Mitarbeitergespräche und Datenschutz in Zoho People richtig einrichten

Mitarbeitergespräche und Datenschutz in Zoho People passen zusammen, wenn Sie vor dem ersten Beurteilungszyklus drei Dinge festlegen. Erstens: wer welche Beurteilungsfelder sehen und bearbeiten darf. Zweitens: welche Berichte Führungskräfte erhalten und teilen. Drittens: wie lange gelöschte Datensätze aufbewahrt werden. Zoho People liefert dafür Feldberechtigungen, Feldverschlüsselung, Änderungsprotokolle und eine einstellbare Aufbewahrung.

Ein Mitarbeitergespräch ist in diesem Beitrag die strukturierte Leistungsbeurteilung im Performance-Bereich von Zoho People. Grundlage sind die dort aktivierten Leistungsmethoden, also Ziele, Kernaufgabenbereiche, Feedback und Kompetenzen. Die Daten, die dabei entstehen, nennen wir Beurteilungsdaten. Sie gehören zu den sensibelsten Informationen, die ein Arbeitgeber über seine Beschäftigten speichert.

Dieser Beitrag ist Teil 3 einer dreiteiligen Reihe zu Zoho People für kleine und mittlere Arbeitgeber, die Zoho People einzeln oder innerhalb von Zoho One nutzen. Teil 1 zeigt, wie Sie Zoho People Schritt für Schritt einrichten. Teil 2 behandelt Abwesenheiten, Anwesenheit und Zeiterfassung. Hier geht es um Leistungsbeurteilung, HR-Berichte und Beschäftigtendaten unter der DSGVO.

Der Leitfaden beschreibt die Einrichtung aus der Implementierungspraxis. Er ist ausdrücklich keine Rechtsberatung. Die rechtliche Bewertung Ihrer Verarbeitung übernehmen Ihr Datenschutzbeauftragter oder Ihre Rechtsberatung.

Leistungsmethoden sind in Zoho People die Verfahren, mit denen Sie die Leistung der Beschäftigten bewerten. Sie schalten sie unter Settings > Performance > Configuration > Performance Methods einzeln per Schalter ein. Jede aktivierte Methode erzeugt eigene Beurteilungsdaten.

Diese Methoden stehen laut Zohos Hilfeseite zur Auswahl:

• Goals: Ziele, die nach der Hilfeseite den SMART-Kriterien folgen sollen und sich mit Positionen aus Timesheet verknüpfen lassen.
• KRA: Ein KRA (Key Result Area) ist ein Kernaufgabenbereich, also die wesentlichen Aufgaben einer Stelle. Ziele lassen sich an KRAs ausrichten und entsprechend bewerten.
• Feedback: Rückmeldungen unter Kollegen, von der Führungskraft und als 360-Grad-Feedback, bei dem mehrere Seiten eine Person einschätzen.
• Skill Sets: Fachkenntnisse wie Buchhaltung oder Programmiersprachen, gruppiert nach Bereichen und mit Beschäftigten verknüpft.
• Summary: ein Fragebogen, der Führungskräften hilft, die Leistung ihres Teams einzuordnen.

Eine Kompetenz ist nach Zohos Definition eine Mischung aus Wissen, Fähigkeiten und persönlichen Eigenschaften, etwa Kommunikation oder Personalführung. Goals und KRA lassen sich einzeln, parallel oder verknüpft einsetzen.

Für den Datenschutz zählt vor allem die Auswahl. Datenminimierung bedeutet nach Art. 5 Abs. 1 lit. c DSGVO, dass personenbezogene Daten auf das für den Zweck notwendige Maß beschränkt sind. Aktivieren Sie deshalb nur die Methoden, die Ihr Gesprächsleitfaden tatsächlich vorsieht. Ein 360-Grad-Feedback, das niemand auswertet, sammelt trotzdem Einschätzungen über Personen.

Feldberechtigungen entscheiden in Zoho People, welche Rolle ein Feld lesen oder bearbeiten darf. Laut Zohos DSGVO-Seite legt HR für jede Mitarbeiterrolle fest, welche Felder im Selfservice sichtbar und welche bearbeitbar sind. Die deutsche Produktseite nennt dasselbe Werkzeug Profilberechtigungen.

