MKB Juristen entwirft individuelle Rechtsdokumente
Es empfiehlt sich, wichtige Verträge, Geschäftsbedingungen und andere juristische Dokumente nicht selbst zusammenzustellen oder zu kopieren. Wir unterstützen Unternehmer mit begrenztem Budget mit maßgeschneiderten Rechtslösungen, transparenten Kosten im Voraus und verständlichen Erklärungen.
- Kundenspezifische Verträge, Geschäftsbedingungen und Rechtsdokumente
- Budgetfreundlich und transparent hinsichtlich der Kosten im Voraus
- Fordern Sie eine kostenlose Beratung oder ein unverbindliches Angebot an
Wer eine Bring-Your-Own-Device-Richtlinie (BYOD) erstellen möchte, muss das Dokument anhand von vier Kernfragen strukturieren: Welche Geräte und Daten sind abgedeckt? Welche Sicherheitsanforderungen gelten? In welchem Umfang darf der Arbeitgeber die Nutzung überwachen? Und was geschieht bei Verlust, Zwischenfällen oder Ausscheiden aus dem Unternehmen? Alles Weitere ist eine Ausarbeitung. Im Folgenden finden Sie kapitelweise die Inhalte sowie die rechtlichen Rahmenbedingungen.
Die kurze Antwort
- Anwendungsbereich: welche Mitarbeiter, welche Geräte und welche Daten.
- Sicherheitsanforderungen: Verschlüsselung, Bildschirmsperre, Updates, separate Arbeitsumgebung (Art. 32 DSGVO).
- Verbotene Nutzung: veraltete Betriebssysteme, Geräte mit entfernten Sicherheitsbeschränkungen, gemeinsam genutzte Familiengeräte, externe Speicherung.
- Kontrolle: Gründe, Anwendungsbereich, Entscheidungsträger und anwendbare Schutzmaßnahmen (Art. 8 EMRK und Art. 6 Abs. 1 lit. f DSGVO).
- Vorfälle: Meldefrist für Verlust oder Diebstahl und Verfahren bei Datenschutzverletzungen (Art. 33 und 34 DSGVO).
- Ausscheiden und Sanktionen: Entfernung von Firmendaten und die Folgen eines Verstoßes.
Erstellung einer Bring-Your-Own-Device-Richtlinie: Beginnen Sie mit dem Geltungsbereich
Das erste Kapitel legt fest, wie streng die übrigen Bestimmungen sein dürfen. Daher erfolgt eine Risikoteilung. Ein Mitarbeiter, der lediglich Kalender und E-Mails auf seinem Smartphone nutzen möchte, benötigt andere Regelungen als ein Verantwortlicher, der mit Finanzsystemen arbeitet, oder ein Mitarbeiter im Gesundheitswesen, der besondere Kategorien personenbezogener Daten verarbeitet. Arbeiten Sie mit zwei oder drei Kategorien, beispielsweise grundlegende, erweiterte und verbotene Daten, und verknüpfen Sie die zulässigen Daten mit den erforderlichen Maßnahmen innerhalb jeder Kategorie.
Geben Sie außerdem explizit an, welche Geräte einbezogen werden: Smartphone, Tablet, Laptop, privater Desktop-PC sowie gegebenenfalls auch tragbare Speichermedien und Smartwatches. Schließen Sie gemeinsam genutzte Geräte aus. Ein Familienlaptop, der von Kindern benutzt wird, erfüllt fast nie die Sicherheitsanforderungen und ist die häufigste Ursache für Sicherheitsvorfälle. Weisen Sie ferner darauf hin, dass die Teilnahme freiwillig ist und dass Mitarbeitende, die nicht teilnehmen möchten, Firmenequipment erhalten. Ohne diese Alternative ist die Freiwilligkeit nur Fassade.
Die Sicherheitsanforderungen
Dieses Kapitel ist im Falle eines Vorfalls entscheidend. Art. 32 DSGVO schreibt geeignete technische und organisatorische Maßnahmen vor, die auf das jeweilige Risiko abgestimmt sind. Im Einzelnen:
- Getrennte Arbeitsumgebung: Geschäftsdaten ausschließlich in einem verwalteten Container oder einer App, niemals im allgemeinen Dateispeicher des Geräts.
- Verschlüsselung des Geräts oder zumindest der Arbeitsumgebung.
- Bildschirmsperre per Code oder Biometrie mit maximaler Sperrzeit.
- Aktuelle Software: Betriebssystem und Apps innerhalb eines festgelegten Zeitraums aktualisieren.
- Multifaktor-Authentifizierung für den Zugriff auf Geschäftssysteme.
- Netzwerk: Keine Geschäftsdaten über offenes WLAN ohne sichere Verbindung.
- Backup: Geschäftsdaten werden nicht in einer privaten Cloud gesichert, um zu verhindern, dass Daten außerhalb der Arbeitsumgebung gelangen.
