GEDANKEN & FACHLICHE EINORDNUNG
Blog
Impulse zu Governance, Informationssicherheit und KI.
Zugriffsmöglichkeiten auf private Endgeräte - Rechtliche Fragestellungen im Zusammenhang mit Bring Your Own Device (BYOD)
BYOD ist ein internationaler Trend, der zunehmend auch in deutschen Unternehmen Einzug hält. Der Begriff bezeichnet den Umstand, dass Mitarbeitern erlaubt wird, anstelle firmeneigener Laptops/Notebooks, Tablet-PCs und Smartphones, private Geräte einzusetzen. Der Trend, Privateigentum zu betrieblichen Zwecken einzusetzen, ist nicht neu. Auch andere Gegenstände werden bereits seit längerer Zeit auf Geheiß des Arbeitgebers dienstlich mitgeführt und eingesetzt. Als Beispiel dient der private PKW, der auch als Dienstfahrzeug eingesetzt wird. In Bezug auf Mobilgeräte ergeben sich jedoch neue rechtliche Fragen, insbesondere aus dem IT- und TK-Recht sowie aus dem Datenschutzrecht.
Einordnung · 6. November 2026. Die genannten älteren Datenschutzvorschriften beschreiben den damaligen Rechtsstand. Für heutige BYOD-Vereinbarungen sind insbesondere die DSGVO und der Beschäftigtendatenschutz zu prüfen; technische Zugriffsmöglichkeiten ersetzen keine tragfähige Rechtsgrundlage. § 26 BDSG.
Die Vorteile von BYOD liegen insbesondere in Kostenersparnissen des Unternehmens und dem vielfachen Wunsch der Mitarbeiter, ihre (moderneren) Geräte, mit deren Umgang sie vertraut sind, auch beruflich einsetzten zu können und nicht zugleich sowohl private als auch Firmengeräte mit sich führen zu müssen.
Mit BYOD sind jedoch auch Risiken, insbesondere mit Blick auf die IT-Sicherheit verbunden. Mit den privaten Endgeräten kann der Mitarbeiter auf Daten, Anwendungen und die übrige IT-Infrastruktur des Unternehmens zuggreifen. Das private Geräte stellt dabei ein Sicherheitsrisiko dar, über das Daten direkt abgezogen oder mittels Schadsoftware ein Zugriff auf das gesamte Unternehmensnetzwerk ermöglicht wird. Gefährdet sind damit u.a. Betriebs- und Geschäftsgeheimnisse des Unternehmens und seiner Geschäftspartner, sowie personenbezogene Mitarbeiterdaten.
Im Rahmen von BYOD ist der Arbeitgeber gehalten, die urheberrechtskonforme Hard- und Softwarenutzung für Unternehmenszwecke abzusichern. Darüber hinaus ist der Arbeitgeber verpflichtet, einen hinreichenden Schutz personenbezogener Daten seiner Mitarbeiter zu gewährleisten und die Begehung von Straftaten durch Unternehmensangehörige, beispielsweise den Verrat von Betriebs- und Geschäftsgeheimnissen, nach Möglichkeit zu verhindern.
Zu beachten ist, dass es grundsätzlich nicht ausreicht, dem Mitarbeiter konkrete Handlungs-/ Unterlassungs- bzw. Schutzpflichten aufzuerlegen. Vielmehr ist der Arbeitgeber aus Compliance-Gesichtspunkten verpflichtet, die Einhaltung dieser Vorgaben auch regelmäßig zu überprüfen. Verstößt der Arbeitgeber gegen diese Pflicht und beachtet der Mitarbeiter die Vorgaben nicht, besteht ein erhebliches Sicherheits- und Haftungsrisiko für das Unternehmen.
Anders als der Umgang mit firmeneigenen Geräten kann der Einsatz privater Geräte durch den Arbeitgeber mangels Eigentum und Besitz jedoch grundsätzlich nicht bzw. nur sehr eingeschränkt kontrolliert werden. Der Arbeitgeber ist vielmehr darauf angewiesen, dass der jeweilige Mitarbeiter die Vorgaben des Arbeitgebers zum Umgang mit beruflich genutzten privaten Geräten beachtet und die entsprechenden notwendigen Sicherheitsvorkehrungen trifft. Diese werden idR durch BYOD-Policies bzw. Betriebsvereinbarungen konkretisiert.
