Eine Homeoffice-Datenschutz-Richtlinie übersetzt die Datenschutzanforderungen in verständliche Regeln für das Arbeiten außerhalb des Büros. Sie beschreibt, welche Arbeitsplätze, Geräte und Anwendungen zugelassen sind, wie Unterlagen geschützt werden und an wen Beschäftigte einen Vorfall melden. Die Richtlinie allein stellt jedoch kein angemessenes Schutzniveau her. Die Organisation muss geeignete Technik, Unterstützung und realistische Arbeitsabläufe bereitstellen.
Artikel 32 DSGVO gilt auch im Homeoffice und verlangt eine dem Risiko angemessene Sicherheit. Daraus folgt keine ausnahmslose gesetzliche Pflicht zu einem bestimmten VPN, einem bestimmten MDM-Produkt oder einem abschließbaren eigenen Arbeitszimmer. Welche Maßnahmen erforderlich sind, hängt von Daten, Zugriffsmöglichkeiten und Arbeitsumgebung ab. Das folgende Arbeitsmuster dient zur Anpassung; es ist keine vollständige arbeitsrechtliche Vereinbarung und keine Garantie der Rechtmäßigkeit jeder Heimarbeit.
Geltungsbereich zuerst festlegen
Homeoffice ist ein gebräuchlicher Sammelbegriff, während die Arbeitsstättenverordnung in § 2 Absatz 7 Telearbeitsplätze konkret definiert. Dazu gehören unter anderem vom Arbeitgeber fest eingerichtete Bildschirmarbeitsplätze im Privatbereich mit vereinbarten Rahmenbedingungen. Nicht jede gelegentliche Arbeit am heimischen Laptop fällt automatisch darunter. Datenschutz-, Arbeitszeit- und Arbeitsschutzfragen müssen deshalb jeweils in ihrem eigenen Anwendungsbereich betrachtet werden.
Für die Richtlinie ist eine verständliche betriebliche Abgrenzung sinnvoll. Erlauben Sie nur Arbeit an einem vereinbarten häuslichen Ort oder auch im Hotel, im Zug und in anderen Ländern? Welche Tätigkeiten sind zugelassen? Personalgespräche, medizinische Auswertungen und gewöhnliche Terminorganisation können unterschiedliche Schutzanforderungen haben. Eine pauschale Freigabe aller Aufgaben an jedem Ort erschwert später sowohl die Unterweisung als auch die Kontrolle.
Der allgemeine Leitfaden zum Datenschutz im Homeoffice erläutert den Zusammenhang. Diese Seite konzentriert sich auf die konkrete betriebliche Regelung. Sie sollte mit den Arbeitsvereinbarungen und den allgemeinen IT-Nutzungsregeln übereinstimmen. Ein Verbot privater Cloudspeicher bleibt beispielsweise unglaubwürdig, wenn Beschäftigte ohne funktionierenden dienstlichen Übermittlungsweg regelmäßig große Dateien austauschen müssen.
Kurzes Arbeitsmuster für die Richtlinie
Nutzen Sie das Muster als Gliederung für eine angepasste Fassung. Die Platzhalter müssen ausgefüllt und die einzelnen Vorgaben mit den tatsächlich bereitgestellten Mitteln abgeglichen werden. Aussagen über zulässige Kontrollmaßnahmen gehören zusätzlich in eine rechtliche Prüfung. Eine Kenntnisnahme durch Beschäftigte darf nicht als pauschale Einwilligung in unbestimmte Überwachung verstanden werden.
DATENSCHUTZ-RICHTLINIE FÜR HOMEOFFICE
Geltung: [Personen, Tätigkeiten, erlaubte Arbeitsorte]
Verantwortung: [fachlicher Eigentümer, IT, Datenschutzkontakt]
Arbeitsmittel: [freigegebene Geräte, Programme und Speicherorte]
Zugriff: [Authentisierung und vorgesehener sicherer Zugang]
Arbeitsplatz: [Schutz vor Einblick, Mithören und Fremdzugriff]
Papier: [zulässige Ausdrucke, Aufbewahrung, Rückgabe/Vernichtung]
Kommunikation: [freigegebene Kanäle und Empfängerprüfung]
Vorfälle: [sofort erreichbarer Meldeweg und Vertretung]
Unterstützung: [Kontakt bei technischen Hindernissen]
Kontrolle: [konkret geprüfte Zwecke, Daten, Zugriffe, Grenzen]
Beendigung: [Rückgabe, Zugangsentzug, lokale Kopien]
Version, Freigabe und Bekanntgabe: [Datum und Verfahren]
Eine gute Regel erklärt neben dem geforderten Verhalten auch den erlaubten Ausweg. Wer zu Hause keinen vertraulichen Gesprächsbereich herstellen kann, braucht einen alternativen Arbeitsplatz oder eine andere Aufgabenverteilung. Wer vertrauliche Unterlagen nicht sicher vernichten kann, benötigt einen geregelten Rücktransport. Ohne solche Möglichkeiten erzeugt eine strenge Richtlinie vor allem Ausnahmen, die später niemand mehr überblickt.
