Hugo Phish — Betriebsrat & Datenschutz
In Deutschland scheitern Phishing-Programme selten an der Technik, sondern am Betriebsrat. Hugo Phish ist dafür gebaut.
Mitbestimmung
Abschnitt betitelt „Mitbestimmung“Eine Phishing-Simulation erfasst Verhaltensdaten und ist damit eine technische Einrichtung im Sinne des § 87 Abs. 1 Nr. 6 BetrVG. In mitbestimmten Betrieben ist sie ohne Betriebsvereinbarung angreifbar. Unter Berichte & Dokumente finden Sie eine Muster-Betriebsvereinbarung zum Download.
Anonymität — drei Stufen, technisch erzwungen
Abschnitt betitelt „Anonymität — drei Stufen, technisch erzwungen“- Anonym (Betriebsrats-Modus, Voreinstellung): Auswertungen nur in Gruppen ab 5 Personen. Kein Administrator sieht, wer geklickt hat. Diese Sperre ist in der Datenbank umgesetzt.
- Pseudonym: Admins sehen stabile Pseudonyme; die Auflösung wird protokolliert.
- Offen: namentliche Auswertung — nur bei dokumentierter Betriebsvereinbarung oder betriebsratslosem Betrieb.
Keine Sanktionen
Abschnitt betitelt „Keine Sanktionen“Ein Klick hat nie arbeitsrechtliche Folgen. Wer wiederholt hereinfällt, erhält ausschließlich zusätzliche Schulung — nie eine Meldung an Vorgesetzte.
Rechtsgrundlagen (verifiziert)
Abschnitt betitelt „Rechtsgrundlagen (verifiziert)“Verarbeitung nach Art. 6 Abs. 1 lit. f DSGVO i. V. m. § 26 BDSG; Pflicht zu Maßnahmen nach Art. 32 DSGVO; für Krankenhäuser § 391 SGB V. Die Muster-Dokumente sind Vorlagen und ersetzen keine Rechtsberatung — bitte betriebsindividuell abstimmen.
Was der einzelne Mitarbeiter sieht
Abschnitt betitelt „Was der einzelne Mitarbeiter sieht“Die Sperre gilt für Auswertungen, nicht für die eigene Auskunft: Jeder sieht unter Mein Stand seine eigenen Zahlen — und niemand sonst. Das ist zugleich die Auskunft nach Art. 15 DSGVO.