Da es jedoch, wie bereits ausgeführt, nicht ausreicht, dem Mitarbeiter bestimmte Vorgaben hinsichtlich der betrieblichen Nutzung seiner privaten Geräte zu machen, muss der Arbeitgeber durch eine entsprechende Vereinbarung mit dem Mitarbeiter sicherstellen, dass er seinen Überprüfungs- und Kontrollpflichten nachkommen kann.
Im Falle von Kontrollen privater Endgeräte auf Grundlage einer entsprechenden Vereinbarung kollidieren Compliance-Interessen des Arbeitgebers mit den Interessen des Mitarbeiters auf Schutz seiner Privatsphäre. Auch bzw. erst Recht im Rahmen von BYOD vertrauen Mitarbeiter auf den Schutz ihrer privaten Daten. Dieses Vertrauen ist auch gesetzlich legitimiert. Personenbezogene Daten werden durch das Bundesdatenschutzgesetz (BDSG) geschützt. Daneben bestehen spezifische datenschutzrechtliche Anforderungen nach dem Telekommunikationsgesetz (TKG). Außerdem ist die Privatsphäre der betroffenen Mitarbeiter auch strafrechtlich geschützt. Das Ausspähen, Abfangen und die Veränderung von Daten unterfällt den Straftatbeständen der §§ 202a, 202b, 202c, 203, 303a StGB.
Daher müssen in jedem Fall organisatorische und technische Maßnahmen getroffen werden, die ein „Auslesen“ privater Daten durch andere Mitarbeiter im Rahmen durchzuführender Kontrollen verhindern. Die für die Durchführung der Kontrollen Verantwortlichen müssen im Hinblick auf das Datengeheimnis geschult werden und ihnen ihre u.U. strafrechtliche Verantwortlichkeit vor Augen geführt werden. Dies ist nicht nur notwendig, um im Falle von Kontrollen Verstöße gegen datenschutzrechtliche Bestimmungen zu verhindern. Vielmehr ist eine sorgfältige Schulung der verantwortlichen Personen bereits im Rahmen der Einführung von BYOD relevant, da Mitarbeiter nur dann bereit sein werden, ihre privaten Endgeräte auch zu betrieblichen Zwecken einzusetzen, wenn die Einhaltung der gesetzlichen Vorschriften gewährleistet ist und zudem ihrem persönlichen Sicherheitsempfinden Rechnung getragen wird.
Eingriffsrechte vor einem Vorfall festlegen. Beschreiben Sie genau, welche geschäftlichen Bereiche administriert werden dürfen und wie private Inhalte abgegrenzt sind. Lassen Sie Verlust, Untersuchung und Ausscheiden anhand dieser Grenzen durchspielen. Technische Möglichkeiten sollten erst nach einer tragfähigen rechtlichen und organisatorischen Klärung freigegeben werden.
Eine umfassende Auseinandersetzung mit ISO/IEC 27001 und ihrem Einsatz zur systematischen Informationssicherheitssteuerung. Im Vordergrund stehen ein wirksames ISMS, die Zuordnung von Verantwortung und belastbare Nachweise.
Von Dr. Markus Groß
„Zugriffsmöglichkeiten auf private Endgeräte - Rechtliche Fragestellungen im Zusammenhang mit Bring Your Own Device (BYOD)“ bleibt als zeitbezogene Einordnung erhalten. Die folgende Ergänzung betrachtet den Schwerpunkt mit Blick auf Datenfluss aus heutiger Organisations- und Betriebssicht, ohne damalige Zahlen oder Produktversprechen stillschweigend fortzuschreiben.
Der konkrete Nutzen von „Zugriffsmöglichkeiten auf private Endgeräte“ zeigt sich erst, wenn eine offene Annahme überprüft wird: Es ist zu klären, wie Daten, Rechte, Geräte und Verpflichtungen am Ende bereinigt werden. Beim Schwerpunkt „Zugriffsmöglichkeiten auf private Endgeräte“ geht es um die Trennung privater und geschäftlicher Daten sowie die Grenzen betrieblicher Kontrolle sowie um den Bezug zu „Datenfluss“; zu entscheiden ist, welche Verarbeitung erforderlich, verhältnismäßig und für Betroffene nachvollziehbar ist. Als fachliche Leitplanke gilt: Technische Machbarkeit ist keine automatische Rechtfertigung für umfassende Sichtbarkeit oder Fernzugriffe; im vorliegenden Abschnitt wird dies an „Betroffeneninteresse“ konkretisiert. Statt einer neuen Parallelstruktur genügt zunächst: Rückgabe, Entzug, Export, Löschung und Bestätigung zusammenführen. Ob der Ansatz trägt, wird an folgendem Ergebnis geprüft: ein abgeschlossener Austritts- oder Rückbau-Nachweis; „Verhältnismäßigkeit“ liefert dafür den praktischen Anwendungsfall. Die Ergebnisbeobachtung richtet sich auf: ungeklärte Datenflüsse, Löschfristen, Beschwerden, Fehlzugriffe und nicht getrennte Speicherbereiche; „Verhältnismäßigkeit“ liefert dafür den praktischen Anwendungsfall. Für den Dialog unter dem Beitrag ist „belastbare Nachweise statt bloßer Dokumentenfülle“ der passende Belastungstest: Gerade beim Aspekt „Datenfluss“ muss die Regel im Alltag tragen.
