Mobility Management

Gemäss Art. 8 des Bundesgesetzes über den Datenschutz (Datenschutzgesetz, DSG) bzw. Art. 3 der Verordnung über den Datenschutz (Datenschutzverordnung, DSV) muss die Bearbeitung von Personendaten, wie beispielsweise personenbezogene Daten des Personals, insbesondere durch geeignete technische und organisatorische Massnahmen (TOMs) angemessen geschützt werden (vgl. auch Art. 32 der Datenschutz-Grundverordnung (DSGVO; Verordnung (EU) 2016/679)).

TOMs sind auf die Umstände des Einzelfalls und insbesondere auf die bei der Nutzung bestimmter Geräte, Applikationen und Technologien zu erwartenden Risiken anzupassen. Besonderes Augenmerk sollten Unternehmen dabei auf die betriebliche Nutzung von mobilen Endgeräten, wie Smartphones, Tablets, oder Laptops, legen. Dies namentlich dann, wenn diese Geräte von den Arbeitnehmenden nicht nur zu Geschäftszwecken, sondern auch für den privaten Gebrauch genutzt werden (dürfen) und somit das Risiko einer Vermischung von geschäftlichen Daten und privaten Daten des Personals besteht. Eine solche Vermischung kann insbesondere bei der Fernlöschung im Falle eines Geräteverlusts oder bei der Umsetzung von Aufbewahrungspflichten rechtliche Probleme bereiten, wenn dabei etwa private Daten mitgelöscht oder zusammen mit Geschäftsdaten aufbewahrt werden.

Je nachdem, ob das Unternehmen sodann hinsichtlich mobiler Endgeräte eine „Bring Your Own Device“ (BYOD), „Choose Your Own Device“ (CYOD), oder „Corporate-Owned Personally Enabled“ (COPE) Strategie verfolgt, stellen sich sodann unterschiedliche rechtliche Herausforderungen in Bezug auf Integration, Administration und Sicherheit. Je nach Grösse des Unternehmens empfiehlt es sich daher, diese Risiken gesamthaft über ein Geräte-, Applikations‑, Nutzer- und Datenmanagement zu adressieren und zu minimieren. Hierfür existieren Enterprise Mobility Management (EMM)– bzw. künftig zunehmend Unified Endpoint Management (UEM)-Lösungen. Bei der Auswahl und Konfiguration solcher Lösungen muss allerdings darauf geachtet werden, dass diese den datenschutzrechtlichen Anforderungen genügen, insbesondere wenn Cloud-basierte Technologien zum Einsatz kommen sollen, bei denen ein grenzüberschreitender Datentransfer stattfinden kann. Eine EMM- bzw. UEM-Lösung dürfte aber wesentlich dazu beitragen, eine strikte Trennung zwischen geschäftlichen und privaten Daten auf mobilen Endgeräten herzustellen.