Datenschutz im Home Office verlangt dieselbe rechtliche Sorgfalt wie Arbeit im Büro. Die Umgebung verändert jedoch die Risiken: Andere Personen können Gespräche mithören, dienstliche Dateien können in private Sicherungen geraten und ein verlorenes Notebook kann zugleich einen Datenverlust und einen unbefugten Zugriff verursachen. Arbeitgeber müssen deshalb die tatsächlichen Arbeitsabläufe beurteilen und wirksame Schutzmaßnahmen organisieren. Ein unterschriebenes Formular oder ein bestimmtes Sicherheitsprodukt allein erledigt diese Aufgabe nicht.
Dieser Leitfaden behandelt die praktische Entscheidung, welche Tätigkeiten unter welchen Bedingungen von zu Hause erledigt werden dürfen. Die Homeoffice-Datenschutzrichtlinie als Muster hilft anschließend beim Formulieren interner Regeln. Hier steht dagegen die Begründung dieser Regeln im Mittelpunkt: Was muss geschützt werden, welche Maßnahme passt zum Risiko und wie lässt sich überprüfen, ob sie im Alltag funktioniert?
Verantwortlichkeit und Arbeitsmodell zuerst klären
Für eigene Personalverwaltung und Kundenprozesse bleibt das Unternehmen regelmäßig Verantwortlicher. Arbeitet es dagegen weisungsgebunden für einen Auftraggeber, kann es bei dessen Daten Auftragsverarbeiter sein. Der Wechsel des Arbeitsorts verändert diese Rolle nicht. Auch Beschäftigte werden durch die Nutzung eines häuslichen Arbeitsplatzes nicht zu eigenständigen Auftragsverarbeitern ihres Arbeitgebers. Sie verarbeiten Daten grundsätzlich innerhalb der Organisation nach den geltenden Befugnissen und Weisungen.
Bei ausgelagerten Dienstleistungen muss zusätzlich geprüft werden, ob die vereinbarten Verarbeitungsvorgaben mobiles Arbeiten zulassen. Ein Kundendienst kann organisatorisch problemlos von zu Hause erreichbar sein, während sein Auftrag bestimmte Zugriffe oder Standorte begrenzt. Solche Bedingungen müssen vor der Freigabe geklärt werden. Die Grundlagen der Auftragsverarbeitung nach der DSGVO erklären, weshalb die Sicherheitsentscheidung des Dienstleisters auch in die Beziehung zum Auftraggeber gehört.
Arbeitsrechtliche Vereinbarung, Arbeitsschutz und Datenschutz sind miteinander verbunden, aber nicht identisch. Ein Telearbeitsplatz im Sinne von § 2 Absatz 7 Arbeitsstättenverordnung ist ein besonders definiertes Modell: ein vom Arbeitgeber eingerichteter Bildschirmarbeitsplatz im Privatbereich mit vereinbarter wöchentlicher Arbeitszeit und Dauer der Einrichtung. Nicht jede gelegentliche Laptopnutzung zu Hause erfüllt diese Definition. Daraus lässt sich weder eine allgemeine datenschutzrechtliche Pflicht zu einer bestimmten Homeoffice-Vertragsform noch eine Befreiung von Schutzpflichten ableiten.
Dokumentierte Regeln sind dennoch praktisch notwendig, um Befugnisse, Maßnahmen und Verantwortlichkeiten nachvollziehbar umzusetzen. Sie können Bestandteil einer bestehenden IT-Richtlinie, einer ergänzenden Vereinbarung oder einer Betriebsvereinbarung sein. Entscheidend ist, dass die tatsächlich erlaubte Tätigkeit erfasst wird und Beschäftigte die Regeln kennen. Das Datenschutzkonzept sollte außerdem benennen, wer über Ausnahmen entscheidet und wann eine Freigabe erneut geprüft wird.
Welche Arbeit passt in die häusliche Umgebung?
Beginnen Sie mit konkreten Tätigkeiten statt mit einer pauschalen Freigabe für ganze Abteilungen. Eine Mitarbeiterin, die Termine mit gewöhnlichen Kontaktdaten koordiniert, benötigt andere Vorkehrungen als jemand, der Gesundheitsunterlagen oder vertrauliche Personalgespräche bearbeitet. Relevant sind Datenarten, Umfang, mögliche Folgen einer Offenlegung und die Frage, ob andere Personen im Haushalt Zugang zum Arbeitsbereich haben. Auch Verfügbarkeit und versehentliche Änderungen gehören in die Bewertung.
