Die Bußgelder aufgrund von Datenschutzverstößen erreichten 2023 schon in den ersten fünf Monaten ein neues Rekordhoch. Auch im Homeoffice müssen Beschäftigte die Vorgaben der DSGVO beachten - und Arbeitgeber die entsprechenden Vorkehrungen treffen, um den Datenschutz zu gewährleisten.
2023 wurden laut einer Zählung von enforcementtracker.com bereits Geldbußen in Höhe von rund 1,6 Milliarden Euro aufgrund von Verstößen gegen die Datenschutz-Grundverordnung (DSGVO) verhängt. Damit kam es allein in den ersten fünf Monaten des Jahres zu mehr fälligen Strafzahlungen für Unternehmen als in den Jahren 2019, 2020 und 2021 zusammen. Der Grund dafür ist eine neue Rekordstrafe für den Facebook-Mutterkonzern Meta in Höhe von 1,2 Milliarden Euro.
Ein bewusster und verantwortungsvoller Umgang mit Daten ist nicht nur im Unternehmen vor Ort wichtig. Personenbezogene Daten sind auch im Homeoffice oder bei Mobilarbeit gemäß Artikel 5 Abs. 1 Buchstabe f DSGVO vor unbefugter und unberechtigter Verarbeitung sowie vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder Beschädigung zu schützen. Um das zu gewährleisten, müssen Arbeitgeber angemessene technische und organisatorische Maßnahmen treffen, um möglichen Datenschutzverstößen bei einer Tätigkeit im Homeoffice vorzubeugen.
DSGVO sieht Datenschutz im Homeoffice vor
Dies bedeutet vor allem, dass auch für die Arbeit im Homeoffice ausschließlich die vom Arbeitgeber bereitgestellte Hard- und Software genutzt werden darf. Das gilt nicht nur für den Laptop oder PC, mit dem die Beschäftigten von zu Hause aus arbeiten, sondern insbesondere auch für das Speichern der von ihnen erstellten Dokumente. Dies darf auf keinen Fall auf privaten Speichermedien wie lokalen Festplatten oder ungesicherten USB-Sticks erfolgen, sondern muss ausschließlich auf Servern oder sonstiger Hardware des Arbeitgebers stattfinden.
Deshalb ist es wichtig, dass die Mitarbeitenden auch von zu Hause aus, beispielsweise über einen VPN-Zugang, auf die IT-Infrastruktur des Arbeitgebers zugreifen können. Sofern dies nicht möglich ist und eine Speicherung von Daten nur lokal erfolgen kann, sollten personenbezogene Daten dann jedenfalls unbedingt verschlüsselt gespeichert werden. Außerdem müssten solche lokal gespeicherten Daten schnellstmöglich auf die Systeme des Arbeitgebers übertragen werden.
Ausdrucke mit personenbezogenen Daten im Homeoffice beschränken
Das Ausdrucken von Dokumenten im Homeoffice sollte auf das minimal erforderliche Maß beschränkt werden. Ausgedruckte Dokumente sind unmittelbar nach Wegfall ihres Verwendungszwecks zu vernichten. Soweit der Mitarbeiter oder die Mitarbeiterin im Homeoffice nicht über datenschutzkonforme Aktenvernichtungsgeräte verfügt - was vermutlich eher selten der Fall sein wird -, müssen datenschutzrechtlich heikle Ausdrucke bei nächstmöglicher Gelegenheit zur Vernichtung mit in den Betrieb gebracht werden. Das Wegwerfen von Ausdrucken mit personenbezogenen Daten in den heimischen Hausmüll ist strikt untersagt.
Datenschutz im Homeoffice: Kein Zugang für unbefugte Dritte
Im Homeoffice muss sichergestellt sein, dass ausschließlich der oder die Arbeitnehmende Zugang zu den im Zusammenhang mit der Arbeitstätigkeit anfallenden personenbezogenen Daten hat. Weder Familienangehörige, noch Mitbewohner oder sonstige Personen dürfen Zugriff auf die zu schützenden Daten erhalten.
Aus diesem Grund sollten die Arbeitnehmenden angehalten werden, nach Möglichkeit in einem Raum zu arbeiten, der für dritte Personen nicht uneingeschränkt frei zugänglich ist. Auf alle Fälle sollten Bildschirme so positioniert sein, dass eine direkte Einsichtnahme durch Personen, die den Raum betreten, nicht möglich ist. Bei zeitweisem Verlassen des Zimmers, in dem die Homeoffice-Tätigkeit stattfindet, muss der Laptop oder der PC ausgeschaltet oder zumindest eine passwortgesicherte Bildschirmsperre aktiviert werden.
Melden von Datenschutzvorfällen im Homeoffice
Datenschutzvorfälle und insbesondere die unbefugte Kenntnisnahme personenbezogener Daten durch Dritte sind an den betrieblichen Datenschutzbeauftragten zu melden. Dieser muss dann entscheiden, wie mit dem Datenschutzvorfall umzugehen ist, also insbesondere, ob eine Meldepflicht gegenüber den Datenschutzbehörden und den betroffenen Personen besteht.
Richtlinie zur Verarbeitung personenbezogener Daten im Homeoffice
Um die Einhaltung des notwendigen Datenschutzes zu gewährleisten, sollte den Arbeitnehmenden eine Richtlinie zu den Einzelheiten der Verarbeitung personenbezogener Daten im Homeoffice an die Hand gegeben werden. Für den Arbeitgeber kann zusätzlich, je nach Sensibilität der Daten, die Pflicht bestehen, vor der Entsendung der Mitarbeitenden ins Homeoffice eine Datenschutzfolgeabschätzung durchzuführen.
Weitere Beiträge rund um das Thema Homeoffice finden Sie auf unserer Themenseite.
Das könnte Sie auch interessieren: