E-Mail-Postfach ausgeschiedener Mitarbeiter

Wann Arbeitgeber in das Postfach von Beschäftigten schauen dürfen

Ein Beschäftigter kündigt, fällt lange aus oder wird fristlos entlassen. In seinem Postfach liegen Kundenanfragen, Rechnungen und vielleicht auch private Nachrichten. Darf der Arbeitgeber das Postfach öffnen? Die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) hat zu dieser Frage viele Beratungsanfragen erhalten. In ihrem Jahresbericht beschreibt die Datenschutzbehörde, wie Verantwortliche mit personalisierten E-Mail-Konten umgehen sollten.

Die Datenschutzbehörde rät, die Regeln für E-Mail-Postfächer von Anfang an festzulegen. So entstehen datenschutzrechtliche Probleme gar nicht erst. Am Anfang steht eine einfache Frage: Braucht es überhaupt personalisierte Postfächer, oder reichen Funktionsadressen? Wichtige Informationen, auf die mehrere Personen Zugriff haben sollen, können über Funktionspostfächer laufen, etwa buchhaltung@unternehmen.de. Solche Postfächer bleiben bestehen, wenn einzelne Beschäftigte gehen, und mehrere Personen können sie nutzen.

Sollen die Postfächer personalisiert sein, müssen Beschäftigte angewiesen werden, alle für die Zukunft relevanten Inhalte außerhalb ihres persönlichen Postfachs abzulegen. Dort sind sie für Vertretungen und Kolleginnen und Kollegen erreichbar. Für Abwesenheiten sollte ein Abwesenheitsassistent eingerichtet sein. Er teilt Absendern mit, dass eingehende E-Mails nicht gelesen werden und sie sich an eine andere Adresse wenden sollen.

Ist ein Beschäftigter dauerhaft abwesend, sollte das Postfach abgeschaltet werden. Mindestens sollte es eingehende E-Mails ablehnen, sinnvollerweise zusammen mit einer automatischen Abwesenheitsnachricht. Von einem Sammelpostfach für alle nicht zuordenbaren E-Mails, einem sogenannten Catch-all-Postfach, rät die BlnBDI ab. Dort landen schnell personenbezogene Daten, die der Verantwortliche gar nicht erhalten will und für deren Verarbeitung es keine Rechtsgrundlage nach Art. 6 DS-GVO gibt.

Verlassen Beschäftigte ihre Stelle für längere Zeit oder endgültig, sollten sie vorher ihre privaten E-Mails löschen. Betriebliche E-Mails leiten sie an die Vertretung oder die Nachfolge weiter. Werden betriebliche E-Mails nicht mehr gebraucht, können sie ebenfalls gelöscht werden.

Manchmal geht das nicht mehr, zum Beispiel nach einer fristlosen Kündigung. Für diesen Fall empfiehlt die Datenschutzbehörde, eine verantwortliche Person zu bestimmen. Sie schützt die Interessen der ausgeschiedenen Person und sieht das Postfach nur ein, um betriebliche E-Mails auszusortieren und offensichtlich private E-Mails sofort zu löschen. Diese Aufgabe kann ein Mitglied des Betriebsrats übernehmen, der betriebliche Datenschutzbeauftragte oder eine Person, die die betroffene Person selbst benennt.

Die Geschäftsführung darf E-Mails ausgeschiedener Beschäftigter auch selbst lesen oder weiterleiten, wenn die E-Mail-Nutzung nur betrieblich erlaubt und private Nutzung ausdrücklich verboten war. Auch dann muss sie aber jede E-Mail daraufhin prüfen, ob sie geschäftlich oder privat ist. Der private Charakter zeigt sich oft schon im Header oder an einem eindeutigen Betreff. Erst wenn dort nichts auf eine private Nachricht hindeutet, darf die E-Mail geöffnet werden. Stellt sich beim Lesen heraus, dass sie doch privat ist, muss sie sofort geschlossen werden, ohne den Inhalt weiter zur Kenntnis zu nehmen. Die betroffene Person ist in jedem Fall über eine solche Maßnahme zu informieren.