Rechtsgrundlagen und Verantwortlichkeiten trennen
Die Datenverarbeitung für Kunden, Patienten oder Bürger behält ihre jeweiligen Rechtsgrundlagen, wenn Beschäftigte sie von zu Hause aus ausführen. § 26 BDSG macht diese fremden Daten nicht zu Beschäftigtendaten und legitimiert ihre Verarbeitung nicht pauschal. Für Daten, die der Arbeitgeber über Beschäftigte selbst verarbeitet, ist unter anderem § 26 BDSG zusammen mit den unionsrechtlichen Anforderungen zu prüfen.
Auch Artikel 6 Absatz 1 Buchstabe b ist kein allgemeiner Auffangtatbestand für jede Software im Arbeitsverhältnis. Die Verarbeitung muss für den betreffenden Vertrag mit der betroffenen Person erforderlich sein. Ein Sicherheitsinteresse rechtfertigt ebenfalls nicht automatisch jede denkbare Kontrolle. Bestimmen Sie für einzelne Verarbeitungsvorgänge Zweck, Erforderlichkeit und Rechtsgrundlage und prüfen Sie zusätzliche Schranken, etwa bei besonderen Kategorien personenbezogener Daten.
Die Fachabteilung legt fest, welche Arbeit außerhalb des Büros erforderlich ist. Die IT stellt den freigegebenen Zugang bereit, die Leitung verantwortet die Entscheidung und der Datenschutzbeauftragte berät, soweit ein solcher benannt ist. Beschäftigte müssen Anweisungen befolgen und Probleme melden können. Die Organisation darf die gesamte Sicherheitsverantwortung jedoch nicht mit einer unterschriebenen Erklärung auf sie abwälzen.
Geräte und Speicherung passend auswählen
Verwaltete Dienstgeräte erleichtern eine einheitliche Konfiguration, klare Zuständigkeiten und die Rückgabe. Prüfen Sie dabei Updates, Verschlüsselung, Benutzerrechte und Wiederherstellung. Die Bezeichnung Dienstgerät beweist noch keinen ausreichenden Schutz. Ein alter Laptop ohne Sicherheitsaktualisierungen oder ein gemeinsam benutztes Familienkonto kann die vorgesehenen Maßnahmen unterlaufen. Für jedes erlaubte Gerät sollte nachvollziehbar sein, wer seinen Zustand verantwortet.
Private Geräte können zusätzliche Risiken für dienstliche und private Informationen schaffen. Bevor BYOD zugelassen wird, muss die Organisation unter anderem Datentrennung, Zugriffsschutz, Sicherungen, Unterstützung und Beendigung bewerten. Ein vollständiges privates Geräteinventar oder eine Fernlöschung sämtlicher Inhalte darf nicht allein mit dem Wunsch nach Sicherheit begründet werden. Die deutsche BYOD-Richtlinie hilft, diese Entscheidung systematisch vorzubereiten.
Regeln Sie, ob lokale Speicherung überhaupt benötigt wird. Bei einer ausschließlich serverseitigen Bearbeitung sollten auch Downloads, Druckfunktionen und Zwischenablagen betrachtet werden. Bei erforderlicher Offlinearbeit ist zu klären, welche Daten verfügbar sind und wie sie nach der Synchronisierung entfernt werden. Ein Verbot lokaler Dateien bleibt wirkungslos, wenn die eingesetzte Anwendung automatisch Anhänge in einem gewöhnlichen Downloadverzeichnis ablegt.
Sichere Zugänge ohne pauschale Technikversprechen
Der Zugang zu internen Systemen und der Zugriff auf eine abgesicherte Cloudanwendung können unterschiedlich gestaltet sein. Entscheidend sind sichere Authentisierung, geschützte Übertragung, geeignete Endgeräte und begrenzte Berechtigungen. Ein VPN kann eine wichtige Maßnahme sein, ist aber nicht automatisch für jeden Zugriff die einzige rechtmäßige Lösung. Die Richtlinie sollte den tatsächlich vorgesehenen Zugang benennen und alternative unsichere Wege ausschließen.
