Wearables sind auf dem Vormarsch – beim Endverbraucher und in Unternehmen. Datenschutzrechtlich sind die Unternehmen auf deren Einsatz jedoch oft nicht vorbereitet.
Wearables bergen sowohl großes Potenzial als auch große (Sicherheits-)Risiken für Unternehmen. Aber diese Risiken sind keine, denen man nicht erfolgreich begegnen und sie rechtskonform implementieren könnte. Führen Unternehmen eigene Wearables ein, so ist genau darauf zu achten, welche Funktionen die Geräte besitzen, welche Programme eingesetzt werden und zu welchem Zweck sie im Unternehmen verwendet werden, um datenschutzrechtliche Handlungserfordernisse und Problemfelder ermitteln und bewerten zu können.
Wearables sind auf dem Vormarsch und sammeln sensible Daten
Wearables – am Körper getragene, internetfähige und oftmals autark funktionierende Technologien – halten in unseren Alltag immer mehr Einzug: Smart Watches, Smart Clothing, RFID-Chips, Fitness-Armbänder und bald wohl auch Smart Glasses. Diese Entwicklung ist nicht nur beim Endverbraucher zu beobachten. Auch vor Unternehmen und im B2B-Bereich wird diese Entwicklung nicht haltmachen. Eine Umfrage des Softwareentwicklers Ipswitch Inc. unter 316 europäischen IT-Unternehmen ergab, dass 33 % im Jahr 2015 unternehmenseigene Wearables für Mitarbeiter einführen werden. Die Vermutung liegt nahe, dass nach dem IT-Sektor weitere Wirtschaftsbereiche nachziehen werden. Die Logistikbranche setzt bereits Smart Glasses in Testphasen ein. Neben unternehmenseigenen Wearables werden zudem private Wearables durch die Mitarbeiter in das Unternehmen eingeführt.
Smart Watches können bereits heute problemlos den Puls des Trägers messen und übermitteln – der Arbeitgeber sähe sich in diesem Fall plötzlich mit der Verarbeitung von Gesundheitsdaten konfrontiert, für die ein besonders hohes Maß an Datenschutz gilt, auch wenn das Unternehmen ursprünglich nichts mit der Verarbeitung von Gesundheitsdaten zu tun hat. Dies kann zur Folge haben, dass das Datenschutzmanagement und die IT-Sicherheitsstruktur nicht für die erhöhten Anforderungen ausgelegt sind. Zudem können Wearables Daten verarbeiten, die auch unter arbeitsrechtlichen Gesichtspunkten problematisch sind: Standort des Mitarbeiters und Bewegungsprofile, Zutrittskontrollen, Zeiterfassung und ähnliche. Des Weiteren ist zu beachten, wie sicher die Datenverarbeitung durch Apps bzw. Programme von Drittanbietern sind, die bei den beiden gängigsten Plattformen Android OS und iOS die Regel darstellen.
Der neuen Entwicklung erfolgreich und von Anfang an begegnen!
Der neuen Entwicklung und dem Einzug der Wearables in den Unternehmensalltag lässt sich am effektivsten mit einem Konzept begegnen, dass alle Schritte abdeckt: Erfassung der Datenströme und Integrierung in das betriebliche Datenschutzmanagement, Einführung und Inbetriebnahme der Wearables im Unternehmen, Begleitung und Evaluierung der Prozesse sowie Entfernung einzelner Geräte aus dem Unternehmen und Löschung der Daten – um nur einige Bereiche zu nennen. Ein solches Konzept beginnt u.a. mit der Erstellung einer Richtlinie zum Umgang mit Wearables im Unternehmen und endet mit Vorkehrungen für den Fall einer behördlichen und gerichtlichen Auseinandersetzung, bspw. um Daten eines Wearables nach Ausscheiden des Mitarbeiters. Die Notwendigkeit eines solchen Konzeptes veranschaulicht nicht zuletzt die Umfrage von Ipswitch: zwar will jedes dritte der befragten Unternehmen 2015 Wearables einsetzen, aber 77 % der befragten Unternehmen haben keine Richtlinie für den Umgang mit diesen. Lediglich 11 % gaben an, für die Planung des Einsatzes mehr Zeit aufwenden zu wollen. Die daraus ablesbaren Anforderungen an Compliance und Datenschutz sind beachtlich. Mit der richtigen Strategie und vorausschauender Arbeit im Bereich Compliance und Datenschutz lässt sich den Anforderungen aber erfolgreich begegnen.