Will ein Arbeitgeber die private Nutzung der dienstlichen E-Mail-Adresse erlauben, empfiehlt die BlnBDI eine Betriebs- oder Dienstvereinbarung. Unabhängig davon sollte schriftlich feststehen, ob und in welchem Umfang private Nutzung erlaubt ist.

Das Fazit der Datenschutzbehörde ist klar. Verantwortliche sollten vorab regeln, ob berufliche Postfächer privat genutzt werden dürfen. Und sie sollten einen festen Ablauf dafür haben, was mit einem personalisierten Postfach passiert, wenn Beschäftigte ausscheiden.

Unsere Empfehlungen

Unternehmen und KMU

Legen Sie in einer schriftlichen IT-Richtlinie fest, ob private E-Mails erlaubt sind. Ein klares Verbot macht den späteren Zugriff deutlich einfacher. Wer private Nutzung erlaubt, sollte das in einer Betriebsvereinbarung regeln. Rechtsgrundlage dafür sind Kollektivvereinbarungen nach Art. 88 DS-GVO und § 26 Abs. 4 BDSG.

Nutzen Sie für Vertrieb, Buchhaltung und Support Funktionspostfächer. Nehmen Sie die Postfachübergabe als festen Punkt in Ihre Offboarding-Checkliste auf und richten Sie keine Catch-all-Postfächer ein. Für Fälle wie eine fristlose Kündigung sollte vorab feststehen, wer das Postfach sichtet und wie das dokumentiert wird.

Behörden und öffentliche Stellen

Regeln Sie die E-Mail-Nutzung in einer Dienstvereinbarung mit dem Personalrat. Für Vertretungsfälle eignen sich Funktionspostfächer der Organisationseinheit. Beachten Sie, dass auch Aktenrelevanz eine Rolle spielt: Vorgangsbezogene E-Mails gehören in die Akte oder das Dokumentenmanagement und nicht dauerhaft in ein persönliches Postfach.

Gesundheitseinrichtungen

In Postfächern von Ärztinnen, Ärzten und Pflegekräften stecken oft Gesundheitsdaten von Patientinnen und Patienten. Diese Daten unterliegen der Schweigepflicht. Die Person, die ein Postfach sichtet, sollte deshalb selbst zum Kreis der Berufsgeheimnisträger gehören oder ausdrücklich zur Verschwiegenheit verpflichtet sein. Patientenbezogene Kommunikation sollte ohnehin über Funktionspostfächer der Station oder Abteilung laufen.

Kanzleien und Freiberufler

In Kanzleien enthalten Postfächer Mandatsgeheimnisse. Fristen dürfen beim Ausscheiden eines Berufsträgers nicht verloren gehen. Mandatsbezogene E-Mails sollten deshalb laufend in die Akte überführt werden. Beim Ausscheiden muss geklärt sein, wer das Postfach übernimmt und wie eingehende Nachrichten zu laufenden Fristen weitergeleitet werden.

Quelle: Berliner Beauftragte für Datenschutz und Informationsfreiheit

Lassen Sie sich unverbindlich von einem Datenschutzbeauftragten beraten.

Kontakt aufnehmen

Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:

• Art. 17 DS-GVO – Recht auf Löschung (Recht auf Vergessenwerden)
• Meldung von Datenschutzverletzungen nach Art. 33 DS-GVO
• Nachweis der Datenlöschung – So dokumentieren Sie korrekt
• Datenschutzrisiko E-Mails – Was Unternehmen wissen müssen
• Ombudsstelle und Hinweisgebersystem für Hinweisgeber (Whistleblower)
• Datenschutz und IT-Compliance: Das Handbuch für Admins und IT-Leiter
• Kein Backup, kein Mitleid! Datensicherung mit NAS und Festplatte
• Datenpanne auf Reisen durch Visual Hacking – Blickschutz hilft

Dieser Absatz enthält Affiliatelinks/Werbelinks