Homeoffice & DSGVO – Was Arbeitgeber und Arbeitnehmer beachten müssen

Datenschutz im Homeoffice

Außergewöhnliche Situationen erfordern außergewöhnliche Maßnahmen. Dies trifft mehr denn je für das Jahr 2020 zu! Gerade in der Hotellerie und Gastronomie wird in Zeiten von Corona ein großer Einfallsreichtum abverlangt. So ist auch mittlerweile das Thema Homeoffice für manche Hotel- und Gastronomiemitarbeiter zu einem festen Bestandteil ihrer täglichen Arbeit geworden. Vor ein paar Monaten wäre dies noch als absurd und nicht umsetzbar abgetan worden. E-Mail-Bearbeitungen, Telefongespräche mit Gästen und Lieferanten, Marketing-Aktivitäten, Ausarbeitung von neuen Speise- und Getränkekarten usw., sind aber mittlerweile Tätigkeiten, die bereits von Mitarbeitern auch vom heimischen Schreitisch aus erledigt werden. Doch wie sieht es hier mit dem Datenschutz aus? Was ist bei der Arbeit im Homeoffice datenschutzrechtlich zu beachten?

Grundsätzliches zur Thematik „Homeoffice“

Gerade zu Corona-Zeiten ist das mobile Arbeiten bzw. das Homeoffice gefragter denn je. Zum einen ermöglicht dieses, die operative Handlungsfähigkeit auch in Teilbereichen eines Hotels oder gastronomischen Betriebes während des Lockdowns aufrecht zu erhalten. Zum anderen kann es ebenso einen Beitrag zum Gesundheitsschutz der eigenen Mitarbeiter leisten. Auch kann die Arbeit von zu Hause die Vereinbarkeit von Familie und Beruf erleichtern, gerade dann, wenn sich zum Beispiel die Kinder im Hybridunterricht befinden oder eine ganze Schulklasse mal wieder in Quarantäne geschickt worden ist und die Sprösslinge in den eigenen vier Wänden verweilen müssen.

Immer wieder hört bzw. liest man im Zusammenhang mit Homeoffice auch den Begriff der Telearbeit. Generell sind die Begrifflichkeiten „Homeoffice“ und „Telearbeit“ wie folgt zu unterscheiden:

• Unter Homeoffice versteht man im allgemeinen Sprachgebrauch - in Abgrenzung zur Teleheimarbeit - das gelegentliche Arbeiten an einem anderen Arbeitsplatz als im eigentlichen Unternehmen des Arbeitgebers. Im Unterschied zur Telearbeit definiert der Gesetzgeber beim gelegentlichen Homeoffice weniger strenge Erfordernisse an die ergonomische Gestaltung des Arbeitsplatzes. 
• Hingegen sind die gesetzlichen Vorgaben beim sogenannten Teleheimarbeitsplatz strenger definiert: Hier hat der Arbeitgeber für einen festgelegten Zeitraum eingerichtete Bildschirmarbeitsplätze im Privatbereich der Mitarbeiter zur Verfügung zu stellen. Im Gegensatz zum Begriff Homeoffice haben wir es hier also mit einem regelmäßigen Arbeiten von zu Hause aus zu tun, der entsprechend mit zusätzlichen gesetzlichen Vorgaben verbunden ist.

Da in diesem Blogbeitrag von einem gelegentlichen bzw. vorübergehenden Arbeiten von zu Hause ausgegangen wird, findet im weiteren Verlauf die Begrifflichkeit „Homeoffice“ seine Anwendung.

