Mobiles Arbeiten und Datenschutz

Immer mehr Arbeitnehmer sehen sich mit der Herausforderung konfrontiert, dass wichtige Arbeitsaufgaben mobil erledigt werden müssen. Das mobile Arbeitsumfeld mag zwar Vorteile haben, allerdings geht damit auch stets die Herausforderung des Datenschutzes einher. Hier in diesem Artikel zeigen wir die wichtigsten Punkte zu dieser Thematik auf und bieten alle relevanten Informationen.

Die Bedeutung des Datenschutzes im mobilen Arbeitsumfeld

Der Datenschutz hat im mobilen Arbeitsumfeld eine entscheidende Relevanz, da durch die Nutzung von Mobiltechnologien auch stets ein gewisses Sicherheitsrisiko ausgeht.

Da ein Arbeitnehmer sowohl mit Unternehmensdetails als auch mit Kundendaten agiert, muss der Datenschutz stets im Fokus bleiben. Gleichermaßen geht ist das Risiko, dass die mobile Technologie verloren oder gestohlen wird, nicht zu unterschätzen. Die Daten, mit denen gearbeitet wird, müssen stets vor unbefugtem Zugriff geschützt werden.

Herausforderungen und Chancen des mobilen Arbeitens

Die mobile Arbeit bietet sowohl für Arbeitnehmer als auch für Arbeitgeber zugleich eine große Vielzahl an Chancen, allerdings gehen damit auch Herausforderungen einher. Zu den größten Vorteilen zählt die bessere Work-Life-Balance des Arbeitnehmers, was eine gesteigerte Zufriedenheit und Produktivität respektive Effizienz mit sich bringt. Zugleich stärkt das mobile Arbeiten das Krisenmanagement eines Unternehmens, da die Arbeitnehmer auch während Pandemien oder anderweitiger Krisen effektiv ihrer Arbeit nachkommen können. Für den Arbeitgeber bringt das mobile Arbeiten des Arbeitnehmers auch eine Kostenersparnis ein, da die hierfür erforderliche Infrastruktur sowie auch Räumlichkeiten nicht gestellt werden müssen.

Den Chancen stehen natürlich Herausforderungen gegenüber. Zu nennen sind hier in erster Linie die gesetzlichen Rahmenbedingungen des Datenschutzes sowie auch die Zusammenarbeit der Arbeitnehmer untereinander. Mobiles Arbeiten birgt für den Arbeitnehmer die Gefahr der sozialen Isolation, da die klassischen Gespräche unter Teamkollegen in den Unternehmensräumlichkeiten nicht stattfinden. Zudem läuft ein Arbeitnehmer, der mobil arbeitet, auch Gefahr, die Trennung zwischen Privatleben und Arbeitsleben nicht mehr ziehen zu können. Dies kann negative gesundheitliche Auswirkungen mit sich bringen.

Überblick über die gesetzlichen Rahmenbedingungen

Im Kontext der mobilen Arbeit müssen die gesetzlichen Rahmenbedingungen beachtet werden. Sowohl das Arbeitszeitengesetz (ArbZG) als auch das Arbeitsschutzgesetz (ArbSchG) nebst dem Bundesurlaubsgesetz (BUrlG) sind hierbei von besonderer Relevanz. Zudem muss ein Unternehmen auch etwaige tarifvertragliche Regelungen beachten. Die Grundlagen des Datenschutzes gelten selbstverständlich auch für Arbeitnehmer, die mobil Arbeiten respektive ihrer Arbeitsverpflichtung aus dem Homeoffice heraus nachkommen.

Rechtliche Verpflichtungen bei der Einrichtung von Telearbeitsplätzen

Beim mobilen Arbeiten und insbesondere bei der Einrichtung von Telearbeitsplätzen müssen Arbeitgeber in Deutschland verschiedene rechtliche Verpflichtungen beachten, um den Datenschutz zu gewährleisten:

