Kurz gesagt: In vielen Posteingängen liegt diesen Sommer dieselbe Anfrage: „Kann ich im September drei Wochen aus Portugal arbeiten?" Sozialversicherung und Steuer sind dabei lösbarer Papierkram. Was regelmäßig niemand plant, ist der Teil mit den Firmendokumenten — und genau da passieren die teuren Fehler.
Die Anfrage, die gerade überall aufschlägt
Anfang Juli saß ich bei einer Steuerberaterin in Rosenheim, eigentlich wegen der Umstellung auf das Mandantenportal. Zwischen zwei Tagesordnungspunkten schob sie eine ganz andere Frage ein: Ihre beste Lohnbuchhalterin wolle ab September vier Wochen von der Algarve aus arbeiten. Ferienhaus der Schwiegereltern, stabiles Internet, alles organisiert.
Ihre eigentliche Sorge: „Darf die das überhaupt — mit Mandantendaten?"
Die Antwort ist ein Jein in drei Schichten: Sozialversicherung, Steuerrecht, Datenschutz samt IT. Die ersten beiden Schichten sind Formulare. Die dritte ist die, an der Workations wirklich scheitern.
Schicht eins und zwei: der lösbare Papierkram
Sozialversicherung: ohne A1 reist niemand ab
Wer vorübergehend aus dem EU-Ausland arbeitet, gilt sozialversicherungsrechtlich als entsandt. Dafür braucht es eine A1-Bescheinigung — elektronisch beantragt vor der Abreise, die Krankenkassen beschreiben das Verfahren Schritt für Schritt. Klingt bürokratisch, dauert in der Praxis aber nur wenige Tage.
Für Grenzgänger, die dauerhaft teils vom Wohnsitzland aus arbeiten, gibt es seit Juli 2023 zusätzlich die multilaterale Rahmenvereinbarung zur Telearbeit: bis zu 49,99 Prozent der Arbeitszeit im Wohnsitzstaat, ohne dass die Sozialversicherung dorthin wechselt. Für die klassische, befristete Workation ist das aber der falsche Topf — da bleibt es beim Entsende-Modell mit A1.
Steuer: die 183 Tage sind selten das Problem
Bei drei, vier Wochen Workation passiert lohnsteuerlich normalerweise nichts. Kritisch wird es an zwei Stellen: wenn jemand die 183-Tage-Grenze des jeweiligen Doppelbesteuerungsabkommens reißt — oder wenn eine Führungskraft vom Ferienhaus aus dauerhaft Verträge verhandelt und damit ungewollt eine Betriebsstätte begründet.
Beides ist bei einer sauber befristeten Workation beherrschbar. Deshalb: befristen, schriftlich. Immer.
Schicht drei: die Dokumente — und die vergisst fast jeder
Hier hilft kein Formular mehr.
Die typische Workation-Richtlinie regelt die Sozialversicherung minutiös — und schweigt komplett dazu, wie die Mitarbeiterin von der Algarve aus an die Lohnakte kommt.
Innerhalb der EU: unkritischer als gedacht
Die gute Nachricht zuerst. Arbeitet jemand aus Portugal, Italien oder Österreich, findet datenschutzrechtlich keine Drittlandübermittlung statt — die DSGVO gilt dort genauso wie in Rosenheim. Auch die Schweiz und das Vereinigte Königreich sind über Angemessenheitsbeschlüsse der EU-Kommission abgedeckt.
Anders sieht es aus, wenn der Laptop mit in die Türkei, nach Thailand oder in die USA reist. Dann greifen die Regeln für Drittlandtransfers nach Art. 44 ff. DSGVO — und für eine Kanzlei mit Daten unter § 203 StGB würde ich das schlicht nicht standardmäßig erlauben. Einzelfallprüfung, oder Urlaub bleibt Urlaub.
Das eigentliche Risiko sitzt im Hotel-WLAN
Das BSI hat Mitte Juni seine Sicherheitstipps für die Reisezeit veröffentlicht — gedacht für Urlauber, lesenswert für jeden Arbeitgeber. Kernpunkte: gefälschte WLAN-Namen wie „Flughafen-WLAN", manipulierte Buchungslinks, öffentliche USB-Ladebuchsen, über die sich neben Strom auch Daten ziehen lassen.
Aus dem Maschinenraum kann ich ergänzen: Der Klassiker ist nicht der Hacker im Hotel, sondern das Captive Portal.
Diese Anmeldeseiten der Hotel-WLANs vertragen sich notorisch schlecht mit IPsec-VPN-Clients — die Verbindung reißt bei jedem Netzwechsel ab, der Nutzer probiert es dreimal, dann schaltet er das VPN „nur kurz" aus. Ab diesem Moment läuft der Zugriff auf den Firmenserver ungeschützt über ein fremdes Netz.
