GEDANKEN & FACHLICHE EINORDNUNG
Blog
Impulse zu Governance, Informationssicherheit und KI.
Auch aus datenschutzrechtlicher Sicht kann es zu Schwierigkeiten bei Bring your own Device kommen. Anforderungen an den Datenschutz gibt es in Bezug auf die Zugriffskontrolle auf Unternehmensdaten, sowie im Umgang mit privaten Daten.
Einordnung · 6. November 2026. Die genannten älteren Datenschutzvorschriften beschreiben den damaligen Rechtsstand. Für heutige BYOD-Vereinbarungen sind insbesondere die DSGVO und der Beschäftigtendatenschutz zu prüfen; technische Zugriffsmöglichkeiten ersetzen keine tragfähige Rechtsgrundlage. § 26 BDSG.
Daher muss aus datenschutzrechtlicher Sicht bei der Verarbeitung von Daten der Nutzer erfasst werden aufgrund von Vorschriften zu technischen und organisatorischen Maßnahmen, auf der anderen Seite jedoch ist der Arbeitgeber nicht berechtigt die bei der privaten Nutzung angefallenen personenbezogenen Daten zu kontrollieren. Denn grundsätzlich setzt die Verarbeitung personenbezogener Daten die Einwilligung des Betroffenen oder eine gesetzliche Erlaubnis voraus. Beide gelten nur für das jeweilige Unternehmen
Daher genießen private Daten, zu denen auch E-Mails gehören, besonderen Schutz aufgrund des Datenschutz- und Persönlichkeitsrechts. Die dienstliche Nutzung des Internets und das Versenden von privaten Mails kann vom Arbeitgeber unterbunden werden, entsprechend dem Fernmeldegesetz. Dies kann allerdings, sofern das Endgerät dem Nutzer gehört, nur für die dienstliche Nutzung untersagt werden. Falls es in dem Unternehmen einen Betriebs- oder Personalrat gibt muss dieser bei einer eventuellen Überprüfung einbezogen werden. Auch ist die Überprüfung von zeitbasierten Regelungen nur schwierig möglich aufgrund von meist flexiblen Arbeitszeiten. Ebenso ist es schwierig die Nutzung von sozialen Netzwerken auf Smartphones in privat und dienstlich zu unterteilen, da es häufig keine getrennten Accounts, wie beispielsweise bei E-Mails gibt.
Ein weiterer wichtiger Punkt ist der Datenverlust. Daher sollten sowohl Mitarbeiter Backups von privaten Daten als auch die Unternehmen Backups von dienstlichen Daten machen. Hierbei darf es zu keiner Vermischung der Daten kommen. Bei dem Einsatz von Datensynchronisierungs-Diensten sollte daher streng darauf geachtet werden, welche Daten gespeichert werden, damit nicht unternehmensinterne Daten auf externen Servern landen. Bestenfalls sollten daher keine unternehmensinternen Daten lokal auf dem Endgerät gespeichert sein, sondern nur in virtuellen oder webbasierten Anwendungen.
Daher kann man sich vorstellen, dass gerade Mitarbeiter die IT Strategie Bring your own Device gegenüberstehen. Sie befürchten, dass ihr Unternehmen oder gar Kollegen unberechtigten Zugriff auf ihre privaten Daten erhalten.
Die Datentrennung aus Sicht der betroffenen Person prüfen. Lassen Sie an einem Testgerät erklären, welche privaten Inhalte die Administration sehen oder verändern kann. Diese Grenzen müssen mit dem vereinbarten Zweck und der rechtlichen Prüfung zusammenpassen.
Eine umfassende Auseinandersetzung mit ISO/IEC 27001 und ihrem Einsatz zur systematischen Informationssicherheitssteuerung. Im Vordergrund stehen ein wirksames ISMS, die Zuordnung von Verantwortung und belastbare Nachweise.
Von Dr. Markus Groß
Die damalige Beobachtung zu „Datenschutz und BYOD“ wird hier nicht ersetzt, sondern praktisch weitergedacht. Im Fokus stehen bei Berechtigungsumfang überprüfbare Voraussetzungen, erkennbare Grenzen und ein im Alltag belastbarer Umgang.
