Homeoffice im Ausland: Was Unternehmen wissen sollten

Die Digitalisierung bietet in der Arbeitswelt weitreichende Möglichkeiten und Chancen: Eine wichtige Errungenschaft ist dabei das Homeoffice, das flexibles und ortsunabhängiges Arbeiten ermöglicht und eine bessere Vereinbarkeit von Beruf und Familie unterstützt. Aber auch die Verbindung von Arbeit und Urlaub (sogenannte Workation) wird durch die technischen Möglichkeiten für viele Menschen greifbarer.

Auch im Homeoffice gelten die Anforderungen des Datenschutzes. Doch was passiert, wenn Arbeitnehmer die Vorteile des Homeoffice aus dem Ausland genießen möchten? Arbeitgeber und Arbeitnehmer müssen dabei einiges beachten. Worauf es beim ortsunabhängigen Arbeiten ankommt und wie Arbeitgeber ihren Teams das Homeoffice im Ausland ermöglichen können, zeigen wir Ihnen in diesem Beitrag.

Das Wichtigste zu Remote Work im Ausland in Kürze 

• Gestattet ein deutscher Arbeitgeber Homeoffice im Ausland und möchte den Datenschutz rechtssicher gestalten, sollte er seine Mitarbeiter in jedem Fall ausreichend vorbereiten. Informieren Sie sich und Betroffene über die gesetzlichen Vorgaben. Treffen Sie die erforderlichen Maßnahmen (TOM), um keine Datenschutzvorfälle oder Pannen zu riskieren.
• Weitestgehend sicher ist die Lage, wenn Ihre Mitarbeiter innerhalb der EU oder des EWR arbeiten. Hier greift die DSGVO unmittelbar – personenbezogene Daten sind daher gesetzlich genauso geschützt wie innerhalb Deutschlands.
• Probleme können auftreten, wenn außerhalb der EU gearbeitet wird. Hier kommt es darauf an, ob für den jeweiligen Drittstaat ein sogenannter Angemessenheitsbeschluss existiert, der diesem Land ein ausreichendes Datenschutzniveau attestiert.
• Gibt es keinen Angemessenheitsbeschluss, stellt dies betroffene Unternehmen vor rechtliche Probleme, denn die Rechtslage zu Datentransfers aus solchen Staaten ist nicht abschließend geklärt.

So vereinbaren Unternehmen Datenschutz und Homeoffice aus dem Ausland 

Bevor Ihre Teams im Homeoffice im Ausland tätig werden, sollten Sie diese zunächst einmal ausführlich über alle wichtigen Datenschutz-Vorgaben informieren. Fakt ist: Eine Datenverarbeitung muss auch bei Homeoffice im Ausland nach den Standards der DSGVO erfolgen.

Das bedeutet zum einen die Nutzung sicherer Kommunikationswege, aber auch den Schutz der Daten durch den unbefugten Zugriff Dritter. Daten und Geräte müssen daher mit zuverlässigen Passwörtern geschützt werden.

Zudem ist es sinnvoll, eine interne Datenschutz-Richtlinie für mobiles Arbeiten zu entwerfen. So kann vermieden werden, dass Beschäftigte unsichere WLAN-Verbindungen an Flughäfen, Cafés oder Hotels benutzen und damit im Zweifel die Sicherheit der Daten gefährden.
Durch den Arbeitgeber muss sichergestellt sein, dass auch bei der Tätigkeit im Ausland geeignete Maßnahmen getroffen werden, die den Datenschutz und die Einhaltung der DSGVO gewährleisten. Dazu zählen insbesondere technische und organisatorische Maßnahmen (TOM), die Bereitstellung sicherer Kommunikations- und Übermittlungswege und die Verschlüsselung von Daten.

Folgende risikominimierende Maßnahmen sollten Sie in jedem Fall integrieren:

• Interne Richtlinien und entsprechende Regelungen zur Arbeit im Ausland,
• Pseudonymisierung von Daten,
• Beschränkung der Zugriffsrechte auf Hardware und Software,
• Einsatz eines VPN zum zusätzlichen Schutz der Daten und
• möglichst verschlüsselte lokale Speicherung auf den mitgeführten Endgeräten (Achtung: in einigen Staaten gibt es Regelungen zu verschlüsselten Inhalten bezüglich der Zoll-Kontrollen).

Auch sollten Sie regelmäßig kontrollieren, ob die notwendigen Dokumentationen, Löschungen und Risikoanalysen eingehalten werden können. Wichtig zu klären vor dem Start ins Homeoffice im Ausland kann dabei sein:

• Schulung oder Briefing der Mitarbeiter für den Umgang mit personenbezogenen Daten und Unternehmensdaten im Homeoffice,
• Geeignete technische und organisatorische Maßnahmen zur Einhaltung des Datenschutzes nach der DSGVO (dazu kann auch die Bereitstellung von geeigneter Hardware und Software, z.B. VPN-Servern, zählen),
• Abschluss einer Vereinbarung mit den Beschäftigten zu den einzuhaltenden Regeln im Homeoffice und im jeweiligen Land.

Homeoffice im EU-Ausland, Betriebsstätte in Deutschland: Was gilt? 

Für Arbeitnehmer, die remote aus einem anderen Land innerhalb der Europäischen Union oder im Europäischen Wirtschaftsraum (EWR) arbeiten, gelten dieselben Regeln wie in Deutschland, denn innerhalb des gesamten EU-Gebiets gilt die DSGVO unmittelbar, sodass sich im Verhältnis zu Deutschland nichts ändert.

