DSGVO-Konformität für hybrides Arbeiten: Ein praktischer Leitfaden

DSGVO-Konformität für hybride Arbeitsplätze ist kein separates Regelwerk. Die Verordnung gilt gleichermaßen, egal ob dein Team im Büro, von zu Hause oder aus einem Café in einem anderen Land arbeitet. Hybride Arbeitsmodelle bringen jedoch Risiken mit sich, mit denen herkömmliche Büroumgebungen nie zu kämpfen hatten: private Geräte, auf denen Unternehmensdaten verarbeitet werden, Shadow-IT-Tools, die ohne Genehmigung der IT-Abteilung eingesetzt werden, und Mitarbeitende, die über Netzwerke auf Systeme zugreifen, die du nicht kontrollierst.

Kurz zusammengefasst

DSGVO-Konformität gilt unabhängig davon, ob Mitarbeitende von zu Hause, im Büro oder an einem anderen Ort arbeiten. Die Verordnung ändert sich nicht je nach Standort. Hybride Arbeitsmodelle bringen jedoch neue Risiken mit sich, die du bewältigen musst.

• Shadow-IT und private Geräte verarbeiten Daten außerhalb deiner Kontrolle und schaffen so blinde Flecken in deiner Compliance-Lage
• Der grenzüberschreitende Zugriff durch Mitarbeitende, die im Ausland arbeiten, löst komplexe Regeln für die Datenübermittlung aus, die du mit in der EU gehosteten Tools vermeiden kannst
• Du hast weiterhin 72 Stunden Zeit, um einen Sicherheitsvorfall zu melden, aber das Erkennen von Vorfällen in Heimnetzwerken dauert länger als im Büro

Was die DSGVO für hybride Arbeitsplätze vorschreibt

Die Datenschutz-Grundverordnung ist ein Gesetz der Europäischen Union, das regelt, wie Organisationen mit personenbezogenen Daten von EU-Bürger:innen umgehen müssen. Wenn dein Unternehmen Informationen über Personen in der EU erhebt, speichert oder verarbeitet, musst du diese Vorschriften einhalten. Die Verordnung gilt unabhängig davon, wo sich deine Mitarbeitenden befinden, wenn sie ihre Arbeit verrichten.

Die DSGVO unterscheidet nicht zwischen Remote-Arbeit und Büroarbeit. Du brauchst dieselben technischen und organisatorischen Maßnahmen zum Datenschutz, egal ob jemand am Küchentisch arbeitet oder in deiner Unternehmenszentrale. Das Gesetz bezieht sich darauf, was passiert, nicht auf den Ort.

Um zu verstehen, wer für die Einhaltung der Vorschriften verantwortlich ist, muss man zunächst zwei Schlüsselrollen betrachten. Ein Verantwortlicher entscheidet, warum und wie personenbezogene Daten verarbeitet werden. Ein Auftragsverarbeiter verarbeitet die Daten im Auftrag des Verantwortlichen. In den meisten Fällen im Bereich Arbeitsplatzmanagement fungierst du als Verantwortlicher und der Softwareanbieter als Auftragsverarbeiter. Beide Parteien tragen gemeinsam die Verantwortung für die Einhaltung der Vorschriften.

Im Arbeitskontext umfassen personenbezogene Daten mehr, als du vielleicht denkst. Dazu gehören Mitarbeitendendaten, Besucherlisten, Daten zur Schreibtischbuchung und Zugriffsprotokolle. Du musst diese Informationen gemäß den Kernprinzipien der DSGVO schützen, wie zum Beispiel der Datenminimierung: Sammle nur die Daten, die du tatsächlich für einen bestimmten Zweck brauchst.

Hybride Systemlandschaften erschweren die Umsetzung der Rechte betroffener Personen. Mitarbeitende können Auskunft über ihre personenbezogenen Daten verlangen, deren Berichtigung beantragen oder deren Löschung fordern. Wenn sich Informationen auf mehrere private Geräte, Heimnetzwerke und Cloud-Anwendungen verteilen, wird das Erfassen oder Löschen dieser Daten zu einer echten operativen Herausforderung. Zentralisierte Systeme helfen dir dabei, diese Anfragen innerhalb der in der DSGVO festgelegten Frist von einem Monat zu bearbeiten.

