Datenschutz im Homeoffice

Die DSGVO kennt keinen eigenen Tatbestand für das Homeoffice: Der Arbeitgeber bleibt auch dann Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO, wenn die Verarbeitung an einem Küchentisch stattfindet. Beschäftigte werden nicht zu Auftragsverarbeitern, sondern handeln als weisungsgebundene Personen nach Art. 29 und Art. 32 Abs. 4 DSGVO; ein Auftragsverarbeitungsvertrag ist deshalb weder nötig noch zulässig. Arbeitsrechtlich ist zwischen zwei Formen zu unterscheiden, weil sich daran unterschiedliche Pflichten knüpfen: Der Telearbeitsplatz ist nach § 2 Abs. 7 ArbStättV ein vom Arbeitgeber fest im Privatbereich eingerichteter Bildschirmarbeitsplatz mit vereinbarter Dauer und wöchentlicher Arbeitszeit und unterliegt dem Anhang Nr. 6 der Arbeitsstättenverordnung. Mobiles Arbeiten – im Zug, im Hotel, zeitweise zu Hause – fällt nicht unter die ArbStättV, wohl aber vollständig unter die datenschutzrechtlichen Anforderungen. Für den Datenschutz ist die Unterscheidung nachrangig, für die Risikobetrachtung nicht: Je wechselnder der Arbeitsort, desto höher das Risiko der unbefugten Kenntnisnahme und des Geräteverlusts.

Technisch verlangt Art. 32 Abs. 1 DSGVO ein dem Risiko angemessenes Schutzniveau, das die Verfügbarkeit, Integrität und vor allem die Vertraulichkeit der Daten außerhalb der kontrollierten Büroumgebung erhält. Zum Standard gehören heute die vollständige Festplattenverschlüsselung der Endgeräte, ein verschlüsselter Fernzugriff über VPN oder ein Zero-Trust-Konzept, Mehr-Faktor-Authentifizierung, zentral verwaltete Geräte über Mobile Device Management mit erzwungener Bildschirmsperre und Fernlöschmöglichkeit, aktuelle Patchstände sowie die Speicherung ausschließlich auf Unternehmenssystemen statt auf lokalen oder privaten Cloud-Ablagen. Der private Router und das WLAN sind Teil der Angriffsfläche und sollten über Mindestvorgaben – WPA2 oder WPA3, geändertes Standardpasswort, aktuelle Firmware – abgedeckt werden. Häufig unterschätzt wird die analoge Seite: Ausdrucke, Notizen und Aktenordner brauchen einen verschließbaren Aufbewahrungsort, eine Regelung zum Transport und eine Vernichtung nach DIN 66399 statt im Hausmüll. Blickschutzfolien, die Positionierung des Bildschirms, das Verbot der Nutzung durch Familienangehörige und der bewusste Umgang mit Sprachassistenten und Videokonferenzen im Wohnraum runden das Bild ab. Der BSI IT-Grundschutz liefert mit den Bausteinen OPS.1.2.4 (Telearbeit), INF.8 (Häuslicher Arbeitsplatz) und INF.9 (Mobiler Arbeitsplatz) eine belastbare Maßnahmenliste.

Organisatorisch trägt der Verantwortliche die Rechenschaftspflicht aus Art. 5 Abs. 2 und Art. 24 DSGVO: Die Maßnahmen müssen nicht nur wirken, sondern nachweisbar sein. Dazu gehören eine schriftliche Homeoffice- oder Mobile-Work-Richtlinie mit klaren Regeln zu Gerätenutzung, Datenablage, Papierunterlagen und Meldewegen, die Verpflichtung der Beschäftigten auf Vertraulichkeit, wiederkehrende Schulungen sowie die Aufnahme des Homeoffice-Szenarios in die Beschreibung der technischen und organisatorischen Maßnahmen zum Verzeichnis von Verarbeitungstätigkeiten. Art. 32 Abs. 1 lit. d DSGVO verlangt eine regelmäßige Überprüfung der Wirksamkeit – diese stößt in der Privatwohnung an eine verfassungsrechtliche Grenze, denn Art. 13 GG schützt die Unverletzlichkeit der Wohnung. Ein Zutritts- und Kontrollrecht besteht nur, soweit es individual- oder kollektivvertraglich vereinbart und mit Ankündigung ausgeübt wird; praktikabler sind Selbstauskünfte, Checklisten und technische Nachweise aus dem Geräte-Management. Zu beachten ist außerdem die Mitbestimmung des Betriebsrats: § 87 Abs. 1 Nr. 14 BetrVG erfasst die Ausgestaltung mobiler Arbeit, § 87 Abs. 1 Nr. 6 BetrVG jede technische Einrichtung, die zur Verhaltens- oder Leistungskontrolle geeignet ist – was auf Monitoring-, Anwesenheits- und Produktivitätswerkzeuge regelmäßig zutrifft. Für die Verarbeitung von Beschäftigtendaten selbst bleibt § 26 BDSG maßgeblich; ein eigenständiges Beschäftigtendatengesetz ist mehrfach angekündigt, aber bislang nicht in Kraft getreten.