Apple MDM und DSGVO: Was Unternehmen bei JAMF und Apple Business beachten müssen

Kurz gesagt: Apple-Geräteverwaltung mit JAMF und Apple Business lässt sich DSGVO-konform betreiben. Dafür braucht es vier Dinge: eine passende Rechtsgrundlage für die Verarbeitung von Beschäftigtendaten, Auftragsverarbeitungsverträge mit allen Anbietern, ein MDM, das nur die nötigen Daten erhebt, und bei Betriebsrat eine Betriebsvereinbarung. Dieser Leitfaden zeigt, welche Daten ein MDM verarbeitet, welche Verträge Sie brauchen, wo die Daten bei Apple und JAMF liegen und wie Sie das MDM datensparsam konfigurieren.

Hinweis: Dieser Beitrag gibt einen technischen und organisatorischen Überblick aus Sicht eines IT-Dienstleisters und ersetzt keine Rechtsberatung. Stimmen Sie die Umsetzung mit Ihrem Datenschutzbeauftragten ab.

Welche personenbezogenen Daten verarbeitet ein Apple-MDM?

Ein Mobile Device Management wie JAMF Pro verarbeitet zwangsläufig Daten, die sich einer Person zuordnen lassen. Typisch sind:

• Identitätsdaten: Name, geschäftliche E-Mail-Adresse, Abteilung, Gruppenzugehörigkeit aus Entra ID, Google Workspace oder Okta
• Gerätedaten: Modell, Seriennummer, Betriebssystemversion, Speicher, Verschlüsselungsstatus, letzter Check-in
• Inventardaten: installierte Apps, Konfigurationsprofile, Zertifikate
• Netzwerkdaten: IP-Adresse, WLAN-Name, je nach Konfiguration auch Mobilfunkdaten
• Sicherheitsereignisse: bei JAMF Protect etwa erkannte Schadsoftware oder verdächtige Prozesse
• Standort: nur, wenn er aktiv abgefragt wird, zum Beispiel im Verlustmodus

Für die DSGVO zählt nicht, ob diese Daten "nur technisch" sind. Sobald ein Gerät einer Person zugeordnet ist, sind es personenbezogene Daten.

Welche Rechtsgrundlage gilt für MDM im Arbeitsverhältnis?

Lange war § 26 Abs. 1 BDSG die zentrale Norm für Beschäftigtendaten. Der Europäische Gerichtshof hat am 30. März 2023 (C-34/21) entschieden, dass eine vergleichbare Generalklausel nicht den Anforderungen der DSGVO an "spezifischere Vorschriften" genügt. Seitdem stützen Unternehmen die Verarbeitung in der Regel direkt auf die DSGVO:

Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Arbeitsvertrags): Wer Mitarbeitenden ein Arbeitsgerät stellt, muss es einrichten, aktualisieren und absichern können. Die dafür nötigen Daten sind davon gedeckt.

Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse): Schutz von Firmen- und Kundendaten, IT-Sicherheit und Nachweispflichten. Hier ist eine dokumentierte Interessenabwägung nötig, die zeigt, dass das MDM nicht mehr erhebt als erforderlich.

Betriebsvereinbarung: Kollektivvereinbarungen bleiben als Rechtsgrundlage möglich (Art. 88 DSGVO, § 26 Abs. 4 BDSG) und schaffen zugleich Klarheit für beide Seiten.

Einwilligung: Im Arbeitsverhältnis nur eingeschränkt tragfähig, weil die Freiwilligkeit oft fraglich ist. Für das Firmengerät sollte sie nicht die Grundlage sein. Bei privaten Geräten (BYOD) ist die freiwillige Teilnahme am Programm dagegen ein wichtiger Baustein, technisch abgesichert über Apple User Enrollment.

Verträge: Wer ist Verantwortlicher, wer Auftragsverarbeiter?

Ihr Unternehmen ist Verantwortlicher im Sinne der DSGVO. Alle Anbieter, die in Ihrem Auftrag Daten verarbeiten, sind Auftragsverarbeiter und brauchen einen Vertrag nach Art. 28 DSGVO. In einer typischen Apple-Umgebung sind das drei Parteien:

Apple Business

Apple Business, seit April 2026 Nachfolger von Apple Business Manager, regelt die Datenverarbeitung über Apples Datenübermittlungsvereinbarung. Apple handelt dabei als Auftragsverarbeiter. In der EU-Fassung übermittelt Apple Distribution International (Irland) an Apple Inc. (USA), abgesichert über Standardvertragsklauseln. Apple veröffentlicht eine Liste der Unterauftragsverarbeiter und kündigt Änderungen mit 30 Tagen Vorlauf an. Eine ausschließliche Speicherung in der EU sagt Apple nicht zu.

