Homeoffice und Datenschutz: sicher außerhalb des Büros arbeiten
Auch im Homeoffice bleibt der Arbeitgeber oder die öffentliche Stelle für den Schutz personenbezogener Daten verantwortlich. Sichere Technik, klare Arbeitsregeln und ein beherrschbarer Umgang mit Papier, Gesprächen und Vorfällen sind deshalb unverzichtbar.
Kurzantwort
Homeoffice ist datenschutzrechtlich zulässig, wenn die Verarbeitung außerhalb der Dienst- oder Betriebsräume erforderlich und durch angemessene technische und organisatorische Maßnahmen geschützt ist. Die Verantwortung wird nicht auf Beschäftigte oder deren privaten Haushalt verlagert.
Besonders wichtig sind dienstliche Geräte, verschlüsselte Verbindungen, Mehrfaktor-Authentisierung, ein geschützter Arbeitsplatz, klare Regeln für Papierunterlagen, sichere Telefonate und ein sofort nutzbarer Meldeweg bei Verlust, Fehlversand oder Cyberangriff.
Je sensibler die Daten und je weniger kontrollierbar die häusliche Umgebung ist, desto strenger müssen die Schutzmaßnahmen sein. Bestimmte Tätigkeiten können für das Homeoffice ungeeignet bleiben.
Grundverständnis
Homeoffice, Telearbeit und mobiles Arbeiten
Im Alltag wird Homeoffice als Sammelbegriff verwendet. Rechtlich und organisatorisch können Telearbeit mit fest eingerichteter häuslicher Arbeitsstätte, regelmäßig vereinbartes Homeoffice und ortsflexibles mobiles Arbeiten unterschiedlich ausgestaltet sein. Datenschutzrechtlich ist entscheidend, wo, mit welchen Geräten und unter welchen Bedingungen personenbezogene Daten verarbeitet werden.
Die verantwortliche Kommune oder das Unternehmen legt Zwecke und Mittel der Verarbeitung fest und bleibt nach Art. 24 DSGVO verantwortlich. Beschäftigte müssen Vorgaben einhalten und sorgfältig handeln. Sie werden dadurch aber nicht selbst zum Verantwortlichen für die dienstliche Verarbeitung.
Vor der Freigabe ist zu bestimmen, welche Tätigkeiten außerhalb der geschützten Arbeitsräume zulässig sind. Besonders sensible Fachverfahren, große Papierakten, Gesundheitsdaten, Sozialdaten, Personalangelegenheiten oder nichtöffentliche Sitzungsunterlagen können zusätzliche Schutzmaßnahmen verlangen oder im Einzelfall ausgeschlossen werden.
Rechtlicher Rahmen
Welche DSGVO-Vorgaben gelten im Homeoffice?
Die Rechtsgrundlage für die eigentliche Fach- oder Beschäftigtenverarbeitung ändert sich durch den Arbeitsort grundsätzlich nicht. Eine Kommune verarbeitet Bürgerdaten weiterhin aufgrund der einschlägigen Fachgesetze und Art. 6 DSGVO; Arbeitgeber stützen notwendige Beschäftigtendaten insbesondere auf § 26 BDSG oder das für öffentliche Arbeitgeber geltende Personalrecht.
Der veränderte Arbeitsort betrifft vor allem die Sicherheit der Verarbeitung. Art. 24, 25 und 32 DSGVO verlangen geeignete Maßnahmen unter Berücksichtigung von Eintrittswahrscheinlichkeit und Schwere möglicher Risiken. Dazu gehören Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der eingesetzten Systeme.
Das Homeoffice muss im Verzeichnis von Verarbeitungstätigkeiten nicht zwingend als eigener Fachprozess geführt werden. Die betroffenen Verarbeitungstätigkeiten, Betriebsmittel, Empfänger, Risiken und Schutzmaßnahmen müssen den dezentralen Zugriff jedoch zutreffend abbilden.
