MDM & DSGVO: Datenschutz, Serverstandort & BYOD-Trennung

Datenschutz ist bei MDM kein Randthema, sondern oft das entscheidende Auswahlkriterium — gerade in Deutschland. Über eine MDM-Lösung laufen sensible Informationen, und der Umgang damit muss zur DSGVO passen. Dieser Beitrag zeigt die zentralen Punkte.

Warum Datenschutz bei MDM zählt

MDM verwaltet Geräte, auf denen Firmen- und teils personenbezogene Daten liegen. Je nach Konfiguration können Geräte-, Nutzungs- oder Standortdaten anfallen. Umso wichtiger ist, welche Daten die Lösung erhebt, wo sie liegen und wer darauf zugreift.

Serverstandort & Drittlandtransfer

Ein Serverstandort in der EU oder Deutschland erleichtert die DSGVO-Konformität und vermeidet komplexe Fragen zu Drittlandtransfers (z. B. in die USA). Deshalb werben deutsche Anbieter mit „Made/Hosted in Germany” — für viele Organisationen ist genau das ein Kaufkriterium. In der Vergleichstabelle ist der Serverstandort je Anbieter ausgewiesen.

Auftragsverarbeitung (AVV)

Nutzen Sie eine Cloud-MDM-Lösung, verarbeitet der Anbieter Daten in Ihrem Auftrag. Üblich ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO, der Zweck, Umfang und technisch-organisatorische Maßnahmen regelt. Prüfen Sie zudem, ob Subunternehmer beteiligt sind und wo diese sitzen.

Datensparsamkeit & Transparenz

Gute Praxis: nur erheben, was nötig ist (Datensparsamkeit), und Beschäftigte transparent informieren, was verwaltet wird. Bei privaten Geräten (BYOD) gilt: kein Zugriff auf den Privatbereich — die Trennung privat/beruflich (Container/Arbeitsprofil) ist Pflicht.

Mitbestimmung

Führt MDM zu einer möglichen Verhaltens-/Leistungskontrolle, ist in Betrieben mit Betriebsrat häufig dessen Mitbestimmung zu beachten. Eine klare Richtlinie bzw. Betriebsvereinbarung schafft Rechtssicherheit und Akzeptanz.

Checkliste

• Serverstandort EU/DE geklärt und vertraglich zugesichert?
• AVV nach Art. 28 DSGVO vorhanden, Subunternehmer transparent?
• Datensparsame Konfiguration, keine unnötigen Datenerhebungen?
• Bei BYOD: saubere Trennung, kein Zugriff auf Privatdaten?
• Beschäftigte informiert, ggf. Betriebsrat eingebunden?

Wichtiger Hinweis: Dieser Beitrag beschreibt allgemeine Anforderungen und ist keine Rechtsberatung. Für die verbindliche Bewertung Ihres Falls ziehen Sie Datenschutz-/Rechtsberatung hinzu. Kriterien und Quellen: Methodik.