Jusletter IT

Von Bring Your Own Device (hiernach BYOD) spricht man, wenn ein Mitarbeiter sein privates (mobiles) Device wie Lap Top, Smart oder Mobile Phones, Tablet-PC usw. geschäftlich nutzt, d.h. für und innerhalb der Infrastruktur des Arbeitgebers. Der Mitarbeiter erhält somit sein Arbeitsmittel nicht oder nicht ausschliesslich mehr vom Arbeitgeber. In aller Regel, weil er dies selbst so möchte.

BYOD muss zudem nicht zwingend mit einem Cloud-Dienst verknüpft werden.

Von BYOD abzugrenzen ist die Nutzung von Mobilen Devices. Unternehmenseigene Mobile Devices unter der technischen Kontrolle des Arbeitgebers während und nach Arbeitsende des Mitarbeiters werden nicht als BYOD verstanden. Das Unterscheidungskriterium ist damit das Eigentum am Gerät.

Ebenfalls kein BYOD liegt im hier verstandenen Sinne vor, wenn Dritte (Lieferanten, Berater etc.) z.B. im Rahmen eines Projektes mit dem Mobile Device, Zugriff auf die Firmeninfrastruktur erhalten. Diese loggen sich ins Firmennetz ein, legen Dokumente ab, verwenden gewisse Firmendienste und verlassen nach Projektende das Unternehmen wieder. Selbst, wenn aus technischer Sicht in erster Line ein «fremdes» Device in die Arbeitgeber-/Auftraggeber-Infrastruktur in der einen oder anderen Form einzubinden ist, sind die rechtlichen Auswirkungen je nach Vertragsbeziehung unterschiedlich: Im Gegensatz zu BYOD ist das Verhältnis zu Dritten in der Regel nicht arbeitsrechtlicher Natur. Allfällige Verpflichtungen z.B. betreffend Datenlöschung und Geheimhaltung sind deshalb in diesen Fällen in den Lieferanten- bzw. Beratervertrag aufzunehmen.

Wie wird nun BYOD im Unternehmen eingeführt? Ein BYOD-Projekt unterscheidet sich in der Vorgehensweise nicht stark von anderen IT-Projekten, mit der folgenden Ausnahme: IT-Sicherheit und die rechtlichen Rahmenbedingungen sind hier Schlüsselthemen.

Zu beginnen ist mit einer Bedürfnisevaluation. Diese soll ermitteln, was die Mitarbeitenden und das Unternehmen benötigen. Als Zweites muss das Unternehmen eine Strategie definieren, um die Eckpunkte der Nutzung von BYOD zu regeln. Diese wird im dritten Schritt umgesetzt. Nach erfolgreicher Einführung ist ein Rückblick abzuhalten, Verbesserungen vorzunehmen und ein Compliance-Prozess zu implementieren (Abb. 1).

Die rechtliche Beurteilung von BYOD ist im Rahmen der Strategie vorzunehmen.

Abb. 1: Prozess zu BYOD

Es gibt einige Verkaufsargumente, weshalb BYOD in einem Unternehmen eingeführt werden sollte. Ausschlaggebend dürfte aber immer das Bedürfnis der Mitarbeiter und insbesondere des mittleren und oberen Managements sein. Letztere sind nicht nur die Treiber, sondern auch Entscheider über BYOD. Dies hat seinen berechtigten Grund. Der Mitarbeiter von heute – ein Vertreter der Generation Y – möchte mit seinen gewohnten Geräten arbeiten und gleichzeitig die privaten Informationen und Daten nutzen können. Dies verschafft ihm und dem Unternehmen mehr Effizienz. BYOD fördert damit Mitarbeiterzufriedenheit und schafft dem Unternehmen einen attraktiven Employer Brand.¹

