Für Arbeitgeber hat der Schutz persönlicher Daten von Mitarbeitern oberste Priorität. Personaler und Compliance Manager wissen sehr genau, dass ein Verstoß gegen den Beschäftigtendatenschutz zu erheblichen Datenschutzkonflikten und Imageschäden für ein Unternehmen führen kann. Zwar ist ein Grundrecht auf Datenschutz – anders als fast alle anderen Grundrechte, wie zum Beispiel das Recht auf Meinungsfreiheit oder auf Unverletzlichkeit der Wohnung, nicht im Grundgesetz zu finden. Doch das Bundesverfassungsgericht hat schon 1983 den Schutz persönlicher Daten im sogenannten Volkszählungsurteil zu einer unverzichtbaren Grundbedingung für die Gewährleistung persönlicher Freiheit erklärt.
Jedem Compliance Manager ist bewusst, wie wichtig der Datenschutz bei sensiblen Personaldaten in den Unternehmen ist. Aus diesem Grund wird der sicheren und datenschutzkonformen Verteilung von Lohn- und Gehaltsabrechnungen auch besondere Aufmerksamkeit gewidmet. Noch immer werden in Deutschland über 70 Prozent der Gehaltsmitteilungen mit der klassischen Post verschickt – ein Verfahren, das bei Problemen in der Zustellung nicht immer sicher und zudem teuer ist: die Daten werden unter Aufsicht gedruckt, die Ausdrucke überprüft, kuvertiert und an die Empfänger per Post versandt. Viele Unternehmen verteilen die Belege auch per Hauspost. Das bedeutet meist entsprechenden Personalaufwand und oft auch Probleme, wenn zum Beispiel Gehaltsabrechnungen im Postfach des Unternehmens oder auf dem Schreibtisch des Mitarbeiters vergessen werden.
Aus diesem Grund wird in den Unternehmen verstärkt darüber nachgedacht, wie es besser gehen könnte. Es gibt mehrere Ansätze. Eine Variante nutzt den (Druck-)Dienstleister. Auf den ersten Blick ist das eine elegante Lösung, denn man ist die Aufgabe los. Allerdings geht der Versand immer noch seinen klassischen, kostenintensiven Weg. Interessanter könnten hier Anbieter sein, die nicht nur für den Druck und Versand zuständig sind, sondern gleich auch die Abrechnung übernehmen. Dieser Ansatz ist besonders bei mittelständischen Unternehmen beliebt. Doch kommt auch hier die Brief-Post zum Zuge: kaum ein Dienstleister denkt ans Digitalisieren – der ökologische Aspekt bleibt zudem außen vor. Was bleibt? Vielleicht das Mitarbeiterportal, die Employee Self Services (ESS).
Hier kann der Mitarbeiter meist gleich auf eine Reihe von Services zugreifen – die Abholung der Lohn- und Gehaltsabrechnung ist ein Zusatz-Dienst. Alles an einer Stelle und alles aus einer Hand: der Mitarbeiter wird aktiv, so lautet das Grundprinzip. Wer jedoch primär daran interessiert ist, Gehaltsabrechnungen nicht nur gesetzeskonform sondern auch effizient und kostengünstig zu verschicken, wird schnell sehen – Portale sind zwar eine Lösung, aber vielleicht nicht die beste. Nicht nur, weil die Implementierung einiges kostet, sondern weil auch die Administration aufwendig ist – wie beispielsweise die Verwaltung der Zugänge für die Mitarbeiter. Auch stellt sich die Frage, wie mit ausscheidenden Mitarbeitern umgegangen wird, die keinen Zugriff mehr auf ihr Portal haben. Weiter muss Beschäftigten in der Produktion ohne PC-Arbeitsplatz ein vertraulicher Zugriff auf ihre Dokumente ermöglicht werden. Zum Beispiel über ein Kiosk-System auf dem Firmengelände: Terminals, die in geschützten Räumlichkeiten zur Verfügung stehen.