Erklären Sie, wie Beschäftigte mit fehlgeschlagenen Anmeldungen und Sicherheitsabfragen umgehen. Das Teilen von Passwörtern oder das Weiterleiten eines Bestätigungscodes an eine vermeintliche IT-Hotline kann Schutzmaßnahmen zunichtemachen. Ein klarer Rückrufweg und erreichbarer Support helfen hier mehr als eine abstrakte Aufforderung zur Vorsicht. Für detaillierte Vorgaben eignet sich eine abgestimmte Passwort- und Authentisierungsrichtlinie.
Das private WLAN und andere genutzte Netze gehören in die Betrachtung, ohne Beschäftigte zu ungeprüften Netzwerkadministratoren zu machen. Geben Sie verständliche Anforderungen und Hilfe für die erlaubten Szenarien. Bei fremden oder öffentlichen Netzen muss die Organisation beurteilen, ob der vorgesehene Zugang ausreichend geschützt ist. Der bloße Name eines Netzes und die Anzeige eines Schlosses beweisen nicht, dass sämtliche Risiken beherrscht sind.
Bildschirm, Gespräche und gemeinsamer Haushalt
Der Arbeitsplatz muss den Schutz der konkret bearbeiteten Daten ermöglichen. Ein separates Zimmer kann hilfreich sein, ist aber nicht bei jeder Tätigkeit die einzige Lösung. Prüfen Sie Sichtlinien, Mithörmöglichkeiten und die Nutzung gemeinsam zugänglicher Flächen. Eine automatische Bildschirmsperre wirkt nur, wenn auch kurze Abwesenheiten berücksichtigt sind und keine andere Person die Sitzung unter demselben Benutzerkonto fortsetzt.
Bei vertraulichen Telefonaten reicht ein Headset nicht aus, wenn die eigene Stimme im gemeinsamen Raum hörbar bleibt. Planen Sie solche Gespräche für einen geeigneten Ort oder nutzen Sie eine alternative organisatorische Lösung. Für Videokonferenzen sollten Unterlagen und Bildschirme im Hintergrund geschützt werden. Ein unscharfer Kamerahintergrund verhindert keine versehentliche Bildschirmfreigabe und schützt keine offen liegende Papierakte neben dem Arbeitsplatz.
Ein hypothetisches Beispiel: Eine Beschäftigte bearbeitet Personalakten am gemeinsamen Esstisch. Während andere Haushaltsmitglieder anwesend sind, sind vertrauliche Gespräche und offene Akten dort ungeeignet. Die Lösung kann ein anderer Arbeitszeitpunkt, ein geschützter Platz oder die Bearbeitung dieser Aufgabe im Büro sein. Eine bloße Selbstverpflichtung, die niemand unter den gegebenen Bedingungen einhalten kann, ersetzt diese Entscheidung nicht.
Papierunterlagen über ihren gesamten Weg schützen
Legen Sie fest, welche Unterlagen mitgenommen oder zu Hause ausgedruckt werden dürfen. Manche Tätigkeiten lassen sich ohne Papier erledigen; andere benötigen vorübergehend Originale oder lesbare Arbeitskopien. Entscheiden Sie dies nach Bedarf und Risiko. Ein allgemeines Druckverbot ist keine sinnvolle Regel, wenn der genehmigte Prozess an einer späteren Stelle ausdrücklich einen Ausdruck voraussetzt.
Transport, Aufbewahrung und Rückgabe müssen zusammenpassen. Unterlagen sollten so befördert werden, dass Unbefugte keinen einfachen Einblick oder Zugriff erhalten. Am Heimarbeitsplatz benötigen sie einen geeigneten geschützten Aufbewahrungsort. Bei gemeinschaftlich genutzten Druckern ist außerdem zu prüfen, ob Dokumente im Ausgabefach verbleiben oder Aufträge von anderen Personen gesehen werden können. Vertrauliche Notizen gehören ebenfalls in dieses Verfahren.
Für die Vernichtung sollte ein vom Arbeitgeber bestimmter sicherer Weg bestehen. Der gewöhnliche Hausmüll ist für personenbezogene Arbeitsunterlagen regelmäßig ungeeignet. Ob ein bereitgestellter Aktenvernichter oder die Rückgabe in einem geschützten Behältnis angemessen ist, hängt vom Material und Schutzbedarf ab. Dokumentieren Sie den Ablauf in den technischen und organisatorischen Maßnahmen, ohne Beschäftigte zu einer eigenen unkontrollierten Entsorgungsroutine zu drängen.
