Mitarbeiter ausgeschieden, E-Mail-Postfach noch aktiv? Ein unterschätztes DSGVO-Risiko
Der letzte Arbeitstag ist vorbei. Das Postfach läuft weiter.
Der Mitarbeiter hat das Unternehmen verlassen. Sein Laptop wurde zurückgegeben, die Schlüssel sind abgegeben und die Personalabteilung hat den Austritt dokumentiert.
Nur die IT hat noch eine Aufgabe offen: das E-Mail-Postfach.
Vielleicht kommt schließlich noch eine wichtige Kundenanfrage. Also bleibt die Adresse aktiv. Eingehende Nachrichten werden automatisch an den Nachfolger weitergeleitet.
Eine praktische Lösung? Nicht unbedingt.
Denn ein dienstliches E-Mail-Konto darf nach dem Ausscheiden eines Beschäftigten nicht einfach unbegrenzt weitergenutzt werden.
Eine Entscheidung der belgischen Datenschutzaufsicht macht deutlich, welche rechtlichen Risiken entstehen, wenn Unternehmen das digitale Offboarding vernachlässigen.
Ein ehemaliger Geschäftsführer wehrt sichIm Mittelpunkt des Falls stand ein ehemaliger Geschäftsführer, dessen dienstliche Kommunikationsmittel auch nach seinem Ausscheiden weiterverwendet wurden.
Betroffen waren sowohl seine persönliche geschäftliche E-Mail-Adresse als auch eine Mobiltelefonnummer.
Der ehemalige Geschäftsführer hatte das Unternehmen mehrfach aufgefordert, diese Kommunikationsmittel nicht weiter zu nutzen und private Nachrichten zu löschen.
Doch das Unternehmen reagierte nicht ausreichend.
Besonders problematisch war die Mobiltelefonnummer. Sie war dem Geschäftsführer über viele Jahre auch zur privaten Nutzung überlassen worden.
Die belgische Datenschutzaufsicht stellte mehrere Verstöße gegen die DSGVO fest. Sie beanstandete insbesondere den Umgang mit den Daten nach dem Ausscheiden sowie die unzureichende Bearbeitung der Löschforderungen.
Das Unternehmen erhielt eine Rüge.
Die Entscheidung zeigt: Ein abgeschlossener Arbeitsvertrag bedeutet nicht automatisch, dass alle damit verbundenen Datenschutzfragen erledigt sind.
Wem gehört eigentlich ein dienstliches E-Mail-Postfach?Diese Frage wird im Unternehmensalltag häufig zu einfach beantwortet.
Natürlich stellt der Arbeitgeber die technische Infrastruktur bereit. Er bezahlt die E-Mail-Domain und verwaltet das Postfach.
Daraus folgt aber kein uneingeschränktes Recht, sämtliche Nachrichten dauerhaft zu lesen, weiterzuleiten oder zu speichern.
Auch dienstliche E-Mails können personenbezogene Daten enthalten.
Noch schwieriger wird es, wenn Beschäftigte ihre geschäftliche Adresse mit Erlaubnis oder Duldung des Unternehmens privat nutzen durften.
Dann können sich im Postfach persönliche Nachrichten befinden, die für Kollegen oder Vorgesetzte nicht bestimmt sind.
Deshalb müssen Unternehmen zwischen zwei Interessen unterscheiden:
Einerseits soll die geschäftliche Kommunikation nach einem Personalwechsel funktionieren. Andererseits müssen die Persönlichkeitsrechte ehemaliger Beschäftigter geschützt werden.
Beides lässt sich vereinbaren. Allerdings nicht durch eine unbefristete Weiterleitung sämtlicher E-Mails.
Die automatische Weiterleitung ist keine StandardlösungStellen Sie sich vor, eine ehemalige Mitarbeiterin erhält nach ihrem Ausscheiden eine Nachricht von ihrer Bank oder eine private Mitteilung.
Weil das Unternehmen eine automatische Weiterleitung eingerichtet hat, landet diese E-Mail beim neuen Stelleninhaber.
Das kann eine unzulässige Offenlegung personenbezogener Daten darstellen.
Eine datenschutzfreundlichere Lösung ist häufig ein automatischer Antworttext.
Dieser informiert Absender darüber, dass die betreffende Person nicht mehr im Unternehmen beschäftigt ist, und nennt eine alternative Kontaktadresse.
Auch eine solche Übergangslösung darf nicht unbegrenzt bestehen bleiben.
Die belgische Aufsichtsbehörde hielt im behandelten Zusammenhang einen Zeitraum von ungefähr einem Monat, in Ausnahmefällen bis zu drei Monaten, grundsätzlich für angemessen.
Dabei handelt es sich nicht um eine allgemeine gesetzliche Frist für alle Unternehmen.
Die zulässige Dauer hängt vom konkreten Zweck und den Umständen ab.
