28.08.2026

Spindöffnung ohne Zustimmung

Bußgeld nach eigenmächtiger Spind-Räumung

Die italienische Datenschutzbehörde Garante per la protezione dei dati personali hat gegen ein Unternehmen ein Bußgeld von 6.600 Euro verhängt. Der Grund: Das Unternehmen hatte den Spind eines ausgeschiedenen Mitarbeiters ohne dessen Wissen geöffnet, den Inhalt entfernt und vernichtet. Der Fall zeigt, wie schnell scheinbar banale Abläufe beim Offboarding zu einem Datenschutzverstoß werden.

Ein Mitarbeiter war über eine Zeitarbeitsfirma bei dem Unternehmen beschäftigt. Ende Dezember 2023 endete das Arbeitsverhältnis. Der Mitarbeiter sollte seinen Spind räumen und vereinbarte dafür mehrere Termine mit der Zeitarbeitsfirma, die als Vermittlerin zwischen ihm und dem Unternehmen auftrat. Die ersten drei Termine sagte er ab, unter anderem weil sein Vater in einer anderen Region im Krankenhaus lag. Für den 31. Januar 2024 stand ein weiterer Termin fest.

Am Tag davor, dem 30. Januar 2024, öffnete das Unternehmen den Spind trotzdem. Vier Mitarbeiter waren anwesend: der Sicherheitsverantwortliche, die Sicherheitskoordinatorin, ein Wartungsmitarbeiter und der Koordinator der allgemeinen Dienste. Die Sicherheitskoordinatorin filmte die Aktion mit ihrem privaten Smartphone, um das Unternehmen im Streitfall absichern zu können. Im Spind lagen sowohl nicht mehr verkäufliche Firmenprodukte als auch Gegenstände des strikt persönlichen und intimen Gebrauchs. Beides wurde vernichtet.

Als der Mitarbeiter am 31. Januar wie vereinbart zum Unternehmen kam, erfuhr er, dass sein Spind bereits geleert worden war. Er reichte Beschwerde bei der Behörde ein und machte geltend, das Öffnen seines Spinds sei eine unrechtmäßige Verarbeitung seiner personenbezogenen Daten gewesen.

Das Unternehmen wehrte sich mit mehreren Argumenten. Die Gegenstände im Spind seien keine personenbezogenen Daten im Sinne von Art. 4 DS-GVO, weil sie niemanden identifizieren könnten. Die Behörde widersprach: Der Inhalt eines persönlichen Spinds, etwa Wechselwäsche, Medikamente, Hygieneartikel oder Kosmetika, lasse durchaus Rückschlüsse auf Gesundheit, Gewohnheiten und persönliche Umstände einer Person zu. Damit handelt es sich um personenbezogene Daten.

Auch den zweiten Einwand des Unternehmens ließ die Behörde nicht gelten. Das Öffnen des Spinds, das Filmen und die anschließende Vernichtung der Gegenstände seien keine Verarbeitung nach Art. 2 DS-GVO, weil weder automatisierte Mittel noch ein Dateisystem im Spiel gewesen seien. Die Behörde stellte klar, dass der Begriff der Verarbeitung nach Art. 4 DS-GVO weit auszulegen ist und die dort genannten Beispiele nicht abschließend sind. Auch der Begriff des Dateisystems sei weit zu verstehen. Der Fall fällt damit vollständig in den Anwendungsbereich der DSGVO.

Bei der Rechtsgrundlage berief sich das Unternehmen auf sein berechtigtes Interesse nach Art. 6 DS-GVO. Es müsse Spinde für neue Mitarbeiter freihalten können. Die Behörde erkannte das grundsätzlich als legitimes Ziel an, verneinte aber eine korrekte Interessenabwägung. Der Mitarbeiter hatte einen Termin zur Räumung vereinbart und konnte deshalb nicht erwarten, dass sein Spind schon vorher geöffnet würde. Ein berechtigtes Interesse darf zudem nicht als letzte Ausflucht dienen, wenn keine andere Rechtsgrundlage passt.

