Arbeitgeberzugriff auf Endgeräte: Das ändert sich 2025

Das Bundesarbeitsgericht kippt BYOD-Praxis. Wer keine strikte Hardware-Trennung nutzt, riskiert Schadensersatz und Bußgelder.

Das Jahr 2025 markiert eine Zeitenwende im Beschäftigtendatenschutz. Während Unternehmen bisher oft auf Grauzonen bei der Überwachung von Firmenhardware setzten, haben wegweisende Urteile diese Praxis nun beendet. Die Botschaft ist klar: Technische Trennungen auf Hardware-Ebene sind keine Kür mehr, sondern Pflicht.

Die einschneidendste Entwicklung des Jahres kommt aus Erfurt. Das Bundesarbeitsgericht entschied am 8. Mai 2025, dass Arbeitgeber schadensersatzpflichtig werden, wenn sie durch unzulässige Datenverarbeitung einen Kontrollverlust bei Mitarbeitern verursachen.

Im konkreten Fall hatte ein Unternehmen echte Mitarbeiterdaten – Gehaltsangaben, private Wohnanschriften – an eine Konzernmutter übermittelt, um eine neue HR-Software zu testen. Die Betriebsvereinbarung deckte den Umfang nicht ab. Das BAG stellte klar: Echtdaten haben in Testumgebungen nichts verloren. Der Verstoß gegen die DSGVO begründet einen Anspruch auf immateriellen Schadensersatz.

Besonders brisant: Viele Unternehmen führen zum Jahresende Systemtests und Migrationen durch. Juristen werten das Urteil als Warnschuss für alle IT-Abteilungen, die lax mit Mitarbeiterdaten in Cloud-Umgebungen umgehen.

Anzeige

Passend zum Thema BYOD und sicherer Home-Office-Praxis: Das kostenlose E-Book “Mobiles Arbeiten & Home-Office Sicherheit” zeigt praxisnah, wie Sie private und dienstliche Bereiche technisch trennen, Apple User Enrollment und Samsung Knox korrekt einsetzen und typische MDM-Fallen vermeiden. Plus: Vorlagen für Richtlinien, Checklisten für Systemtests und konkrete Handlungsschritte für IT, Personal und Datenschutzverantwortliche. Jetzt kostenloses E-Book zum sicheren mobilen Arbeiten herunterladen

Das Ende naiver BYOD-Politik

Parallel zur Rechtsprechung hat sich die technische Erwartungshaltung verschärft. Der Zugriff auf private Hardware – oder private Bereiche dienstlicher Geräte – ist durch neue Standards faktisch versperrt und muss organisatorisch sauber geregelt sein.

Die neuen Standards:

• Apple User Enrollment & Samsung Knox haben sich als Industriestandard etabliert
• Arbeitgeber verwalten nur den geschäftlichen Bereich eines Geräts
• Kein technischer Zugriff auf private Fotos, Nachrichten oder Browserverläufe möglich

Die rechtliche Falle: Nutzt ein Arbeitgeber veraltete MDM-Profile, die theoretisch Vollzugriff erlauben, verstößt er bereits gegen den Grundsatz der Datenminimierung – selbst wenn er dieses Recht nicht nutzt. Bei Datenschutzvorfällen wie Geräteverlust geraten Unternehmen ohne strikte Trennung in massive Beweisnot.

Betriebsvereinbarungen verlieren Schutzwirkung

Der Europäische Gerichtshof sorgte für den nächsten Paukenschlag. Seine Entscheidung: Betriebsvereinbarungen sind vollständig gerichtlich überprüfbar und liefern keinen automatischen Rechtfertigungsgrund bei DSGVO-Verstößen.

Was das konkret bedeutet:

• Keine Pauscaleinwilligungen mehr für Zugriff auf private E-Mails oder Metadaten
• Strikte Transparenzpflicht vor jeder Datenerhebung
• Mitarbeiter müssen über das “berechtigte Interesse” des Arbeitgebers aufgeklärt werden

“Wir sehen eine Verschiebung der Beweislast”, erklärt Dr. Thomas Müller, Fachanwalt für IT-Recht in München. “Früher musste der Arbeitnehmer beweisen, dass er überwacht wurde. Heute muss der Arbeitgeber technisch beweisen, dass er nicht überwachen kann.”

EU Data Act als Beschleuniger

Seit September 2025 ist der EU Data Act anwendbar und regelt den Zugang zu Daten aus vernetzten Geräten. Das hat die Sensibilität dafür erhöht, wem welche Daten gehören. Arbeitnehmer sind informierter und klagefreudiger, wenn sie sich digital “ausgeleuchtet” fühlen.

Wer keine saubere Hardware-Trennung vorweisen kann, hat den Prozess oft schon verloren. Die Devise lautet: Technische Trennung statt rechtlicher Grauzone.

Ausblick: KI am Arbeitsplatz im Fokus

Während Unternehmen ihre Hardware-Richtlinien anpassen, zeichnet sich die nächste Herausforderung ab: Der Einsatz von KI-Tools zur Leistungsanalyse. Die automatisierte Auswertung von Mitarbeiterverhalten durch Microsoft Copilot oder ähnliche Tools wird 2026 im Fokus der Datenschützer stehen.

Wer weiter auf Vertrauensbasis ohne technische Container-Lösungen arbeitet oder glaubt, eine Betriebsvereinbarung schütze vor DSGVO-Bußgeldern, handelt riskant. Nur wer den Zugriff auf private Daten technisch unmöglich macht, ist vor den strengen Augen der Gerichte sicher.

Anzeige

PS: Droht Ihrem Unternehmen ein Bußgeld oder Schadensersatz nach DSGVO? Eine Datenschutz-Folgenabschätzung (DSFA) identifiziert Risiken wie die unzulässige Übermittlung von Echtdaten und gibt Handlungsanweisungen. Dieses kostenlose E-Book erklärt, wann eine DSFA Pflicht ist, liefert bearbeitbare Vorlagen und Checklisten und hilft, Prüfungen und Klagen souverän zu begegnen. Jetzt DSFA-Vorlagen und Anleitung kostenlos herunterladen