Bayerische Aufsicht
Was sagt der BayLfD?
Der BayLfD behandelt Homeoffice weiterhin als relevantes Thema bayerischer öffentlicher Stellen. In seinem 34. Tätigkeitsbericht stellt er heraus, dass technisch-organisatorische Fragen nach der Pandemie keineswegs erledigt sind und insbesondere Kommunikations-, Kollaborations- und elektronische Aktensysteme dauerhaft verbreitet eingesetzt werden.
Bereits im 30. Tätigkeitsbericht hat der BayLfD Anforderungen an die sichere Arbeit außerhalb der Dienststelle aufgegriffen. Maßgeblich sind danach eine risikogerechte Organisation, kontrollierte dienstliche Technik, Schutz vor Einsichtnahme und verlässliche Regeln für dienstliche Unterlagen und Kommunikation.
Für bayerische Kommunen folgt daraus: Eine allgemeine Homeoffice-Erlaubnis ohne Bewertung der einzelnen Aufgaben reicht nicht. Die Verwaltung muss festlegen, welche Verfahren mobil nutzbar sind, wie Zugriffe abgesichert werden und in welchen Fällen eine Bearbeitung nur in der Dienststelle zulässig ist.
Technik
Welche Geräte und Verbindungen sind geeignet?
Vorzugswürdig sind zentral verwaltete dienstliche Geräte. Betriebssysteme, Programme, Virenschutz, Festplattenverschlüsselung, Bildschirmsperre und Sicherheitsupdates müssen verbindlich konfiguriert werden. Lokale Administrationsrechte sind auf das erforderliche Maß zu begrenzen.
Der Zugriff auf interne Systeme sollte über eine abgesicherte Verbindung erfolgen, etwa ein geeignetes VPN oder eine gleichwertige Architektur. Mehrfaktor-Authentisierung reduziert das Risiko gestohlener Zugangsdaten. Besonders sensible Daten sollten nicht unnötig lokal gespeichert werden.
Private Geräte sind nicht automatisch unzulässig, verursachen aber zusätzliche Risiken: fehlende Verwaltung, gemeinsame Nutzung, unklare Sicherungen, private Cloud-Dienste und schwierige Löschung. Ein Einsatz kommt nur nach dokumentierter Prüfung und mit verbindlichen technischen und organisatorischen Regeln in Betracht.
Vertraulichkeit
Wie muss der häusliche Arbeitsplatz geschützt werden?
Bildschirme sind so aufzustellen, dass Familienangehörige, Besucher oder Dritte Inhalte nicht mitlesen können. Beim Verlassen ist der Bildschirm zu sperren. Vertrauliche Telefonate und Videokonferenzen dürfen nicht in Gegenwart unbefugter Personen geführt werden; Headsets können den Schutz verbessern.
Papierunterlagen gehören in abschließbare Behältnisse und dürfen nicht offen auf Esstisch, Fensterbank oder in gemeinschaftlich genutzten Räumen liegen. Ausdrucke sind auf das notwendige Maß zu beschränken. Dienstliche Unterlagen dürfen nicht über den privaten Hausmüll entsorgt werden.
Auch Namen von Familienangehörigen im Sprachassistenten, private Druckerwarteschlangen oder automatische Cloud-Sicherungen können Daten offenlegen. Deshalb sind private Sprachassistenten im Arbeitsbereich zu deaktivieren und nicht freigegebene Speicher- oder Druckdienste zu vermeiden.
E-Mail und Besprechungen
Was gilt für Kommunikation und Videokonferenzen?
Dienstliche E-Mails sind ausschließlich über freigegebene Konten und Systeme zu bearbeiten. Weiterleitungen an private Postfächer sind unzulässig, weil Kontrolle, Löschung, Zugriffsschutz und Nachweisbarkeit verloren gehen. Anhänge sind vor dem Versand auf Empfänger, Inhalt und Schutzbedarf zu prüfen.