DSGVO-Risiken, die speziell mit hybriden Arbeitsmodellen verbunden sind

Wenn Mitarbeitende die traditionelle Büroumgebung verlassen, entstehen Sicherheitsrisiken, die IT- und Compliance-Teams aktiv bewältigen müssen. Wenn Mitarbeitende von zu Hause oder an öffentlichen Orten arbeiten, verlierst du die direkte Kontrolle über die physische Umgebung und die Netzwerkinfrastruktur.

Shadow-IT stellt eines der größten Compliance-Risiken in einer hybriden Umgebung dar. Laut JumpCloud nutzen 65 % der Remote-Mitarbeitenden Software ohne Genehmigung der IT-Abteilung. Dazu gehören Filesharing-Apps, Messaging-Plattformen und Terminplanungs-Tools, die Teams für die Zusammenarbeit mit Kolleg:innen im Homeoffice einsetzen. Wenn Mitarbeitende diese nicht genehmigten Anwendungen nutzen, verarbeiten sie personenbezogene Daten völlig außerhalb der Sichtweite der IT-Abteilung. Du kannst nicht garantieren, dass diese Drittanbieter die DSGVO-Standards erfüllen, wenn du nicht einmal weißt, dass es sie gibt.

Private Geräte stellen ein weiteres erhebliches Sicherheitsrisiko dar. Viele Unternehmen erlauben es Mitarbeitenden, ihre eigenen Laptops oder Smartphones für berufliche Aufgaben zu nutzen. Ohne geeignete Gerätemanagement-Software kannst du nicht gewährleisten, dass diese Geräte Verschlüsselung oder sichere Löschverfahren verwenden. Wenn Mitarbeitende ihr privates Smartphone verlieren, auf dem sich Firmen-E-Mails oder Kundendaten befinden, hast du keine Möglichkeit, diese Daten aus der Ferne zu löschen.

Heimnetzwerken fehlen die Firewalls und die Datenverkehrsüberwachung auf Unternehmensniveau, wie man sie aus Firmennetzwerken kennt. Wenn man in Gemeinschaftsräumen arbeitet, sind sensible Informationen zudem der Gefahr ausgesetzt, dass jemand über die Schulter schaut. Ein ungesicherter Laptop in einem Café oder ein gut sichtbarer Bildschirm in einer Wohngemeinschaft birgt physische Sicherheitsrisiken, die in einem durch Ausweise gesicherten Bürogebäude nicht bestehen.

Standortübergreifende Maßnahmen zur Datensicherheit

Der Schutz personenbezogener Daten an mehreren Standorten erfordert eine Kombination aus technischen Sicherheitsmaßnahmen und klaren organisatorischen Regelungen. Du brauchst Kontrollmechanismen, die die Daten schützen, ohne deinen Mitarbeitenden unnötige Hürden in den Weg zu stellen.

Die Zugriffskontrolle bildet die Grundlage für hybride Sicherheit. Dank Single-Sign-On (SSO) können Mitarbeitende mit einem einzigen Satz von Anmeldedaten auf alle Arbeitsanwendungen zugreifen, während die Multi-Faktor-Authentifizierung (MFA) zusätzlich zu den Passwörtern einen zweiten Verifizierungsschritt vorsieht. Rollenbasierte Berechtigungen stellen sicher, dass jede Person nur auf die Daten zugreift, die sie für ihre spezifische Aufgabe benötigt. Native Integrationen mit Microsoft Entra ID und Okta sowie die SCIM-Provisionierung reduzieren manuelle Fehler und sorgen dafür, dass Zugriffsrechte automatisch entzogen werden, wenn jemand das Unternehmen verlässt.

Verschlüsselung schützt Daten sowohl während der Übertragung als auch im Ruhezustand. Verlange von Mitarbeitenden, ein VPN zu nutzen, wenn sie aus der Ferne auf sensible interne Systeme zugreifen. Stell sicher, dass die Endpunktverschlüsselung auf allen Geräten aktiviert ist, auf denen Unternehmensdaten verarbeitet werden – egal, ob es sich um firmeneigene oder private Geräte handelt.

Das Mobile Device Management ermöglicht der IT-Abteilung die zentrale Kontrolle über Laptops und Smartphones. Dazu gehören Funktionen zum Fernlöschen, obligatorische Betriebssystem-Updates und Einschränkungen bei der Nutzung von Apps. Wenn Mitarbeitende das Unternehmen verlassen oder ein Gerät verlieren, kannst du Unternehmensdaten sofort sichern.