• Telearbeitsplätze sind laut Arbeitsstättenverordnung (ArbStättV) vom Arbeitgeber fest eingerichtete Bildschirmarbeitsplätze im Privatbereich der Beschäftigten. Der Arbeitgeber muss die benötigte Ausstattung bereitstellen und installieren.
• Es muss eine arbeitsvertragliche Vereinbarung zwischen Arbeitgeber und Arbeitnehmer über die Bedingungen der Telearbeit geschlossen werden.
• Der Arbeitgeber muss bei Einrichtung eine Gefährdungsbeurteilung der Arbeitsbedingungen und des Arbeitsplatzes vornehmen, um Gefährdungen zu ermitteln und abzustellen.
• Die Beschäftigten müssen vom Arbeitgeber anhand der Gefährdungsbeurteilung unterwiesen werden, z.B. über ergonomische Aspekte der Bildschirmarbeit.
• Es müssen geeignete technische und organisatorische Maßnahmen ergriffen werden, damit der Datenschutz auch im Homeoffice eingehalten wird. Dazu zählen u.a. die Nutzung sicherer Kommunikationswege, Schutz der Daten vor unbefugtem Zugriff Dritter sowie klare Regelungen zur Aufbewahrung und Vernichtung von Daten.
• Dem Arbeitgeber sollte vertraglich ein Zutrittsrecht zur Wohnung eingeräumt werden, um die Einhaltung von Datenschutz und Arbeitsschutz kontrollieren zu können. Eine gesetzliche Verpflichtung des Arbeitnehmers dazu besteht aber nicht.

Insgesamt muss der Arbeitgeber als Verantwortlicher im Sinne der DSGVO durch angemessene Maßnahmen sicherstellen, dass der Datenschutz auch bei Telearbeit im Homeoffice gewahrt bleibt. Die Anforderungen gehen dabei über die Pflichten bei mobilem Arbeiten ohne festen Telearbeitsplatz hinaus.

Grundlagen des Datenschutzes im Homeoffice

Dem reinen Grundsatz nach gelten im Homeoffice identische Grundlagen des Datenschutzes wie bei der Arbeit in den Unternehmensräumlichkeiten. Die wesentlichen Datenschutzprinzipien müssen dementsprechend ebenso beachtet werden wie die Sicherstellung, dass die für die Arbeit erforderliche technische Ausstattung den Anforderungen genügt.

Wesentliche Datenschutzprinzipien

Zu den wesentlichen Datenschutzprinzipien zählt in erster Linie der sichere Umgang mit den Informationen / Daten, die für die Arbeit erforderlich sind. Dies betrifft sowohl physikalische als auch digitale Daten gleichermaßen. Ist ein Arbeitnehmer im Homeoffice tätig, so muss durch ihn sichergestellt werden, dass Unbefugte keinen Zugriff auf die arbeitstechnischen Daten haben können. Zudem müssen diese Daten / Informationen auch vor einem Verlust oder vor Diebstahl geschützt werden.

Anforderungen an die technische Ausstattung

Die technische Ausstattung, die für die Arbeitstätigkeit benötigt wird, muss gewissen Mindestanforderungen genügen. Es obliegt dem Arbeitnehmer sicherzustellen, dass sowohl die verwendete Internetverbindung als auch die Hardware entsprechend zugriffssicher konfiguriert ist. Sollte der Arbeitgeber für die mobile Arbeit entsprechende Hardware zur Verfügung stellen, so ist diese ausschließlich für die Arbeitstätigkeit zu nutzen.

Sensibilisierung der Mitarbeiter für Datenschutz

Wenn ein Unternehmen seinen Arbeitnehmern das mobile Arbeiten ermöglicht sollte eine Sensibilisierung der Mitarbeiter für den Datenschutz erfolgen. Mittels spezieller Schulungen und gezielter Kommunikation kann ein Bewusstsein bei den Arbeitnehmern geschaffen werden, dass die mobile Arbeit respektive die Arbeit im Homeoffice datenschutztechnische Sicherheitsrisiken in Form von Phishing oder anderweitiger Cyberangriffe mit sich bringen kann und dass diesen Risiken entgegengewirkt werden muss.

Umgang mit personenbezogenen Daten durch Dritte

Beim mobilen Arbeiten und insbesondere im Homeoffice müssen Arbeitgeber und Arbeitnehmer besonders darauf achten, dass Dritte keinen unbefugten Zugriff auf personenbezogene Daten erhalten. Folgende Punkte sind dabei zu beachten:

