Ein Mitarbeiter nutzt sein persönliches Telefon, um eine berufliche E-Mail vom Parkplatz aus zu beantworten, noch bevor er sich einloggt. Am Abend erhält er eine SMS von seinem Manager über eine Messaging-App, die auf demselben Gerät installiert ist. Wenn der Arbeitgeber beschließt, die beruflichen Daten, die auf diesem Gerät übertragen werden, zu „sichern“, betreten wir ein Gebiet, in dem Arbeitsrecht und Datenschutz aufeinandertreffen.
Gesetz 25 und BYOD-Geräte: der wahre blinde Fleck interner Richtlinien
Die meisten Unternehmensrichtlinien zum persönlichen Telefon beschränken sich darauf, die Nutzung zu regeln: wann man es einsehen kann, in welchen Bereichen, zu welchen Zeiten. Das Problem beginnt, wenn der Arbeitgeber weitergehen möchte, das heißt auf Daten auf einem Gerät zuzugreifen, sie abzurufen oder zu löschen, das ihm nicht gehört.
Lesetipp : Arbeitslosigkeit 2024: Alles über die neuen Anspruchsvoraussetzungen und Ihre Rechte
Mit dem Gesetz 25 verpflichtet Québec Organisationen zu strengen Governance-Anforderungen, sobald sie personenbezogene Daten verarbeiten. Ein persönliches Telefon, das für die Arbeit genutzt wird, enthält fast immer eine Mischung aus Daten: Familienfotos, private Gespräche, aber auch berufliche E-Mails, Kundenkontakte, interne Dokumente. Wenn der Arbeitgeber eine Mobile Device Management (MDM)-Software installiert, um seine Daten zu schützen, hat er technischen Zugriff auf den gesamten Inhalt des Geräts.
Wenn wir über die Nutzung des persönlichen Telefons für die Arbeit in Québec sprechen, geht es nicht mehr darum, ob der Mitarbeiter während seiner Pause auf Instagram scrollen kann. Die Frage ist: wer kontrolliert was auf einem Gerät, das dem Mitarbeiter gehört, und auf welcher rechtlichen Grundlage.
Ebenfalls empfehlenswert : Die besten Tipps und Websites für effektive Online-Hausaufgabenhilfe
Pflichten des quebecer Arbeitgebers in Bezug auf personenbezogene Daten auf BYOD-Telefonen
Das Gesetz 25 hat mehrere Anforderungen verstärkt, die direkt die BYOD-Praktiken betreffen. Konkret muss die Organisation, bevor sie einen Mitarbeiter bittet, sein Telefon für die Arbeit zu nutzen, sicherstellen, dass sie einen klaren Rahmen einhält.
- Einholen einer informierten und spezifischen Zustimmung des Mitarbeiters vor jeder Erhebung personenbezogener Daten über sein Gerät, einschließlich Standort- oder Nutzungsmetadaten
- Dokumentation der Sicherheitsmaßnahmen, die auf die beruflichen Daten angewendet werden, die über das persönliche Gerät übertragen werden, und Beschränkung der Aufbewahrung auf das, was unbedingt erforderlich ist
- Vorgabe eines Verfahrens zur Löschung der beruflichen Daten am Ende des Arbeitsverhältnisses, das die personenbezogenen Daten des Mitarbeiters nicht berührt
- Benennung einer Person, die für den Schutz personenbezogener Daten innerhalb der Organisation verantwortlich ist, eine Verpflichtung, die seit den ersten Phasen des Inkrafttretens des Gesetzes 25 gilt
Die im Gesetz 25 vorgesehenen Sanktionen bei Nichteinhaltung können sehr hoch sein. Eine Richtlinie, die einfach besagt: „Der Mitarbeiter stimmt der Nutzung seines Telefons zu“, ohne diese Elemente im Detail zu erläutern, reicht nicht aus.
Fernlöschung und Privatsphäre des Mitarbeiters
Das konfliktträchtigste Szenario tritt bei einem Ausscheiden auf. Der Arbeitgeber aktiviert die Fernlöschung über das MDM, um seine Daten zu schützen. Ergebnis: Die Fotos, Nachrichten und persönlichen Apps des Mitarbeiters verschwinden ebenfalls. Diese Art von Eingriff, ohne vorherige dokumentierte Zustimmung, setzt den Arbeitgeber der Gefahr von Klagen wegen Verletzung der Privatsphäre aus.
