Das bürolose Unternehmen Teil 3
Datenschutz und Geschäftsgeheimnisse auch ohne Büro wahren
Ein Unternehmen ohne eigene Büroräume bleibt für den Datenschutz und den Schutz von Geschäftsgeheimnissen verantwortlich. Arbeiten Beschäftigte ausschließlich im Home oder Mobile Office, verlagern sich jedoch die Risiken: Vertrauliche Gespräche, sensible Daten und Geschäftsgeheimnisse müssen auch zu Hause, im Coworking-Space oder unterwegs geschützt sein. Arbeitgeber brauchen deshalb klare Regeln für Arbeitsorte und Zugriffsrechte, geeignete technische und organisatorische Schutzmaßnahmen sowie regelmäßige Schulungen. Entscheidend ist, den Schutz sensibler Informationen in die täglichen Arbeitsprozesse zu integrieren.
Auch ohne Büro: Der Datenschutz bleibt Arbeitgeberpflicht
Das Büro geht, die Verantwortung bleibt
Datenschutzrechtlich ist die Lage klar: Der Arbeitgeber ist und bleibt auch dann Verantwortlicher im Sinne von Art. 4 Nr. 7 der Datenschutzgrundverordnung (DSGVO), wenn er keinen klassischen Betrieb mehr vorhält und alle Arbeitnehmer* im Home oder Mobile Office arbeiten lässt. Personenbezogene Daten werden in Arbeitsverhältnissen unabhängig davon erhoben und verarbeitet, wo der Arbeitnehmer seine Aufgaben tatsächlich ausführt. Gleichzeitig hat eine Tätigkeitserbringung im Home oder Mobile Office keinen Einfluss auf die Tatsache, dass es der Arbeitgeber ist, der über die Zwecke und Mittel der Verarbeitung von Beschäftigtendaten befindet.
Technisch-organisatorische Maßnahmen auf dem Prüfstand
Aus dieser Einflussmöglichkeit auf die personenbezogenen Beschäftigtendaten folgt spiegelbildlich die arbeitgeberseitige Pflicht zur Gewährleistung eines hinreichenden Datenschutzes. Eine Ausprägung dieser Pflicht ist etwa das Erfordernis zur Umsetzung geeigneter technischer und organisatorischer Maßnahmen (sog. TOMs, vgl. Art. 32 Abs. 1 DSGVO). Hier macht sich der Umstand des fehlenden physischen Büros dann doch bemerkbar: Die im Vergleich zu einer Tätigkeit im Betrieb geänderte Risikolage für personenbezogene Daten muss in die arbeitgeberseitigen Überlegungen einfließen und kann abweichende oder zusätzliche technisch-organisatorische Maßnahmen erforderlich machen. So ist in Privathaushalten oder – erst recht – an öffentlichen Plätzen die Gefahr eines ungewollten Mithörens durch Dritte deutlich erhöht. Entsprechendes gilt für Blicke auf Bildschirminhalte oder vertrauliche Unterlagen. Werden Dokumente, USB-Sticks etc. in Cafés oder Coworking-Spaces liegen gelassen, kann dies zu einem unkontrollierbaren Datenverlust führen. Auch bleibt der Schutz gegen Hacking- oder Phishing-Angriffe im privaten oder gar öffentlichen Umfeld oft deutlich hinter den betrieblichen Standards zurück.
Beschäftigte für den Datenschutz sensibilisieren
Vor diesem Hintergrund ist eine wesentliche Organisationspflicht auf Arbeitgeberseite darin zu sehen, die eigenen Arbeitnehmer für die besonderen Datenschutzrisiken im Home und Mobile Office zu sensibilisieren und für diese Tätigkeitsformen verbindliche Verhaltensregeln aufzustellen. Das erleichtert es dem Arbeitgeber auch, seiner Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO zu genügen und die Einhaltung des Datenschutzes bei Bedarf nachzuweisen (bspw. im Rahmen entsprechender Anfragen der Aufsichtsbehörde).
Auch Daten Dritter sind schutzbedürftig
Dabei darf auch nicht vergessen werden, dass das Datenschutzrecht nicht nur zu Gunsten des einzelnen Arbeitnehmers wirkt – vielmehr sind auch die personenbezogenen Daten seiner Arbeitskollegen sowie von Kunden, Geschäfts- oder Kooperationspartnern des Unternehmens schutzwürdig. Mit diesen personenbezogenen Daten Dritter kommen Arbeitnehmer dank moderner Kommunikationsmittel auch völlig losgelöst von einer physischen Betriebsstätte ihres Arbeitgebers in Berührung und müssen dann als sog. unterstellte Person (siehe Art. 29 DSGVO) ihrerseits die datenschutzrechtlichen Vorgaben und Einschränkungen beherzigen. Auf die Wahrung der Vertraulichkeit personenbezogener Daten hat der Arbeitgeber seine Arbeitnehmer folgerichtig auch gesondert zu verpflichten (sog. Verpflichtung auf das Datengeheimnis) – und zwar völlig unabhängig davon, ob diese nun in Büros des Arbeitgebers oder aber in den eigenen vier Wänden tätig sind.
