14.10.2026

E-Mail-Zugriff nach Kündigung

Wenn das Postfach den Betrieb weiterlaufen lässt

Das österreichische Bundesverwaltungsgericht (BVwG) hat sich mit einer Frage beschäftigt, die fast jedes Unternehmen betrifft. Darf der Arbeitgeber nach dem Ausscheiden einer Mitarbeiterin oder eines Mitarbeiters weiter auf das dienstliche E-Mail-Postfach zugreifen? Mit Entscheidung vom 20. Dezember 2023 bestätigte das Gericht eine Entscheidung der österreichischen Datenschutzbehörde (DSB) und wies die Beschwerde einer ehemaligen Mitarbeiterin ab.

Die Frau war rund 20 Jahre bei einem Transportunternehmen angestellt. Sie kündigte selbst, das Dienstverhältnis endete nach Ablauf der Kündigungsfrist. Über ihre dienstliche E-Mail-Adresse wickelte sie auch private Korrespondenz ab. Nach ihrem Ausscheiden blieb der Account zunächst aktiv. Der Arbeitgeber sichtete eingehende E-Mails, um laufende Kundenaufträge weiter abwickeln zu können, und leitete ein E-Mail mit geschäftlichem Inhalt intern weiter. Der Account wurde rund drei Monate nach Ende des Dienstverhältnisses deaktiviert und nach vier Monaten vollständig gelöscht.

Die ehemalige Mitarbeiterin sah darin mehrere Verstöße. Sie berief sich auf eine Verletzung der Informationspflichten nach Art. 13 DSGVO und Art. 14 DSGVO, auf eine Verletzung ihres Rechts auf Auskunft nach Art. 15 DSGVO, auf Datenübertragbarkeit nach Art. 20 DSGVO, auf Löschung nach Art. 17 DSGVO und auf Einschränkung der Verarbeitung nach Art. 18 DSGVO. Vor allem aber sah sie ihr Recht auf Geheimhaltung verletzt, weil der Arbeitgeber weiter in ihr Postfach Einsicht nahm.

Das Gericht stützte die Zulässigkeit der Einsichtnahme auf das berechtigte Interesse des Arbeitgebers nach Art. 6 DSGVO. Es verwies dabei auf eine aktuelle Entscheidung des österreichischen Obersten Gerichtshofs, wonach eine Verarbeitung auf Grundlage berechtigter Interessen drei Voraussetzungen erfüllen muss. Es muss ein berechtigtes Interesse vorliegen, die Verarbeitung muss zur Wahrung dieses Interesses erforderlich sein, und die Interessen der betroffenen Person dürfen nicht überwiegen. Im vorliegenden Fall bejahte das Gericht alle drei Punkte. Der Arbeitgeber musste sicherstellen, dass laufende Kundenaufträge nicht ins Leere liefen. Das weitergeleitete E-Mail betraf tatsächlich einen Frachtauftrag und damit einen geschäftlichen Vorgang. Für private Nachrichten fand das Gericht dagegen keine Hinweise darauf, dass der Arbeitgeber sie gezielt gesichtet oder weitergeleitet hätte.

Die Mitarbeiterin argumentierte, eine automatische Antwort hätte genügt, um Kundinnen und Kunden über ihr Ausscheiden zu informieren, ohne dass der Arbeitgeber ins Postfach schauen musste. Das Gericht folgte dem nicht. Eine automatische Antwort hätte den Namen der Mitarbeiterin weiter mit der E-Mail-Adresse verknüpft und für Kundinnen und Kunden zusätzlichen Aufwand bedeutet. Wichtig war dem Gericht auch die zeitliche Grenze. Der Account wurde rund drei Monate nach Ende des Dienstverhältnisses deaktiviert und nach vier Monaten gelöscht. Diesen Zeitraum hielt das Gericht für angemessen, denn das nachwirkende Interesse eines Arbeitgebers an einem reibungslosen Betriebsablauf nimmt mit der Zeit ab, erlischt aber nicht sofort mit dem letzten Arbeitstag.

Zu den übrigen Punkten stellte das Gericht fest: Die Auskunft nach Art. 15 DSGVO war zwar Gegenstand eines eigenen Verfahrens, wurde aber im laufenden Verfahren nachgeholt. Ein Recht auf Datenübertragbarkeit bestand für die private Korrespondenz nicht, weil die Mitarbeiterin diese Daten dem Arbeitgeber nicht im Sinne der Vorschrift bereitgestellt hatte, sondern lediglich die technische Infrastruktur privat mitnutzte. Das Recht auf Löschung war erfüllt, sobald der Account gelöscht wurde. Für sonstige, das Arbeitsverhältnis betreffende Daten bestanden gesetzliche Aufbewahrungspflichten, die einer vollständigen Löschung entgegenstanden. Auf eine Einschränkung der Verarbeitung nach Art. 18 DSGVO konnte sich die Mitarbeiterin nicht berufen, weil sie zuvor keinen wirksamen Widerspruch nach Art. 21 DSGVO gegen die Verarbeitung eingelegt hatte.

Das Gericht wies die Beschwerde insgesamt als unbegründet ab und bestätigte damit die Entscheidung der Datenschutzbehörde. Eine ordentliche Revision ließ es nicht zu.

Unsere Empfehlungen

Unternehmen/KMU

Offboarding-Prozess schriftlich festlegen: Wann wird der Account deaktiviert, wann gelöscht.
Private Nutzung dienstlicher E-Mail-Adressen klar regeln, am besten in einer internen Richtlinie oder im Arbeitsvertrag.
Zugriff auf das Postfach ausgeschiedener Mitarbeitender auf das Nötigste begrenzen, etwa auf die Weiterleitung erkennbar geschäftlicher Nachrichten.
Aufbewahrungsfristen für geschäftliche E-Mails an gesetzliche Vorgaben ausrichten, zum Beispiel im Handels- und Steuerrecht.
Kundinnen und Kunden frühzeitig über den Ansprechpartnerwechsel informieren, damit der Sichtungszeitraum kurz bleibt.

Behörden/öffentliche Stellen

Die gleichen Grundsätze gelten auch für Dienststellen, zusätzlich mit Blick auf Amtsverschwiegenheit und besondere Aufbewahrungspflichten.
Zugriffsrechte auf Postfächer ausgeschiedener Bediensteter dokumentieren und protokollieren.

Gesundheitseinrichtungen

Besondere Vorsicht ist geboten, weil dienstliche E-Mails häufig Gesundheitsdaten nach Art. 9 DSGVO enthalten können.
Zugriff nur durch namentlich benannte, zur Verschwiegenheit verpflichtete Personen und nur soweit für den Betrieb erforderlich.

Kanzleien/Freiberufler

Berufliche Verschwiegenheitspflichten beachten, wenn Mitarbeitende mit Mandantenkorrespondenz ausscheiden.
Zugriff und Weiterleitung von E-Mails so dokumentieren, dass im Streitfall nachvollziehbar ist, wer wann Einsicht genommen hat.

Quelle: Bundesverwaltungsgericht (BVwG), Österreich, Entscheidung vom 20.12.2023, GZ W211 2261679-1/26E; vorinstanzlich: Österreichische Datenschutzbehörde (DSB)

Lassen Sie sich unverbindlich von einem Datenschutzbeauftragten beraten.

Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:

Dieser Absatz enthält Affiliatelinks/Werbelinks