Prüfen Sie anschließend, welche Daten überhaupt lokal benötigt werden. Zentral bereitgestellte Anwendungen können Kopien auf Endgeräten reduzieren. Sie verhindern aber nicht automatisch Bildschirmfotos, Ausdrucke, heruntergeladene Anhänge oder gespeicherte Browserinformationen. Eine Freigabe sollte daher zwischen dem Zugriff auf die Anwendung und zusätzlichen Funktionen unterscheiden. Für eine sensible Tätigkeit kann beispielsweise der zentrale Zugriff erlaubt sein, während lokale Exporte und private Ausdrucke ausgeschlossen werden.
Ein eigener abschließbarer Raum ist nicht für jede Tätigkeit als universelle DSGVO-Voraussetzung vorgeschrieben. Fehlt eine ausreichend geschützte Arbeitsmöglichkeit, kann die konkrete Tätigkeit trotzdem ungeeignet sein. Ein vertrauliches Beratungsgespräch lässt sich nicht durch eine Sichtschutzfolie gegen Mithören absichern. Suchen Sie dann nach einer anderen Uhrzeit, einem geeigneten Raum oder einem Arbeitsplatz im Betrieb. Die erforderliche Schutzwirkung ist wichtiger als die formale Bezeichnung des Arbeitsorts.
Die Handreichung des Hessischen Datenschutzbeauftragten zum mobilen Arbeiten vom Dezember 2023 liefert hierfür konkrete Orientierung. Ihre Empfehlungen sollten als fachliche Hilfe zur Umsetzung gelesen werden. Einzelne dort beschriebene technische Möglichkeiten werden dadurch nicht zu einer ausnahmslosen gesetzlichen Produktpflicht für jeden Arbeitgeber.
Geräte und Zugänge als zusammenhängendes System schützen
Artikel 32 DSGVO verlangt ein dem Risiko angemessenes Sicherheitsniveau unter Berücksichtigung unter anderem des Stands der Technik und der Umsetzungskosten. Dazu gehören je nach Erforderlichkeit Verschlüsselung, dauerhafte Vertraulichkeit und Verfügbarkeit, Wiederherstellbarkeit sowie regelmäßige Wirksamkeitsprüfungen. Der Leitfaden zu Artikel 32 erläutert diesen Maßstab. Das Gesetz schreibt weder eine bestimmte Festplattenmarke noch eine identische Sperrfrist für alle Arbeitsplätze vor.
Verwaltete Firmengeräte erleichtern die Umsetzung: Zuständigkeiten für Aktualisierungen, Berechtigungen, Software und Rückgabe sind klarer als bei gemeinsam genutzten Privatgeräten. Prüfen Sie vor der Ausgabe, ob die Verschlüsselung tatsächlich aktiv ist, Wiederherstellungsschlüssel geschützt verwaltet werden und Beschäftigte keine unnötigen Administrationsrechte erhalten. Ein beschafftes Sicherheitsmerkmal bietet keinen verlässlichen Schutz, wenn es nie aktiviert oder durch alltägliche Arbeitsweisen umgangen wird.
Für Fernzugriffe brauchen Sie eine geeignete Absicherung der Verbindung und der Anmeldung. Ein VPN kann dazu beitragen; der konkrete Aufbau hängt von der Anwendung und ihrer Zugriffssicherung ab. Mehrfaktor-Authentisierung ist insbesondere für extern erreichbare und privilegierte Zugänge eine wichtige Schutzmaßnahme. Beurteilen Sie auch die Wiederherstellung verlorener Anmeldemittel. Ein sicherer zweiter Faktor hilft wenig, wenn eine einfache Nachricht an den Support genügt, um ihn ungeprüft zurückzusetzen.
Das private WLAN benötigt eine zeitgemäße Konfiguration, ein ausreichend starkes Passwort und gepflegte Routersoftware. Geben Sie Beschäftigten verständliche Prüfschritte statt der unbestimmten Anweisung, ihr Heimnetz müsse sicher sein. Wenn die Organisation eine erforderliche Eigenschaft nicht beurteilen oder herstellen kann, muss sie über andere Zugangswege oder Einschränkungen entscheiden. Ein generelles Versprechen, ein bestimmtes WLAN-Verfahren mache jeden Heimarbeitsplatz datenschutzkonform, wäre unzutreffend.
