Für Papier im Homeoffice haftet der Arbeitgeber. Er bleibt Verantwortlicher im Sinne der DSGVO, auch wenn die Akte auf dem Küchentisch einer Mitarbeiterin liegt. Ein Bußgeld trifft deshalb in aller Regel das Unternehmen, nicht die Beschäftigte. Das zeigt ein Fall aus Hessen: Weil ein Praxismanager Patientenakten zu Hause offen im Regal aufbewahrte, zahlte die Praxisinhaberin 2.500 Euro (HBDI, 53. Tätigkeitsbericht, Kap. 3.2, S. 28 f.).
Dieser Ratgeber zeigt, was ein Arbeitgeber regeln muss, damit Papier vom Büro nach Hause und wieder zurück kommt, ohne dass Dritte es lesen. Welches Gerät sich für die Vernichtung zu Hause eignet, ist eine eigene Frage und nicht Thema dieser Seite.
Wer ist verantwortlich, wenn Akten zu Hause liegen?
Die DSGVO kennt keine Sonderregeln für das Homeoffice. Der Arbeitgeber ist Verantwortlicher (Art. 4 Nr. 7 DSGVO) und muss nachweisen können, dass er die Grundsätze einhält (Art. 5 Abs. 2 DSGVO). Beschäftigte verarbeiten die Daten nur auf seine Weisung (Art. 29 DSGVO). Die hessische Aufsicht folgert daraus, dass Arbeitgeber auch beim mobilen Arbeiten für die Einhaltung sorgen und für Verstöße haften (HBDI, Handreichung mobiles Arbeiten, Stand 21.12.2023, S. 3).
Konkret heißt das: Die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO müssen auch am Heimarbeitsplatz wirken. Art. 32 Abs. 4 verpflichtet den Arbeitgeber außerdem, dafür zu sorgen, dass Beschäftigte Daten nur auf Anweisung verarbeiten. Eine Regel, die niemand kennt, erfüllt das nicht.
Wer zahlt, wenn etwas schiefgeht?
| Konstellation | Wen die Aufsicht in Anspruch nimmt | Beleg |
|---|---|---|
| Beschäftigter arbeitet im Auftrag, aber Regeln oder abschließbare Schränke fehlen | den Arbeitgeber; die Verstöße des Praxismanagers wurden der Praxisinhaberin zugerechnet | HBDI, 53. TB, S. 29 |
| Beschäftigter nutzt dienstliche Daten für eigene private Zwecke | den Beschäftigten selbst, der dadurch zum eigenen Verantwortlichen wird („Mitarbeiterexzess“) | HmbBfDI, TB 2023, Kap. IV Nr. 2, S. 132–134 |
| Betroffene verlangen Schadensersatz | den Verantwortlichen, also in der Regel den Arbeitgeber | Art. 82 DSGVO |
Ob der Arbeitgeber Beschäftigte intern in Regress nehmen kann, richtet sich nach Arbeitsrecht, nicht nach der DSGVO.
Der hessische Fall zeigt auch, was mildernd wirkte: Nach dem Verstoß schaffte die Praxis abschließbare Aktenschränke und einen Tresor an und schulte erneut. Erschwerend zählten Umfang und Sensibilität der Gesundheitsdaten.
Welche Regeln braucht Papier im Homeoffice?
Die Tabelle folgt dem Weg einer Akte. Bei Gesundheitsdaten, Personal- oder Mandantenakten empfehlen wir, zuerst zu fragen, ob sie überhaupt das Büro verlassen müssen. Jede Zeile stützt sich auf die Handreichungen der Aufsichtsbehörden in Hessen (HBDI, Stand 21.12.2023) und Bayern (BayLDA, Best-Practice-Prüfkriterien, Stand 18.05.2020).
| Station | Regel | Beleg |
|---|---|---|
| Vorab | schriftlich festlegen, welche Unterlagen nach Art, Umfang und Kategorie überhaupt mit nach Hause dürfen, abhängig vom Risiko für die Betroffenen | HBDI, S. 7 |
| Mitnahme | in geeigneten Mappen, mit Name des Unternehmens für den Fall eines Verlusts | BayLDA, S. 1 |
| Transport | physisch verschlossen; nicht auf dem Rücksitz beim Einkaufen oder im Rucksack im Restaurant liegen lassen | HBDI, S. 7; BayLDA, S. 1 |
| Arbeitsplatz | kein Einblick für Familienmitglieder oder Besucher; aufgeräumter Schreibtisch nach Feierabend | BayLDA, S. 1 |
| Aufbewahrung | in abschließbaren Mappen oder Schränken | BayLDA, S. 1 |
| kein privater Drucker oder Scanner; wenn nötig, stellt der Arbeitgeber das Gerät; möglichst papierlos | HBDI, S. 7 | |
| Entsorgung | nicht im Hausmüll; feste Regel zur Vernichtung, nach Auffassung der hessischen Aufsicht durch Rückgabe ins Unternehmen | HBDI, S. 7 |
| Panne | bekannte Ansprechpartner und ein geregelter Ablauf, wenn Unterlagen verloren gehen | HBDI, S. 8 |
| Verpflichtung | Schulung und schriftliche Bestätigung der Beschäftigten, dass sie die Regeln einhalten | BayLDA, S. 3; HBDI, S. 8 |
Beide Papiere sind Empfehlungen, keine Gesetze. Wer von einem Punkt abweicht, sollte den Grund kurz dokumentieren; das rät das bayerische Landesamt ausdrücklich.
