Bringen Sie Ihr eigenes Gerät mit (BYOD): Nicht ohne rechtliches Risiko!

Bring Your Own Device (BYOD) ist selten ohne rechtliche Risiken: Wenn Sie Mitarbeitern erlauben, ihre privaten Smartphones, Laptops oder Tablets für die Arbeit zu nutzen, bleiben Sie als Arbeitgeber für den Datenschutz, die Sicherheit der Unternehmensdaten und sogar für illegale Software auf diesen privaten Geräten verantwortlich. Wer BYOD ohne klare Vereinbarungen und technische Maßnahmen einführt, gerät in Konflikt mit der DSGVO, den Grenzen des Auskunftsrechts und potenziellen Haftungsansprüchen wegen Urheberrechtsverletzungen. Im Folgenden erfahren Sie genau, wo die Risiken liegen, welche Konsequenzen sich ergeben können und wie Sie als KMU-Unternehmer diese mit einer guten BYOD-Richtlinie minimieren können.

Was ist BYOD (Bring Your Own Device)?

BYOD steht für „Bring Your Own Device“mit): Mitarbeiter nutzen ihre eigenen Smartphones, Laptops oder Tablets für geschäftliche Aufgaben anstelle von Firmengeräten. Oft wird dies mit einer entsprechenden Gebühr vergütet, da private Geräte Kosten verursachen und mit der Zeit verschleißen. BYOD ist beliebt: Mitarbeiter arbeiten mit vertrauten Geräten, der Arbeitgeber spart Hardwarekosten und reduziert Elektroschrott.

Diesen Vorteilen steht ein rechtlicher Nachteil gegenüber. Sobald Berufliches und Privates auf demselben Gerät zusammenfließen, vermischen sich Geschäftsdaten, persönliche Daten und Datenschutz. Genau hier entstehen die Risiken. Kurz gesagt, lassen sie sich in drei Bereiche einteilen: Datenschutz und Auskunftsrecht, Sicherheit von Geschäftsdaten und Haftung für illegale Software.

BYOD verbindet Berufs- und Privatleben: Privatsphäre und Kontrollrecht

Selbst bei einem Firmenlaptop sorgt die Trennlinie zwischen Berufs- und Privatleben regelmäßig für Diskussionen. Beispielsweise ist es nicht gestattet, einfach auf die E-Mails eines Mitarbeiters zuzugreifen. Noch komplizierter wird die Situation, wenn es sich um ein privates Gerät handelt, das auch Familienmitglieder nutzen: Urlaubsfotos, private Nachrichten und geschäftliche Dateien vermischen sich auf demselben Gerät.

Hier prallen drei Interessen aufeinander:

• Das Inspektionsrecht des Arbeitgebers – Sie möchten die Kontrolle über die Geschäftsdaten und deren korrekte Verwendung behalten.
• Die Vertraulichkeit von Geschäftsdaten – Kundendaten und Geschäftsgeheimnissen – darf nicht nach außen dringen.
• Datenschutz für Mitarbeiter – die DSGVO stellt strenge Anforderungen an die Verarbeitung und den Zugriff auf personenbezogene Daten.

Gemäß der DSGVO dürfen Sie personenbezogene Daten von Mitarbeitern nur verarbeiten, wenn dies erforderlich und verhältnismäßig ist und eine gültige Rechtsgrundlage dafür besteht. Die Überwachung privater Geräte greift schnell in die Privatsphäre ein und ist daher nicht uneingeschränkt zulässig. Es ist daher wichtig, im Vorfeld klare Vereinbarungen zu treffen und diese schriftlich sowie technische Maßnahmen zu ergreifen, wie beispielsweise die Verwendung geschützter, verschlüsselter Container, in denen Geschäftsdaten von privaten Daten getrennt aufbewahrt werden.

Als Faustregel gilt: Je strikter Sie Berufs- und Privatleben technisch trennen, desto unwahrscheinlicher ist es, dass Sie bei einer Inspektion in die Privatsphäre einer Person eindringen – und desto stärker ist Ihre Position im Rahmen der DSGVO.

BYOD und Urheberrechtsverletzungen: Sind Sie als Arbeitgeber haftbar?

Datenschutzbestimmungen sind nicht das Einzige, was Probleme verursachen kann. Die niederländische Rechtsprechung hat festgestellt, dass ein Arbeitgeber unter bestimmten Umständen für Verstöße eines Angestellten haftbar gemacht werden kann, beispielsweise durch die Nutzung illegaler Software, selbst wenn diese auf einem privaten Gerät . Es handelt sich dabei um eine Form der Gefährdungshaftung des Arbeitgebers für Fehler seiner Untergebenen; allerdings müssen dafür einige Voraussetzungen erfüllt sein.