Aus BYOD kann sich ein finanzieller Nutzen ergeben. Mit weniger eigenen Geräten, bestehen weniger Anlagekosten, der CAPEX sinkt. Der Support, d.h. OPEX, wird hingegen gegebenenfalls komplexer und damit kostenintensiver. Die Komplexität, die sich aus der Vielfalt ergibt, wirkt sich negativ auf die Verfügbarkeit aus. Damit wird Produktivität und Effizienz verschlechtert. Support-Mitarbeiter müssen mehr Know-How zu verschiedenen Geräten bereitstellen können. Dieser Komplexität kann begegnet werden, indem man den Support an einen Dienstanbieter auslagert.² Nur dann dürften auch die Personalkosten sinken. Damit ändert sich die Rolle des Informatikdienstes. Der Informatikdienst wird zum Enabler, statt wie bis anhin Controller.

Nebst des Vorteils für einen attraktiven Employer Brand und den finanziellen Aspekten muss BYOD selbstverständlich auch rechtlich compliant sein sowie Gewähr bieten, dass die bestehende IT-Infrastruktur, die Dienste und die Unternehmensdaten sicherheitstechnisch geschützt werden.

Die wahren Bedürfnisse zur Einführung von BYOD sind aber Effizienz und Produktivität. Wer möchte schon am Arbeitsplatz mit einem alten Gerät arbeiten müssen und selbst das neuste Mobile Phone in der Tasche mit sich herumtragen, das zahlreiche Vorteile bietet? Die Verbreitung von mobilen Endgeräten führt sodann zu einer Consumerization, d.h. einer Verbreitung der IT bei den privaten Anwendern, bevor diese für Geschäftszwecke verwendet werden. Mit BYOD erfüllen wir die Erwartungen der Mitarbeiter und fördern deren Effizienz und Freude an der Arbeit.

Sind die Bedürfnisse klar, ist eine Strategie zu definieren (Abb. 2: Beispiel der erläuterten Strategie). Dazu ist einmal zu klären, welche i) Daten und Datensammlungen³ vorhanden sind, ii) welche Benutzergruppen es gibt (Management/Mitarbeiter/Hilfspersonen), iii) welche Zugriffsart und -berechtigung diese erhalten, iv) welche Dienste bzw. Applikationen überhaupt mobil zugreifbar sein sollen und schliesslich v) welche Geräte eingesetzt werden sollen. Die Ziff. i) – iii) sind Inhalte einer Daten und Access Policy.⁴ Dabei ist zu beachten, dass es z.B. für die öffentliche Hand Vorgaben betreffend der Klassifikation von Akten und Daten geben kann.⁵ Erst wenn die Daten- und Access Policy definiert, die Dienste und Applikationen sowie Geräte identifiziert sind, kann eine rechtlich detaillierte Beurteilung und eine Sicherheitsbeurteilung erfolgen. Das Resultat sind einzelne Use Cases, die umgesetzt werden können. Es empfiehlt sich, diese Use Cases zu Beginn einzuschränken und erst mit gesammelter Erfahrung auszudehnen.

Abb. 2: Mögliche Strategie für die Implementierung von BYOD.

Nachfolgend werden losgelöst von einem spezifischen Use Case die juristischen Fragestellungen und möglichen Antworten erläutert. Je nach Gerät und technischer Umsetzungen könnten sich weitere Fragen ergeben.

Im Rahmen der BYOD-Strategie sind Datenschutzfragen, arbeitsrechtliche Fragen, Fragen der Compliance, also des rechtskonformen Verhaltens, der Rechte an Immaterialgüterrechten sowie Support und Haftungsfragen zu klären. Die Antworten können dabei je nach Risikobereitschaft eines Unternehmens unterschiedlich pragmatisch oder strikt beantwortet werden.