Planen Sie die Rechte je Feld, nicht je Modul. Für Beurteilungsdaten brauchen Sie meist mindestens drei Rollen: HR, die direkte Führungskraft und die beurteilte Person. Legen Sie für jedes Beurteilungsfeld fest, ob diese Rollen lesen, bearbeiten oder gar nichts sehen.

Zusätzliche Schutzschichten

Zoho People bietet über die Rollenrechte hinaus weitere Einstellungen. Diese drei sind für Beurteilungsdaten besonders relevant:

• Feldverschlüsselung: Administratoren wählen einzelne Felder aus, die verschlüsselt in Zohos Datenbank gespeichert werden.
• Dateien: Mitarbeiterdateien und Datei-Upload-Felder sind laut Zoho standardmäßig verschlüsselt.
• IP- und Geo-Beschränkungen: Sie begrenzen den Zugriff auf bestimmte Standorte.

Selfservice und Abteilungs-Stream

Der Selfservice von Zoho People erlaubt Beschäftigten, persönliche Daten einzugeben, Fähigkeiten zu markieren und zu genehmigende Datensätze zu prüfen. Zoho People hat außerdem einen Live-Stream, den alle Mitglieder einer Abteilung sehen. Legen Sie in Ihrer Gesprächsrichtlinie fest, dass Beurteilungsinhalte dort nicht erscheinen. Ein Lob im Stream ist schnell geschrieben und für die ganze Abteilung sichtbar.

Berichte sind die Stelle, an der Beurteilungsdaten am leichtesten in falsche Hände geraten. Die Leistungsberichte von Zoho People finden Sie unter Reports im Reiter Organization Reports. Prüfen Sie dort, welche Rolle welchen Bericht öffnen kann.

Zoho People lässt sich mit Zoho Analytics verbinden, etwa für Anwesenheits- und Zeitdaten. Für den Performance-Bereich unterstützt Zoho laut Hilfeseite jedoch keine Analytics-Berichte. Beurteilungsdaten bleiben damit in den Berichten von Zoho People selbst. Das vereinfacht die Rechteprüfung, weil keine zweite Anwendung mitgedacht werden muss.

Für geteilte Analytics-Berichte gilt eine hilfreiche Regel. Wer ein bestimmtes Formular nicht sehen darf, sieht dessen Datensätze auch im geteilten Bericht nicht. Die Feldrechte wirken also auch dort. Das E-Mail-Versenden über den Report Scheduler sollten Sie dennoch bewusst einsetzen, denn eine weitergeleitete E-Mail folgt keinen Rollenrechten.

Der Analytics-Eigentümer

Wer den ersten Analytics-Bericht anlegt, wird automatisch Analytics-Eigentümer. Rolle, Status und Anmeldestatus dieser Person lassen sich danach nicht mehr ändern. Verlässt sie das Unternehmen, sind die Berichtsdaten aus Zoho Analytics nicht mehr erreichbar, und die Synchronisation stoppt. Nur der Super-Administrator kann das Eigentum übertragen. Bestimmen Sie diese Person deshalb vorab.

Bei Svennis testen wir jede Rolle vor dem ersten Beurteilungszyklus mit einem eigenen Testkonto und öffnen dabei jeden Bericht einmal aus Sicht dieser Rolle. Am häufigsten finden wir so Führungskräfte, die über einen geteilten Bericht mehr sehen als ursprünglich geplant.

Zoho People bildet mehrere Betroffenenrechte der DSGVO mit eigenen Funktionen ab. Die Zuordnung stammt von Zohos DSGVO-Seite für Zoho People. Ob die Funktionen in Ihrem Prozess ausreichen, bleibt eine Frage an Ihre Datenschutzberatung.

So ordnet Zoho die Funktionen den Rechten zu:

• Auskunft und Berichtigung: Beschäftigte sehen und bearbeiten im Selfservice die Felder, die HR für ihre Rolle freigegeben hat.
• Löschung: HR oder Administratoren wählen einzelne Felder aus, die gelöscht werden sollen.
• Einschränkung: Die Seite nennt das Recht, die Verarbeitung einschränken zu lassen.
• Übertragbarkeit: Exporte lassen sich mit einem Passwort schützen.
• Nachvollziehbarkeit: Audit-Protokolle zeigen die Änderungshistorie aller Mitarbeiterdaten.

