Die Verwaltung von Zeitwertkonten setzt die Verwendung von Daten voraus: Daten des Unternehmens, aber insbesondere auch personenbezogene Daten der TeilnehmerInnen. Das ist zunächst einmal keine Überraschung. Wir wollen die Daten beleuchten, die bei strenger Beachtung des Grundsatzes der Datensparsamkeit tatsächlich notwendig sind. Dabei werden wir die Aussagen generalisieren und den Bedarf an der Gestaltung des Modells und den beteiligten Parteien ableiten.

Das Daten des Arbeitgeberunternehmens sind nicht Gegenstand der Betrachtung.

Grundsätzliche Überlegungen

Eine Administration ist nur so gut, wie die Datengrundlage. Daher muss eine Datenmeldung im Vorfeld der Einführung eines Zeitwertkontos intensiv abgestimmt und getestet werden. Hierfür ist im Einführungsprojekt entsprechend Raum und Zeit einzuplanen.

Das abgestimmte Datenmodell ist dann durch den Datenschutzbeauftragten des Arbeitgebers freizugeben. Auch der Datenschutzbeauftragte des Dienstleisters auf der anderen Seite der Schnittstelle ist einzubeziehen.

Eventuell muss auch der Betriebsrat, zum Beispiel aufgrund von Betriebsvereinbarungen, mit eingebunden werden.

Ebenso müssen die potenziellen und tatsächlichen TeilnehmerInnen am Modell erkennen können, welche Daten an Dritte weitergegeben werden. Für sie steht nicht nur der Datenschutz im Mittelpunkt des Interesses, sondern insbesondere auch eine korrekte Handhabung ihres Vermögens in Form der Wertguthaben.

Die Verwendung zu vieler Daten widerspricht nicht nur dem durch die DSGVO vorgegebenen Grundsatz der Datensparsamkeit, sondern erhöht auch die Komplexität und das Fehlerrisiko. Es lohnt sich auszuloten, welche Daten zwingend erforderlich sind, um eine sichere und effizient handhabbare Verwaltung aufzubauen und die Datenschnittstelle zum Administrator maschinell umzusetzen.

Grundmodell mit Einfluss auf zu übertragenden Daten

Die nachfolgenden Ausführungen gehen von extern finanzierten und verwalteten Zeitwertkonten aus. Die Finanzierungsmodelle haben unmittelbare Auswirkung auf die notwendigen Daten.

Finanzierungsweg: Rückdeckungsversicherung

Einige Versicherungsunternehmen bieten die Möglichkeit, Wertguthaben direkt in eine Rückdeckungsversicherung einzuzahlen.

Dabei werden im Rahmen eines Gruppen-Versicherungsvertrags Einzelpolicen für die TeilnehmerInnen abgeschlossen. Hierfür wird der Versicherer regelmäßig personenbezogene Daten erheben, um diese Policen in seinem Bestand zu führen.

Daten vom Arbeitgeber an den Versicherer:
Name, Vorname, Geschlecht, Geburtsdatum, Straße und Hausnummer, PLZ, Ort, Einzahl- und Entnahmewunsch

Daten vom Versicherer an den Arbeitgeber:
auf Mitarbeiterebene Policedaten wie Summe Einzahlungsbeträge, Barwert bzw. Nennwert (=Störfallkapital), Gesamtkapital zum Ablauftermin und Garantiekapital zum Ablauftermin

Finanzierungsweg: Kapitalisierungsprodukt (Deckungsstock des Versicherers)

Bei einem Kapitalisierungsprodukt erfolgt die Investition der Einbringungen der Teilnehmer/innen im Deckungsstock der Versicherung. Diese Anlage ist vergleichbar mit einem Fondsmodell. Dafür benötigt der Versicherer keine personenbezogenen Daten. Die teilnehmerindividuelle Aufteilung der Gesamtinvestition inklusive der Wertentwicklung erfolgt entweder durch den Arbeitgeber oder einen externen Administrator.

Im Rahmen der Nutzung eines solchen Produkts wird das Vermögen aller Teilnehmer/innen gemeinsam gesichert. Es genügt die Überweisung des Anlagebetrags, ohne personenbezogenen Daten der Teilnehmer/innen.

Zur Zuordnung der Wertentwicklung der Wertguthaben zu den Teilnehmer/innen ist allerdings eine separate Verwaltung beim Arbeitgeber oder einem externen Administrator ergänzend erforderlich.

