Homeoffice und Remote-Arbeit sind zur Normalität geworden. Doch wenn Mitarbeiter von zu Hause aus auf personenbezogene Daten zugreifen, entstehen neue Datenschutzrisiken. Art. 32 DSGVO verpflichtet Arbeitgeber, auch im Homeoffice geeignete technische und organisatorische Maßnahmen (TOM) sicherzustellen. Dieser Praxis-Guide zeigt Ihnen, was konkret zu tun ist.
Zur Gesamtübersicht aller TOM nach Art. 32 DSGVO: Technische und organisatorische Maßnahmen — Übersicht.
Rechtliche Grundlage: Art. 32 DSGVO und die Homeoffice-Pflicht
Art. 32 Abs. 1 DSGVO verpflichtet Verantwortliche zu geeigneten technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten — unabhängig davon, ob die Verarbeitung im Büro oder von zu Hause aus stattfindet. Als Arbeitgeber und datenschutzrechtlich Verantwortlicher tragen Sie diese Pflicht auch für die Heimarbeitsplätze Ihrer Mitarbeiter.
Erwägungsgrund 78 der DSGVO konkretisiert: Verantwortliche sollten „angemessene technische und organisatorische Maßnahmen“ ergreifen, um sicherzustellen, dass personenbezogene Daten vor unbefugter Offenlegung oder unbefugtem Zugang geschützt sind. Im Homeoffice bedeutet dies: Sie müssen die technische Ausstattung und die organisatorischen Regelungen für den Heimarbeitsplatz aktiv gestalten.
Die Datenschutzkonferenz (DSK) hat in ihrer Orientierungshilfe „Datenschutz bei der Telearbeit und Homeoffice“ klargestellt, dass Arbeitgeber ihren Mitarbeitern nicht einfach die Datenschutzverantwortung für den Heimarbeitsplatz übertragen können. Die technischen und organisatorischen Rahmenbedingungen sind vom Arbeitgeber zu schaffen.
Technische TOM für das Homeoffice
Folgende technische Maßnahmen sind für datenschutzkonformes Homeoffice unverzichtbar:
- VPN (Virtual Private Network): Alle Zugriffe auf Unternehmensressourcen müssen über ein verschlüsseltes VPN erfolgen. Direktverbindungen über das private Heimnetz oder öffentliche WLANs sind für den Zugriff auf personenbezogene Daten unzulässig.
- Geräte-Management: Mitarbeiter sollten ausschließlich vom Arbeitgeber gestellte oder genehmigten und gesicherten Geräten verwenden ( Bring your own device „BYOD“-Regelungen müssen streng sein). Private Geräte ohne Mobile Device Management (MDM) sind für sensitive Daten nicht geeignet.
- Verschlüsselung des Endgeräts: Festplatten (BitLocker oder FileVault) müssen vollständig verschlüsselt sein. Bei Diebstahl oder Verlust des Geräts dürfen keine Daten im Klartext zugänglich sein.
- Multi-Faktor-Authentifizierung: Alle Fernzugriffe auf Unternehmenssysteme erfordern MFA. Passwort allein reicht im Homeoffice-Kontext nicht aus.
- Aktuelle Sicherheitsupdates: Betriebssystem und Anwendungen müssen automatisch aktuell gehalten werden. Ungepatchte Systeme sind ein massives Sicherheitsrisiko im Heimnetzwerk.
- Dateifreigabe nur über sichere Kanäle: Kein Austausch von Unternehmensdaten über private Cloud-Speicher (Dropbox, Google Drive ohne AVV). Nur genehmigte und gesicherte Plattformen nutzen.
Organisatorische TOM für das Homeoffice
Technik allein reicht nicht. Folgende organisatorische Maßnahmen sind im Homeoffice-Kontext besonders wichtig:
- Homeoffice-Richtlinie: Eine schriftliche Regelung die festlegt, welche Geräte, Netze und Tools für die Arbeit mit personenbezogenen Daten verwendet werden dürfen. Die Richtlinie muss von allen Mitarbeitern gelesen und unterzeichnet werden.
- Bildschirm- und Sichtschutz: Bildschirme müssen so aufgestellt sein, dass Mitbewohner oder Besucher keine personenbezogenen Daten einsehen können. Sichtschutzfolien für Laptops werden empfohlen.
- Drucker und physische Dokumente: Ausdrucke mit personenbezogenen Daten dürfen nicht unkontrolliert im Homeoffice verbleiben. Ein Shredder oder sichere Rücksendung zur Vernichtung im Büro ist erforderlich.
- Abmelden bei Nichtbenutzung: Bildschirme müssen bei Verlassen des Arbeitsplatzes gesperrt werden (Windows-Taste + L). Automatischer Bildschirmschoner nach kurzer Inaktivität muss aktiviert sein.
- Schulung der Mitarbeiter: Einweisung in die spezifischen Risiken des Homeoffice und die geltenden Regeln. Mehr zur Schulungspflicht: Datenschutz-Schulung als TOM.