Kommunikation und Freigaben im Alltag
Private E-Mail-Konten und nicht freigegebene Nachrichtendienste sollten nicht zum Ersatz für fehlende dienstliche Funktionen werden. Stellen Sie einen geeigneten Weg für Dateien, Rückfragen und externe Zusammenarbeit bereit. Prüfen Sie bei Freigabelinks Empfängerkreis, Berechtigungen und Ablauf. Ein Link, der trotz vertraulicher Inhalte für jeden Besitzer geöffnet werden kann, kann den vorgesehenen Zugriffsschutz aufheben.
Beschreiben Sie die Empfängerprüfung anhand häufiger Aufgaben. Bei einer Nachricht an mehrere Personen können Adressvorschläge leicht die falsche Person auswählen. Bei einem Anhang sollte überprüft werden, ob er nur die erforderlichen Daten enthält. Solche konkreten Handlungsschritte sind verständlicher als eine allgemeine Forderung, sämtliche personenbezogenen Daten stets vertraulich zu behandeln. Sie lassen sich außerdem in kurzen Unterweisungen mit ungefährlichen Beispielen üben.
Sprachassistenten, private Synchronisierungsdienste und automatische Transkription können weitere Empfänger oder Speicherorte einführen. Die Richtlinie sollte den Umgang mit solchen Funktionen regeln, wenn sie im zugelassenen Arbeitsumfeld relevant sind. Eine neue Konferenzfunktion darf nicht allein deshalb aktiviert werden, weil sie technisch verfügbar ist. Aufzeichnung und Transkription benötigen eine eigene Prüfung von Zweck, Rechtsgrundlage, Information und Löschung.
Kontrollmaßnahmen und Schutz der Privatwohnung
Die Zulassung von Homeoffice ist keine pauschale Erlaubnis zur Kontrolle privater Räume oder Geräte. Ein Zutritt zur Wohnung muss auf einer tragfähigen Vereinbarung beziehungsweise Rechtsgrundlage beruhen und die konkreten Umstände berücksichtigen. Eine unterzeichnete Standardklausel erlaubt keinen beliebigen unangekündigten Besuch. Soweit ein Kontrollziel mit weniger eingreifenden Mitteln erreicht werden kann, sollte dieser Weg geprüft werden.
Auch ein Videoanruf zur Arbeitsplatzkontrolle kann private Informationen über Haushaltsmitglieder oder die Wohnung offenlegen. Beschränken Sie Kontrollen auf das erforderliche Ziel. Eine schriftliche Erklärung zu einem bestimmten Schutzmerkmal, eine begrenzte technische Konfigurationsprüfung oder die Bereitstellung geeigneter Arbeitsmittel kann je nach Fall ausreichen. Der Arbeitgeber muss den Nachweis organisieren, ohne daraus eine allgemeine Beobachtung des Privatlebens abzuleiten.
Technische Sicherheitsprotokolle und Leistungsüberwachung sind nicht gleichzusetzen. Die Regeln zur betrieblichen Überwachungssoftware unterstützen eine gesonderte Prüfung. Besteht ein Betriebsrat, sind insbesondere die einschlägigen Tatbestände des § 87 BetrVG zu beachten. Eine Betriebsvereinbarung ersetzt die Prüfung der DSGVO-Anforderungen nicht; bei öffentlichen Arbeitgebern gelten entsprechende Fragen nach dem jeweiligen Personalvertretungsrecht.
Vorfälle: sofort melden und rechtlich richtig bewerten
Beschäftigte benötigen einen klaren, erreichbaren Meldeweg für Geräteverlust, fehlgeleitete Nachrichten, auffällige Anmeldungen oder verlorene Unterlagen. Die Meldung darf nicht davon abhängen, dass sie selbst bereits eine Datenschutzverletzung rechtlich festgestellt haben. Ein einfacher Eingang bei IT oder einer bestimmten internen Stelle ermöglicht schnelle Sicherung und Weiterleitung. Die alleinige Nachricht an eine zufällig abwesende Person ist kein verlässlicher Prozess.
