Viele Unternehmen wurden zu Zeiten der Corona-Pandemie ins kalte Wasser geworfen und mussten die Mitarbeiter ins „Homeoffice“ / mobile Arbeiten schicken.
Das Ganze geschah mehr oder weniger von heute auf morgen, d.h. Regelungen oder Vereinbarungen zwischen Arbeitgeber und Arbeitnehmer - insbesondere zum Datenschutz im „Homeoffice“ - wurden entsprechend nicht getroffen.
Der Begriff „Homeoffice“ im rechtlichen Sinne
Im Volksmund versteht man unter „Homeoffice“ in der Regel das Arbeiten von zu Hause aus. Der Begriff ist nämlich nicht eindeutig definiert, sondern dient als Oberbegriff für Telearbeit in unterschiedlichen Formen.
So gibt es grundsätzlich drei Formen der Telearbeit - also drei Formen der Arbeit außerhalb der Betriebsstätte des Arbeitgebers:
Kontrollpflichten des Arbeitgebers im „Homeoffice“
Alle drei Formen der Telearbeit bringen gesetzliche Pflichten mit sich, jedoch in unterschiedlichen Ausprägungen. So besteht immer eine Kontrollpflicht des Arbeitgebers, die sich aus der Datenschutz-Grundverordnung (Art. 5 Abs. 1 und 2 sowie Art. 32 Abs. 1 DSGVO) ableitet. Aber auch die Vorschriften zur Arbeitssicherheit umfassen bestimmte Kontrollpflichten.
Für den Arbeitgeber bietet die mobile Telearbeit die geringsten gesetzlichen Hürden und die meiste Flexibilität, da die Kontrollpflicht unterwegs nicht so einfach umgesetzt werden kann (schließlich kann der Arbeitgeber unmöglich die Sicherheit eines Tisches im Hotelzimmer überprüfen o.ä.).
Die Umsetzung von Kontrollen könnte sodann erfolgen durch:
Checklisten als datenschutzkonformer Geheimtipp
Eine Checkliste muss vor Gewährung des Homeoffice bestätigt werden. Hier hat der Mitarbeiter eine Mitwirkungspflicht – die Checkliste bietet neben datenschutzrechtlichen Aspekten auch viel Raum für weitere Compliance-Vorschriften wie z.B. Aspekte der Arbeitssicherheit.
Nach Einführung der Telearbeit sollte sodann stichprobenartig kontrolliert werden - im Rahmen des risikobasierten Ansatzes. D.h. je höher das Risiko in Bezug auf die zu verarbeitenden Daten, desto mehr Kontrolle muss erfolgen.
Risikoanalyse zur Gewährleistung des Datenschutzes
Dem risikobasierten Ansatz ist in Bezug auf die Gewährung des Homeoffice ohnehin viel Gewicht beizumessen. Da die Corona-Schutzverordnung keine Gültigkeit mehr besitzt und somit die Arbeitgeber grundsätzlich frei entscheiden können, „Homeoffice“ (mobile Telearbeit) anzubieten, muss das Unternehmen zuallererst eine (Risiko-)Analyse durchführen. Hier müssen die Gefährdungen für die Rechte und Freiheiten der Betroffenen (= die Personen, deren Daten verarbeitet werden), eine etwaige Schadenshöhe und die Eintrittswahrscheinlichkeit des entsprechenden Risikos untersucht werden.
Auf Grundlage dieses ermittelten Risikowertes sind sodann wirksame und angemessene technische und organisatorische Maßnahmen festzulegen, welche auch im Homeoffice zu implementieren sind, um die Risiken entsprechend zu reduzieren.
Das bedeutet konkret, dass z.B. Mitarbeiter aus der Personalabteilung die zu verarbeitenden (Personal-)Daten deutlich stärker schützen müssen, als ein Vertriebler, der ausschließlich gewerbliche Kontaktdaten verarbeitet. Besonders schützenswerte Daten (wie z.B. Gesundheitsdaten in Patientenakten) sollten möglichst aufgrund des erhöhten Risikos überhaupt nicht außerhalb der Betriebsstätte verarbeitet werden.