Aus einem etwas anderen Blickwinkel werden Portale und deren Eignung für den geschilderten Zweck von Datenschützern und Compliance Managern gesehen: sie bemängeln dabei gerne eine fehlende Vertraulichkeit beim Öffnen und Drucken der Dokumente. Auch wenn Mitarbeitern Zugriff von ihren privaten Computern auf das Mitarbeiterportal gegeben wird, ist für die IT-Sicherheit und den Datenschutz ein Risikopotenzial eröffnet. Wenn es unbefugten Dritten gelänge, Zugriff auf das System beispielsweise durch Einschleusung von Schadsoftware auf einen privaten Rechner zu erhalten, wären hochsensible Informationen auf dem Portal in Gefahr.
Safety first: bei E-Mails auf Sicherheit achten
Am einfachsten wäre es, Lohn- und Gehaltsabrechnung elektronisch per E-Mail zu versenden. Hierbei ist jedoch zu bedenken, dass ein Verschlüsselungsverfahren zum Einsatz kommen müsste, das sicher ist und das für Versender und Empfänger einfach genutzt werden kann. Bei bekannten E-Mail Verschlüsselungstechniken, wie etwa PGP, ist der Aufwand für Versender und Empfänger allerdings ziemlich hoch: Versender wie Empfänger müssen bilateral Schlüssel tauschen, um ausgehende Mails zu verschlüsseln, und die Schlüsselverwaltung selbst ist kompliziert. Ein Verfahren, das im privaten E-Mail-Verkehr inzwischen einige Relevanz hat, sich aber für den Gebrauch in Unternehmen eher weniger eignet.
Secure Mail Dienste haben den Vorteil, dass ein individuelles Schlüsselmanagement nicht erforderlich ist. Die Verfahren arbeiten mit einer Verschlüsselung des Transportweges zwischen dem Versender und dem Empfänger und es gibt auch die Möglichkeit, sie in bestehende HR-Systeme zu integrieren. Dafür werden zusätzliche Hardware-Komponenten und Gateways genutzt. Einzige Besonderheit hier ist: Versender und Empfänger müssen beide am System angemeldet sein. Das bedeutet, dass der Empfänger eine Secure Mail Adresse benötigt, die er durch die Vorlage eines amtlichen Personalausweises dokumentieren muss.
Eine Alternative dazu bieten elektronische Zustelldienste, die es erlauben, normale E-Mail Adressen zu nutzen, ohne dass zwischen Sender und Empfänger vorher Schlüssel vereinbart und ausgetauscht werden müssen. Zudem lassen sich moderne Secure Mail-Lösungen ohne großen Aufwand in die bestehende ERP-Landschaft, HR- oder Business-Software integrieren.
Entscheidend ist: wie und wo werden Daten gespeichert
Für Compliance Manager ist dabei die Frage entscheidend, wie und wo die Daten der Mitarbeiter gespeichert werden. Da es sich bei solchen Systemen um ein „Zustellsystem“ handelt, das heißt, sie transportieren Briefe (hier in elektronischer Form) von A nach B; genau wie die Briefpost. Es findet also keine Speicherung von Daten statt. Die Sendung wird angenommen, nach einem hoch sicheren Verfahren verschlüsselt und weitergeleitet. Es gibt keine lokale Entschlüsselung beim Empfänger, wie bei einfach verschlüsselten und deshalb leicht zu „knackenden“ pdf-Dokumenten. Von Vorteil ist zudem, dass solche Verfahren inzwischen auch auf Smartphones und Tablet-PCs funktionieren.
Checkliste für den Einsatz eines elektronischen Versandsystems:
- Gesetzeskonformer Versand von HR-Dokumenten
- Nutzbarkeit der bisherigen HR-Systeme bzw. der heutigen Abrechnungssoftware
- Einfache Integration in die aktuellen Systeme, leichte Bedienbarkeit
- Integration und Setup ohne aufwändiges IT-Projekt
- Keine zusätzliche Hardware
- Schnelle Umsetzbarkeit
- Kontrollmöglichkeit, ob versendet bzw. zugestellt wurde
- Gute Erreichbarkeit der Empfänger ohne zusätzliche Anforderungen
- Keine spezielle Soft- oder Hardware auf der Empfängerseite
- Sehr einfache Bedienbarkeit
- ROI in wenigen Monaten