Homeoffice verpflichtet zum Datenschutz

Wer seine Mitarbeiter in Corona-Zeiten am heimischen PC arbeiten und dabei personenbezogene Daten verarbeiten lässt, hat grundsätzlich die gleichen datenschutzrechtlichen Regeln zu beachten, wie bei der Tätigkeit an der Rezeption oder in der Marketing-Abteilung. Insbesondere müssen vor allem die technischen und organisatorischen Maßnahmen eingehalten werden, die konkret zum Schutz der Daten erforderlich sind. Hieraus ergeben sich sowohl für den Arbeitgeber wie auch den Arbeitnehmer gleichermaßen strenge Vorgaben, die es einzuhalten und zu berücksichtigen gilt, um den Datenschutzrichtlinien in vollem Umfang nachkommen zu können. Um den Schutz der anvertrauten personenbezogenen Daten von Gästen in der Heimarbeit gewährleisten zu können, sind die folgenden Maßnahmen umzusetzen: 

• Werden während der Homeoffice Zeit personenbezogene Daten verarbeitet (z.B. Gästedaten aus E-Mails, aus der Hotelsoftware etc.), hat der Mitarbeiter stets darauf achten, dass diese Daten nicht von Dritten (Kindern, Lebenspartner, Putzhilfe, Freunden etc.) eingesehen werden können. Entsprechende Unterlagen sind demnach auch nicht auf dem Küchentisch auszubreiten, vertrauliche Telefonate, z.B. mit einem weiteren Mitarbeiter über sein Krankheitszustand, nicht in Anwesenheit von Familienangehörigen im Wohnzimmer zu führen.
• Das Verarbeiten von personenbezogenen Daten hat nach Möglichkeit und Verfügbarkeit in einem separaten, abschließbaren Raum stattzufinden. Die Aufbewahrung von datenschutzrelevanten Unterlagen hat vor und nach der Tätigkeit in einem abschließbaren Schrank verschlossen zu sein.
• Stellt der Arbeitgeber dem Arbeitnehmer für das Homeoffice zum Beispiel einen Laptop zur Verfügung, darf dieser ausschließlich nur für berufliche Zwecke verwendet werden. Kinder oder andere im Haushalt befindliche Personen haben sich von dem Gerät fern zu halten. Zudem ist die automatische Log-Out Funktion zu aktivieren, die nach einer bestimmten Zeitdauer, im besten Fall nach einer Minute, den Laptop sperrt, sobald nicht mehr an diesem gearbeitet wird.
• Ebenso sind alle Datenträger vor unberechtigtem Zugriff zu schützen. Um die Datensicherheit zu wahren, sollte der Computer zwingend passwortgeschützt und darüber hinaus mit einer Verschlüsselung der Daten und des E-Mail-Verkehrs ausgestattet sein. Der Zugriff auf IT-Systeme des Arbeitgebers erfolgt am besten auf geschütztem Wege über ein Virtual Private Network (VPN). 
• Um personenbezogene Daten auch aus dem Home-Office heraus zu schützen, ist ein sicheres Passwort unerlässlich. Komplexe und besonders lange Passwort-Kreationen mit zusätzlichen Sonderzeichen und Zahlenkombinationen gelten hierbei als besonders sicher und sind zwingend zu empfehlen.
• Berufliche E-Mails dürfen nicht zur Bearbeitung an private E-Mail-Postfächer der Beschäftigten weitergeleitet werden. 
• Ebenso dürfen Datensätze nicht einfach so auf privaten USB-Sticks gespeichert werden. Hier sollten nur betriebseigene Sticks mit integrierten Verschlüsselungstechniken verwendet werden.
• Müssen Unterlagen vernichtet werden, muss dies ebenfalls datenschutzgerecht erfolgen. Auch hier muss umgedacht werden, denn vertrauliche Unterlagen haben im Altpapier des normalen Hausmülls nichts zu suchen. Nicht mehr benötigte Unterlagen müssen ordnungsgemäß geschreddert werden oder im Hotel/Restaurant datenschutzkonform entsorgt werden.

Grundsätzlich gilt: Werden keine personenbezogenen Daten im Homeoffice verarbeitet, weil zum Beispiel nur eine neue Speisekarte vom Küchenchef geschrieben wird, braucht die Richtlinien der DSGVO nicht zu berücksichtigen.

