Bring your own Device

Transkript

1 Bring your own Device Einbindung privater Geräte in das Unternehmen RA Martin Schweinoch Fachanwalt für IT-Recht Leiter Practice Group IT, Internet & E-Business

2 Der Referent Martin Schweinoch Fachanwalt für IT- Recht Partner bei SKW Schwarz in München Leiter Practice Group IT, Internet & E-Business Kontakt: Martin Schweinoch leitet die Practice Group IT, Internet & E-Business von SKW Schwarz mit 20 Anwälten, die als Kanzlei des Jahres für Informationstechnologie 2011 ausgezeichnet wurde (JUVE). Er ist Vorsitzender des Arbeitskreises ITK-Vertrags- und Rechtsgestaltung im BITKOM e.v. sowie Mitglied im Lenkungsausschuss Recht und Steuern. Martin Schweinoch ist in der Ausbildung zum Fachanwalt IT-Recht aktiv und Mitglied der Arbeitsgemeinschaft Informationstechnologie im Deutschen Anwaltverein e.v. Er referiert und publiziert regelmäßig. Martin Schweinoch berät Anbieter und größere Anwender bei Beschaffung, Einsatz und Vertrieb von Informationstechnologie. Das Spektrum reicht vom Tagesgeschäft bis zu Großprojekten und strategischen wie strukturellen Fragen, einschließlich aktueller Trends wie Cloud Computing, Open Source und Bring your own Device. 2

3 Bring your own Device 01 Neue Mobile Devices 02 Company owned Device / User owned Device 03 Rechtliche Herausforderungen 04 Hinweise für die praktische Umsetzung 3

4 Neue Mobile Devices Smartphones und Tablets erreichen die Unternehmen: Verkaufszahlen Apple in Q III/2012: 26 Mio. iphones, 17 Mio. ipads iphone 5: am ersten Wochenende in 22 Ländern 5 Millionen verkauft 15,9 Millionen Smartphones 2012 in D verkauft (seit 2009: ~ 28 Mio.) Analysten: Mobility ist der Treiber für die consumerization of IT Large enterprises expect to triple their smart phone user base by % of large enterprises supporting personal owned devices Apps verbreiten sich rasant 20% of mobile workers are getting business apps from app stores today 50% of organizations planning to deploy mobile apps in 12 months 30 Milliarden Apps wurden aus Apple App Store geladen 4

5 Neue Mobile Devices Smartphones: Mobiltelefon, Bluetooth, Media-Player, Digitalkamera, Zugang zu Internet und Netzwerken, W-LAN, UMTS, LTE Personal Information Manager (PIM), -System, Internet-Browser, GPS-System, Gyroskop, Beschleunigungsmesser, Annäherungssensoren, ( ) Tablet PCs, kurz Tablets: Funktional und technisch gleichen sie oft Smartphones ohne Telefonie Form und Größe ähnlich einer Schreibtafel Enorme Vielfalt Bedienung via Touchscreen Mobile Devices integrieren viele Funktionen 5

6 Neue Mobile Devices Mehr als ein Telefon: Lifestyle Internet Fotografie Träger von Innovation Spracherkennung Messaging Video Streaming für Multimedia Anbindung an Cloud App Kurzform für Application Software, die auf einem Endgerät betrieben wird (Smartphone, etc.) Kann auch Internet-Services repräsentieren App Store Digitaler Marktplatz Vertrieb von Apps Angebote von Herstellern und Dritten Je nach Betriebssystem-Plattform Ständige Innovation, Starke Marktbewegung, Hohes Wachstum 6

7 Company owned Device / User owned Device Company owned Device [CoD] Company owned Device used in a company and in a private context Beispiel: Firmen-Blackberry mit erlaubter Privatnutzung Bring your Own Device [ByoD, User owned Device] Personal Owned Device used in a company or enterprise context Beispiele: Eigene Werkzeuge der Steinmetze beim Kathedralenbau Citrix-Nutzung via Notebook 7

8 Company owned Device / User owned Device Gerät SIM-Karte Daten Software Nutzungsart Firma Firma Firma Firma Klass. Firmengerät Nutzung rein geschäftlich Firma Firma oder Privat Firma Privat Firma Privat CoD Mischnutzung Privat Firma oder Privat Firma Privat Firma Privat ByoD Mischnutzung 8

9 Company owned Device / User owned Device - geschäftliche Nutzung erlaubt Anbindung & Kommunikation - nur geschäftliche Daten - verschlüsselt - keine Weitergabe an Dritte - remote wipe betrifft nur geschäftliche Daten Mobiles Endgerät des Unternehmens (CoD) - Unternehmen administriert Mobiles Gerät und bestimmt Geräteauswahl, Wartungs- Mgmt., usw. Verschlüsselung geschäftlicher Daten Lokale Kommunikation (LAN, etc.) Speicherung geschäftlicher Daten auf CoD und Infrastruktur des Unternehmens Geschützte Unternehmensinfrastruktur 9

