Neu
Dokument-ID: 1233101
3.3 Bring Your Own Device (BYOD) – Was ist zu tun und zu prüfen?
- Klären, ob BYOD im Unternehmen überhaupt zugelassen werden soll und in welchem Umfang (zB nur Smartphones oder auch Laptops und Tablets)
- Prüfen, ob es arbeitsrechtliche, betriebsverfassungsrechtliche oder kollektivvertragliche Vorgaben gibt, die BYOD einschränken oder verbieten
- Eine verbindliche BYOD-Richtlinie erstellen, die Regeln zur Nutzung privater Geräte im Unternehmenskontext eindeutig festlegt
- Festlegen, für welche Tätigkeiten BYOD erlaubt ist (zB Zugriff auf E-Mails, Kalender, Kollaborationstools, interne Webanwendungen)
- Technische Mindestanforderungen an verwendbare Geräte definieren (zB aktuelles Betriebssystem, Passwortschutz, Verschlüsselung)
- Sicherstellen, dass auf privaten Geräten keine sicherheitskritischen Lücken bestehen (zB Jailbreak, veraltete Software, fehlender Virenschutz)
- Zugriffe auf Unternehmensdaten nur über abgesicherte, verschlüsselte Verbindungen zulassen (zB VPN, TLS-gesicherte Webanwendungen)
- Einsatz eines Systems prüfen, um Unternehmensdaten zentral verwalten und löschen zu können
- Trennung zwischen privaten und geschäftlichen Daten auf dem Gerät sicherstellen (zB durch Container-Lösungen oder Sandbox-Apps)
- Zugriff auf besonders schützenswerte Daten (zB Gesundheitsdaten, personenbezogene Kundendaten) technisch und organisatorisch beschränken
- Datenschutzrechtliche Anforderungen gem DSGVO umsetzen, insbesondere durch Privacy by Design und Privacy by Default
- Betroffene Mitarbeitende über Datenverarbeitungen, Zugriffsrechte und Kontrollmechanismen vollständig und transparent informieren
- Rechenschaftspflicht und Dokumentationspflichten im Datenschutz berücksichtigen (zB technische Schutzmaßnahmen protokollieren)
- Klären, ob private Cloud-Dienste oder Apps auf dem Gerät ein Datenabflussrisiko darstellen und ggf einschränken
- Nutzungsbedingungen für BYOD in einer gesonderten Nutzungsvereinbarung individuell mit Mitarbeitenden regeln
- Regeln, ob und in welchem Umfang private Nutzung dienstlicher Anwendungen (zB E-Mail-App) auf dem privaten Gerät erlaubt ist
- Klarstellen, wer für Schäden am privaten Gerät während der dienstlichen Nutzung haftet – oder ob keine Haftung übernommen wird
- Festlegen, wie mit einem Verlust oder Diebstahl des privaten Geräts umgegangen wird (zB sofortige Meldung, Fernlöschung von Unternehmensdaten)
- Klären, welche Maßnahmen beim Ausscheiden eines Mitarbeitenden ergriffen werden (zB Entfernung der dienstlichen Apps und Daten)
- Regelmäßig überprüfen, ob eingesetzte Geräte und BYOD-Nutzende weiterhin den Sicherheitsanforderungen entsprechen
- Schulungen und Awareness-Maßnahmen anbieten, um Mitarbeitende für Sicherheitsrisiken und Datenschutz bei BYOD zu sensibilisieren
- Klären, ob IT-Support für private Geräte angeboten wird, in welchem Umfang und mit welchen Einschränkungen
- Betriebsvereinbarungen oder Datenschutzfolgeabschätzungen durchführen, wenn das Ausmaß der Datenverarbeitung dies erforderlich macht
- Ggf alternative Modelle wie „Corporate Owned, Personally Enabled (COPE)“ prüfen, falls BYOD zu viele rechtliche oder technische Risiken birgt
