Datenschutz im Homeoffice: DSGVO-Pflichten, Risiken und konkrete Schutzmaßnahmen

Spätestens seit dem Frühjahr 2020 hat sich mobiles Arbeiten von der Ausnahme zum festen Bestandteil des Arbeitsalltags entwickelt. Was für Unternehmen und Beschäftigte Flexibilität brachte, stellte den Datenschutz jedoch vor neue Herausforderungen. Denn personenbezogene Daten werden seitdem nicht mehr ausschließlich im geschützten Büro verarbeitet, sondern zunehmend in privaten Wohnungen, unterwegs oder in wechselnden Arbeitsumgebungen.

Dabei gilt eine klare rechtliche Leitlinie: Die DSGVO macht keinen Unterschied zwischen Büro, Homeoffice oder mobilem Arbeiten. Datenschutzrechtliche Pflichten bestehen unabhängig vom Arbeitsort vollumfänglich weiter.

Unternehmen bleiben Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO und tragen die Haftung für Datenschutzverstöße auch dann, wenn Mitarbeitende von zu Hause oder unterwegs arbeiten. Unzureichend gesicherte Geräte, fehlende VPN-Verbindungen oder falsch entsorgte Unterlagen können empfindliche Bußgelder nach sich ziehen.

Dieser Beitrag zeigt praxisnah,

• welche gesetzlichen Anforderungen im Homeoffice gelten,
• welche technischen und organisatorischen Maßnahmen zwingend notwendig sind,
• welche typischen Fehler Unternehmen vermeiden sollten
• und wie sich Datenschutz im Homeoffice strukturiert umsetzen lässt.

Datenschutz im Homeoffice – die wichtigsten Punkte auf einen Blick

• DSGVO und BDSG gelten auch im Homeoffice ohne Einschränkungen
• Arbeitgeber bleiben voll verantwortlich für die Datenverarbeitung
• VPN, Zwei-Faktor-Authentifizierung und Verschlüsselung sind zentrale Schutzmaßnahmen
• Räumliche Vertraulichkeit im häuslichen Umfeld ist zwingend sicherzustellen
• Ausdrucke mit personenbezogenen Daten dürfen nicht im Hausmüll landen
• Verbindliche Homeoffice-Richtlinien und regelmäßige Schulungen sind Pflicht
• Private Geräte (BYOD) sind nur unter strengen Voraussetzungen zulässig
• Datenschutzvorfälle müssen innerhalb von 72 Stunden gemeldet werden
• Bei Verstößen drohen Bußgelder bis zu 20 Mio. € oder 4 % des Jahresumsatzes

Rechtlicher Rahmen: DSGVO, BDSG und Homeoffice

Die datenschutzrechtlichen Anforderungen an Homeoffice-Arbeitsplätze ergeben sich aus mehreren zentralen Vorschriften der DSGVO. Art. 5 DSGVO definiert die Grundprinzipien der Datenverarbeitung, insbesondere Integrität und Vertraulichkeit.

Art. 24 und 25 DSGVO verpflichten Unternehmen, geeignete Schutzmaßnahmen zu implementieren und Datenschutz bereits bei der Gestaltung von Prozessen zu berücksichtigen. Art. 32 DSGVO konkretisiert dies mit Hinblick auf die Verarbeitungssicherheit.

Für den Beschäftigtendatenschutz ergänzt § 26 BDSG diese Vorgaben im deutschen Recht. Diese Norm greift unabhängig davon, ob personenbezogene Daten im Büro oder im Homeoffice verarbeitet werden.

Dabei gilt: Der Arbeitgeber bleibt Verantwortlicher. Dass die Datenverarbeitung räumlich in der Wohnung der Mitarbeitenden erfolgt, ändert nichts an der rechtlichen Zuständigkeit des Unternehmens.

