Bußgeld für Weiternutzung eines E-Mail-Postfaches nach Ende des Arbeitsverhältnisses
Selbstverständlich unterliegen auch die E-Mail-Accounts der Beschäftigten dem Datenschutz. Dies kommt aber in der Regel erst so richtig zum Tragen, wenn etwas schiefläuft oder Beschäftigte das Unternehmen verlassen. Gibt es keine oder unzureichende Regelungen, kann dies zu Bußgeldern führen, wie das nachfolgende Beispiel zeigt.
Der Sacherhalt
Im April 2026 verhängte die belgische Datenschutzbehörde ein Bußgeld gegen ein Unternehmen, das die personalisierte E-Mail-Adresse eines ausgeschiedenen Mitarbeiters noch knapp zwei Jahre aktiv hielt. Es gingen weiterhin – teils private – E-Mails ein, auf die das Unternehmen weiterhin zugriff. Eine automatische Antwort mit dem Hinweis auf das Ausscheiden des Mitarbeiters wurde nicht eingerichtet. Auch ein Löschantrag des ehemaligen Mitarbeiters blieb unbeantwortet. Das Unternehmen argumentierte als zertifiziertes Buchhaltungs- und Rechnungslegungsbüro mit berechtigten Interessen an der Weiternutzung des Postfachs u. a. zu Archivzwecken aufgrund gesetzlicher Aufbewahrungs- und Prüffristen. Eine interne Regelung bestimmte, dass Postfächer bis zu drei Jahre nach Ende des Arbeitsverhältnisses aufbewahrt werden dürften. Die Begründungen des Unternehmens ließ die Behörde nicht gelten und setzte ein Bußgeld in Höhe von 8.500 Euro fest.
Verstoß Nr. 1: Fehlende Rechtsgrundlage für die Weiternutzung des Postfaches
Für die Dauer des Arbeitsverhältnisses ist die Nutzung der personalisierten beruflichen E-Mail-Adresse regelmäßig für die Durchführung des Arbeitsvertrags erforderlich. Die Verarbeitung wird daher für den Beschäftigungszeitraum für die Erfüllung des Arbeitsvertrages als notwendig angesehen und Art. 6 Abs. 1 lit. b DSGVO bildet für die Datenverarbeitung die Rechtsgrundlage. Nach dem Ausscheiden entfällt diese Rechtsgrundlage jedoch. Die belgische Behörde geht deshalb davon aus, dass der Arbeitgeber das persönliche E-Mail-Konto beim Ausscheiden grundsätzlich deaktivieren und die darin enthaltenen geschäftlich erforderlichen Informationen zuvor in geeignete Unternehmenssysteme überführen muss.
Wenn ein Postfach nach Ende des Arbeitsverhältnisses noch weiter aktiv bleibt, kann dies zwar grundsätzlich auf das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO) gestützt werden – dies ist jedoch nur für eine begrenzte Zeit möglich. Dieses Interesse kann beispielsweise darin bestehen, mögliche Korrespondenzpartner darüber zu informieren, dass der Mitarbeiter nicht mehr im Unternehmen tätig ist und an wen sie sich künftig wenden sollen. Für eine Übergangszeit darf eine automatische Antwort eingerichtet werden.
Dieses Interesse erstreckt sich nach dem Bescheid der belgischen Behörde gerade nicht darauf,
- das Postfach über längere Zeit aktiv zu halten,
- das Postfach regelmäßig zu überwachen,
- das gesamte Postfach für steuerliche oder haftungsrechtliche Zwecke aufzubewahren,
- das Postfach nach geschäftlich relevanten Informationen zu durchsuchen,
- oder private Kommunikation zu lesen.
Verstoß Nr. 2: Keine geeigneten technischen und organisatorischen Maßnahmen
Das Unternehmen hatte eine maximale Aufbewahrungsfrist (also Aktivhaltung des Postfachs) von drei Jahren nach dem Ende des Arbeitsverhältnisses vorgesehen. Die Behörde hielt diese pauschale Regelung für unzulässig. Außerdem dürfe der Account nicht weiterhin wie ein normales Postfach betrieben oder aktiv überwacht werden. Das Unternehmen hätte hier eine deutlich kürzere Übergangsfrist nach individueller Abwägung setzen müssen (die Behörde spricht sich für maximal drei Monate aus).
Verstoß Nr. 3: Verletzung des Rechts auf Löschung
Der Mitarbeiter bat das Unternehmen zwischenzeitlich darum, das Postfach zu sperren. Dies interpretierte die belgische Behörde als Löschantrag im Sinne von Art. 17 DSGVO. Dieser Löschantrag blieb durch das Unternehmen allerdings unbeantwortet, weil es meinte, der Antrag hätte begründet werden müssen und ging darüber hinaus auch verspätet ein. Dies ist jedoch nicht der Fall. Löschersuchen unterliegen keinen Formanforderungen, keiner Frist für den Betroffenen und auch keiner Begründungspflicht.
Besonderes Risiko beim Zugriff auf private E-Mails
Besonders kritisch bewertete die Behörde, dass das Unternehmen private beziehungsweise persönlich an den ehemaligen Mitarbeiter gerichtete E-Mails zur Kenntnis genommen und weitergeleitet hatte.
In Deutschland entspricht dies der Verletzung des Fernmeldegeheimnisses nach § 3 TDDDG. Es ist bislang noch nicht abschließend geklärt, ob das Fernmeldegeheimnis für Arbeitgeber bei erlaubter (oder offenbar geduldeter) Privatnutzung des dienstlichen E-Mail-Accounts gilt oder nicht.
Unsere Empfehlung
Wenn Beschäftigte das Unternehmen verlassen:
- Planen Sie den Austritt – sofern möglich – rechtzeitig. Klären Sie vor dem letzten Arbeitstag, was mit dem Postfach geschieht. Ggf. sollten Geschäftspartner informiert und an andere Ansprechpersonen verwiesen werden. Wichtige E-Mails sollten zur Bearbeitung weitergeleitet werden. Sofern möglich, geben Sie Ihren Mitarbeitenden vor dem Ausscheiden noch Gelegenheit, eine Sortierung von privaten und dienstlichen E-Mails sowie eine Sicherung privater Inhalte vorzunehmen.
- Richten Sie eine Abwesenheitsnachricht statt einer Weiterleitung ein. Eine automatische Antwort mit Hinweis auf neue Ansprechpersonen ist weniger eingreifend als das Weiterleiten. Sie sollte befristet sein und nur so lange laufen, wie unbedingt erforderlich.
- Deaktivieren Sie das Postfach zeitnah. E-Mail-Accounts dürfen nach Ausscheiden noch eine kurze Zeit lang aktiv bleiben. Ein Zugriff von KollegInnen oder NachfolgerInnen ist dabei allerdings nicht erlaubt. Nach Ablauf des Zeitraumes sollten die E-Mail-Adresse und das dazugehörige Postfach endgültig gelöscht werden.
Sprechen Sie uns bei Fragen selbstverständlich gerne an.
