Please (Don’t) Bring Your Own Device

Das private Smartphone schnell für einen dienstlichen Anruf nutzen, das Mailpostfach auf dem eigenen Tablet öffnen oder direkt mit dem eigenen Laptop in gewohnter Umgebung arbeiten? Das alles klingt zwar ungeheuer praktisch, ist allerdings ein Thema, mit dem sich Datenschutzbeauftragte und Personalabteilungen schon lange beschäftigen. Das Prinzip „Bring Your Own Device“ (BYOD) ist mittlerweile weit verbreitet, bringt aber auch erhebliche datenschutzrechtliche Herausforderungen mit sich.  

BYOD bezeichnet dabei das Konzept, bei dem Beschäftigte ihre eigenen Endgeräte wie Smartphones, Laptops, Tablets oder auch USB-Sticks und Digitalkameras im Berufskontext verwenden. Auf den ersten Blick kann das Prinzip sowohl für Unternehmen als auch für die Beschäftigten Vorteile haben. Unternehmen sparen so bei den Hardwarekosten und bringen den Beschäftigten eine höhere Flexibilität entgegen. Die Beschäftigten selbst können sich in einer ihnen besser bekannten IT-Umgebung bewegen und die genutzten Geräte und Systeme selbst aussuchen. Das sind gerade im Zeitalter des mobilen Arbeitens und des Homeoffice klare Vorteile.

Die datenschutzrechtliche Ausgangslage

Sobald auf einem privaten Endgerät dienstliche Daten verarbeitet werden, also bspw. bereits, wenn Sie auf Ihrem eigenen Smartphone berufliche Mails lesen, sind die Anforderungen der Datenschutz-Grundverordnung (DSGVO) vollumfänglich anwendbar. Der Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO bleibt dabei das Unternehmen, nicht der Beschäftigte! Damit trägt der Arbeitgeber die volle datenschutzrechtliche Verantwortung für alle Verarbeitungsvorgänge, die auf einem privaten Gerät stattfinden. Problematisch ist dabei, dass der Verantwortliche über diese Geräte regelmäßig weder technisch noch organisatorisch die Kontrolle hat.

Besonders relevant sind dabei folgende datenschutzrechtliche Grundsätze aus Art. 5 DSGVO:

• Integrität und Vertraulichkeit (Art. 5 Abs. 1 lit. f DSGVO): Personenbezogene Daten müssen durch geeignete technische und organisatorische Maßnahmen (TOMs) geschützt werden. Auf einem privaten Gerät ist dies kaum kontrollier- und umsetzbar.
• Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO): Es dürfen nur Daten verarbeitet werden, die für den konkreten Zweck tatsächlich erforderlich sind. Eine unkontrollierte Vermischung von privaten und dienstlichen Daten auf einem Endgerät läuft diesem Grundsatz regelmäßig zuwider.
• Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO): Der Verantwortliche muss die Einhaltung der datenschutzrechtlichen Grundsätze nachweisen können.

Mit in diese Grundsätze spielt die Pflicht zur Implementierung angemessener TOMs nach Art. 32 DSGVO ein. Dieser Pflicht wird der Arbeitgeber jedoch regelmäßig nicht nachkommen können. Hierfür müsste der Arbeitgeber von seinen Beschäftigten bspw. verlangen, ihre privaten Geräte für Unternehmensmaßnahmen wie Mobile Device Management (MDM), Remote-Wipe-Funktionen oder erzwungene Verschlüsselung zu konfigurieren. Eine Durchsetzung dieser Maßnahmen erscheint in den meisten Konstellationen als kaum darstellbar.

BYOD nur im Ausnahmefall

Die klare Empfehlung aus datenschutzrechtlicher Sicht lautet somit, BYOD nur in Ausnahmefällen zu nutzen und dann mit klaren technischen und organisatorischen Maßnahmen. Der Regelfall sollte die Nutzung der vom Arbeitgeber gestellten und administrierten Dienstgeräte sein. Nur so kann der Verantwortliche die datenschutzrechtlichen Pflichten nach Art. 24 und Art. 32 DSGVO zuverlässig erfüllen.

BYOD kann allenfalls dann in Betracht kommen, wenn die folgenden Punkte umgesetzt wurden:

• Es besteht ein konkreter betrieblicher Anlass, der die private Gerätenutzung sachlich rechtfertigt,
• es gibt klare technische und organisatorische Schutzmaßnahmen, die tatsächlich umsetzbar und vertraglich vereinbart sind,
• es wurden ausdrückliche und dokumentierte Regelung getroffen, und
• die betroffenen Beschäftigten wurden vollständig und transparent über die Verarbeitung ihrer Daten informiert.

Fehlt es an einem dieser Punkte, ist BYOD datenschutzrechtlich nicht tragfähig.

Praktische Handlungsempfehlungen

Bevor sich ein Unternehmen für BYOD entscheidet, sollte zunächst CYOD, also Choose Your Own Device, als Alternative in Betracht gezogen werden. Dabei nutzt der Beschäftigte zwar ebenfalls ein Dienstgerät, kann dieses jedoch aus einer vordefinierten Auswahl an Geräten selbst wählen. Auf diese Weise wird dem Flexibilitätsbedürfnis der Beschäftigten Rechnung getragen, ohne dass das Unternehmen die datenschutzrechtliche Kontrolle aufgibt. 

Sollte ein Unternehmen sich dennoch für die Nutzung des BYOD-Prinzips entscheiden, sollten intern klare Richtlinien eingeführt werden die regeln, welche Anwendungen und Datenverarbeitungen auf den privaten Geräten zulässig sind, welche Sicherheitsanforderungen hierfür zu treffen sind und in welcher Form ein Zugriff des Arbeitgebers auf das Gerät ermöglicht wird. Technisch empfiehlt sich dann die konsequente Trennung zwischen privatem und dienstlichem Bereich auf dem Endgerät, etwa durch eine Container-Lösungen, die dienstliche Apps und Daten vom privaten Bereich isolieren. Aber auch das Mobil Device Management (MDM) kann in der Theorie einen solchen Lösungsansatz darstellen, um für das verantwortliche Unternehmen eine Kontrollierbarkeit im Sinne des Art. 32 DSGVO herzustellen. 

Und schließlich gilt: Wer sein privates Gerät für dienstliche Zwecke nutzt, trägt faktisch Mitverantwortung für den sicheren Umgang mit Unternehmensdaten. Regelmäßige Schulungen der Beschäftigten sind daher dringend geboten. Sie stellen insofern einen Teil der nach Art. 32 DSGVO geschuldeten organisatorischen Schutzmaßnahmen dar.

Fazit

BYOD ist kein neues Phänomen, aber ein datenschutzrechtliches Dauerproblem. Die Vermischung privater und dienstlicher Sphären auf einem Endgerät stellt Unternehmen vor erhebliche Herausforderungen. Die DSGVO verlangt nachweisbare Schutzmaßnahmen, die sich auf einem privaten Gerät kaum vollständig umsetzen lassen.

Der datenschutzkonforme Weg führt daher über klare Regeln, technische Trennung und vor allem den konsequenten Vorrang von Dienstgeräten. BYOD mag praktisch sein – datenschutzrechtlich betrachtet ist es das jedoch meist nicht.