Mitarbeitenden-Apps erleichtern die Kommunikation und Arbeitsabläufe. Aber wie fast jede IT-Infrastruktur kommen sie mit personenbezogenen Daten in Kontakt – deshalb muss der Datenschutz berücksichtigt werden. Nicht nur, weil das Gesetz es so will: Die erfolgreiche Einführung neuer Software gelingt nur dann, wenn alle Betroffenen wissen, dass fair und angemessen mit ihren Daten umgegangen wird.

Wenn der Datenschutz von Anfang an mitgedacht wird, wird die Einführung deutlich einfacher. Dazu gibt es ein paar Tipps, wie das Projekt einer neuen App gut begleitet werden kann.

(Der Beitrag erschien zuerst in einer kürzeren Fassung in der Zeitschrift »neue caritas«, Juni 2026. In der Ausgabe ist auch ein Best-practice-Beispiel einer Mitarbeitenden-App beschrieben.)

Funktionsumfang definieren

Je nach gewünschter Funktion haben Mitarbeitenden-Apps unterschiedliche Risiken und Schutzbedarfe. Am Anfang des Projektes sollte daher der Funktionsumfang klar definiert werden: Soll nur die Mitarbeitendenbindung durch interessante Neuigkeiten gestärkt werden? Ist die App ein Arbeitswerkzeug, mit dem Dienstpläne eingesehen, Urlaubsanträge und Krankmeldungen eingereicht oder Zugänge zu Software und Räumen gesichert werden? Ermöglicht die App den Zugang zu sensiblen Systemen und Daten der Einrichtung oder von Klient*innen? Hat die App Kommunikations- und Community-Funktionen?

Jede gewünschte Funktion hat ein eigenes Risikoprofil und braucht spezifische technische und organisatorische Maßnahmen zur Absicherung und datenschutzkonformenen Gestaltung der jeweiligen Funktion. Hilfreich ist es, bei jeder Funktion die Grundsätze zum Umgang mit personenbezogenen Daten (§ 5 DSG-EKD, § 7 KDG) einzeln durchzugehen und insbesondere auf den Grundsatz der Datenminimierung zu achten – Daten, die erst gar nicht anfallen, brauchen auch nicht abgesichert, verwaltet und gelöscht werden.

Eine rechtzeitige möglichst umfassende Planung hilft nicht nur beim Datenschutz, sondern auch bei der Umsetzung weiterer rechtlicher Anforderungen wie Mitbestimmung und IT-Sicherheit und ermöglichen einen klaren Zeitplan ohne überraschende und teure nachträglich hinzukommende Wünsche.

Tipp: Die Durchführungsverordnung zum Gesetz über den Kirchlichen Datenschutz (KDG-DVO) definiert verschiedene Datenschutzklassen und Datenschutzniveaus (§§ 9–14 KDG-DVO). Jede gewünschte Funktion und Form der Datenverarbeitung müssen in diese Klassen einsortiert und die dort geforderten Schutzmaßnahmen umgesetzt werden. Die Methodik der KDG-DVO ist dort, wo katholisches Recht gilt, verbindlich. Aber auch in anderen Einrichtungen kann die KDG-DVO als Anregung für die Gestaltung des Datenschutzmanagements verwendet werden.

Betriebliche Datenschutzbeauftragte und MAV einbinden

Spätestens, wenn der geplante Funktionsumfang umrissen ist, sollten betriebliche Datenschutzbeauftragte und die Mitarbeitendenvertretung einbezogen werden.

Betriebliche Datenschutzbeauftragte haben die Aufgabe und die Kompetenz, bei der Einführung von Software zu beraten. Sie unterstützen auch bei einer Datenschutz-Folgenabschätzung, die immer dann nötig ist, wenn Datenverarbeitungen besonders risikoreich sind. Vor allem, wenn private Geräte zum Einsatz kommen oder sensible Daten wie Krankmeldungen über die App verwaltet werden, dürfte das der Fall sein.