Schulungen zur Sensibilisierung für Sicherheitsfragen senken die Erfolgsquote von Phishing-Angriffen und helfen Mitarbeitenden, riskante Verhaltensweisen zu erkennen. Gestalte die Schulungen praxisnah und auf Remote-Arbeitsszenarien zugeschnitten, anstatt dich auf abstrakte Konzepte zu konzentrieren.

In den Prüfprotokollen wird festgehalten, wer auf welche Informationen zugegriffen hat, wann der Zugriff erfolgte und von wo aus. Diese Protokolle unterstützen sowohl die Rechenschaftspflichten gemäß DSGVO als auch die schnelle Aufklärung von Vorfällen.

[Table1]

Regeln für grenzüberschreitendes Arbeiten im Homeoffice und den Datentransfer

Hybrides Arbeiten bedeutet oft, dass Mitarbeitende reisen oder umziehen, was internationale Datenübertragungsvorschriften auslösen kann, ohne dass es jemand bemerkt. Wenn Mitarbeitende von außerhalb des Europäischen Wirtschaftsraums (EWR) auf personenbezogene Daten zugreifen, gilt dies gemäß DSGVO als grenzüberschreitender Datenexport. Die gleichen Regeln gelten, wenn deine Softwareanbieter Daten auf Servern außerhalb des EWR speichern oder verarbeiten.

Um die Vorschriften einzuhalten, musst du sicherstellen, dass das Zielland ein angemessenes Datenschutzniveau bietet. Die Europäische Kommission führt eine Liste der Länder mit Angemessenheitsbeschlüssen. Wenn für ein bestimmtes Land kein Angemessenheitsbeschluss vorliegt, benötigst du komplexe rechtliche Rahmenbedingungen, um Daten rechtmäßig zu übermitteln.

Standardvertragsklauseln (SCCs) sind der gängigste rechtliche Rahmen. Dabei handelt es sich um vorab genehmigte rechtliche Bestimmungen, die du in Anbieterverträge aufnehmen musst, um sicherzustellen, dass die Datenschutzstandards mit den Daten mitwandern. SCCs allein reichen oft nicht aus. Du musst außerdem Folgenabschätzungen zur Datenübermittlung durchführen, um zu prüfen, ob die lokalen Gesetze des Ziellandes den durch die SCCs gewährten Schutz untergraben.

Die Wahl von Anbietern, die Daten ausschließlich in der EU hosten, ist der einfachste Weg zur Einhaltung der Vorschriften. Durch das Hosting im EWR entfallen Übermittlungsmechanismen gänzlich. Du musst außerdem überprüfen, wo sich die Unterauftragsverarbeiter deiner Anbieter befinden. Ein Anbieter mit Hauptsitz in Europa, der einen Cloud-Anbieter nutzt, der Daten über Server in einem Drittland leitet, verursacht dennoch grenzüberschreitende Compliance-Verpflichtungen.

Die 72-Stunden-Regel zur Meldung von Datenschutzverletzungen

Eine Verletzung des Schutzes personenbezogener Daten liegt vor, wenn unbefugter Zugriff, versehentliche Offenlegung oder der Verlust von Daten die von dir geschützten Informationen gefährden. Gemäß der DSGVO musst du deine Aufsichtsbehörde innerhalb von 72 Stunden benachrichtigen, nachdem du von einer Verletzung Kenntnis erlangt hast. Die einzige Ausnahme besteht, wenn die Verletzung voraussichtlich kein Risiko für die Rechte und Freiheiten von Personen darstellt.

Hybrides Arbeiten erschwert die Reaktion auf Vorfälle. Sicherheitsverletzungen auf privaten Geräten oder in Heimnetzwerken werden oft erst später entdeckt. Mitarbeitende merken vielleicht gar nicht, dass ihr Heimrouter kompromittiert wurde. Oder sie zögern, den Verlust ihres privaten Handys zu melden. Klare Eskalationswege stellen sicher, dass Mitarbeitende genau wissen, an wen sie sich sofort wenden müssen, wenn sie einen Datenvorfall vermuten.

