Angestellte dürfen ihr privates Handy dienstlich nutzen, wenn der Arbeitgeber es erlaubt. Aber ist das auch sinnvoll? Und wenn das Privathandy für den Beruf verwendet wird, wer haftet dann eigentlich, wenn was schiefgeht und zum Beispiel sensible Daten abgegriffen werden?
Grundsätzlich gilt: Verantwortlich für die Firmendaten bleibt immer das Unternehmen, nicht die Angestellten. Du brauchst deshalb eine schriftliche Regelung, eine technische Trennung von Privatem und Dienstlichem und einen Plan für Verlust und Austritt. Alternativ stellst du die Geräte für die Angestellten, zum Beispiel über einen Device-as-a-Service-Anbieter wie Everphone. Das kann man auch so regeln, dass die private Nutzung zusätzlich erlaubt ist.
Gehen wir jetzt aber davon aus, dass das Handy den Angestellten gehört. Die Pflichten gehören als IT-Verantwortlichem trotzdem dir. Genau diese Schieflage macht private Handys im Job so heikel: Du trägst die Verantwortung für ein Gerät, auf das du kaum Zugriff hast.
Wer ist für Firmendaten auf dem privaten Handy verantwortlich?
Das Unternehmen. Die DSGVO kennt den „Verantwortlichen“ (Art. 4 Nr. 7): Wer über Zweck und Mittel der Datenverarbeitung entscheidet, haftet dafür. Dass Angestellte das eigene Handy benutzen, ändert daran nichts. Kundenkontakte, Personalakten und E-Mails bleiben Daten des Unternehmens.
Ein Beispiel: Lena aus dem Vertrieb liest Kundenmails auf ihrem iPhone. Ihre Tochter nutzt das Gerät abends für ein Spiel, das Kontakte abfragt. Der Datenschutzvorfall ist trotzdem deiner, nicht Lenas.
Die Rechenschaftspflicht (Art. 5 Abs. 2) kommt dazu. Du musst nachweisen können, dass du angemessen geschützt hast. „Wir haben es erlaubt und nichts geregelt“ ist kein Nachweis.
Welche DSGVO-Pflichten gelten bei der dienstlichen Nutzung privater Handys?
Dieselben wie bei jedem Firmengerät. Der Unterschied liegt nur darin, wie schwer sie sich umsetzen lassen.
| Pflicht | Grundlage | Was das beim privaten Handy bedeutet |
|---|---|---|
| Angemessene technische und organisatorische Maßnahmen | Art. 32 | Displaysperre, Verschlüsselung, aktuelle Updates, getrennter Arbeitsbereich |
| Verarbeitungsverzeichnis | Art. 30 | Das private Gerät und die dort genutzten Apps stehen im Verzeichnis |
| Meldung bei Datenpannen | Art. 33 | Verlust oder Diebstahl muss dich schnell erreichen, die Frist beträgt 72 Stunden ab Kenntnis |
| Löschung | Art. 17 | Beim Austritt müssen Firmendaten vom Gerät verschwinden, Privates bleibt |
| Rechenschaft | Art. 5 Abs. 2 | Regelung und Schutzmaßnahmen sind dokumentiert |
Ein Verstoß gegen Art. 32 kann mit Bußgeld bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden (Art. 83 Abs. 4). In der Praxis liegen die Beträge für mittelständische Unternehmen weit darunter. Das Risiko ist trotzdem real, sobald nach einer Panne jemand fragt, was du vorher geregelt hattest.
Darfst du ein privates Handy kontrollieren oder aus der Ferne löschen?
Nur den dienstlichen Teil. Auf private Fotos, Chats und Apps hast du keinen Zugriff, und ein Komplett-Löschen des Geräts per Fernzugriff ist keine Option. Das gilt auch dann, wenn jemand zustimmt, denn eine Einwilligung im Arbeitsverhältnis gilt als schwierig, weil sie selten wirklich freiwillig ist (§ 26 BDSG).
Die technische Konsequenz: Du brauchst ein Verfahren, das nur den Arbeitsbereich verwaltet. Bei Android ist das das Arbeitsprofil, bei iPhones die Anmeldung als „User Enrollment“. Beide trennen Dienstliches von Privatem, und die Verwaltung sieht nur die dienstlichen Apps und Daten. Wie das mit MDM zusammenhängt, steht in unserem Artikel zur Bedeutung der DSGVO für Mobile-Device-Management.
Gibt es einen Betriebsrat, hat er bei technischen Einrichtungen, die Angestellte überwachen können, mitzubestimmen (§ 87 Abs. 1 Nr. 6 BetrVG). Ein MDM auf privaten Geräten fällt in der Regel darunter.
Was gehört in die schriftliche BYOD-Vereinbarung?
Eine Vereinbarung, die du in einer Seite erklären kannst. Diese Punkte brauchst du:
- Welche Geräte und Betriebssystemversionen zugelassen sind, und ab wann ein Gerät nicht mehr dazugehört
- Welche Schutzmaßnahmen Pflicht sind: Displaysperre, Verschlüsselung, Updates innerhalb einer festen Frist
- Welche Daten und Apps im Arbeitsbereich liegen dürfen und welche nicht
- Was die IT sehen darf (nur den Arbeitsbereich) und was nicht (alles andere)
- Was bei Verlust, Diebstahl oder Verdacht auf Schadsoftware zu tun ist, mit einem konkreten Ansprechpartner
- Was beim Austritt passiert: Der Arbeitsbereich wird entfernt, das restliche Gerät bleibt unberührt
- Wer was bezahlt, zum Beispiel einen Zuschuss zu Tarif und Gerät
Zum Punkt Kosten: Ob und wie viel der Arbeitgeber zahlen muss, hängt vom Einzelfall ab. Schreib es deshalb ausdrücklich hinein, statt es offen zu lassen.