Werden externe IT-Dienstleister, Cloud-Anbieter oder Kollaborationstools genutzt, handelt es sich regelmäßig um Auftragsverarbeitung nach Art. 28 DSGVO. Entsprechende Verträge sind zwingend erforderlich, unabhängig vom Arbeitsort der Beschäftigten.

Auch arbeitsrechtlich ist Homeoffice nicht „rechtsfreier Raum“. Ohne Zusatzvereinbarungen oder Betriebsvereinbarungen fehlt eine belastbare Grundlage für Pflichten, Kontrollrechte und Verantwortlichkeiten.

Der Unterschied zwischen Homeoffice, Telearbeit und mobilem Arbeiten

Im Sprachgebrauch werden diese Begriffe häufig vermischt, rechtlich bestehen jedoch Unterschiede:

• Telearbeit / klassisches Homeoffice:
  Fester Arbeitsplatz in der Wohnung, vom Arbeitgeber ausgestattet, vertraglich geregelt.
• Mobiles Arbeiten:
  Ortsunabhängige Tätigkeit, z. B. im Zug, Hotel oder Café mit erhöhtem Datenschutzrisiko.

Datenschutzrechtlich gilt jedoch immer dasselbe Prinzip: Sobald personenbezogene Daten verarbeitet werden, müssen angemessene Schutzmaßnahmen greifen unabhängig vom Ort.

Typische Risikosituationen:

• Arbeiten mit Kundendaten im Zug → Schultersurfen, unsichere WLANs
• Videokonferenzen im Wohnzimmer → Sichtbarkeit vertraulicher Informationen
• Bearbeitung sensibler Daten zu Hause → Zugriff durch Familienangehörige

Das erforderliche Sicherheitsniveau richtet sich dabei nach der Sensibilität der verarbeiteten Daten. Gesundheits-, Sozial- oder Personaldaten erfordern etwa deutlich höhere Schutzstandards als anonymisierte Informationen.

Technische und organisatorische Maßnahmen im Homeoffice zusammengefasst

Die DSGVO verlangt auch im Homeoffice ein dem Risiko angemessenes Schutzniveau für personenbezogene Daten. Arbeitgeber müssen daher verbindliche technische und organisatorische Maßnahmen festlegen, bevor Mitarbeitende remote arbeiten.

Hardware und Software

Zu den grundlegenden technischen Schutzmaßnahmen zählen ausschließlich vom Unternehmen bereitgestellte und zentral verwaltete Geräte, der Einsatz freigegebener Software sowie ein konsequentes Update- und Patch-Management.

Jeder externe Zugriff auf Unternehmenssysteme muss über eine verschlüsselte VPN-Verbindung erfolgen, ergänzt durch eine Multi-Faktor-Authentifizierung für sensible Anwendungen. Öffentliche WLANs dürfen nur in Kombination mit VPN genutzt werden.

Personenbezogene Daten sind grundsätzlich auf Unternehmensservern oder genehmigten Cloud-Lösungen zu speichern. Private Cloud-Dienste, USB-Sticks oder externe Festplatten sind unzulässig.

Ist eine temporäre lokale Speicherung unvermeidbar, müssen Datenträger vollständig verschlüsselt und die Daten schnellstmöglich wieder in das Unternehmensnetz übertragen werden. Regelmäßige Backups, Virenschutz und Protokollierung sensibler Zugriffe sind ebenfalls Pflicht.

Herausforderungen bei privaten Rechnern

Die Nutzung privater Geräte (BYOD) ist datenschutzrechtlich besonders riskant und sollte nur unter strengen Voraussetzungen erlaubt werden. Erforderlich sind unter anderem Mobile-Device-Management, eine klare Trennung zwischen privaten und dienstlichen Daten, Verschlüsselung sowie die Möglichkeit zum Remote-Löschen bei Verlust.

Für besonders sensible Daten – etwa Gesundheits- oder Sozialdaten – ist BYOD in der Regel ungeeignet.

