Im Home-Office gelten dieselben DSGVO-Anforderungen wie im Büro. Unternehmen müssen technische und organisatorische Maßnahmen sicherstellen und verbindliche Regelungen treffen.
Das Unternehmen bleibt auch im Home-Office datenschutzrechtlich verantwortlich. Verstöße durch Mitarbeiter zuhause können dem Unternehmen als Verantwortlichem zugerechnet werden – fehlende Richtlinien sind kein Schutz, sondern Haftungsrisiko.
Rechtliche Grundlage: Verantwortlichkeit bleibt beim Unternehmen
Was verbindlich geregelt werden muss
- Home-Office-Richtlinie: Schriftliche Regelung der erlaubten Geräte, Netzwerke, Dateiablage und physischen Schutzmaßnahmen
- VPN-Pflicht für den Zugriff auf Unternehmenssysteme – ungesicherte WLAN-Verbindungen sind tabu
- Verschlüsselung: Festplatten auf Unternehmensgeräten müssen verschlüsselt sein (BitLocker, FileVault)
- Keine Nutzung privater Geräte für Unternehmensdaten ohne BYOD-Richtlinie und MDM-Lösung
- Physischer Schutz: Bildschirm nicht einsehbar für Dritte (Familienmitglieder), Dokumente nicht offen herumliegen lassen
- Datenschutzunterweisung: Mitarbeiter müssen explizit auf Home-Office-spezifische Risiken hingewiesen werden
Home-Office datenschutzkonform aufsetzen
-
Home-Office-Richtlinie erstellen
Formulieren Sie eine verbindliche Richtlinie, die regelt: welche Geräte verwendet werden dürfen, wie der Netzwerkzugang abzusichern ist, welche Daten lokal gespeichert werden dürfen, wie mit Ausdrucken umzugehen ist und wie bei Sicherheitsvorfällen zu melden ist. Diese Richtlinie muss von allen Home-Office-Mitarbeitern schriftlich bestätigt werden.
-
Technische Maßnahmen implementieren
Unternehmensgeräte müssen vollständig verschlüsselt sein. VPN-Zugang ist für alle Systemzugriffe Pflicht. Automatische Bildschirmsperren nach kurzer Inaktivität konfigurieren. Multifaktor-Authentifizierung für alle Unternehmenszugänge aktivieren. Regelmäßige Patch-Zyklen und zentrale Geräteverwaltung sicherstellen.
-
Mitarbeiter schulen
Eine Datenschutzunterweisung speziell für das Home-Office muss alle typischen Risiken abdecken: Phishing, Shoulder Surfing, Videokonferenzen in Hörweite Dritter, unsichere Netzwerke, versehentliches Teilen von Bildschirminhalten. Schulung dokumentieren und mindestens jährlich wiederholen.
-
Umgang mit Dokumenten regeln
Legen Sie fest, dass Ausdrucke mit personenbezogenen Daten im Home-Office nicht in den Hausmüll gehören. Mitarbeiter müssen entweder einen eigenen Aktenvernichter (mindestens P-4) nutzen oder Dokumente ins Büro mitbringen und dort vernichten.
-
Meldeprozess für Sicherheitsvorfälle sicherstellen
Datenpannen müssen dem Unternehmen unverzüglich gemeldet werden – auch wenn sie im Home-Office passieren. Die 72-Stunden-Frist zur Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) läuft ab dem Zeitpunkt, zu dem das Unternehmen von der Panne Kenntnis erlangt. Ein klarer interner Meldeprozess ist daher existenziell.
Fazit: Home-Office braucht dieselbe Sorgfalt wie das Büro
Haben Sie eine aktuelle Home-Office-Richtlinie und technische Schutzmaßnahmen im Einsatz? INREMA prüft Ihre Situation und hilft bei der Umsetzung.
Jetzt beraten lassenHäufige Fragen
Dürfen Mitarbeiter im Home-Office private Geräte nutzen?
Müssen Home-Office-Mitarbeiter einen abschließbaren Raum haben?
Was passiert, wenn ein Mitarbeiter im Home-Office einen Datenverlust verursacht?
Welche Videokonferenz-Tools sind DSGVO-konform?
War dieser Artikel hilfreich?