Die Organisation prüft, ob eine Verletzung des Schutzes personenbezogener Daten vorliegt und welche Folgen zu erwarten sind. Bei einer solchen Verletzung verlangt Artikel 33 die Meldung an die zuständige Aufsicht unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für Rechte und Freiheiten. Bei späterer Meldung sind Gründe anzugeben. Die Frist ist keine frei wählbare Bearbeitungszielmarke.
Jede Datenschutzverletzung wird nach Artikel 33 Absatz 5 dokumentiert. Die Benachrichtigung betroffener Personen bei voraussichtlich hohem Risiko nach Artikel 34 ist eine getrennte Entscheidung. Ein verschlüsselter verlorener Laptop kann ein anderes Risiko darstellen als eine offene Sitzung mit erreichbaren Schlüsseln. Prüfen Sie den tatsächlichen Zustand und bewahren Sie verfügbare Nachweise. Die Vorlage für die Datenpannenmeldung unterstützt die erforderliche Zusammenstellung.
Ausnahmen und technische Hindernisse behandeln
Ein hypothetischer Beschäftigter kann wegen einer defekten sicheren Verbindung keine dringende Akte öffnen. Die Richtlinie sollte erklären, wen er erreicht und welche Übergangslösung freigegeben werden darf. Eine private Kopie per E-Mail ist nicht schon deshalb zulässig, weil eine Frist drängt. Möglicherweise kann eine andere berechtigte Person den Vorgang bearbeiten oder der Zugriff an einem geeigneten Arbeitsplatz erfolgen.
Für wiederkehrende Ausnahmen braucht es eine Ursachenanalyse. Wenn Beschäftigte regelmäßig Ausdrucke privat einscannen müssen, weil ein freigegebener Dienst fehlt, liegt das Problem möglicherweise im Prozess. Halten Sie Ausnahmegrund, Umfang, verantwortliche Freigabe und Ende fest. Dauerhafte Abweichungen sollten entweder in eine neu geprüfte Standardlösung übergehen oder beendet werden. Ein unbegrenzt geltender Ausnahmevermerk ist keine wirksame Steuerung.
Berücksichtigen Sie außerdem Barrierefreiheit und individuelle Arbeitsbedingungen. Eine Sicherheitsmaßnahme, die eine Person praktisch nicht bedienen kann, kann zu unsicheren Umgehungen führen. Prüfen Sie geeignete Alternativen gemeinsam mit den zuständigen Stellen, ohne unnötige Gesundheitsdaten in einem allgemeinen IT-Ticket zu sammeln. Das Schutzmaß muss in der konkreten Arbeitssituation funktionieren und darf nicht allein auf dem Papier als erfüllt gelten.
Bekanntgabe, Einweisung und Änderungen
Eine dokumentierte Kenntnisnahme kann belegen, welche Fassung bekanntgegeben wurde. Sie beweist nicht allein, dass die Regeln verstanden und umgesetzt sind. Verbinden Sie die Richtlinie mit einer kurzen praktischen Einweisung: sicher anmelden, Bildschirm sperren, Unterlagen zurückgeben und einen Vorfall melden. Die Datenschutzschulung für Beschäftigte kann diese Situationen in nachvollziehbare Lernaufgaben übersetzen.
Bei Änderungen muss erkennbar sein, was sich für Beschäftigte konkret ändert. Eine neue Freigabefunktion, eine andere Authentisierung oder ein erweitertes Protokoll kann zusätzliche Information und Prüfung erfordern. Bewahren Sie die gültige Fassung mit Freigabe und Zuständigkeit auf. Ein Link auf eine laufend überschriebene Datei ohne Versionsstand erschwert es, später den damaligen Regelungsinhalt zu rekonstruieren.
Bei Beendigung des Homeoffice oder des Arbeitsverhältnisses werden Geräte, Unterlagen und Zugänge nach einem abgestimmten Verfahren behandelt. Prüfen Sie lokale Kopien, gespeicherte Tokens und dienstliche Daten in zugelassenen privaten Umgebungen. Eine Rückgabe des Laptops allein erfasst diese möglichen Reste nicht. Die verantwortliche Person sollte den Abschluss nachvollziehen können, ohne private Inhalte pauschal zu durchsuchen oder aufzubewahren.
Bearbeitungsstand: 29. September 2026. Maßgebliche Rechtsquellen sind die DSGVO, die oben verlinkten nationalen Vorschriften und gegebenenfalls einschlägiges Fachrecht. Die vorgeschlagenen Arbeitsabläufe sind organisatorische Empfehlungen, die auf die tatsächlichen Tätigkeiten und Risiken zugeschnitten werden müssen.