Betriebsrat & Datenschutz
Eine Phishing-Simulation misst Verhalten am Arbeitsplatz. Damit berührt sie § 87 Abs. 1 Nr. 6 BetrVG — die Mitbestimmung bei technischen Einrichtungen, die geeignet sind, Verhalten oder Leistung zu überwachen. Wo ein Betriebsrat besteht, ist er einzubinden. Das ist die schlechte Nachricht.
Die gute: Bei anonymer Auswertung ist das in der Regel unkritisch, und anonym ist hier nicht eingestellt, sondern erzwungen.
Was „erzwungen” bedeutet
Abschnitt betitelt „Was „erzwungen” bedeutet“Es gibt keine Einstellung, mit der sich personenbezogene Ergebnisse der Simulation anzeigen lassen. Nicht für Sie, nicht für kjello, nicht für den Betreiber der Plattform. Zusätzlich erscheinen Quoten erst ab fünf ausgewerteten Personen — sonst wäre bei kleinen Gruppen aus der Quote die Person zu erschließen.
Der Unterschied zu vielen Awareness-Produkten am Markt liegt genau hier. Fragen Sie im Zweifel bei Ihrem bisherigen Anbieter nach, ob dessen Vertragsbedingungen personenbezogene Auswertungen vorsehen — und ob er sich die Nutzung der gewonnenen Erkenntnisse vorbehält.
Was ausgewertet wird — und was nicht
Abschnitt betitelt „Was ausgewertet wird — und was nicht“| Wird ausgewertet | Wird nicht ausgewertet |
|---|---|
| Melde- und Klickrate einer Gruppe ab 5 Personen | wer geklickt hat |
| Abschlussquote der Schulungen | wie lange jemand für ein Modul gebraucht hat |
| ob eine Einladung angenommen wurde | wann jemand sich angemeldet hat |
Die Abschlussquote ist personenbezogen einsehbar — sie ist Ihr Schulungsnachweis und genau dafür gedacht. Verhaltensdaten aus der Simulation sind es nicht. Diese Trennung ist der Kern des Verfahrens, und sie ist der Grund, warum Betriebsräte zustimmen.
Aufbewahrung
Abschnitt betitelt „Aufbewahrung“Ergebnisse werden 24 Monate aufbewahrt und danach gelöscht. Schulungsnachweise bleiben länger — sie sind der Zweck der Sache und werden in einer Prüfung nachgefragt, auch Jahre später. Wer das Unternehmen verlässt, wird stillgelegt, nicht gelöscht: Sonst verschwände rückwirkend der Nachweis, dass die Person geschult war.
Auftragsverarbeitung
Abschnitt betitelt „Auftragsverarbeitung“Die Schulungsplattform ist ein Auftragsverarbeiter. Die Kette läuft von Ihnen über hagel IT zum Betreiber der Plattform; die Verträge dazu bekommen Sie von uns, bevor die erste Einladung rausgeht. Verarbeitet werden Name, dienstliche E-Mail-Adresse, Abteilung und der Schulungsstand.
Was Sie vorbereiten sollten
Abschnitt betitelt „Was Sie vorbereiten sollten“- Vorabinformation an die Beschäftigten — dass Übungs-Mails kommen, dass die Auswertung anonym ist, dass niemand Konsequenzen zu befürchten hat. Ein Absatz genügt.
- Betriebsvereinbarung, wo ein Betriebsrat besteht. Ein Muster liegt in der Plattform bereit.
- Zusage, die Sie halten können: Sagen Sie nicht zu, dass niemand ausgewertet wird, und liefern Sie dann eine Namensliste. Sie könnten es ohnehin nicht — aber die Zusage vorher hinzuschreiben ist das, was Vertrauen schafft.