Für die umgekehrte Situation, das Firmenhandy mit Privatnutzung, gibt es eine passende Vorlage im Artikel zur Nutzungsvereinbarung für den Privatgebrauch von Diensthandys.
Wie trennst du Dienstliches und Privates technisch sauber?
Mit einem Arbeitsbereich, der vom Rest des Geräts abgeschottet ist. Dienstliche E-Mails, Kalender und Kontakte laufen dort. Private Apps kommen nicht an diese Daten heran, und die dienstlichen Apps sehen nichts Privates.
Schwierig wird es an den Rändern. Das Adressbuch ist ein Beispiel: Gleicht ein Messenger wie WhatsApp private und dienstliche Kontakte ab, landen Kundendaten bei einem Dienst, mit dem du keinen Vertrag hast. Der Arbeitsbereich verhindert genau das, weil der Messenger auf die dienstlichen Kontakte nicht zugreift. Mehr dazu in unserem Artikel zur Datentrennung auf dem Firmenhandy.
Was bleibt, ist der Mensch. Wer Firmenunterlagen per Screenshot in den privaten Chat schickt, umgeht jede Trennung. Dagegen hilft nur Schulung, und die gehört in den Nachweis nach Art. 5 Abs. 2.
Was passiert bei Verlust, Diebstahl oder Austritt?
Beim Verlust zählt die Zeit. Dein 72-Stunden-Fenster für die Meldung beginnt, sobald du von der Panne weißt. Dein Vorteil beim Arbeitsbereich: Du kannst ihn sofort sperren oder löschen, ohne das private Gerät anzufassen. Die Schritte bei einem verlorenen Gerät haben wir in Firmenhandy verloren: Die ersten 72 Stunden beschrieben.
Beim Austritt ist es einfacher, aber nur, wenn du es vorher geregelt hast. Der Arbeitsbereich wird am letzten Arbeitstag entfernt. Ohne Arbeitsbereich bleibt dir nur die Bitte an die Angestellten, Daten selbst zu löschen. Prüfen kannst du das nicht.
Wann sich private Handys im Job nicht lohnen
Wenn die Daten sensibel sind, rechnet sich BYOD nicht. Dazu zählen Gesundheitsdaten, Personalakten und alles, was einer besonderen Geheimhaltung unterliegt. Dort ist der Aufwand für Regelung, Mitbestimmung und Schulung höher als ein eigenes Gerät.
Das Gleiche gilt, wenn du die Kontrolle nicht abgeben kannst. Wer Pflicht-Updates, Gerätesperre und Löschung durchsetzen muss, braucht ein Gerät, das ihm gehört oder das er verwalten darf. Die Modelle im Vergleich findest du in BYOD, COPE oder CYOD.
Ein Mittelweg ist Choose your own Device: Angestellte suchen sich ein Gerät aus, das Unternehmen verwaltet es. Die Wahlfreiheit bleibt, die Verantwortung liegt klar bei dir, und du hast alle Möglichkeiten, die DSGVO-Pflichten umzusetzen. Das Gerät kann ein Mietgerät sein, mit MDM und Austausch im Schadensfall.
Unsere Empfehlung: Erlaub private Handys nur, wenn die Daten unkritisch sind und du eine Arbeitsbereich-Lösung im Einsatz hast. In allen anderen Fällen gib lieber selbst Geräte aus.
Häufige Fragen
Darf der Arbeitgeber verlangen, dass ich mein privates Handy dienstlich nutze?
Grundsätzlich nein. Ohne ausdrückliche Vereinbarung gibt es keine Pflicht, das eigene Gerät für die Arbeit einzusetzen. Der Arbeitgeber stellt die Arbeitsmittel. Ob es Ausnahmen gibt, hängt vom Arbeitsvertrag ab.
Gilt die DSGVO auch, wenn Angestellte nur E-Mails auf dem privaten Handy lesen?
Ja. Sobald personenbezogene Daten wie Namen oder Kontaktdaten von Kund*innen auf dem Gerät erscheinen, verarbeitest du sie. Die Pflichten aus Art. 32 gelten dann auch dafür.
Darf ich als Arbeitgeber das private Handy meiner Angestellten orten oder auslesen?
Nein. Zugriff hast du nur auf den dienstlichen Arbeitsbereich. Orten, Auslesen privater Inhalte oder Fernlöschung des ganzen Geräts sind nicht zulässig. Mehr dazu in Was Arbeitgeber bei der Firmenhandy-Überwachung dürfen.
Was passiert, wenn auf einem privaten Handy ein Datenleck entsteht?
Du bist als Verantwortlicher zur Meldung verpflichtet, in der Regel binnen 72 Stunden an die Datenschutzaufsicht. War das Leck Folge fehlender Schutzmaßnahmen, kann ein Bußgeld folgen. Darum sollte der Verlust eines Geräts sofort bei der IT landen.