Du musst detaillierte Aufzeichnungen über alle Datenschutzverletzungen führen, um Rechenschaft ablegen zu können. Diese Dokumentationspflicht gilt auch für geringfügige Vorfälle, die du der Aufsichtsbehörde nicht melden möchtest. Deine Aufzeichnungen müssen die Umstände der Datenschutzverletzung, ihre Auswirkungen und die konkreten Abhilfemaßnahmen enthalten, die dein IT-Team ergriffen hat, um die Daten zu sichern.

[Table2]

Wie deskbird DSGVO-konformes hybrides Arbeiten unterstützt

Um einen hybriden Arbeitsplatz zu verwalten, müssen die Anwesenheit der Mitarbeitenden, Schreibtischbuchungen und Besucherprotokolle erfasst werden. Diese Informationen gelten gemäß DSGVO als personenbezogene Daten. deskbird bietet eine Plattform für das Arbeitsplatzmanagement, die speziell dafür entwickelt wurde, diese Daten sicher zu verarbeiten und Führungskräften gleichzeitig die Einblicke zu liefern, die sie benötigen, um die Flächen optimal anzupassen.

deskbird entwickelt und betreibt seine Plattform in Europa, sodass du vom ersten Tag an von Sicherheits- und Datenschutzmaßnahmen auf Unternehmensniveau profitierst. deskbird ist nach ISO 27001 zertifiziert und nutzt eine nach SOC 2 Typ II zertifizierte Infrastruktur.

Deine Daten werden in Frankfurt/Main, Deutschland, gehostet und entsprechen vollständig der DSGVO. Durch das Hosting ausschließlich innerhalb der EU entfallen oft anbieterbezogene Mechanismen für grenzüberschreitende Datenübermittlungen, wie beispielsweise Standardvertragsklauseln, sowie die damit verbundenen Folgenabschätzungen zur Datenübermittlung. Außerdem bietet es deinem IT-Team eine klarere und besser begründbare Darstellung der Datenstandorte.

Für IT-Fachleute, die sich mit der Unübersichtlichkeit zahlreicher Tools auseinandersetzen müssen, reduziert deskbird den Wartungsaufwand durch native Integrationen mit Microsoft 365, Microsoft Entra ID (ehemals Azure AD) und den wichtigsten HRIS-Plattformen wie Personio und BambooHR. Die automatische SCIM-Bereitstellung und die SSO-Unterstützung sorgen dafür, dass die Zugriffskontrolle streng bleibt. Die Aufhebung von Zugriffsrechten erfolgt sofort und ohne manuelle Ticket-Anfragen.

Diese Sicherheit auf Unternehmensniveau geht einher mit einer Benutzeroberfläche, die in über 500 Unternehmen eine Nutzungsrate von über 90 % erzielt – ganz ohne Schulungsaufwand. Die hohe Nutzungsrate stellt sicher, dass deine Nutzungsdaten korrekt sind. Mit deskbird Workplace Analytics erhältst du einen genauen Überblick über Spitzenzeiten und den Raumbedarf, um deine Arbeitsplatzstrategie darauf abzustimmen. deskbird Workforce Management und Besuchermanagement unterstützen individuelle Hybrid-Work-Regelungen und die Besuchererfassung. Beide bieten exportierbare, prüfungsfähige Protokolle zur Unterstützung deines DSGVO-Compliance-Programms.

Compliance in deinen hybriden Arbeitsplatz integrieren

Strenge Sicherheitsmaßnahmen und ein gutes Mitarbeitererlebnis müssen sich nicht gegenseitig ausschließen. Die sichersten Hybrid-Work-Regelungen sind diejenigen, an die sich Mitarbeitende halten. Wenn du strenge Zugriffskontrollen mit intuitiven Tools kombinierst, verringerst du die Versuchung zur Shadow-IT und sorgst dafür, dass persönliche Daten geschützt innerhalb deiner Sicherheitsumgebung bleiben.

Ein erfolgreicher hybrider Arbeitsplatz ist auf genaue Daten angewiesen, um Räume effizient zu nutzen und Kosten zu kontrollieren. Diese Daten erhältst du nur, wenn dein Team deine Arbeitsplatzmanagement-Plattform aktiv nutzt. Indem du sowohl Sicherheit auf Unternehmensniveau als auch Benutzerfreundlichkeit in den Vordergrund stellst, schützt du dein Unternehmen und schaffst gleichzeitig einen Arbeitsplatz, an dem sich Mitarbeitende gerne engagieren. Schau dir in einer Demo die EU-gehostete Compliance-Konfiguration von deskbird an.