Im Mittelpunkt von „Datenschutz und BYOD“ steht weniger das Schlagwort als die damit verbundene Entscheidung: Es ist zu klären, wer Nutzen, Aufwand und Risiko tatsächlich trägt. Beim Schwerpunkt „Datenschutz und BYOD“ geht es um die Trennung privater und geschäftlicher Daten sowie die Grenzen betrieblicher Kontrolle sowie um den Bezug zu „Beschäftigtendaten“; zu entscheiden ist, welche Verarbeitung erforderlich, verhältnismäßig und für Betroffene nachvollziehbar ist. Dabei bleibt folgende Grenze maßgeblich: Technische Machbarkeit ist keine automatische Rechtfertigung für umfassende Sichtbarkeit oder Fernzugriffe. Statt einer neuen Parallelstruktur genügt zunächst: Belastungen nach Rolle und Personengruppe sichtbar machen. Die Dokumentation hält zwei Dinge fest – eine begründete Regel für Zuschuss, Alternative und Zumutbarkeit; zusätzlich sichtbar wird: ungeklärte Datenflüsse, Löschfristen, Beschwerden, Fehlzugriffe und nicht getrennte Speicherbereiche. Für den Dialog unter dem Beitrag ist „Messbarkeit und nachgewiesene Wirkung“ der passende Belastungstest: Gerade beim Aspekt „Beschäftigtendaten“ muss die Regel im Alltag tragen.
Für die heutige Einordnung von „Beschäftigtendaten“ ist zunächst eine Unterscheidung entscheidend: Es ist zu klären, welcher konkrete Ablauf Nutzen und Risiko gleichzeitig sichtbar macht. Beteiligt sind hier vor allem Beschäftigte, Arbeitgeber, Datenschutz, Personalvertretung, IT und Informationssicherheit; ihre Perspektiven treffen beim Aspekt „Speichertrennung“ unmittelbar aufeinander. Ein realistischer Belastungstest betrachtet den Fall, dass Schutzmaßnahmen private Inhalte erfassen oder betriebliche Daten ohne klaren Zweck auf dem Privatgerät verbleiben – betrachtet im Kontext „Verhältnismäßigkeit“. Die praktische Konsequenz heißt: Auslöser, Beteiligte, Entscheidungen und Folgen Schritt für Schritt durchspielen; der konkrete Prüfmaßstab wird aus „Aufbewahrung“ abgeleitet. Ob der Ansatz trägt, wird an folgendem Ergebnis geprüft: ein getesteter Fall mit erkannten Lücken; als Bezugspunkt dient „Verhältnismäßigkeit“. Die Ergebnisbeobachtung richtet sich auf: der Zusammenhang zwischen „Beschäftigtendaten“ und „Speichertrennung“. Der gewählte Weg sollte sich außerdem umkehren lassen, falls die Annahmen zu „Speichertrennung“ später nicht mehr tragen.
Im Mittelpunkt von „Privatsphäre“ steht weniger das Schlagwort als die damit verbundene Entscheidung: Es ist zu klären, welches stärkste sachliche Argument gegen die bevorzugte Lösung spricht. Als belastbare Grundlage dienen Verarbeitungszweck, Datenfluss, Berechtigungskonzept, Löschregeln, Information der Betroffenen und Ausnahmen; für den Aspekt „Privatsphäre“ muss ihre Herkunft nachvollziehbar bleiben. Die Entscheidung über „Aufbewahrung“ sollte deshalb ausdrücklich festhalten, welche Verarbeitung erforderlich, verhältnismäßig und für Betroffene nachvollziehbar ist. Statt einer neuen Parallelstruktur genügt zunächst: Gegenargumente nicht abwehren, sondern als Belastungstest verwenden; als Bezugspunkt dient „Fernzugriff“. Die Dokumentation hält zwei Dinge fest – eine dokumentierte Abwägung mit verbleibender Unsicherheit; zusätzlich sichtbar wird: die beobachtbare Veränderung beim Aspekt „Tests und Lernen aus erkannten Abweichungen“. Aus den vorhandenen Kommentaren lässt sich besonders der Punkt „Tests und Lernen aus erkannten Abweichungen“ aufnehmen; der konkrete Prüfmaßstab wird aus „Transparenz“ abgeleitet. Aus der Perspektive „Aufbewahrung“ entsteht daraus eine konkrete Rückfrage an die Umsetzung.