Keine personenbezogenen Daten

Vom Arbeitgeber: 
Einbringungen und Entnahmen konsolidiert, monatlich bzw. nur bei Unterdeckung

Vom Produktanbieter:
auf Unternehmensebene Kurs und Stückangabe des angelegten Betrages

Finanzierungsweg: Fondsmodell

Bei der Anlage der Wertguthaben in einem Fondsmodell ist in der Regel ein externer Administrator eingebunden. Dies kann ein unabhängiger Administrator ebenso wie eine Verwahrstelle sein. Diese kaufen ein kollektives Wertpapierdepot in Verbindung mit einer Administrationsplattform oder auch eine Einzeldepotlösung je Teilnehmer/in am Markt ein.

Um die Kapitalanlage sachgemäß durchzuführen, benötigt dieser Administrator zunächst einmal keinerlei personenbezogene Daten. Es genügt eine eindeutiges Identifizierungsmerkmal, zum Beispiel die Personalnummer. Zur Absicherung in Kombination mit dem Geburtsdatum. Notwendige Angaben sind außerdem der Einbringungsbetrag und der Monat der Einbringung für die Verwaltung sowie das Konto, in das der Betrag eingezahlt werden soll, sofern verschiedene Anlagemodelle gewählt werden können, zum Beispiel für den Vorruhestand oder das Sabbatical. Ein Verfahren für Korrekturen bereits verbuchter Beiträge sollte vorher abgestimmt werden. Dabei ist zu definieren, ob die Korrektur mit einem Betrag oder zu einem historischen Kurs erfolgen soll.

Vom Arbeitgeber an den Administrator: 
Personalnummer, Geburtsdatum, Betrag (+), Monat, Konto, ggf. Korrekturkennzeichen

Vom Administrator an den Arbeitgeber:
Personalnummmer, Wertpapierabrechnung und Wertentwicklung

Für die Inanspruchnahme ist dem Administrator für die entsprechende Personalnummer ebenfalls der zu entsparende Betrag und ggf. ein Kennzeichen für die Art der Entnahme, Freistellung oder Störfall, zu melden.

Personalnummer, Geburtsdatum, Betrag (-), Monat, Konto, ggf. Grund

Auf diese Weise lässt sich ein Zeitwertkonto „wie ein Schweizer Nummernkonto“ also im Grunde ohne die Zuordnung zu einer Person führen. Da jeweils ein Geburtsdatum zur Verfügung steht, ist sogar die Abbildung eines Life Cycle-Modells möglich. Für die Erstellung von Kontoauszügen zur direkten Weitergabe an den/die Teilnehmer/in benötigt der Administrator allerdings zusätzliche Daten.

Für alle individuellen Auswertungen findet die Zuordnung zur Person direkt beim Arbeitgeber statt.

Zusätzliche Aufgaben mit zusätzlichem Datenbedarf

Einige Aufgaben des Arbeitgebers kann der Administrator übernehmen. Entsprechen umfangreicher wird die Datenmenge.

Kontoauszüge

Soll der Administrator die jährlichen Kontoauszüge für die Teilnehmer/innen erstellen, so sind persönliche Daten wie Name und Adresse notwendig. Die erweiterte Datenlieferung umfasst folgende Datenfelder:

Vom Arbeitgeber an den Administrator zusätzlich mitzuteilen: 
Personalnummer, Vorname, Name, Geschlecht, Adresse des Teilnehmers, der Teilnehmerin bzw. interne Versandadresse

Betrieb eines Mitarbeiterportals

Bei der Einrichtung eines Mitarbeiterportals ist zu unterscheiden, ob dieses lediglich allgemeingültige Informationen zum Modell bereitstellen soll oder aber individuelle Informationen abrufbar sein sollen. Soll das Portal lediglich informieren, dann sind keinerlei Mitarbeiterdaten erforderlich. Die Realisierung des Portals kann über eine öffentlich zugängliche Seite im Internet oder im Intranet des Arbeitgebers erfolgen.

Vom Arbeitgeber an den Administrator:
Personalnummer, Vorname, Name, Geschlecht, ggf. E-Mail-Adresse des Teilnehmers, der Teilnehmerin

Vom Administrator an den/die Teilnehmer/innen:
Stand des Wertguthabens zu einem Stichtag, Ergebnisse einer Simulation etc.

Soll jeder Teilnehmer und jede Teilnehmerin jedoch individuelle Informationen über den Stand und die Entwicklung ihres Wertguthabens erhalten, dann müssen umfangreichere Daten übermittelt werden. Regelmäßig wird dann auch eine E-Mail-Adresse des Teilnehmers benötigt, um den Authentifizierungs-Prozess und die Übersendung von Login-Daten zu organisieren. Auf die Mailadresse kann verzichtet werden, wenn ein Single-Sign-On Verfahren abgestimmt wurde. Allerdings ist dann der Zugriff nur über das Intranet des Arbeitgebers möglich.

