DSGVO-DatenverarbeitungsmodellBetrieb des Intranets und Mitarbeiterportals

Durch: Maj Ref DE API Rest

Organisation: PrivatOrganisation: ÖffentlichFunktion: Allgemeine Verwaltung

Diese Verarbeitungstätigkeit betrifft den Betrieb eines Intranets oder Mitarbeiterportals mit Benutzerkonten und Zugriffsrechten, die Bereitstellung von Informationen, Formularen und Self-Service-Funktionen, freiwillige Profilangaben und Fotos der Beschäftigten, Beiträge und Kommentare sowie die Protokollierung der Zugriffe zu Sicherheitszwecken.

Zwecke (5)

Der Zweck einer Verarbeitung ist das Hauptziel der Nutzung personenbezogener Daten. Diese Daten müssen für einen klar definierten und legitimen Zweck erhoben werden und dürfen nicht später in einer Weise verarbeitet werden, die mit diesem ursprünglichen Ziel unvereinbar ist.

Bereitstellung von Informationen und Self-Service-Funktionen im Intranet

Veröffentlichung von Nachrichten, Richtlinien, Formularen und Organisationsinformationen sowie Bereitstellung von Self-Service-Funktionen für Beschäftigte (zum Beispiel Antragsformulare, Raumbuchung, Wissensdatenbank).

Berechtigte Interessen des Verantwortlichen oder eines Dritten

Art. 6 Abs. 1 lit. f DSGVO (Organisation der internen Information); bei öffentlichen Stellen Art. 6 Abs. 1 lit. e DSGVO i. V. m. dem anwendbaren Landes- oder Bundesrecht; soweit Funktionen der Durchführung des Arbeitsverhältnisses dienen, Art. 6 Abs. 1 lit. b DSGVO

Verwaltung von Benutzerkonten und Zugriffsrechten

Anlage, Pflege und Deaktivierung der Benutzerkonten der Beschäftigten, Zuweisung von Rollen und Berechtigungen nach dem Erforderlichkeitsprinzip, Authentifizierung.

Vertrag oder vorvertragliche Maßnahmen

Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Arbeitsmittel im Rahmen des Beschäftigungsverhältnisses); ergänzend Art. 32 DSGVO

Veröffentlichung freiwilliger Profilangaben und Fotos

Anzeige eines Profilfotos und freiwilliger Zusatzangaben (zum Beispiel Fachkenntnisse, Sprachen) im Portal. Nach Auffassung des BfDI ist die Veröffentlichung von Fotos im Intranet nicht für das Beschäftigungsverhältnis erforderlich und nur mit Einwilligung zulässig; die Einwilligung ist schriftlich oder elektronisch einzuholen, über Zweck und Widerruf ist in Textform aufzuklären.

Einwilligung

Art. 6 Abs. 1 lit. a und Art. 7 DSGVO i. V. m. § 26 Abs. 2 BDSG; für die Verbreitung von Bildnissen zusätzlich § 22 KUG

Beiträge, Kommentare und Zusammenarbeit im Portal

Veröffentlichung von Beiträgen, Kommentaren und Reaktionen durch Beschäftigte in Foren, Gruppen oder Nachrichtenbereichen mit Anzeige des Verfassers; Moderation von Inhalten.

Berechtigte Interessen des Verantwortlichen oder eines Dritten

Art. 6 Abs. 1 lit. f DSGVO (Förderung der innerbetrieblichen Zusammenarbeit); Mitbestimmung des Betriebsrats nach § 87 Abs. 1 Nr. 1 und Nr. 6 BetrVG zu beachten

Protokollierung zur IT-Sicherheit

Speicherung von Anmelde- und Zugriffsprotokollen zur Gewährleistung der Sicherheit, zur Fehleranalyse und zur Aufklärung von Sicherheitsvorfällen; keine Auswertung zur Verhaltens- oder Leistungskontrolle ohne gesonderte Rechtsgrundlage und Beteiligung des Betriebsrats (§ 87 Abs. 1 Nr. 6 BetrVG).

