Nur eine Modeerscheinung?

Viele IT-Leiter kennen folgende Situation nur zu gut: Ein Geschäftsführer hat selbst das neueste Smartphone erworben. Spätestens beim Einrichten seiner privaten E-Mail erkennt er, dass sich der Maildienst seines Unternehmens ebenso leicht einbinden lässt, wenn ihm Server und Zugangskennung bekannt wären. Grund für ein Telefonat mit dem IT-Verantwortlichen, um dem lästigen Hantieren mit zwei Endgeräten ein Ende zu setzen. Doch wie sollten solche Szenarien am besten in die eigene IT Strategie eingebunden werden? Als erster Schritt empfiehlt sich in jedem Fall eine Zieldefinition und eine Antwort auf folgende Fragen: Was soll mit der Einführung von BYOD erreicht werden? Wie messe ich deren Erfolg?

Generell verbindet BYOD die IT-Infrastruktur eines Unternehmens mit Geräten und Daten, die dem Mitarbeiter gehören. Da in Deutschland einige Unternehmen Mitarbeiterdaten missbräuchlich verwendet haben, ist seit 2009 der Arbeitnehmerdatenschutz über eine Neufassung des § 32 BDSG (Bundesdatenschutzgesetz) strenger geregelt. Im Zusammenhang mit § 202a StGB ist in der Konsequenz bei BYOD darauf zu achten, dass eine IT-seitige Einbindung der Mitarbeitergeräte dem Unternehmen keinerlei Zugriff auf private Daten einräumt. Das gleiche gilt für Bewegungs- und Nutzungsprofile (privat angerufene Telefonnummern, aufgerufene Browser-URLs, usw.). Ein Monitoring der Endgeräte durch den IT-Service, etwa für die Incident-Behandlung oder Softwareverteilung, ist nur für den „geschäftlich genutzten Teil“ des Gerätes und auch nur während der geschäftlichen Nutzungszeiten möglich.

In der Regel erfolgt die Integration des privaten Gerätes in die Unternehmens-IT durch ein Mobile-Device-Management-System (MDM). Die führenden MDM-Systeme stammen jedoch aus den USA und stellen die technische Lösung in den Vordergrund; Anforderungen des Arbeitnehmerdatenschutzes sind im Produkt oftmals nicht enthalten. Von daher sollte man bei der Auswahl eines MDM ein besonderes Augenmerk auf die rechtlichen Anforderungen legen.

Überdies ist Unternehmenssoftware heute größtenteils im klassischen Client/Server-Modell lizenziert, wodurch die Nutzung per se nur auf dem Eigentum des Unternehmens zulässig ist. Vor einer Verteilung auf BYOD-Geräte ist die Zulässigkeit anhand der Lizenzurkunde individuell zu prüfen. Wenn eine Nutzung auf Geräten Dritter nicht explizit zulässig ist, ist die Zustimmung des Software-Anbieters einzuholen. Im Zuge der Umstellung auf Software aus der Cloud entfällt dieses Hindernis zukünftig.

Haftung des Unternehmens

Grundsätzlich haftet ein Unternehmen für Schäden, die durch seine Arbeitsmittel oder seine Mitarbeiter verursacht werden. Hierbei spielt der Begriff der Fahrlässigkeit eine entscheidende Rolle, d.h. wenn die gebotene Sorgfalt außer Acht gelassen wird. Im Falle von BYOD hat das Unternehmen verringerte Einflussmöglichkeiten auf das Arbeitsmittel, die gebotene Sorgfaltspflicht kann unter Umständen nicht ausgeübt werden.

Als Beispiel seien Rückrufaktionen wegen brandgefährlicher Akkus in Notebooks zu nennen. Die Sorgfalt eines Unternehmens gebietet es, die Akkus in Firmennotebooks auch tatsächlich auszutauschen. Aber wie ist die Lage, wenn ein Mitarbeiter dies versäumt, und sein privates Notebook bei geschäftlichem Kundenbesuch in Brand gerät und Schaden verursacht? Hier helfen nur klare Regelungen in einer Betriebsvereinbarung oder sogar individuell im Arbeitsvertrag des Mitarbeiters.