Prognoserechner

Prognoserechner können so gestaltet werden, dass die Mitarbeiter/innen selbst die benötigten Daten eingibt. Dann dürfen diese personenbezogenen Daten nicht gespeichert werden. Für ein solches Tool ist keine Datenschnittstelle erforderlich. Allerdings ist das technische Setup im Hinblick auf temporäre oder dauerhafte Speicherung von Daten zu prüfen.

Berechnung der SV-Luft

Die Berechnung der SV-Luft durch den Administrator erfordert umfangreiche personenbezogenen Daten aus der Gehaltsabrechnung: neben den monatlich aktuellen Gehältern auch Rückrechnungen etc. Wir gehen an dieser Stelle nicht auf die Datenerfordernisse im Speziellen ein, sondern möchten vielmehr auf die Komplexität der externen Berechnung der SV-Luft hinweisen. Dieser Service wird von Administratoren angeboten, so dass für den Fall, dass das Abrechnungssystem des Arbeitgebers nicht verwendet werden kann/soll, auf alle Fälle eine umfangreiche Datenschnittstelle definiert werden muss.

Externer Treuhänder

Sofern der Insolvenzschutz über eine Treuhandlösung sichergestellt wird, sind dem Treuhänder regelmäßig Daten zur Verfügung zu stellen. Dies wird im Rahmen der Treuhandvereinbarung geregelt und ermöglicht dem Treuhänder eine ordnungsgemäße Verwaltung. Üblicherweise erfolgt die Datenmeldung jährlich nach dem Bilanzstichtag des Unternehmens. Der Treuhänder verpflichtet sich zur ordnungsgemäßen Verwaltung der Daten.

Vom Arbeitgeber an den Treuhänder:
Personalnummer, Name, Geburtsdatum, Nennung der Rechtsgrundlage, Höhe des Wertguthabens, zumindest die Verfügungen

Wenn ein Treuhänder eingebunden ist, dann ist der Treuhänder der Depotinhaber (Rückdeckung über Fonds) bzw. der Vertragspartner im Gruppenvertrag (Versicherung). Das bedeutet, dass zumindest alle Verfügungen aus dem Treuhandvermögen über den Treuhänder laufen müssen. Daher ist er immer in den Datenfluss integriert.

Operative Aspekte der Schnittstelle

Eine größere Menge an Daten erhöht unmittelbar die Komplexität und damit das Fehlerrisiko. Dabei ist nicht entscheidend, für wie viele MitarbeiterInnen Daten übertragen werden, sondern wie viele unterschiedliche Datenarten. Es ist also nicht nur im Interesse des Datenschutzes sondern auch zur Komplexitätsreduzierung ratsam, möglichst wenige Daten zu übertragen. Die genaue Definition der Daten ist im Vorfeld abzustimmen. Der Abstimmungsaufwand ist hier gut investiert.

Selbstverständlich ist der Arbeitgeber für die Datenqualität verantwortlich. Dennoch sind Plausibilitätsprüfungen auf beiden Seiten einzuplanen.

Der Datenschutz erfordert nicht nur Datensparsamkeit sondern auch Sorgfalt im Umgang mit den Daten. Rollenkonzepte und Löschkonzepte sollte der Arbeitgeber aus anderen Felder der Personalverwaltung kennen. Die Datensicherheit muss sich auf die Speicherung, Verarbeitung und Übertragung beziehen. Die Sorgfalt mit den personenbezogenen Daten ist nicht nur eine gesetzliche Verpflichtung, sondern auch im Interesse der Mitarbeiter/innen. Wir empfehlen, die Datenschnittstelle nicht nur mit dem Datenschutzbeauftragten abzustimmen, sondern auch in einer Betriebsvereinbarung oder der individuellen Wertguthabenvereinbarung die auszutauschenden Daten transparent zu machen.

Wir halten eine monatliche Datenübertragung für ausreichend. Sie wird an den Rhythmus der Gehaltsläufe angepasst. Ihre monatliche Taktung gibt auch den Rhythmus für Gehaltsumwandlung und Entnahme vor.

Fazit

Die eine Datenschnittstelle für alle Zeitwertkonten gibt es nicht. Sie muss an das Anlagemodell und die Aufgabenverteilung angepasst werden. Wir haben gezeigt, dass je nach Modell nur wenige Daten ausgetauscht werden müssen. In jedem Fall lohnt es sich, vorher die Definition und Abstimmung Schnittstelle etwas Zeit zu investieren. Außerdem ist es empfehlenswert, im Rahmen der Abstimmung der Datenschnittstelle mit dem externen Partner alle Erfordernisse kritisch zu hinterfragen.

Der Datenschutz ist hier kein Verhinderer, sondern Begleiter, denn Datensparsamkeit ist auch im Interesse der Komplexitätsreduzierung.