Auch sollte der Einsatz privater Hard- und Software für die Telearbeit vermieden werden, da der Arbeitgeber hier grundsätzlich keinen Einfluss auf das Sicherheitsniveau hat.
Zutrittsrecht des Arbeitgebers hinsichtlich Art. 13 Abs. 1 Grundgesetz
Sofern die Tätigkeit in der Analyse als „Homeoffice“-fähig eingestuft, jedoch noch keine grundsätzliche Regelung zur Telearbeit im Arbeitsvertrag getroffen wurde, ist eine Zusatzvereinbarung zwischen Arbeitgeber und Arbeitnehmer als Ergänzung zum Arbeitsvertrag erforderlich.
Hierbei handelt es sich um eine Vertragsergänzung, in der individuelle Vereinbarungen getroffen werden können (getreu dem Grundsatz der Vertragsfreiheit). Das bedeutet, der Arbeitgeber kann sich in dieser freiwilligen Vereinbarung im Gegenzug für die Ermöglichung der Telearbeit (Homeoffice) ein Zutrittsrecht in die Wohnung des Arbeitnehmers einräumen lassen. Trotz der Regelung des Art. 13 Abs. 1 Grundgesetz („Die Wohnung ist unverletzlich“) gilt dann das vertraglich vereinbarte Zutrittsrecht – es kann nun mal jeder selbst entscheiden, ob ihm die Möglichkeit des Homeoffice mehr wert ist, als die Unverletzlichkeit der Wohnung (Vertragsfreiheit).
Die Inhalte einer vertraglichen Zusatzregelung
In der Zusatzvereinbarung sollte nur das Nötigste geregelt werden (Ort, Umfang, Erreichbarkeit…).
Nur, wenn der Mitarbeiter die vom Arbeitgeber festgelegten Voraussetzungen erfüllt, kann er von zu Hause aus arbeiten (die Spielregeln werden so zu sagen vom Arbeitgeber vorgegeben).
Eine zusätzliche Richtlinie regelt sodann die konkrete Ausgestaltung sowie einzuhaltende Maßnahmen und weitere Details zum Homeoffice.
Gemäß risikobasiertem Ansatz und Verhältnismäßigkeitsprinzip könnten neben der Zusatzvereinbarung, der Richtlinie und der Checkliste (Kontrolle) noch weitere Maßnahmen hinzukommen, z.B. Schulung, weitere Kontrollen (vorab oder regelmäßig), Merkblätter, FAQs.
Sofern Sie ein Auftragsverarbeiter im Sinne des Art. 28 DSGVO sind, muss in jedem Auftragsverarbeitungsvertrag, den Sie mit einem Auftraggeber schließen, ein Passus zum Homeoffice (Telearbeit) enthalten sein – der Einfachheit halber kann man zum Beispiel ein Datensicherheitskonzept online stellen und auf das Homeoffice hinweisen.
Fazit und Handlungsempfehlungen zur Regelung des „Homeoffice“
Vor dem Beginn der Tätigkeit im Homeoffice müssen folgende Vorarbeiten durch den Arbeitgeber geleistet werden:
- Analyse des Risikos
- Zusatzvereinbarung zum Arbeitsvertrag (sofern keine entsprechenden Regelungen im Arbeitsvertrag bestehen)
- Richtlinie
- Checkliste bzgl. der Voraussetzungen (Datenschutz + Arbeitssicherheit)
- ggfs. sonstige Maßnahmen.
Bei der Analyse sowie bzgl. der hierfür notwendigen Unterlagen kann Ihr Datenschutzbeauftragter Ihnen weiterhelfen - sprechen Sie uns gerne an.
Katrin Dahmen