Im Falle von firmenseigenen Arbeitsmitteln ist das Unternehmen Eigentümer der Daten auf den Geräten, ein Mitarbeiter nutzt diese lediglich im Rahmen seiner geschäftlichen Tätigkeit. Geheimhaltungsvereinbarungen im Arbeitsvertrag legen dem Mitarbeiter Pflichten im Umgang mit den Unternehmensdaten auf. Bei BYOD-Geräten willigt die Firma jedoch ein, Unternehmensdaten auf ein privates Gerät zu laden, über das der Mitarbeiter als Eigentümer die tatsächliche Gewalt ausübt. Ist der Mitarbeiter damit auch Eigentümer der Unternehmensdaten geworden? Auch hier kann eine Rechtsunsicherheit nur durch eine klare Regelung vermieden werden, beispielsweise durch die Erweiterung der Geheimhaltungsvereinbarung des Arbeitsvertrages.

Desweiteren geben Arbeitsmittel ewig währenden Anlass zu Diskussionen zwischen Unternehmen und Arbeitnehmervertretung. Sie erhöhen einerseits die Produktivität und Effizienz in der Arbeitsbewältigung, erlauben aber auch die Überwachung des Verhaltens des Einzelnen. Üblicherweise werden die Arbeitsplatzausstattung und die Kontrollmöglichkeiten des Arbeitgebers in einer Betriebsverfassung reglementiert.

Verschiedene Seiten haben die Dachverbände der Arbeitgeber und der großen Gewerkschaften zu Stellungnahmen oder Empfehlungen für eine BYOD Einführung gebeten. Unisono ist die Position, dass BYOD sehr neu ist und es noch keine konkreten Empfehlungen gibt. Darüber hinaus weisen die Gewerkschaften in ihrer Beratungspraxis auch auf ihr Grundverständnis hin, dass Betriebsmittel grundsätzlich vom Arbeitgeber beizustellen sind. Als Empfehlung ist daher abzuleiten, dass BYOD unter den Geltungsbereich der Mitbestimmung fällt und mit den Mitbestimmungsorganen im Vorfeld eine Einführung individuell vereinbart werden muss.

BYOD, aber mit Support bitte!

Für den Support klassischer Anwendergeräte wie Büro-PC und Tischtelefon ist der IT-Onsite-Support bzw. Fieldservice zuständig. Mobiltelefone sind historisch ausgeklammert und werden häufig direkt vom Provider gewartet. Erst mit dem Aufkommen unternehmenseigener Smartphones ändert sich diese Situation und der IT-Service wird zunehmend in die Anbindung der Geräte an E-Mail-Software und andere Systeme einbezogen.

Mit BYOD ändert sich dieses klassische Supportbild vollständig. Die Steuerungsmöglichkeit des Unternehmens, d.h. Geräteauswahl und Ausstattung, ist nicht mehr vorhanden. Sie muss ersetzt werden durch einen Katalog vorab qualifizierter Geräte, die in den Unternehmenskontext passen. Bei der Aufstellung dieses Kataloges spielt das MDM eine entscheidende Rolle: Wie umfassend können Endgeräte integriert werden? Empfehlenswert ist, dass ein Unternehmen klare Supportgrenzen gegenüber dem Mitarbeiter setzt, segmentiert nach Problemen bei: Hardware, Kommunikation (Provider/ISP), MDM-Client und Unternehmensanwendungen sowie Betriebssystem und Privatanwendungen. Auf die IT-Serviceorgane kommt bei Einführung von BYOD durch den Mischbetrieb von privaten und klassischen Unternehmensgeräten zunächst eine erhöhte Belastung zu, die eine personelle Verstärkung erfordern kann.

Kriterien für die Festlegung einer BYOD-Strategie

• Wie viele Mitarbeiter nutzen ein Mobiltelefon bzw. Laptop und kommen für BYOD in Frage?
• Wird BYOD vom Mitarbeiter als Arbeitserleichterung gesehen und steigert es seine Motivation?
• Ist der IT-Betrieb in der Lage, BYOD einzuführen und zu unterstützen (Helpdesk und Fieldsupport)?
• Sind die Anforderungen an IT- und Datensicherheit sowie an den Schutz bestimmter Unternehmensdaten (Bundesdatenschutzgesetz) mit BYOD zu erfüllen?
• Wie verändert BYOD die Kosten für den IT-Betrieb?
• Kann und will sich das Unternehmen trotz einer komplizierten steuerrechtlichen Behandlung an den Kommunikationskosten eines BYOD-Mitarbeiters beteiligen?

Quelle: IT-SCM.com

Bildquelle: iStockphoto.com/dranzi