Belgische Datenschutzbehörde: 8.500 Euro Bußgeld für jahrelang aktive Ex-Mitarbeiter-Mailbox
Wie lange darf ein Arbeitgeber die dienstliche E-Mail-Adresse eines ehemaligen Mitarbeiters aktiv halten? Und was passiert, wenn er dabei private Nachrichten liest und einen Löschantrag ignoriert? Die belgische Datenschutzbehörde (GBA, Gegevensbeschermingsautoriteit) hat diese Fragen in ihrer Entscheidung 86/2026 vom 23. April 2026 klar beantwortet. Das Ergebnis: eine Geldbuße von 8.500 Euro, eine Rüge und die Anordnung zur sofortigen Löschung.
Der Fall: Mailbox blieb über zwei Jahre aktiv
Ein Arbeitnehmer verließ im Juni 2021 sein Unternehmen, ein belgisches Steuerberatungs- und Buchhaltungsbüro. Bei Einreichung der Beschwerde im Januar 2023, also fast zwei Jahre nach dem Ausscheiden, war seine dienstliche E-Mail-Adresse noch aktiv. Eingehende Nachrichten wurden nicht automatisch weitergeleitet oder mit einem Abwesenheitshinweis beantwortet. Der ehemalige Mitarbeiter erhielt stattdessen gelegentlich Weiterleitungen vom Arbeitgeber, darunter auch private Zahlungserinnerungen eines Gläubigers.
Am 20. Januar 2023 stellte der Betroffene einen Löschantrag. Eine Antwort des Unternehmens blieb aus. Einen Monat später wandte er sich an die GBA. Ein automatischer Abwesenheitshinweis wurde erst am 19. April 2023 eingerichtet, und zwar nach Eingang des Anhörungsschreibens der Behörde.
Rechtsgrundlage: Was der Arbeitgeber behauptete
Das Unternehmen berief sich auf das berechtigte Interesse gemäß Art. 6 Abs. 1 lit. f DS-GVO. Als Buchhaltungskanzlei unterliege sie steuerlichen Aufbewahrungspflichten und Verjährungsfristen von bis zu zehn Jahren. Deshalb habe sie bis zu drei Jahre nach Ausscheiden des Mitarbeiters auf dessen Mailbox zugreifen müssen. Diese Frist sei im Datenschutzanhang zum Arbeitsvertrag dokumentiert gewesen. Der Mitarbeiter habe mit seiner Unterschrift zugestimmt.
Bewertung der Streitkammer: Dreistufiger Test, dreifach gescheitert
Die Streitkammer (Geschillenkamer) der GBA prüfte die Berufung auf berechtigtes Interesse anhand der drei kumulativen Voraussetzungen, die der EuGH und der Europäische Datenschutzausschuss (EDSA) für Art. 6 Abs. 1 lit. f DS-GVO vorschreiben.
Zweck (Zieltest): Das Interesse des Unternehmens, Verjährungsfristen einzuhalten und sich gegenüber Mandanten und Aufsichtsbehörden verantworten zu können, erkannte die Streitkammer als legitim an.
Erforderlichkeit (Notwendigkeitstest): Hier scheiterte das Unternehmen. Die Streitkammer stellte fest, dass die vollständige Mailbox über drei Jahre nicht erforderlich ist, um gesetzliche Pflichten zu erfüllen. Relevante Dokumente und Kommunikation hätten vor dem Ausscheiden des Mitarbeiters, idealerweise in seiner Anwesenheit, in das Archivierungssystem des Unternehmens übertragen werden müssen. Eine dauerhaft aktive Mailbox ersetzt kein ordentliches Ablagesystem. Der Zugriff auf private E-Mails des ehemaligen Mitarbeiters, in diesem Fall Zahlungserinnerungen eines Gläubigers, war nach Ansicht der Streitkammer ohnehin unter keinem Gesichtspunkt gerechtfertigt und verstößt überdies gegen belgisches Strafrecht.
