Dass Mitarbeitervertretungen ein Datenschutzkonzept brauchen, ist mittlerweile klar – aber welche MAV hat sich schon die Mühe gemacht? Und wie viel Mühe ist das wirklich?

Ein Interview aus der Praxis zeigt: Es ist machbar. Der MAV-Vorsitzende Holger Reinhold hat sich nach einem Seminar von mir mit seiner MAV auf den Weg gemacht und ein Datenschutzkonzept ausgearbeitet. Neben technischen und organisatorischen Maßnahmen waren vor allem Löschfristen ein wichtiges Thema.

Frage: Viele Mitarbeitervertretungen haben noch kein Datenschutzkonzept. Warum habt ihr eins ausgearbeitet?

Holger Reinhold: Bei Deinem Seminar zum Datenschutz der MAV im Könzgenhaus habe ich die Information mitgenommen, dass zwar vieles schon über das Datenschutzkonzept des Dienstgebers abgedeckt ist – aber dass wir als MAV für die personenbezogenen Daten, die uns der Dienstgeber zur Verfügung stellt und die wir verarbeiten, auch ein Datenschutzkonzept brauchen. Im Extremfall könnte der Dienstgeber Daten zurückhalten, auf die die MAV eigentlich ein Anrecht hat, wenn die MAV keinen datenschutzkonformen Umgang damit hat. Und um das zu verhindern, habe ich dann angefangen, ein Datenschutzkonzept zu erarbeiten. Es ist auch tatsächlich so, dass viele MAVen kein Datenschutzkonzept haben: Bei verschiedenen Veranstaltungen habe ich Kolleginnen und Kollegen danach gefragt, und da war dann das große Schweigen im Walde. Ich habe über die DiAG in Paderborn nur eine einzige MAV einer Kita (im Bistum Trier) gefunden, die ein Datenschutzkonzept hat.

Frage: Von eurem Dienstgeber wurde das Konzept also nicht verlangt?

Reinhold: Nein, aber er hat es anschließend natürlich dankbar zur Kenntnis genommen, dass wir da gut aufgestellt sind.

Frage: War es schwierig, die Ausarbeitung des Konzepts in der MAV durchzubekommen? 

Reinhold: Nein, aber es braucht immer jemanden, der sich der Sache annimmt. Die meisten hatten die Einstellung »Gut, wenn du dich darum kümmerst, wir stimmen dann gerne zu, wenn es fertig ist«.

Frage: Gab es Unterstützung durch den betrieblichen Datenschutzbeauftragten?

Reinhold: Das Konzept wurde ohne Unterstützung ausgearbeitet. Als es fertig war, habe ich es dann unserem betrieblichen Datenschutzbeauftragten vorgelegt, der damit recht zufrieden war: Ich hätte eigentlich mehr Rückmeldungen erwartet. Bei uns wurde konkret auf die Zugriffsrechte auf den MAV-E-Mail-Ordner hingewiesen, ansonsten scheint das Konzept gepasst zu haben. Damit konnte alles schnell über die Bühne gehen, aber ich wäre auch offen für mehr Kritik gewesen.

Frage: Nach welcher Methode seid ihr vorgegangen?

Reinhold: Nach dem Seminar war mir klar, dass die Löschfristen zentral sind. Als Grundlage hatte ich eine Vorlage der DiAG MAV Freiburg gefunden, die ein hilfreiches Grundgerüst war für die grundsätzlichen Formulierungen. Um herauszufinden, wo wir als MAV mit personenbezogenen Daten in Berührung kommen, habe ich dann die MAVO von vorne bis hinten durchgearbeitet und aufgeschrieben, wo personenbezogene Daten eine Rolle spielen. Das habe ich dann Paragraph für Paragraph aufgelistet. In einer MAV-Sitzung haben wir dann darüber beraten, welche Löschfristen wir jeweils für sinnvoll halten.

Frage: Die Löschfristen aufzulisten ist schon anspruchsvoll – aber dann muss man sie auch noch umsetzen. Was sind eure Strategien, dass ihr auch wirklich löscht?

Reinhold: Zum Teil haben wir das in die Geschäftsordnung aufgenommen, etwa für den E-Mail-Verkehr. Wir gehen bei jeder MAV-Sitzung unser E-Mail-Postfach durch und entscheiden, ob die seit der letzten Sitzung eingegangenen Mails gelöscht oder archiviert werden. Unsere Archivierung haben wir von einer chronologischen auf eine thematische Sortierung umgestellt: Alle E-Mails, alle Unterlagen werden Themenkomplexen zugeordnet, die in eigenen Unterordnern abgespeichert sind. Wenn ein Vorgang dann endgültig abgeschlossen ist, kann auch die gesamte Kommunikation dazu gelöscht werden.

Frage: War das kontrovers in der MAV? Oft herrscht ja die Einstellung, dass Daten zu haben besser ist, als Daten nicht zu haben.

