Bring Your Own Device (BYOD)
BYOD bezeichnet die dienstliche Nutzung privater Endgeräte wie Smartphones, Tablets oder Notebooks, bei der die Verantwortung für den Schutz personenbezogener Daten trotz fehlender Gerätehoheit beim Unternehmen verbleibt.
Bring Your Own Device (BYOD) beschreibt Konstellationen, in denen Beschäftigte eigene, privat beschaffte Endgeräte für dienstliche Zwecke einsetzen — vom Abruf von E-Mails auf dem privaten Smartphone bis zur Bearbeitung von Kundendaten auf dem eigenen Notebook. Datenschutzrechtlich ändert das nichts an der Rollenverteilung: Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO bleibt der Arbeitgeber, weil er über Zwecke und Mittel der Verarbeitung entscheidet. Er muss daher nach Art. 24 und Art. 32 DSGVO ein angemessenes Schutzniveau sicherstellen, obwohl ihm die technische und rechtliche Hoheit über das Gerät fehlt. Genau dieser Widerspruch — Verantwortung ohne Kontrolle — macht BYOD zu einem der schwierigsten Themen im betrieblichen Datenschutz.
Die typischen Risiken sind gut beschreibbar: Vermischung privater und dienstlicher Daten auf demselben Speicher, unkontrollierte Backups in private Cloud-Konten, veraltete Betriebssystemstände ohne Sicherheitsupdates, Zugriff durch Familienangehörige, parallel installierte Apps mit weitreichenden Berechtigungen sowie Verlust oder Diebstahl des Geräts. Hinzu kommen Löschprobleme: Scheidet eine Person aus oder muss ein Auskunfts- oder Löschverlangen nach Art. 15 bzw. Art. 17 DSGVO erfüllt werden, hat das Unternehmen ohne technische Trennung kaum eine belastbare Möglichkeit, dienstliche Daten aufzufinden oder rückstandsfrei zu entfernen. Ein Zugriff auf das Privatgerät zu Kontrollzwecken ist seinerseits ein Eingriff in die Rechte der Beschäftigten und nicht ohne Weiteres zulässig.
Rechtssicher wird BYOD nur durch ein Bündel aus Regelung und Technik. Erforderlich sind eine schriftliche BYOD-Richtlinie oder Betriebsvereinbarung, eine klare Rechtsgrundlage für die Verarbeitung von Beschäftigtendaten, eine Container- oder Mobile-Device-Management-Lösung, die dienstliche Daten kryptografisch vom privaten Bereich trennt und ein selektives Remote-Wipe ermöglicht, Mindestanforderungen an Gerätesperre, Verschlüsselung und Patchstand sowie definierte Melde- und Rückgabepflichten bei Verlust oder Ausscheiden. Die Maßnahmen sind als technische und organisatorische Maßnahmen nach Art. 32 DSGVO zu dokumentieren und im Verarbeitungsverzeichnis abzubilden; bei sensiblen Datenbeständen kann zusätzlich eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO angezeigt sein. Wo diese Bausteine nicht umsetzbar sind, ist die Ausgabe dienstlicher Geräte (COPE/COBO) der sicherere Weg — BYOD ist kein Sparmodell, sondern eine bewusst zu steuernde Risikoentscheidung.
Rechtliche Grundlage
Art. 24, Art. 25, Art. 32 DSGVO; Art. 5 Abs. 1 lit. f DSGVO; Art. 88 DSGVO i. V. m. § 26 BDSG
Praxisbeispiel
Ein mittelständischer Dienstleister erlaubt dem Vertrieb, dienstliche E-Mails und das CRM auf privaten Smartphones zu nutzen. Die Datenschutzbeauftragte stellt bei einer Prüfung fest, dass Kontaktdaten von Kundinnen und Kunden über die Geräte-Backups in private Cloud-Konten synchronisiert werden. Sie stoppt die bisherige Praxis und lässt eine Container-Lösung ausrollen: Dienstliche Anwendungen laufen in einem verschlüsselten Arbeitsbereich ohne Backup in den Privatspeicher, mit erzwungener PIN, Mindest-OS-Version und selektivem Remote-Wipe nur für den Container. Parallel wird mit dem Betriebsrat eine Vereinbarung geschlossen, die den Verzicht auf Standort- und Nutzungsauswertungen sowie das Verfahren bei Geräteverlust festhält. Die Maßnahmen fließen in das Verarbeitungsverzeichnis und die TOM-Dokumentation ein; Beschäftigte bestätigen die Richtlinie vor Freischaltung des Containers.
Häufige Fragen
So unterstützt preeco Sie
Erfahren Sie, wie unsere Software Sie bei diesem Thema unterstützt.
Mehr erfahren