Der Ausgangspunkt dieses Beitrags führt beim Aspekt „Berechtigungsumfang“ zu einer klaren Prüffrage: Es ist zu klären, wie Person, Gerät und Berechtigung vor einem Zugriff zusammen bewertet werden. Die alltagstaugliche Übersetzung für „Berechtigungsumfang“ lautet: Datensparsame Verfahren und klare Trennungsmechanismen werden vor der Freigabe nachvollziehbar beschrieben. Damit wird zugleich die Grenze beim Aspekt „Fernzugriff“ sichtbar: Technische Machbarkeit ist keine automatische Rechtfertigung für umfassende Sichtbarkeit oder Fernzugriffe. Die praktische Konsequenz heißt: Zugriff an Identität, Kontext und Gerätezustand koppeln; „Datenschutz und BYOD“ liefert dafür den praktischen Anwendungsfall. Für Audit und Führung reicht Aktivität nicht aus; der Belastungstest erfolgt mit Blick auf „Beschäftigtendaten“. Benötigt wird folgender Nachweis: Protokolle über Erteilung, Nutzung, Entzug und Ausnahme; bewertet wird außerdem: ungeklärte Datenflüsse, Löschfristen, Beschwerden, Fehlzugriffe und nicht getrennte Speicherbereiche. Der gewählte Weg sollte sich außerdem umkehren lassen, falls die Annahmen zu „Fernzugriff“ später nicht mehr tragen.
Aus dem historischen Befund entsteht für „Speichertrennung“ eine praktische Steuerungsfrage: Es ist zu klären, wie private und geschäftliche Bereiche technisch und organisatorisch auseinanderbleiben. Kritisch wird die Lage insbesondere dann, wenn Schutzmaßnahmen private Inhalte erfassen oder betriebliche Daten ohne klaren Zweck auf dem Privatgerät verbleiben – betrachtet im Kontext „Datenfluss“. Für die beteiligten Rollen – Beschäftigte, Arbeitgeber, Datenschutz, Personalvertretung, IT und Informationssicherheit – braucht der Aspekt „Speichertrennung“ daher einen vorab geklärten Entscheidungsweg. Ein schlanker, aber wirksamer Ansatz lautet: Daten, Konten, Sicherungen und Supportgrenzen getrennt definieren. Der Prüfpfad endet nicht beim Dokument; bezogen auf „Speichertrennung“ ist die konkrete Ausprägung separat zu entscheiden. Als Verbindung zwischen Nachweis und Messung dienen: einen getesteten Nachweis für Trennung und gezielte Löschung; der Zusammenhang zwischen „Speichertrennung“ und „Datenschutz und BYOD“. Die Leserperspektive auf „wirksame Sicherheit unter realen Arbeitsbedingungen“ schärft den Blick dafür, ob „Datenschutz und BYOD“ nur beschrieben oder tatsächlich gesteuert wird.