Um BYOD überhaupt rechtlich beurteilen zu können, muss erst einmal erhoben werden, was für Datenbestände im Unternehmen vorhanden sind. Anschliessend ist zu qualifizieren, ob es sich um einzelne Daten, eine Datensammlung oder eine Datensammlung im Sinne des Datenschutzgesetzes handelt.⁶ Datensammlungen im Sinne des Datenschutzgesetzes sind Personendaten oder besonders schützenswerte Personendaten wie z.B. Krankheitsdaten⁷. Sodann ist ein Dateneigentümer zu bestimmen, der für die Klassifikation (z.B. öffentlich, intern, vertraulich, geheim) und der ihm zugeteilten Datenbestände verantwortlich ist. Nimmt man Qualifikation der Daten und Klassifikation zusammen, entsteht eine Matrix die für Beurteilung, welche Daten überhaupt nicht BYOD-fähig gemacht werden dürfen, relevant ist.⁸

Bei der öffentlichen Hand sind zudem die gesetzlichen Vorgaben zur Qualifikation der Daten zu berücksichtigen.⁹ Aufgrund der Klassifikation ergibt sich die Zugriffsberechtigung der verschiedenen Benutzergruppen. Sodann kann die Zugangsart festgelegt werden z.B. ob die Daten nur im Unternehmen oder auch mobil verfügbar sein sollen. Ebenfalls geregelt werden sollte, wo die Daten gespeichert werden müssen.

Das Verhältnis zum Mitarbeiter wird durch das Arbeitsrecht definiert. Der Arbeitsvertrag oder ein Zusatz zum Arbeitsvertrag sind deshalb die Instrumente, in denen die nachfolgenden Themen geregelt werden müssen. Wird BYOD nur im Rahmen eines Arbeitsreglements inkorporiert, ist zu prüfen, ob auf dieses im Arbeitsvertrag verwiesen wird oder ein anderer Mechanismus des Akzepts durch den Arbeitnehmer besteht.

Wird eine BYOD-Vereinbarung dem Mitarbeiter bei laufendem Arbeitsverhältnis aufgezwungen, mit dem Willen, das Arbeitsverhältnis aufrecht zu erhalten, kann je nach Inhalt eine Änderungskündigung vorliegen. Diese kann missbräuchlich sein, wenn sie sich nicht auf wirtschaftliche oder betriebliche Veränderungen abstützt.¹⁰ Es ist deshalb vorderhand BYOD als eine Option für den Mitarbeiter einzuführen, die von sich aus BYOD wollen. BYOD kann derzeit keine Gesamtlösung für das ganze Unternehmen bis hin zum Wachmann und dem Reinigungspersonal sein.

Dürfen Mitarbeiter einfach ihre privaten Geräte einsetzen, um ihre Arbeitsleistung beim Arbeitgeber zu erfüllen? Nein, nach Schweizer Recht bedarf es einer Einwilligung des Arbeitgebers.¹¹ Diese kann auch konkludent, durch Stillschweigen und Duldung erfolgen.¹² Fehlt eine explizite Einwilligung des Arbeitgebers, besteht eine Rechtsunsicherheit. Der Mitarbeiter verletzt gegebenenfalls mit dem Einsatz von privaten Geräten seine Sorgfalts- und Treuepflicht gegenüber seinem Arbeitgeber.¹³ Der Mitarbeiter ist ohne Genehmigung des Arbeitsgebers zu BYOD verpflichtet, private von geschäftlichen Daten zu trennen, gewisse Mindest-Sicherheitsstandards einzuhalten – auch wenn der Arbeitgeber diese weder definiert hat, noch dem Mitarbeiter gegeben hat.

Sind die Grundsätze der Datenaufbewahrung und –verwendung klar geregelt, kann ein Verstoss besser durch das Unternehmen belegt werden, die arbeitsrechtliche Situation ist damit klarer. Bei Verstoss einer arbeitsvertraglichen Bestimmung kommen folgende arbeitsrechtlichen Instrumente in Frage: Abmahnungen, Sperrungen des Internetzugriffs, Schadenersatzforderungen, Lohnkürzungen oder Versetzungen. Im Widerholungsfall kann eine ordentliche Kündigung ausgesprochen werden. In extremen Fällen, wie bei wiederholtem Missbrauch nach Abmahnung, der zu technischen Störungen führt, oder bei erwiesenen Straftaten, kann der Arbeitgeber sogar die fristlose Entlassung aussprechen.¹⁴ Eine fristlose Entlassung eines Arbeitnehmers kann einzig ausgesprochen werden, wenn dem Arbeitgeber die Fortsetzung des Arbeitsverhältnisses nach Treu und Glauben nicht mehr zugemutet werden kann (Art. 337 OR). Die Regelung über den Gebrauch von BYOD liegt daher auch im Interesse des Arbeitnehmers. Er weiss dann konkret, was in seiner Verantwortung liegt und was er vorkehren muss.

