MKB Juristen entwirft individuelle Rechtsdokumente
Es empfiehlt sich, wichtige Verträge, Geschäftsbedingungen und andere juristische Dokumente nicht selbst zusammenzustellen oder zu kopieren. Wir unterstützen Unternehmer mit begrenztem Budget mit maßgeschneiderten Rechtslösungen, transparenten Kosten im Voraus und verständlichen Erklärungen.
- Kundenspezifische Verträge, Geschäftsbedingungen und Rechtsdokumente
- Budgetfreundlich und transparent hinsichtlich der Kosten im Voraus
- Fordern Sie eine kostenlose Beratung oder ein unverbindliches Angebot an
Die Erstellung einer BYOD-Richtlinie (Bring Your Own Device) durch einen spezialisierten Anwalt kostet in der Regel zwischen 750 und 2.000 Euro, abhängig von den Daten, die Mitarbeiter auf ihren privaten Geräten verarbeiten, und der Beteiligung des Betriebsrats. Die Bearbeitungszeit beträgt ein bis drei Wochen, wobei der Großteil der Zeit für die Abstimmung mit dem IT-Administrator und gegebenenfalls für das Einholung der Einwilligung benötigt wird. Im Folgenden finden Sie eine Übersicht über die Leistungen, den Ablauf und die Kostenfaktoren.
Die kurze Antwort
- Grundbestimmungen: 750 bis 1.100 Euro für eine Organisation ohne besondere personenbezogene Daten und ohne Betriebsrat.
- Umfassende Regelungen: 1.200 bis 2.000 Euro für Geräteverwaltung, Überwachung oder Verarbeitung sensibler Daten.
- Überprüfung der bestehenden Regelungen: 350 bis 650 Euro, mit konkreten Textvorschlägen.
- Vorlaufzeit: ein bis drei Wochen, länger, wenn die Zustimmung des Betriebsrats erforderlich ist.
- Wovon es bestimmt wird: ob Sie im Falle eines Vorfalls löschen, überprüfen und Sanktionen verhängen dürfen.
Lassen Sie eine Bring-Your-Own-Device-Richtlinie aufsetzen: Was ist im Preis inbegriffen?
Bei der Angebotsanfrage sollten Sie nach dem Lieferpaket statt nach dem Stundensatz fragen. Ein komplettes Projekt umfasst typischerweise Folgendes:
- Ein Gespräch mit dem Management und dem IT-Administrator darüber, wo die Daten landen und welche Verwaltungstools zur Verfügung stehen.
- Die Vorschriften selbst: Anwendungsbereich, Sicherheitsanforderungen, verbotene Verwendung, Kontrollrahmen, Vorgehen bei Zwischenfällen, Ausstiegsverfahren und Sanktionen.
- Eine Bestätigungserklärung oder ein Nachtrag zum Arbeitsvertrag, durch den die Bestimmungen verbindlich werden.
- Im Falle der Überwachung ist zu prüfen, ob eine Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO erforderlich ist.
- Im Falle eines Betriebsrats ist eine Erklärung vorzulegen, die als Antrag auf Zustimmung gemäß Art. 27 des Betriebsratsgesetzes geeignet ist.
Üblicherweise nicht enthalten sind: die technische Einrichtung des Gerätemanagements, das Verarbeitungsregister als Ganzes sowie die Kommunikation mit den Mitarbeitern. Diese Leistungen werden separat angeboten oder vom IT-Dienstleister übernommen.
Der Prozess Schritt für Schritt
- Bestandsaufnahme. Welche Mitarbeiter nutzen welche privaten Geräte und welche Daten landen darauf? Dies ist der entscheidende Schritt: Vorschriften, die über die praktische Umsetzbarkeit hinausgehen, werden nicht eingehalten, und Vorschriften, die nicht mit den verfügbaren Management-Tools kompatibel sind, sind nicht durchsetzbar.
- Risikoklassifizierung. Verknüpfung von Kategorien mit Maßnahmen, von Kalender- und E-Mail-Zugriff bis hin zum Zugriff auf Finanzsysteme oder besondere Kategorien personenbezogener Daten. Art. 32 DSGVO verlangt risikogerechte Maßnahmen, nicht eine einheitliche Regelung für alle.