Geschäftsgeheimnisse im bürolosen Unternehmen wirksam schützen
Geschäftsgeheimnisse brauchen angemessene Schutzmaßnahmen
Datenschutz und Geschäftsgeheimnisschutz begegnen im Arbeitsalltag häufig denselben Risiken. Rechtlich setzen sie jedoch an unterschiedlichen Punkten an: Nicht jede vertrauliche Unternehmensinformation ist bereits ein Geschäftsgeheimnis. Nach § 2 Nr. 1 des Gesetzes zum Schutz von Geschäftsgeheimnissen (GeschGehG) greift der besondere gesetzliche Schutz nur, wenn die Information unter anderem Gegenstand von den Umständen nach angemessenen Geheimhaltungsmaßnahmen ist. Anders als beim Datenschutz ist das Schutzkonzept damit nicht nur Folge, sondern Voraussetzung des gesetzlichen Schutzes. Fehlt es, kann das Unternehmen Ansprüche nach dem GeschGehG verlieren.
Absolute oder größtmögliche Sicherheit verlangt das Gesetz nicht. Erforderlich ist vielmehr ein risikogerechtes und in sich stimmiges Gesamtkonzept. Maßgeblich sind etwa der wirtschaftliche Wert und die Sensibilität der Information, ihre Verletzlichkeit, der Kreis der Zugriffsberechtigten und der Aufwand möglicher Schutzmaßnahmen. Im bürolosen Unternehmen gehört zu diesen Umständen gerade auch, dass Informationen dauerhaft außerhalb einer vom Arbeitgeber kontrollierten Betriebsstätte verarbeitet werden.
Schutzklassen und Zugriffsrechte für vertrauliche Informationen
Am Anfang steht daher die Frage, was überhaupt in welchem Umfang geschützt werden soll. Unternehmen sollten ihre vertraulichen Informationen identifizieren, nach Bedeutung und Sensibilität kategorisieren und ihnen abgestufte Schutzmaßnahmen zuordnen. Ein praktikables System kann beispielsweise zwischen „intern“, „vertraulich“ und „streng vertraulich“ unterscheiden. Nicht jede interne E-Mail muss zum Geschäftsgeheimnis erklärt werden. Ein System, das unterschiedslos sämtliche Unternehmensinformationen zum Geheimnis erklärt, bietet den Beschäftigten weder Orientierung noch zwingend einen rechtlich belastbaren Schutz.
Zentrales Organisationsprinzip sollte das Need-to-know-Prinzip sein: Beschäftigte erhalten nur Zugriff auf diejenigen Informationen, die sie für ihre konkrete Aufgabe tatsächlich benötigen. Zugriffsrechte sollten rollenbezogen vergeben, regelmäßig überprüft und bei einem Aufgabenwechsel oder beim Ausscheiden unverzüglich angepasst werden. Im bürolosen Unternehmen ersetzt diese digitale Zugriffskontrolle zu einem erheblichen Teil die früheren räumlichen Grenzen zwischen Abteilungen, Archiven und besonders geschützten Bereichen.
Mobile Office: Der Schutz von Geschäftsgeheimnissen muss mitwandern
Die im Datenschutzteil beschriebenen Gefahren des Mitlesens, Mithörens oder Abhandenkommens stellen sich auch bei Geschäftsgeheimnissen. Statt hierfür ein zweites, gleichförmiges Regelwerk zu schaffen, bietet sich eine gemeinsame Sicherheitsbasis mit zusätzlichen geheimnisspezifischen Schutzstufen an. Für jede Schutzklasse sollte feststehen, an welchen Orten und in welcher technischen Umgebung die betreffenden Informationen bearbeitet werden dürfen. Weniger sensible Tätigkeiten können etwa auch an einem freigegebenen Coworking-Arbeitsplatz ausgeübt werden. Vertrauliche Gespräche oder die Bearbeitung besonders schutzwürdiger Informationen können dagegen einen abgeschlossenen Raum erfordern; Zug, Café oder Hotellobby können für bestimmte Informationskategorien vollständig ausscheiden.
Gerade darin liegt die Besonderheit des bürolosen Unternehmens: Die Anweisung, besonders sensible Informationen dürften ausschließlich „im Betrieb“ bearbeitet werden, scheidet mangels physischer Betriebsstätte aus. Der erforderliche Schutz muss in den Arbeitsprozess selbst integriert werden. Für besonders wertvolle Geschäftsgeheimnisse – die „Kronjuwelen“ des Unternehmens – kommen etwa besonders restriktive Zugriffsrechte, virtuelle Arbeitsumgebungen ohne lokale Speicherung, deaktivierte Download-, Kopier- und Druckfunktionen sowie zusätzliche Authentifizierungs- und Freigabeschritte in Betracht. Ergänzend können der zugängliche Informationsumfang beschränkt, ein Vier-Augen-Prinzip vorgesehen oder die Bearbeitung einem besonders kleinen und geschulten Personenkreis vorbehalten werden.
