Über 25 % der Beschäftigten in Deutschland arbeiten regelmäßig von zu Hause. In vielen KMU ist Home-Office inzwischen Standard. Was fehlt: klare Datenschutzregeln für die Arbeit außerhalb des Büros.
Denn die DSGVO unterscheidet nicht zwischen Büro und Home-Office. Der Arbeitgeber bleibt verantwortliche Stelle nach Art. 4 Nr. 7 DSGVO. Das bedeutet: Sie müssen sicherstellen, dass personenbezogene Daten auch zu Hause geschützt sind. Fehlen technische und organisatorische Maßnahmen, haften Sie – nicht der Mitarbeitende.
Viele Arbeitgeber gehen davon aus, dass Datenschutz im Home-Office automatisch funktioniert, wenn die IT das Notebook einrichtet. Das reicht nicht. Die Aufsichtsbehörden erwarten dokumentierte Regeln, technische Absicherung und geschulte Mitarbeitende.
Die typischen Risiken:
Jeder dieser Punkte kann eine meldepflichtige Datenpanne nach Art. 33 DSGVO auslösen. Und jede Datenpanne zieht eine Prüfung durch die Aufsichtsbehörde nach sich.
Nach Art. 24 DSGVO muss der Verantwortliche – also Ihr Unternehmen – geeignete technische und organisatorische Maßnahmen umsetzen und nachweisen. Diese Pflicht entfällt nicht, weil der Arbeitsplatz in der Wohnung des Mitarbeitenden liegt.
Art. 32 DSGVO verlangt Maßnahmen, die dem Stand der Technik entsprechen. Im Home-Office bedeutet das konkret: verschlüsselte Verbindungen, Zugriffskontrollen und Regelungen zur physischen Sicherheit am häuslichen Arbeitsplatz.
Der Arbeitgeber darf und muss Weisungen zum Datenschutz erteilen. Gleichzeitig gilt: Das Zutrittsrecht zur Wohnung des Mitarbeitenden ist eingeschränkt. Deshalb ist eine schriftliche Vereinbarung so wichtig – sie ersetzt die physische Kontrolle durch dokumentierte Pflichten.
Die folgende Tabelle zeigt die wichtigsten technischen und organisatorischen Maßnahmen für Home-Office-Arbeitsplätze. Sie orientiert sich an den BSI-Empfehlungen für sicheres mobiles Arbeiten und Art. 32 DSGVO.
| Bereich | Maßnahme | Umsetzung |
|---|---|---|
| Netzwerk | VPN-Pflicht | Zugriff auf Firmendaten nur über verschlüsseltes VPN |
| Endgeräte | Firmengeräte nutzen | Keine Verarbeitung personenbezogener Daten auf Privatgeräten |
| Zugangskontrolle | MFA aktivieren | Multi-Faktor-Authentifizierung für alle Cloud-Dienste und VPN |
| Bildschirmsperre | Automatische Sperre | Nach max. 5 Minuten Inaktivität |
| Verschlüsselung | Festplattenverschlüsselung | BitLocker (Windows) oder FileVault (Mac) auf allen Geräten |
| Updates | Patch-Management | Zentral gesteuerte Updates für Betriebssystem und Software |
| Druckrichtlinie | Vertrauliche Dokumente nicht zu Hause drucken – oder Aktenvernichter vorschreiben | |
| Telefonie | Headset-Pflicht | Bei Telefonaten mit personenbezogenen Daten kein Lautsprecher |
| Entsorgung | Aktenvernichtung | Papierdokumente im Crosscut-Schredder (min. Sicherheitsstufe P-4) vernichten |
| Raum | Separater Arbeitsplatz | Abschließbarer Raum oder abschließbarer Schrank für Unterlagen |
| Cloud | Zugelassene Dienste | Nur vom Unternehmen freigegebene Cloud-Dienste mit AVV verwenden |
| Schulung | Jährliche Unterweisung | Datenschutzschulung dokumentiert durchführen |
Nutzen Sie diese Checkliste, um den Datenschutz im Home-Office systematisch aufzusetzen:
Fixieren Sie die Datenschutzregeln als schriftliche Anlage zum Arbeitsvertrag – nicht als loses Merkblatt. Nur so ist die Vereinbarung arbeitsrechtlich verbindlich. Die Anlage sollte mindestens enthalten: Pflicht zur VPN-Nutzung, Verbot privater Geräte für dienstliche Daten, Regelung zur Bildschirmsperre, Umgang mit Papierdokumenten und ein Zutrittsrecht für den DSB nach Voranmeldung.
Eine vollständige Home-Office-Vereinbarung deckt diese Punkte ab:
Kein schriftliches Regelwerk. Mündliche Absprachen reichen nicht. Die Aufsichtsbehörde verlangt dokumentierte Maßnahmen.
BYOD ohne Kontrolle. Bring Your Own Device klingt modern, ist aber datenschutzrechtlich heikel. Ohne MDM-Lösung und klare Trennung von privaten und dienstlichen Daten raten wir davon ab.
Kein separater Arbeitsplatz. Wenn der Bildschirm im Wohnzimmer steht und die Familie mitlesen kann, fehlt die Vertraulichkeit. Ein abschließbares Arbeitszimmer oder mindestens ein Sichtschutzfilter ist Pflicht.
Veraltete TOM. Maßnahmen, die 2020 festgelegt wurden, entsprechen nicht mehr dem Stand der Technik. Die Schutzmaßnahmen müssen regelmäßig überprüft und aktualisiert werden.
