ZAP 11/2020, Digitale Kommunikation (nicht nur) in Krise ... / III. Home-Office und Datenschutz

Auch an uns Anwälten geht die Corona-Krise natürlich nicht spurlos vorbei. Der eine oder andere wird einen spürbaren Rückgang von Mandaten verzeichnen, andere wiederum bekommen mehr Arbeit, als sie bewältigen können. Das hängt insb. stark von den jeweiligen Rechtsgebieten ab. Aber in jedem Fall hat inzwischen wohl jede Anwältin und jeder Anwalt zumindest einmal über mobiles Arbeiten bzw. Home-Office nachgedacht. Die meisten haben ein solches Modell sicherlich bereits in die Praxis umgesetzt, einfach weil es momentan faktisch kaum anders geht. Dabei haben selbstverständlich die Kanzleien einen Vorteil, bei denen die Digitalisierung weit fortgeschritten ist, die also ohnehin schon regelmäßig Schriftsätze via beA verschicken oder die in puncto Anwaltssoftware auf eine Cloud-Lösung setzen. Je weniger Papier im Umlauf und je ausgeprägter der digitale Workflow ist, desto eher ist ortsunabhängiges Arbeiten möglich. Denn dann kommt man nicht in die Verlegenheit, "von jetzt auf gleich" eine Lösung für das Arbeiten vom heimischen Arbeitsplatz für mehrere Mitarbeiter finden zu müssen.

Eine Home-Office-Tätigkeit muss zwischen dem Arbeitgeber und den Beschäftigten vereinbart werden. Das arbeitsvertragliche Weisungsrecht berechtigt den Arbeitgeber grds. nicht dazu, dies einseitig anzuordnen (vgl. LArbG Berlin-Brandenburg, Urt. v. 10.10.2018 – 17 Sa 562/18). Nur ausnahmsweise in akuten Notlagen kann dies einseitig festgelegt werden, wobei es von den konkreten Umständen des Einzelfalls abhängt, ob die Corona-Krise einen solchen akuten Notfall darstellt. Dies wäre ggf. dann zu bejahen, wenn es in der betreffenden Kanzlei nachgewiesene Corona-Erkrankungen gibt.

Besonders wichtig ist, dass sowohl der technische als auch der juristische Rahmen geschaffen wird, damit die Heimarbeit nicht neue Probleme mit sich bringt. Zu berücksichtigen ist primär der Schutz personenbezogener Daten von Mandanten, Vertragspartnern und natürlich auch von Beschäftigten. Darüber hinaus geht es aber ebenso um den Schutz von sonstigen sensiblen Daten, Geschäftsgeheimnissen und nicht zuletzt natürlich auch um das Anwaltsgeheimnis.

Für die Arbeit im Home-Office sind primär folgende juristische Fragen zu klären:

• Werden personenbezogene Daten verarbeitet? Wenn nicht, dann ist Heimarbeit zumindest aus datenschutzrechtlicher Sicht unproblematisch. Allerdings dürfte es sich hierbei um eine absolute Ausnahme handeln, z.B. bei Literaturrecherche.
• Werden personenbezogene Daten besonderer Art i.S.v. Art. 9 Abs. 1 DSGVO verarbeitet? Dazu zählen u.a. die ethnische Herkunft, politische Meinungen, religiöse Überzeugungen, die Gewerkschaftszugehörigkeit oder auch Gesundheitsdaten. Wenn solche Daten verarbeitet werden, dann ist die Arbeit im Home-Office nur unter sehr strengen Voraussetzungen möglich, insb. auf die technische Sicherheit muss großen Wert gelegt werden. Falls möglich, sollte auf die Verarbeitung solcher sensiblen Daten im Home-Office ganz verzichtet werden. Das Gleiche gilt dem Grunde nach für Sozial- und Personaldaten.
• Gibt es eine Richtlinie, in der die wichtigsten Aspekte im Zusammenhang mit dem Arbeiten unterwegs oder von zu Hause geregelt werden? Falls nicht, so sollte diese dringend erstellt werden.
• Gibt es eine Vereinbarung zwischen Arbeitgeber und Beschäftigten hinsichtlich der Tätigkeit im Home-Office? Eine soche sollte als Zusatz zum bestehenden Arbeitsvertrag vereinbart werden.

Als Faustregel kann man sich merken: Je sensibler die zu verarbeitenden, personenbezogenen Daten sind, desto eher ist Home-Office nur als letzter Ausweg zu betrachten bzw. desto mehr steigen die Sicherheitsanforderungen.

Die technischen und organisatorischen Maßnahmen für das Home-Office sollten verschiedene Aspekte berücksichtigen. Die nachfolgenden Punkte erheben nicht den Anspruch auf Vollständigkeit. Zudem handelt es sich dabei zwar um gängige und praxistaugliche Maßnahmen, die allerdings nicht immer und in jedem Fall umgesetzt werden können. Im Idealfall sollten aber so viele der nachfolgenden Regeln wie möglich befolgt werden:

• Einsatz aktueller Virenscanner- und Firewall-Software oder -Hardware,
• Nutzung aktueller Betriebssystem- und Anwendersoftware sowie regelmäßige Durchführung von Updates bzw. Upgrades,
• Möglichkeit zur passwortgeschützten Sperrung des Arbeitsrechners,
• Einsatz einer automatisierten Backup-Lösung oder alternativ einer sicheren Cloud-Lösung,
• separates, abschließbares Arbeitszimmer,
• Einsatz einer Passwortrichtlinie zur Gestaltung sicherer Passwörter,
• klare Trennung von beruflichen und privaten Daten,
• Zugangsregelung (z.B. durch Benutzer-ID, PIN, Chipkarte o.Ä.),
• sichere, verschlüsselte Verbindung zum Kanzlei-Netzwerk mittels VPN-Tunnel,
• Verschlüsselung der Daten (z.B. mittels Windows Bitlocker),
• Verschlüsselung der Daten auf mobilen Geräten, wie Tablets und Smartphones, sowie Aktivierung von Passwort- oder sonstigen Zugangsschutzmaßnahmen (z.B. Finger- oder Gesichtserkennung),
• Zugangs- und Kontrollmöglichkeit des Arbeitgebers, eines evtl. vorhandenen Daten...