Rechenschaftspflicht bedeutet nach Art. 5 Abs. 2 DSGVO, dass der Verantwortliche die Einhaltung der Grundsätze nachweisen können muss. Das Audit-Protokoll hilft dabei, ersetzt aber keine dokumentierte Entscheidung. Halten Sie schriftlich fest, warum welche Rolle welches Beurteilungsfeld sieht.

Zohos DSGVO-Seite nennt Bußgelder von bis zu 20 Millionen Euro oder 4 % des Jahresumsatzes des vorangegangenen Geschäftsjahres. Die Seite beschreibt die DSGVO noch als neue Regelung, die am 25. Mai 2018 in Kraft tritt. Die Funktionsbeschreibungen sind davon unberührt, der Text ist aber sichtbar älter.

Gelöschte Leistungsdatensätze lassen sich in Zoho People nicht wiederherstellen. Die Hilfeseite zum Papierkorb sagt das ausdrücklich für die zentralen Systemformulare Abwesenheit, Anwesenheit und Performance. Wer eine Beurteilung löscht, muss sich also vorher sicher sein.

Der Papierkorb liegt unter Operations > Data Administration > Recycle Bin und ist für Administratoren und HR gedacht. Gelöschte Datensätze erscheinen dort nach etwa 30 Sekunden. Datensätze aus eigenen Formularen und aus dem Mitarbeiterformular lassen sich wiederherstellen. Beim Löschen eines Mitarbeiterdatensatzes deaktiviert Zoho People automatisch die zugehörige Anmeldung.

Die Aufbewahrungsfrist einstellen

Die Frist bis zur endgültigen Entfernung stellen Sie unter Settings > Manage Accounts > Organization Setup > Organization Policy > Recycle bin preference in Monaten ein. Die Hilfeseite ist hier nicht ganz einheitlich. Einleitend nennt sie pauschal 30 Tage, weiter unten beschreibt sie eine wählbare Frist in Monaten. Prüfen Sie in Ihrem Konto, welcher Wert tatsächlich eingestellt ist.

Eine Frist in Jahren und die automatische Löschung von Mitarbeiterdaten beschreibt die Hilfeseite nur für Konten, die ausschließlich im japanischen Rechenzentrum liegen. Für ein Konto im EU-Rechenzentrum sollten Sie deshalb nicht mit einer automatischen Löschung rechnen. Planen Sie die Löschung nach Ihrer Aufbewahrungsrichtlinie als festen, dokumentierten Arbeitsschritt.

Ein Unterauftragsverarbeiter ist nach Zohos Definition ein Dritter, den Zoho einsetzt und der Zugriff auf Servicedaten hat oder haben kann. Diese Daten können personenbezogen sein. Zoho veröffentlicht die Unterauftragsverarbeiter je Produkt und je Rechenzentrum auf einer eigenen Seite.

Für Zoho One ist eine Regel wichtig. Nach Zohos Seite gelten bei Suiten wie Zoho One die Unterauftragsverarbeiter jedes einzelnen Produkts im Paket. Prüfen Sie daher nicht nur Zoho People, sondern jede Anwendung, die Sie tatsächlich nutzen. Die Zwei-Faktor-Anmeldung per SMS nutzt zudem den Unterauftragsverarbeiter von Zoho Accounts, unabhängig vom genutzten Produkt.

Zoho setzt für KI-Funktionen eigene KI-Unterauftragsverarbeiter ein. Diese können Eingaben, Inhalte und andere Daten verarbeiten, die für die KI-Funktion nötig sind. Manche Unterauftragsverarbeiter sind standardmäßig aktiv und lassen sich vom Administrator abschalten. Andere sind standardmäßig aus und müssen bewusst eingeschaltet werden.

Zwei Schritte empfehlen sich vor dem ersten Beurteilungszyklus:

1. Öffnen Sie die Liste der Unterauftragsverarbeiter von Zoho und prüfen Sie Zoho People für Ihr Rechenzentrum.
2. Abonnieren Sie dort als Administrator die Benachrichtigungen über neue und geänderte Unterauftragsverarbeiter.

