Jahre nach dem großen Homeoffice-Schub ist mobiles Arbeiten in den meisten Unternehmen Alltag — und in vielen davon regelt es noch immer eine hastig geschriebene Pandemie-Richtlinie oder gar nichts. Aus Datenschutzsicht ist das Homeoffice kein rechtsfreier Raum: Der Arbeitgeber bleibt Verantwortlicher für die Verarbeitung, auch wenn sie am Küchentisch stattfindet. Fünf Punkte, die in der Praxis den Unterschied machen.
1. Geräte-Frage ehrlich beantworten
Dienstgeräte mit Verschlüsselung, Bildschirmsperre und zentralem Management sind der saubere Weg. Wenn Privatgeräte erlaubt sind (BYOD), braucht es klare Bedingungen: getrennte Arbeitsumgebung, keine lokale Datenspeicherung, Update-Pflicht — und die ehrliche Abwägung, ob der Verwaltungsaufwand das wirklich billiger macht als ein Dienstnotebook. Stillschweigend geduldetes BYOD ist die schlechteste aller Varianten: volle Verantwortung, null Kontrolle.
2. Papier ist das unterschätzte Risiko
Die meisten Homeoffice-Diskussionen drehen sich um IT — die klassischen Vorfälle passieren mit Papier: der ausgedruckte Bewerberstapel, die Personalakte im Rucksack, der private Hausmüll als Aktenvernichter. Eine brauchbare Richtlinie sagt konkret: Was darf überhaupt ausgedruckt oder mitgenommen werden, wie wird es transportiert, aufbewahrt (verschließbar!) und entsorgt (zurück ins Büro zur Vernichtung — nicht in die heimische Papiertonne).
3. Der Familien-Faktor
Vertraulichkeit gilt auch gegenüber dem eigenen Haushalt. Das heißt praktisch: Bildschirmsperre beim Aufstehen, Telefonate mit Personenbezug nicht im Wohnzimmer mit Publikum, Videokonferenz-Hintergrund ohne Whiteboard voller Kundendaten. Klingt banal — ist aber genau die Kategorie, die bei Datenschutzschulungen die meisten Aha-Momente erzeugt, weil es nie jemand ausgesprochen hat.
4. Netzwerk und Zugriff
VPN oder gesicherter Zugang als Standard, Mehr-Faktor-Authentifizierung ohnehin, kein Arbeiten über offene WLANs ohne Schutz. Dazu gehört auch die unbequeme Regel: keine Weiterleitung von Dienst-E-Mails an private Postfächer und keine privaten Cloud-Speicher für Dienstliches — das ist gelebte Schatten-IT mit Personenbezug.
Mitbestimmung nicht vergessen: Regelungen zu mobiler Arbeit und erst recht jede Form technischer Kontrolle berühren die Mitbestimmung des Betriebsrats. Eine Homeoffice-Richtlinie, die an der Belegschaftsvertretung vorbei eingeführt wird, steht rechtlich und kulturell auf Sand.
5. Kontrolle mit Augenmaß
Der Arbeitgeber darf Vorgaben machen und ihre Einhaltung einfordern — heimliche Überwachung des Heimarbeitsplatzes darf er nicht. Der praktikable Weg: klare Regeln, Schulung, Bestätigung der Kenntnisnahme und stichprobenartige technische Kontrollen der Systeme (nicht der Menschen).
Fazit
Eine gute Homeoffice-Regelung passt auf drei Seiten und beantwortet die konkreten Alltagsfragen statt Grundsätze zu wiederholen. Der Aufwand ist überschaubar, der Effekt doppelt: weniger Vorfälle — und der Nachweis, die Verarbeitung auch außerhalb des Büros im Griff zu haben. Vorlagen und Einführung übernehmen wir im Rahmen der externen Datenschutz-Betreuung.