Datenschutz und Datensicherheit bei der betrieblichen Nutzung von Smartphones und Tabletts

05/11/2020

Der betriebliche Alltag wird immer mobiler und damit steigt die Anzahl der genutzten mobilen Endgeräte. Aus Sicht des Datenschutzes und der IT-Sicherheit ist bei der betrieblichen Nutzung von mobilen Endgeräten das Folgende zu beachten.
Die Gefahren sind vielfältig. Besonders wenn die private Nutzung der Geräte erlaubt ist, entstehen oft Lücken in der IT-Sicherheit und im Datenschutz.
Der Verlust oder die Verletzung der Vertraulichkeit betrieblicher Daten kann durch die Offenbarung von Betriebsgeheimnissen oder durch die Verletzung des Datenschutzes einen großen Schaden für das Unternehmen bedeuten. 

Die Verpflichtungen der Verantwortlichen gemäß der Datenschutz-Grundverordnung (DSGVO)

Die Verantwortlichen müssen bei der betrieblichen Nutzung von Smartphones und Tabletts die Grundsätze der Verarbeitung gemäß Art. 5 DSGVO einhalten und geeignete technische und organisatorische Maßnahmen gemäß Art. 24 und 32 DSGVO ergreifen.
           
Unter anderem ist folgendes zu beachten:

• Die Rechtmäßigkeit der Verarbeitung, die Integrität und Vertraulichkeit der personenbezogenen Daten sind zu gewährleisten.
  Eine Gefahr können die Zugriffsberechtigungen verschiedener Apps sein.
  Die Rechtmäßigkeit der Verarbeitung und Vertraulichkeit ist bereits verletzt, wenn eine App unberechtigt auf Firmenkontakte zugreift.
• Die Verantwortlichen sind verpflichtet, geeignete technische und organisatorische Maßnahmen zum Schutz der personenbezogenen Daten entsprechend der Risiken der Verarbeitung für die betroffenen Personen und dem Stand der Technik zu ergreifen.
  Die Verantwortlichen müssen die ergriffenen Maßnahmen nachweisen können.
  

Ein betriebliches Risiko besteht aufgrund der hohen Bußgelder bei Datenschutzverstößen. Wenn die angemessene Sicherheit der personenbezogenen Daten gemäß Art. 5 Abs. 1 f) DSGVO nicht gewährleistet ist, ist dies ein Verstoß gegen die DSGVO. Dieser Verstoß kann gemäß Art. 83 Abs. 5 DSGVO mit einem Bußgeld belegt werden.

Welche technischen und organisatorischen Maßnahmen sind geeignet und entsprechen dem Stand der Technik?

a) Eine verbindliche Richtlinie der betrieblichen Nutzung von mobilen Geräten muss im Unternehmen vorhanden sein.
Hierin sollten mindestens folgende Regelungen enthalten sein:

• ob firmeneigene mobile Geräte ausschließlich betrieblich genutzt werden dürfen oder ob die private Nutzung gestattet ist (bei privater Nutzung sind besondere Sicherheitsvorkehrungen zu treffen)
• ob private Geräte für die betriebliche Nutzung erlaubt sind (nicht zu empfehlen)
• Regelungen für die Geräte-Sicherheit
  z.B.: Installation von Sicherheitsprogrammen und Sicherheits-Updates, Passwortvorgaben und Freigabeprozess für die Installationen von Apps
• Meldeprozess für Diebstahl oder Verlust eines Gerätes
• Prozess der Datensicherungen
• Verhalten der Mitarbeiter/innen zur Wahrung der Integrität und Vertraulichkeit der Daten
• Konsequenzen für die Mitarbeiter/innen bei Verstoß gegen die Richtlinie

b) Technische Maßnahmen:

• Vor der betrieblichen Nutzung ist das Gerät durch die IT-Abteilung auf Sicherheitslücken zu überprüfen.
• Betriebliche Daten müssen auf mobilen Geräten verschlüsselt gespeichert werden.
• Für alle betrieblich genutzten mobilen Geräte sollte ein Mobil Device Management System (MDMS) eingerichtet werden. Nur so kann die Sicherheit der mobilen Geräte gewährleisten und die Einhaltung der Vorgaben aus der Richtlinie der betrieblichen Nutzung von mobilen Geräten kontrolliert werden.
  Wenn die private Nutzung zugelassen wird oder ein privates Gerät genutzt werden darf, sind die privaten und betrieblichen Bereiche technisch zu trennen. Das MDMS darf zum Schutz der Privatsphäre der Mitarbeiter/innen nur auf den betrieblichen Bereich zugreifen.

Für die Auswahl der geeigneten Maßnahmen und Regelungen in Ihrem Unternehmen sind die Sensibilität der verarbeiteten Daten, die Art der Verarbeitung , die Art der Geräte und das Umfeld in der die Geräte genutzt werden entscheidend.

Bitte überprüfen Sie Ihre bisherige Praxis im Umgang mit mobilen Geräten in Ihrem Unternehmen.
Die Gefährdungslage durch Cyberangriffe hat sich immer weiter verschärft, so dass getroffene Maßnahmen regelmäßig zu überprüfen sind.

Alle Artikel anzeigen