Fundamentale Prinzipien

• Jede Rolle ist an einen organisatorischen Scope gekoppelt (Kostenstelle, Werk, Bereich).
• Sichtbarkeit ergibt sich aus Rollenvererbung in der Kostenstellen-Hierarchie — nicht aus statischen Personen-Listen.
• Es gibt keine Global-Lesesicht für operative Rollen. Nur Compliance & Geschäftsführung haben plattform-weite Sicht — und nur für den dokumentierten Zweck.
• Administratoren haben keinen Default-Zugriff auf operative Personendaten — diese Trennung ist Architektur, nicht Konvention.

Wie Sichtbarkeit in der Kostenstellen-Hierarchie fließt:

Geschäftsführer*in
└── alle Werke + Bereiche + Untereinheiten

Standortleiter*in (Werk Wolfsburg)
└── Produktion, Logistik, QS, Verwaltung, IT, HR
    └── Halle 1, Halle 2, Montage, Schweißerei, …
        └── Mitarbeiter*innen dieser Kostenstellen

Bereichsleiter*in (Produktion)
└── Produktion @ Wolfsburg + Emden + Hannover
    └── Halle 1, Halle 2, Montage … (alle Werke)

• Auskunft (Art. 15): vollständige Übersicht der eigenen verarbeiteten Daten als PDF.
• Berichtigung (Art. 16): falsche Daten werden direkt durch Vorgesetzte korrigiert.
• Löschung (Art. 17): automatischer Lifecycle bei Austritt — siehe Löschkonzept.
• Einschränkung (Art. 18): auf Antrag eingeschränkte Sichtbarkeit (z. B. bei Streitfällen).
• Datenübertragbarkeit (Art. 20): vollständiger Export als JSON/PDF.

• 1 · Austritt erkannt Tag 0 · HR · Vorgesetzte*r
  Trigger: HR-System meldet Austrittsdatum. Austritts-Event ins Audit-Log, Notification, Sperr-Job geplant.
• 2 · Zugriff sperren Tag 0 · automatisch
  Login deaktivieren, API-Tokens revoken, Sessions beenden, IT-Berechtigungen inaktiv setzen.
• 3 · Sichtbarkeit entfernen 1–7 Tage · System · Compliance
  Aus aktiven Rollen-Listen und operativen Sichten entfernen; verbleibt nur in Audit-Logs.
• 4 · Operative Daten anonymisieren 30 Tage · DSB
  Name → „Mitarbeiter*in #<Personalnr.>", E-Mail → null, Qualifikationen anonymisiert, Audit-Logs unverändert.
• 5 · Auditdaten archivieren nach 10 J. · Compliance · IT-Ops
  Audit-Logs in Cold-Storage; endgültige Löschung erst nach gesetzlicher Frist + dokumentierter Freigabe.

Ausnahmen von der Löschpflicht (Art. 17 Abs. 3 DSGVO)

• lit. b — Rechtliche Verpflichtung: gesetzliche Aufbewahrung (HGB, AO, ArbSchG); Zugriff aufs Minimum eingeschränkt.
• lit. e — Rechtsansprüche: bei laufenden Streitigkeiten bleiben relevante Daten bis zur rechtskräftigen Entscheidung.
• lit. d — Statistische Zwecke: aggregierte, anonymisierte Auswertungen bleiben erhalten.

Sonderfälle im Beschäftigungsverhältnis

• Compliance / Audit: vollständiger Read-Access auf alle Audit-Logs; kann Records schreiben, aber keine löschen oder ändern.
• Geschäftsführung: Read-Access auf aggregierte Reports; keine Personen-Detail-Sicht ohne Compliance-Freigabe.
• Administratoren: sehen System-Konfigurationsänderungen, aber keine operativen Personen-Events; eigene Aktionen werden protokolliert.
• Mitarbeiter*innen: erhalten auf Antrag (Art. 15 DSGVO) eine Übersicht der eigenen Audit-Events.

• § 87 Abs. 1 Nr. 6 (technische Überwachung): nicht erfüllt — weder Verhalten noch Leistung werden überwacht.
• § 87 Abs. 1 Nr. 1 (Ordnung im Betrieb): bei Sichtbarkeits-/Rechte-Konzepten Abstimmung mit Betriebsrat empfohlen.
• § 96 (Bildungsmaßnahmen): Mitbestimmung bei Ausgestaltung von Qualifikations-Programmen kann einschlägig sein.