DSGVO-konforme Ideenmanagement-Software verarbeitet die Ideen von Mitarbeitenden als personenbezogene Daten auf Grundlage eines Auftragsverarbeitungsvertrags, mit einer veröffentlichten Liste der Unterauftragsverarbeiter, Hosting in der EU oder einem gültigen Übermittlungsmechanismus, Löschung unter Ihrer Kontrolle und Anonymität, die Sie dort einschalten, wo sie nötig ist. Kein Anbieter kann Ihr Ideenmanagement allein rechtskonform machen: Rechtsgrundlage, Information der Beschäftigten, Löschregel und Betriebsvereinbarung liegen beim Arbeitgeber. Die Software muss diese Entscheidungen möglich machen und ihren eigenen Teil der Kette kurz und dokumentiert halten.
Warum sind Ideen von Mitarbeitenden personenbezogene Daten?
Eine Idee ist ein personenbezogenes Datum, sobald sie sich einer Person zuordnen lässt, und in den meisten Programmen ist das immer der Fall. Name, E-Mail, Funktion und Standort werden mit der Idee gespeichert, Kommentare, Stimmen und Bewertungen sind den Personen zugeordnet, die sie abgegeben haben (Art. 4 Nr. 1 DSGVO).
Auch der Inhalt zählt. Eine Idee zu einer gefährlichen Laderampe nennt vielleicht den Kollegen, der sich dort verletzt hat. Das sind Gesundheitsdaten, eine besondere Kategorie nach Art. 9 DSGVO, die nur verarbeitet werden darf, wenn eine Ausnahme nach Art. 9 Abs. 2 greift. In der Praxis heißt das für die meisten Programme: die Kampagne auf die Gefahr formulieren statt auf die Person, Mitarbeitende bitten, Gesundheitsangaben wegzulassen, und Sammlungsmanager solche Angaben entfernen lassen, wenn sie doch auftauchen.
Welche Rechtsgrundlage trägt ein Ideenmanagement für Beschäftigte?
Für private Arbeitgeber ist die übliche Grundlage das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO, gestützt auf eine schriftliche Interessenabwägung, die zeigt, dass das Sammeln von Ideen die Rechte der Beschäftigten nicht überwiegt. Eine Einwilligung trägt im Arbeitsverhältnis schlecht: Erwägungsgrund 43 und die Leitlinien des Europäischen Datenschutzausschusses weisen darauf hin, dass sie wegen des Ungleichgewichts zwischen Arbeitgeber und Beschäftigten selten freiwillig ist.
Behörden können sich bei der Erfüllung ihrer Aufgaben nicht auf berechtigte Interessen stützen (letzter Satz von Art. 6 Abs. 1), Kommunen und Ämter nutzen daher meist Art. 6 Abs. 1 lit. e, die Wahrnehmung einer Aufgabe im öffentlichen Interesse. Nach Art. 88 DSGVO können Mitgliedstaaten und Kollektivvereinbarungen, in Deutschland also auch Betriebsvereinbarungen, spezifischere Regeln für Beschäftigtendaten festlegen. Unabhängig von der Grundlage müssen Einreichende bei der Erhebung erfahren, was mit ihrer Idee passiert und wer sie sieht (Art. 13).
Was müssen AVV und Liste der Unterauftragsverarbeiter zeigen?
Sie sind Verantwortlicher, der Anbieter ist Auftragsverarbeiter, also verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag (AVV). Achten Sie auf:
- Verarbeitung nur auf Ihre dokumentierte Weisung;
- Vertraulichkeit für alle, die mit den Daten arbeiten;
- die technischen und organisatorischen Maßnahmen nach Art. 32;
- eine Liste der Unterauftragsverarbeiter, mit Ankündigung vor jeder Änderung und Widerspruchsrecht;
- Unterstützung bei Betroffenenanfragen und Meldungen von Datenschutzverletzungen;
- Löschung oder Rückgabe der Daten bei Vertragsende.
In der Liste der Unterauftragsverarbeiter werden Versprechen überprüfbar: Jeder Eintrag sollte das Unternehmen, den Ort der Verarbeitung, die Aufgabe und den Übermittlungsmechanismus nennen.
Reicht Hosting in der EU?
Es klärt das meiste, aber nicht alles. EU-Hosting hält die Datenbank in der EU, doch E-Mail, Support-Tools und KI-Dienste können personenbezogene Daten trotzdem anderswohin schicken, und Kapitel V (Art. 44 ff.) gilt für jede Übermittlung außerhalb von EU und EWR.
Seit dem Urteil Schrems II von 2020 muss jeder, der personenbezogene Daten außerhalb der EU übermittelt, das Recht des Ziellandes prüfen und wo nötig zusätzliche Schutzmaßnahmen ergreifen. Fragen Sie deshalb jeden Anbieter, welche Daten die EU verlassen und auf welcher Grundlage.
