Selbstverst\u00e4ndlich unterliegen auch die E-Mail-Accounts der Besch\u00e4ftigten dem Datenschutz. Dies kommt aber in der Regel erst so richtig zum Tragen, wenn etwas schiefl\u00e4uft oder Besch\u00e4ftigte das Unternehmen verlassen. Gibt es keine oder unzureichende Regelungen, kann dies zu Bu\u00dfgeldern f\u00fchren, wie das nachfolgende Beispiel zeigt.<\/p>\n
Im April 2026 verh\u00e4ngte die belgische Datenschutzbeh\u00f6rde ein Bu\u00dfgeld gegen ein Unternehmen, das die personalisierte E-Mail-Adresse eines ausgeschiedenen Mitarbeiters noch knapp zwei Jahre aktiv hielt. Es gingen weiterhin \u2013 teils private \u2013 E-Mails ein, auf die das Unternehmen weiterhin zugriff.\u00a0 Eine automatische Antwort mit dem Hinweis auf das Ausscheiden des Mitarbeiters wurde nicht eingerichtet. Auch ein L\u00f6schantrag des ehemaligen Mitarbeiters blieb unbeantwortet. Das Unternehmen argumentierte als zertifiziertes Buchhaltungs- und Rechnungslegungsb\u00fcro mit berechtigten Interessen an der Weiternutzung des Postfachs u. a. zu Archivzwecken aufgrund gesetzlicher Aufbewahrungs- und Pr\u00fcffristen. Eine interne Regelung bestimmte, dass Postf\u00e4cher bis zu drei Jahre nach Ende des Arbeitsverh\u00e4ltnisses aufbewahrt werden d\u00fcrften. Die Begr\u00fcndungen des Unternehmens lie\u00df die Beh\u00f6rde nicht gelten und setzte ein Bu\u00dfgeld in H\u00f6he von 8.500 Euro fest.<\/p>\n
F\u00fcr die Dauer des Arbeitsverh\u00e4ltnisses ist die Nutzung der personalisierten beruflichen E-Mail-Adresse regelm\u00e4\u00dfig f\u00fcr die Durchf\u00fchrung des Arbeitsvertrags erforderlich. Die Verarbeitung wird daher f\u00fcr den Besch\u00e4ftigungszeitraum f\u00fcr die Erf\u00fcllung des Arbeitsvertrages als notwendig angesehen und Art. 6 Abs. 1 lit. b DSGVO bildet f\u00fcr die Datenverarbeitung die Rechtsgrundlage. Nach dem Ausscheiden entf\u00e4llt diese Rechtsgrundlage jedoch. Die belgische Beh\u00f6rde geht deshalb davon aus, dass der Arbeitgeber das pers\u00f6nliche E-Mail-Konto beim Ausscheiden grunds\u00e4tzlich deaktivieren und die darin enthaltenen gesch\u00e4ftlich erforderlichen Informationen zuvor in geeignete Unternehmenssysteme \u00fcberf\u00fchren muss.<\/p>\n
Wenn ein Postfach nach Ende des Arbeitsverh\u00e4ltnisses noch weiter aktiv bleibt, kann dies zwar grunds\u00e4tzlich auf das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO) gest\u00fctzt werden \u2013 dies ist jedoch nur f\u00fcr eine begrenzte Zeit m\u00f6glich. Dieses Interesse kann beispielsweise darin bestehen, m\u00f6gliche Korrespondenzpartner dar\u00fcber zu informieren, dass der Mitarbeiter nicht mehr im Unternehmen t\u00e4tig ist und an wen sie sich k\u00fcnftig wenden sollen. F\u00fcr eine \u00dcbergangszeit darf eine automatische Antwort eingerichtet werden.<\/p>\n
Dieses Interesse erstreckt sich nach dem Bescheid der belgischen Beh\u00f6rde gerade nicht darauf,<\/p>\n
Das Unternehmen hatte eine maximale Aufbewahrungsfrist (also Aktivhaltung des Postfachs) von drei Jahren nach dem Ende des Arbeitsverh\u00e4ltnisses vorgesehen. Die Beh\u00f6rde hielt diese pauschale Regelung f\u00fcr unzul\u00e4ssig. Au\u00dferdem d\u00fcrfe der Account nicht weiterhin wie ein normales Postfach betrieben oder aktiv \u00fcberwacht werden. Das Unternehmen h\u00e4tte hier eine deutlich k\u00fcrzere \u00dcbergangsfrist nach individueller Abw\u00e4gung setzen m\u00fcssen (die Beh\u00f6rde spricht sich f\u00fcr maximal drei Monate aus).<\/p>\n