• Familienangehörige, Besucher oder sonstige Personen, die sich in der Wohnung aufhalten, dürfen keine Einsicht in Unterlagen mit personenbezogenen Daten nehmen können. Dokumente sollten in abschließbaren Schränken verwahrt und Bildschirme so aufgestellt werden, dass andere sie nicht einsehen können.
• Telefonate, in denen personenbezogene Daten besprochen werden, sollten in separaten Räumen geführt werden, sodass Dritte nicht mithören können.
• Ausdrucke mit personenbezogenen Daten sollten umgehend aus Druckerräumen entfernt und sicher verwahrt oder vernichtet werden. Auf keinen Fall dürfen sie im Hausmüll entsorgt werden.
• Werden externe Dienstleister wie z.B. Reinigungskräfte im Homeoffice tätig, muss auch hier sichergestellt sein, dass diese keinen Zugriff auf Daten erhalten.
• Bei der Beauftragung von externen Dienstleistern wie Cloud- oder Softwareanbietern ist zu prüfen, ob diese als Auftragsverarbeiter gemäß Art. 28 DSGVO zu behandeln sind. Dann müssen entsprechende Vereinbarungen geschlossen und Garantien eingeholt werden.
• Besondere Vorsicht ist geboten, wenn der Arbeitnehmer im Ausland im Homeoffice arbeitet. Hier gelten ggf. andere Datenschutzbestimmungen. Unternehmen sollten prüfen, ob ein angemessenes Schutzniveau besteht und zusätzliche Maßnahmen ergreifen.

Generell trägt der Arbeitgeber die Verantwortung dafür, dass der Datenschutz auch bei der Arbeit im Homeoffice durch Dritte nicht gefährdet wird. Durch Schulungen, klare Richtlinien und technische Sicherheitsvorkehrungen muss er Mitarbeiter für die Risiken sensibilisieren und ihnen die Mittel an die Hand geben, Datenschutzverstöße zu vermeiden.

Strategien zur Umsetzung von Datenschutzmaßnahmen

Die effektive Umsetzung von Datenschutzmaßnahmen erfordert ein strategisches Vorgehen, welches auf unterschiedliche Arten erfolgen kann. Allen voran geht stets die Entwicklung einer sogenannten Datenschutz-Policy, die speziell für mobiles Arbeiten ausgelegt ist. Diese Richtlinie basiert auf einer Risikobewertung, die von dem Unternehmen durchgeführt wurde.

Entwicklung einer Datenschutz-Policy für mobiles Arbeiten

Im Rahmen einer Datenschutz-Policy sind gewisse Schritte zwingend erforderlich. Nach der Risikobewertung werden bestimmte Maßnahmen zum Schutz der Daten festgelegt. Von der Bestimmung einer zuständigen Person über die Definition der zur Nutzung erlaubten Hardware sowie Software bis hin zur Festlegung von Sicherheitsrichtlinien ist alles ein fester Bestandteil der Datenschutz-Policy.

Einsatz von verschlüsselten Verbindungen und sicheren Netzwerken

Ohne eine Internetverbindung ist die Umsetzung des mobilen Arbeitens schlichtweg unmöglich. Der Datenschutz bei der Datenübertragung ist jedoch stets ein Risiko, welches durch den Einsatz von verschlüsselten Verbindungen respektive sicheren Netzwerken minimiert werden kann. Zahlreiche Unternehmen arbeiten mit Cloud-Lösungen, durch die eine verschlüsselte und sichere Übertragung der sensiblen Daten gewährleistet wird.

Richtlinien für die Nutzung privater Geräte (BYOD)

Im Rahmen einer Datenschutz-Policy kann auch das Prinzip Bring your own Device (BYOD) integriert werden. in derartigen Fällen ist es jedoch zwingend erforderlich, dass Richtlinien der Nutzung für die privaten Mobilgeräte der Arbeitnehmer festgelegt werden. Diese Richtlinien umfassen in der gängigen Praxis Mindestanforderungen an den Datenschutz sowie eine genaue Vorgehensweise bei einem Verlust oder bei Diebstahl des Endgeräts sowie auch die Fragen der Haftung nebst der regelmäßigen Aktualisierung der vorhandenen Betriebssoftware.

Physische und technische Sicherheitsmaßnahmen

Das mobile Arbeiten erfordert klar definierte physische und technische Sicherheitsmaßnahmen, die von dem Unternehmen im Vorfeld festgelegt werden. Da Mitarbeiter über das Internet auf Firmendaten zugreifen müssen, ist dieser Schutz unerlässlich.

