BYOD (Bring Your Own Device)

Das eigene Smartphone auch für Firmen-E-Mails nutzen – für viele Beschäftigte ist das bequem. Für Unternehmen wirft es Fragen auf: Wem gehören die Daten, wer darf sie löschen, und was passiert beim Austritt? Dieser Eintrag erklärt BYOD, grenzt es von anderen Gerätemodellen ab und zeigt die Folgen für Datenschutz und Offboarding.

BYOD und andere Gerätemodelle

Modell	Eigentum am Gerät	Private Nutzung
BYOD – Bring Your Own Device	Beschäftigte	Ja, das Gerät ist privat
CYOD – Choose Your Own Device	Unternehmen; Auswahl aus einer Geräteliste	Je nach Regelung
COPE – Corporate Owned, Personally Enabled	Het bedrijf	Erlaubt, in getrenntem Bereich
COBO – Corporate Owned, Business Only	Het bedrijf	Nee

Je mehr das Gerät dem Unternehmen gehört, desto einfacher lässt es sich verwalten, zurückfordern und nachweisbar löschen.

Datenschutz bei BYOD

Liegen dienstliche E-Mails, Kontakte oder Dokumente auf einem privaten Gerät, bleibt das Unternehmen Verantwortlicher im Sinne der DSGVO. Es muss die Daten mit geeigneten Maßnahmen schützen, ohne unverhältnismäßig in die Privatsphäre einzugreifen. Bewährt haben sich:

• Trennung der Daten: Dienstliche Apps und Daten laufen in einem getrennten Bereich, etwa im Android-Arbeitsprofil oder über die Benutzerregistrierung bei Apple.
• Geräteverwaltung mit Augenmaß: Een Mobile Device Management oder eine App-Verwaltung, etwa mit Microsoft Intune, verwaltet nur den dienstlichen Bereich.
• Klare Vereinbarung: Eine Nutzungsrichtlinie regelt Pflichten, Kontrollrechte und das Vorgehen bei Verlust und Austritt. Gibt es einen Betriebsrat, ist er in der Regel zu beteiligen.

Geht ein privates Gerät mit Firmendaten verloren, kann das eine meldepflichtige Datenpanne sein.

BYOD beim Offboarding

Verlässt eine Mitarbeiterin das Unternehmen, behält sie ihr Gerät. Das Unternehmen kann den dienstlichen Bereich per selektivem Remote Wipe entfernen, aber nicht das ganze Gerät löschen. Ein Zertifikat je Datenträger, wie es bei firmeneigenen Geräten üblich ist, gibt es dafür nicht. Offen bleibt zudem, ob dienstliche Daten in privaten Backups oder Cloud-Konten gelandet sind. Die Nutzungsvereinbarung sollte deshalb regeln, dass Beschäftigte die Entfernung bestätigen. Eine vollständige Liste der Schritte beim Austritt finden Sie in unserer Offboarding-Checkliste.

BYOD und Second IT

Viele Unternehmen setzen wegen dieser Nachweislücke auf firmeneigene Geräte. Für sie bietet Second IT eine nachweisbare Ausmusterung: Abholung mit eigener Sicherheitslogistik, Löschung von Smartphones, Tablets und Notebooks mit Blancco und ein digital signiertes Löschzertifikat je Gerät. Mehr zur gecertificeerde gegevensvernietiging.

Häufige Fragen zu BYOD

Ist BYOD nach der DSGVO erlaubt?

Ja, die DSGVO verbietet BYOD nicht. Das Unternehmen muss aber die dienstlichen Daten schützen und die Privatsphäre der Beschäftigten wahren. In der Praxis gelingt das mit getrennten Bereichen, einer Geräte- oder App-Verwaltung und einer schriftlichen Vereinbarung.

Darf der Arbeitgeber ein privates Gerät aus der Ferne löschen?

Das komplette Löschen eines privaten Geräts ist heikel, weil dabei auch private Daten verloren gehen. Üblich ist ein selektives Löschen nur des dienstlichen Bereichs. Was erlaubt ist, sollte vorab in der Nutzungsvereinbarung stehen.

Was ist der Unterschied zwischen BYOD und COPE?

Bei BYOD gehört das Gerät den Beschäftigten. Bei COPE gehört es dem Unternehmen, private Nutzung ist aber erlaubt. COPE-Geräte lassen sich am Ende vollständig zurückfordern und zertifiziert löschen.