Der Ausgangspunkt dieses Beitrags führt beim Aspekt „Betroffeneninteresse“ zu einer klaren Prüffrage: Es ist zu klären, für welche Personengruppe, Leistung und Informationsklasse die Aussage gelten soll. Folgende Messperspektive zeigt, ob sich der Aspekt „Betroffeneninteresse“ tatsächlich verbessert oder nur formell bearbeitet wurde: ungeklärte Datenflüsse, Löschfristen, Beschwerden, Fehlzugriffe und nicht getrennte Speicherbereiche. Für „Berechtigungsumfang“ bleibt dabei verbindlich: Technische Machbarkeit ist keine automatische Rechtfertigung für umfassende Sichtbarkeit oder Fernzugriffe. Die praktische Konsequenz heißt: Grenzen und Nicht-Anwendungsfälle ausdrücklich festhalten. Ob der Ansatz trägt, wird an folgendem Ergebnis geprüft: eine knappe Scope-Notiz mit Ein- und Ausschlüssen; im vorliegenden Abschnitt wird dies an „Aufbewahrung“ konkretisiert. Die Ergebnisbeobachtung richtet sich auf: die beobachtbare Veränderung beim Aspekt „Messbarkeit und nachgewiesene Wirkung“. Im Managementdialog muss beim Aspekt „Betroffeneninteresse“ erkennbar bleiben, welche Unsicherheit akzeptiert und welche aktiv reduziert wird.
Die fachliche Vertiefung von „Zweckbindung“ beginnt nicht mit einer weiteren Methode, sondern mit einer Grenze: Es ist zu klären, ob eine dritte Person Entscheidung und Durchführung ohne mündliche Rekonstruktion versteht. Beim Schwerpunkt „Zweckbindung“ geht es um die Trennung privater und geschäftlicher Daten sowie die Grenzen betrieblicher Kontrolle sowie um den Bezug zu „Zweckbindung“; zu entscheiden ist, welche Verarbeitung erforderlich, verhältnismäßig und für Betroffene nachvollziehbar ist. Ein vorschneller Schluss würde diese Grenze ignorieren: Technische Machbarkeit ist keine automatische Rechtfertigung für umfassende Sichtbarkeit oder Fernzugriffe. Operativ folgt daraus: Begründung, Zeitpunkt, Verantwortliche, Eingangsdaten und Ergebnis zusammenhalten. Überprüfbar wird der Schritt durch folgendes Ergebnis: einen reproduzierbaren Prüfpfad bis zur Quelle. Relevant bleibt dabei: ungeklärte Datenflüsse, Löschfristen, Beschwerden, Fehlzugriffe und nicht getrennte Speicherbereiche. Die Leserperspektive auf „die Grenze zwischen privaten und geschäftlichen Interessen“ schärft den Blick dafür, ob „Zweckbindung“ nur beschrieben oder tatsächlich gesteuert wird.
Als Abschluss für Datenschutz und BYOD genügen drei verbindliche Antworten zu Beschäftigtendaten: Wer entscheidet über Privatsphäre, woran wird Wirkung bei Berechtigungsumfang erkannt und welcher Auslöser führt zur erneuten Prüfung? Sind diese Punkte geklärt, wird aus dem historischen Impuls zu Speichertrennung eine belastbare Arbeitsgrundlage.
| Hinweis: Teile dieses Beitrags könnten unter Einsatz von KI-gestützten Tools erstellt oder überarbeitet worden sein. Weitere Informationen finden Sie im Impressum/Disclaimer. | Marken- und Bildrechte: Dargestellte Logos und genannten Marken liegen ausschließlich bei den jeweiligen Rechteinhabern. Nutzung erfolgt ausschließlich zu illustrativen Zwecken. |
Deine Bewertung hilft bei der Einordnung der Inhalte.
Interessant für dein Netzwerk? Teile den Beitrag direkt.
When you subscribe to the blog, we will send you an e-mail when there are new updates on the site so you wouldn't miss them.
We use cookies on our website. Some of them are essential for the operation of the site, while others help us to improve this site and the user experience (tracking cookies). You can decide for yourself whether you want to allow cookies or not. Please note that if you reject them, you may not be able to use all the functionalities of the site.
Comments 21
Spannend finde ich die praktische Seite: woran sich der praktische Nutzen des beschriebenen Vorgehens zuerst erkennen lässt. Reicht dafür zunächst ein kleiner Pilot oder braucht es sofort einen breiteren Ansatz?
Aus meiner Sicht sollte man mit einem kritischen, aber überschaubaren Fall beginnen. Daran werden fehlende Zuständigkeiten meist schneller sichtbar als in einer allgemeinen Bewertung.