Wie lange dürfen Ideen gespeichert werden, und wer löscht sie?
Nur so lange, wie das Programm sie braucht (Speicherbegrenzung, Art. 5 Abs. 1 lit. e), und der Verantwortliche legt die Frist fest. Eine verbreitete Regel: umgesetzte Ideen so lange behalten, wie ihr Nutzen berichtet wird, abgelehnte eine feste Zeit nach der Entscheidung löschen. Fragen Sie Anbieter, ob Sammlungsmanager einzelne Ideen und ganze Sammlungen löschen können, ob ein Konto auf Antrag entfernt werden kann (Art. 17) und was bei Vertragsende mit den Daten und Backups geschieht.
Löst anonymes Einreichen die DSGVO-Frage?
Nur zum Teil. Wird nichts gespeichert, was die Idee mit einer Person verbindet, ist sie kein personenbezogenes Datum (Erwägungsgrund 26). Der Text kann trotzdem jemanden erkennbar machen: In einem Team von sechs Leuten ist „die Nachtschicht an Linie 3“ ein Name. Anonymität heißt außerdem, dass niemand nachfragen oder der Person mitteilen kann, was aus ihrer Idee geworden ist.
Deshalb gehört Anonymität als Einstellung zu jeder einzelnen Sammlung, nicht zur ganzen Plattform. Eine Kampagne zu Arbeitssicherheit oder Zusammenarbeit kann sie brauchen. Eine Kampagne zu Kosteneinsparungen funktioniert meist besser mit Namen, damit die Anerkennung ankommt.
Gilt Art. 22 DSGVO, wenn KI Ideen bewertet?
Selten, aber prüfen Sie es. Art. 22 betrifft Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und gegenüber einer Person rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen. Eine KI, die Ideen zusammenfasst oder Dubletten markiert, während Menschen entscheiden, fällt nicht darunter. Ein Algorithmus, der allein über Prämien, Auszeichnungen oder Beurteilungen anhand der Ideen einer Person entscheidet, könnte darunter fallen. Lassen Sie diese Entscheidung bei einem Menschen und dokumentieren Sie das.
Muss der Betriebsrat vorher zustimmen?
In Deutschland ja, und zwar vor dem Start. Nach § 87 Abs. 1 BetrVG hat der Betriebsrat ein Mitbestimmungsrecht bei technischen Einrichtungen, die dazu geeignet sind, Verhalten oder Leistung der Beschäftigten zu überwachen (Nr. 6), und bei den Grundsätzen über das betriebliche Vorschlagswesen (Nr. 12). Die Eignung zur Überwachung genügt, eine Absicht ist nicht nötig. Der übliche Weg ist eine Betriebsvereinbarung. In Schweden muss der Arbeitgeber vor wichtigeren Veränderungen nach 11 § MBL mit der Gewerkschaft verhandeln, in Frankreich müssen Unternehmen ab 50 Beschäftigten den CSE vor der Einführung neuer Technologien oder von Mitteln zur Kontrolle der Tätigkeit informieren und anhören (Code du travail, Art. L2312-8 und L2312-38). Anonymität, Löschfristen, Zugriffsrechte und KI sind die üblichen Verhandlungspunkte.
Was sagt ISO 27001 aus?
Die Norm zeigt, dass das Informationssicherheits-Managementsystem eines Anbieters trägt, nicht, dass die Verarbeitung DSGVO-konform ist. Rechtsgrundlage, Übermittlungen und Löschfristen deckt sie nicht ab.
Die Sicherheit von Hives.co ist im Einklang mit der Norm ISO 27001 aufgebaut. Darüber hinaus ist Hives vollständig DSGVO-konform: der AVV gehört zu jedem Vertrag, die Liste der Unterauftragsverarbeiter ist öffentlich, und Sie erhalten eine schriftliche Sicherheitsübersicht für Ihre IT-Prüfung sowie direkte Antworten auf Ihren Sicherheitsfragebogen.
Was sollten Sie Anbieter von Ideenmanagement-Software fragen?
| Was Sie prüfen | Warum es zählt | Wie Hives es macht |
|---|---|---|
| AVV | Pflicht nach Art. 28 DSGVO | Teil jedes Kundenvertrags |
| Unterauftragsverarbeiter | Sie müssen wissen, wer sonst Daten verarbeitet | Öffentlich gelistet, 30 Tage Vorankündigung bei Änderungen |
| Hosting | Bestimmt, wo Übermittlungen beginnen | Google Cloud in Frankfurt als Standard, On-Premise auf Anfrage |
| KI-Verarbeitung | Daten müssen auf dem vereinbarten Weg bleiben | Ida auf Vertex AI in Frankfurt, kein Training von Modellen |
| Anonymität | Manche Themen brauchen sie, die meisten nicht | Pro Sammlung einstellbar |
| Anmeldung | Zugang endet mit dem Arbeitsverhältnis | SSO mit Microsoft und Google in jedem Tarif, SAML in Enterprise |
| Vertragsende | Speicherbegrenzung | 60 Tage Export, danach Löschung innerhalb von 30 Tagen |
| Informationssicherheit | Manche Einkaufsrichtlinien verlangen ISO 27001 | Die Sicherheit von Hives.co ist im Einklang mit der Norm ISO 27001 aufgebaut. |
Wie geht Hives mit der DSGVO um?