Umgang mit analogen Unterlagen

Auch analoge Unterlagen stellen im Homeoffice ein erhebliches Risiko dar. Ausdrucke sollten auf das notwendige Minimum beschränkt und sicher aufbewahrt werden.

Die Entsorgung darf ausschließlich datenschutzkonform erfolgen, etwa durch Aktenvernichter der Sicherheitsstufe P-4 oder durch Rückführung in den Betrieb. Eine Entsorgung im Hausmüll oder Altpapier ist unzulässig und kann eine meldepflichtige Datenschutzverletzung darstellen.

Räumliche Sicherheit

Ein weiterer zentraler Aspekt ist die räumliche Sicherheit. Arbeitsplätze sollten sich möglichst in einem separaten, abschließbaren Raum befinden. Bildschirme müssen vor Einblicken geschützt sein, Geräte bei jeder Abwesenheit gesperrt werden und Unterlagen außerhalb der Arbeitszeit verschlossen lagern.

Bei Videokonferenzen ist darauf zu achten, dass keine vertraulichen Informationen im Hintergrund sichtbar oder Gespräche von Dritten mitgehört werden.

Interne und arbeitsrechtliche Regelungen

Um diese Anforderungen wirksam umzusetzen, sind klare interne Regelungen unerlässlich. Homeoffice-Richtlinien, IT-Sicherheitsvorgaben und arbeitsvertragliche Zusatzvereinbarungen müssen festlegen, welche Arbeitsmittel genutzt werden dürfen, wie Vorfälle zu melden sind und welche Pflichten Mitarbeitende haben.

Je nach Art und Umfang der Datenverarbeitung kann zudem eine Datenschutz-Folgenabschätzung erforderlich sein.

Ergänzend dazu sind regelmäßige Schulungen verpflichtend. Mitarbeitende müssen für typische Risiken im Homeoffice sensibilisiert werden, etwa Phishing, unsichere Netzwerke oder den Verlust von Geräten. Schulungen sollten dokumentiert werden und klare Handlungsanweisungen für Datenschutzvorfälle enthalten.

Kommt es dennoch zu einer Datenpanne, gilt: Jeder Vorfall ist unverzüglich intern zu melden. Besteht ein Risiko für die Rechte und Freiheiten der Betroffenen, muss die zuständige Aufsichtsbehörde innerhalb von 72 Stunden informiert werden. Ein klar definierter Notfall- und Meldeprozess ist daher auch im Homeoffice zwingend erforderlich.

Praxis-Checkliste: Datenschutz im Homeoffice umsetzen

Geschäftsführung

• Homeoffice-Policy erstellen
• Budget für IT-Sicherheit und Schulungen
• Regelmäßige Überprüfung

IT

• VPN & MFA
• Patch-Management
• Endpoint-Security
• Festplattenverschlüsselung

Datenschutzbeauftragter

• BYOD-Regeln
• DSFA prüfen
• Schulungen dokumentieren

Mitarbeitende

• Nur freigegebene Geräte nutzen
• Bildschirm sperren
• Vorfälle sofort melden

Fazit: Datenschutz im Homeoffice ist ein Dauerprozess

Homeoffice bleibt – und damit auch die Verantwortung für Datenschutz außerhalb klassischer Büros. DSGVO-Compliance im Homeoffice ist kein einmaliges Projekt, sondern eine fortlaufende Aufgabe.

Unternehmen, die klare Regelungen schaffen, technische Sicherheit konsequent umsetzen und ihre Mitarbeitenden regelmäßig sensibilisieren, reduzieren Risiken erheblich und schaffen Vertrauen.

Überprüfen Sie Ihre Homeoffice-Regelungen, TOM und Schulungskonzepte zeitnah und dokumentieren Sie Anpassungen sorgfältig.

Sie wünschen rechtssichere Unterstützung? Als erfahrene Experten im Bereich Datenschutz begleiten wir Ihr Unternehmen bei allen Fragen rund um Datenschutz im Homeoffice und mobiles Arbeiten.