Homeoffice und Datenschutz: Checkliste für Arbeitgeber

Innerhalb weniger Tage haben zahlreiche Unternehmen ihre Beschäftigten wegen der Corona-Pandemie ins Homeoffice geschickt. Was organisatorisch oft improvisiert werden musste, wirft datenschutzrechtliche Fragen auf: Darf auf dem privaten Laptop gearbeitet werden? Wie sind Akten zu Hause aufzubewahren? Und wer haftet, wenn etwas schiefgeht? Klar ist: Die DSGVO gilt auch am Küchentisch. Verantwortlich bleibt der Arbeitgeber. Unsere Checkliste hilft, die wichtigsten Punkte zügig umzusetzen.

Verantwortung bleibt beim Unternehmen

Auch wenn Beschäftigte von zu Hause aus arbeiten, bleibt das Unternehmen Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Es muss nach Art. 32 DSGVO ein dem Risiko angemessenes Schutzniveau sicherstellen. Das bedeutet nicht, dass jedes Homeoffice wie ein Rechenzentrum ausgestattet sein muss. Es bedeutet aber, dass klare Regeln und geeignete technische Mittel vorhanden sein müssen.

Technik: Dienstgeräte und sichere Verbindungen

• Dienstgeräte sind privaten Rechnern vorzuziehen, die sich kaum kontrollieren lassen. Ist die Nutzung privater Geräte unvermeidbar, sollten zumindest Virenschutz, aktuelle Updates und ein separates Benutzerkonto vorausgesetzt werden.
• Festplatten von Laptops und mobile Datenträger sollten verschlüsselt sein.
• Der Zugriff auf Unternehmenssysteme sollte über eine gesicherte Verbindung (VPN) erfolgen.
• Starke Passwörter und eine automatische Bildschirmsperre nach kurzer Inaktivität gehören zur Grundausstattung.
• Dateien gehören auf die vom Unternehmen freigegebenen Systeme, nicht in private Cloud-Speicher.

Organisation: Klare Regeln für zu Hause

Wichtig ist eine kurze, verständliche Homeoffice-Richtlinie. Sie sollte unter anderem festlegen, dass Familienmitglieder und Mitbewohner keinen Einblick in Unterlagen und Bildschirm erhalten, dass Telefonate mit vertraulichem Inhalt nicht in Hörweite Dritter geführt werden und dass Papierunterlagen verschlossen aufbewahrt und nicht im Hausmüll, sondern datenschutzgerecht entsorgt werden. Auch smarte Lautsprecher, die mithören können, sollten während vertraulicher Gespräche ausgeschaltet sein.

Lassen Sie sich die Kenntnisnahme der Regeln bestätigen. Das dient der Sensibilisierung und hilft, gegenüber einer Aufsichtsbehörde die Erfüllung der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO nachzuweisen.

Kommunikation und Videokonferenzen

Mit dem Homeoffice steigt der Bedarf an Messenger- und Videokonferenzdiensten. Hier sollten nur Dienste eingesetzt werden, die das Unternehmen geprüft und freigegeben hat. Mit dem Anbieter ist in der Regel ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO abzuschließen. Achten Sie auch darauf, wo der Anbieter Daten verarbeitet, und ob Übermittlungen in Drittländer stattfinden.

Was tun, wenn doch etwas passiert?

Geht ein Laptop verloren oder werden Unterlagen versehentlich an Dritte weitergegeben, müssen Beschäftigte wissen, wen sie sofort informieren. Die Uhr für die Meldung an die Aufsichtsbehörde läuft auch im Homeoffice. Wie Sie dann vorgehen, beschreiben wir ausführlich in unserem Leitfaden „Datenpanne melden: So reagieren Sie richtig in 72 Stunden“.

Beschäftigtendaten und Kontrolle

Homeoffice ist kein Anlass für eine lückenlose Überwachung. Die Verarbeitung von Beschäftigtendaten richtet sich nach § 26 BDSG und muss für das Beschäftigungsverhältnis erforderlich sein. Eine permanente Kontrolle von Tastatureingaben oder Bildschirminhalten ist regelmäßig unzulässig. Besteht ein Betriebsrat, ist dieser bei technischen Einrichtungen, die zur Leistungs- oder Verhaltenskontrolle geeignet sind, zu beteiligen.

Eine pragmatische Lösung lässt sich später in Ruhe weiterentwickeln, etwa über eine Betriebsvereinbarung. Für Ihre Homeoffice-Richtlinie oder die Prüfung Ihrer bestehenden Regelung stehen wir Ihnen zur Verfügung: Kontakt aufnehmen oder Termin buchen.