Wie viele Tage darf man aus dem Ausland arbeiten?

Allerdings ist im ausländischen Homeoffice weiterhin deutsches Arbeitsrecht anzuwenden - über die DSGVO hinaus können demnach weitere Verpflichtungen auf Arbeitgeber und Arbeitnehmer zukommen. Insbesondere die 180-Tage-Grenze sollte nicht überschritten werden. Der Grund: Der „Ort des gewöhnlichen Aufenthalts“, der für steuer- und versicherungsrechtliche Fragen relevant ist, ändert sich unter Umständen bei einem längeren Auslandsaufenthalt. Soll ein dauerhaftes Homeoffice im Ausland errichtet werden, müssen Arbeitgeber demnach neue Regelungen treffen.

Zudem muss der Arbeitgeber dem Homeoffice im Ausland zustimmen, da andernfalls im Regelfall eine Verletzung des Arbeitsvertrags vorliegt.

Homeoffice aus einem Drittstaat: Auf diese Besonderheiten müssen deutsche Arbeitgeber achten 

Anders kann es hingegen aussehen, wenn Arbeitnehmer ihren Remote-Arbeitsplatz in einen Staat verlegen, der nicht Mitglied der EU oder des EWR ist. Hier gibt es einige Besonderheiten und Differenzierungen, die Arbeitgeber beachten sollten.

Wenn eigene Arbeitnehmer von Drittländern außerhalb der EU/des EWR aus arbeiten und dabei personenbezogene Daten verarbeiten, gelten grundsätzlich dieselben Voraussetzungen.

Angemessenheitsbeschluss oder sonstige geeignete Garantien 

Es ist nicht abschließend geklärt, ob die zusätzlichen Vorschriften des fünften Kapitels der DSGVO (Angemessenheitsbeschluss oder sonstige geeignete Garantien, wie Standarddatenschutzklauseln) auf diese Konstellation anzuwenden sind. Hierzu hat sich jedoch zuletzt der Europäische Datenschutzausschuss (EDSA) in seinen im Februar 2023 aktualisierten Leitlinien zum Zusammenspiel zwischen Art. 3 und Kapitel 5 der DSGVO positioniert.

Demnach ist das fünfte Kapitel der DSGVO bzgl. der zusätzlichen Voraussetzungen an Drittlandübermittlungen nur dann anzuwenden, wenn personenbezogene Daten an einen externen Dritten in einem Drittland, einen „Datenimporteur“, übermittelt werden. An dieser Übermittlung an einen externen Dritten fehlt es nach Ansicht des EDSA, wenn ein eigener Arbeitnehmer auf personenbezogene Daten, die er im Rahmen seiner beruflichen Tätigkeit verarbeitet, aus einem Drittland aus zugreift. Hierbei handelt es sich lediglich um eine „interne Verarbeitung“, unabhängig davon, von wo aus dieser Zugriff stattfindet.

Insofern muss ein Arbeitgeber, der seinen Arbeitnehmern die Arbeit von Drittländern aus ermöglichen möchte, insbesondere sicherstellen, dass mit den betroffenen Arbeitnehmern Zusatzvereinbarungen abgeschlossen werden, die die Regeln für das mobile Arbeiten in Drittländern festlegen. Ebenso sollten auch diese Arbeitnehmer besonders geschult und sensibilisiert werden.

Drittstaaten ohne Angemessenheitsbeschluss 

In Drittländern, für die kein Angemessenheitsbeschluss der EU-Kommission besteht, ist das Datenschutzniveau niedriger als innerhalb des Geltungsbereichs der DSGVO. Zusätzlich ist nicht auszuschließen, dass Arbeitnehmer in Drittländern lokalen Gesetzen unterliegen, die sich auf das Schutzniveau der personenbezogenen Daten auswirken können (z.B. Zugriffsrechte von Sicherheitsbehörden). Aus diesem Grund ist es für Arbeitgeber wichtig, dem lokalen Datenschutzniveau angemessene zusätzliche technische und organisatorische Maßnahmen zu treffen (z.B. Verschlüsselung, Einsatz eines VPN, etc.), die ein angemessenes Datenschutzniveau sicherstellen.

Fazit: Datenschutz und Homeoffice aus dem Ausland ist möglich 

Ein deutscher Arbeitgeber, der Homeoffice im Ausland erlaubt, muss aus datenschutzrechtlicher Sicht einiges beachten. Bei Remote-Arbeit in einem anderen Land müssen zusätzliche Vorkehrungen getroffen werden, um einen hinreichenden Datenschutz zu gewährleisten. Dies gilt unabhängig davon, ob aus einem anderen Land innerhalb der EU/des EWR oder aus einem Drittland gearbeitet wird. Besonders wichtig ist hier der Abschluss von Homeoffice-Vereinbarungen und die Schulung und Sensibilisierung der betroffenen Mitarbeiter. Zudem sollten zusätzliche technische und organisatorische Maßnahmen getroffen werden, die den jeweiligen lokalen Gegebenheiten angemessen sind. 

Sie brauchen Unterstützung im Datenschutz? Wir beraten Sie gerne umfassend zu Ihren Fragen und unterstützen Sie im Bereich Datenschutzsoftware, Datenschutzbeauftragte oder Whistleblower-Richtlinie. Kommen Sie gerne jederzeit auf uns zu!