Was ist mit wichtigen Geschäftsunterlagen?Nicht jede E-Mail muss am letzten Arbeitstag gelöscht werden.
Geschäftliche Unterlagen können gesetzlichen Aufbewahrungspflichten unterliegen. Auch laufende Vorgänge müssen möglicherweise geordnet übergeben werden.
Entscheidend ist jedoch, dass Unternehmen diese Informationen rechtzeitig und gezielt sichern.
Ein persönliches Postfach über Monate vollständig zugänglich zu halten, ist dafür regelmäßig keine geeignete Standardlösung.
Besser ist es, bereits vor dem Ausscheiden festzulegen, welche geschäftlichen Dokumente übergeben werden müssen und wo diese künftig gespeichert werden.
Damit wird das E-Mail-Postfach nicht zum dauerhaften Ersatz für ein funktionierendes Dokumentenmanagement.
Sechs Regeln für ein datenschutzkonformes OffboardingEin guter Offboarding-Prozess beginnt nicht erst am letzten Arbeitstag.
1. Zuständigkeiten frühzeitig festlegen. Personalabteilung und IT müssen rechtzeitig über den Austritt informiert werden. Auch der Datenschutzbeauftragte sollte bei grundsätzlichen Regelungen eingebunden sein.
2. Geschäftliche Informationen geordnet übergeben. Relevante Unterlagen und laufende Vorgänge sollten vor dem Austritt gesichert werden.
3. Persönliche Zugänge deaktivieren. Nach dem Ausscheiden dürfen ehemalige Beschäftigte keinen unberechtigten Zugriff mehr auf Unternehmenssysteme haben.
4. E-Mail-Weiterleitungen kritisch prüfen. Eine pauschale Weiterleitung ist besonders riskant. Prüfen Sie stattdessen einen zeitlich begrenzten automatischen Antworttext.
5. Private Daten berücksichtigen. War die private Nutzung erlaubt, müssen persönliche Nachrichten und Kommunikationsdaten besonders sorgfältig behandelt werden.
6. Löschung und Übergabe dokumentieren. Legen Sie nachvollziehbar fest, wann Konten, Rufnummernzuordnungen und nicht mehr benötigte Daten entfernt werden.
Diese Maßnahmen sollten Bestandteil einer verbindlichen Offboarding-Checkliste sein.
Datenschutz beginnt vor dem AbschiedViele Probleme entstehen, weil Unternehmen erst beim Ausscheiden feststellen, dass es keine klaren Regeln für E-Mail-Konten und Diensthandys gibt.
Deshalb sollten die wichtigsten Fragen bereits während des Beschäftigungsverhältnisses geklärt sein.
Ist die private Nutzung dienstlicher Kommunikationsmittel erlaubt? Wie werden geschäftliche Unterlagen abgelegt? Wer übernimmt laufende Vorgänge? Welche technischen Maßnahmen werden beim Austritt umgesetzt?
Je klarer diese Punkte geregelt sind, desto weniger Konflikte entstehen später.
Datenschutz Prinz unterstützt Unternehmen dabei, solche Prozesse zu entwickeln und bestehende Regelungen zu überprüfen. Wir helfen insbesondere bei Löschkonzepten, E-Mail-Richtlinien und der Abstimmung zwischen Personalabteilung, IT und Datenschutz.
Fazit: Das digitale Offboarding verdient mehr AufmerksamkeitEin Mitarbeiter verlässt das Unternehmen. Seine Daten bleiben jedoch häufig in zahlreichen Systemen zurück.
Die Entscheidung der belgischen Datenschutzaufsicht zeigt, dass insbesondere E-Mail-Postfächer und dienstliche Telefonnummern sorgfältig behandelt werden müssen.
Unternehmen sollten deshalb nicht fragen, wie lange sie ein ehemaliges Postfach noch nutzen können, sondern welche Informationen sie tatsächlich noch benötigen.
Ein klar geregeltes Offboarding schützt ehemalige Beschäftigte, erleichtert die Arbeit der IT und reduziert vermeidbare Datenschutzrisiken.
Sie haben Fragen zu diesem Artikel? Rufen Sie uns gern unter 09122 6937302 an und vereinbaren Sie einen Gesprächstermin. Oder senden Sie uns einfach eine Nachricht. Wir freuen uns, Sie kennen zu lernen!
Ihr Team von Datenschutz Prinz
Hier haben Sie die Möglichkeit, für alle Blog-Beiträge, die wir auf unserer Webseite veröffentlichen, Updates zu erhalten.
Damit verpassen Sie keine Neuigkeiten mehr in Sachen Datenschutz!
Um hier diese Inhalte zu sehen, stimmen Sie bitte zu, dass diese in die Webseite von https://www.datenschutz-prinz.de/ geladen werden.
