EMM im Unternehmen: Datenschutz, Betriebsrat und Mitarbeiterrechte im Fokus 

In vielen Unternehmen ist die Einführung eines Enterprise Mobility Management (EMM) heutzutage eine sinnvolle Maßnahme, um die mobile Arbeit sicherer und effizienter zu gestalten. Doch immer wieder stoßen Firmen bei der Umsetzung auf interne Hürden, insbesondere durch Bedenken des Betriebsrats. Im Zentrum dieser Bedenken steht häufig die Sorge um den Schutz der Privatsphäre der Mitarbeitenden und die möglichen Kontrollfunktionen, die mit einem EMM-System einhergehen könnten. Dieser Beitrag beleuchtet, warum EMM nicht nur dem Unternehmen, sondern auch den Mitarbeitenden Vorteile bringt, wie die Mitbestimmungsrechte der Belegschaft gewahrt bleiben und welche technischen und organisatorischen Maßnahmen (TOMs) den Datenschutz sicherstellen.

Vorteile von EMM für Mitarbeitende

Ein Enterprise Mobility Management-System bietet nicht nur dem Unternehmen Vorteile, sondern erleichtert auch den Arbeitsalltag der Mitarbeitenden. Hier einige der wichtigsten Punkte:

Sicherheit der Daten

Im Falle eines Verlustes oder Diebstahls eines Geräts bietet ein EMM-System die Möglichkeit, sensible Unternehmensdaten schnell und sicher zu löschen. Dies schützt nicht nur das Unternehmen, sondern auch die Mitarbeitenden vor unangenehmen Situationen, wenn private Geräte (BYOD) im Arbeitskontext genutzt werden.

Erhöhte Flexibilität

EMM erlaubt Mitarbeitenden, von überall aus sicher zu arbeiten. Ob im Homeoffice, auf Geschäftsreisen oder im Café – durch gesicherte Zugänge und Verschlüsselungen können Unternehmensressourcen ohne Risiko verwendet werden. Das bedeutet mehr Flexibilität und weniger Einschränkungen.

Trennung von beruflichen und privaten Daten

Ein gut implementiertes EMM ermöglicht es, berufliche und private Daten auf einem Gerät sauber zu trennen (Stichwort „Container-Lösungen“). So haben Mitarbeitende die Sicherheit, dass ihre privaten Daten nicht durch das Unternehmen kontrolliert oder überwacht werden.

Schnelle IT-Unterstützung

Probleme mit mobilen Geräten können oft schnell und unkompliziert aus der Ferne gelöst werden, ohne dass der Mitarbeiter oder die Mittarbeiterin das Gerät in die IT-Abteilung bringen muss. Das spart Zeit und Nerven.

Mitbestimmungsrechte der Mitarbeitenden

Einer der zentralen Punkte bei der Einführung von EMM ist die Mitbestimmung des Betriebsrats. Diese Mitbestimmung bietet den Mitarbeitern und Mitarbeiterinnen eine wichtige Möglichkeit, den Datenschutz und ihre Rechte aktiv zu wahren.

Betriebsvereinbarung als Schutzinstrument

In vielen Unternehmen wird eine Betriebsvereinbarung zwischen Arbeitgeber und Betriebsrat geschlossen, die genau regelt, wie ein EMM-System eingesetzt wird. Diese Vereinbarung kann klare Grenzen setzen, welche Daten erhoben werden, wie sie verarbeitet werden und wer Zugriff darauf hat. Dadurch wird verhindert, dass das EMM-System als „Kontrollinstrument“ verstanden wird.

Transparenz und Aufklärung

Mitarbeitende haben das Recht, über die Funktionsweise und den Einsatz eines EMM-Systems umfassend informiert zu werden. Das schafft Transparenz und Vertrauen. Ein offener Dialog zwischen Unternehmen und Angestellten nimmt oft viele der anfangs vorhandenen Bedenken.

Möglichkeit der Anpassung

Eine Betriebsvereinbarung ist kein starres Konstrukt. Sie kann an die Bedürfnisse der Mitarbeitenden und die sich wandelnden technischen Möglichkeiten angepasst werden. Dadurch bleibt der Datenschutz stets auf einem hohen Niveau.

Welche Daten speichert ein EMM und welche nicht?

Eines der häufigsten Missverständnisse bei der Einführung eines EMM-Systems ist die Sorge, dass es als Überwachungswerkzeug genutzt werden könnte. Um diese Bedenken auszuräumen, ist es wichtig, klar darzulegen, welche Daten von einem EMM tatsächlich erfasst werden und welche nicht.

