Bring your own device wird in Unternehmen der privaten Wirtschaft gern insbesondere mit Smartphones, Laptops und anderen zumeist mobilen Geräten praktiziert. Eine ähnliche Problematik findet sich im Bereich des Homeoffice.

Vorteil des BYOD ist, dass das Unternehmen Investitionskosten spart, während dessen Beschäftigte mit Komponenten arbeiten, mit deren Funktionalitäten sie bereits vertraut sind. Ferner müssen bei Außenterminen und Geschäftsreisen nicht mehr Geräte als unbedingt notwendig transportiert werden. Ggf. können Beschäftigte auch finanziell profitieren, wenn sich das Unternehmen an den Kosten für die Beschaffung oder den Betrieb des betreffenden Gerätes beteiligt.

Kernproblem des BYOD ist jedoch, dass sich sämtliche Komponenten (Hard- und Software) im Eigentum des Beschäftigten befinden, über welches er frei und uneingeschränkt verfügen kann. Werden nun personenbezogene Daten auf einem solchen Gerät gespeichert, kann bereits dies den Tatbestand einer Datenübermittlung an Dritte erfüllen. Ferner bestimmt der Eigentümer eines Gerätes über die verwendete Schutzsoftware sowie sonstige Programme, welche installiert werden, und die Nutzung des Gerätes. Ferner kann er das Gerät und mit ihm die darauf ggf. noch gespeicherten Daten verkaufen oder entsorgen.

Insofern sollten vor der Einführung des BYOD dessen Vorteile und Risiken gründlich abgewogen werden. Dringend anzuraten ist der Abschluss einer schriftlichen Vereinbarung, welche die Eckpunkte zum BYOD (insbesondere die Frage des Schutzes vor unbefugter Kenntnisname der Daten, des Schutzes vor Schadsoftware, die Rechte des Unternehmens an den Daten, das Verhalten bei Verlust oder Veräußerung des Gerätes, etc.) regelt. Ggf. sollte sich das Unternehmen an den (zusätzlichen) finanziellen Lasten solcher Schutzmaßnahmen beteiligen und sich im Gegenzug vorbehalten, Maßnahmen oder Mindeststandards zu bestimmen. Daten, deren unbefugtes Bekanntwerden Informationspflichten gem. Artt. 33, 34 DSGVO auslösen können, auf solchen Geräten zu speichern oder sie damit zu verarbeiten, sollte nach Möglichkeit vermieden werden.

Ferner sollte BYOD nicht für Verfahren genutzt werden, die eine Datenschutzfolgenabschätzung (DSFA) gem. Art. 35 DSGVO erforderlich machen.