Onboarding

Der Eintritt einer beschäftigten Person löst mehrere Pflichten gleichzeitig aus, die in den meisten Unternehmen an verschiedenen Stellen erledigt werden – und deshalb einzeln ausfallen. Ein geführtes Onboarding bündelt sie zu einem Ablauf, an dessen Ende der Nachweis von selbst vorliegt.

Was beim Eintritt zusammenkommt

Die Information nach Art. 13 DSGVO. Beschäftigte sind betroffene Personen; sie müssen erfahren, welche Daten zu welchem Zweck verarbeitet werden. Diese Pflicht wird häufiger übersehen als jede andere im Beschäftigtenkontext.

Die Verpflichtung auf Vertraulichkeit nach Art. 32 Abs. 4 DSGVO: Beschäftigte dürfen personenbezogene Daten nur auf Weisung verarbeiten. Sinnvollerweise mit nachvertraglicher Wirkung.

Die Kenntnisnahme der Regelungen – Datenschutz, Informationssicherheit, Umgang mit KI-Werkzeugen, private Nutzung betrieblicher Systeme. Siehe Richtlinie für Mitarbeitende.

Die Erstschulung. Die ersten Wochen sind der beste Zeitpunkt – später konkurriert sie mit dem Tagesgeschäft. Zuweisung und Nachweis über das Lernmanagementsystem.

Die Zugänge. Rechte nach Bedarf, nicht durch Kopieren eines bestehenden Kontos – das ist der Ursprung der meisten über Jahre gewachsenen Berechtigungen.

Bei besonderen Rollen kommt Fachliches hinzu: die Fachkunde für die Meldestelle, die KI-Kompetenz nach Art. 4 der KI-Verordnung.

Was der geführte Ablauf leistet

Eine Checkliste je Eintritt, mit Zuständigen und Terminen, deren Punkte einzeln quittiert werden. Was offen ist, steht im Aufgabensystem und nicht in einem Kopf.

Der Nachweis entsteht dabei nebenbei: Wann wurde informiert, wann verpflichtet, wann geschult, wann bestätigt. Genau diese Angaben werden bei einem Vorfall verlangt – und sind das Gegenstück zum Fahrlässigkeitsvorwurf, siehe DSGVO-Bußgelder.

Die zwei anderen Zeitpunkte

Der Rollenwechsel ist der unterschätzte Moment. Wer die Abteilung wechselt, behält meist die alten Rechte und bekommt die neuen dazu. Nach drei Wechseln entsteht ein Konto mit Zugriff auf fast alles. Ein Wechsel gehört deshalb denselben Ablauf zu durchlaufen wie ein Eintritt.

Der Austritt. Zugänge sperren, Geräte und Schlüssel einziehen, Postfach regeln, an die nachvertragliche Vertraulichkeit erinnern. Die vollständige Liste steht unter personelle Sicherheit.

Grenzen

Das ersetzt kein Personalsystem. Vertrag, Abrechnung und Zeugnis bleiben dort, wo sie sind. Hier läuft nur der Compliance-Anteil – idealerweise ausgelöst durch die Mitarbeitersynchronisation, damit niemand den Eintritt zweimal erfasst.

Eine quittierte Kenntnisnahme ist kein Verständnis. Sie belegt den Zugang zur Regelung, nicht ihre Wirkung. Dafür braucht es Schulung, und für den Nachweis der Wirkung eine Prüfung – etwa eine Phishing-Simulation.