Datenschutz im Homeoffice

Information an Mitarbeiter

Meine Mitarbeiter arbeiten im Homeoffice. Sollte ich von ihnen ein zusätzliches Dokument unterschreiben lassen?

Auch im Homeoffice ist wichtig, dass ihre Mitarbeiter datenschutzrechtliche Vorgaben einhalten. Es ist daher empfehlenswert, dass sie diese für das Homeoffice in einem Dokument zusammenfassen - entweder als Zusatz zum Arbeitsvertrag oder als Richtlinie. Sprechen Sie uns gern an. Wir stellen Ihnen unser Muster-Dokument zur Verfügung.

Ist ein Zusatz zum Arbeitsvertrag notwendig, wenn meine Mitarbeiter jetzt im Homeoffice arbeiten?

Nein, sie können diese Pflichten auch in einer Richtlinie für Ihre Mitarbeiter zusammenfassen.

Ich habe bereits eine Homeoffice-Vereinbarungen mit meinen Mitarbeitern. Reicht das?

Nein, zusätzlich sollten Sie die Besonderheiten des Homeoffice auch in die Datenschutz-Schulung Ihrer Mitarbeiter aufnehmen. Diese müssen Sie ohnehin regelmäßig wiederholen. In der Schulung von heyData findet sich schon ein Abschnitt zum Homeoffice.

Arbeiten im Homeoffice

Unsere Mitarbeiter drucken auch im Homeoffice viele Dokumente aus. Wie sollen sie sie entsorgen?

Dokumente, die personenbezogene Daten enthalten, sollten nicht im Hausmüll landen. Entweder Sie stellen Ihren Mitarbeitern professionelle Aktenvernichter zur Verfügung (mit cross cut) oder Ihre Mitarbeiter sammeln die Dokumente und sie werden später im Büro entsorgt.

Mehrere Mitarbeiter verfügen nicht zu Hause über separate Arbeitszimmer. Dürfen Sie nicht zu Hause arbeiten?

Es ist zwar wünschenswert, wenn Mitarbeiter in getrennten Räumen arbeiten, weil dann die Gefahr geringer ist, dass Familienmitglieder oder Mitbewohner Kenntnis von Daten erhalten. Wenn es nicht anders geht, können Mitarbeiter aber auch in gemischt genutzten Räumen arbeiten, wenn sie gewisse Vorkehrungen treffen (z.B. mit einem Laptop mit dem Rücken zu Wand sitzen). Da muss man pragmatisch sein.

Dürfen Papierakten im Homeoffice verwendet werden?

Das hängt davon ab, ob die personenbezogenen Daten in den Akten besonders schutzwürdig sind. Wenn ein Mitarbeiter Papierakten mit nach Hause nimmt, sollte er sie zumindest nicht offen herumliegen lassen.

Nutzung von Dienstleistern

Wir nutzen in unserem Unternehmen Cloudanbieter für den Datenzugriff. Bin ich als Unternehmer dafür verantwortlich, dass der Anbieter Datenschutzgesetze einhält?

Unternehmen sind verpflichtet, mit Cloudanbietern Auftragsverarbeitungsverträge schließen. Außerdem dürfen sie sich nicht einfach darauf verlassen, dass Cloudanbieter Datenschutzgesetze einhalten, sondern müssen das überprüfen, z.B. durch Vor-Ort-Kontrollen oder gezielte Anfragen.

Ich kann viele Auftragsverarbeitungsverträge nicht abschließen, weil ich sie nicht finde, z.B. den für Microsoft 365. Wo kann ich den Auftragsverarbeitungsvertrag für Microsoft 365 finden?

Die Auftragsverarbeitungsverträge für viele große Anbieter sind in der Tat nicht so einfach auffindbar. Es ist aber dennoch wichtig, dass sie Auftragsverarbeitungsverträge mit allen Anbietern bereits dokumentiert haben. Sprechen Sie uns gern an. Ihr Datenschutzbeauftragter von heyData hat viele wichtige Verträge bereits abrufbereit.

Gibt es einen Unterschied zwischen Auftragsverarbeitern aus der EU und aus einem Land außerhalb der EU?

