Meldeprozesse im Betrieb: was ein Formular leisten muss

Ein Verpackungsbetrieb in Wohlen mit vierzig Mitarbeitenden möchte, dass Beobachtungen aus dem Betrieb bei der Geschäftsleitung ankommen: eine Schutzvorrichtung, die seit Wochen ausgehängt ist; ein Lieferant, der mit einem Teammitglied verwandt ist; ein Verhalten in der Frühschicht, das jemand nicht mehr mitansehen möchte. Bisher lief das über den direkten Vorgesetzten. Jetzt soll ein Formular auf dem Intranet dazukommen.

Das Formular ist in einer Viertelstunde gebaut. Die Frage, die dabei beantwortet wird, ist aber nicht «welche Felder brauchen wir», sondern «wer liest das nachher». An dieser Frage hängt, ob das Formular benutzt wird. Ein Meldeweg, bei dem nicht klar ist, wo die Meldung landet, bleibt leer — und ein leeres Formular ist nicht dasselbe wie ein Betrieb ohne Probleme.

Warum ein Meldeformular kein Kontaktformular ist

Ein gewöhnliches Kontaktformular auf der Website erzeugt eine Anfrage: eine Person schreibt über sich selbst und möchte eine Antwort. Ein internes Meldeformular erzeugt etwas anderes. Drei Unterschiede fallen auf.

Die Meldung handelt meistens von einer dritten Person. In der Tabelle steht dann nicht nur, wer geschrieben hat, sondern auch, über wen. Beide sind Personendaten im Sinne von Art. 5 Bst. a DSG, und beide haben Rechte daran.

Die Absenderin ist selbst der heikle Teil. Bei einer Offertanfrage ist der Name eine Formalität. Bei einer Meldung über einen Interessenkonflikt ist der Name die Angabe, die über die Folgen für die meldende Person entscheidet.

Es braucht einen Rückweg. Eine Anfrage beantwortet man per E-Mail. Eine Meldung, die ohne Adresse eingegangen ist, lässt sich nicht beantworten — es sei denn, das Formular hat vorher etwas dafür vorgesehen.

Wer die Antwort sehen kann

Die Datenschutzverordnung benennt Vertraulichkeit als eines von vier Schutzzielen: Daten sollen «nur Berechtigten zugänglich» sein (Art. 2 Bst. a DSV). Art. 3 Abs. 1 Bst. a DSV wird dann konkreter und nennt die Zugriffskontrolle — berechtigte Personen sollen nur auf diejenigen Personendaten Zugriff haben, die sie zur Erfüllung ihrer Aufgaben benötigen. Art. 8 DSG verlangt für die Datensicherheit insgesamt technische und organisatorische Massnahmen, die dem Risiko angemessen sind.

Das klingt abstrakt, bis man durchzählt, wer bei einem gewöhnlich aufgesetzten Formular tatsächlich hineinsehen kann.

Stelle	Sieht typischerweise	Weil
Das Postfach hinter dem Formular	Jede Meldung im Volltext	Formulare versenden Antworten oft an eine Sammeladresse
Die Person mit dem Konto	Jede Meldung im Volltext	Ein Postfach gehört selten nur einer Person
Die Stellvertretung in den Ferien	Jede Meldung im Volltext	Weiterleitungen und Freigaben werden selten zurückgestellt
Die IT-Administration	Meldungen, Anhänge, Protokolle	Administratorrechte gelten für alle Ordner
Das Formular-Werkzeug selbst	Alle Antworten in der Auswertungstabelle	Dort werden sie gespeichert
Der Auftragsbearbeiter	Was das Werkzeug speichert	Art. 9 DSG regelt die Übertragung, nicht die Sichtbarkeit

Kein Punkt dieser Liste ist ein Fehler. Es sind Voreinstellungen, die für eine Offertanfrage genau richtig sind — und für einen Meldeweg einen grösseren Kreis beschreiben, als die Beschriftung «vertraulich» vermuten lässt.

Die zweite Hälfte derselben Frage betrifft Personen, die gerade nicht sehen sollen: der Vorgesetzte, um den es in der Meldung geht; die Abteilung, aus der sie kommt; wer über Löhne oder Verträge entscheidet. Ein Formular kann das abbilden, wenn es einen eigenen, getrennten Ablageort hat. Es kann es nicht abbilden, wenn die Meldungen in derselben Tabelle liegen wie die Ferienanträge.

