06.08.2019 · Fachbeitrag · Datenschutz

Eigene Arbeitsmittel in der Steuerberaterkanzlei?

von RA Heike Mareck, Dortmund, www.kanzlei-mareck.de

| Es ist schon attraktiv, mit seinen eigenen modernen Tablets, Notebooks, Smartphones am Arbeitsplatz tätig zu werden, insbesondere dann, wenn der Arbeitgeber nicht ganz so neue und leistungsstarke Arbeitsmittel einsetzt. Gerade bei jüngeren Beschäftigten, die im Privatleben High-End-Geräte gewohnt sind, ist dieser Trend längst angekommen. Doch was sich zunächst gut anhört, birgt jede Menge datenschutzrechtliche Probleme. Doch es gibt auch eine Lösung beim Einsatz zum Themenbereich „Bring Your Own Devices“ ‒ kurz BYOD. |

1. Licht und Schatten bei BYOD

Was versteht man genau unter BYOD? Hierbei geht es darum, private Endgeräte zu betrieblichen Zwecken zu nutzen. Nicht zu verwechseln mit der COPE = Corporate Owned, Personally Enabled ‒ also die private Nutzung betrieblicher Endgeräte und Einrichtungen, die rechtlich vollkommen anders zu bewerten ist. Typisch für die BYOD ist, dass trotz der betrieblichen Nutzung das Endgerät im Eigentum des Beschäftigten bleibt.

„Bring Your Own Devices“ ‒ kurz BYOD
Vorteile	Nachteile
Erhöhte Produktivität, da Beschäftigte mit ihren eigenen Smartphones und Notebooks bestens vertraut sind Keine Umgewöhnung, insbesondere beim Wechsel zwischen unterschiedlichen Betriebssystemen Mitarbeiterzufriedenheit eventuell besser Mehr Flexibilität, da Beschäftigte ggf. Arbeitsort freier wählen können Kosteneinsparungen	Unternehmen verfügt meist über kein effektives Sicherheitskonzept Größerer Wartungsaufwand seitens der IT Wohl größtes Problem: die Datensicherheit Daten können schneller verloren (Hackerangriff) oder gestohlen werden

2. Datenschutzrechtliche Problematik

Wird das private Smartphone auch genutzt, um personenbezogene Daten des Unternehmens zu verarbeiten, z. B. Kundendaten, findet beinahe zwangsläufig eine Vermischung von privaten und geschäftlichen Daten statt. Als Verantwortlicher muss der Arbeitgeber technische und organisatorische Maßnahmen ergreifen, um den rechtskonformen Umgang zu gewährleisten.

Auch personenbezogene Daten von Beschäftigten dürfen nur für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist. Die Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses ist in § 26 BDSG geregelt.

PRAXISTIPPS |

Für die Mitarbeiter ist es wichtig zu wissen, was geht und was nicht geht. Folgende Dinge kann der Arbeitnehmer tun, um die personenbezogenen Daten bestens auf seinem privaten Endgerät zu schützen.

• Die Beschäftigten nutzen das Endgerät nur höchstpersönlich, um zu verhindern, dass Dritte Zugriff auf dienstliche Daten bekommen. (Achtung: In der Praxis ein echtes Problem!)

• Die beruflich genutzten Endgeräte müssen Passwortschutz, Virenscanner sowie die modernste Sicherheitstechnik haben.

• Die Arbeitszeit sollte vereinbart werden. Ebenso sollte es Regelungen zur Erreichbarkeit sowie zur Einhaltung gesetzlich vorgeschriebener Ruhezeiten geben.

• Es sollte klare Regelungen geben, wer für was haftbar gemacht werden kann.

• Die Mitarbeiter erhalten regelmäßige Schulungen über die Arbeit mit dem Privatgerät.

• Der Arbeitgeber kann auf die personenbezogenen Daten zugreifen und im Bedarfsfall auch löschen.

• Vorsicht dort, wo auch andere Einblick auf die Daten haben (in der Bahn, im Flugzeug). Es gibt Mitreisende, die am Ende der Fahrt die Inhalte der Mandantenakte bestens kennen, obwohl sie nur über die Schulter blicken konnten. Lösung: Ein Blickschutzfilter.

Empfehlenswert ist der Einsatz von speziellen „Containern“ in den Geräten, mit denen man private und geschäftliche Daten trennen kann. Oder man trennt die Daten direkt durch den Einsatz eines privaten und beruflichen Smartphones.