Berechtigte Interessen des Verantwortlichen oder eines Dritten

Art. 6 Abs. 1 lit. f DSGVO i. V. m. Art. 32 DSGVO; bei öffentlichen Stellen Art. 6 Abs. 1 lit. c oder e DSGVO i. V. m. Art. 32 DSGVO

Daten (4)

Artikel 30 der DSGVO verlangt die Registrierung der verarbeiteten Datenkategorien. Hierbei geht es darum, die Kategorien der verarbeiteten Daten zu definieren. Diese können als gewöhnlich oder sensibel bezeichnet werden.

Benutzerkonto und Berechtigungen

Details der Daten

Name, Vorname und Benutzerkennungoptional

Dienstliche E-Mail-Adresse, Organisationseinheit und Funktionoptional

Rollen, Gruppenzugehörigkeiten und Berechtigungenoptional

Aufbewahrungsregeln

Aktiver Bestand:

Für die Dauer des Beschäftigungsverhältnisses oder des Einsatzes; Deaktivierung beim Ausscheiden

Zwischenarchivierung:

Löschung des deaktivierten Kontos nach einer kurzen, vom Verantwortlichen festzulegenden Übergangsfrist

Endgültige Sortierung

Freiwillige Profilangaben und Fotos

Details der Daten

Profilfotooptional

Freiwillige Angaben zu Fachkenntnissen und Sprachenoptional

Einwilligungsnachweis mit Datum und Widerrufoptional

Aufbewahrungsregeln

Aktiver Bestand:

Bis zum Widerruf der Einwilligung, spätestens bis zum Ausscheiden

Art. 7 Abs. 3 und Art. 17 Abs. 1 lit. b DSGVO (Löschung nach Widerruf, sofern keine andere Rechtsgrundlage besteht)

Endgültige Sortierung

Beiträge und Interaktionen

Details der Daten

Beiträge und Kommentare mit Verfassername und Zeitstempeloptional

Reaktionen und Gruppenmitgliedschaftenoptional

Aufbewahrungsregeln

Aktiver Bestand:

Solange der Inhalt für die interne Information aktuell ist

Zwischenarchivierung:

Nach dem Ausscheiden Löschung oder Anonymisierung des Verfassernamens, soweit der Inhalt weiter benötigt wird

Endgültige Sortierung

Zugriffs- und Anmeldeprotokolle

Details der Daten

Benutzerkennung, IP-Adresse, Datum und Uhrzeit der Anmeldungoptional

Aufgerufene Seiten und ausgeführte Aktionen (Änderungen, Downloads)optional

Aufbewahrungsregeln

Aktiver Bestand:

Kurze, vom Verantwortlichen festzulegende Frist (in der Praxis häufig einige Wochen bis wenige Monate)

Zwischenarchivierung:

Längere Speicherung nur im Einzelfall zur Aufklärung eines konkreten Sicherheitsvorfalls

Endgültige Sortierung

Betroffene Personen (4)

Eine betroffene Person ist jede Person, deren Daten durch die betreffende Datenverarbeitung gesammelt, gespeichert oder verarbeitet werden. Zum Beispiel: Im Rahmen einer Rekrutierungsverarbeitung stellt jeder Bewerber für die betreffende Stelle eine betroffene Person dar.

Mitarbeiter
Ehemalige Mitarbeiter
Verwaltungsagenten
Leiharbeitnehmer und externe Dienstleister mit Portalzugang

Autor:

Maj Ref DE API Rest

Erstellt am:10/05/2026

Aktualisiert am:10/05/2026

Anzahl der Nutzungen:0

DSGVO-DatenverarbeitungsmodellBetrieb des Intranets und Mitarbeiterportals

Zwecke (5)

Daten (4)

Benutzerkonto und Berechtigungen

Freiwillige Profilangaben und Fotos

Beiträge und Interaktionen

Zugriffs- und Anmeldeprotokolle

Betroffene Personen (4)

Zugriff auf das vollständige Modell