10 Company owned Device / User owned Device - private & geschäftliche Nutzung von Endgerät, Software und Apps zulässig? - Apps mit Malware ( Datenspione ), Cookies App Store Anbindung & Kommunikation Internet Service (Suchdienste, Applikationen, Cloud ) Speicherung und Verarbeitung privater und geschäftlicher Daten in Cloud Private & geschäftliche Daten - vermischt, nicht separat speicherbar - kaum verschlüsselt - remote wipe einheitlich offene Geräte-Architektur kein Zugangsschutz für geschäftliche Daten Datenschutz-Policy des Herstellers deutscher Datenschutz Mobiles Endgerät des Mitarbeiters (ByoD) Lokale Kommunikation mit privatem PC Speicherung privater Daten im Unternehmen Lokale Kommunikation (LAN, etc.) Private Speicherung geschäftlicher Daten Geschützte Unternehmensinfrastruktur 10

11 Rechtliche Herausforderungen Datenschutz: Das Bundesdatenschutzgesetz gilt für geschäftliche Daten. Das Bundesdatenschutzgesetz gilt nicht für ausschließlich persönliche und familiäre Tätigkeiten ( 1 II Nr. 3, 27 I S. 2 BDSG). Bei einer Mischnutzung gilt der Datenschutz für private Daten im Unternehmen und für geschäftliche Daten im Privatbereich. Das will weder das Unternehmen noch der Nutzer! Bei Vermischung geschäftlicher und privater Daten auf dem Gerät ist eine getrennte Behandlung nicht umsetzbar. è Geschäftliche und private Daten sind auf dem Gerät zu trennen. 11

12 Rechtliche Herausforderungen Datensicherheit: ByoD-Geräte stehen im privaten Bereich auch Dritten zur Verfügung (Familie, Freude, ). Apps können unbemerkt und ohne Kontrolle des Nutzers auf Daten auf dem Gerät zugreifen und Daten an Dritte übertragen. Sicherheitslücken treten auch bei Mobile Devices auf. Backups und Synchronisation mit privaten Geräten oder Cloud- Services führen zu Datenabfluss aus dem geschäftlichen Bereich. Im privaten Bereich werden Daten häufig unverschlüsselt übertragen. è Geschäftliche Daten sind auf dem Gerät zu verschlüsseln. è Verbot privater Backups und Synchronisation geschäftlicher Daten 12

13 Rechtliche Herausforderungen Nutzungsrechte und Haftung: Nutzungsrechte für Gerät (Betriebssystem) und Software (Apps) müssen dual use (private und geschäftliche Nutzung) erlauben. Apps werden für private und geschäftliche Nutzung teilweise unterschiedlich lizenziert. Die Nutzung von Content (Medieninhalten) unterliegt teilweise differenzierten Nutzungsrechten (regional, Nutzungszweck ). Das Unternehmen kann für Rechtsverletzungen durch Personal als Störer (mit-) haften. è Prüfung der Lizenzen für Gerät, Betriebssystem und Apps è Whitelisting von Apps für geschäftliche Nutzung "Bring your own Device" - RA Martin Schweinoch

14 Rechtliche Herausforderungen Weitere Themen (Auswahl): Haftung des Managements für Umsetzung (Compliance) Haftung des Personals für Verstöße (nach Verschuldensgrad) Beteiligung und Mitbestimmung des Betriebsrats ( 87 I Nr. 6 BetrVG) Verhaltensrichtlinien und Nutzungsvereinbarungen für ByoD (Updatepflicht, Zugriff auf geschäftliche Daten, remote wipe ) Steuerrecht: 9. Gesetz zur Änderung des Gemeindefinanzreformgesetzes ändert 3 Nr. 45 EStG (kein geldwerter Vorteil durch Privatnutzung betrieblicher Hard- und Software) è Für Einführung von ByoD ist ein ganzheitlicher rechtlicher und technischer Projektansatz notwendig. 14

15 Hinweise für die praktische Umsetzung Technische und rechtliche Maßnahmen sind notwendig, etwa: Möglichst wenig geschäftliche Daten auf dem Gerät Klare Trennung zwischen geschäftlichen und privaten Daten Geschäftliche Daten sicher verschlüsseln (Gerät und Übertragung) Gesonderter Zugriffsschutz für geschäftliche Daten Keine private Kopie geschäftlicher Daten (Backup, Synchronisation) Im Unternehmen nur Kopien geschäftlicher Daten Logging geschäftlicher Daten und Apps soweit zulässig Whitelisting von Apps für geschäftliche Nutzung Verbot geschäftlicher Nutzung kritischer Apps und Funktionen 15

16 Hinweise für die praktische Umsetzung Bring your own Device erfordert einen angemessenen Ausgleich zwischen Unternehmens- und Privatinteressen. Eine technische und organisatorische Lösung soll ermöglichen: Größtmöglichen Schutz für geschäftliche Daten und know-how Größtmögliche Eigenkontrolle des Mitarbeiters über sein Gerät und seine privaten Daten sowie hohe Usability im Privatbereich è Der Einsatz geeigneter technischer Maßnahmen ist erforderlich. è Es sind klare Vereinbarungen mit den Nutzern für ByoD zu treffen. 16

17 Noch Fragen? Martin Schweinoch Rechtsanwalt Fachanwalt für Informationstechnologierecht SKW Schwarz Rechtsanwälte Wittelsbacherplatz München T +49 (0) F +49 (0) Tätigkeitsbereiche IT-Recht, Internet und E-Business Leiter Practice Group IT, Internet & E-Business 17