WhatsApp war nur die Spitze des Eisbergs!

Bisher war fast immer von der WhatsApp APP die Rede, die das Adressbuch des Smartphones zu Facebook kopiert. Hier werden massenhaft Daten von nicht WhatsApp Kunden zu Facebook, aus DSGVO Sicht ein Unternehmen im Drittland, übertragen. Es gibt allerdings noch viel kritischere Situationen bei privaten Smartphones mit regelmässiger oder auch nur gelegentlicher dienstlicher Nutzung.

Die hierbei auftauchende Fragen:

„Was passiert unter der DSGVO, wenn Anwender Firmen-Apps auf den privaten Smartphones installieren?“

Generell kann man sagen, das private Smartphones nicht in dem Verantwortungsbereich des Unternehmens liegen und damit jegliche Installation von Firmen Anwendungen (APPS) sehr kritisch sind. Z.B. ist die Installation einer CRM APP wie Salesforce, Pipedrive und anderen auf einem privaten Smartphone als kritisch zu betrachten, da die Anwendungen Personen bezogene Daten auf das Smartphone speichern. Sollte das Handy geklaut oder gehackt werden, tritt ein Datenschutzvorfall ein, der einer 72 Stunden Meldepflicht unterliegt.

Datenschutzverstoß mit Vorsatz!

Betrachtet man den Fall allerdings genauer, liegt letztendlich schon ein Datenschutzverstoß vor, wenn eine dienstliche Anwendung Daten auf dem privaten Smartphone speichert. Nach aktueller Rechtslage ist auch dies bereits ein Datenschutzverstoß, der bei Bekanntwerden nicht nur Meldepflichtig ist, sondern im Sinne der zu etablierenden Datenschutzprozesse unter dem Aspekt des Vorsatzes fallen wird. Für die Geschäftsführung und betreffenden Mitarbeiter bedeutet dies direkt ein Bussgeld, welches im Ermessen der Datenschutzbehörden verhängt wird.

Dieses Risiko ist insbesondere deswegen so kritisch, da ein einfacher Hinweis durch einen ehemaligen Mitarbeiter oder Wettbewerber eine Prüfung der Datenschutzbehörde nach sich ziehen wird. Diese werden das Verfahrensverzeichnis prüfen und egal in welchem Fall – ob dokumentiert oder nicht – der Sachverhalt der vorsätzlichen Handlung gelten.

Social Intranets sind besonders gefährlich

Besonderes kritisch wird dies bei firmeninternen Social Networks, Intranets, Messaging und anderen Anwendungen, die verstärkt mit Personen bezogenen Daten gefüttert sind (z.B. Mitarbeiterverzeichnisse, Bewerberdiskussionen, etc.). Je umfangreicher die Nutzerprofile und dessen Angaben ausfallen, desto schneller wird ein Datenschutzverstoß eintreten. Kommen Bewerberdaten hinzu, wird dies besonders heikel.

Es macht nur Sinn, Firmensmartphones zu verteilen

Generell kann man daher sagen, dass das private Smartphone für dienstliche Anwendungen tabu sein sollte, wenn man nicht ein Bussgeld für Mitarbeiter und Geschäftsführer / Vorstände in den nächsten Wochen und Monaten riskieren möchte. Das birgt allerdings dann das Problem, das Mitarbeiter unter Umständen garnicht am digitalen Firmenleben teilnehmen können.

Es ist daher nur klug und weitsichtig, wenn man generell Smartphones als Dienstgeräte austeilt, um nicht in das letzte Jahrtausend zurück geworfen zu werden. Die Kosten pro Mitarbeiter und Monat sind hierbei niedrig zu dem Nutzen, den eine moderne, agile und mobile Organisation mitbringt.