JAMF

JAMF Cloud bietet eine Hosting-Region in Frankfurt am Main (AWS eu-central-1), sodass Ihre Instanz in Deutschland betrieben werden kann. JAMF ist unter dem EU-US Data Privacy Framework zertifiziert und hat zusätzlich die EU-Standardvertragsklauseln in seinen Auftragsverarbeitungsvertrag aufgenommen. Wichtig für Ihre Dokumentation: Für Support und Sicherheitsanalysen können JAMF-Mitarbeitende auch aus anderen Ländern auf Daten zugreifen. JAMF stellt dafür eine eigene Transfer-Folgenabschätzung bereit, die Sie Ihrem Verzeichnis beilegen können.

Ihr IT-Dienstleister

Betreut ein Dienstleister wie mx-itsolutions Ihre JAMF-Instanz, ist auch er Auftragsverarbeiter. Achten Sie auf einen eigenen Auftragsverarbeitungsvertrag, dokumentierte technische und organisatorische Maßnahmen und klar geregelte Zugriffsrechte, idealerweise mit personalisierten Admin-Konten statt geteilter Logins.

Datensparsam konfigurieren: Was das MDM erheben sollte und was nicht

Datenschutz entscheidet sich nicht im Vertrag, sondern in der Konfiguration. Diese Einstellungen haben sich in unseren Projekten bewährt:

• Standort nur im Ernstfall: Keine laufende Standortabfrage. Den Verlustmodus nur bei gemeldetem Verlust oder Diebstahl nutzen und den Vorgang protokollieren.
• Private Geräte per User Enrollment: Damit erhält das Unternehmen keine Daten zu privaten Apps, Fotos oder Standort.
• Inventar mit Zweck: App-Inventare auf Firmengeräten sind für Sicherheit und Lizenzen legitim. Für private Geräte entfallen sie technisch ohnehin.
• Rollen und Rechte: Nicht jeder Admin braucht Vollzugriff. In JAMF lassen sich Rechte je Rolle und Standort fein trennen, zum Beispiel für Frankfurt und München getrennt.
• Löschkonzept: Geräte- und Nutzerdaten ausgeschiedener Mitarbeitender nach festgelegter Frist aus dem MDM entfernen.
• Protokollierung: Admin-Aktionen wie Fernlöschen, Sperren oder Verlustmodus werden in JAMF protokolliert. Diese Logs gehören ins Löschkonzept und in die Nachweisführung.

Betriebsrat: Ist ein MDM mitbestimmungspflichtig?

In aller Regel ja. Ein MDM ist eine technische Einrichtung, die objektiv geeignet ist, Verhalten oder Leistung von Beschäftigten zu überwachen. Damit greift das Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG, unabhängig davon, ob eine Überwachung beabsichtigt ist. In der Praxis bewährt sich eine Betriebsvereinbarung, die festhält, welche Daten erhoben werden, wer Zugriff hat, wofür sie genutzt werden dürfen und wofür ausdrücklich nicht, zum Beispiel keine Leistungskontrolle über das MDM.

Brauche ich eine Datenschutz-Folgenabschätzung?

Für eine Standard-Geräteverwaltung von Firmengeräten ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO oft nicht zwingend, die Bewertung hängt aber vom Einzelfall ab. Sie wird wahrscheinlicher, wenn Standortdaten laufend erhoben werden, Netzwerkverkehr inhaltlich analysiert wird oder Sicherheitsereignisse systematisch einzelnen Personen zugeordnet und ausgewertet werden. Wer JAMF Protect oder JAMF Security Cloud einsetzt, sollte die Prüfung dokumentieren, auch wenn das Ergebnis "nicht erforderlich" lautet.

Das MDM als Teil Ihrer DSGVO-Sicherheitsmaßnahmen

Die DSGVO verlangt nicht nur Zurückhaltung bei Daten, sondern auch deren Schutz (Art. 32 DSGVO). Hier ist ein MDM kein Risiko, sondern eine der wirksamsten Maßnahmen: Es erzwingt FileVault-Verschlüsselung auf dem Mac, einen Gerätecode auf iPhone und iPad, aktuelle Betriebssysteme und die Sperre oder Löschung verlorener Geräte. Damit lässt sich gegenüber Kunden, Auditoren und Aufsichtsbehörden belegen, dass Firmendaten auf Endgeräten geschützt sind. Mehr dazu in unseren Beiträgen zu ISO 27001 mit Apple und Compliance nach CIS und NIST.