Artikel 88 DSGVO erlaubt den Mitgliedstaaten eigene Vorschriften für die Datenverarbeitung im Beschäftigungskontext. Nach Art. 88 Abs. 2 müssen solche Vorschriften geeignete und besondere Maßnahmen zum Schutz der Menschenwürde, der berechtigten Interessen und der Grundrechte der Betroffenen enthalten. Die Mitgliedstaaten mussten diese Vorschriften bis zum 25. Mai 2018 der Kommission melden.

Der Gerichtshof der Europäischen Union hat Art. 88 Abs. 1 und 2 am 30. März 2023 in der Rechtssache C-34/21 ausgelegt. Vorgelegt hatte das Verwaltungsgericht Wiesbaden. Es ging um das Live-Streaming von Unterricht an hessischen Schulen ohne Einwilligung der Lehrkräfte. Das Land stützte die Verarbeitung auf § 23 Abs. 1 Satz 1 des hessischen Datenschutzgesetzes.

Für Ihre Einrichtung in Zoho People folgt daraus eine praktische Aufgabe. Lassen Sie prüfen, auf welche Rechtsgrundlage Sie die Verarbeitung von Beurteilungsdaten stützen. Klären Sie insbesondere, ob eine nationale Beschäftigtenvorschrift dafür trägt, auf die Sie sich verlassen wollen.

Einwilligung als Rechtsgrundlage

Einwilligung ist nach der DSGVO eine eindeutige, bestätigende Handlung, die freiwillig, für einen bestimmten Fall und informiert erfolgt. Schweigen, vorangekreuzte Kästchen oder Untätigkeit gelten nicht als Einwilligung. Stützen Sie sich auf eine Einwilligung, müssen Sie diese nachweisen können. Im Arbeitsverhältnis ist das eine Frage, die Ihre Rechtsberatung beantworten sollte.

In Betrieben mit Betriebsrat sollten Sie das Performance-Modul erst nach Klärung der Mitbestimmung einsetzen. Nach § 87 Abs. 1 Nr. 6 BetrVG bestimmt der Betriebsrat bei der Einführung und Anwendung technischer Einrichtungen mit, die dazu bestimmt sind, Verhalten oder Leistung zu überwachen. Kommt keine Einigung zustande, entscheidet die Einigungsstelle. Ihr Spruch ersetzt die Einigung.

Das Bundesarbeitsgericht legt „bestimmt“ weit aus. Im Beschluss 1 ABR 20/21 zu Microsoft Office 365 genügt, dass eine Einrichtung objektiv geeignet ist, Verhaltens- oder Leistungsinformationen zu erheben und aufzuzeichnen. Auf die Überwachungsabsicht des Arbeitgebers kommt es nicht an. Ein Modul, das Ziele, Bewertungen und Feedback je Person speichert, sollten Sie daran messen.

Der Beschluss enthält einen zweiten Punkt für Unternehmen mit mehreren Betrieben. Bei unternehmenseinheitlicher Nutzung mit zentraler Kontrollmöglichkeit war der Gesamtbetriebsrat zuständig. Die Zuständigkeit ließ sich nicht nach Modulen auf mehrere Gremien aufteilen. Wer Zoho One zentral administriert, sollte früh klären, mit welchem Gremium verhandelt wird.

Ziele mit Vergütungsbezug

Koppeln Sie Ziele an Prämien, kann ein weiterer Tatbestand greifen. § 87 Abs. 1 Nr. 11 BetrVG nennt die Festsetzung von Prämiensätzen und vergleichbaren leistungsbezogenen Entgelten. Nehmen Sie diese Frage in die Verhandlung über die Betriebsvereinbarung auf. Die Einstellungen aus diesem Leitfaden lassen sich gut als technische Anlage dazu verwenden.

Ein typisches Szenario zeigt, wie die Einstellungen zusammenwirken. Ein mittelständischer Arbeitgeber führt jährliche Mitarbeitergespräche mit Zielen und Rückmeldungen der Führungskraft. Beteiligt sind die HR-Leitung, die Teamleitung und die beurteilte Person. Ein Betriebsrat besteht, die Betriebsvereinbarung liegt als Entwurf vor.