Aber auch den Interessen des Arbeitgebers dient eine schriftliche Regelung. Möchte er nämlich das private Device seines Mitarbeiters systematisch mit einem Mobile Device Management (MDM)¹⁵ verwalten, bedarf er dazu der Einwilligung des Mitarbeiters.¹⁶ MDM-Software sichert, überwacht, verwaltet und unterhält mobile Endgeräte unabhängig von Fernmeldedienstanbieter, Dienstleister und Firmen. MDM-Software beinhaltet die drahtlose Verteilung von Applikationen, Daten, Konfigurations-Settings und (Sicherheits-)Updates. Dies kann auch die privaten Daten, Konfigurationen und Applikationen beeinflussen. Ein Regelung für den Einsatz einer MDM-Software empfiehlt sich für Arbeitgeber nur schon deshalb, weil er die Zustimmung für ein (teilweises) Löschen – sog. Remote Wiping – auf dem Endgerät des Mitarbeiters benötigt. Dies ist relevant, wenn der Mitarbeiter das mobile Endgerät verliert oder das Arbeitsverhältnis beendet wird. Fehlt eine Einwilligung des Arbeitnehmers, verletzt der Arbeitgeber Art. 328 b OR resp. die Bestimmungen des Datenschutzgesetzes sowie das Fernmeldegeheimnis gemäss Art. 13 Abs. 1 BV¹⁷.

Eine Löschung von Daten sollte sodann derart erfolgen, dass der Inhalt irreversibel durch Überschreiben vernichtet wird.¹⁸ Zwar kann nicht ausgeschlossen werden, dass der ehemalige Mitarbeiter Informationen und Daten noch auf anderen als dem Arbeitgeber bekannten Geräten gespeichert hat, doch kann durch ein zertifiziertes Löschen verhindert werden, dass zumindest die bekannten Geräte der (ehemaligen) Mitarbeiter mit Informationen des Unternehmens nicht an Dritte oder Drittländer gelangen und das Unternehmen auf diese Weise böse Überraschungen in Punkto Vertraulichkeit von Kundendaten, Verletzung des Bank-, Berufs-, Amts- oder Fabrikationsgeheimnisses etc. vermeiden kann. All diese Punkte können zu massiven Imageschäden führen. Es empfiehlt sich deshalb, Mitarbeitern anzubieten, auch private Mitarbeiter-Geräte, die gegebenenfalls nie «offiziell» Firmendaten beinhaltet haben, durch die Firma zertifiziert löschen und recyceln zu lassen oder zu zerstören.

Darüber hinaus hat ein Unternehmen auch ein Interesse, dass Firmendaten zur Firma zurückgeführt werden. Mit einer MDM-Software ist dies gewährleistet. Fehlt eine solche, so sind organisatorische Prozesse zu definieren, wie und wo Firmendaten abzulegen sind (vgl. oben Daten Policy, Ziff. 3.4.1).

Ist keine MDM-Software vorhanden, muss der Mitarbeiter verpflichtet werden, den aktuellen Stand der Sicherheit einzuhalten (dazu unter Ziff. 3.4.3).

Der Arbeitgeber ist von Gesetzes wegen verpflichtet, dem Arbeitnehmer Arbeitsgeräte und -mittel zur Verfügung zu stellen. Nebst den Anschaffungskosten (Gerät, SIM-Karte und Lizenzen) betrifft dies auch die Auslagen für Abonnements-Gebühren und Internetzugang. Die Kostenübernahmepflicht gilt natürlich nur, wenn der Arbeitgeber darüber in Kenntnis gesetzt wurde und dies veranlasst resp. wissentlich geduldet hat.¹⁹ Von dieser gesetzlich vorgesehenen Kostenübernahmepflicht kann durch spezielle Vereinbarung mit dem Mitarbeiter abgewichen werden.

