BvD News 2013/2 - BvD eV

Aus der Praxissystem ≠ Android Betriebssystem) evaluiert undfür das Sicherheitskonzept berücksichtigt werdenmüssen. Daneben gibt es noch diverse andereÜberlegungen, welche die unzweifelhaft vorhandenenVorteile des BYOD-Konzeptes relativieren:• Wie sieht es hinsichtlich der Produktivität desMitarbeiters bei Verlust oder Defekt des mobilenGerätes aus?• Stellt das Unternehmen ein Ersatzgerät?• Schließt das Unternehmen für das Gerät derMitarbeiterin / des Mitarbeiters einenSupportvertrag ab?• Benötigt das Unternehmen ggf. mehrere RemoteAccess Lösungen für die vielen verschiedenenGeräte?• Wie schütze ich mein Unternehmensnetzwerkdavor, dass von den privaten Geräten keineschädliche Software ins Unternehmen transportiertwird?Weiterhin müssen verschiedene gesetzliche Regelungenbetrachtet werden, insbesondere natürlichauch die bestehenden Datenschutzgesetze.Unternehmen mussHerr der Daten bleibenWerden Daten außerhalb der Verfügungsgewaltdes Unternehmens gelagert, so dass das Unternehmennicht mehr als „Herr der Daten“ geltenkann, müssen die Daten letztlich als an einenDritten übermittelt gelten. D.h. hier ist eine Einverständniserklärungder jeweils Betroffenen notwendig.Unabhängig vom Verwaltungsaufwand fürdas Unternehmen, der notwendig ist, um von allenBetroffenen ein Einverständnis einzuholen: wennein Betroffener sein Einverständnis nicht erteilt,muss dies in den IT-Systemen vermerkt werdenund technisch verhindert werden, dass mit privatenEndgeräten auf die Daten zugegriffen werdenkann, wohl aber mit dienstlichen Geräten.Es muss also eine Liste geführt werden, mit deneneindeutig der Status „privat“ bzw. „dienstlich“ bestimmtwerden kann und es müssen entsprechendeFilterregeln in allen IT-Systemen implementiertwerden. Zum heutigen Zeitpunkt ist dies so gut wieunmöglich abzubilden. Zudem ist das Unternehmenentsprechend §§17 und 18 UWG zum Schutzvon Betriebs- und Geschäftsgeheimnisse verpflichtet,was ebenfalls eine direkte Weitergabe von derartigenDaten an Privatpersonen ausschließt.Daher muss das Unternehmen auch beim Einsatzprivater mobiler Endgeräte der „Herr der Daten“bleiben. Dies kann nur durch den Einsatz vonVerschlüsselungssoftware erreicht werden, sodass auf den privaten mobilen Endgeräten Crypto-Container eingerichtet werden, in denen die Datendes Unternehmens gelagert werden. Idealerweisehat die Mitarbeiterin/der Mitarbeiter auf den Crypto-Container nur Zugriff, wenn das mobile Endgerätmit dem Unternehmensnetzwerk verbunden ist.Bei Verlust des mobilen Endgerätes sind die dienstlichenDaten vor unbefugtem Zugriff geschützt. Istdas Unternehmen gezwungen, die dienstlichenDaten zu löschen, muss lediglich der Crypto-Containergelöscht werden; die privaten Daten der Mitarbeiterin/desMitarbeiters bleiben unberührt.Spezialgesetzliche Regelungen im Gesundheitswesenschreiben in einigen Bundesländern zudemvor, dass Daten grundsätzlich im Krankenhausselbst verarbeitet werden müssen 2 . Auch der Landesbeauftragtefür Datenschutz schreibt in seinemTätigkeitsbericht, dass aus seiner Sicht der Einsatzprivater Endgeräte nur ausnahmsweise in Betrachtkommt, wenn ausschließlich Daten verarbeitetbzw. genutzt werden, die datenschutzrechtlichnicht als sensiblen anzusehen sind. In Fällen, wonicht direkt auf dem Mobilgerät mit den Daten gearbeitetwerden darf, kommen derzeit nur Terminal-Lösungen in Betracht, in denen die Verarbeitung imKrankenhaus erfolgt. Die zurzeit am häufigsten inDeutschland eingesetzte Lösung ist die von Citrix.Rechtliche „Randbetrachtungen“bei BYODBzgl. der Informationspflicht bei Datenpannen gehtder Berliner Datenschutzbeauftragte davon aus,dass eine „Kenntniserlangung durch einen Drittennicht positiv festgestellt“ werden muss 3 . Desgleichengeht er davon aus, dass eine „Informationspflichtauch in Betracht kommt, wenn Laptopsoder andere Datenträger an Orten verlorengehen,wo sie Dritten zugänglich sind und die Daten nichtverschlüsselt sind“ 4 . Auch aus dieser Sicht ist einCrypto-Container das Mittel der Wahl, denn ohneVerschlüsselung muss das Unternehmen bei Verlustdes (privaten) mobilen Endgerätes seinenInformationspflichten nachkommen, d.h. ggf. eineAnzeige in überregionalen Tageszeitungen veröffentlichen.Neben dem Datenschutzrecht müssenTextverweise1) Stand 08.06.2012 bestand das Angebotder vier Carrier Telekom, Vodafone, O2 undE-Plus aus 168 verschiedenen Endgeräten;Quelle: Düll K. (2012) Bring Your OwnDevice (BYOD) - Wie viele Gerätetypenkommen denn da auf mich zu? [Online,überprüft 2013-10-06], verfügbar unterhttp://pretioso-blog.com/bring-your-own-device-byod-wieviele-geraetetypen-kommendenn-da-auf-mich-zu/#.UlCC5FO1-Hs2) Z.B.: Bremen (§10 BremKHDSG), NordrheinWestfalen (§7 GDSG NW) oder auchSaarland (§13 SKHG)3) 23. Tätigkeitsberichte des Landesbeauftragtenfür den Datenschutz Rheinland-Pfalz, S. 59. [Online, zitiert am 2013-05-14],verfügbar unter http://www.datenschutz.rlp.de/downloads/tb/tb23.pdf4) Berliner Beauftragten für Datenschutzund Informationsfreiheit. (2011) FAQs zurInformationspflicht bei unrechtmäßigerKenntniserlangung von Daten nach §42a BDSG, S. 5,6 . [Online, zitiert am2013-05-14], verfügbar unter http://www.datenschutz-berlin.de/attachments/809/535.4.7.pdf?1311923219BvD-News 2/2013 | 45