Achtung bei dienstlichen Gesprächen mit dem Privathandy 

Wird bei dienstlichen Gesprächen ein privates Handy verwendet, so kann dies zu einem massiven Verstoß gegen den Datenschutz führen!

Hintergrund hierbei ist, das zahlreiche Apps wie etwa Messenger-Dienste von Facebook, WhatsApp etc. das gesamte Adressbuch auslesen und dementsprechende Daten auf ausländische Server übertragen können. Unternehmen, die diese Praxis nicht unterbinden, verstoßen damit massiv gegen den Datenschutz. So kommt das Bayerische Landesamt für Datenschutzaufsicht zu dem Schluss, WhatsApp könne auf dienstlichen Mobilgeräten nicht datenschutzkonform eingesetzt werden, da grundsätzlich von einer unbefugten Erhebung und Verarbeitung personenbezogener Daten auszugehen sei. Hierfür können Unternehmen für einen solchen Verstoß deutliche Sanktionen drohen. 

Da es dem Mitarbeiter auf der anderen Seite nicht zuzumuten ist, von seinem privaten Handy alle Messenger Dienste zu entfernen, sind hier andere Lösung zu finden. Eine Möglichkeit wäre, dem Mitarbeiter während der Homeoffice Zeit eine Prepaid-Handy bzw. eine Prepaid-Karte zur Verfügung zu stellen, die ausschließlich für berufliche Telefonate verwendet wird. Ein anderer Ansatz wäre, notwendige Telefonate über das private Festnetz führen zu lassen. Falls der Mitarbeiter keine Flatrate für Handyanrufe hat, sind gegebenenfalls die entstanden Zusatzkosten für berufliche Anrufe ins Handynetz zu erstatten. Zudem sind die angewählten Telefonnummern aus der Wahlwiederholung des Festnetztelefons in regelmäßigen Abständen zu löschen, da diese unter die Kategorie „personenbezogene Daten“ fallen und vor dem Zugriff „Dritter“ zu schützen sind.

Wer haftet für Datenpannen?

Sollten es aus irgendwelchen Gründen doch mal passieren, das personenbezogene Daten verloren gehen oder nach außen gelangen, ist laut DSGVO die jeweilige „verantwortliche Stelle“ dafür haftbar zu machen, die über die Zwecke der Datenverarbeitung entscheidet. Und das ist in der Regel der Vorgesetzte bzw. Chef. Liegt eine Verletzung des Schutzes personenbezogener Daten vor, muss in der Folge die verantwortliche Stelle gemäß Art. 33 der DSGVO unverzüglich und binnen 72 Stunden nach Bekanntwerden der Verletzung eine Meldung an die Datenschutz-Aufsichtsbehörden abgeben.

Inwieweit dann Unternehmensleitung den Mitarbeiter aufgrund einer „Datenpanne“ in Regress nehmen kann, hängt vom jeweiligen Einzelfall ab. Hierbei ist zu prüfen, ob der Mitarbeiter im Sinne der Datenschutzgrundverordnung leicht oder grob fahrlässig oder sogar mit Vorsatz gehandelt hat.

Vorsicht statt Nachsicht

Um diesbezügliche, böse Überraschungen zu vermeiden, sind vor der Bewilligung von Homeoffice-Tätigkeiten von Seiten der Geschäftsführung mit den jeweiligen Mitarbeitern entsprechende schriftliche Vorkehrungen zu treffen:

• Eine unverzichtbare Maßnahme ist, eine Arbeitsanweisung oder Richtlinie zum Thema Home-Office in den Arbeitsvertrag aufzunehmen. Diese kann auch bei bereits bestehenden Verträgen mit einer schriftlichen Ergänzung erfolgen. 
• Eine solche Erweiterungserklärung erfüllt gleich zwei Funktionen: 
  
  1. Sie klärt Mitarbeiter auf und sensibilisiert für die Thematik „Datenschutz-Vorkehrungen“ beim Umzug ins Home-Office. 
  2. Gleichzeitig bildet sie im Schadensfall die Grundlage dafür, Mitarbeiter bei fahrlässigem Handeln in Regress nehmen zu können.