Funktionaler Zusammenhang zwischen der Rechtsverletzung und dem Werk

Der Arbeitgeber haftet nicht für jeden Verstoß, der zufällig auf dem Gerät begangen wird. Es muss ein funktionaler Zusammenhang zwischen den dem Arbeitnehmer zugewiesenen Aufgaben und dem Verstoß bestehen. Zwei Elemente spielen dabei typischerweise eine Rolle:

1. Die zugewiesene Aufgabe erhöht die Wahrscheinlichkeit eines Rechtsverstoßes. Wer seine Arbeit mit bestimmter Software ausführt, erhöht die Wahrscheinlichkeit, dass genau diese Software (möglicherweise illegal) eingesetzt wird.
2. Der Arbeitgeber hat Kontrolle über das Verhalten. Er kann die Installation verbieten oder die Nutzung technisch unmöglich machen.

Die erste Voraussetzung lässt sich in der Praxis leicht erfüllen, insbesondere bei BYOD. Selbst wenn Sie legale Software anbieten, entbindet Sie das nicht automatisch von der Haftung. Die Kontrolle ist in der Regel auch weitreichend, da Sie die Nutzung verbieten oder blockieren können. Hinweis: Die Rechtsprechung zeigt, dass ein bloßes Verbot auf dem Papier die Haftung nicht automatisch ausschließt – genau deshalb sind technische Maßnahmen so wichtig.

Ein Beispiel verdeutlicht dies. Nutzt ein Mitarbeiter eine illegale Version eines Textverarbeitungsprogramms, um Geschäftsbriefe zu verfassen, ist die Haftung des Arbeitgebers offensichtlich: Dies steht in direktem Zusammenhang mit seinen Aufgaben. Lädt derselbe Mitarbeiter in seiner Freizeit illegal ein Spiel herunter, besteht dieser funktionale Zusammenhang in der Regel nicht, es sei denn, es handelt sich um einen professionellen Gamer.

Technische Maßnahmen ergreifen

Technisch gesehen ist es nicht immer einfach, die Kontrolle zu behalten. Eine gängige Lösung ist die Nutzung eines gehosteten Desktops oder einer sicheren Arbeitsumgebung: Als Arbeitgeber bestimmen Sie, welche (legale) Software bereitgestellt wird, und es wird ausschließlich die Hardware des Mitarbeiters verwendet. Bringen Sie Ihr eigenes Gerät mit, aber nicht Ihre eigene Software.

Hilft ein Mitarbeiterhandbuch oder eine IT-Richtlinie?

Ein Mitarbeiterhandbuch oder eine IT-Richtlinie sind zwar hilfreich, beseitigen das Haftungsrisiko aber nicht vollständig. Die Haftung des Arbeitgebers gegenüber dem Rechteinhaber bleibt grundsätzlich bestehen, sodass er weiterhin für eine Rechtsverletzung haftbar gemacht werden kann.

Klare Regeln sind dennoch wertvoll. Sie wirken präventiv (Mitarbeiter wissen, was erlaubt und was verboten ist) und repressiv (bei Verstößen lassen sich leichter Maßnahmen ergreifen und interne Sanktionen verhängen). Dadurch sinkt die Wahrscheinlichkeit von Problemen und Ihre Position wird gestärkt, falls etwas schiefgeht.

Eine BYOD-Richtlinie einführen

BYOD führt schnell zu rechtlichen Problemen: Die Privatsphäre der Mitarbeiter ist gefährdet, die Kontrolle über die Unternehmensdaten muss behalten werden, und die Problematik illegaler Software verkompliziert die Angelegenheit zusätzlich. Die Lösung liegt in klaren Vereinbarungen in einer separaten BYOD-Richtlinie, ergänzt durch die IT-Richtlinie und das Mitarbeiterhandbuch.

Eine gute BYOD-Richtlinie regelt mindestens Folgendes:

• welche Geräte und welche Verwendung zulässig sind;
• welche (legale) Software obligatorisch oder verboten ist;
• wie Geschäftsdaten geschützt und gesichert werden (Container, Verschlüsselung, Passwörter);
• Was geschieht im Falle von Verlust, Diebstahl oder Beendigung des Arbeitsverhältnisses (denken Sie an die Fernlöschung von Geschäftsdaten)?
• welche Kontrollmöglichkeiten der Arbeitgeber im Rahmen der DSGVO ausüben darf;
• Wer ist für Wartung, Aktualisierungen und Kosten verantwortlich?.

Auch bestehende Dokumente sollten geprüft werden. Sie können zusätzliche Vereinbarungen in den Arbeitsvertrag , und wenn Sie personenbezogene Daten über externe Dienstleister verarbeiten, ist unter Umständen eine Datenverarbeitungsvereinbarung erforderlich. Damit ist die rechtliche Kette rund um BYOD abgeschlossen.

