Guten Tag,

privates Smartphone, Firmen-E-Mails, kein Konzept – für viele KMU ist das Alltag. Was bring your own device (BYOD) datenschutzrechtlich bedeutet und warum eine BYOD-Policy kein optionales Dokument ist. — Ihr Cortina-Team

Datenschutz

Private Geräte im Job: BYOD richtig absichern

Drei von vier IT-Verantwortlichen berichten, dass private Geräte in ihren Unternehmen beruflich genutzt werden – obwohl nur gut die Hälfte dies offiziell erlaubt. Wer BYOD ohne Konzept duldet, schafft keine pragmatische Lösung, sondern eine handfeste Haftungsfalle. Die DSGVO macht dabei keinen Unterschied: Der Arbeitgeber bleibt Verantwortlicher – unabhängig davon, wem das Gerät gehört.

Sobald ein Mitarbeitender mit dem privaten Smartphone auf Firmen-E-Mails zugreift oder Kundendaten bearbeitet, gelten alle DSGVO-Pflichten vollumfänglich für das Unternehmen. Die Wahl der richtigen Rechtsgrundlage ist dabei keine Formsache: Eine pauschale Einwilligung scheitert im Beschäftigtenkontext am Abhängigkeitsverhältnis. Stattdessen ist eine dokumentierte Interessenabwägung erforderlich. Wer ein MDM-System auf privaten Geräten einsetzt, auf denen auch private Daten liegen, muss außerdem eine Datenschutz-Folgenabschätzung (DSFA) durchführen. Wer sie überspringt, handelt rechtswidrig.

Das technische Herzstück jeder BYOD-Strategie ist die saubere Datentrennung. Ein vollständiges Mobile Device Management greift tief in die Privatsphäre ein – die datenschutzrechtlich überlegene Lösung ist die Container-Architektur: Ein verschlüsselter, isolierter Bereich enthält ausschließlich Unternehmensdaten. Ein Remote-Wipe löscht nur den Container, nicht das gesamte Gerät. Ergänzend sind technische und organisatorische Maßnahmen (TOMs) wie Multi-Faktor-Authentifizierung, VPN-Zugang und Bildschirmsperren Pflicht. Verliert ein Mitarbeitender das Privatsmartphone mit aktivem Container, haben Sie eine meldepflichtige Datenpanne.

Unsere Empfehlung: Prüfen Sie, ob in Ihrem Unternehmen private Geräte beruflich genutzt werden – geduldet oder offiziell. Fehlt eine schriftliche Nutzungsvereinbarung, ist Ihre BYOD-Praxis rechtlich ungesichert.

Weitere Neuigkeiten

Kennzahl der Woche

BYOD: Was IT-Verantwortliche wissen – und was nicht

Verbote lösen das Problem nicht – sie machen es unsichtbar. Wer BYOD nicht regelt, verliert die Kontrolle über seine Daten, nicht aber die Haftung nach DSGVO.

Quelle: Ivanti, Securing the Borderless Digital Landscape, Oktober 2025