Keine Schulung. Mitarbeitende wissen nicht, dass sie den Bildschirm sperren müssen oder vertrauliche Telefonate nicht auf dem Balkon führen sollten. Regelmäßige Datenschutzschulungen sind Pflicht – erst recht für Home-Office.
Für jeden ist Datenschutz wichtig. Und für uns ist es wichtig, eine pragmatische Lösung zu finden, wie Unternehmen ihren Datenschutz umsetzen – ohne dabei den Geschäftsbetrieb einzustellen.
Nils OehmichenDatenschutzberater bei frag.hugo
Ermitteln Sie, welche Mitarbeitenden im Home-Office arbeiten und welche personenbezogenen Daten sie dabei verarbeiten. Prüfen Sie, welche technischen Maßnahmen bereits bestehen und wo Lücken sind.
Formulieren Sie eine verbindliche Richtlinie mit den Regeln aus der Checkliste oben. Lassen Sie die Richtlinie von Ihrem externen Datenschutzbeauftragten prüfen.
Rollen Sie VPN, MFA, Festplattenverschlüsselung und MDM auf allen Geräten aus. Prüfen Sie die WLAN-Sicherheit der Mitarbeitenden – mindestens WPA3 oder WPA2 mit starkem Passwort.
Schulen Sie alle Mitarbeitenden zum Thema Home-Office und Datenschutz. Dokumentieren Sie die Teilnahme. Wiederholen Sie die Schulung mindestens einmal pro Jahr.
Führen Sie halbjährliche Selbstchecks durch. Lassen Sie Ihren DSB die Einhaltung stichprobenartig kontrollieren. Passen Sie die TOM an neue Risiken und neue Technik an.
Home-Office datenschutzkonform?
Wir erstellen Ihre Home-Office-Richtlinie und prüfen die technischen Maßnahmen.
Beratung anfragen →Seit der Pandemie arbeiten viele Beschäftigte in Hamburg dauerhaft hybrid — gerade in der Agentur-, Medien- und Digitalbranche rund um die Schanze und die HafenCity. Der Hamburger Datenschutzbeauftragte hat in mehreren Prüfungen gezielt Home-Office-Regelungen abgefragt. Wer als Arbeitgeber keine dokumentierte Vereinbarung und keine technischen Maßnahmen vorweisen kann, fällt auf. Unsere Datenschutzberatung in Hamburg erstellt Ihre Home-Office-Richtlinie und prüft die TOM — vor Ort oder remote.
Nur mit Einwilligung und nach Voranmeldung. Die Unverletzlichkeit der Wohnung (Art. 13 GG) schränkt das Kontrollrecht ein. Deshalb ist die schriftliche Vereinbarung mit einem Zutrittsrecht nach Voranmeldung so wichtig – sie schafft eine klare Rechtsgrundlage.
Die DSGVO schreibt kein eigenes Zimmer vor. Aber: Die Vertraulichkeit personenbezogener Daten muss gewährleistet sein. Ein abschließbarer Schrank, ein Sichtschutzfilter und klare Regeln zum Bildschirmsperren können ausreichen – je nach Art der verarbeiteten Daten.
Es gelten dieselben Regeln wie im Büro: Meldung an den Datenschutzbeauftragten, Bewertung der Meldepflicht, ggf. Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden (Art. 33 DSGVO). Der Meldeprozess muss den Mitarbeitenden bekannt sein – gerade im Home-Office, wo kein Kollege nebenan sitzt.
BYOD (Bring Your Own Device) ist grundsätzlich möglich, aber datenschutzrechtlich anspruchsvoll. Sie brauchen eine MDM-Lösung, eine klare Trennung privater und dienstlicher Daten und eine separate BYOD-Vereinbarung. Unsere Empfehlung: Stellen Sie Firmengeräte bereit. Das ist einfacher, sicherer und rechtlich sauberer.
Inhaltsverzeichnis
Uber zahlt 825 Mio € für Fahrer-Sperren ohne Mensch im Prozess, ab 11.9. gilt die 24-h-CRA-Meldepflicht, noyb mahnt SCHUFA ab, BAG grenzt Art. 15 DSGVO ein.
Weiterlesen: Datenschutz-Roundup August 2026: Uber 825 Mio €, CRA-Frist, SCHUFA
18.845 von 29.500 NIS2-registriert (Stand 31. Juli), Art. 50 AI Act greift mit Bußgeld bis 15 Mio €, VwGH bestätigt 13-Mio-Bußgeld gegen Post, DSK vs. Reform.
Weiterlesen: Datenschutz-Roundup Mitte August 2026: NIS2-Frist, AI Act, 13 Mio €
Ehrlicher Vergleich: 10 externe Datenschutzbeauftragte für München 2026 — mit Preisen, Stärken, Schwächen, Branchenfokus und Vergleichstabelle.
Weiterlesen: Externer Datenschutzbeauftragter München: Die 10 besten Anbieter 2026Über den Autor
Datenschutzberater & Geschäftsführer
Nils ist TÜV-zertifizierter Datenschutzbeauftragter. Seit über 13 Jahren betreut er Mittelständler bei DSGVO, NIS2 und dem EU AI Act. Geschäftsführer der frag.hugo Informationssicherheit GmbH und der datuno GmbH, leitet außerdem die BVMID-Geschäftsstelle Hamburg Süd/Ost.
Vier Klicks zum schriftlichen Festpreis-Angebot — oder direkt anrufen. Wir hören zu, sortieren Ihr Thema und sagen Ihnen ehrlich, ob wir helfen können.
Lieber erstmal schreiben? Kontaktformular