Sicherer Zugriff auf Firmendaten: VPN und Zwei-Faktor-Authentifizierung

Der sichere Zugriff auf die Firmendaten kann auf verschiedene Arten umgesetzt werden, die sogar miteinander kombinierbar sind. So kann ein VPN-Server die sichere Datenübertragung von dem mobilen Endgerät des Arbeitnehmers auf den Unternehmensserver gewährleisten. Sollte sich ein Arbeitnehmer auf eine Unternehmensplattform einloggen müssen, so bietet die sogenannte Zwei-Faktor-Authentifizierung einen guten Schutz vor unbefugtem Zugriff. Der Arbeitgeber kann seinem Arbeitnehmer auch im Rahmen der Datenschutz-Policy vorschreiben, dass derartige Schutzmaßnahmen auch bei dem BYOD Programm als zwingende Voraussetzung gelten.

Datensicherung und -wiederherstellung

Trotz größter Sicherheitsmaßnahmen ist kein mobiles Endgerät vor dem Datenverlust gefeit. Um das Risiko des Datenverlustes zu minimieren empfiehlt sich eine regelmäßige Datensicherung auf einem Unternehmensserver. Es gibt allerdings auch die Möglichkeit, mittels spezieller Programme die Datenwiederherstellung durchzuführen. Ein Unternehmen, das seinen Arbeitnehmern die Arbeit im Homeoffice respektive das mobile Arbeiten ermöglicht, sollte diese Themen in der Datenschutz-Policy verbindlich festlegen.

Aktualität von Software und Schutzprogrammen

Die stetige Aktualisierung der Betriebssoftware von dem mobilen Endgerät sowie von vorhandenen Schutzprogrammen ist für die Datensicherheit unerlässlich. Die Arbeitnehmer sollten von dem Unternehmen dahin gehend sensibilisiert werden, da mit den Aktualisierungen auch immer wieder aufs neue Sicherheitslücken geschlossen werden.

Rechtliche Aspekte und Compliance

Sowohl Arbeitnehmer als auch Arbeitgeber tragen für den Datenschutz sowie die Einhaltung der datenschutzrechtlichen Bestimmungen Verantwortung. Es ist jedoch wichtig zu wissen, in welchen Fällen wer die Verantwortung zu tragen hat.

Verantwortlichkeiten und Haftung bei Datenschutzverletzungen

Beim mobilen Arbeiten und insbesondere im Homeoffice stellt sich die Frage, wer für die Einhaltung des Datenschutzes verantwortlich ist und bei Verstößen haftet. Grundsätzlich gilt:

• Der Arbeitgeber bleibt auch bei Telearbeit der datenschutzrechtlich Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO. Er entscheidet über Zwecke und Mittel der Datenverarbeitung und muss durch geeignete technische und organisatorische Maßnahmen sicherstellen, dass der Datenschutz gewahrt bleibt.
• Der Arbeitgeber haftet im Außenverhältnis gegenüber betroffenen Personen für Datenschutzverstöße seiner Mitarbeiter. Ihn können Bußgelder der Aufsichtsbehörden und Schadensersatzforderungen treffen.
• Im Innenverhältnis kann der Arbeitgeber bei Vorsatz oder grober Fahrlässigkeit Regress beim Arbeitnehmer nehmen. Die Haftung ist aber durch die Grundsätze des innerbetrieblichen Schadensausgleichs beschränkt.
• Handelt der Arbeitnehmer im „Exzess“, also außerhalb seines Aufgabenbereichs zu rein privaten Zwecken, wird er selbst zum Verantwortlichen. Dann können ihn persönlich Bußgelder und Haftungsansprüche treffen.
• Freie Mitarbeiter im Homeoffice sind meist ebenfalls nicht selbst verantwortlich, sondern unterliegen den Regeln der Auftragsverarbeitung nach Art. 28 DSGVO. Eine Ausnahme gilt, wenn die Datenverarbeitung nur eine untergeordnete Nebenleistung darstellt.

Um Haftungsrisiken zu minimieren, sollte der Arbeitgeber seine Beschäftigten im Homeoffice für das Thema Datenschutz sensibilisieren, klare Anweisungen geben und die Einhaltung soweit möglich kontrollieren. Kommt es dennoch zu Datenschutzverstößen, müssen diese unverzüglich gemeldet und dokumentiert werden.

Umgang mit Datenschutzverletzungen

Der richtige Umgang mit Datenschutzverletzungen ist unerlässlich für ein Unternehmen, um den damit einhergehenden Vertrauensverlust der Kunden oder anderweitiger Beteiligter wiederherzustellen. Kommt es zu einer schuldhaften Verletzung des Datenschutzes, kann dies für einen Arbeitnehmer unter bestimmten Umständen arbeitsrechtliche Konsequenzen mit sich bringen.

