Workation in Thailand, Familienbesuch in Brasilien oder dauerhaftes Remote Work in den USA – viele Beschäftigte wollen „von überall" arbeiten. Für Unternehmen wird es komplex, sobald der Laptop in einem Nicht-EU-Land (Drittland) steht: Dann ist zu prüfen, ob die DSGVO-Regeln zu internationalen Datentransfers greifen, und weitere rechtliche Fragen werden aufgeworfen.
Was meinen wir mit mobilem Arbeiten im Drittland?
Darunter fassen wir Homeoffice, Remote Work und Workation zusammen, wenn der Arbeitsort außerhalb von EU und EWR liegt. Wichtig dabei ist, dass für das deutsche bzw. EU-Unternehmen die DSGVO in aller Regel weiter gilt – auch wenn die Mitarbeitenden physisch im Drittland sitzen.
Wann liegt eine Datenübermittlung vor?
Die Artikel 44–49 DSGVO regeln Übermittlungen personenbezogener Daten in Drittländer. Nicht jeder Zugriff aus einem Drittland ist jedoch eine Übermittlung nach Kapitel V DSGVO. Greifen eigene Beschäftigte im Rahmen ihrer Tätigkeit innerhalb desselben Verantwortlichen zu, fehlt regelmäßig ein gesonderter Datenimporteur. Anders kann es bei einer anderen Konzerngesellschaft oder einem externen Dienstleister sein. Die Sicherheits-, Organisations- und lokalen Zugriffsrisiken müssen Sie in jedem Fall prüfen.
Typische Risiken bei Remote Work außerhalb der EU
Neben unsicheren Netzwerken kommen im Drittland weitere Risiken hinzu: mögliche staatliche Überwachung, behördliche Zugriffsrechte, unkontrollierbare Arbeitsort-Überprüfung und lokale Speicherung sensibler Daten.
Rechtsgrundlagen: Angemessenheitsbeschluss, SCC & Co.
Für manche Drittländer hat die EU-Kommission ein angemessenes Datenschutzniveau festgestellt. Liegt eine Übermittlung an einen gesonderten Empfänger in einem Drittland ohne Angemessenheitsbeschluss vor, braucht es geeignete Garantien wie Standardvertragsklauseln (SCC). Unabhängig davon sind beim Arbeiten im Drittland wirksame technische und organisatorische Maßnahmen wie VPN-Nutzung, starke Authentifizierung und vollständige Festplattenverschlüsselung erforderlich.
Praktische Maßnahmen & Fahrplan für Unternehmen
- Bestandsaufnahme & Grundsatzentscheidung – Wo arbeiten Beschäftigte schon im Ausland und mit welchen Daten?
- Richtlinie „Mobiles Arbeiten im Ausland" erstellen – Meldepflichten, erlaubte Geräte, Speichermöglichkeiten regeln
- Technische und organisatorische Sicherheitsmaßnahmen – VPN, starke Authentifizierung, verschlüsselte Endgeräte
- Dienstleister, Auftragsverarbeitung & Dokumentation – Verträge prüfen, SCC ergänzen, TIA dokumentieren
- Weitere rechtliche Baustellen – Arbeitsrecht, Aufenthaltsrecht, Sozialversicherung und Steuerrecht prüfen
Fazit
Mit einer klaren Unternehmensstrategie, einer schlanken Richtlinie und technischer sowie organisatorischer Absicherung können Sie Remote Work im Drittland rechtssicher ermöglichen.