Beim Thema Transparenz fielen der Behörde gleich mehrere Versäumnisse auf. Das Unternehmen hatte keine schriftlichen Regeln zur Nutzung der Spinde. Es informierte den Mitarbeiter nicht klar darüber, bis wann der Spind spätestens geräumt sein musste. Und es teilte ihm auch nachträglich nicht mit, dass der Spind bereits geöffnet worden war. Das verstößt gegen die Informationspflicht aus Art. 13 DS-GVO und gegen den Grundsatz von Treu und Glauben aus Art. 5 DS-GVO.

Die Behörde bewertete zusätzlich als besonders schwerwiegend, dass die Mitarbeiter des Unternehmens beim Öffnen des Spinds auch intime persönliche Gegenstände sichteten. Eine solche Einsichtnahme verletzt die Menschenwürde und verstößt gegen den Grundsatz der Datenminimierung aus Art. 5 DS-GVO.

Die Zeitarbeitsfirma, die zwischen Mitarbeiter und Unternehmen vermittelte, war an der eigentlichen Spindöffnung nicht beteiligt. Sie verwies auf einen Verhaltenskodex der Branche, wonach Zeitarbeitsfirma und Einsatzunternehmen jeweils eigenständige Verantwortliche sind. Die Behörde traf zu dieser Frage keine gesonderte Feststellung und richtete das Bußgeld allein an das Einsatzunternehmen.

Am Ende verhängte die Behörde ein Bußgeld von 6.600 Euro wegen Verstößen gegen Art. 5 DS-GVO, Art. 6 DS-GVO und Art. 13 DS-GVO. Zusätzlich stellte die Behörde fest, dass das Unternehmen zunächst gar nicht auf eine behördliche Auskunftsanfrage reagiert hatte. Zugunsten des Unternehmens wertete die Behörde, dass es im Verfahren kooperierte und im Nachgang eine schriftliche Richtlinie zur Spindnutzung einführte.

Unsere Empfehlungen

Unternehmen/KMU

Wer Mitarbeitenden Spinde, Schließfächer oder ähnliche persönliche Ablagen zur Verfügung stellt, sollte schriftlich festhalten, wofür diese gedacht sind und wie die Räumung nach Vertragsende abläuft. Legen Sie eine klare Frist fest und teilen Sie diese dem Mitarbeiter schriftlich mit, nicht nur mündlich über Dritte. Öffnen Sie einen Spind nie eigenmächtig vor einem vereinbarten Termin. Wenn eine Räumung unumgänglich ist, informieren Sie die betroffene Person vorher und danach, und bewahren Sie gefundene persönliche Gegenstände für eine angemessene Zeit auf, statt sie sofort zu vernichten.

Behörden und öffentliche Stellen

Auch Behörden sind Arbeitgeber und stellen ihren Beschäftigten Spinde oder Schränke zur Verfügung. Prüfen Sie, ob es für die Nutzung solcher Einrichtungen eine Dienstanweisung gibt. Fehlt sie, sollte sie nachgeholt werden, inklusive klarer Regeln zum Offboarding und zur Dokumentation von Zugriffen auf persönliche Ablagen ausgeschiedener Mitarbeiter.

Gesundheitseinrichtungen

In Kliniken und Praxen nutzen viele Beschäftigte Personalspinde in Umkleiden. Gerade hier lagern häufig Gegenstände, die auf den Gesundheitszustand hinweisen können. Eine klare Nutzungsordnung und ein geregelter Übergabeprozess beim Ausscheiden schützen sowohl die Einrichtung als auch die betroffenen Mitarbeiter vor unnötigen Konflikten.

Kanzleien und Freiberufler

Auch kleinere Kanzleien und Praxen mit angestelltem Personal sollten das Offboarding schriftlich regeln. Wer als Berater Mandanten zu Beschäftigtendatenschutz betreut, findet in diesem Fall ein anschauliches Beispiel dafür, wie Interessenabwägung und Informationspflicht bei alltäglichen Personalprozessen zusammenspielen.

Quelle: Garante per la protezione dei dati personali (Italien)

Lassen Sie sich unverbindlich von einem Datenschutzbeauftragten beraten.

Kontakt aufnehmen

Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:

Dieser Absatz enthält Affiliatelinks/Werbelinks