Der Mitarbeiter bat das Unternehmen zwischenzeitlich darum, das Postfach zu sperren. Dies interpretierte die belgische Beh\u00f6rde als L\u00f6schantrag im Sinne von Art. 17 DSGVO.\u00a0 Dieser L\u00f6schantrag blieb durch das Unternehmen allerdings unbeantwortet, weil es meinte, der Antrag h\u00e4tte begr\u00fcndet werden m\u00fcssen und ging dar\u00fcber hinaus auch versp\u00e4tet ein. Dies ist jedoch nicht der Fall. L\u00f6schersuchen unterliegen keinen Formanforderungen, keiner Frist f\u00fcr den Betroffenen und auch keiner Begr\u00fcndungspflicht.<\/p>\n
Besonders kritisch bewertete die Beh\u00f6rde, dass das Unternehmen private beziehungsweise pers\u00f6nlich an den ehemaligen Mitarbeiter gerichtete E-Mails zur Kenntnis genommen und weitergeleitet hatte.<\/p>\n
In Deutschland entspricht dies der Verletzung des Fernmeldegeheimnisses nach \u00a7 3 TDDDG. Es ist bislang noch nicht abschlie\u00dfend gekl\u00e4rt, ob das Fernmeldegeheimnis f\u00fcr Arbeitgeber bei erlaubter (oder offenbar geduldeter) Privatnutzung des dienstlichen E-Mail-Accounts gilt oder nicht.<\/p>\n
Wenn Besch\u00e4ftigte das Unternehmen verlassen:<\/p>\n
Sprechen Sie uns bei Fragen selbstverst\u00e4ndlich gerne an.<\/p>\n","protected":false},"excerpt":{"rendered":"
Selbstverst\u00e4ndlich unterliegen auch die E-Mail-Accounts der Besch\u00e4ftigten dem Datenschutz. Dies kommt aber in der Regel erst so richtig zum Tragen, wenn etwas schiefl\u00e4uft oder Besch\u00e4ftigte das Unternehmen verlassen. Gibt es keine oder unzureichende Regelungen, kann dies zu Bu\u00dfgeldern f\u00fchren, wie das nachfolgende Beispiel zeigt. Der Sacherhalt Im April 2026 verh\u00e4ngte die belgische Datenschutzbeh\u00f6rde ein Bu\u00dfgeld […]<\/p>\n","protected":false},"author":9,"featured_media":3251,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[29],"tags":[],"class_list":["post-4358","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-datenschutzberatung"],"acf":[],"_links":{"self":[{"href":"https:\/\/www.ecovis.com\/datenschutzberater\/wp-json\/wp\/v2\/posts\/4358","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ecovis.com\/datenschutzberater\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ecovis.com\/datenschutzberater\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ecovis.com\/datenschutzberater\/wp-json\/wp\/v2\/users\/9"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ecovis.com\/datenschutzberater\/wp-json\/wp\/v2\/comments?post=4358"}],"version-history":[{"count":1,"href":"https:\/\/www.ecovis.com\/datenschutzberater\/wp-json\/wp\/v2\/posts\/4358\/revisions"}],"predecessor-version":[{"id":4359,"href":"https:\/\/www.ecovis.com\/datenschutzberater\/wp-json\/wp\/v2\/posts\/4358\/revisions\/4359"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ecovis.com\/datenschutzberater\/wp-json\/wp\/v2\/media\/3251"}],"wp:attachment":[{"href":"https:\/\/www.ecovis.com\/datenschutzberater\/wp-json\/wp\/v2\/media?parent=4358"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ecovis.com\/datenschutzberater\/wp-json\/wp\/v2\/categories?post=4358"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ecovis.com\/datenschutzberater\/wp-json\/wp\/v2\/tags?post=4358"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}