Die HR-Leitung aktiviert unter Performance Methods nur Goals und Feedback. KRA, Skill Sets und Summary bleiben aus, weil der Gesprächsleitfaden sie nicht vorsieht. Das Kommentarfeld der Führungskraft wird verschlüsselt. Die beurteilte Person darf ihre Ziele lesen, aber die Einschätzung der Führungskraft nicht bearbeiten.

Die folgende Tabelle fasst die Entscheidungen zusammen, die dieser Arbeitgeber vor dem Start trifft:

Entscheidung	Ort in Zoho People	Festlegung im Beispiel
Leistungsmethoden	Settings > Performance > Configuration > Performance Methods	Nur Goals und Feedback aktiv
Feldrechte je Rolle	Profilberechtigungen im Selfservice	HR und Teamleitung bearbeiten, beurteilte Person liest
Feldverschlüsselung	Feldauswahl durch den Administrator	Kommentarfeld der Führungskraft verschlüsselt
Leistungsberichte	Reports > Organization Reports	Nur HR-Leitung öffnet Organisationsberichte
Aufbewahrung gelöschter Datensätze	Organization Policy > Recycle bin preference	Frist in Monaten nach der internen Aufbewahrungsrichtlinie
Analytics-Eigentümer	Übertragung nur durch den Super-Administrator	HR-Leitung legt den ersten Analytics-Bericht an
Unterauftragsverarbeiter	Zohos Liste der Unterauftragsverarbeiter	Benachrichtigungen abonniert, KI-Unterauftragsverarbeiter geprüft

Vor dem Start prüft die HR-Leitung jede Rolle mit einem Testkonto. Erst nach Abschluss der Betriebsvereinbarung beginnt der erste Zyklus. Gelöschte Beurteilungen lassen sich nicht wiederherstellen. Deshalb darf nur HR Leistungsdatensätze löschen.

Vor dem ersten Beurteilungszyklus in Zoho People sollten wenige, klar dokumentierte Entscheidungen stehen. Jede davon lässt sich später ändern. Bereits erfasste Beurteilungsdaten und bereits geteilte Berichte holen Sie aber nicht zurück.

Diese Punkte sollten Sie vor dem Start entschieden und schriftlich festgehalten haben:

• Welche Leistungsmethoden aktiv sind und welche ausgeschaltet bleiben.
• Welche Rolle jedes Beurteilungsfeld lesen, bearbeiten oder gar nicht sehen darf.
• Welche Felder verschlüsselt gespeichert werden.
• Wer Leistungsberichte öffnet, teilt und per E-Mail versendet.
• Wer Analytics-Eigentümer wird und wer das Eigentum übertragen kann.
• Welche Aufbewahrungsfrist im Papierkorb gilt und wer Leistungsdatensätze löschen darf.
• Welche Unterauftragsverarbeiter aktiv sind und wer die Benachrichtigungen erhält.
• Ob die Betriebsvereinbarung abgeschlossen ist und die Rechtsgrundlage geprüft wurde.

Beginnen Sie mit den Feldrechten, denn von ihnen hängen Berichte, Selfservice und Export ab. Prüfen Sie danach jede Rolle mit einem Testkonto. Wenn Sie die Einführung insgesamt planen oder Unterstützung bei Rollen und Rechten suchen, finden Sie auf unserer Seite zur Einführung von Zoho People den Überblick über Vorgehen und Leistungsumfang.

• Zoho People Hilfe: Performance Methods
• Zoho People: GDPR Compliance
• Zoho People: Selfservice für Mitarbeiter
• Zoho People Hilfe: Zoho Analytics Reports
• Zoho People Hilfe: Recycle Bin und Datenaufbewahrung
• Zoho: Service Specific Subprocessors
• EUR-Lex: Verordnung (EU) 2016/679 (DSGVO)
• EUR-Lex: Urteil des Gerichtshofs in der Rechtssache C-34/21
• Gesetze im Internet: § 87 BetrVG
• Bundesarbeitsgericht: Beschluss 1 ABR 20/21