Datenschutzgerechte Gestaltung von Telearbeitsverträgen

Um Telearbeit datenschutzgerecht zu gestalten, sollten folgende Punkte in einem Telearbeitsvertrag oder einer Zusatzvereinbarung zum Arbeitsvertrag geregelt werden:

• Genaue Definition des Telearbeitsplatzes als feste Arbeitsstätte im Privatbereich des Arbeitnehmers. Der Arbeitgeber stellt die erforderliche technische Ausstattung.
• Festlegung der Arbeitszeiten, Erreichbarkeiten und Dokumentationspflichten zur Arbeitszeit. Auch im Homeoffice gelten die Vorgaben des Arbeitszeitgesetzes.
• Detaillierte Regelungen zum Datenschutz und zur Datensicherheit:
  • Verpflichtung zur Einhaltung der DSGVO und betrieblicher Datenschutzrichtlinien
  • Technische Sicherheitsmaßnahmen wie Verschlüsselung, Virenschutz, Zugangssicherung
  • Organisatorische Maßnahmen wie Abschließen von Unterlagen, Sperren des Bildschirms
  • Meldepflicht bei Datenschutzvorfällen
  • Rückgabe bzw. Löschung von Daten bei Vertragsende

• Zutrittsrecht des Arbeitgebers zur Wohnung, um die Einhaltung von Arbeitsschutz- und Datenschutzvorschriften zu kontrollieren. Eine Verpflichtung des Arbeitnehmers dazu besteht aber nicht.
• Kostenerstattung für die Nutzung privater Räume und Geräte durch den Arbeitgeber. Hier bietet sich eine Pauschale an.
• Haftungsregelungen und Versicherungsschutz.

Wichtig ist eine individuelle Ausgestaltung, die sich an den konkreten Umständen orientiert. Pauschale Musterverträge sind wenig sinnvoll. Bestehende Betriebsvereinbarungen und Datenschutzrichtlinien sollten angepasst und durch den Telearbeitsvertrag konkretisiert werden. Zudem müssen die Mitarbeiter im Homeoffice ausreichend geschult und sensibilisiert werden.

FAQs

Was versteht man unter mobilen Arbeiten in Bezug auf Datenschutz?

Unter der mobilen Arbeit werden sämtliche Arbeitsmaßnahmen des Arbeitnehmers verstanden, die nicht in den Unternehmensräumlichkeiten stattfinden. Der Datenschutz muss hierbei besonders beachtet werden, da die Nutzung mobiler Endgeräte stets mit einem gewissen Risiko einhergehen.

Wie kann ich meine Daten zu Hause so sicher wie im Büro halten?

Durch die Verwendung von Endgeräten mit stets aktueller Systemsoftware sowie entsprechenden Schutzprogrammen kann die Sicherheit der Daten sehr gut gewährleistet werden. Überdies muss natürlich auch die Internetverbindung über eine entsprechende Zugriffssicherung verfügen.

Welche technischen Hilfsmittel sind essenziell für sicheres mobiles Arbeiten?

Sicheres mobiles Arbeiten kann mit jedem technischen Endgerät durchgeführt werden, welches über aktuelle Sicherheitssoftware verfügt und mit Sicherheitssoftware ausgestattet ist. Ein besonderes Augenmerk sollte dabei auch auf die Internetverbindung gelegt werden.

Schlussfolgerungen und Ausblick

Es ist davon auszugehen, dass zukünftig das mobile Arbeiten erheblich mehr in den Fokus der Unternehmen gerückt wird. Die datenschutzrechtlichen Entwicklungen werden mit hoher Wahrscheinlichkeit durch den Gesetzgeber in Deutschland künftig weiter angepasst.

Sowohl Arbeitgeber als auch Arbeitnehmer sollten den Datenschutz bei dem mobilen Arbeiten sehr ernst nehmen und die Sicherungsmaßnahmen penibel einhalten. Es darf niemals vergessen werden, dass sowohl der Arbeitgeber als auch der Arbeitnehmer in der Haftung stehen.

Das mobile Arbeiten bringt für Arbeitgeber und Arbeitnehmer viele Vorteile mit sich, allerdings gibt es auch Herausforderungen zu meistern. Die größte Herausforderung stellt hierbei der Datenschutz dar. Dementsprechend sollte der Arbeitgeber in seinem Unternehmen eine entsprechende Policy ins Leben rufen und die Arbeitnehmer zu der peniblen Einhaltung sensibilisieren.