Hives ist eine Ideenmanagement-Software für Organisationen ab etwa 100 Mitarbeitenden bis hin zu multinationalen Konzernen. Teams starten mit einer Kampagne und bauen dasselbe Setup auf weitere Standorte, Länder und Geschäftsbereiche aus. Hives ist ein schwedisches Unternehmen und Ihr Auftragsverarbeiter für alles in Ihrem Arbeitsbereich, nach den Auftragsverarbeitungsbedingungen in Ihrem Vertrag. Hives ist vollständig DSGVO-konform.
Der Dienst läuft auf Google Cloud in Frankfurt. Alle Unterauftragsverarbeiter stehen auf der Seite zu den Unterauftragsverarbeitern, auf der auch Änderungen angekündigt werden. Ida, die KI-Assistentin, läuft auf Vertex AI in derselben Region, liest nur, was die fragende Person sehen darf, und die KI-Funktionen lassen sich abschalten.
Der Zugang beginnt mit der Anmeldung über das Microsoft- oder Google-Arbeitskonto, damit nur Ihre eigenen Leute hineinkommen. Wer keine dienstliche E-Mail hat, nutzt die eigene E-Mail mit einem Einmalcode. Jede Sammlung hat einen eigenen Zugriffsbereich und eine eigene Anonymitätseinstellung: Namen der Mitwirkenden verbergen (gespeichert, aber für niemanden sonst sichtbar, auch nicht für Admins) oder Beiträge anonym speichern (kein Name gespeichert). Die Sicherheitsseite und die Datenschutzerklärung decken den Rest ab. Bei VINCI Energies nutzen ein paar tausend Personen in Geschäftseinheiten in mehreren Ländern Hives.
Wann passt eine andere Art von Werkzeug besser?
Geht es um Meldungen über Missstände, brauchen Sie ein Hinweisgebersystem: Das Hinweisgeberschutzgesetz stellt Anforderungen an Vertraulichkeit und Nachverfolgung, für die ein Ideenmanagement nicht gebaut ist. Geht es um Unfälle und Beinaheunfälle, passt ein Arbeitsschutz- oder Incident-Management-System besser, weil es täglich mit Gesundheitsdaten und gesetzlichen Aufbewahrungsfristen umgeht. Der Einkaufsleitfaden sortiert Anbieter nach Bedarf.
Häufig gestellte Fragen
Ist Ideenmanagement-Software von Haus aus DSGVO-konform?
Keine Software ist das. Der Anbieter kann als Auftragsverarbeiter die Regeln einhalten, der Arbeitgeber braucht trotzdem eine Rechtsgrundlage, eine Information der Beschäftigten, eine Löschregel und in Deutschland in aller Regel eine Betriebsvereinbarung.
Brauchen wir eine Datenschutz-Folgenabschätzung?
Nur wenn die Verarbeitung voraussichtlich ein hohes Risiko mit sich bringt (Art. 35). Viele Ideenprogramme erreichen diese Schwelle nicht, manche Datenschutzbeauftragte führen trotzdem eine durch, wenn Ideen Gesundheits- oder Sicherheitsangaben enthalten können oder KI sie auswertet.
Können Mitarbeitende die Löschung ihrer Ideen verlangen?
Ja, nach Art. 17, mit den dort genannten Ausnahmen. In Hives kann die einreichende Person ihre Idee selbst löschen, solange sie in der Inbox liegt, Sammlungsmanager können sie später löschen, und ein Konto wird auf Antrag der Organisation entfernt.
Lässt sich eine anonyme Idee auf Antrag löschen?
Meist nicht, weil nichts sie mit der anfragenden Person verbindet. Eine wirklich anonyme Idee ist kein personenbezogenes Datum, das Recht greift also nicht, doch Sammlungsmanager können sie trotzdem entfernen, wenn der Text jemanden erkennbar macht.
Was kostet Hives?
Core kostet 695 € pro Monat, Pro 1.495 € und Enterprise 1.995 €, jährlich abgerechnet und ohne Gebühren pro Nutzer. AVV und EU-Hosting sind in jedem Tarif enthalten. Siehe Preise.
Den Verordnungstext finden Sie auf EUR-Lex.