Die quebecer Regelung zur Anonymisierung, die 2024-2025 in Kraft tritt, fügt eine weitere Komplexitätsebene hinzu. Die Organisationen müssen die Aufbewahrung und Wiederverwendung von Daten von mobilen Geräten weit über das hinaus strukturieren, was die klassischen HR-Richtlinien abdecken.
Rechte des Mitarbeiters: Kann man die Nutzung seines persönlichen Telefons bei der Arbeit in Québec ablehnen?
Nach quebecer Recht hat der Arbeitgeber ein Weisungsrecht, das ihm erlaubt, die Arbeit zu organisieren und Regeln festzulegen. Dieses Recht hat jedoch klare Grenzen, wenn es darum geht, die Nutzung eines Eigentums des Mitarbeiters aufzuzwingen.
Es gibt kein quebecer Gesetz, das einen Mitarbeiter verpflichtet, sein eigenes Telefon zur Erfüllung seiner beruflichen Aufgaben bereitzustellen. Wenn der Arbeitgeber die Nutzung eines mobilen Geräts verlangt, ist es seine Aufgabe, es bereitzustellen oder, falls nicht möglich, den Mitarbeiter finanziell zu entschädigen. Die Rückmeldungen zu diesem Punkt variieren je nach Sektor, aber das Prinzip bleibt dasselbe: Die Pflicht, die Arbeitsmittel bereitzustellen, liegt beim Arbeitgeber.
Ein Mitarbeiter, der sich weigert, sein persönliches Gerät mit einem MDM-System zu verbinden oder eine berufliche App zu installieren, übt ein legitimes Recht aus. Der Arbeitgeber kann diese Weigerung nicht sanktionieren, ohne sich einem Rechtsmittel auszusetzen, insbesondere wenn bei der Einstellung keine schriftliche Vereinbarung diese Verpflichtung vorsah.
Überwachung und Beweis: die Grenzen der Macht des Arbeitgebers
Das Recht auf Privatsphäre endet nicht an der Bürotür. Ein Arbeitgeber, der auf persönliche E-Mails, den Browserverlauf oder private Nachrichten, die auf dem Telefon eines Mitarbeiters gespeichert sind, zugreift, setzt sich der Gefahr von Anfechtungen vor Gericht aus. Beweise, die durch nicht konforme Überwachung erlangt wurden, können als unzulässig angesehen werden.
Die solidesten Richtlinien trennen klar den beruflichen Raum vom persönlichen Raum auf dem Gerät, beispielsweise durch einen sicheren Container, der die Unternehmensdaten isoliert. Dieser technische Ansatz begrenzt die Risiken für beide Parteien.
Eine BYOD-Richtlinie gemäß Gesetz 25 erstellen: die nicht verhandelbaren Elemente
Eine Richtlinie zur Nutzung persönlicher Telefone bei der Arbeit, die 2025 in Québec Bestand hat, lässt sich nicht auf einen Absatz im Mitarbeiterhandbuch reduzieren. Sie muss sowohl den Schutz personenbezogener Daten als auch die Produktivität abdecken.
- Genau definieren, welche beruflichen Daten auf dem persönlichen Gerät übertragen werden dürfen und welche ausgeschlossen sind (Gesundheitsdaten, Sozialversicherungsnummern usw.)
- Die Zugriffsrechte des Arbeitgebers präzisieren: was er sehen kann, was er nicht sehen kann und unter welchen Umständen
- Das Verfahren zur Löschung am Ende des Arbeitsverhältnisses mit einem Protokoll regeln, das die personenbezogenen Daten des Mitarbeiters schützt
- Eine finanzielle Entschädigung oder eine materielle Alternative für Mitarbeiter vorsehen, die BYOD ablehnen
Das Dokument muss vom Mitarbeiter unterzeichnet, regelmäßig aktualisiert und jederzeit zugänglich sein. Eine 2019 verfasste Richtlinie, die vor Inkrafttreten des Gesetzes 25 erstellt wurde, ist wahrscheinlich in mehreren Punkten veraltet.
Die Grenze zwischen Weisungsrecht und Verletzung der Privatsphäre liegt oft in den technischen Details. Ein Arbeitgeber, der seine Daten sichern möchte, ohne in die Rechte seiner Mitarbeiter einzugreifen, muss seine BYOD-Richtlinie als ein Compliance-Projekt betrachten, nicht als eine bloße Ergänzung zur Hausordnung.