Im Mittelpunkt von „Datenfluss“ steht weniger das Schlagwort als die damit verbundene Entscheidung: Es ist zu klären, welche Erwartung verständlich erklärt und bei Rückfragen erreichbar sein muss. Beteiligt sind hier vor allem Beschäftigte, Arbeitgeber, Datenschutz, Personalvertretung, IT und Informationssicherheit; ihre Perspektiven treffen beim Aspekt „Löschkonzept“ unmittelbar aufeinander; „Verhältnismäßigkeit“ liefert dafür den praktischen Anwendungsfall. Kritisch wird die Lage insbesondere dann, wenn Schutzmaßnahmen private Inhalte erfassen oder betriebliche Daten ohne klaren Zweck auf dem Privatgerät verbleiben – betrachtet im Kontext „Transparenz“. Ein schlanker, aber wirksamer Ansatz lautet: Regel, Grund, Alternative und Hilfe zielgruppengerecht verbinden; für „Fernzugriff“ ist das Ergebnis gesondert festzuhalten. Der vorgesehene Nachweis lautet: Rückfragen, Fehlanwendungen und Verständnislücken als Lernsignal; die Umsetzung wird dabei an „Transparenz“ gespiegelt. Als Messperspektive dient: der Zusammenhang zwischen „Datenfluss“ und „Löschkonzept“. Im Managementdialog muss beim Aspekt „Datenfluss“ erkennbar bleiben, welche Unsicherheit akzeptiert und welche aktiv reduziert wird.
Praktisch relevant wird „Beschäftigtendaten“ dort, wo Verantwortung und Ergebnis zusammenkommen: Es ist zu klären, wann eine Abweichung vertretbar ist und wann sie beendet werden muss. Als belastbare Grundlage dienen Verarbeitungszweck, Datenfluss, Berechtigungskonzept, Löschregeln, Information der Betroffenen und Ausnahmen; für den Aspekt „Beschäftigtendaten“ muss ihre Herkunft nachvollziehbar bleiben. Die Entscheidung über „Fernzugriff“ sollte deshalb ausdrücklich festhalten, welche Verarbeitung erforderlich, verhältnismäßig und für Betroffene nachvollziehbar ist. Im Regelbetrieb wird folgender Punkt verankert: Eigentümer, Begründung, Kompensation und Ablaufdatum festlegen; bezogen auf „Zweckbindung“ ist die konkrete Ausprägung separat zu entscheiden. Die Dokumentation hält zwei Dinge fest – ein befristetes Ausnahmeregister mit Wiedervorlage; zusätzlich sichtbar wird: die beobachtbare Veränderung beim Aspekt „Tests und Lernen aus erkannten Abweichungen“; der Belastungstest erfolgt mit Blick auf „Berechtigungsumfang“. Die bisherige Diskussion liefert mit „Tests und Lernen aus erkannten Abweichungen“ einen zusätzlichen Prüfstein; er sollte mit „Fernzugriff“ verbunden und nicht isoliert bewertet werden.
