Datenschutz

Dienstplan ohne Cloud — was der Datenschutz von Trägern verlangt.

Dienstpläne sind Personaldaten. Wer sie zu einem Cloud-Anbieter gibt, braucht einen Auftragsverarbeitungsvertrag und muss den Anbieter prüfen können. Wer sie im Haus behält, spart sich beides — trägt die Verantwortung aber selbst. Diese Seite erklärt, was wofür gilt.

Sind Dienstpläne personenbezogene Daten?

Ja, ohne Wenn und Aber. Ein Dienstplan enthält Namen, Arbeitszeiten und meist auch Abwesenheiten — alles personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO. Abwesenheitsgründe wie Krankheit können darüber hinaus Gesundheitsdaten berühren (Art. 9 DSGVO), die besonders geschützt sind. In einer Wohngruppe kommt hinzu: Der Plan hängt neben dem Alltag der Kinder, und aus Diensten lassen sich Anwesenheiten im Haus ablesen. Ein Dienstplan ist deshalb kein „internes Zettelwerk“, sondern ein Dokument, für das der Träger als Verantwortlicher geradesteht.

Wann braucht es einen Auftragsverarbeitungsvertrag?

Sobald ein Anbieter die Daten im Auftrag verarbeitet — und genau das tut jeder Cloud-Dienstplaner: Die Pläne liegen auf seinen Servern. Dann verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag (AVV), und der Träger muss prüfen und belegen können:

• Wo die Server stehen — EU oder Drittland, und was bei einem Drittland die Rechtsgrundlage der Übermittlung ist.
• Welche Unterauftragsverarbeiter beteiligt sind (Hosting, E-Mail-Versand, Support-Werkzeuge) — die Kette ist oft länger, als der Prospekt zeigt.
• Die technischen und organisatorischen Maßnahmen des Anbieters — Verschlüsselung, Zugriffskonzept, Protokollierung.
• Was beim Vertragsende geschieht: Export, Löschfristen, Nachweis der Löschung — und ob alte Pläne erreichbar bleiben, wenn nicht mehr gezahlt wird.

Das ist alles machbar und tausendfach geübt — aber es ist Arbeit, sie kehrt bei jeder Vertragsänderung wieder, und die Verantwortung wandert nicht mit zum Anbieter: Verantwortlicher bleibt der Träger.

Geht es auch ohne Auftragsverarbeitungsvertrag?

Ja — wenn niemand im Auftrag verarbeitet. Läuft die Dienstplanung vollständig auf einem Rechner des Trägers und überträgt nichts an einen Anbieter, gibt es keine Auftragsverarbeitung und damit keinen AVV, keine Unterauftragsverarbeiter-Kette und keine Drittlandsfrage. Genau dieser Gedanke steckt hinter lokaler Dienstplan-Software: Die Daten entstehen im Haus und bleiben im Haus.

Ehrlich bleibt festzuhalten: „lokal“ heißt nicht „DSGVO erledigt“. Auch im Haus gelten die Grundpflichten — der Träger muss den Zugriff regeln, die Verarbeitung in sein Verzeichnis der Verarbeitungstätigkeiten aufnehmen (Art. 30 DSGVO) und für Sicherung und Verschlüsselung sorgen. Der Unterschied ist nicht, ob Pflichten bestehen, sondern wie viele Beteiligte man dafür prüfen muss: beim Cloud-Dienst den Anbieter samt Kette, lokal nur das eigene Haus.

Checkliste für Datenschutzbeauftragte

• Zugriff: Wer kann den Plan öffnen, und sieht jede Rolle nur, was sie braucht? Gibt es persönliche Zugänge statt eines Gruppenpassworts?
• Protokoll: Ist nachvollziehbar, wer wann was geändert hat?
• Verschlüsselung: Ist die Festplatte des Rechners verschlüsselt (FileVault, BitLocker)? Bei Übertragung im Haus: TLS?
• Sicherung: Gibt es automatische Sicherungen, und liegt mindestens eine davon getrennt vom Rechner?
• Aufbewahrung: Arbeitszeitnachweise sind mindestens zwei Jahre aufzubewahren (§ 16 Abs. 2 ArbZG) — ist das ohne den Anbieter möglich?
• Aushang: Steht auf dem Aushang nur, was alle sehen dürfen — Dienste, keine Abwesenheitsgründe?

Wie es diese Anwendung hält

Die Anwendung Dienstplan Jugendhilfe ist um dieses Prinzip herum gebaut: Sie läuft auf einem Rechner im Haus, legt die Daten in einer Datei dort ab, braucht kein Konto und keine Verbindung ins Internet. Jede Person meldet sich mit eigenem Zugang an, jede Eintragung wird mit Urheber protokolliert, gesichert wird täglich automatisch. Für eure Datenschutzbeauftragten gibt es die Einzelheiten auf zwei Seiten: das Datenblatt als PDF — zum Weiterreichen gedacht.

Diese Seite ist eine Arbeitshilfe und keine Rechtsberatung; verbindlich beraten euch eure Datenschutzbeauftragten.

Passend dazu: die kostenlose Excel-Vorlage — auch sie verarbeitet alles nur lokal — und der Vergleich: Cloud, Excel oder lokal?

← Alles über die Anwendung