Anonym melden, und was es beide Seiten kostet

Anonymität ist keine Einstellung, die man einschaltet, sondern eine Abmachung mit Kosten auf beiden Seiten.

Was	Mit Namen	Anonym
Rückfrage bei Unklarheit	Möglich	Nicht möglich, wenn kein Kanal vorgesehen ist
Unterlagen nachreichen	Möglich	Nur über denselben Weg wie die Erstmeldung
Mitteilung über den Ausgang	Möglich	Nur über einen Rückkanal ohne Adresse
Einordnung der Meldung	Rolle und Sichtweise sind bekannt	Die Meldung steht für sich
Folgen für die meldende Person	Hängen an der Zugriffskontrolle	Hängen daran, was das Formular sonst speichert

Der Punkt, der in der Praxis am häufigsten übersehen wird, ist der dritte. Ohne Adresse gibt es keinen Weg zurück, und damit erfährt die meldende Person nie, ob überhaupt jemand die Meldung gelesen hat. Genau das ist der Grund, weshalb die zweite Meldung ausbleibt.

Dazwischen liegt ein dritter Zustand, der weder das eine noch das andere ist. Das Formular vergibt beim Absenden eine Kennung — eine Zeichenfolge, die nur die meldende Person kennt — und zeigt sie einmal an. Über dieselbe Kennung lässt sich später eine Seite aufrufen, auf der eine Rückfrage oder eine Mitteilung steht. Der Betrieb kennt die Kennung, aber keine Adresse; die Person kennt beides. Das ist ein Postfach ohne Anschrift. Es funktioniert, solange die Kennung nirgends mit einer Kontonummer, einer E-Mail-Adresse oder einer Sitzung verknüpft gespeichert wird — sonst ist der Umweg nur Kosmetik.

Was mitkommt, auch wenn das Namensfeld leer bleibt

Beim Absenden entsteht neben den ausgefüllten Feldern eine zweite Schicht von Angaben. Bei einem Anmeldeformular ist sie Verwaltungskram. Bei einem Meldeformular ist sie der eigentliche Gegenstand.

Der Zeitstempel. In einem Betrieb mit vierzig Mitarbeitenden grenzt «Sonntag, 23:40 Uhr» den Kreis bereits ein. In einer Schicht von sechs Personen grenzt er ihn sehr stark ein.

Das angemeldete Konto. Liegt das Formular im Intranet hinter der Anmeldung, weiss das System, wer es geöffnet hat — auch wenn im Formular selbst kein Name steht. «Anonym» heisst dann: anonym im Formular, nicht anonym im System.

Netzwerk und Gerät. IP-Adresse, Browser, Betriebssystem, manchmal die Bildschirmgrösse. Einzeln sagt das wenig. Zusammen mit einem Zeitpunkt und einer Geräteliste aus der IT sagt es mehr. Ob solche Angaben eine Person bestimmbar machen, entscheidet sich an Art. 5 Bst. a DSG und damit daran, was sonst noch in derselben Zeile steht.

Die Datei im Anhang. Ein Foto trägt oft Aufnahmezeit und Gerät mit sich, ein Bürodokument den Namen der Person, unter deren Konto es erstellt wurde, und manchmal die gesamte Änderungsgeschichte.

Die Protokolle. Art. 4 DSV verlangt unter bestimmten Voraussetzungen die Protokollierung von Speichern, Verändern, Lesen, Bekanntgeben, Löschen und Vernichten — namentlich dann, wenn sonst nachträglich nicht festgestellt werden kann, ob die Daten für die Zwecke bearbeitet wurden, für die sie beschafft wurden. Solche Protokolle sind für die Nachvollziehbarkeit da, die Art. 2 Bst. d DSV als Schutzziel nennt. Sie sind zugleich eine weitere Liste, in der steht, wer wann wo war.

Die Person, über die gemeldet wird

Die zweite betroffene Person taucht in der Diskussion selten auf, steht aber in derselben Zeile.

Das DSG führt in Art. 5 Bst. c Ziff. 5 «Daten über verwaltungs- und strafrechtliche Verfolgungen oder Sanktionen» als besonders schützenswerte Personendaten auf. Eine Meldung ist keine Verfolgung und keine Sanktion. Sie kann aber Angaben enthalten, die in diese Nähe rücken, und je nach Inhalt auch Angaben über Gesundheit oder gewerkschaftliche Tätigkeit nach denselben Ziffern.