Dass VPN schon im normalen Homeoffice mehr Frust als Sicherheit produziert, hatte ich an anderer Stelle beschrieben. Auf Reisen potenziert sich das Problem.
Drei Wege zur Akte im Ferienhaus
In der Praxis sehe ich drei Zugriffsmodelle — und sie unterscheiden sich weniger im Komfort als im Schadensfall:
| Zugriffsweg | Bei Gerätediebstahl | Im Hotel-WLAN |
|---|---|---|
| Lokale Kopie / Sync-Ordner | Alle Dokumente kompromittiert | Sync läuft auch über offene Netze |
| VPN ins Firmennetz | Zugangsdaten oft gespeichert | Bricht an Captive Portals ab |
| Browser-DMS mit 2FA | Account sperren, fertig | TLS-verschlüsselt, portalfest |
Die ersten beiden Varianten stammen aus einer Zeit, in der „mobil arbeiten" hieß: einmal im Quartal von der Messe aus. Für vier Wochen Algarve sind sie nicht gebaut.
Der Laptop im Mietwagen
Zweites unterschätztes Szenario: Gerätediebstahl. Ein Notebook mit lokal synchronisierten Ordnern voller Kundendokumente, gestohlen aus dem Kofferraum eines Mietwagens in Barcelona — das ist eine meldepflichtige Datenpanne nach Art. 33 DSGVO. Frist: 72 Stunden. Im Zweifel organisiert aus dem Urlaub heraus.
Die Alternative: ein DMS, das komplett im Browser läuft. Die Dokumente bleiben auf dem Server in Deutschland, auf dem Gerät liegt nichts. Wird das Notebook gestohlen, sperrt die IT den Account — die Panne schrumpft von „Kundenakten weg" auf „Gerät weg".
Mit Zwei-Faktor-Anmeldung und Hosting im deutschen Rechenzentrum ist der Zugriff aus dem Ferienhaus dann sicherer als mancher Büro-PC mit lokalem Ordnerchaos.
Sieben Punkte für Ihre Workation-Regelung
Was ich Kunden empfehle, wenn die erste Anfrage auf dem Tisch liegt:
- Schriftliche Vereinbarung je Workation: Land, Zeitraum, Erreichbarkeit — und ein Enddatum. Zwei Seiten reichen.
- A1-Bescheinigung vor der Abreise beantragen; bei Drittstaaten vorher prüfen, ob ein Sozialversicherungsabkommen besteht.
- Länderliste statt Einzeldebatte: EU/EWR plus Staaten mit Angemessenheitsbeschluss pauschal erlauben, alles andere nur nach Einzelfallprüfung.
- Nur Firmengeräte mit Festplattenverschlüsselung und Bildschirmsperre — der private Familien-Laptop bleibt tabu.
- Zugriff ausschließlich über verschlüsselte Web-Anwendungen mit Zwei-Faktor-Anmeldung, keine lokalen Synchronisations-Ordner, keine USB-Sticks im Reisegepäck.
- Eigener Hotspot statt Hotel-WLAN: Eine Reise-eSIM mit 20 GB kostet unter 30 Euro — das günstigste Sicherheitsupgrade des Jahres. Öffentliche USB-Buchsen meiden, wie es das BSI empfiehlt.
- Arbeitszeit weiter dokumentieren: Die Zeiterfassungspflicht macht am Grenzübergang nicht Halt — gerade bei Zeitverschiebung wichtig, sonst wird aus der Workation stillschweigend ein 12-Stunden-Tag.
Fazit: Nicht verbieten, sondern regeln
Zurück nach Rosenheim. Die Lohnbuchhalterin fährt im September an die Algarve — mit A1-Bescheinigung, Kanzlei-Notebook und Zugriff ausschließlich über das DMS im Browser. Aufwand für die ganze Regelung: ein Nachmittag und ein zweiseitiges Dokument.
Ich halte pauschale Workation-Verbote für die schlechteste aller Optionen. Sie halten niemanden im Büro, sie treiben die Leute in die Schatten-IT: Dann wandern die Dokumente eben über den privaten Cloud-Speicher ans Mittelmeer, und niemand weiß davon.
Wer den Dokumentenzugriff einmal sauber löst, hat nebenbei mehr erledigt als das Sommerthema — dieselbe Architektur trägt auch Homeoffice, Zweitstandort und Krankheitsvertretung. Wenn Sie dafür einen Sparringspartner suchen: Melden Sie sich. Und wo mein Rat endet und der des Fachanwalts beginnt, sage ich Ihnen im Gespräch ehrlich dazu.