Doch es könnten auch urheberrechtliche Probleme entstehen. Beispiel: Meist nutzt der Beschäftigte auf seinem Smartphone eine kostenlose Software für die private Nutzung. Wird dieses Gerät jetzt für geschäftliche Zwecke genutzt, liegt ein Lizenzverstoß vor, wenn die Lizenz-/Nutzungsbedingungen ausschließlich die private Nutzung erlauben. Es handelt sich hierbei um einen Verstoß gegen das Urheberrecht, denn Computerprogramme sind gemäß § 2 Abs. 1 Nr. 1 UrhG und §§ 69a ff. UrhG vom Urheberrechtsschutz erfasst. Ein Urheberrechtsverstoß kann zu Unterlassungs- und Schadenersatzansprüchen (§ 97 UrhG) des Software‑Rechteinhabers gegenüber dem Arbeitnehmer und dem Arbeitgeber (§ 99 UrhG) führen.

3. Wer haftet bei Verlust von Kundendaten über BYOD?

Nach Art. 82 DS-GVO haftet der Verantwortliche (hier Arbeitgeber), wenn personenbezogene Daten verloren gehen, zum Beispiel durch Diebstahl eines Smartphones. Nach den Regeln der Arbeitnehmerhaftung haftet der Arbeitnehmer grundsätzlich

• bei einer vorsätzlich und grob fahrlässig begangenen Pflichtverletzung voll,

• bei normaler Fahrlässigkeit anteilig,

• bei leichter Fahrlässigkeit gar nicht.

4. Mitarbeiter verlässt das Unternehmen ‒ Was passiert mit den Daten?

Verlässt der Arbeitnehmer das Unternehmen, muss sichergestellt werden, dass auch die Daten auf den privaten Geräten gelöscht werden. In der Nutzungsvereinbarung sollte daher geregelt werden, dass der Arbeitgeber jederzeit berechtigt ist, per Fernzugriff die betrieblichen Inhalte auf dem Endgerät des Arbeitnehmers zu löschen. Verletzt der Arbeitnehmer seine Pflicht zur Trennung privater und betrieblicher Inhalte auf dem Endgerät, sollte der Arbeitgeber zur Löschung sämtlicher auf dem Endgerät gespeicherter Inhalte berechtigt sein. Dieses ist in der Praxis ein Problem, da der Arbeitnehmer das meist nicht will.

Arbeitgeber sollten neben einer BYOD-Richtlinie auch eine Nutzungsvereinbarung mit dem Beschäftigten abschließen. Diese stellt einen Ergänzungsvertrag zum bestehenden Arbeitsvertrag dar. Nach § 87 Abs. 1 Nr. 1 und Nr. 6 BetrVG ist der Betriebsrat (sofern vorhanden) in die Planung einzubeziehen und zu beteiligen.

Checkliste / Diese Punkte sollten in der Nutzungsvereinbarung geregelt werden

• Welche Geräte werden betrieblich genutzt (genau festlegen, um welche Geräte es sich handelt)?

• Wer darf die Arbeitsgeräte zusätzlich benutzen (z. B. Familienangehörige, andere Beschäftigte)?

• Pflichten des Arbeitnehmers (z. B. Trennung privater und beruflicher Inhalte auf dem Gerät; sichere Aufbewahrung; Fernzugriff des Arbeitgebers; ausschließliche Nutzung der Software des Arbeitgebers; Regelungen zu urlaubsbedingten Auslandsaufenthalten)

• Informations- und Anzeigepflichten des Arbeitnehmers (z. B. Mitteilungspflichten bei Verlust)

• Regelungen zu Reparaturen und Wartungen

• Nutzung des Endgeräts durch den Arbeitnehmer (Privatnutzung während der Arbeitszeit, Festlegung der Arbeitszeit); Schutz des Endgeräts vor Missbrauch durch den Arbeitnehmer (Festlegung von verbotener Software; Nutzung des Endgeräts durch Dritte; Adminrechte regeln)

• Einwilligung des Arbeitnehmers in die Datenverarbeitung durch den Arbeitgeber (z. B. beim Fernzugriff)

• Unentgeltlichkeit, Aufwandsentschädigung

• Haftung des Arbeitgebers und des Arbeitnehmers

• Nutzungsrechte und Lizenzen des Arbeitnehmers (Problem: vorinstalliertes Office-Paket, da dieses meist nur zur privaten Nutzung berechtigt oder bestimmter Telekommunikationsanbieter bei Smartphones)

• Laufzeit, Beendigung dieser Vereinbarung (z. B. Kündigungsfristen; Löschung der Daten)

FAZIT | Als Arbeitgeber müssen Sie sich darauf einstellen, dass zukünftige Mitarbeiter High-End-Geräte am Arbeitsplatz als „normal“ voraussetzen. Gerade in Zeiten des Nachwuchsmangels sollten Arbeitgeber dieses Merkmal für sich nutzen und in moderne Arbeitsmittel investieren.

Quelle: Ausgabe 08 / 2019 | Seite 193 | ID 45991958