- Entwurf. Die Verordnung mit allen Kapiteln sowie der Bestätigungserklärung. Der Prüfungsrahmen entspricht den Anforderungen von Art. 8 EMRK und den Grundlagen von Art. 6 Abs. 1 lit. f DSGVO.
- Abstimmung mit der IT. Jeder Standard wird mithilfe bestehender Tools auf Messbarkeit und Durchsetzbarkeit geprüft. Anforderungen, die niemand überprüfen kann, haben darin keinen Platz.
- Durchführung. Im Falle eines Betriebsrats ist die Zustimmung gemäß Art. 27 Abs. 1 Buchst. k und l Betriebsratsgesetz (ÖRG) einzuholen. Ohne Betriebsrat sind eine nachweisbare Mitteilung und eine Empfangsbestätigung pro Beschäftigtem erforderlich.
Was führt zu einem Preisanstieg?
Vier Faktoren erklären praktisch den gesamten Unterschied zwischen 750 und 2.000 Euro:
- Art der Daten. Besondere personenbezogene Daten, wie beispielsweise im Gesundheitswesen oder finanziell und disziplinarisch sensible Akten, erfordern strengere Vorschriften, eine stärkere Begründung und häufig eine Datenschutz-Folgenabschätzung.
- Überwachung. Sobald Sie mehr als nur den Gerätestatus und Anmeldeversuche erfassen möchten, muss der Kontrollrahmen hinsichtlich Notwendigkeit und Verhältnismäßigkeit der einzelnen Maßnahmen bewertet werden, einschließlich einer Beschreibung der Sicherheitsvorkehrungen und der Berichtspflichten.
- Betriebsrat. Das Zustimmungsverfahren erfordert eine Begründung, aus der die getroffenen Überlegungen hervorgehen. Dies ist ein separates Dokument und beinhaltet oft ein oder zwei Konsultationsrunden.
- Übereinstimmung mit anderen Richtlinien. Besteht bereits ein Internet- und E-Mail-Protokoll, eine Telearbeitsrichtlinie oder eine Informationssicherheitsrichtlinie, müssen die Dokumente übereinstimmen. Im Streitfall sind widersprüchliche Bestimmungen das Erste, worauf die Gegenseite hinweist.
Praxisbeispiel: Ein Installationsunternehmen mit 28 Mitarbeitern ließ für 950 Euro ein Regelwerk mit zwei Risikokategorien erstellen. Die Techniker durften auf ihren eigenen Handys lediglich die Arbeitsauftrags-App und den Kalender nutzen; die Büroangestellten hatten über eine verwaltete Arbeitsumgebung Zugriff auf E-Mails und Dokumente. Ging ein Techniker sein Handy, konnte die Arbeitsumgebung innerhalb einer Stunde gelöscht werden. Eine Meldung an die niederländische Datenschutzbehörde war nicht erforderlich, da keine personenbezogenen Daten außerhalb des Containers gespeichert wurden.
Selbermachen, ein Modell kaufen oder eines anfertigen lassen
Eine kostenlose Vorlage ist zwar als Ausgangspunkt nützlich, stößt aber fast immer auf drei Probleme. Erstens enthalten die meisten Vorlagen eine allgemeine Klausel, die es dem Arbeitgeber erlaubt, das Gerät zu löschen, ohne zwischen Arbeits- und Privatdaten zu unterscheiden. Genau diese Klausel ist im Streitfall nicht durchsetzbar. Zweitens fehlt der Kontrollrahmen hinsichtlich Gründe, Geltungsbereich und Schutzmaßnahmen, sodass bei einem konkreten Verdacht keine praktikable Grundlage besteht. Drittens enthält die Vorlage Standards, die sich mit eigenen Tools nicht überprüfen lassen.
Eine kostenpflichtige Vorlage aus einem Dokumentenanbieter kostet zwischen 75 und 250 Euro und ist ausreichend, wenn Sie Kalender und E-Mail nur über eine verwaltete App zulassen. Sobald Geräteverwaltung, Überwachung oder sensible Daten ins Spiel kommen, ist eine individuelle Anpassung günstiger als die Behebung des ersten Vorfalls. Wenn Sie bestehende Regelungen überprüfen lassen, bitten Sie um Textvorschläge pro Artikel anstelle einer allgemeinen Bewertung.