Für Videokonferenzen sind freigegebene Dienste, Zugangsschutz, Warteräume, Rollen und Aufzeichnungsregeln festzulegen. Mikrofon und Kamera sollten nur bei Bedarf aktiv sein. Eine Aufzeichnung benötigt einen klaren Zweck, eine tragfähige Rechtsgrundlage und transparente Information.
Vertrauliche Gespräche dürfen nicht über Lautsprecher geführt werden, wenn Dritte mithören können. Bürger, Kunden und Kolleginnen sollten darauf vertrauen können, dass ihr Anliegen auch im häuslichen Umfeld nicht unbefugt bekannt wird.
Akten und Ausdrucke
Dürfen Papierakten mit nach Hause genommen werden?
Eine pauschale Mitnahme ist nicht angemessen. Die Organisation muss prüfen, ob die Aufgabe digital erledigt werden kann und ob Art und Menge der Unterlagen für das Homeoffice geeignet sind. Entnahme und Rückgabe besonders schutzbedürftiger Akten sollten nachvollziehbar dokumentiert werden.
Der Transport muss gegen Verlust und Einsicht geschützt sein. Unterlagen dürfen nicht sichtbar im Fahrzeug liegen oder über längere Zeit dort verbleiben. Zu Hause benötigen sie einen abschließbaren Aufbewahrungsort, zu dem Haushaltsangehörige keinen Zugang haben.
Private Notizzettel, Fotos von Unterlagen und Ausdrucke auf privaten Geräten schaffen schwer kontrollierbare Kopien. Arbeitsanweisungen müssen deshalb auch regeln, wie Notizen, Fehldrucke und temporäre Unterlagen sicher vernichtet oder in die Dienststelle zurückgebracht werden.
Beschäftigtendatenschutz
Wie weit darf der Arbeitgeber kontrollieren?
Der Arbeitgeber darf die Einhaltung von Arbeitspflichten und Sicherheitsvorgaben kontrollieren, aber keine lückenlose Überwachung des häuslichen Arbeitsplatzes einführen. Permanente Kameraüberwachung, Tastenanschlagsprotokolle, Screenshots oder dauerhafte Aktivitätsmessungen sind besonders eingriffsintensiv und regelmäßig nicht durch den allgemeinen Organisationszweck gedeckt.
Kontrollen sollten transparent, zweckgebunden und möglichst auf Systemzustände statt auf persönliche Verhaltensprofile ausgerichtet sein. Sicherheitsupdates, Geräteverschlüsselung oder erfolgreiche Anmeldung können technisch überprüft werden, ohne jede Arbeitshandlung zu beobachten.
Ein Zutrittsrecht zur Privatwohnung kann nicht pauschal erzwungen werden. Notwendige Kontrollmöglichkeiten sind vorab angemessen zu vereinbaren. Vielfach genügen technische Nachweise, Selbstauskünfte, Schulungen und risikoorientierte Stichproben.
Notfallmanagement
Was ist bei Verlust oder Angriff zu tun?
Beschäftigte benötigen einen jederzeit auffindbaren Meldeweg für Geräteverlust, Fehlversand, Schadsoftware, verdächtige Anrufe und unbefugte Einsicht. Die Meldung muss unverzüglich erfolgen, damit Konten gesperrt, Geräte aus der Ferne geschützt und weitere Schäden begrenzt werden können.
Der BayLfD hat einen Fall beschrieben, in dem ein Beschäftigter im Homeoffice einem angeblichen Microsoft-Mitarbeiter Fernzugriff gewährte. Solche Social-Engineering-Angriffe zeigen, dass technische Maßnahmen allein nicht genügen. Klare Anweisungen müssen festlegen, dass externe Supportzugriffe niemals spontan aufgrund eines Anrufs freigegeben werden.