Zusätzlich sollte erkennbar sein, welche Quelle maßgeblich ist. Unterschiedliche Datenstände können sonst schon vor der eigentlichen Bewertung zu Scheingenauigkeit führen.
Ich würde ebenfalls mit einem konkreten Fall starten. Wichtig sind dabei eine eindeutige Zuständigkeit, ein überprüfbares Ergebnis und ein Termin, an dem die Wirkung erneut bewertet wird.
Die Trennung zwischen Durchführung und Wirkung hilft. So könnte man klein anfangen, ohne die spätere Bewertung dem Bauchgefühl zu überlassen.
Das wirft eine praktische Frage auf. Wo verläuft für dich die sinnvolle Grenze zwischen persönlicher Nutzung und betrieblicher Verantwortung?
Das hängt stark von den betroffenen Daten und Anwendungen ab. Eine verständliche Vereinbarung hilft mehr als eine Regel, die im Alltag niemand einhalten kann.
Wie verhindert man bei der Abgrenzung von Nutzung und Verantwortung, dass eine zunächst sinnvolle Ausnahme unbemerkt zum Dauerzustand wird? So bliebe der Bezug zur ursprünglichen Entscheidung erhalten. Beteiligte müssten diese Festlegung ohne weitere Erklärung anwenden können.
Wie würdet ihr Zugriffsrechte auf personenbezogene Daten konkret prüfen, wenn ein Dienstleister einen Teil der Umsetzung übernimmt?
Für diesen Fall wäre mein Ansatz: die erwarteten Ergebnisse und Übergaben konkret vereinbaren; ein Vertrag allein belegt noch keine Umsetzung. Damit bleibt sichtbar, was entschieden wurde und was noch offen ist. Bei Zugriffsrechte auf personenbezogene Daten sollte die Prüfung aus meiner Sicht auf den im Beitrag beschriebenen Zusammenhang begrenzt werden.
Dazu eine Rückfrage: Wäre Transparenz über die Kontrolle schon ausreichend, oder braucht es zusätzlich echte technische Grenzen?
Transparenz wäre mein erster Schritt, aber nicht der einzige. Auch der Umfang der erfassten Daten sollte zum jeweiligen Zweck passen.
Für die praktische Anwendung zählt aus meiner Sicht angemessenen Datenschutz. Sonst wirkt formal alles vollständig, ohne Entscheidungen zu verbessern.
Was wäre bei Zugriffsrechte auf personenbezogene Daten ein nachvollziehbares Kriterium für den Abschluss einer Maßnahme?
Der Abschluss sollte an einem überprüfbaren Ergebnis hängen. Zusätzlich würde ich festhalten, welche Einschränkungen bleiben und wann die Wirkung erneut geprüft wird. Für Zugriffsrechte auf personenbezogene Daten würde ich den ersten Prüfschritt bewusst klein halten.
Für angemessenen Datenschutz braucht es aus meiner Sicht keine Vielzahl neuer Kennzahlen. Wenige klar interpretierbare Signale wären hilfreicher.
Ich würde bei der Umsetzung mit angemessenen Datenschutz im Alltag beginnen. Hilfreich wäre eine vorher festgelegte Schwelle, ab der tatsächlich gehandelt wird.
Wie wird verhindert, dass notwendige Sicherheitskontrollen zu einer umfassenden Überwachung werden?
Das ist ein wichtiger Punkt. Ich würde den Zweck und die Grenzen jeder Kontrolle ausdrücklich beschreiben. Ein Sicherheitsinteresse erklärt für mich nicht automatisch jeden denkbaren Zugriff.
Den Nutzen sehe ich. Trotzdem würde ich vermeiden, jede Ausnahme sofort mit einer weiteren Richtlinie zu beantworten.
Ich würde das Ergebnis vorher festlegen: Was soll danach klarer, schneller oder belastbarer sein? Ohne diesen Bezug ist der Erfolg einer Änderung schwer zu beurteilen. Ich würde das am konkreten Anwendungsfall dieses Artikels festmachen.