Wie kommt das Papier sicher zurück ins Büro?
Die Rückgabe ist die Stelle, an der die meisten Regelungen aufhören. Dabei ist sie der Moment, in dem sich zeigt, ob der Arbeitgeber den Überblick behält:
- Sammeln: Zu vernichtende Unterlagen kommen zu Hause in eine verschlossene Box oder Tasche, nicht in einen offenen Karton.
- Zurückbringen: am nächsten Bürotag, verschlossen, ohne Zwischenstopps mit unbeaufsichtigtem Auto.
- Einwerfen: im Büro direkt in einen verschlossenen Sicherheitsbehälter, nicht auf einen Stapel neben dem Kopierer.
- Vernichten lassen: Der Behälter wird regelmäßig geleert und vernichtet; der Dienstleister bestätigt das mit einem Nachweis.
- Abschluss: Endet die Homeoffice-Vereinbarung oder das Arbeitsverhältnis, gibt die Mitarbeiterin alle Unterlagen zurück. Eine kurze schriftliche Bestätigung belegt, dass nichts zu Hause geblieben ist.
Wie sich einmalige Abholung und feste Behälter mit regelmäßiger Leerung unterscheiden, zeigt die Seite Einmalig oder regelmäßig vernichten. Für Unternehmen mit vielen Heimarbeitsplätzen ist der Sammelbehälter im Büro meist der einfachste Weg.
Was tun, wenn Unterlagen verloren gehen?
Eine liegengelassene Mappe in der Bahn ist eine Verletzung des Schutzes personenbezogener Daten. Die Beschäftigte muss sie sofort intern melden; der Arbeitgeber prüft dann, ob er die Aufsichtsbehörde binnen 72 Stunden informieren muss (Art. 33 DSGVO). Wie diese Prüfung abläuft, steht im Ratgeber Datenschutzvorfall durch Altakten.
Die übrigen Pflichten, die bei der Vernichtung gelten, fasst die Seite DSGVO und Aktenvernichtung zusammen.
Häufige Fragen
Wer haftet, wenn Arbeitsunterlagen im Homeoffice in falsche Hände geraten?
Gegenüber der Aufsichtsbehörde und den Betroffenen in der Regel der Arbeitgeber als Verantwortlicher. In Hessen erhielt eine Praxisinhaberin 2.500 Euro Bußgeld, weil ihr Praxismanager Patientenakten zu Hause offen aufbewahrte.
Darf ich Arbeitsunterlagen zu Hause im Altpapier entsorgen?
Nein. Die hessische Datenschutzaufsicht verlangt eine festgelegte Vernichtungsregel; Papier mit personenbezogenen Daten darf nicht in den Hausmüll und soll zur Vernichtung ins Unternehmen zurückgebracht werden.
Muss der Arbeitgeber das Homeoffice schriftlich regeln?
Die DSGVO schreibt keine bestimmte Form vor, verlangt aber, dass der Arbeitgeber die Einhaltung nachweisen kann (Art. 5 Abs. 2) und Beschäftigte nur auf Anweisung handeln (Art. 32 Abs. 4). Ohne schriftliche Regel ist beides kaum zu belegen.
Muss ich eine verlorene Mappe melden?
Ja, sofort beim Arbeitgeber. Er entscheidet, ob die Aufsichtsbehörde binnen 72 Stunden informiert werden muss (Art. 33 DSGVO).
Quellen
- HBDI: 53. Tätigkeitsbericht zum Datenschutz (2024), Kap. 3.2, S. 28 f., abgerufen am 18.09.2026
- HmbBfDI: Tätigkeitsbericht Datenschutz 2023, Kap. IV Nr. 2 „Mitarbeiterexzess live on Twitch.tv“, S. 132–134, abgerufen am 18.09.2026
- HBDI: Handreichung zum datenschutzkonformen „mobilen Arbeiten“, Stand 21.12.2023, abgerufen am 18.09.2026
- BayLDA: Datenschutzrechtliche Regelungen bei Homeoffice – Best-Practice-Prüfkriterien, Stand 18.05.2020, abgerufen am 18.09.2026
- Art. 4 DSGVO – Begriffsbestimmungen
- Art. 5 DSGVO – Grundsätze für die Verarbeitung
- Art. 29 DSGVO – Verarbeitung unter der Aufsicht des Verantwortlichen
- Art. 32 DSGVO – Sicherheit der Verarbeitung
- Art. 33 DSGVO – Meldung an die Aufsichtsbehörde
- Art. 82 DSGVO – Haftung und Recht auf Schadenersatz
Diese Seite ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzestext in der jeweils geltenden Fassung.