BYOD Bring Your Own Device

Transkript

1 BYOD Bring Your Own Device Die relevanten Themen im Hochschulbereich Nicole Beranek Zanon FID SWITCH Tagung2012 zum Thema BYOD vom 10. Mai 2012 in Luzern

2 Agenda! Ausgangssituation Strategie zur BYOD Kosten-/Nutzen, Vor-/Nachteile, Risiken Rechtliche Fragen und Risiken zu BYOD Lösungsansätze Fazit Gestaltungsmöglichkeiten 2

3 Ausgangssituation! Bring Your Own Device Geschäftliche Nutzung von privaten Devices (PC, Laptop, Mobile, Tablet-PC, etc.). 3

4 Kosten/Nutzen + Vor-/ Nachteile! Kosten Finanzieller Nutzen (Kosten Hardware/Support) ist letztere durchsetzbar Aber auch mehr Kosten / Markt noch nicht konsolidiert wenn verbunden mit Cloud SaaS ev. Günstiger Alternative Leasing Beschränkte Anzahl Geräte supportet mit SLA (gemanagtes Model) Nutzen MA-Zufriedenheit/Awarness Es gehen weniger Geräte verloren 5

5 Rechtliche Fragen und Risiken zu BYOD! Einwilligung zu BYOD Arbeitsrecht Klärung der Eigentumsverhältnisse Kostenregelung Lizenzrechte Support Datensicherheit Datenschutz und Compliance Haftung 9

6 Einwilligung zu BYOD! Bei fehlender Einwilligung seitens des Arbeitgebers Einwilligung zum geschäftlichen Gebrauch von Organisation/GL erteilt. à Ohne Einwilligung = erhebliche Rechtsunsicherheit à Arbeitnehmerreglemente/Nutzungsbedingungen für Studierende anpassen. à Hauptverantwortung GL bzw. VR (Art. 716a OR) 10

7 Arbeitsrecht! - Arbeitnehmer: - Sorgfalts- und Treuepflichten /Weisungen Arbeitnehmer (ergänzen) - Trennung der privaten Daten - Rückgabepflichten bei Vertragsbeendigung - Arbeitgeber - Pflicht zum Bereitstellen der Arbeitsmaterialien und Auslagenersatz, wenn keine anderslautende Vereinbarung getroffen wird (OR 327f.) à Klärung Eigentumsverhältnisse - Schutz der Personendaten des Arbeitnehmers (OR 328b) 11

8 Klärung der Eigentumsverhältnisse! - Wer hat das Gerät/die Software finanziert - Mögliche Eigentumsverhältnisse / Einflussmöglichkeiten durch Organisation: - Shared management - Corporate ownership and provisioning - Legal transfer - Weshalb ist eine Klärung wichtig? - Zugriffsmöglichkeiten/Kontrollverlust - Zuständigkeiten/Verantwortlichkeit unklar - Versicherungsfragen 12

9 Datenschutz! - Art. 7 DSG angemessene technische und organisatorische Massnahmen gegen unbefugtes Bearbeiten: - unberechtigte Zugriffe durch Dritte vermeiden - Zugriffsberechtigungen - zulässiges Monitoring des Arbeitgebers und Konfigurationsmöglichkeiten - Einhaltung des Post- und Fernmeldegeheimnis 13

10 Datenschutz/-sicherheit! - (sichere) Datenspeicherung - optimalerweise nicht auf dem privaten Endgerät, sondern auf Server im Einflussbereich der Organisation - bspw. nur die aktuellsten Mails/Daten - Backups garantieren gegen Data Leakage - Security-Updates erstellen 14

11 Exkurs Cloud! Cloud als Risiko und als Chance In die private Cloud des Mitarbeiters à Gefahr des Kontrollverlustes In die Cloud des Unternehmens 15

12 Exkurs Cloud! à Allg. rechtliche Fragen bezüglich Cloud à insbes. Cloud nicht im Ausland, bei geschäftskritisch + existenzbedrohend à icloud... geschäftskritisch nicht geschäftskritisch existenzbedrohend nicht existenzbedrohend 16