- Meldeprozess für Vorfälle: Mitarbeiter müssen wissen, wie sie einen vermuteten Datenschutzvorfall im Homeoffice melden. Ein klarer und leicht erreichbarer Meldeprozess ist Pflicht.
Homeoffice und Cloud Computing
Homeoffice und Cloud-Nutzung gehen häufig Hand in Hand. Bei der Cloud-Nutzung im Homeoffice gelten zusätzlich die TOM-Anforderungen für Cloud Computing. Mehr dazu: TOM für Cloud Computing.
Dokumentation und Rechenschaftspflicht
Gemäß Art. 5 Abs. 2 DSGVO müssen Sie nachweisen können, dass Sie die TOM umgesetzt haben. Für das Homeoffice bedeutet das:
- Homeoffice-Richtlinie schriftlich dokumentieren und aufbewahren
- TOM im Verarbeitungsverzeichnis (Art. 30 DSGVO) aktualisieren
- Einwilligungen/Unterzeichnungen der Mitarbeiter archivieren
- Schulungen dokumentieren (Datum, Inhalt, Teilnehmer)
PLANIT // PRIMA hilft Ihnen, die Homeoffice-TOM zu dokumentieren und nachweisbar zu machen. Jetzt mehr über PLANIT // PRIMA erfahren.
Häufige Fragen
Welche TOM muss ich als Arbeitgeber im Homeoffice umsetzen?
Art. 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen — auch für Heimarbeitsplätze. Pflicht sind mindestens: VPN für alle Zugriffe auf Unternehmensressourcen, Geräteverschlüsselung, MFA, aktuelle Sicherheitsupdates und eine schriftliche Homeoffice-Richtlinie. Die konkreten Maßnahmen hängen vom Risiko der verarbeiteten Daten ab.
Dürfen Mitarbeiter eigene Geräte im Homeoffice nutzen?
BYOD (Bring Your Own Device) ist grundsätzlich möglich, erfordert aber strenge TOM: MDM-Software, obligatorische Geräteverschlüsselung, keine Vermischung privater und beruflicher Daten, klare Richtlinien. Private Geräte ohne ausreichende Sicherheitsmaßnahmen dürfen nicht für die Verarbeitung personenbezogener Daten verwendet werden.
Was passiert wenn ein Laptop im Homeoffice gestohlen wird?
Bei einem unverschlüsselten Laptop mit personenbezogenen Daten besteht fast immer eine Meldepflicht nach Art. 33 DSGVO (Meldung an Aufsichtsbehörde innerhalb 72 Stunden). Bei verschlüsseltem Gerät kann die Meldepflicht entfallen. Deshalb ist die Festplattenverschlüsselung keine Option, sondern Pflicht für alle Geräte mit personenbezogenen Daten.
Muss ich Mitarbeiter im Homeoffice zum Datenschutz schulen?
Ja. Art. 39 Abs. 1 lit. b DSGVO und Art. 32 Abs. 4 DSGVO fordern die Sensibilisierung und Schulung aller Personen, die Zugang zu personenbezogenen Daten haben. Die spezifischen Risiken des Homeoffice (unsichere Netzwerke, Sichtschutz, Phishing) müssen Bestandteil der Schulung sein.
Typische Schwachstellen im Homeoffice und wie Sie sie beheben
Die Praxis zeigt: Im Homeoffice entstehen datenschutzrechtliche Probleme häufig nicht durch technisches Versagen, sondern durch organisatorische Lücken. Die häufigsten Schwachstellen und wie Sie diesen mit TOM begegnen:
- Fehlende Trennung von beruflichen und privaten Geräten: Klare Richtlinie zum Verbot der Nutzung privater Geräte für dienstliche Zwecke (BYOD-Policy) oder technische Absicherung durch MDM-Systeme
- Unsichere Heimnetzwerke: Vorgabe von VPN-Nutzungspflicht und Prüfung der Router-Sicherheitseinstellungen
- Unangemessene physische Umgebung: Richtlinien zur Sicherstellung, dass Dritte (Familienmitglieder, Mitbewohner) keine Einsicht in Bildschirme oder Unterlagen haben
- Fehlende Datensicherung: Automatische Synchronisation mit gesicherten Unternehmensservern anstelle lokaler Speicherung
Rechtsprechung zum Homeoffice und Datenschutz
Das Bundesarbeitsgericht hat in seiner Rechtsprechung klargestellt, dass Arbeitgeber ihrer Fürsorgepflicht auch im Homeoffice nachkommen müssen — dazu gehört die Bereitstellung datenschutzkonformer Arbeitsmittel. Der Arbeitnehmer ist seinerseits verpflichtet, die vom Arbeitgeber vorgegebenen Datenschutzmaßnahmen einzuhalten. Verstöße können arbeitsrechtliche Konsequenzen haben.
Dokumentieren Sie Ihre TOM für das Homeoffice systematisch mit PLANIT // PRIMA und stellen Sie sicher, dass alle Mitarbeiter im Homeoffice über die geltenden Maßnahmen informiert sind.