BYOD in 6 Schritten implementieren

Wenn Sie BYOD verantwortungsvoll implementieren möchten, befolgen Sie diese Schritte:

1. Definieren Sie Ihr Ziel und Ihren Umfang. Welche Funktionen, welche Geräte und welche Daten werden über BYOD empfangen?
2. Ermitteln Sie die Risiken. Achten Sie insbesondere auf personenbezogene Daten, Geschäftsgeheimnisse und die Softwarenutzung.
3. Wählen Sie Ihre Technologie. Erwägen Sie verschlüsselte Container, einen gehosteten Desktop, Mobile Device Management und die Möglichkeit, Geschäftsdaten aus der Ferne zu löschen.
4. Dokumentieren Sie die Vereinbarungen. Erstellen Sie eine BYOD-Richtlinie und verknüpfen Sie diese mit Ihrer IT-Richtlinie, dem Mitarbeiterhandbuch und dem Arbeitsvertrag.
5. Die Aspekte der DSGVO berücksichtigen. Grundlage und Verhältnismäßigkeit der Prüfung festlegen und gegebenenfalls eine Datenverarbeitungsvereinbarung mit Lieferanten abschließen.
6. Kommunizieren und evaluieren. Informieren Sie die Mitarbeiter, lassen Sie sie die Richtlinie unterzeichnen und überprüfen Sie die Vereinbarungen regelmäßig.

Häufig gestellte Fragen zu BYOD

Was bedeutet BYOD?

BYOD steht für Bring Your Own Device (Bring dein eigenes Gerät mit). Mitarbeiter nutzen ihr eigenes Smartphone, ihren Laptop oder ihr Tablet für geschäftliche Aufgaben, in der Regel gegen eine Gebühr, die Nutzung und Abnutzung abdeckt.

Darf mein Arbeitgeber mein privates Handy überprüfen, wenn ich ein BYOD-Gerät nutze?

Nicht ohne Weiteres. Die Überwachung eines privaten Geräts greift in Ihre Privatsphäre ein und muss gemäß DSGVO notwendig, verhältnismäßig und auf einer gültigen Rechtsgrundlage beruhen. Vorherige Vereinbarungen, dokumentierte Regelungen und eine technische Trennung zwischen geschäftlicher und privater Nutzung sind in diesem Zusammenhang wichtig.

Bin ich als Arbeitgeber für illegale Software auf einem privaten Gerät haftbar?

Das ist möglich. Besteht ein funktionaler Zusammenhang zwischen den zugewiesenen Aufgaben und dem Rechtsverstoß und haben Sie die Kontrolle über die Nutzung, können Sie als Arbeitgeber haftbar gemacht werden, selbst wenn sich die Software auf einem privaten Gerät befindet. Ein schriftliches Verbot schließt dies nicht automatisch aus. Lassen Sie dies im Einzelfall prüfen.

Beseitigt eine BYOD-Richtlinie alle Risiken?

Nein, aber sie reduziert sie deutlich. Eine BYOD-Richtlinie beugt Unklarheiten vor, wirkt präventiv und repressiv und stärkt Ihre Position. Sie beseitigt die rechtliche Haftung gegenüber Rechteinhabern nicht vollständig; daher bleiben technische Maßnahmen und solide Verträge notwendig.

Welche Dokumente benötige ich für BYOD?

Üblicherweise besteht eine Kombination aus einer BYOD- oder IT-Richtlinie, einem Mitarbeiterhandbuch und entsprechenden Bestimmungen im Arbeitsvertrag. Wenn Sie über Lieferanten mit personenbezogenen Daten arbeiten, kann zusätzlich eine Datenverarbeitungsvereinbarung erforderlich sein.

Ist BYOD verpflichtend oder kann ein Mitarbeiter dies ablehnen?

BYOD basiert grundsätzlich auf Vereinbarungen zwischen Arbeitgeber und Arbeitnehmer. Sie können es anbieten und fördern, doch die Nutzung privater Geräte für die Arbeit erfordert Zustimmung und klare Bedingungen. Wenn Sie es breiter einführen möchten, legen Sie fest, welche Regeln für Teilnehmer und Nichtteilnehmer gelten.

Sie möchten BYOD rechtlich korrekt organisieren? Wir können Ihnen dabei helfen

Wir von MKB Juristen sind begeisterte Befürworter von BYOD, kennen aber die rechtlichen Konsequenzen wie unsere Westentasche. Gerne unterstützen wir Sie mit einer rechtssicheren BYOD-Richtlinie, einem passenden Mitarbeiterhandbuch und den richtigen Klauseln in Ihrem Arbeitsvertrag, damit BYOD vor allem Vorteile bringt.

Möchten Sie Ihre Situation besprechen? Informieren Sie sich über unsere Expertise im Arbeitsrecht, Datenschutzrecht und Urheberrecht ,kontaktieren Sie uns über unsere Rechtsberatungoder vereinbaren Sie direkt ein Erstgespräch. Wir beraten Sie gerne.