Interessenabwägung: Da die Erforderlichkeit bereits verneint wurde, fiel auch die Interessenabwägung zugunsten des Betroffenen aus.
Auch die Berufung auf eine vertragliche Einwilligung nach Art. 6 Abs. 1 lit. a DS-GVO wies die Streitkammer zurück. Eine Unterschrift unter den Arbeitsvertrag ist keine freiwillige, informierte und unmissverständliche Einwilligung im Sinne von Art. 7 DS-GVO. Im Arbeitsverhältnis besteht ein klares Machtgefälle, das eine freie Willensbildung ausschließt.
Was die GBA als zulässig ansieht
Die Streitkammer stellte klar, was Arbeitgeber tun dürfen und was sie tun müssen.
Erlaubt ist, die E-Mail-Adresse nach dem Ausscheiden für maximal einen Monat aktiv zu halten, und zwar ausschließlich, um eingehenden Kontakten mitzuteilen, dass die Person das Unternehmen verlassen hat, und eine Ansprechperson zu benennen. Diese Frist kann in begründeten Ausnahmefällen um bis zu zwei weitere Monate verlängert werden, zum Beispiel wenn der Mitarbeiter eine besonders verantwortungsvolle Position innehatte. Eine Gesamtdauer von drei Monaten wird von der Streitkammer nicht akzeptiert.
Nicht erlaubt ist, die Mailbox nach dem Ausscheiden zu durchsuchen, um geschäftlich relevante Informationen zu sichern. Das ist Aufgabe des Unternehmens vor dem letzten Arbeitstag. Ebenso unzulässig ist der Zugriff auf private Nachrichten, die nach dem Ausscheiden in der Mailbox eingehen.
Nach Ablauf der erlaubten Übergangsfrist müssen E-Mail-Adresse und Mailbox vollständig gelöscht werden, einschließlich aller Backups. Die Streitkammer empfiehlt, diesen Vorgang zu automatisieren, um menschliche Fehler zu vermeiden.
Folgen für den Löschantrag
Das Unternehmen hat den Löschantrag des Betroffenen vom 20. Januar 2023 vollständig ignoriert. Die Streitkammer stellte einen Verstoß gegen Art. 17 DS-GVO (Recht auf Löschung) sowie gegen Art. 12 Abs. 2 und 3 DS-GVO fest. Der Verantwortliche muss auf Anfragen zu Betroffenenrechten innerhalb eines Monats antworten, und zwar auch dann, wenn er die Anfrage ablehnt. In diesem Fall wäre eine Ablehnung mit Begründung erforderlich gewesen. Das Unternehmen reagierte gar nicht.
Sanktionen und Korrekturmaßnahmen
Die GBA ordnete an, die Verarbeitung der E-Mail-Adresse und der Mailbox des Betroffenen sofort einzustellen und beides dauerhaft zu löschen. Der Nachweis ist innerhalb von 30 Tagen nach Zustellung der Entscheidung zu erbringen. Das Unternehmen erhielt eine formelle Rüge wegen Verstößen gegen Art. 24 DS-GVO, Art. 25 DS-GVO und Art. 5 Abs. 2 DS-GVO (Rechenschaftspflicht). Die Geldbuße beläuft sich auf 8.500 Euro. Grundlage ist Art. 83 Abs. 5 DS-GVO, der für Verstöße gegen die Grundsätze der Rechtmäßigkeit bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes vorsieht. Wegen der geringen Unternehmensgröße (Bruttogewinnmarge 2024: rund 1,46 Millionen Euro) blieb die tatsächliche Geldbuße deutlich darunter.