Wird ein privates Endgerät u.a. für geschäftliche Zwecke genutzt, sind die Eigentumsverhältnisse zu klären. Liegt das Eigentum beim Unternehmen, sei es durch das Zurverfügungstellung auch für private Zwecke (unter Anrechnung des Privatgebrauchs als Lohnbestandteil) oder durch einen Abkauf vom Mitarbeiter durch das Unternehmen, ermöglicht dies ein «Shared management» und den Zugriff aufs Gerät. In diesem Fall ist jedoch nicht mehr von BYOD die Rede, auch wenn der Mitarbeiter sich das Mobile Device Initial selbst beschafft hat.

Liegt das Eigentum des Mobile Devices, wie die Definition von BYOD voraussetzt, von Beginn weg beim Mitarbeiter und verbleibt es bei ihm, ist zu klären, wer Software und Apps beschafft und finanziert, mithin wem diese gehören (vgl. Dazu auch 3.4.4) und wer die Software evaluiert. Es kann Software und Apps geben, deren Verwendung dazu führt, dass Drittunternehmen Zugang zu Informationen mittels Cookies erhalten.²⁰

Der Arbeitgeber trägt also ein erhebliches Risiko, wenn er es unterlässt, eine arbeitsvertragliche Regelung mit dem Mitarbeiter zu treffen.²¹ Das Risiko lässt sich aber immerhin reduzieren. Denn der Vertragszusatz schafft beim Mitarbeiter Bewusstsein für die Problematik des Arbeitgebers.

Der Datenschutz ist besonders bei der Bearbeitung von Personendaten, bei besonders schützenswerten Personendaten und Persönlichkeitsprofilen zu beachten. Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen (Art. 3 lit. a DSG). Dies sind im Unternehmen vorab Mitarbeiter- und Kundendaten. Seit dem Bundesgerichtsentscheid i.S. Logistep²² können auch IP-Adressen Personendaten darstellen. Bestimmbar ist die Person nämlich dann, wenn aufgrund zusätzlicher Informationen auf sie geschlossen werden kann. Für die Bestimmbarkeit genügt jedoch nicht jede theoretische Möglichkeit der Identifizierung. Ist aber der Aufwand derart gross, dass nach der allgemeinen Lebenserfahrung nicht damit gerechnet werden muss, dass ein Interessent diesen auf sich nehmen wird, liegt keine Bestimmbarkeit vor.²³

Von Bedeutung ist indessen nicht nur, welcher Aufwand objektiv erforderlich ist, um eine bestimmte Information einer Person zuordnen zu können, sondern auch, welches Interesse der Datenbearbeiter oder ein Dritter an der Identifizierung hat.²⁴

IP-Adressen fallen bei jeglicher Art von Kommunikation (Voice-over-IP-Telefonie, SMS-Diente über Internet) an und können auch beim Surfen im Internet mit sogenannten Cookies erfasst werden. Immerhin steht fest, dass IP-Adressen im Zusammenhang mit Protokollen von HTTP-Servern Personendaten sind.²⁵

Damit können viele der Daten im Unternehmen unter die Kategorie der Personendaten fallen. Personendaten dürfen nur nach den datenschutzrechtlichen Grundprinzipien bearbeitet werden:

1. Die Datenbearbeitung muss nach Treu und Glauben erfolgen und muss verhältnismässig sein. Dies bedeutet, dass die Bearbeitung von Personendaten im Rahmen von BYOD geeignet und notwendig sein muss. Unverhältnismässig ist es, wenn besonders schützenswerte Personendaten via privaten Mobile Devices von Mitarbeitern abrufbar sind. Auch hier wären Ausnahmen denkbar. Dem Mitarbeiter sollte mit BYOD nur so viel Zugriff auf Daten gegeben werden, wie er sie für seinen Tätigkeitsbereich notwendigerweise benötigt. Die Datenspeicherung auf privaten Mobile Devices statt auf dem Firmenserver muss ebenfalls verboten werden, damit das Verhältnismässigkeitsprinzip eingehalten ist.
2. Es darf nur eine rechtmässige Bearbeitung erfolgen d.h. es muss eine gesetzliche Grundlage oder ein Zustimmung des Kunden vorliegen²⁶.
3. Der Kunde muss der Beschaffung und dem Zweck der Datenbearbeitung zustimmen. Sie muss für ihn erkenntlich sein²⁷. Es stellt sich damit im Zusammenhang mit BYOD die Frage, ob die Zustimmungsklausel der Kunden zur Datenbearbeitung nebst dem spezifischen Zweck der Personendatenbearbeitung auch einen Passus enthalten müsste, dass das Unternehmen seinen Mitarbeitern BYOD ermöglicht. Sourced ein Unternehmen die Datenbearbeitung aus, so muss die Zustimmungsklausel die Weitergabe an einen Dritten beinhalten. Analog könnte man beim BYOD argumentieren. Bei BYOD handelt es sich aber um Mitarbeiter eines Unternehmens, weshalb m.E. eine BYOD-Zustimmungsklausel vom Kunden nicht notwendig ist. Die Schlussverantwortung der Rechtmässigkeit der Datenbearbeitung obliegt immer dem Unternehmen. Es hat bei der Nutzung von BYOD durch die Mitarbeiter sicherzustellen, dass Kundendaten nicht unzulässiger Weise bearbeitet werden.

BYOD stellt damit eine besondere Herausforderung dar. Es gilt zu überwachen und zu prüfen, ob der Datenschutz eingehalten worden ist. Dies lässt sich technisch nur dann realisieren, wenn das Unternehmen Remote-Zugriff auf das Gerät des Mitarbeiters erhält.

In Punkto Datensicherheit stellen sich etliche neue Anforderungen. Die Datensicherheit umfasst alle Massnahmen zur Sicherstellung der Integrität, Verfügbarkeit und Vertraulichkeit der Daten. Es müssen angemessene technische und organisatorische Massnahmen gegen unbefugtes Bearbeiten von Daten vorgekehrt werden.²⁸ Insbesondere müssen unberechtigte Zugriffe von Dritten vermieden werden, indem der Zugang nach den bestehenden technischen Mitteln genützt wird. Des Weiteren sollten z.B. private Geräte nicht unbeaufsichtigt in der Öffentlichkeit liegen gelassen werden. Kleine Mobile Devices wie z.B. USB-Sticks sollten nach Gebrauch immer gelöscht und formatiert werden. Der Inhalt einer Kommunikation ist zu verschlüsseln, sobald es sich um besonders schützenswerte oder um vertrauliche Personendaten handelt (z.B. Wohnsitz und Telefonnummer einer aus dem Teilnehmerverzeichnis ausgetragenen Person). Die Mitarbeiter sind daraufhin zu schulen, dass sie in der Lage sind zu verschlüsseln. Darüber hinaus sind die Zugriffsberechtigungen durch eine Data Policy zu regeln.²⁹ Die Zugriffe von aussen sollten protokolliert und überwacht werden.

Die Zustimmung des Mitarbeiters für den Remote Access (bis hin zum Wiping) ist zwingend erforderlich, um datenschutzrechtskonform BYOD umzusetzen.

Nebst den sicherheitstechnischen Anforderungen sind gesetzliche und vertragliche Geheimhaltungsvorschriften zu beachten. Die Geheimhaltungsvorschriften spielen vor allem bei Geheimhaltungsvereinbarungen, M&A-Transaktionen und grösseren Forschungsprojekten eine Rolle. Geheimnisbruch kann empfindliche Konventionalstrafen³⁰ und strafrechtlichen Konsequenzen auslösen. Aber auch das Berufs- und Amtsgeheimnis kann verletzt werden.

