand am [Datum] für eine Fragerunde zur Verfügung.

Weitere Betroffene wurden [durch eine Informationsveranstaltung am Datum / nicht gesondert] konsultiert, weil [Begründung].

6. Bewertung der Risiken (Art. 35 Abs 7 lit c)

Bewertet werden Eintrittswahrscheinlichkeit (gering, mittel, hoch) und Schwere (gering, mittel, hoch) für die Rechte und Freiheiten der Beschäftigten vor Maßnahmen (Brutto) und nach Maßnahmen (Rest). Die Vorschläge stammen aus dem Systemdesign und sind vom Verantwortlichen zu bestätigen oder anzupassen.

7. Maßnahmen zur Bewältigung der Risiken (Art. 35 Abs 7 lit d)

7.1 Technische Maßnahmen des Anbieters

• Transportverschlüsselung TLS 1.3; Speicherverschlüsselung AES-256; Passwörter gehasht.
• Rollenbasierte Zugriffskontrolle mit Durchsetzung in der Datenbank (Row-Level-Security); Schreibvorgänge am Plan, auch nach der Veröffentlichung, nur über geprüfte Datenbankprozeduren, die die Berechtigung selbst prüfen.
• Serverseitige Filterung: Krankenstände und private Abwesenheitsarten anderer Personen verlassen den Server nicht in Richtung der Rollen Mitarbeiter:in und Betrachter:in.
• Optionale Zwei-Faktor-Authentifizierung, vertrauenswürdige Geräte, erneute Authentifizierung für sensible Aktionen, automatische Abmeldung bei Inaktivität, Rate-Limiting, Content-Security-Policy.
• Vollständiger Änderungsverlauf, von der Datenbank in derselben Transaktion wie die Änderung geschrieben, nicht änderbar und durch eine nächtlich geprüfte Prüfsummenkette gesichert; Änderungen veröffentlichter Dienste von der Löschfrist ausgenommen; Regelstand je veröffentlichtem Monat festgehalten.
• Tägliche Sicherungen; 30-Tage-Papierkorb; automatisierte Löschläufe für Protokolle und Papierkorb.
• Hosting in Deutschland (IONOS SE) und EU-Region Frankfurt (Supabase); Fehler-Monitoring ohne personenbezogene Standardfelder.
• Erkennung und Behandlung von Sicherheitsvorfällen mit Meldung an den Verantwortlichen binnen 72 Stunden.

7.2 Organisatorische Maßnahmen des Verantwortlichen

1. Abschluss der Betriebsvereinbarung mit Verwertungsverbot, Regelung der Änderungen nach der Veröffentlichung und Berechtigungsliste (Anlage 3) [erledigt am Datum].
2. Abschluss der Auftragsverarbeitungsvereinbarung mit dem Anbieter [erledigt am Datum].
3. Information der Beschäftigten nach Art. 13 vor der ersten Verarbeitung [Informationsblatt, Datum].
4. Konfiguration nach dem Zugriffskonzept, Abschnitt 7: "Lohndaten verwalten" nur an Anlage-3-Personen, Team-Einschränkung für Admins, Krankenstände für Mitarbeiter:innen und Betrachter:innen verborgen, eigener Änderungsverlauf für Beschäftigte freigeschaltet, Empfehlung der Zwei-Faktor-Authentifizierung an Personen mit Planungsrollen [erledigt am Datum].
5. Anweisung und Schulung der berechtigten Personen: keine Gesundheitsangaben in Freitextfeldern, Umgang mit Einwänden gegen Änderungen [Datum].
6. Eintrag im Verarbeitungsverzeichnis (Art. 30) [Nummer].
7. Regelmäßiger Export der Dienstpläne für die Aufbewahrung [Intervall]; Aufzeichnung der Arbeitszeit nach § 11 KA-AZG und § 26 AZG außerhalb von Monkaru [System]; Notfallprozess bei Ausfall.
8. Jährliche Überprüfung der Berechtigungsliste und dieser DSFA gemeinsam mit dem Betriebsrat; Wiederholung bei wesentlichen Änderungen (Art. 35 Abs 11).

8. Ergebnis und Freigabe

Nach Umsetzung der Maßnahmen aus Abschnitt 7 verbleibt nach Einschätzung des Verantwortlichen [kein hohes Restrisiko]. Eine vorherige Konsultation der Datenschutzbehörde nach Art. 36 DSGVO ist [nicht] erforderlich.

Höchstes Restrisiko: [R1 / R2 / R4], jeweils mit geringer Eintrittswahrscheinlichkeit bei hoher Schwere. Diese drei Risiken werden im Rahmen der jährlichen Überprüfung und bei jedem Einwand nach § 7 der Betriebsvereinbarung gesondert betrachtet.

Stellungnahme der Datenschutzbeauftragten (Art. 35 Abs 2): [Text oder Verweis auf Beilage].

Weitere Unterlagen für Betriebsrat und Datenschutz

• Muster einer Betriebsvereinbarung Dienstplanung (§ 96, § 96a ArbVG)
• Zugriffskonzept: Wer sieht was in Monkaru (Rollen und Berechtigungen)
• Auftragsverarbeitungsvereinbarung (Art. 28 DSGVO)
• Beschaffungsunterlagen: Hosting, Sicherheit, Preise