Durch die bundesweit auferlegten Beschr\u00e4nkungen waren und sind viele Unternehmen gezwungen kurzfristig auf Home Office und mobiles Arbeiten ihrer Mitarbeiter umzustellen. Dazu m\u00fcssen Arbeitgeber nicht nur IT-Strukturen und entsprechende Software implementieren, sondern sich auch den datenschutzrechtlichen Herausforderungen stellen. Die Pflichten f\u00fcr die strukturelle Einhaltung der datenschutzrechtlichen Vorgaben liegen beim Arbeitgeber \u2013 aber der Arbeitnehmer muss die Vorgaben umsetzen, ebenso wie bei T\u00e4tigkeiten im B\u00fcro. Der Artikel gibt einen ersten Einblick in relevante Ma\u00dfnahmen zum effektiven Einsatz und der Absicherung des Home Office.<\/p>\n
Unternehmerische Risiken im Home Office <\/strong><\/p>\n Ein Datenmissbrauch oder der unbefugte Zugriff Dritter ist bei der Verarbeitung personenbezogener Daten au\u00dferhalb der Betriebsr\u00e4ume leichter m\u00f6glich. Viele IT-Sicherheitsma\u00dfnahmen, die das Unternehmen im Betrieb bereits installiert hat, k\u00f6nnen nicht ohne Weiteres ins Home Office \u00fcbertragen werden. Zus\u00e4tzlich besteht die Gefahr, dass der Arbeitgeber, der weiterhin Verantwortlicher der Daten bleibt, den Zugriff und die Kontrolle \u00fcber diese verliert, und die \u00dcberpr\u00fcfung der Einhaltung der datenschutzrechtlichen Vorgaben nicht m\u00f6glich ist.<\/p>\n Ist ein Sicherheitsvorfall eingetreten, m\u00fcssen Mitarbeiter entsprechend geschult sein, dass der Vorfall zeitnah an den Arbeitgeber zu melden ist, so dass er weitere Ma\u00dfnahmen zur Schadensbegrenzung einleiten kann und seiner Meldepflicht nach Art. 33 DSGVO nachkommen kann.<\/p>\n Datenschutzrechtliche Vorgaben<\/strong><\/p>\n Der Arbeitgeber muss zum Schutz der im Unternehmen verarbeiteten Daten geeignete technische und organisatorische Ma\u00dfnahmen treffen, die ein ausreichendes Schutzniveau der Daten gew\u00e4hrleisten (Art. 32 Abs. 1 DSGVO). Dazu sind die Daten und deren \u00dcbermittlung zwischen Unternehmensnetzwerk und Heimarbeitsger\u00e4t zu verschl\u00fcsseln, was insbesondere \u00fcber einen VPN-Client erfolgen kann. Ebenso sollte eine Verschl\u00fcsselung der eingesetzten Datentr\u00e4ger, wie eine Festplattenverschl\u00fcsselung der Laptops genutzt werden. Die Nutzung privater Endger\u00e4te der Mitarbeiter ist zu vermeiden, damit die Implementierung technischer Vorgaben (z.B. L\u00f6schregeln oder Berechtigungskonzepte) durch den Arbeitgeber erfolgen kann und die Verantwortung f\u00fcr die Einrichtung nicht in den H\u00e4nden des Arbeitnehmers verbleibt.<\/p>\n Als organisatorische Ma\u00dfnahme sollte grunds\u00e4tzlich eine \u201eHome Office Richtlinie\u201c eingesetzt werden, die als allgemeine Arbeitsanweisung im Unternehmen ausgerollt werden kann und Handlungsvorgaben gibt (z.B. zum Verschlie\u00dfen der Arbeitsger\u00e4te bei Nicht-Nutzung, keine Arbeit am K\u00fcchentisch usw.). Erg\u00e4nzend sollte mit jedem einzelnen Mitarbeiter, der im Home Office arbeitet, ein schriftlicher Zusatz mit Pflichten vereinbart werden, zu dem z.B. die Einr\u00e4umung von Kontrollrechten bzgl. der Schutzma\u00dfnahmen vereinbart wird.<\/p>\n Handlungsempfehlungen f\u00fcr Arbeitgeber <\/strong><\/p>\n Arbeitgeber sollten \u2013 wenn noch nicht geschehen \u2013die Einhaltung der datenschutzrechtlichen Vorgaben \u00fcberpr\u00fcfen und ihre Mitarbeiter schulen. Die Sensibilisierung der Arbeitnehmer und Vereinbarung einer \u201eHome Office Richtlinie\u201c ist dringend zu empfehlen, sodass der Arbeitgeber, trotz Kontrollverlust, sicher sein kann, dass der Schutz der Daten bestm\u00f6glich gew\u00e4hrleistet wird. So sind Mitarbeiter anzuweisen, die verwendeten Ger\u00e4te so aufzustellen, dass der Zugriff Dritter ausgeschlossen ist und das Ger\u00e4t unter keinen Umst\u00e4nden von anderen Mitgliedern des Haushaltes genutzt wird. Der Arbeitgeber muss ferner sicherstellen, dass die Arbeitsmittel verschl\u00fcsselt sind und Mitarbeiter verpflichtet werden, im Falle einer Datenpanne den Vorfall unverz\u00fcglich an das Unternehmen zu melden.<\/p>\n Als vorbereitenden Ma\u00dfnahmen sollten Arbeitnehmer, die im Home Office Daten verarbeiten, zus\u00e4tzlich angewiesen werden, die ihnen zur Verf\u00fcgung gestellten Ger\u00e4te nicht privat zu verwenden, um zu vermeiden, dass unwissentlich sch\u00e4dliche Software auf die Ger\u00e4te gelangt. Zus\u00e4tzlich m\u00fcssen alle verwendeten Ger\u00e4te und Datentr\u00e4ger entsprechend verschl\u00fcsselt werden und z.B. ein VPN-Client verwendet werden. Festplattenverschl\u00fcsselung sollte vorgesehen und ggf. nachtr\u00e4glich noch eingebaut werden.<\/p>\n