Reinhold: Da gab es schon Diskussionen darüber, was denn ist, wenn man etwas noch einmal nachschlagen will. Aber das Ziel des Datenschutzes ist es ja nicht, Daten zu sammeln, falls sie mal interessant werden sollten, sondern Daten zweckgebunden aufzubewahren – und wenn der Zweck erfüllt ist, braucht man sie nicht mehr und kann sie löschen. Am Ende sind wir uns dann doch schnell einig geworden, und eigentlich waren auch alle froh, dass wir nicht mehr so viel Ballast an gesammelten Daten mit uns herumschleppen.

Frage: Wie viel Aufwand war es, das Datenschutzkonzept aufzustellen?

Reinhold: Ich hätte mit wesentlich mehr Zeit gerechnet, als es dann tatsächlich gedauert hat. Nach der Durchsicht der MAVO war zwar klar, dass wir enorme Mengen an Daten bekommen – aber sehr viele davon sind keine personenbezogenen Daten. Manche Sachen sind auch sehr eindeutig zu klären: Ein Einstellungsverfahren ist irgendwann durch, und dann braucht man die Daten nicht mehr und kann sie löschen. Solche Fälle konnten wir sehr schnell abhandeln. Bei anderen Daten gab es mehr Diskussion, etwa bei der Frage, wie lange Protokolle aufzubewahren sind. Wir haben uns darauf geeinigt, sie grundsätzlich zwei Amtsperioden lang aufzubewahren. In den anderen MAVen unserer Hospitalvereinigung gibt es dazu auch andere Ansätze, aber das ist nicht schlimm: Jede MAV muss die Löschfristen für sich so festlegen, dass sie für die eigene Arbeit praktikabel sind.

Frage: Was war die überraschendste Erkenntnis bei der Ausarbeitung? Was habt ihr gelernt?

Reinhold: Dass wir zwar viele Daten verarbeiten, aber nicht so viele davon personenbezogen sind, wie ich zuvor gedacht hätte. Eine wichtige Erkenntnis war, dass man Protokolle, Tagesordnungen und andere Dokumente von vornherein datensparsam formulieren kann. Wenn eine Station eine neue Dienstzeit genehmigen lassen will, dann muss im Protokoll nicht stehen »die Stationsleitung mit dem Namen XY beantragt«, sondern »die Station C1 beantragt«. Und schon habe ich keine personenbezogenen Daten mehr – und damit hat man auch die ganzen Probleme nicht, wie man mit personenbezogenen Daten richtig umgeht.

Frage: Das Konzept ist noch recht frisch. Gibt es schon erste Erfahrungen, wo ihr es noch nachjustieren müsst?

Reinhold: Bisher funktioniert es sehr gut. Das Durcharbeiten der Mails am Anfang jeder Sitzung alle drei Wochen finden alle etwas lästig, aber es ist eine sinnvolle Lösung, weil so sichergestellt ist, dass alle alle Informationen haben. Das auf mich als Vorsitzenden zu delegieren, halte ich nicht für sinnvoll. Als Vorsitzender bin ich ja nur der Sprecher, ich treffe keine eigenen Entscheidungen, daher ist das klar eine Aufgabe des Gremiums. Was sich bewährt hat, sind klare Regeln: Was man immer nach einem festen Schema macht, das macht man verlässlicher und konsistenter als wenn man für alles irgendwelche individuellen Sonderwege findet.

Frage: Wie sorgt ihr für die Nachhaltigkeit des Konzeptes?

Reinhold: Wir haben in der Geschäftsordnung festgelegt, dass das Konzept nach festgelegten Zeiten überprüft wird. Wenn eine neue MAV gewählt wird, steht es automatisch auf dem Prüfstand, dann muss das neue Gremium eine neue Geschäftsordnung beschließen und in dem Zuge klären, ob das Konzept noch passt. Weil momentan alles noch so frisch ist, haben wir noch keine Erfahrungen damit, ob sich das Löschkonzept für erledigte Vorgänge bewährt – bisher sind alle größeren Vorgänge noch offen, die seitdem angelegt wurden.

Frage: Welche Tipps hast Du für MAVen, die jetzt selbst ein Datenschutzkonzept angehen wollen?

Reinhold: Wenn man alles von Grund auf neu erfindet, wird es relativ zeitaufwendig. Im Idealfall findet man ein, zwei gute Vorlagen, an denen man sich orientieren kann. Daraus kann man ein Grundgerüst ableiten. Manche Dinge sind überall gleich – z.B. wie lange Wahlunterlagen aufzubewahren sind, steht in der MAVO. An vielen Stellen muss man aber selbst überlegen, was zur eigenen Einrichtung passt, etwa wie viel Archivierung benötigt wird. Mein Tipp ist, im Zweifel eher kürzere Fristen festzulegen: Je länger die Löschfrist, desto größer und unübersichtlicher wird das Archiv – und dann wird es auch schwieriger, den Überblick zu behalten, was zu löschen ist.

Für MAVen, die von diesen Erfahrungen profitieren wollen und sich über das Datenschutzkonzept austauschen wollen, stelle ich gerne den Kontakt mit Holger Reinhold her – einfach melden.