Die fachliche Vertiefung von „Betroffeneninteresse“ beginnt nicht mit einer weiteren Methode, sondern mit einer Grenze: Es ist zu klären, für welche Personengruppe, Leistung und Informationsklasse die Aussage gelten soll. Die alltagstaugliche Übersetzung für „Betroffeneninteresse“ lautet: Datensparsame Verfahren und klare Trennungsmechanismen werden vor der Freigabe nachvollziehbar beschrieben; im Fokus steht dabei „Berechtigungsumfang“. Damit wird zugleich die Grenze beim Aspekt „Zweckbindung“ sichtbar: Technische Machbarkeit ist keine automatische Rechtfertigung für umfassende Sichtbarkeit oder Fernzugriffe; im Fokus steht dabei „Privatsphäre“. Die praktische Konsequenz heißt: Grenzen und Nicht-Anwendungsfälle ausdrücklich festhalten; bezogen auf „Zugriffsmöglichkeiten auf private Endgeräte“ ist die konkrete Ausprägung separat zu entscheiden. Für Audit und Führung reicht Aktivität nicht aus; die Umsetzung wird dabei an „Datenfluss“ gespiegelt. Benötigt wird folgender Nachweis: eine knappe Scope-Notiz mit Ein- und Ausschlüssen; bewertet wird außerdem: ungeklärte Datenflüsse, Löschfristen, Beschwerden, Fehlzugriffe und nicht getrennte Speicherbereiche. Eine brauchbare Gegenprobe ist die Frage, ob dieselbe Entscheidung bei einer Störung rund um „Betroffeneninteresse“ noch nachvollziehbar wäre; der Belastungstest erfolgt mit Blick auf „Beschäftigtendaten“.
Als Abschluss für Zugriffsmöglichkeiten auf private Endgeräte genügen drei verbindliche Antworten zu Datenfluss: Wer entscheidet über Beschäftigtendaten, woran wird Wirkung bei Betroffeneninteresse erkannt und welcher Auslöser führt zur erneuten Prüfung? Sind diese Punkte geklärt, wird aus dem historischen Impuls zu Löschkonzept eine belastbare Arbeitsgrundlage.
| Hinweis: Teile dieses Beitrags könnten unter Einsatz von KI-gestützten Tools erstellt oder überarbeitet worden sein. Weitere Informationen finden Sie im Impressum/Disclaimer. | Marken- und Bildrechte: Dargestellte Logos und genannten Marken liegen ausschließlich bei den jeweiligen Rechteinhabern. Nutzung erfolgt ausschließlich zu illustrativen Zwecken. |
Deine Bewertung hilft bei der Einordnung der Inhalte.
Interessant für dein Netzwerk? Teile den Beitrag direkt.
When you subscribe to the blog, we will send you an e-mail when there are new updates on the site so you wouldn't miss them.
We use cookies on our website. Some of them are essential for the operation of the site, while others help us to improve this site and the user experience (tracking cookies). You can decide for yourself whether you want to allow cookies or not. Please note that if you reject them, you may not be able to use all the functionalities of the site.
Comments 26
Eine Frage zur Umsetzung: Wo verläuft für dich die sinnvolle Grenze zwischen persönlicher Nutzung und betrieblicher Verantwortung?
Das hängt stark von den betroffenen Daten und Anwendungen ab. Eine verständliche Vereinbarung hilft mehr als eine Regel, die im Alltag niemand einhalten kann.
Ein begrenzter Start ist sinnvoll. Entscheidend wäre für mich, bei der Abgrenzung von Nutzung und Verantwortung vorab die Bedingungen für eine Ausweitung zu benennen. So ließe sich eine Abweichung früh erkennen. Der Maßstab sollte schon vor dem ersten Fall verständlich sein.
Spannend finde ich die praktische Seite: woran sich der praktische Nutzen des beschriebenen Vorgehens zuerst erkennen lässt. Reicht dafür zunächst ein kleiner Pilot oder braucht es sofort einen breiteren Ansatz?
Aus meiner Sicht sollte man mit einem kritischen, aber überschaubaren Fall beginnen. Daran werden fehlende Zuständigkeiten meist schneller sichtbar als in einer allgemeinen Bewertung.
Zusätzlich sollte erkennbar sein, welche Quelle maßgeblich ist. Unterschiedliche Datenstände können sonst schon vor der eigentlichen Bewertung zu Scheingenauigkeit führen.
Das ist die wesentliche Abgrenzung. Eine Dokumentation zeigt zunächst nur, was vorgesehen oder getan wurde; erst die überprüfte Wirkung macht daraus einen Steuerungsimpuls.
So ergibt die Vorgehensweise Sinn: begrenzter Einstieg, klare Messgröße und eine sichtbare Entscheidung, falls das Ergebnis nicht trägt.
Wer kontrolliert eigentlich diejenigen, die auf die Daten zugreifen dürfen?
Das gehört für mich zur gleichen Frage. Berechtigungen, nachvollziehbare Zugriffe und ein Verfahren für Beschwerden sollten zusammen betrachtet werden.
Den Nutzen sehe ich. Trotzdem würde ich vermeiden, jede Ausnahme sofort mit einer weiteren Richtlinie zu beantworten.