Damit die vereinbarten Richtlinien auch alle Datenschutz-Anforderungen erfüllen, ist hier die Zusammenarbeit mit dem Datenschutz-Beauftragten oder einem externen Experten zu empfehlen.

Finanzielle Förderung für die Einrichtung von Homeoffice-Arbeitsplätzen

Das Thema Digitalisierung hat gerade in Corona-Zeiten nochmals an Relevanz gewonnen. Optimierung der Geschäftsprozesse, Verbesserung der eigenen IT-Sicherheit und die Einrichtung von zukunftsfähigen Arbeitsplätzen, wie zum Beispiel das Schaffen von Homeoffice Möglichkeiten, sind Stichworte, die immer wieder in diesem Zusammenhang fallen. Für alle Bereiche gibt es mittlerweile zahlreiche Förderprogramme vom Bund und den Ländern, die von kleinen und mittelständischen Unternehmen beantragt werden können. 

Neben der Förderung von Beratungsleistungen aus dem Programm „go-digital" zur Digitalisierung des eigenen Unternehmens, gibt es auch von diversen Bundesländern Förderprogramme, die das Schaffen von technischen Voraussetzungen für Homeoffice, mobiles Arbeiten und weitere Formen der digitalen Zusammenarbeit innerhalb des Unternehmens, inkl. Initialisierung der Nutzung von Cloud-Technologien" unterstützen. Eine Aufstellung einiger dieser Programme finden sie unter diesem Link.

Fazit und Zukunftsaussichten

In manchen Fällen kann es, je nach Größe eines Hotels/Restaurants, durchaus ein dauerhaftes Zukunfts-Modell werden, entsprechende Arbeitsbereiche temporär in ein Homeoffice auszulagern. Dies kann zum Beispiel auch im Wechsel innerhalb von Mitarbeitern einer Abteilung geschehen. Wenn hierfür die notwendigen Datenschutz-Vorkehrungen geschaffen und die entsprechende Soft- wie auch Hardware für mobiles Arbeiten vorhanden sind, können sich Unternehmen für zukünftige Herausforderungen eine Vorreiterrolle schaffen. Zwar wird sich ein solches Modell nicht unbedingt für den Service-, Küchen- oder Housekeepingbereich umsetzen lassen, allerdings könnten administrative Tätigkeiten gesammelt und an einem Tag in der Woche in „Home-Tätigkeit“ abgearbeitet werden. Dies würde sicherlich die Attraktivität als Arbeitgeber erhöhen und die Motivation der Mitarbeiter steigern.

Mittlerweile sind aufgrund des rasanten Digitalisierungsfortschrittes auch in der Hotellerie und Gastronomie vielseitige Möglichkeiten gegeben, Arbeitsprozesse zu verschlanken und Mitarbeiter noch effizienter einsetzen zu können. Ob Homeoffice ein Bereich ist, der für ein Betrieb umsetzbar ist oder nicht, kann nur jeder Verantwortliche für sich selber entscheiden. Wichtig ist nur, sich mit der Zukunftsfähigkeit eines solchen Modells auseinander zu setzen und auch hierbei die datenschutzrechtlichen Rahmenbedingungen in den Überlegungen mit einzubeziehen.

Herzlichst,
Ihr Jan Schmidt-Gehring

PS:
Sie benötigen ein Konzept für ein Digitalisierungsvorhaben in Ihrem Unternehmen? Die Unternehmermanufaktur ist bei vielen Förderprogrammen akkreditiert und kann Ihnen von der Planung bis zum Abschluss Ihrer Digitalisierungs-Vorhaben tatkräftig Unterstützung leisten.
Fragen Sie unverbindlich bei uns nach - Wir sind gerne für Sie da!