Bei Bildschirmsperren zählt ebenfalls der Nutzungskontext. Eine kurze automatische Sperre ergänzt das manuelle Sperren beim Verlassen des Platzes. Sie ersetzt es nicht. Denken Sie außerdem an Videokonferenzen: Ein neutraler Hintergrund schützt keine offen sichtbaren Dokumente bei einer Bildschirmfreigabe. Beschäftigte sollten einzelne Fenster freigeben können und verstehen, welche Benachrichtigungen dabei erscheinen. Diese kleinen Bedienentscheidungen bestimmen häufig, ob technische Schutzfunktionen tatsächlich greifen.
Private Geräte und Geräteverwaltung begrenzt einsetzen
Die DSGVO enthält kein allgemeines Verbot privater Endgeräte und keine pauschale Pflicht, jedes solche Gerät mit Mobile Device Management auszustatten. Sie verlangt jedoch wirksamen Schutz. Bei Geräten, die von Familienmitgliedern mitbenutzt werden oder deren Aktualisierungszustand unbekannt ist, kann eine vertretbare Nutzung für bestimmte Daten praktisch ausscheiden. Kostenersparnis allein rechtfertigt kein höheres Risiko für Kunden oder Beschäftigte.
Eine kontrollierte Arbeitsumgebung kann dienstliche und private Daten trennen. Vor ihrer Einführung muss geklärt werden, welche Informationen die Administration sieht und welche Eingriffe möglich sind. Kann sie private Apps auflisten, den Standort verfolgen oder das gesamte Gerät löschen, entstehen zusätzliche Fragen zum Beschäftigtendatenschutz. Begrenzen Sie Rechte auf das Erforderliche und informieren Sie verständlich über Sichtbarkeit, Support und Eingriffsmöglichkeiten. Der Überblick zum Mobile Device Management hilft bei dieser Abgrenzung.
Auch ein ausschließlich browserbasierter Zugang ist nicht automatisch risikofrei. Downloads, Zwischenablage, Synchronisation und Sitzungsspeicherung können weiterhin Daten hinterlassen. Umgekehrt kann eine wirksam beschränkte Browserlösung bei passenden Tätigkeiten eine Alternative zu umfassender Geräteverwaltung sein. Entscheiden Sie anhand des überprüften Zugriffsmodells. Eine abstrakte Produktkategorie ersetzt weder die Prüfung ihrer konkreten Einstellungen noch eine klare Regel für gemeinsam genutzte Geräte.
Die BSI-Empfehlungen zur Sicherheit im Home Office vom April 2021 behandeln unter anderem Absicherung, Aktualisierung, sichere Kommunikation und organisatorische Vorbereitung. Sie sind eine technische Orientierung. Die Organisation muss ihre Aktualität und Eignung für den eigenen Betrieb beurteilen, statt allein mit dem Veröffentlichungsnamen eine abschließende Rechtsprüfung zu behaupten.
Papier, Gespräche und private Dienste nicht übersehen
Legen Sie fest, ob und welche Unterlagen den Betrieb verlassen dürfen. Wenn Papier erforderlich ist, brauchen Beschäftigte geeignete Transport- und Aufbewahrungsmöglichkeiten. Die Unterlagen sollten nicht offen im Fahrzeug liegen oder nach Arbeitsende auf einem gemeinsam genutzten Tisch bleiben. Ein verschließbarer Schrank kann eine sinnvolle Maßnahme sein; entscheidend bleibt, ob unbefugte Personen tatsächlich vom Zugriff ausgeschlossen werden.
Private Drucker erzeugen zusätzliche Kopien und können mit gemeinsam genutzten Konten oder Cloudfunktionen verbunden sein. Ein Druckverbot ist nur dann praktisch überzeugend, wenn der vorgesehene Prozess ohne Ausdruck funktioniert. Andernfalls werden Ausnahmen schnell zur informellen Regel. Organisieren Sie erforderliche Ausdrucke ausdrücklich und regeln Sie die sichere Rückführung beziehungsweise Vernichtung. Dienstliche Unterlagen gehören nicht unkontrolliert ins Altpapier des Haushalts.
Für Telefonate und Videokonferenzen sind Mithören und Aufzeichnen getrennte Risiken. Kopfhörer verringern die Wiedergabe fremder Stimmen, verhindern aber nicht, dass andere Personen die eigenen Gesprächsbeiträge hören. Aufzeichnungen benötigen eine eigene Prüfung von Zweck, Rechtsgrundlage und Information. Sprachassistenten oder private Kommunikationsdienste sollten aus vertraulichen Arbeitssituationen herausgehalten werden, wenn sich deren Verarbeitung nicht beherrschen lässt.