13 Lizenzrecht! - Privat wird auf bestehende Anwendungen der Organisation gegriffen - Lizenzrechte pro Nutzer oder pro Device? - Erweiterung der Lizenz wird allenfalls nötig - Entstehen zusätzliche Kosten (für zusätzliche private Nutzung)? 17

14 Rechte an Immaterialgütern! Art. 17 URG Wird in einem Arbeitsverhältnis bei Ausübung dienstlicher Tätigkeiten sowie in Erfüllung vertraglicher Pflichten ein Computerprogramm geschaffen, so ist der Arbeitgeber oder die Arbeitgeberin allein zur Ausübung der ausschliesslichen Verwendungsbefugnisse berechtigt. Art. 332 OR E. Rechte an Erfindungen und Designs Erfindungen und Designs, die der Arbeitnehmer bei Ausübung seiner dienstlichen Tätigkeit und in Erfüllung seiner vertraglichen Pflichten macht oder an deren Hervorbringung er mitwirkt, gehören unabhängig von ihrer Schutzfähigkeit dem Arbeitgeber. 18

15 Kostenregelung! - Finanzierungsmodelle - vollständige Selbstfinanzierung - Darlehens- oder Stipendienmodell - Anschaffungskosten - für Geräte, Internetzugang - für Lizenzen - für Sicherheitssoftware etc. - Wartungskosten - allfällige Regelung zur Darlehensrückzahlung bei Vertragsbeendigung 19

16 Support! - Full-Support - virtueller User-Self-Service - keine Unterstützung à nur eine begrenzte Anzahl Betriebssysteme und Software begleiten. à externer Support zusätzliche Kosten à Cloud als Lösung? 22

17 Compliance! - Einhaltung allfälliger Archivierungsvorschriften - Empfehlung: virtuelle, mobile oder webbasierte Anwendungen zum Speichern der Daten - ansonsten Zugriffsmöglichkeit auf Geschäftsdaten seitens der Organisation vereinbaren - gesetzliche und vertragliche Geheimhaltungsvorschriften beachten 23

18 Haftung: mögliche Szenarien! - Verlust des Gerätes - Sicherheitslücken beim Unternehmen - strafrechtliches Verhalten durch Verwenden der Organisations-IP-Adresse zurechenbar an MA? 24

19 Haftung: Verantwortlichkeit! Folgen - Informationspflichten (an Betroffene), woraus ein Imageschaden entstehen kann - Schadenersatz - Ergreifen weiterer Massnahmen aus Pflichtverletzung (Remote- Löschung, weitere Sicherheitssysteme etc.) 25

20 Techn. + Org. Umsetzung! Activ Sync mit ios MDN Reverse Proxy

21 Lösungsansatz! Wirtschaftlichkeit & des Mehrwertes? Hauptverantwortung bei Board/Geschäftsleitung Evaluation des Ist-Zustandes: Überprüfung bestehender Arbeitsverträge/Weisungen/ Benutzerreglemente? Einwilligung Unternehmen / Mitarbeiter (für Remote Löschung / Backups) vorhanden? 27

22 Lösungsansatz! Vorkehrungen/Anpassungen: - Technische: - Implementierung von Sicherheitsmassnahmen - Beschränkung der Zugriffsmöglichkeiten auf Device + Daten - Entscheid intern/extern (Cloud od. sonst Outsourcing) - Rechtliche: Erlassen/Anpassung von Nutzungsbedingungen/Weisungen: - Klärung Eigentum Device + Daten (inkl. Finanzierungsfrage) - Zuständigkeiten für Datensicherheit / Datenschutz / Lizenzen - Backup- und Verschlüsselungsvorschriften - Haftungsszenarien / Versicherung 28

23 Fazit! Präzise Regelungen im Voraus treffen! 29

24 Fazit! Präzise Regelungen im Voraus treffen! = mehr Mitarbeiterzufriedenheit + Effizenz 30