Ein Intranet bündelt Wissen, Dokumente und Kommunikation – und damit zwangsläufig auch viele personenbezogene Daten: Namen, Kontaktdaten, Fotos, Zuständigkeiten, manchmal sogar Geburtstage oder Abwesenheiten. Wer ein Intranet einführt oder betreibt, muss deshalb die Vorgaben der DSGVO von Anfang an mitdenken. Gerade beim Thema Intranet DSGVO stellen sich in der Praxis viele Fragen. In diesem Beitrag zeigen wir die 10 wichtigsten Anforderungen an ein Intranet nach DSGVO – und wie Sie diese in der Praxis umsetzen.
Warum das Thema Intranet DSGVO so wichtig ist
Im Intranet verarbeiten Unternehmen vor allem Daten ihrer Beschäftigten. Für diese gelten besondere Regeln: Die Mitarbeitenden stehen in einem Abhängigkeitsverhältnis zum Arbeitgeber, und Fehler im Umgang mit ihren Daten können zu Beschwerden, Bußgeldern oder Schadensersatzforderungen führen. Beim Thema Intranet DSGVO geht es also nicht um Formalien, sondern um das Vertrauen Ihrer Belegschaft. Hinzu kommt, dass der Beschäftigtendatenschutz immer wieder Gegenstand von Rechtsprechung und Gesetzgebung ist und Unternehmen ihre Lösungen regelmäßig überprüfen sollten.
Die 10 wichtigsten Anforderungen an ein Intranet nach DSGVO
1. Die richtige Rechtsgrundlage wählen
Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach Art. 6 DSGVO. Im Beschäftigtenkontext ist die Rechtslage dabei komplexer geworden, ein pauschaler Verweis auf eine einzelne Vorschrift genügt oft nicht. Stimmen Sie die passende Rechtsgrundlage am besten mit Ihrem Datenschutzbeauftragten ab und prüfen Sie für jede Funktion Ihres Intranets, ob sie zur Durchführung des Arbeitsverhältnisses erforderlich ist, auf einem berechtigten Interesse beruht oder eine Einwilligung benötigt.
2. Nur notwendige Daten verarbeiten
Der Grundsatz der Datenminimierung gilt auch im Intranet. Ein Mitarbeiterverzeichnis mit Name, Abteilung, Funktion und dienstlichen Kontaktdaten ist in der Regel unproblematisch. Private Handynummern, Geburtsdaten oder Hobbys gehören dagegen nur mit ausdrücklicher Zustimmung der Betroffenen ins Intranet.
3. Einwilligungen für Fotos und freiwillige Angaben einholen
Mitarbeiterfotos sind personenbezogene Daten. Für die Veröffentlichung im Intranet sollten Sie eine Einwilligung einholen, die freiwillig, informiert und jederzeit widerrufbar ist. Gleiches gilt für freiwillige Profilangaben. Wird eine Einwilligung widerrufen, müssen die Daten zeitnah entfernt werden.
4. Ein durchdachtes Berechtigungskonzept umsetzen
Nicht jede Information ist für alle Mitarbeitenden bestimmt. Personalunterlagen, Vertragsdokumente oder Projektdaten dürfen nur für die Personen sichtbar sein, die sie für ihre Arbeit benötigen. Ein fein abgestuftes Berechtigungssystem mit Rollen und Gruppen ist deshalb eine Grundvoraussetzung für ein Intranet nach DSGVO.
5. Technische und organisatorische Maßnahmen treffen
Art. 32 DSGVO verlangt ein angemessenes Schutzniveau. Dazu gehören unter anderem verschlüsselte Verbindungen, sichere Anmeldeverfahren, regelmäßige Datensicherungen, zeitnahe Sicherheitsupdates und eine Protokollierung kritischer Zugriffe. Dokumentieren Sie diese Maßnahmen, damit Sie sie im Ernstfall nachweisen können.
6. Einen Auftragsverarbeitungsvertrag abschließen
Wird Ihr Intranet von einem externen Dienstleister betrieben, etwa als Cloud-Lösung, handelt es sich um eine Auftragsverarbeitung. Nach Art. 28 DSGVO müssen Sie mit dem Anbieter einen Vertrag abschließen, der unter anderem Zweck, Art der Daten und die Sicherheitsmaßnahmen regelt.
7. Den Serverstandort im Blick behalten
Werden Daten außerhalb der EU verarbeitet oder ist der Anbieter einem US-Konzern zugehörig, gelten zusätzliche Anforderungen an die Datenübermittlung. Zudem können US-Behörden über den CLOUD Act unter bestimmten Voraussetzungen auf Daten zugreifen – selbst wenn diese in Europa gespeichert sind. Ein Anbieter mit Sitz und Servern in Deutschland vereinfacht die Situation erheblich.
8. Ein Löschkonzept festlegen
Daten dürfen nur so lange gespeichert werden, wie es für den jeweiligen Zweck erforderlich ist. Legen Sie fest, wann Inhalte, Profile und Dokumente gelöscht werden – zum Beispiel, wenn Mitarbeitende das Unternehmen verlassen. Gesetzliche Aufbewahrungsfristen müssen dabei berücksichtigt werden.
9. Transparenz schaffen und Betroffenenrechte sichern
Informieren Sie Ihre Mitarbeitenden verständlich darüber, welche Daten im Intranet verarbeitet werden und zu welchem Zweck. Nehmen Sie das Intranet in Ihr Verzeichnis von Verarbeitungstätigkeiten auf und stellen Sie sicher, dass Auskunfts-, Berichtigungs- und Löschanfragen schnell bearbeitet werden können. Bei umfangreichen oder besonders sensiblen Verarbeitungen kann zusätzlich eine Datenschutz-Folgenabschätzung erforderlich sein.
10. Den Betriebsrat frühzeitig einbinden
Gibt es in Ihrem Unternehmen einen Betriebsrat, hat dieser bei der Einführung technischer Einrichtungen, die zur Überwachung von Verhalten oder Leistung geeignet sind, ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG. Ein Intranet fällt häufig darunter. Eine Betriebsvereinbarung schafft Klarheit für alle Beteiligten und erhöht die Akzeptanz.
So unterstützt die IntranetBOX beim Datenschutz
Die IntranetBOX wurde in Deutschland entwickelt und unterstützt Sie bei der Umsetzung dieser Anforderungen:
- In der Cloud-Variante liegen Ihre Daten auf eigener Infrastruktur der K3 Innovationen GmbH in einem zertifizierten Rechenzentrum in Düsseldorf.
- Ein flexibles Berechtigungssystem steuert, wer welche Inhalte sehen und bearbeiten darf.
- Wer die Daten ausschließlich im eigenen Haus halten möchte, kann die IntranetBOX auch auf eigenen Servern betreiben.
Fazit: Datenschutz von Anfang an mitdenken
Beim Thema Intranet DSGVO gilt: Ein datenschutzkonformes Intranet ist kein Hexenwerk, erfordert aber eine sorgfältige Planung. Wer Rechtsgrundlagen, Berechtigungen, Löschfristen und die Rolle des Betriebsrats frühzeitig klärt, schafft Vertrauen bei den Mitarbeitenden und vermeidet rechtliche Risiken. Binden Sie dabei Ihren Datenschutzbeauftragten von Beginn an ein – dieser Beitrag ersetzt keine individuelle Rechtsberatung.
Sie möchten sehen, wie die IntranetBOX Datenschutz und einfache Bedienung verbindet? Fordern Sie eine unverbindliche, 60-minütige Online-Demo an.