Die Mitarbeitendenvertretung muss beteiligt werden, wenn Systeme geeignet sind, Beschäftigte zu überwachen oder ihre Leistung zu kontrollieren – das ist schon dann gegeben, wenn Protokolldaten anfallen, in jedem Fall aber, wenn Arbeitszeiten erfasst werden (§ 40 lit. j) MVG-EKD und § 36 Abs. 1 Nr. 9 MAVO). Dafür braucht es die Zustimmung der MAV. Die katholische MAV hat außerdem ein Recht auf Anhörung und Mitberatung bei Maßnahmen innerbetrieblicher Information und Zusammenarbeit (§ 29 Abs. 1 Nr. 1 MAVO). Bei Mitarbeitenden-Apps ist die MAV daher in der Regel immer zu beteiligen.

Tipp: Betriebliche Datenschutzbeauftragte und MAV frühzeitig ins Projekt einbeziehen. Viele Probleme lassen sich aus dem Weg räumen, wenn diese Beteiligung von Anfang an berücksichtigt wird. Wenn die Beteiligung vergessen wird, drohen Vorhaben nachträglich deutlich aufwendiger zu werden oder ganz zu scheitern.

Private Geräte und andere Sonderfälle bedenken

Ein besonders heikler Punkt ist die Nutzung privater Geräte zu dienstlichen Zwecken – dazu gehört auch die Installation der App auf dem privaten Smartphone. Das ist nur unter sehr engen Bedingungen zulässig (ausdrücklich findet sich das im katholischen Datenschutzrecht in § 21 KDG-DVO). Der Arbeitgeber muss Beschäftigten alle Werkzeuge zur Verfügung stellen, die sie für ihre Arbeit benötigen – wenn also Funktionen der App erforderlich sind, müssen entweder dienstliche Geräte gestellt oder Alternativen angeboten werden.

Einen Präzedenzfall hatte jüngst die spanische Datenschutzaufsicht zu entscheiden: Ein Arbeitgeber wollte Beschäftigte dazu verpflichten, für Zwei-Faktor-Authentifizierung das private Smartphone zu verwenden. Die Anweisung kann nach Auffassung der Aufsicht nicht auf die Erfüllung des Arbeitsvertrags gestützt werden, da damit keine Verarbeitungen abgedeckt seien, die zwar nützlich, aber objektiv nicht erforderlich seien. Eine Einwilligung komme auch nur dann in Frage, wenn es eine Alternative zum privaten Smartphone gibt. (Ausführlich auf Deutsch zu diesem Fall im Datenzirkus.)

Tipp: Alle wirklich erforderlichen Funktionen der App (z. B. Krankmeldung, Zeiterfassung, Zwei-Faktor-Authentifizierung) müssen über einen Weg möglich sein, der kein privates Smartphone erfordert.

Nutzung so leicht wie möglich gestalten

Zu guter Letzt müssen die Mitarbeitenden die App auch tatsächlich nutzen. Neben Aspekten der Benutzerfreundlichkeit und Zugänglichkeit trägt auch ein transparenter und fairer Umgang mit Daten zur Akzeptanz bei. Das ist umso einfacher, je datensparsamer die App ist und je weniger Berechtigungen sie benötigt. Wenn nur Daten verarbeitet werden, die für Zwecke des Beschäftigungsverhältnisses erforderlich sind, kann eine App auch komplett auf Einwilligungen verzichten.

Aber auch Nutzungsfreundlichkeit und Zugänglichkeit selbst tragen zu einem besseren Datenschutzniveau bei: Erfahrungsgemäß ist Schatten-IT, also die Nutzung privater Geräte und Software für dienstliche Zwecke, eines der größten Risiken. Schatten-IT lässt sich durch Verbote nicht wirksam eindämmen. Die einzige wirklich funktionierende Lösung sind offizielle Systeme, die so gut sind und so gern benutzt werden, dass Beschäftigte sie tatsächlich nutzen wollen und einen Mehrwert gegenüber ihren privaten Geräten und Diensten sieht.

Tipp: Die App sollte möglichst wenige Berechtigungen und Einwilligungen erfordern, die Erhebung von Analysedaten aufs Nötigste beschränken und muss den Beschäftigten klar und transparent kommunizieren, wie ihre Daten verarbeitet werden. Außerdem muss es Spaß machen (oder zumindest nicht lästig sein), sie zu benutzen.