Eine überprüfbare Zuständigkeit wäre für mich die Basis. Dazu gehört auch, wer die notwendige Information liefert und wer handelt, wenn sie fehlt. Auf die Ausgangsfrage bezogen: Das gehört für mich zur gleichen Frage. Berechtigungen, nachvollziehbare Zugriffe und ein Verfahren für Beschwerden sollten zusammen betrachtet werden.
Ich bleibe beim Aufwand etwas skeptisch. Eine kleine, überprüfbare Lösung könnte hier zunächst mehr bringen als ein umfassendes Konzept. Gerade bei dieser Fragestellung würde ich die Abwägung offen dokumentieren.
Hier würde ich widersprechen: Ein zusätzlicher Prozess kann auch neue Reibung schaffen. Welche vorhandene Aufgabe könnte man damit zusammenführen? Meine Ausgangsfrage bleibt: Wer kontrolliert eigentlich diejenigen, die auf die Daten zugreifen dürfen?
Wie wird verhindert, dass notwendige Sicherheitskontrollen zu einer umfassenden Überwachung werden? Gerade bei dieser Fragestellung würde ich die Abwägung offen dokumentieren.
Mein Vorschlag wäre: Ich würde den Zweck und die Grenzen jeder Kontrolle ausdrücklich beschreiben. Ein Sicherheitsinteresse erklärt für mich nicht automatisch jeden denkbaren Zugriff.
Ich würde das nicht allein anhand einer Beschreibung beurteilen. Was wäre ein überzeugender praktischer Nachweis? Gerade bei dieser Fragestellung würde ich die Abwägung offen dokumentieren.
Der Umfang müsste zur Bedeutung der betroffenen Leistung passen. Weniger Detail kann vernünftig sein, solange die wesentlichen Entscheidungen und Abhängigkeiten nachvollziehbar bleiben. Auf die Ausgangsfrage bezogen: Ich würde den Zweck und die Grenzen jeder Kontrolle ausdrücklich beschreiben. Ein Sicherheitsinteresse erklärt für mich nicht automatisch jeden denkbaren Zugriff.
Danke für die Präzisierung. Für mich wäre die Wirkung im Betrieb die interessantere Rückmeldung als die reine Vollständigkeit der Unterlagen. Gerade bei dieser Fragestellung würde ich die Abwägung offen dokumentieren.
Ein weiterer Punkt: Wäre Transparenz über die Kontrolle schon ausreichend, oder braucht es zusätzlich echte technische Grenzen? Gerade bei dieser Fragestellung würde ich die Abwägung offen dokumentieren.
Daran würde ich anknüpfen. Transparenz wäre mein erster Schritt, aber nicht der einzige. Auch der Umfang der erfassten Daten sollte zum jeweiligen Zweck passen.
Welche Entscheidung müsste zu Zugriffsrechte auf personenbezogene Daten zuerst fallen, wenn die verfügbaren Nachweise lückenhaft sind? Ich beziehe mich auf den Schwerpunkt „Zugriffsmöglichkeiten auf private Endgeräte - Rechtliche Fragestellungen im Zusammenhang mit Bring Your Own…“.
Zum Beitrag „Zugriffsmöglichkeiten auf private Endgeräte - Rechtliche Fragestellungen im Zusammenhang mit Bring Your Own…“: Ich würde zunächst die Lücke offen dokumentieren und einen überprüfbaren nächsten Schritt vereinbaren, statt Vollständigkeit zu unterstellen. Das schafft eine begrenzte, überprüfbare Arbeitsgrundlage für die weitere Umsetzung. Bei Zugriffsrechte auf personenbezogene Daten sollte die Prüfung aus meiner Sicht auf den im Beitrag beschriebenen Zusammenhang begrenzt werden.
Welche Annahme sollte bei Zweckbindung und Datensparsamkeit nach einer größeren Veränderung erneut geprüft werden? Ich denke dabei an „Zugriffsmöglichkeiten auf private Endgeräte - Rechtliche Fragestellungen im Zusammenhang mit Bring…“.
Ich würde die Annahmen hinter der bisherigen Entscheidung sichtbar machen. Ändert sich eine wesentliche Voraussetzung, braucht es eine erneute Bewertung ihrer Auswirkungen. Für Zweckbindung und Datensparsamkeit im Beitrag „Zugriffsmöglichkeiten auf private Endgeräte - Rechtliche Fragestellungen im Zusammenhang mit Bring…“ würde ich den ersten Prüfschritt bewusst klein halten.
Ein sinnvoller nächster Schritt wäre eine begrenzte Erprobung von angemessenen Datenschutz. So werden offene Annahmen schnell sichtbar.