BYOD und Messenger im Betrieb

BYOD – Bring Your Own Device – klingt nach einer Sparmaßnahme, die alle glücklich macht: Das Unternehmen kauft keine Geräte, die Beschäftigten tragen nur eines mit sich. Was dabei entsteht, ist allerdings ein Gerät, auf dem betriebliche Daten liegen und über das der Arbeitgeber keine Verfügungsgewalt hat. Genau das muss geregelt werden, bevor es passiert.

Warum BYOD schwieriger ist als es aussieht

Der Verantwortliche für die Daten bleibt das Unternehmen, Art. 24 DSGVO. Es muss also nachweisen, dass die Verarbeitung auf einem Gerät sicher ist, das ihm nicht gehört, dessen Software es nicht bestimmt und auf das es keinen unmittelbaren Zugriff hat.

Daraus folgen die Fragen, an denen sich in der Praxis alles entscheidet:

  • Wie wird verhindert, dass betriebliche Daten in private Sicherungen wandern?
  • Was geschieht, wenn das Gerät verloren geht – wer löscht, und was genau?
  • Was geschieht beim Ausscheiden der beschäftigten Person?
  • Wer stellt sicher, dass Sicherheitsaktualisierungen eingespielt werden?
  • Wer darf im Supportfall auf das Gerät sehen, und wie werden dabei private Inhalte geschützt?

Ohne technische Trennung sind diese Fragen nicht befriedigend zu beantworten. Eine Fernlöschung, die das ganze Gerät erfasst, löscht auch die Urlaubsfotos – das ist unverhältnismäßig und wird im Ernstfall unterlassen, womit die Maßnahme wertlos ist.

Was tatsächlich funktioniert

Container-Lösungen. Betriebliche Anwendungen und Daten laufen in einem abgetrennten, verschlüsselten Bereich. Der lässt sich einzeln löschen, ohne den privaten Teil zu berühren. Das ist die einzige Bauart, die BYOD datenschutzrechtlich tragfähig macht.

Mobile Device Management, aber begrenzt. Ein Verwaltungssystem kann Richtlinien durchsetzen – Bildschirmsperre, Verschlüsselung, Aktualisierungen. Es kann aber auch Standort, installierte Anwendungen und Nutzungsverhalten erfassen. Was es tatsächlich erhebt, ist zu begrenzen und offenzulegen; alles andere ist Verhaltenskontrolle und mitbestimmungspflichtig.

Eine schriftliche Vereinbarung mit jeder teilnehmenden Person: welche Daten betrieblich sind, welche Maßnahmen gelten, wann und wie gelöscht wird, was beim Ausscheiden geschieht, und dass die Teilnahme freiwillig ist. Freiwillig heißt: Wer nicht teilnimmt, bekommt ein Dienstgerät – sonst ist die Zustimmung im Arbeitsverhältnis nicht belastbar.

Die ehrliche Bilanz aus vielen Projekten: Sobald Container, Verwaltungssystem und Regelungswerk stehen, ist BYOD selten billiger als ein Dienstgerät. Der Vorteil liegt in der Bequemlichkeit, nicht in den Kosten.

Messenger: das Adressbuch ist das Problem

Bei WhatsApp und ähnlichen Diensten liegt die datenschutzrechtliche Schwierigkeit nicht in den Nachrichten – die sind Ende-zu-Ende verschlüsselt –, sondern im Zugriff auf das Adressbuch.

Wird der Zugriff gestattet, werden Kontaktdaten Dritter an den Anbieter übermittelt: Kunden, Lieferanten, Kollegen, Angehörige. Diese Personen haben dazu nichts gesagt. Für die Übermittlung fehlt regelmäßig die Rechtsgrundlage, und die Informationspflicht gegenüber den Betroffenen ist praktisch nicht zu erfüllen.

Wer den Dienst betrieblich einsetzen will, braucht deshalb:

  • ein Gerät oder Profil ohne fremde Kontakte im Adressbuch, oder eine Version, die auf das Adressbuch nicht zugreift
  • den Nachweis der Rechtsgrundlage für die Kommunikation mit Kunden über diesen Kanal
  • einen Auftragsverarbeitungsvertrag mit dem Anbieter, soweit er als solcher tätig wird
  • eine Prüfung der Übermittlung in Drittländer – siehe Datenübermittlung in die USA
  • eine Regelung zur Archivierung: Geschäftliche Kommunikation unterliegt Aufbewahrungspflichten, ein Messenger auf einem Privatgerät erfüllt sie nicht

Der einfachere Weg ist fast immer ein Messenger, der auf eigenen Servern betrieben wird oder dessen Anbieter vertraglich fassbar ist.

Die Regelung, die es braucht

Was für BYOD und Messenger gleichermaßen gilt: Es genügt nicht, die Nutzung zu untersagen. Ein Verbot, das niemand kontrolliert, wandelt sich in eine Duldung – mit derselben Wirkung wie eine Erlaubnis, nur ohne Regeln. Dieselbe Erfahrung wie bei der privaten E-Mail-Nutzung.

Tragfähig ist eine kurze Richtlinie, die sagt, welche Geräte und Dienste freigegeben sind, was auf ihnen verarbeitet werden darf, und an wen man sich wendet, wenn etwas fehlt. Dazu die Schulung, damit die Regel bekannt ist – und die Aufnahme ins Verzeichnis, damit sie nachweisbar ist.

Kontakt

Sie erwägen BYOD oder haben es längst, ohne es geregelt zu haben? Wir sagen Ihnen, was zwingend nötig ist und was verzichtbar.