§ 7 Homeoffice / IV. Datenschutz und Homeoffice

Rz. 56

Der Homeoffice-Beschäftigte ist auf die Einhaltung einschlägiger Datenschutzvorschriften zu verpflichten sowie auf die notwendigen Maßnahmen bei der Bearbeitung von personenbezogenen Daten am häuslichen Arbeitsplatz hinzuweisen. Jede Bearbeitung personenbezogener Daten zwingt zur Beachtung der einschlägigen datenschutzrechtlichen Vorschriften. Insofern muss der Arbeitgeber geeignete Maßnahmen treffen, dass personenbezogene Daten gerade bei häuslicher Telearbeit vor unberechtigten Dritten geschützt werden. Hier bietet es sich etwa an, die vom Beschäftigten zu bearbeitenden Daten durch Passwörter oder Benutzerkennungen besonders vor dem Zugriff Unberechtigter zu sichern.^[132] Eine Verpflichtung zum Datenschutz folgt aus Art. 5 Abs. 1 Buchst. f, 24 f. DSGVO (§ 9 BDSG a.F.^[133]). Nach Art. 24 Abs. 1 DSGVO muss der Verantwortliche unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen umsetzen, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß der DSGVO erfolgt. Zudem trifft den Arbeitgeber nach Art. 25 Abs. 2 DSGVO die Pflicht, durch Voreinstellungen sicherzustellen, dass nur personenbezogene Daten verarbeitet werden, die für den jeweiligen bestimmten Verarbeitungszweck erforderlich sind.^[134] Auch Art. 5 Abs. 1 Buchst. f DSGVO verlangt, dass personenbedingte Daten in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete und organisatorische Maßnahmen. Der Arbeitgeber hat, um ein dem Risiko für die Rechte und Freiheiten natürlicher Personen angemessenes Schutzniveau sicherzustellen, vor der Einführung dieser Maßnahmen, u.a. den Stand der Technik, die Implementierungskosten, die Risikoparameter sowie die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung zu berücksichtigen und die technischen und organisatorischen Maßnahmen darauf abzustimmen. Kommt es zudem zu einer automatisierten Verarbeitung personenbezogener Daten, ist dem Arbeitgeber anzuraten, sich für die Zielrichtung der zu treffenden Maßnahmen an § 64 Abs. 3 S. 1 BDSG zu orientieren, auch wenn der Arbeitgeber die Voraussetzungen des § 45 S. 1 BDSG nicht erfüllt.^[135] Auf Grund dieser umfassenden Pflicht wird vielfach bezweifelt, ob die Einrichtung eines Homeoffice datenschutzrechtlich noch zulässig ist, wenn dort personenbezogene Daten verarbeitet werden.^[136] Insofern wäre anzuraten, dass bereits im Homeoffice-Arbeitsvertrag niedergelegt wird, dass die häusliche Arbeit nur in einem verschließbaren Raum ausgeübt wird und dieser Raum dann nach Beendigung der Arbeit vom Beschäftigten abzuschließen ist. Dies sollte erst recht vereinbart werden, wenn der Arbeitnehmer Zugriff auf Geschäftsgeheimnisse hat.^[137] Darüber hinaus sollte festgelegt werden, dass die vom Beschäftigten verwendeten EDV-Komponenten ausschließlich zu dienstlichen Zwecken und nur durch den Beschäftigten genutzt werden dürfen. Zu den sicherheitstechnischen Maßnahmen ist im Einzelnen auf die instruktive Darstellung im IT-Grundschutz-Kompendium des Bundesamtes für Sicherheit in der Informationstechnik zu verweisen.^[138] Unabhängig davon kann aber der Umstand, dass ein Arbeitgeber Telearbeit einführt, in keinem Fall dazu führen, dass das datenschutzrechtliche Schutzniveau, welches der Gesetzgeber zum Schutz der Persönlichkeitsrechte Dritter vorgegeben hat, abgesenkt wird.^[139] Der Arbeitgeber kann also nicht mit entlastender Wirkung die datenschutzrechtlichen Pflichten auf den Arbeitnehmer übertragen, allerdings ist der Arbeitnehmer von Seiten des Arbeitgebers anzuhalten, die datenschutzrechtlichen Vorgaben strikt zu befolgen.

[132] Peter, DB 1998, 573, 576.

[133] Schwiering/Zurel, ZD 2016, 17, 20; Haupt, Der virtuelle Arbeitsplatz, Diss. 2004, S. 27.

[134] Richter, ArbRAktuell 2019, 142, 144; vertiefend Müller, Homeoffice in der arbeitsrechtlichen Praxis, 2. Auflage 2020, Rn. 193.

[135] Müller, Homeoffice in der arbeitsrechtlichen Praxis, 2 Auflage 2020, Rn 193 f.

[136] Vgl. Wank, Telearbeit, Rn 491 m.w.N.; Schwiering/Zurel, (a.a.O.) gehen von der Unzulässigkeit der Telearbeit zumindest dann aus, wenn kein "ausreichendes Schutzniveau" erreicht wird.

[137] Schiefer/Worzalla, DB 2019, 1904, 1907 m.w.N.

[138] Siehe: M 2 bis M 6 in: BSI, IT-Grundschutz-Kataloge, Bonn, Stand 15. EL 2016 (https://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKataloge/itgrundschutzkataloge_node.html). Siehe OPS.1.2.4 und INF.8 in: BSI, IT-Grundschutz-Kompendium, Bonn, 2021 (https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/IT-Grundschutz-Kompendium/it-gru...