Sorgen Sie schließlich für eine freigegebene Alternative, bevor Sie private E-Mail-Konten, Messenger oder Speicher ausschließen. Beschäftigte benötigen einen einfachen Weg, große Dateien zu übermitteln oder bei einer Störung Unterstützung zu erhalten. Ein technisch blockierter Arbeitsablauf begünstigt Ausweichlösungen. Schulungen sollten deshalb nicht nur Verbote aufzählen, sondern an typischen Situationen zeigen, welcher sichere Weg tatsächlich zur Verfügung steht.
Sicherheit darf nicht zur unbegrenzten Beschäftigtenkontrolle werden
Protokolldaten können notwendig sein, um Angriffe und Fehlkonfigurationen zu erkennen. Daraus folgt keine allgemeine Befugnis, Anwesenheit, Arbeitsleistung oder private Aktivitäten lückenlos zu beobachten. Definieren Sie den konkreten Zweck, benötigte Datenfelder, Zugriffsberechtigte und Aufbewahrungsdauer. Wenn ein Sicherheitsprotokoll später für einen anderen Zweck verwendet werden soll, benötigt diese Verwendung eine eigenständige rechtliche Bewertung.
§ 26 BDSG enthält insbesondere Anforderungen an die Erforderlichkeit der Beschäftigtendatenverarbeitung. Für die Aufdeckung von Straftaten verlangt die Vorschrift dokumentierte tatsächliche Verdachtsanhaltspunkte sowie weitere Erforderlichkeits- und Verhältnismäßigkeitsbedingungen. Eine pauschale Einwilligung in der Homeoffice-Vereinbarung beseitigt diese Grenzen nicht. Wegen des Abhängigkeitsverhältnisses muss ihre Freiwilligkeit besonders sorgfältig beurteilt werden. Der Leitfaden zu Mitarbeiterdaten behandelt diese zweite Schutzrichtung ausführlicher.
Besteht ein Betriebsrat, sind dessen Beteiligungsrechte vor Einführung der betreffenden Regelungen und Systeme zu prüfen. § 87 Absatz 1 BetrVG nennt unter anderem technische Überwachungseinrichtungen und die Ausgestaltung mobiler Arbeit mittels Informations- und Kommunikationstechnik. Dabei ist auch der gesetzliche Vorbehalt bestehender gesetzlicher oder tariflicher Regelungen zu beachten. Eine datenschutzrechtlich vertretbare Technik kann deshalb trotzdem eine noch ausstehende Mitbestimmung erfordern.
Eine Datenschutz-Folgenabschätzung ist notwendig, wenn die geplante Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten verursacht. Die bloße Anzahl ausgegebener Homeoffice-Notebooks löst sie nicht automatisch aus. Umfangreiche oder besonders eingriffsintensive Überwachung kann dagegen einen entsprechenden Anlass geben. Dokumentieren Sie die Vorprüfung und nutzen Sie die Einordnung zur Datenschutz-Folgenabschätzung, bevor die betreffende Verarbeitung beginnt.
Einen Vorfall erkennen, bewerten und richtig melden
Beschäftigte brauchen einen erreichbaren internen Meldeweg für Geräteverlust, fehlgeleitete Nachrichten oder auffällige Zugriffe. Sie sollten nicht zuerst selbst entscheiden müssen, ob die gesetzliche Meldeschwelle erreicht ist. Die interne Information muss die verantwortlichen Personen früh genug erreichen, damit sie den Sachverhalt sichern, Risiken beurteilen und erforderliche Maßnahmen veranlassen können. Bei einem ausgefallenen Arbeitskonto muss ein zweiter Kontaktweg funktionieren.
Nicht jeder technische Zwischenfall ist eine Verletzung des Schutzes personenbezogener Daten. Liegt eine solche Verletzung vor, muss der Verantwortliche die zuständige Aufsicht unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden informieren, sofern sie nicht voraussichtlich ohne Risiko für die Rechte und Freiheiten natürlicher Personen bleibt. Eine spätere Meldung benötigt eine Begründung; fehlende Einzelheiten können ohne unangemessene weitere Verzögerung nachgereicht werden. Auftragsverarbeiter informieren den Verantwortlichen ohne unangemessene Verzögerung und erhalten keine eigene allgemeine Wartefrist von 72 Stunden.
Jede personenbezogene Datenschutzverletzung ist nach Artikel 33 Absatz 5 zu dokumentieren, auch wenn keine Behördenmeldung erforderlich ist. Bei voraussichtlich hohem Risiko ist zusätzlich die unverzügliche Information betroffener Personen nach Artikel 34 zu prüfen; dessen Ausnahmen haben eigene Voraussetzungen. Der Ablauf zum Melden einer Datenpanne hilft, diese Entscheidungen auseinanderzuhalten und ihre Gründe festzuhalten.