Auch gesetzliche Archivierungsvorschriften für Bundesorgane oder Personen, die mit öffentlichen Aufgaben betraut sind, können sehr umfangreich sein.³¹ Ohne eine zentrale Speicherung – anstelle jener auf dem Mobile Device – ist die Archivierung schlicht nicht möglich.

Zwar besteht heute keine Verpflichtung, dass Unternehmen den Fernmelde- und Internetverkehr zum Zwecke der Überwachung für die Strafermittlung ausleiten können müssen. Sie müssen aber die Ausleitung durch den Dienst Überwachung Post- und Fernmeldeverkehr (Dienst ÜPF), der für die Strafverfolgungsbehörden die Ausleitung technisch vornimmt, ermöglichen und dulden.³² Bei einem BYOD-Projekt ist deshalb auch kurz ein Gedanke darüber zu verlieren, wie und wo dies am einfachsten stattfinden könnte und ob das Design so gewählt werden kann, dass eine Nachrüstung problemlos ist. Technisch dürfte dies wohl beim MDM liegen.

Arbeitsresultate von Mitarbeitern gehören von Gesetzes wegen dem Arbeitgeber.³³ Dies gilt unabhängig davon, auf welchem Device der Mitarbeiter diese Arbeitsergebnisse erzielt hat.

Geht der Mitarbeiter noch einer Nebenbeschäftigung nach, empfiehlt es sich vorab in einem Reglement die Nebenbeschäftigung der Bewilligungspflicht des Arbeitgebers zu unterstellen. So kann sichergestellt werden, dass sämtliche Arbeitserzeugnisse dem Arbeitgeber zufallen, bzw. wenn eine Bewilligung erteilt wurde, welche Arbeitserzeugnisse in die Nebentätigkeit fallen.

Zudem ist bei BYOD die Frage der Lizenzrechte zu berücksichtigen.³⁴ Verwendet der Mitarbeiter auf seinen privaten Geräten geschäftliche Lizenzen, so kann dies die Lizenzrechte des Lizenzgebers verletzen und eine Klage gegen das Unternehmen auslösen (Unterlizenzierung). Es ist deshalb mit dem Mitarbeiter zu vereinbaren, in welcher Form er Lizenzen verwendet. Ebensolches ist mit dem Lizenzgeber zu prüfen, ob eine Einplatz- oder Mehrplatzlizenz für die Software besteht.³⁵ Ein gutes Lizenzen-Management ist dazu unabdingbar.

Bei BYOD stellt sich die Frage, wie das Unternehmen dem Mitarbeiter Support bei technischen Problemen bietet. Es gibt dabei die Möglichkeit des Full-Supports, des virtuellen User-Self-Service oder gar keiner Unterstützung. Der Support kann intern oder auch extern durch einen Dienst-, Device- bzw. Lösungsanbieter erfolgen.

Es sollte nur eine begrenzte Anzahl Betriebssysteme und Software zugelassen werden. Damit lässt sich der Aufwand für den Support beschränken.³⁶ Beim externen Support ist mit zusätzlichen Kosten zu rechnen. Wird das Projekt von Anfang an durchkalkuliert, können die allenfalls verminderten internen Personalkosten diese Zusatzkosten im externen Support wettschlagen.³⁷

Im Zusammenhang mit BYOD gibt es einmal die bekannten Sicherheitsprobleme wie Datenleck und Intrusion (Eindringen in eine fremde Datenverarbeitungsanlage).