Ehrliche Empfehlung
Sie brauchen dafür nicht unbedingt einen Anwalt. Wenn Sie Laptops und Smartphones selbst bereitstellen oder Kalender und E-Mails nur auf privaten Geräten über eine verwaltete App mit persönlicher PIN zulassen, genügt eine Seite im Mitarbeiterhandbuch mit fünf Regeln: erlaubte Geräte, obligatorische Sperrung und Aktualisierung, keine Speicherung außerhalb der App, Meldung bei Verlust, Löschung bei Ausscheiden. Lassen Sie den IT-Administrator prüfen, ob diese Regeln mit den vorhandenen Tools umsetzbar sind – fertig.
Stellen Sie sicher, dass entsprechende Regelungen erstellt werden, sobald Kundendateien, Finanzsysteme oder besondere personenbezogene Daten auf Ihren eigenen Geräten gespeichert werden, sobald Sie Überwachungs- oder Geräteverwaltungssysteme einführen oder sobald ein Betriebsrat die Zustimmung benötigt. In diesen Fällen legt der Regelungstext fest, ob Sie im Falle eines Vorfalls Daten löschen und überwachen dürfen und ob Sanktionen verhängt werden. Vereinbaren Sie einen Festpreis inklusive Empfangsbestätigung und gegebenenfalls der Einholung der Zustimmung.
Lesen Sie mehr: Was ist eine Bring Your Own Device-Richtlinie und wie erstellt man eine solche Richtlinie? Sie können dies direkt über die zur Bring Your Own Device-Richtlinie.
Häufig gestellte Fragen
Die Erstellung grundlegender Regelungen kostet in der Regel zwischen 750 und 1.100 Euro. Bei Themen wie Geräteverwaltung, Monitoring oder der Verarbeitung besonderer personenbezogener Daten liegen die Kosten zwischen 1.200 und 2.000 Euro. Die Überprüfung bestehender Regelungen kostet üblicherweise zwischen 350 und 650 Euro, inklusive Textvorschlägen pro Artikel.
Ein bis drei Wochen: Bestandsaufnahme, Risikobewertung, Entwurf, Abstimmung mit dem IT-Administrator und Implementierung. Falls die Zustimmung des Betriebsrats erforderlich ist, rechnen Sie je nach Konsultationszyklus mit weiteren vier bis acht Wochen.
Denn ein Standard, der nicht überprüfbar ist, ist kein Standard. Jede Anforderung in den Vorschriften muss messbar und mit den verfügbaren Managementinstrumenten durchsetzbar sein. Andernfalls haben Sie am Ende eine Regel auf dem Papier, die Ihnen im Schadensfall schadet, weil Sie deren Einhaltung selbst nicht sichergestellt haben.
Als Ausgangspunkt ja. Achten Sie dann auf drei Punkte, die fast immer fehlen oder falsch ausgeführt werden: die Unterscheidung zwischen dem Löschen der Arbeitsumgebung und des gesamten Geräts, ein Kontrollrahmen mit Begründung, Geltungsbereich und Sicherheitsvorkehrungen sowie Standards, die mit Ihren eigenen Tools überprüft werden können.
Eine Übersicht darüber, wer welche persönlichen Geräte nutzt und welche Daten darauf gespeichert sind, welche Management-Tools zur Verfügung stehen, welches Internet- und E-Mail-Protokoll bzw. welche Informationssicherheitsrichtlinie gilt und ob ein Betriebsrat existiert. Damit lässt sich die Risikoklassifizierung in einem einzigen Durchgang abschließen.
Nur wenn ein Betriebsrat besteht, aber dann fast immer. Die Regelungen enthalten Bestimmungen zur Überwachung des Verhaltens oder der Leistung (Artikel 27 Absatz 1 Buchstabe k des Betriebsratsgesetzes) und zur Verarbeitung personenbezogener Daten der Beschäftigten (Buchstabe l). Ohne Einwilligung kann die Regelung für ungültig erklärt werden.
Bei jeder Änderung der verwendeten Systeme oder Management-Tools und darüber hinaus alle zwei Jahre sollten Sie mindestens überprüfen, ob die Sicherheitsstandards noch dem aktuellen Stand der Technik entsprechen und ob das Kontrollframework noch mit Ihren Dokumentationen übereinstimmt.
