Checkliste zur IT-Rahmenvereinbarung

Es geht darum, ob im System verarbeitete Daten auf Beschäftigte des Unternehmens bezogen werden können.

• direkt bedeutet datei, dass in den Datensätzen Personen direkt identifiziert sind, z.B. durch Name, Personalnummern oder sonstige Merkmale, die erkennen lassen, wer die betroffene Person ist.
• indirekt bedeutet, dass sich ein Personenbezug auch ohne direkte Identifizierung der Person mittelbar herstellen lässt. So kann z.B. durch die Bezeichnung einer Maschine und den Zeitpunkt des Ereignisses in den meisten Fällen ein Personenbezug hergestellt werden.
• kein Personenbezug: eine Person lässt sich weder direkt noch mittelbar aus den verarbeiteten Daten bestimmen

Komplette Unterstützung der Arbeit bieten ERP-System wie SAP oder spezielle Systeme z.B. für Customer Realashionship Management (CRM) oder Materialwirtschaft. Sie unterstützen fast f alle Geschäftsprozesse in den betroffenen Bereichen eines Unternehmens.

Reine Informations- oder Auskuftsysteme stehen unabhängig von anderen Softwaresystemen für spezielle Aufgaben zur Verfügung, wie z.B. Chatbots der Klasse Generative Künstliche Intelligenz (ChatGPT, Gemini, Claude oder DeepSeek) oder elektronische "Nachschlagwerke" aus dem Bereich des früher beliebten sog. Wissensmanagements.

Informationssysteme mit Assistenzfunktionen können direkt in andere Softwaresysteme für spezielle Aufgaben integriert sein, leisten nur Hilfestellungen, bieten aber keine Vorschläge für Entscheidungen, z.B. in der Materialwirtschaft Überwachung der Lagerbestände, Meldungen über Unterschreitungen von Mindestmengen, Anzeige möglicher Lieferanten, jedoch keine automatische Auslösung von Bestellungen

Systeme mit eingebauten Workflows (oft als Agentensysteme bezeichnet) können Vorschläge für Entscheidungen machen oder diese sogleich selber ausführen, z.B. in der Materialwirtschaft automatische Bestellungen bei unterschrittenem Materialbedarf oder in der Personalwirtschaft, wo z.B. ein solches Agentenprogramm die Verfügbarkeit von Personen für bestimmte Aufgaben ermittelt, ein anderer Agent die gesetzlichen Vorgaben (Arbeitszeitgesetz, Betriebsvereinbarungen) prüft, ein dritter Agent dokumentierte Mitarbeiterwünsche auswertet und ein vierter Agent auf der Grundlage der Ergebnisse der anderen Agenten Vorschläge für die Optimierung des Personaleinsatzplans macht oder selber Entscheidungen trifft.

Ob ein System Elemente Künstlicher Intelligenz enthält, ist schwer zu beurteilen, weil alle Anbieter dies von ihren Produkten behaupten. Hier sollte ein strenger Maßstab angelegt und nur berücksichtigt werden, ob dem System Techniken Neuronaler Netze oder eine Nutzung von Sprachmodellen (sog. LLMs) zugrunde liegen und nicht nur Algorithmen für automatisierte Workflows.

Bei den Cloud-Anwendungen lassen sich verschiedene Formen von private Cloud von der public Cloud unterscheiden. Eine private Cloud kann zu 100 Prozent vom Unternehmen selber mit dessen eigenen Computern betrieben oder als Sevice von einem Provider bezogen werden. Dabei kann der Provider zusichern, keinen Zugang zu den in dieser Cloud gespeicherten Daten zu haben.Es kann aber auch sein, dass der Provider verschiedene Serviceaufgaben übernimmt und damit zumindest einen teilweisen Zugriff auf die Daten hat. Oder es kann sich um eine komplette Funktionsübertragung handeln, wobei der Serviceanbieter die Ausführung kompletter Gechäftsabläufe übernimmt. Die diversen Modalitäten müssen vertraglich geregelt sein, sowohl was die Zweckbindung der erlaubten Verarbeitung als auch die Verarbeitungsverfahren betrifft.

Eine public cloud wie beispielsweise für viele Chatbots wird nach alleinigem Ermessen des Serviceanbieters betrieben. Bei den z.B. unter solchen Bedingungen benutzten Chatbots (Stand 2025) muss man wissen, dass Daten des Unternehmens vom Serviceanbieter zu Trainingszwecken seiner Systeme genutzt werden können.