Source: https://www.datenschutz-fuer-praktiker.de/home-office-und-datenschutz-beitrag/
Timestamp: 2020-06-06 12:00:06
Document Index: 214283518

Matched Legal Cases: ['§ 2', 'Art. 4', 'Art. 32', 'Art. 4', 'Art. 35', 'Art. 44']

Home-Office & Datenschutz - www.datenschutz-fuer-praktiker.de
Home-Office & Mobile Office – Herausforderungen beim Datenschutz
By Redaktion 20. März 2020 März 23rd, 2020 Keine Kommentare
Von zu Hause aus im „Home-Office“ (Remotework oder Telearbeit, § 2 Abs. 7 ArbStättV) oder unterwegs im „Mobile Office“ zu arbeiten gerät immer mehr in den Fokus, wenn es um die Flexibilität der Arbeit geht. Die Gründe hierfür sind vielfältig. Einen Rechtsanspruch auf Home-Office gibt es nicht (LAG Köln vom 24.05.2016 – 12 Sa 677/13). Dieser Beitrag soll eine Übersicht über die aktuell zu treffenden Maßnahmen in Bezug auf den Datenschutz geben.
Auch wenn Beschäftigte von einem Home-Office aus oder gar komplett mobil für den Arbeitgeber tätig sind, so muss dieser als Verantwortlicher (Art. 4 Nr. 7 DSGVO) sog. technische organisatorische Maßnahmen (TOM) treffen, um den Schutz der personenbezogenen Daten zu gewährleisten (Art. 32 DSGVO).
Insbesondere Beschäftigte im Home oder Mobile Office müssen für den Schutz personenbezogener Daten sensibilisiert und entsprechend geschult werden. Arbeitgeber und Arbeitnehmer müssen Maßnahmen treffen und einhalten, damit Dritte (Art. 4 Nr. 10 DSGVO) z. B. Familienangehörige, privater Besuch, Nachbarn nicht zufällig Informationen einsehen oder wahrnehmen können.
Die Risiken beim Home-Office/Mobile Office lassen sich nicht gänzlich vermeiden, daher ist es wichtig eine Risikoanalyse oder vielleicht sogar eine Datenschutz-Folgenabschätzung (DSFA), Art. 35 DSGVO, zu tätigen. Ein wichtiger Aspekt im Zusammenhang mit Home-Office kommt der IT-Sicherheit zu. Die zur Verfügung gestellte IT-Ausstattung (Notebook, Drucker, Tablet etc.) sollte nicht privat genutzt werden und entsprechend verschlüsselt sein. Dritte dürfen keinen Zugriff auf diese Arbeitsmittel haben. Das heißt, das Arbeits-Tablet darf auch nicht zum Spielen den Kindern überlassen werden, da hierdurch z. B. Apps installiert werden könnten, die eine Gefahr für die Informationen auf dem Gerät darstellen. Manchmal wird von Arbeitgebern auch verlangt, eigene Betriebsmittel zu nutzen – wenn z. B. via VPN auf eine ausschließlich externe Datenbank zugegriffen werden soll. Hier muss genau geprüft werden, ob ein Risiko besteht, wenn auf dem Notebook z. B. unwissentlich eine Schadsoftware installiert wird und was zu tun ist, wenn das private Notebook plötzlich nicht mehr betriebsbereit ist.
Ebenso dürfen auch externe Datenträger (Festplatten, Speicherkarten, USB-Sticks) nicht für private Zwecke genutzt werden und an weitere beliebige Geräte angeschlossen werden. Alle zu verwendenden Datenträger müssen verschlüsselt werden, um das Risiko einer Datenpanne zu reduzieren. Die Datenübermittlung via E-Mail oder Upload muss verschlüsselt erfolgen (VPN,
SSL) sowohl zum Kunden als auch zum Betrieb hin.
Bei der Planung des Home-Office sollten frühzeitig Datenschutzbeauftragte und der Betriebsrat involviert werden, damit alle in Betracht kommenden
Schutzmaßnahmen auch getroffen werden. Regelungen hierzu können auch in einer Betriebsvereinbarung getroffen werden.
Hier müssen Regelungen getroffen werden insbesondere was den Transport bzw. Transfer von Daten ins EU-Ausland oder in Drittländer angeht (Art. 44 DSGVO), zum Umgang mit Telefonaten oder zur Nutzung des Notebooks in der Öffentlichkeit. Hierbei sollte Dritten keine Einsicht oder Information verschafft werden – sowohl über personenbezogene Daten als auch über
den Betrieb. Es empfiehlt sich, eine Datenschutzfolie für das Notebook zu verwenden. Beim Telefonieren in der Öffentlichkeit sollte sich möglichst kurz gefasst, keine Namen genannt und ein Ort aufgesucht werden, an dem sich keine Mithörer aufhalten bzw. ein zeitnaher Rückruf vereinbart werden kann. Die Nutzung von Internet Cafés oder öffentlichem WLAN in Hotel, Bahn oder Flugzeug ohne entsprechende Schutzmaßnahmen (VPN) sollte komplett ausgeschlossen werden. Die Arbeitsgeräte dürfen nie unbewacht gelassen werden und sollten vorsorglich verschlüsselt werden.
Es muss auch ein Handlungskonzept vorliegen, was geschieht, wenn ein PC nicht mehr funktioniert, keine Internetverbindung mehr vorhanden ist oder
keine Verbindung zum VPN aufgebaut werden kann (Störfall).Inwieweit kann der Arbeitgeber Beschäftigte dann wieder an den Arbeitsplatz zitieren? Gerade beim Mobile Office wirft das interessante Konstellationen
auf, wenn Beschäftigte nicht mehr im näheren Umkreis der Firma sind.
Unter Abwägung der Risiken und Vorteile sind entsprechende Regelungen zu treffen, welche Daten im Home-Office unter welchen Bedingungen verarbeitet
werden können und inwieweit ein mobiles Arbeiten möglich ist. Zu klären ist auch, inwiefern Beschäftigte den Arbeitgeber informieren müssen, wenn sie
einen bestimmten Umkreis zum Betrieb verlassen und ob die Erreichbarkeit gewährleistet werden muss.
Die Sensibilisierung von Beschäftigten ist ein wichtiger Bestandteil im Datenschutzkonzept, da nicht alle Situationen umfänglich hervorgesehen werden können. Ein Notfallkonzept mit Ansprechpartnern sollte
bestehen und den Beschäftigten auch bekannt sein.