Zum einen kann ein mobiles Endgerät in den Besitz eines Dritten fallen, was zu Datendiebstahl, Manipulation und Angriffen auf die Gesamtinfrastruktur des Unternehmens führen kann. Besitzt ein Dritter das Endgerät nicht, kann mittels Angriff gegen die Kommunikation mit sogenannten Man-in-the-Middle-Attacken auf die Systeme des Unternehmens gegriffen werden.³⁸

Weitere BYOD-spezifische Schadenspotentiale ergeben sich aufgrund der Komplexität und der erschwerten Kontrollierbarkeit der Endgeräte. Wird ein Mobile Device Management betrieben, so können die grössten technischen Risiken beschränkt werden. Dazu ist aber, wie hiervor gezeigt, die Zustimmung des Mitarbeiters notwendig. Hält sich ein Mitarbeiter nicht an die vorgegebenen Sicherheitsvorschriften, wird er haftbar.

Ohne Mobile Device Management, kann die Haftung zwar auf den Mitarbeiter abgewälzt werden. Dieser haftet, wenn er nicht sorgfältig Sicherheitsupdates installiert und die diesbezüglichen anderen technischen Anweisungen des Arbeitgebers befolgt. Der Mitarbeiter kann sich allerdings durch den Sorgfaltsnachweis der Haftung entziehen. Dieser Beweis dürfte hingegen schwierig zu erbringen sein.³⁹ Ob dieser Transfer der Haftung für ein Betriebsrisiko vom Arbeitgeber zum Arbeitnehmer zulässig ist, werden wohl dereinst einmal die Gerichte entscheiden müssen. Die Haftung des Arbeitnehmers widerspricht aber grundsätzlich dem Schutzgedanken des Arbeitsrechts.

Gegenüber Dritten (Geschädigten) ist stets das Unternehmen schadenersatzpflichtig.⁴⁰ Der Arbeitgeber hat in diesem Fall ein Regressrecht gegenüber dem Mitarbeiter.

Der Vollständigkeit halber sei noch erwähnt, dass, nachdem die Strategie definiert worden ist, die einzelnen Use Cases zu konzeptionieren sind, also mit der Umsetzung von BYOD begonnen werden kann.

Es empfiehlt sich, kleine Schritte zu machen. Wie bei jedem IT Projekt drängt sich zum Schluss auch ein Rückblick auf, um Lehren aus der Umsetzung für eine allfällige Erweiterung zu gewinnen.

Um erfolgreich BYOD im Unternehmen einzuführen, ist eine BYOD-Strategie zu definieren. Die Hauptverantwortung liegt dabei beim Verwaltungsrat bzw. der Geschäftsleitung. Es ist der Ist-Zustand zu evaluieren, dies hinsichtlich bestehender arbeitsvertraglicher Regelungen, Weisungen und Benutzerreglemente sowie punkto Daten, Zugriffsart und -berechtigung (Daten Policy). Ergänzen Sie die Daten Policy um die Dienste und Applikationen, die notwendig sind, damit der Mitarbeiter seine Arbeit erledigen kann. Die Bearbeitung von Personendaten und besonders schützenswerte Personendaten bedürfen zusätzlicher datensicherheitstechnischer Massnahmen wie Dokumentenschutz, Verschlüsselung und sichere signierte Übertragung.

Die Eigentumsverhältnisse und die Kosten sind zu klären. Es ist dem Mitarbeiter klar zu kommunizieren, wer für Datensicherheit, Datenschutz, Lizenzen und Support verantwortlich ist, sollte kein MDM zur Anwendung kommen. Das Unternehmen muss ausserdem klare Vorgaben betreffend Back-Up und Verschlüsselung machen. Soll jederzeit sowie nach Arbeitsbeendigung ein teilweises Remote-Wiping oder ein zertifiziertes Löschen der Daten auf dem privaten Device vorgenommen werden können, so ist dies mit dem Mitarbeiter zu vereinbaren. Die Einwilligung des Unternehmens zu BYOD sollte in einem Vertragszusatz oder einem dem Mitarbeiter verbindlich zur Kenntnis gebrachten Mitarbeiterreglement festgehalten werden.

RA lic. iur. Nicole Beranek Zanon, Exec. MBA HSG, Partnerin von de la cruz beranek Rechtsanwälte AG, eine auf ICT-Recht spezialisierte Anwaltskanzlei (www.delacruzberanek.com)