§ 1a Individualarbeitsrecht – Teil 1 / f) Bring your own device (BYOD)

Rz. 1369

Das Konzept von BYOD sieht den Einsatz privater mobiler Endgeräte sowie privater Software (z.B. Apps oder Datenbanken^[3131]) zu Arbeitszwecken vor,^[3132] also dass Arbeitnehmer Arbeit nicht auf den zu diesem Zweck bereitgestellten Arbeitsmaterialien erbringen, sondern vielmehr ihr eigenes mobiles Datengerät (Laptop, Tablet, Smartphone und andere mobile Geräte) für die Arbeit verwenden.

Aus Sicht des Arbeitgebers ist BYOD mit Vorsicht zu genießen. Allein aus datenschutzrechtlicher Sicht ist zu beachten, dass der Arbeitgeber weiterhin Verantwortlicher im Sinne von Art. 4 Nr. 7 DS-GVO bleibt.^[3133] Er steht damit für die Einhaltung des Datenschutzes ein, auch wenn er auf die Geräte seiner Arbeitnehmer nur eingeschränkt zugreifen kann. Auch aus Sicht der Datensicherheit liefert das Konzept von BYOD zahlreiche Risiken. Das private Endgerät eines Arbeitnehmers kann leicht zum Einfalltor von Malware und Viren werden.^[3134] Beim privaten Gerät hat der Arbeitgeber nahezu keine Kontrolle über die installierten Apps, die Schadstoffsoftware enthalten können.^[3135] Bei Verlust des BYOD-Geräts besteht keine Löschungsmöglichkeit, weil auch private Daten des Arbeitnehmers betroffen wären. Eine Lösung können sog. Container-Apps darstellen. Alle Daten des Arbeitgebers sind dann in diesem Container gespeichert, der von den restlichen Anwendungen des privaten Geräts unabhängig ist. Diese Inhalte können dann bei Abhandenkommen des Geräts ohne Einfluss auf sonstige gespeicherte Daten gelöscht werden. Des Weiteren kann es sich als problematisch erweisen, interne Ermittlungen auf die privaten Endgeräte auszuweiten.^[3136]

Entscheidet man sich trotz aller Risiken zur Einführung von BYOD, erfordert dies eine geeignete Rechtsgrundlage. Das arbeitgeberliche Direktionsrecht ist hierzu nicht ausreichend.^[3137] Nach § 106 GewO lassen sich nämlich nur Inhalt, Ort und Zeit der Arbeitsleistung sowie die betriebliche Ordnung und das Verhalten von Arbeitnehmern im Betrieb näher bestimmen. Der Arbeitgeber hat zudem die Arbeitsmittel bereitzustellen und kann grundsätzlich nicht den Arbeitnehmer dazu verpflichten. Die Implementierung von BYOD bedarf einer ausdrücklichen arbeitsvertraglichen Regelung.^[3138] Auch der Abschluss einer Betriebsvereinbarung ist in der Sache empfehlenswert.^[3139] Die Einführung und Durchführung von BYOD unterliegt gem. § 87 Abs. 1 Nr. 1, 2 und 6 BetrVG dem kollektivrechtlichen Mitbestimmungsrecht.^[3140]

Rz. 1370

Probleme bei der Einbringung privater IT in den Arbeitsprozess bestehen vor allem in Hinblick auf den Datenschutz, die Datensicherung und den Verlust der eingebrachten Geräte oder Software und die damit einhergehenden erheblichen Sicherheitsrisiken. Bei den verwendeten Geräten und der eingebrachten Software muss der Arbeitgeber für die Einhaltung der Datensicherheit gem. Art. 24 und 32 DSGVO sorgen.^[3141] Um ein unzulässiges Eindringen in die Privatsphäre des Arbeitnehmers zu verhindern, empfiehlt sich der Abschluss einer Betriebsvereinbarung, in der die technische Trennung von dienstlichen und privaten Daten geregelt wird.^[3142] Zum anderen sind Regelungen darüber zu treffen, mit welchem Pauschalbetrag der Arbeitgeber die Nutzung des Privatgerätes abgilt. Ist dieser zu gering, stehen dem Arbeitnehmer u.U. Ersatzansprüche zu.^[3143] Des Weiteren ist der Umfang der Nutzung klar in einer Nutzungsvereinbarung zu regeln. Darin liegt eine notwendige Vorkehrung für den Arbeitgeber, um die Haftung im Schadensfalle zu begrenzen.^[3144] Um den Anforderungen des Art. 24 DSGVO gerecht zu werden, müssen Arbeitgeber sicherstellen, dass unternehmensfremde Dritte wie Familie und Freunde oder eben auch Unbefugte wie Finder oder Diebe keinen Zugriff auf die Daten haben, Malware nicht in das System gelangen kann, das Ausspähen der Daten durch Konkurrenten ausgeschlossen ist und die Daten nicht durch Nutzung einer (unsicheren) Public Cloud verwundbar werden. Es sollte bei der Verarbeitung von sensiblen unternehmensbezogenen Daten nur auf zur Verfügung gestellte oder vom Arbeitgeber genehmigte Programme zurückgegriffen werden.^[3145] Bei der Verwendung von Messenger-Diensten, wie WhatsApp oder Outlook, wird regelmäßig auf das Kontaktverzeichnung des Nutzers zurückgegriffen, um zu ermitteln, welche Kontakte des Nutzers bereits bei dem entsprechenden Dienst registriert sind. Dabei werden auch Kontaktdaten von Personen übermittelt, die den Dienst nicht nutzen.^[3146] So können unternehmensbezogenen Daten von Kunden, Lieferanten, eigenen und fremden Arbeitnehmern sowie sonstigen Ansprechpartnern an private Apps weitergeben werden. Empfehlenswert ist die Container Lösung, die eine Trennung von privaten und dienstlichen Daten ermöglicht, und Unternehmensdaten so vor dem Zugriff von privaten Apps schützt. Exemplarisch für den Fall des Verlustes oder des Diebstahls besteht die Verpflichtung des Arbeitgebers darin, geeignete Methoden zur Fernlöschung der Daten bereitzuhalten sowie die regelmäßige automatische Datensicherung auf unternehmense...