Jede Anforderung muss in einen überprüfbaren Standard übersetzt werden. Nicht „Das Gerät muss ausreichend sicher sein“, sondern „Das Betriebssystem wird innerhalb von dreißig Tagen nach Veröffentlichung eines Sicherheitsupdates aktualisiert“. Nur so lässt sich später feststellen, ob und welcher Verstoß vorliegt.
Die Grenzen der Kontrolle
Die Überwachung privater Geräte verstößt gegen das Recht auf Achtung des Privatlebens gemäß Artikel 8 EMRK. Im Fall Bărbulescu gegen Rumänien vom 5. September 2017 erläuterte der Europäische Gerichtshof für Menschenrechte die Kernpunkte: Der Arbeitnehmer muss im Voraus über Art und Umfang der Überwachung informiert werden, es muss ein legitimer Zweck vorliegen, die Maßnahme muss notwendig sein und es dürfen keine weniger eingreifenden Mittel zur Verfügung stehen. Nach der DSGVO ist die übliche Rechtsgrundlage das berechtigte Interesse gemäß Artikel 6 Absatz 1 Buchstabe f DSGVO. Die Einwilligung des Arbeitnehmers ist in der Regel nicht ausreichend, da eine solche Einwilligung in einem Autoritätsverhältnis selten freiwillig erteilt wird.
Erläutern Sie das Kapitel daher wie folgt:
- Standardmäßig werden folgende Daten protokolliert: Gerätestatus, Versionsnummern, Anmeldeversuche. Es werden keine Meldungen übermittelt.
- Wann eine weitere Überprüfung möglich ist: im Falle eines konkreten und begründeten Verdachts einer schwerwiegenden Verletzung oder eines Datenlecks.
- Wer entscheidet: vorzugsweise zwei Personen, zum Beispiel die Geschäftsführung zusammen mit dem Datenschutzbeauftragten oder dem IT-Manager.
- Was außer Acht gelassen wird: private Fotos, private Kommunikation, Gesundheits-Apps und alles außerhalb des Arbeitsumfelds.
- Berichterstattung: ein kurzer Bericht über jede Inspektion, wobei das Inspektionsrecht für den Mitarbeiter gilt.
Führen Sie eine systematische Überwachung ein, prüfen Sie, ob eine Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO erforderlich ist. Beachten Sie außerdem, dass der Betriebsrat ein Einwilligungsrecht hinsichtlich Regelungen zur Überwachung von Verhalten oder Leistung (Art. 27 Abs. 1 Buchst. k Betriebsratsgesetz) und zur Verarbeitung personenbezogener Daten von Beschäftigten (Buchst. l) hat. Ohne Einwilligung kann die Regelung für unwirksam erklärt werden, sodass Sie sich nicht mehr darauf berufen können.
Vorfälle, Abreise und Sanktionen
Die letzte Phase umfasst drei Verfahrensschritte. Im Falle von Verlust oder Diebstahl meldet der/die Mitarbeiter/in dies unverzüglich und gibt einen konkreten Zeitraum in Stunden sowie eine Kontaktperson an, die auch außerhalb der Geschäftszeiten erreichbar ist. Der Arbeitgeber prüft anschließend, ob ein Datenschutzverstoß vorliegt, und meldet dies gegebenenfalls innerhalb von 72 Stunden der niederländischen Datenschutzbehörde (Art. 33 DSGVO) und in Fällen mit hohem Risiko auch den betroffenen Personen (Art. 34 DSGVO). Es ist festzulegen, dass der Arbeitgeber berechtigt ist, die Arbeitsumgebung aus der Ferne zu löschen, und dass dies nur diese spezifische Arbeitsumgebung betrifft.
Bei Beendigung des Arbeitsverhältnisses muss die Löschung der Firmendaten Teil des Austrittsverfahrens sein und durch eine kurze, vom Mitarbeiter unterzeichnete Bestätigung ergänzt werden. Dies ist nicht nur eine Frage der DSGVO: Auch das Gesetz zum Schutz von Geschäftsgeheimnissen schützt vertrauliche Informationen nur, wenn der Inhaber angemessene Maßnahmen zu deren Geheimhaltung getroffen hat. Ein nachweisbares Austrittsverfahren ist eine solche Maßnahme. Darüber hinaus sollte geregelt werden, was mit der Reparatur, dem Verkauf oder der Inzahlungnahme des während des Arbeitsverhältnisses genutzten Geräts geschieht.
Bezüglich Sanktionen gelten die üblichen arbeitsrechtlichen Maßnahmen, von der Verwarnung bis zur Kündigung bei schwerwiegenden Verstößen. Soll eine Geldbuße verhängt werden, gelten die Bestimmungen des Artikels 7:650 des niederländischen Bürgerlichen Gesetzbuches, einschließlich einer schriftlichen Vereinbarung, die den Zweck der Geldbuße und deren Höchstbetrag festlegt. Für Arbeitnehmer mit einem Gehalt über dem Mindestlohn ist eine schriftliche Abweichung zulässig. In der Praxis ist der Entzug der BYOD-Zustimmung, verbunden mit der Bereitstellung von Firmenausrüstung, wirksamer als eine Geldbuße.