Daten, die ein EMM speichert

Ein EMM-System erfasst hauptsächlich sicherheitsrelevante Informationen, um Unternehmensdaten und -ressourcen zu schützen. Typische Daten, die ein EMM speichert, umfassen:

• Geräteinformationen: Gerätetyp, Betriebssystemversion, Seriennummer, Modell und technische Spezifikationen.
• Softwareinformationen: Informationen über installierte und zugelassene Apps sowie deren Versionen.
• Sicherheitsstatus: Verschlüsselungsstatus, Jailbreak/Root-Erkennung, Status von Sicherheits-Patches.
• Netzwerkverbindungen: Protokolle über Verbindungen zu Unternehmensressourcen, z.B. VPN-Nutzung.
• Standortdaten (optional): In bestimmten Fällen, etwa bei Verlust eines Geräts, können Standortdaten erfasst werden, jedoch nur nach klarer Zustimmung und definierten Regeln.

Daten, die ein EMM nicht speichert

Ein EMM respektiert die Privatsphäre der Mitarbeitenden und speichert keine persönlichen Daten. Folgende Daten werden in der Regel nicht erfasst:

• Persönliche Kommunikation: E-Mails, SMS, Chat-Nachrichten und Anrufverläufe bleiben privat.
• Private Apps und deren Daten: Private Apps und deren Inhalte (Fotos, Social Media, persönliche Dokumente) werden nicht überwacht.
• Browserverlauf: Der private Browserverlauf wird nicht verfolgt. Nur Zugriffe auf Unternehmensressourcen könnten erfasst werden.
• Private App-Nutzung: Wie oft und in welcher Weise private Apps genutzt werden, fällt nicht in den Zuständigkeitsbereich des EMM.

Diese klare Trennung zwischen privaten und geschäftlichen Daten wird nicht nur durch das EMM-System technisch sichergestellt, sondern ist oft auch Teil der Betriebsvereinbarung und der Datenschutzrichtlinien.

Technisch-organisatorische Maßnahmen (TOMs)

Ein weiteres wichtiges Thema, das den Datenschutz sicherstellt, sind die sogenannten technisch-organisatorischen Maßnahmen (TOMs). Diese Maßnahmen sind gesetzlich vorgeschrieben und spielen eine zentrale Rolle bei der Einführung von EMM.

Technische Maßnahmen

Ein EMM-System muss so konfiguriert sein, dass es keine unnötigen Daten sammelt und die Privatsphäre der Mitarbeitenden respektiert. Hierzu gehört beispielsweise die Verschlüsselung von Daten sowohl auf dem Gerät als auch während der Übertragung. Auch Zugriffsbeschränkungen und eine strikte Trennung von privaten und beruflichen Bereichen sind technische Maßnahmen, die das Vertrauen der Mitarbeitenden stärken.

Organisatorische Maßnahmen

Neben der Technik müssen auch organisatorische Prozesse definiert werden. Dazu gehören klare Regelungen, wer im Unternehmen Zugriff auf welche Daten hat, wie lange Daten gespeichert werden und wann sie gelöscht werden müssen. Diese Maßnahmen werden oft in Zusammenarbeit mit dem/der Datenschutzbeauftragten und dem Betriebsrat erarbeitet und regelmäßig überprüft.

AVV: Datenschutzrechtliche Absicherung des EMM

Ein weiteres sehr wichtiges Werkzeug für die datenschutzrechtliche Absicherung ist der Auftragsverarbeitungsvertrag (AVV), der gemäß der Datenschutz-Grundverordnung (DSGVO) zwischen Unternehmen und externen Dienstleistern geschlossen wird.

Auftragsverarbeitung durch Drittanbieter

Die EMM-Anbieter agieren als Dienstleister im Auftrag des Unternehmens. Damit diese Dienstleister Daten verarbeiten dürfen, muss zwischen ihnen und dem Unternehmen ein AVV geschlossen werden. Dieser Vertrag stellt sicher, dass der Dienstleister die Daten nur im Rahmen der vereinbarten Zwecke verarbeitet und dabei strikte Datenschutzauflagen einhält.

Grundlegende Inhalte eines AVV

Ein AVV muss nach der DSGVO bestimmte Punkte regeln, um den Schutz der personenbezogenen Daten zu gewährleisten. Zu den grundlegenden Inhalten gehören:

• Gegenstand und Dauer der Verarbeitung: Hier wird definiert, welche Daten verarbeitet werden und für welchen Zeitraum dies geschieht. Es muss klar festgelegt werden, welche Art von personenbezogenen Daten der Auftragsverarbeiter erhält und wie lange er sie verarbeiten darf.
• Art und Zweck der Verarbeitung: Der AVV beschreibt, zu welchem Zweck der Dienstleister die Daten verarbeitet, z.B. zur Verwaltung von Geräten im Rahmen des EMM. Dabei darf der Auftragsverarbeiter die Daten nur zu den genau beschriebenen Zwecken verwenden.
• Pflichten und Rechte des Verantwortlichen: Der Vertrag muss klar festlegen, welche Rechte das Unternehmen als Auftraggeber hat und welche Verpflichtungen der Dienstleister gegenüber dem Unternehmen und den Betroffenen (Mitarbeitenden) erfüllt.
• Sicherheitsmaßnahmen (TOMs): Der Dienstleister muss geeignete technische und organisatorische Maßnahmen ergreifen, um den Schutz der Daten zu gewährleisten. Dies kann Verschlüsselung, Zugriffsbeschränkungen, Backup-Verfahren und andere Sicherheitsmaßnahmen umfassen.
• Regelungen zur Weitergabe von Daten: Es muss klar geregelt sein, ob der Auftragsverarbeiter Subunternehmer (Unterauftragsverarbeiter) einsetzt und unter welchen Bedingungen diese Zugriff auf die Daten haben. Auch für Subunternehmer gelten dieselben strengen Datenschutzanforderungen.
• Kontrollrechte des Auftraggebers: Der AVV muss festlegen, dass der Auftraggeber das Recht hat, die Einhaltung der Datenschutzbestimmungen durch den Dienstleister zu überprüfen. Dazu gehören z.B. Audits und Inspektionen.
• Vorgehen bei Datenschutzverletzungen: Es muss definiert sein, wie der Auftragsverarbeiter im Falle von Datenschutzverletzungen vorgeht. Dazu gehört die Verpflichtung, das Unternehmen unverzüglich zu informieren, damit es seiner Meldepflicht nach der DSGVO nachkommen kann.
• Löschung oder Rückgabe von Daten: Der Vertrag muss festlegen, was mit den personenbezogenen Daten nach Abschluss der Verarbeitung passiert. Der Auftragsverarbeiter muss die Daten entweder löschen oder sicher an das Unternehmen zurückgeben.

Datenschutzkonforme Umsetzung

Durch den AVV wird gewährleistet, dass sowohl das Unternehmen als auch der EMM-Dienstleister die Vorschriften der DSGVO einhalten. Dies stärkt das Vertrauen der Mitarbeitenden, da sie sicher sein können, dass ihre Daten nicht missbräuchlich genutzt oder weitergegeben werden.

Checkliste: EMM-Einführung mit Betriebsrat

Wenn Ihr Unternehmen einen Betriebsrat hat und Sie ein Enterprise Mobility Management einführen möchten, ist die Zusammenarbeit mit dem Betriebsrat entscheidend, um eine datenschutzkonforme und mitarbeiterfreundliche Lösung zu schaffen. Hier die wichtigsten Schritte, wie Sie vorgehen sollten:

• Frühe Einbindung des Betriebsrat
    Setzen Sie sich frühzeitig mit dem Betriebsrat in Verbindung, um das Vorhaben zu besprechen.
   Informieren Sie den Betriebsrat umfassend über die Ziele und Funktionen des EMM-Systems.
• Informations- und Aufklärungsphase
   Stellen Sie dem Betriebsrat alle relevanten Informationen zur Verfügung: Welche Daten werden erhoben, wie werden diese verarbeitet, und welche Sicherheitsmaßnahmen werden umgesetzt?
   Organisieren Sie Schulungen oder Workshops, um Fragen zu beantworten und Missverständnisse zu klären.
• Erarbeitung einer Betriebsvereinbarung
  Arbeiten Sie gemeinsam mit dem Betriebsrat an einer Betriebsvereinbarung, die den Einsatz des EMM regelt. In der Vereinbarung sollten folgende Punkte festgelegt werden:
   Welche Daten erfasst und verarbeitet werden dürfen.
   Technische und organisatorische Maßnahmen (TOMs) zum Schutz der Mitarbeiterdaten.
   Regelungen zur Trennung von privaten und beruflichen Daten auf mobilen Geräten.
   Kontrollrechte des Betriebsrats und Transparenzpflichten gegenüber den Mitarbeitenden.
• Datenschutzrechtliche Absicherung durch einen AVV
   Da externe Dienstleister beim Betrieb des EMM beteiligt sind, muss mit dem Auftragnehmer ein Auftragsverarbeitungsvertrag (AVV) abgeschlossen werden.
• Transparenz gegenüber den Mitarbeitenden
   Sorgen Sie dafür, dass alle Mitarbeitenden verständlich über das EMM-System, seine Funktionen und den Schutz ihrer Privatsphäre informiert werden. Bieten Sie auch die Möglichkeit an, Fragen zu stellen.

Fazit: EMM als Mitarbeiter- und Datenschutzfreundliche Lösung

Die Einführung eines Enterprise Mobility Managements sollte nicht als Überwachungsinstrument missverstanden werden. Vielmehr bietet es Unternehmen und Mitarbeitenden zahlreiche Vorteile – von erhöhter Datensicherheit über mehr Flexibilität bis hin zu einer klaren Trennung von beruflichen und privaten Daten.

Durch Betriebsvereinbarungen und technisch-organisatorische Maßnahmen können die Bedenken bezüglich der Privatsphäre und Kontrollfunktionen effektiv ausgeräumt werden. Letztlich profitieren alle Beteiligten: Das Unternehmen kann seine IT-Infrastruktur effizienter und sicherer gestalten, während die Mitarbeitenden mehr Freiheit und Unterstützung im mobilen Arbeiten genießen. Ein offener Dialog und transparente Regelungen sind der Schlüssel für eine erfolgreiche und datenschutzkonforme EMM-Einführung.