BYOD-Vereinbarung

Muster-Vereinbarung für BYOD: Rechtssichere Nutzung privater Geräte im Unternehmen. Datenschutz, IT-Sicherheit & klare Regeln für Mitarbeitende.

Diese Vereinbarung kann als Dienstvereinbarung zwischen der Organisation und dem Personalrat/Betriebsrat oder als Einzelvereinbarung mit den betroffenen Mitarbeitenden geschlossen werden.

Muster-Vereinbarung zur Nutzung privater Endgeräte (BYOD)

zwischen der Organisation und den Mitarbeitenden

1. Allgemeine Bestimmungen

1.1 Zweck der Vereinbarung

Diese Vereinbarung regelt die sichere Nutzung privater Mobilgeräte (Smartphones, Tablets, Laptops) für dienstliche Zwecke gemäß der BYOD-Richtlinie der Organisation.

1.2 Geltungsbereich

• Alle Mitarbeitenden, externe Dienstleister und Auszubildende mit BYOD-Zugang
• Weltweite Nutzung über drahtgebundene/drahtlose Netze
• Zugriff auf E-Mail, Intranet, Cloud-Dienste und Inhouse-Applikationen

2. Begriffsklärung und Erläuterungen zu BYOD

2.1 Was ist BYOD?

BYOD steht für „Bring Your Own Device“ und beschreibt das Konzept, dass Mitarbeitende ihre privaten Endgeräte wie Smartphones, Tablets oder Laptops für dienstliche Zwecke in der Organisation nutzen dürfen. Dies umfasst typischerweise den Zugriff auf E-Mails, Unternehmensnetzwerke und Anwendungen sowie die Verarbeitung und Speicherung von Unternehmensdaten auf privaten Geräten.

Vorteile von BYOD:

• Erhöhte Flexibilität und Mobilität für die Nutzenden
• Steigerung der Produktivität und Mitarbeitendenzufriedenheit, da vertraute Geräte verwendet werden können
• Kosteneinsparungen für die Organisation, da weniger firmeneigene Hardware angeschafft werden muss

Nachteile und Herausforderungen von BYOD:

• Erhöhte Sicherheitsrisiken, insbesondere im Hinblick auf Datenverlust, Malware und unbefugten Zugriff
• Komplexere Verwaltung durch unterschiedliche Gerätetypen und Betriebssysteme
• Datenschutzrechtliche Herausforderungen, da Unternehmensdaten auf privaten Geräten verarbeitet werden

2.2 Erläuterung wichtiger Begriffe und Abkürzungen

MDM (Mobile Device Management): Software-Lösung zur Verwaltung, Absicherung und Kontrolle mobiler Geräte, die es ermöglicht, Sicherheitsrichtlinien durchzusetzen und geschäftliche von privaten Daten zu trennen.

Container-App: Eine Anwendung, die einen verschlüsselten Bereich auf dem Gerät bereitstellt, in dem alle geschäftlichen Daten und Anwendungen isoliert und geschützt verarbeitet werden.

DLP (Data Loss Prevention): Maßnahmen und Technologien, die verhindern, dass sensible Daten das Unternehmen unbefugt verlassen oder verloren gehen.

TPM (Trusted Platform Module): Hardware-Chip zur sicheren Speicherung von kryptografischen Schlüsseln und zur Erhöhung der Gerätesicherheit.

FIPS (Federal Information Processing Standards): US-amerikanische Standards für Verschlüsselung und IT-Sicherheit, die auch international als Maßstab für sichere Kryptografie gelten.

3. Pflichten der Mitarbeitenden

Die Nutzenden verpflichten sich zur:

• Installation und Aktivierung des Mobile Device Management (MDM)-Clients vor erstem Zugriff
• Einhaltung der PIN/Passwort-Richtlinie (6-stellig, alphanumerisch) mit biometrischer Zwei-Faktor-Authentifizierung
• Unverzüglichen Meldung von Geräteverlust, Diebstahl oder Sicherheitsvorfällen binnen 4 Stunden an IT-Security
• Unterbindung von Jailbreaks/Root-Zugriffen und Nutzung nicht genehmigter Apps

Explizit untersagt sind:

• Lokale Speicherung sensibler Daten außerhalb verschlüsselter Container
• Nutzung öffentlicher WLANs ohne VPN-Verbindung
• Übertragung von Unternehmensdaten via USB/SD-Karte ohne DLP-Freigabe

4. Technische Vorgaben

4.1 Mindestanforderungen an Geräte

Es dürfen nur Geräte genutzt werden, die folgende Mindestanforderungen erfüllen:

Kriterium	Anforderung
Betriebssystem	iOS 16+, Android 13+, Windows 11 Pro
Verschlüsselung	AES-256 (FIPS-zertifiziert)
Sicherheitsfeatures	TPM 2.0/Secure Enclave, Secure Boot
Update-Policy	Automatische OS-/Sicherheitsupdates
Hardware	Die Geräte müssen die Mindestanforderungen an Prozessor und Speicherkapazität des installierten Betriebssystem erfüllen

4.2 MDM-Pflichten

• Zwingende Registrierung über Unternehmensportal
• Wöchentliche Compliance-Checks (Verschlüsselungsstatus, OS-Version)
• Remote-Wipe-Berechtigung für IT bei Verstößen oder Beendigung des Arbeitsverhältnisses

5. Datenschutzbestimmungen

Personenbezogene Daten dürfen ausschließlich in containerisierten Apps mit DSGVO-konformer Verschlüsselung verarbeitet werden. Eine dauerhafte Speicherung von Kundendaten/Metadaten auf privatem Speicher ist unzulässig.

Die Umsetzung aller technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO (Pseudonymisierung, Zugriffskontrollen) ist verpflichtend.

6. Haftungsregelungen

Die Organisation haftet nicht für Schäden an privaten Geräten durch bestimmungsgemäße Nutzung. Bei vorsätzlicher/grob fahrlässiger Pflichtverletzung tritt Schadensersatzpflicht gemäß § 280 BGB ein.

Die Haftung für Datenverluste bei Nichteinhaltung der Backup-Vorgaben ist ausgeschlossen.

7. Beendigung der Nutzung

Bei Ausscheiden aus dem Unternehmen oder Widerruf der BYOD-Berechtigung werden aller Unternehmenscontainer via MDM binnen 24 Stunden automatisch gelöscht und der Zugriff auf Organisationsressourcen wird dauerhaft entzogen

8. Trennung von privaten und geschäftlichen Daten

Die Organisation verpflichtet sich, ausschließlich auf den geschäftlichen Bereich des Geräts zuzugreifen. Private Daten, Apps oder Kommunikationsinhalte der Nutzenden werden weder eingesehen noch verarbeitet.

Die technische Trennung erfolgt durch [Container-App/MDM-Lösung], die ausschließlich dienstliche Daten und Anwendungen umfasst.

9. Information und Einwilligung

Die Nutzenden werden umfassend über Art, Umfang und Zweck der Datenverarbeitung im Rahmen der BYOD-Nutzung informiert.

Mit Unterzeichnung dieser Vereinbarung willigen die Nutzenden in die Verarbeitung der für das Mobile Device Management erforderlichen Gerätedaten ein, einschließlich der Berechtigung zur Fernlöschung des geschäftlichen Bereichs.

10. Akzeptable Nutzung und Arbeitszeit

Die dienstliche Nutzung privater Geräte ist ausschließlich im Rahmen der vereinbarten Arbeitszeiten zulässig.

Außerhalb der Arbeitszeit besteht keine Verpflichtung zur dienstlichen Nutzung oder Erreichbarkeit.

11. Eigentum an geschäftlichen Daten

Alle auf dem Gerät gespeicherten geschäftlichen Daten bleiben im Eigentum der Organisation und sind bei Beendigung des Arbeitsverhältnisses oder auf Verlangen unverzüglich zu löschen.

12. Maßnahmen bei Verlust/Diebstahl

Bei Verlust oder Diebstahl des Geräts ist die Organisation unverzüglich zu informieren. Die Organisation ist berechtigt, den geschäftlichen Bereich des Geräts per Fernzugriff zu löschen und Zugänge zu sperren.

13. Haftung für das Endgerät

Die Organisation übernimmt keine Haftung für Schäden am privaten Gerät, die durch dienstliche Nutzung entstehen, es sei denn, diese wurden grob fahrlässig oder vorsätzlich durch die Organisation verursacht.

14. Software- und Lizenzmanagement

Für dienstlich erforderliche Apps oder Lizenzen trägt die Organisation die Kosten. Nach Beendigung des Arbeitsverhältnisses sind diese Lizenzen zu deinstallieren bzw. werden durch die Organisation entfernt.

15. Finanzieller Ausgleich

Für die dienstliche Nutzung privater Geräte wird ein monatlicher Zuschuss in Höhe von [Betrag] Euro gezahlt / werden die anfallenden Mobilfunkkosten anteilig übernommen.

16. Salvatorische Klausel

Bei Unwirksamkeit einzelner Bestimmungen bleibt der Vertrag im Übrigen gültig. Ersatzregelungen orientieren sich am rechtlich Zulässigen und dem Vertragszweck.

Ort, Datum

(Unterschrift Personalvertretung/Mitarbeitende)

(Unterschrift Vertretungsberechtigte der Organisation)