Checkliste: Apple MDM DSGVO-konform einführen

• Verarbeitung im Verzeichnis der Verarbeitungstätigkeiten erfassen
• Rechtsgrundlage festlegen und Interessenabwägung dokumentieren
• Auftragsverarbeitungsverträge mit Apple, JAMF und IT-Dienstleister prüfen und ablegen
• JAMF-Hosting in Frankfurt wählen und Drittlandtransfers dokumentieren
• Konfiguration datensparsam umsetzen, insbesondere Standort und private Geräte
• Rollen, Rechte und Löschfristen im MDM einrichten
• Mitarbeitende transparent informieren (Art. 13 DSGVO)
• Betriebsrat frühzeitig einbinden und Betriebsvereinbarung abschließen
• Prüfung der Datenschutz-Folgenabschätzung dokumentieren

So unterstützt mx-itsolutions

mx-itsolutions ist erster Apple Premium Technical Partner in Deutschland und JAMF Elite Partner. Wir richten Apple Business und JAMF datensparsam ein, wählen das Hosting in Frankfurt, liefern die technischen Unterlagen für Ihren Datenschutzbeauftragten und Betriebsrat, also Datenfelder, Rollenkonzept und technische und organisatorische Maßnahmen, und schließen selbst einen Auftragsverarbeitungsvertrag mit Ihnen. Unsere Teams in Frankfurt am Main und München betreuen Unternehmen in ganz Deutschland, Österreich und der Schweiz.

Sie möchten Ihre Apple-Geräte sicher und datenschutzkonform verwalten? Vereinbaren Sie ein kostenfreies Erstgespräch mit IT-Analyse. Weitere Grundlagen finden Sie in unserem Vergleich der Apple-MDM-Anbieter in Deutschland.

Häufige Fragen zu Apple MDM und DSGVO

Ist Apple MDM DSGVO-konform?

Ja, Apple-MDM-Lösungen wie JAMF lassen sich DSGVO-konform betreiben. Voraussetzung sind eine passende Rechtsgrundlage, Auftragsverarbeitungsverträge mit Apple, JAMF und dem IT-Dienstleister, eine datensparsame Konfiguration und transparente Information der Mitarbeitenden.

Wo speichert JAMF die Daten?

JAMF Cloud bietet eine Hosting-Region in Frankfurt am Main (AWS eu-central-1). Für Support und Sicherheitsanalysen können JAMF-Mitarbeitende auch aus anderen Ländern zugreifen. JAMF ist unter dem EU-US Data Privacy Framework zertifiziert und nutzt zusätzlich EU-Standardvertragsklauseln.

Welche Rechtsgrundlage gilt für MDM bei Mitarbeitenden?

Seit dem EuGH-Urteil vom 30. März 2023 (C-34/21) stützen Unternehmen die Verarbeitung meist direkt auf Art. 6 Abs. 1 lit. b DSGVO (Arbeitsvertrag) und lit. f DSGVO (berechtigtes Interesse), ergänzt durch eine Betriebsvereinbarung. Eine Einwilligung ist im Arbeitsverhältnis nur eingeschränkt tragfähig.

Muss der Betriebsrat bei der Einführung eines MDM zustimmen?

In aller Regel ja. Ein MDM ist eine technische Einrichtung, die zur Überwachung geeignet ist, deshalb greift die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG. Eine Betriebsvereinbarung regelt dann Datenumfang, Zugriffe und Zwecke.

Darf das MDM den Standort von Mitarbeitenden erfassen?

Eine laufende Standortüberwachung ist datenschutzrechtlich kaum zu rechtfertigen und auch nicht nötig. Sinnvoll ist, den Standort nur im Verlust- oder Diebstahlfall über den Verlustmodus abzufragen und das zu protokollieren. Bei privaten Geräten mit User Enrollment ist eine Standortabfrage technisch gar nicht möglich.

Wer hilft bei einer DSGVO-konformen Einführung von JAMF?

mx-itsolutions richtet JAMF und Apple Business datensparsam ein, wählt das Hosting in Frankfurt und liefert die technischen Unterlagen für Datenschutzbeauftragte und Betriebsrat. Als erster Apple Premium Technical Partner in Deutschland und JAMF Elite Partner betreuen wir Kunden von Frankfurt und München aus.

‍