Mögliche Datenschutzverletzungen sind nach dem festgelegten Vorfallprozess zu bewerten und zu dokumentieren. Die 72-Stunden-Frist des Art. 33 DSGVO beginnt nicht erst, wenn alle Details geklärt sind. Beschäftigte dürfen Vorfälle daher nicht bis zum nächsten Bürotag zurückhalten.
Umsetzung
Checkliste für datenschutzgerechtes Homeoffice
Zulässige Tätigkeiten und Datenkategorien festlegen. Risiken je Verfahren bewerten. Dienstliche Geräte, Verschlüsselung, sichere Verbindung, Mehrfaktor-Authentisierung, Updates und zentrale Administration bereitstellen.
Regeln für Bildschirm, Gespräche, Papier, Transport, Druck, Speicherung, Löschung und private Geräte dokumentieren. Beschäftigte praxisnah schulen und die Kenntnisnahme nachweisen. Vertretung, Support und Meldewege auch außerhalb der Dienststelle sicherstellen.
Betriebs- oder Personalrat und Datenschutzbeauftragten frühzeitig beteiligen. Schutzmaßnahmen nach Änderungen der Technik, der Wohn- oder Arbeitssituation sowie nach Vorfällen überprüfen. Tätigkeiten mit nicht beherrschbarem Risiko von der mobilen Bearbeitung ausnehmen.
Ergebnis
Fazit
Homeoffice ist kein datenschutzfreier Raum und auch kein grundsätzliches Verbotsthema. Mit verwalteter Technik, klaren Zuständigkeiten und einem geschützten Arbeitsplatz lassen sich viele Tätigkeiten sicher außerhalb des Büros erledigen.
Entscheidend ist eine risikoorientierte Freigabe statt pauschaler Erlaubnis. Je sensibler die Daten und je weniger kontrollierbar Papier, Gespräche oder Systeme sind, desto enger müssen die Grenzen gezogen werden.
Häufige Fragen
FAQ zu Homeoffice und Datenschutz
Wer trägt im Homeoffice die Datenschutzverantwortung?
Verantwortlich bleibt die Kommune oder das Unternehmen, das Zwecke und Mittel der Verarbeitung festlegt. Beschäftigte müssen die erteilten Vorgaben einhalten und Vorfälle unverzüglich melden.
Dürfen private Computer verwendet werden?
Nur nach dokumentierter Prüfung und mit verbindlichen Schutzmaßnahmen. Zentral verwaltete dienstliche Geräte sind regelmäßig vorzugswürdig, weil Updates, Verschlüsselung, Zugriffe und Löschung kontrollierbar bleiben.
Dürfen Papierakten mitgenommen werden?
Nur wenn dies erforderlich, organisatorisch freigegeben und sicher beherrschbar ist. Transport, Aufbewahrung, Rückgabe und Vernichtung müssen gegen Verlust und Einsichtnahme geschützt sein.
Darf der Arbeitgeber den Bildschirm überwachen?
Eine permanente Verhaltens- oder Leistungskontrolle ist besonders eingriffsintensiv und regelmäßig nicht durch die allgemeine Homeoffice-Organisation gerechtfertigt. Kontrollen müssen erforderlich, transparent und verhältnismäßig sein.
Was ist bei einem Geräteverlust zu tun?
Der Verlust ist sofort über den festgelegten Meldeweg anzuzeigen. Konten und Zugänge müssen gesperrt, technische Schutzmaßnahmen ausgelöst und eine mögliche Datenschutzverletzung bewertet werden.
Sind vertrauliche Telefonate im Homeoffice erlaubt?
Ja, wenn unbefugtes Mithören ausgeschlossen wird. Geeigneter Raum, Headset und eine bewusste Gesprächsführung sind je nach Schutzbedarf erforderlich.
Weiterlesen
Passende interne Verlinkung
Nachweise
Quellen
Datenschutz strukturiert umsetzen?
Die Compliance Werkstatt unterstützt Kommunen und Unternehmen bei der rechtlichen Prüfung, Dokumentation und praktischen Umsetzung.
Unverbindlich anfragen