Vertrauliche Dokumente ohne Büro sicher aufbewahren und vernichten
Besonders greifbar wird die fehlende betriebliche Infrastruktur beim Umgang mit Papier. Ausdrucke sollten grundsätzlich vermieden oder auf bestimmte Informationskategorien beschränkt werden. Soweit sie erforderlich sind, braucht es Vorgaben zur sicheren Aufbewahrung und eine tatsächlich nutzbare Vernichtungslösung. Der Hinweis, vertrauliche Unterlagen seien „im Büro zu schreddern“, hilft nicht weiter, wenn es kein Büro gibt. In Betracht kommen etwa geeignete Aktenvernichter, verschließbare Sammelbehälter oder ein sicherer Abhol- und Vernichtungsservice.
Regeln müssen gelebt werden
Eine allgemeine Verschwiegenheitsklausel im Arbeitsvertrag genügt nicht. Erforderlich sind hinreichend bestimmte vertragliche Geheimhaltungspflichten und eine auf das bürolose Modell zugeschnittene Richtlinie. Datenschutz und Geschäftsgeheimnisschutz müssen dabei nicht in getrennten Regelwerken nebeneinander stehen: Sinnvoller ist eine konsistente Mobile-Office- oder Informationssicherheitsrichtlinie, die die gemeinsame Sicherheitsbasis festlegt und für Geschäftsgeheimnisse die zusätzlichen Schutzklassen, zulässigen Arbeitsorte, Zugriffsbegrenzungen und Freigaben klar ausweist.
Schließlich muss das Schutzkonzept im Arbeitsalltag tatsächlich gelebt werden. Dazu gehören verständliche Vorgaben, regelmäßige Schulungen, klare Meldewege für Sicherheitsvorfälle und eine nachvollziehbare Dokumentation der ergriffenen Maßnahmen. Weil die Kontrollmöglichkeiten in privaten Räumen begrenzt sind, sollten Vorgaben soweit möglich technisch durchgesetzt und durch geeignete organisatorische Prozesse abgesichert werden. Werden Schutzmaßnahmen wiederholt umgangen, ohne dass das Unternehmen reagiert, kann dies auch die Angemessenheit des gesamten Schutzkonzepts infrage stellen.
Das bürolose Unternehmen kann seine Geschäftsgeheimnisse damit wirksam schützen. Es darf diesen Schutz jedoch nicht schlicht in die privaten vier Wände seiner Beschäftigten auslagern. Wo die gemeinsame Betriebsstätte als kontrollierter Schutzraum entfällt, müssen die Informationen selbst, die technischen Systeme und jeder zulässige Arbeitsplatz ein angemessenes Schutzniveau gewährleisten.
To Dos: Datenschutz und Geschäftsgeheimnisse ohne Büro schützen
- Datenschutz und Geheimnisschutz zusammenführen: Eine zentrale Richtlinie sollte die gemeinsame Sicherheitsbasis bestimmen und für besonders schutzwürdige Informationen zusätzliche Schutzklassen, Zugriffsbegrenzungen und zulässige Arbeitsorte vorsehen.
- Klare Melde- und Dokumentationswege schaffen: Datenschutzverletzungen, der Verlust vertraulicher Informationen und andere Sicherheitsvorfälle müssen auch auf Distanz schnell gemeldet, nachvollziehbar dokumentiert und ausgewertet werden können.
- Zugriffsrechte und Arbeitsorte nach Schutzbedarf festlegen: Unternehmen sollten definieren, wer auf sensible Informationen zugreifen darf und an welchen Orten diese bearbeitet werden dürfen. Besonders vertrauliche Daten und Geschäftsgeheimnisse erfordern strengere Vorgaben.
- Schutzmaßnahmen regelmäßig überprüfen: Technische Schutzmaßnahmen, Zugriffsrechte und interne Vorgaben sollten regelmäßig auf ihre Wirksamkeit geprüft und an neue Risiken sowie veränderte Arbeitsabläufe angepasst werden.
Wer klare Vorgaben mit praxisnahen Schulungen und verlässlichen Abläufen verbindet, schafft die organisatorischen Voraussetzungen dafür, ein Unternehmen im Sinne des Daten- und Geheimnisschutzes auch ohne eigene Büroräume rechtssicher und zugleich praxistauglich zu führen.
*Gemeint sind Personen jeder Geschlechtsidentität. Um der leichteren Lesbarkeit willen wird im Beitrag die grammatikalisch männliche Form verwendet.