Praxisbeispiel: In einer Verwaltung war die Nutzung privater Geräte ohne Kategorisierung erlaubt. Ein Mitarbeiter speicherte Kundendateien in seiner privaten Cloud, die sich auch auf dem Tablet seines Partners befand. Nach Einführung von Richtlinien mit einem obligatorischen Arbeitscontainer und einem ausdrücklichen Verbot der privaten Cloud-Speicherung wurde das Problem strukturell gelöst, ohne dass jemand sein Handy abgeben musste.
Ehrliche Empfehlung
Sie benötigen dafür nicht immer einen Anwalt. Wenn Sie Kalender und E-Mail nur über eine verwaltete App mit eigener PIN zulassen, keine besonderen personenbezogenen Daten verarbeiten und keinen Betriebsrat haben, genügt eine Seite im Mitarbeiterhandbuch: zulässige Geräte, obligatorische Bildschirmsperre und Updates, Verbot der Speicherung außerhalb der App, Meldepflicht bei Verlust und Löschung bei Ausscheiden aus dem Unternehmen.
Stellen Sie sicher, dass Regelungen erstellt werden, sobald Mitarbeiter mit ihren eigenen Geräten auf Kundendateien, Finanzsysteme oder sensible personenbezogene Daten zugreifen, sobald Sie Geräteverwaltung oder -überwachung einführen oder sobald ein Betriebsrat eine Genehmigung benötigt. Insbesondere das Kapitel zur Überwachung und das Kapitel zu Sanktionen entscheiden darüber, ob Sie im Falle eines Vorfalls tatsächlich eingreifen dürfen und ob eine Maßnahme vor Gericht Bestand hat.
Lesen Sie mehr: Was ist eine Bring Your Own Device-Richtlinie und wie wird eine solche Richtlinie erstellt? Sie können dies direkt über die zur Bring Your Own Device-Richtlinie.
Häufig gestellte Fragen
Der Anwendungsbereich (wer, welche Geräte, welche Daten), die Sicherheitsanforderungen, verbotene Nutzungen, die Grenzen und Sicherheitsvorkehrungen der Kontrolle, das Meldeverfahren im Falle von Verlust oder Diebstahl, die Löschung von Unternehmensdaten bei Ausscheiden und die Folgen von Verstößen.
Jede Anforderung sollte in einen Standard mit einer Zahl oder einem Zeitlimit übersetzt werden. Das bedeutet beispielsweise nicht, dass das Gerät ausreichend sicher sein muss, sondern dass das Betriebssystem innerhalb von dreißig Tagen nach einem Sicherheitsupdate aktualisiert wird, die Bildschirmsperre nach maximal zwei Minuten aktiviert wird und Unternehmensdaten ausschließlich in der verwalteten Arbeitsumgebung gespeichert werden.
Nur soweit erforderlich und verhältnismäßig, nach vorheriger und eindeutiger Information des Mitarbeiters (Art. 8 EMRK). Rechtsgrundlage ist in der Regel das berechtigte Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO; in einem Autoritätsverhältnis wird die Einwilligung selten freiwillig erteilt. Die Standardüberwachung ist auf Gerätestatus und Zugriffsprotokolle zu beschränken; inhaltliche Prüfungen sind nur bei konkretem Verdacht durchzuführen.
Nur die Arbeitsumgebung ist zulässig, und auch nur, wenn dies im Voraus festgelegt wurde. Eine vollständige Löschung betrifft auch private Dateien und kann ohne Rechtsgrundlage rechtswidrig sein. Arbeiten Sie daher mit einem separaten Container und beschreiben Sie in den Richtlinien genau, was bei einer Löschung gelöscht wird und was nicht.
Fast immer, da die Regelungen Bestimmungen zur Überwachung des Verhaltens oder der Leistung (Art. 27 Abs. 1 Buchst. k Betriebsratsgesetz) und zur Verarbeitung personenbezogener Daten der Arbeitnehmer (Buchst. l) enthalten. Ohne die Zustimmung oder ersatzweise Genehmigung des Amtsrichters kann der Betriebsrat die Nichtigkeit geltend machen, und Sie können sich nicht auf die Regelung berufen.
Das ist möglich, allerdings gelten dann die Anforderungen von Artikel 7:650 des niederländischen Bürgerlichen Gesetzbuches: eine schriftliche Vereinbarung, die die strafbare Bestimmung, den Verwendungszweck der Geldbuße und deren Höchstbetrag festlegt. Bei Löhnen über dem Mindestlohn ist eine schriftliche Abweichung zulässig. In der Praxis hat sich jedoch die Kombination aus dem Widerruf der BYOD-Einwilligung und der Bereitstellung von Firmenausrüstung als effektiver erwiesen.
Bieten Sie stets eine Alternative in Form von Firmeneigentum an. Sie können einen Mitarbeiter nicht zwingen, sein eigenes Eigentum dem Arbeitgeber zu übergeben, und ohne eine Alternative ist die Freiwilligkeit nur vorgetäuscht. Legen Sie diese Alternative ausdrücklich in den Betriebsordnungen fest.