Für Arbeitsverhältnisse kommt Art. 328b OR dazu: Der Arbeitgeber darf Daten über die Arbeitnehmerin oder den Arbeitnehmer nur bearbeiten, soweit sie deren Eignung für das Arbeitsverhältnis betreffen oder zur Durchführung des Arbeitsvertrages erforderlich sind; im Übrigen gelten die Bestimmungen des DSG. Art. 362 Abs. 1 OR zählt Art. 328b zu den Vorschriften, von denen nicht zuungunsten der Arbeitnehmerin oder des Arbeitnehmers abgewichen werden darf. Der EDÖB hält zur Datenbearbeitung durch den Arbeitgeber zudem fest, dass Angestellte aufgrund ihrer untergeordneten Position nur sehr selten in der Lage sind, frei einzuwilligen oder eine Einwilligung zu verweigern oder zu widerrufen.

Praktisch heisst das für das Formular vor allem eines: Was in einer Meldung steht, ist nicht automatisch etwas, das dauerhaft im Personaldossier landet. Art. 6 Abs. 3 und 4 DSG verlangen einen bestimmten, erkennbaren Zweck und die Vernichtung oder Anonymisierung, sobald die Daten dafür nicht mehr erforderlich sind. Ein Meldeformular, dessen Antworten automatisch in dieselbe Ablage fliessen wie Bewerbungsunterlagen, macht diese Trennung schwer.

Warum das allgemeine Kontaktformular selten passt

Der naheliegende Weg ist, das vorhandene Kontaktformular um ein Auswahlfeld «Meldung» zu erweitern. Das spart eine halbe Stunde und bringt vier Dinge mit sich, die erst später auffallen.

• Ein Ziel für alles. Anfragen und Meldungen landen im selben Postfach, und der Kreis der Berechtigten ist dort für den harmloseren der beiden Fälle festgelegt.
• Keine getrennte Aufbewahrung. Anfragen aus dem Kontaktformular werden nach einem Jahr gelöscht, oder nie. Für Meldungen gelten selten dieselben Überlegungen.
• Kein Rückkanal ohne Adresse. Ein Kontaktformular setzt eine E-Mail-Adresse voraus, weil es für Antworten gebaut ist.
• Eine Antwort, die zurückschreibt. Viele Formulare senden eine automatische Bestätigung an die angegebene Adresse. Bei einer Meldung von einem Geschäftskonto ist das eine E-Mail über eine Meldung in einem Postfach, das mitgelesen werden kann.

Woran sich ein Meldeformular prüfen lässt

Die nützlichen Fragen sind keine juristischen, sondern zählbare. Sie lassen sich in einer halben Stunde am eigenen Formular durchgehen:

1. Wie viele Konten können die Antworten öffnen — namentlich aufgezählt, nicht geschätzt?
2. Gehört eines davon einer Person, über die gemeldet werden könnte?
3. Was steht in der Tabelle neben dem Meldetext: Zeitpunkt, IP-Adresse, Konto, Herkunftsseite?
4. Kommt jemand ohne E-Mail-Adresse durch das Formular, und was sieht diese Person danach?
5. Wie erfährt eine anonyme Meldung, dass sie angekommen ist?
6. Wer bekommt die automatische Bestätigung, und wohin?
7. Wie lange bleiben die Antworten liegen, und wer entscheidet das?
8. Was passiert mit den Anhängen, und wo liegen sie?

Für einen Sportverein mit ehrenamtlichem Vorstand gelten dieselben acht Fragen, nur mit kleineren Zahlen. Gerade dort ist die dritte Frage die heikelste, weil ein Vereinspostfach fast immer mehreren Personen offensteht.

Ein Meldeweg wird nicht dadurch vertraulich, dass «vertraulich» darüber steht. Er wird es dadurch, dass die Liste der Zugriffsberechtigten kurz ist und jemand sie kennt.

Wir entwickeln mit Formulare eine Web-App, bei der Antworten bereits im Browser verschlüsselt werden und in der Schweiz gespeichert bleiben. Für einen Meldeweg heisst das vor allem, dass die Liste aus dem Abschnitt weiter oben kürzer wird: Die Stellen, die die Antworten unterwegs speichern und weiterleiten, stehen nicht mehr darauf. Welche Felder das Formular hat und wer im Betrieb lesen darf, bleibt die Entscheidung derjenigen, die es aufsetzt.