Ein hypothetischer Verlust verdeutlicht die Prüfung: Ein ausgeschaltetes Notebook wird gestohlen. Verlässlich aktive Verschlüsselung und getrennt geschützte Schlüssel können das Offenlegungsrisiko erheblich reduzieren. Trotzdem muss geklärt werden, ob auch Anmeldesitzungen, Wiederherstellungsmöglichkeiten oder ungesicherte Unterlagen betroffen sind. Fehlt die einzige Kopie wichtiger Daten, entsteht zusätzlich ein Verfügbarkeitsrisiko. Die Aussage, Verschlüsselung entscheide rechtlich alles, würde diese unterschiedlichen Folgen übergehen.
Arbeiten im Ausland gesondert freigeben
Der Zugriff aus dem Ausland erfordert eine konkrete Betrachtung der beteiligten Personen und Organisationen. Nach den finalen EDSA-Leitlinien 05/2021 zu internationalen Übermittlungen ist der Fernzugriff eines eigenen Beschäftigten desselben Verantwortlichen aus einem Drittland nicht allein deshalb eine Übermittlung nach Kapitel V. Es fehlt dabei der andere Verantwortliche oder Auftragsverarbeiter als Empfänger. Die Leitlinien veranschaulichen dies anhand einer Dienstreise.
Werden Daten dagegen einer eigenständigen Konzerngesellschaft oder einem anderen Dienstleister im Drittland zugänglich, kann Kapitel V einschlägig sein. Die Grundlagen internationaler Datenübermittlungen erläutern die dann zu prüfenden Voraussetzungen. Eine Konzernzugehörigkeit beseitigt die rechtliche Eigenständigkeit des Empfängers nicht. Prüfen Sie insbesondere, ob lokale Unterstützung oder neue Anbieter hinzukommen.
Auch ohne Übermittlung bleiben Sicherheits- und sonstige DSGVO-Pflichten bestehen. Lokale Zugriffsrechte von Behörden, unsichere Arbeitsumgebungen oder fehlende Unterstützung können gegen die Nutzung sprechen. Eine interne Länderfreigabe sollte Tätigkeit, Daten, Geräte und Dauer berücksichtigen. Innerhalb des EWR entfällt ebenfalls nicht jede Sicherheitsprüfung. Arbeits-, steuer- und sozialversicherungsrechtliche Fragen müssen zusätzlich außerhalb dieses Datenschutzleitfadens geklärt werden.
Freigabe, Überprüfung und Rückkehr organisieren
Vor dem Start sollte die fachlich zuständige Person erklären können, welche Tätigkeit freigegeben wurde, welche Schutzmaßnahmen gelten und wer bei Problemen hilft. Prüfen Sie im Rahmen einer nachvollziehbaren Einführung beispielsweise Anmeldung, Bildschirmsperre, Wiederherstellung und Meldeweg. Eine solche praktische Kontrolle liefert mehr Aussagekraft als ein bloß bestätigtes Lesen langer Richtlinien. Das Verfahren sollte Beschäftigte unterstützen und nicht unnötig private Wohnverhältnisse dokumentieren.
Wohnungsbesichtigungen sind kein selbstverständliches Kontrollinstrument. Eine Vertragsklausel allein rechtfertigt keinen beliebigen Zutritt und löst die Rechte anderer Bewohner nicht auf. Bevor überhaupt ein konkreter Besuch erwogen wird, prüfen Sie weniger eingriffsintensive Nachweise und die rechtlichen Voraussetzungen des Einzelfalls. Häufig lassen sich Geräteeinstellungen zentral prüfen oder Arbeitsbedingungen durch eine gezielte Selbstauskunft klären, ohne Bilder privater Räume zu sammeln.
Bei Aufgabenwechsel, Geräteersatz und Ausscheiden müssen Zugriffe angepasst, Arbeitsmittel zurückgegeben und verbleibende Kopien behandelt werden. Das Löschkonzept für personenbezogene Daten sollte auch zulässige lokale Ablagen und Sicherungen erfassen. Gesetzliche Aufbewahrungspflichten rechtfertigen nicht, dass ehemalige Beschäftigte beliebige Kopien behalten. Prüfen Sie abschließend, ob dienstliche Daten tatsächlich in die kontrollierten Systeme zurückgeführt wurden und bisherige Berechtigungen beendet sind.