Ja, Sie dürfen Daten nur an Auftragsverarbeiter außerhalb der EU weitergeben, wenn die Einhaltung des Datenschutzniveaus der EU gewährleistet ist. Für manche Länder ist das entsprechende Datenschutzniveau bereits von der EU-Kommission festgestellt (z.B. Israel oder Japan). Für andere Länder müssen Sie das Niveau vertaglich erst herstellen. Das ist aktuell leider vor allem bei US-Anbietern nicht einfach.

Was gibt es bei Auftragsverarbeitern aus den USA zu beachten?

Die USA sind grundsätzlich kein Staat mit einem Datenschutzniveau, das dem der EU entspricht. Sie können Daten deshalb nur an Anbieter in den USA weitergeben, wenn diese sich vertraglich (über sog. Standardvertragsklauseln) zu einem entsprechenden Datenschutzniveau verpflichtet haben. Darüber hinaus müssen die Anbieter aber noch weitere Garantien abgeben, die ausschließen dass Daten z.B. an US-Behörden weitergegeben werden. heyData berät Sie hierbei gern.

Darf ich Daten an US-Anbieter weitergeben, die Daten nur in der EU hosten?

Das ist weniger brisant, aber leider auch nicht unproblematisch. Sie sollten sich aber auch hier bei dem Anbieter rückversichern, dass Daten nicht in die USA weitergegeben werden. Auch hier können Sie sich auf die Unterstützung von heyData verlassen.

Technische Ausstattung

Ist eine Verbindung über ein Virtual Private Network (VPN) zum Arbeiten im Homeoffice Pflicht?

Das hängt davon ab, wie schutzwürdig die im Homeoffice verarbeiteten Daten sind. Ein VPN ist auf jeden Fall eine gute Investition in die Sicherheit der Verarbeitung.

Ist eine Remote Desktop Anwendung genauso sicher wie die Verbindung über ein Virtual Private Network (VPN)?

Nein. Eine Remote Desktop Anwendung erhöht nicht die Sicherheit eines Datenabrufs. Ein Mitarbeiter nutzt dabei immer noch seine heimische Internetverbindung.

Müssen alle E-Mails verschlüsselt werden?

Nein, es besteht keine allgemeine Pflicht, E-Mails zu verschlüsseln. Eine Verschlüsselung ist aber Pflicht, wenn Sie besonders schutzwürdige Daten versenden. Darunter fallen Daten zur Gesundheit, Religionszugehörigkeit oder auch (z.B. für Steuerberater) Mandatsdaten.

Worauf ist bei einer Verschlüsselung von E-Mails zu achten?

Die Verschlüsselung per TLS (Transport Locker Security) verschlüsselt nur während des Transports. Für schutzwürdige Daten sollten Sie deshalb auf eine Verschlüsselung per PGP zurückgreifen. Hierbei verwenden sowohl Absender als auch Empfänger jeweils einen öffentlichen und einen privaten Schlüssel. Zum Versand einer E-Mail müssen Sie den öffentlichen Schlüssel des Empfängers kennen.

BYOD

Dürfen Mitarbeiter ihre eigenen Endgeräte im Homeoffice verwenden?

Die Verwendung privater Endgeräte für die Arbeit (Bring your own device, BYOD) ist aus datenschutzrechtlicher Sicht nicht wünschenswert. Wir wissen aber, dass es häufig die Realität in Unternehmen ist. Um das datenschutzrechtlich abzusichern, sollten Unternehmen mit ihren Mitarbeitern BYOD-Vereinbarungen schließen. Wir stellen Ihnen gern das entsprechende Dokument zur Verfügung.

Viele Mitarbeiter empfangen ihre dienstlichen E-Mails auf ihrem Privathandy. Wie sieht es hier mit Zugriffsrechten des Arbeitgebers aus?

Der Arbeitgeber darf nur auf Privatgeräte zugreifen, wenn der Mitarbeiter ausdrücklich Zugriffsrechte eingeräumt hat. Das ist ein Bestandteil der BYOD-Vereinbarung.

Ist es ebenso gefährlich, wenn die betrieblichen E-Mails nur im Browser des privaten Geräts geöffnet werden?

Auch wenn das nicht alle Probleme löst (z.B. Anhänge werden dann immer noch auf ein Privatgerät heruntergeladen), ist das sicherlich eine pragmatische Herangehensweise, die zu einer geringeren Vermischung von privaten und betrieblichen Daten führt.