Unsere Empfehlungen
Unternehmen und KMU
Definieren Sie einen verbindlichen Offboarding-Prozess für den Datenschutz. Dazu gehört: alle geschäftlich relevanten Informationen vor dem letzten Arbeitstag in das Unternehmenssystem übertragen, am ersten Tag nach dem Ausscheiden einen automatischen Abwesenheitshinweis einrichten und die Mailbox spätestens nach einem Monat, in begründeten Ausnahmefällen nach drei Monaten, löschen. Automatisieren Sie diesen Vorgang, wo es möglich ist. Verlassen Sie sich nicht auf Regelungen im Arbeitsvertrag als Rechtsgrundlage für die Weiterverarbeitung. Ein Machtgefälle zwischen Arbeitgeber und Arbeitnehmer schließt eine freiwillige Einwilligung nach der DS-GVO aus. Richten Sie außerdem einen Prozess für die Bearbeitung von Löschanträgen ein und stellen Sie sicher, dass jede Anfrage innerhalb eines Monats beantwortet wird, auch wenn Sie sie ablehnen.
Behörden und öffentliche Stellen
Für öffentliche Arbeitgeber gilt dasselbe Prinzip. Auch hier ersetzt die aktive Mailbox kein ordentliches Aktenverwaltungssystem. Relevante Kommunikation muss vor dem Ausscheiden in die behördliche Aktenhaltung überführt werden. Prüfen Sie, ob Ihre internen IT-Richtlinien konkrete Fristen und Verantwortlichkeiten für die Deaktivierung von Mitarbeiterkonten enthalten. Stimmen Sie diese Regelungen mit Ihrem Datenschutzbeauftragten ab.
Gesundheitseinrichtungen
In Praxen, Kliniken und Pflegeeinrichtungen kommunizieren Mitarbeiter per E-Mail mit Patienten, Kostenträgern und anderen Leistungserbringern. Nach dem Ausscheiden ist das Risiko besonders hoch, dass über eine noch aktive Adresse Gesundheitsdaten oder andere sensible Informationen eingehen. Sorgen Sie dafür, dass E-Mail-Adressen ausgeschiedener Mitarbeiter sofort deaktiviert werden und dass Patienten und Partner über eine Ersatzkontaktadresse informiert werden. Der Zugriff auf eingegangene Nachrichten nach dem Ausscheiden ist ohne Einwilligung der Betroffenen unzulässig.
Kanzleien und Freiberufler
Dieser Fall betrifft direkt die freiberufliche und kanzleiähnliche Struktur: Das betroffene Unternehmen war eine Steuerberatungskanzlei. Die Berufung auf steuerliche Aufbewahrungspflichten als Rechtfertigung für eine jahrelang aktive Mitarbeiter-Mailbox hat die GBA ausdrücklich abgelehnt. Aufbewahrungspflichten sind durch ordentliche Aktenführung zu erfüllen, nicht durch das Offenhalten von E-Mail-Postfächern. Prüfen Sie Ihre Offboarding-Checkliste und stellen Sie sicher, dass Mandantenkommunikation vor dem letzten Arbeitstag eines Mitarbeiters in die Kanzleisoftware übernommen wird.
Quelle: Belgische Datenschutzbehörde (GBA, Gegevensbeschermingsautoriteit), Entscheidung 86/2026 der Geschillenkamer vom 23. April 2026
Lassen Sie sich unverbindlich von einem Datenschutzbeauftragten beraten.
Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:
- Art. 17 DS-GVO – Recht auf Löschung (Recht auf Vergessenwerden)
- Meldung von Datenschutzverletzungen nach Art. 33 DS-GVO
- Nachweis der Datenlöschung – So dokumentieren Sie korrekt
- Datenschutzrisiko E-Mails – Was Unternehmen wissen müssen
- Ombudsstelle und Hinweisgebersystem für Hinweisgeber (Whistleblower)
- Datenschutz und IT-Compliance: Das Handbuch für Admins und IT-Leiter
- Kein Backup, kein Mitleid! Datensicherung mit NAS und Festplatte
- Datenpanne auf Reisen durch Visual Hacking – Blickschutz hilft
Dieser Absatz enthält Affiliatelinks/Werbelinks