Top-Themen im Datenschutz:
In der Praxis sehen wir als externe Datenschutzbeauftragte häufig, dass Unternehmen im Mittelstand gar keine Regelung zur privaten E-Mail-Nutzung getroffen haben, wenn es zu Kündigung, Urlaub oder Krankheit von Mitarbeitenden kommt. Was dann?
Was passiert mit dem E-Mail-Postfach, wenn eine Mitarbeiterin in Elternzeit geht, ein Kollege langfristig erkrankt oder jemand das Unternehmen verlässt? In der Praxis wird das Postfach häufig einfach offengelassen, vielleicht schaut jemand „mal kurz rein“ – schließlich könnten ja wichtige Rechnungen oder Kundenanfragen eingehen. Doch genau hier lauert ein erhebliches Datenschutzrisiko: Wenn die private Nutzung des E-Mail-Accounts geduldet oder gar nicht geregelt ist, kann das Postfach private Nachrichten enthalten.
Und dann stellt sich die Frage: Darf überhaupt jemand anderes hineinschauen? Die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) hat sich in ihrem Tätigkeitsbericht 2025 (Kapitel XI.1) genau mit diesem Thema beschäftigt und Empfehlungen ausgesprochen. Wir ordnen die Empfehlungen ein und zeigen, was Unternehmen konkret tun sollten.
Das eigentliche Problem liegt oft darin, dass es keine klare Regelung zur privaten Nutzung des dienstlichen E-Mail-Accounts gibt.
Fehlt eine solche Regelung, wird die private Nutzung nach der Rechtsprechung schnell als stillschweigend geduldet angesehen. Die Folge: Der Arbeitgeber muss davon ausgehen, dass das Postfach private Nachrichten enthält – und darf nicht einfach zugreifen.
Auch die BlnBDI sieht selbst bei einem ausdrücklichen Verbot der privaten Nutzung eine Pflicht zur Prüfung, ob E-Mails im Postfach einen privaten Charakter haben könnten. Das bedeutet: Ein pauschaler Zugriff auf das gesamte Postfach ist in keinem Fall zulässig.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenDie einfachste Maßnahme, um Zugriffsprobleme von vornherein zu vermeiden: Funktionspostfächer wie buchhaltung@, info@ oder vertrieb@ einrichten. Diese sind personenunabhängig, können von mehreren Beschäftigten betreut werden und verursachen beim Ausscheiden oder bei Abwesenheit einer Person keine Datenschutzprobleme.
Unsere Empfehlung: Stellen Sie konsequent auf Funktionspostfächer um – insbesondere für kundenrelevante Kommunikation, Rechnungseingang und allgemeine Anfragen. Persönliche E-Mail-Adressen bleiben daneben bestehen, sollten aber nur für individuelle Korrespondenz genutzt werden.
Wichtig bei der Umsetzung: Funktionspostfächer sollten technisch als geteilte Postfächer oder Gruppen eingerichtet werden, auf die Beschäftigte mit ihren individuellen Benutzerkonten Lese- und Versandrechte erhalten – niemals über gemeinsam genutzte Zugangsdaten. Nur so bleibt nachvollziehbar, wer wann auf welche Nachricht zugegriffen oder geantwortet hat – ein wichtiger Baustein für eine datenschutzgerechte Organisation und die Erfüllung der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.
Ausgehende Nachrichten sollten über eine personalisierte Signatur erkennen lassen, welche Person geantwortet hat. Zudem empfiehlt sich ein klarer Verantwortlicher je Funktionspostfach sowie ein Prozess zur Vergabe und zum Entzug der Berechtigungen, insbesondere beim On- und Offboarding.
Bei längerer Abwesenheit (Krankheit, Elternzeit, Sabbatical) empfiehlt die BlnBDI:
Im Idealfall gibt es für das Offboarding eine feste Regelung. Die ausscheidende Person sollte vorab:
Ist das nicht mehr möglich – etwa bei einer fristlosen Kündigung – empfiehlt die BlnBDI, dass eine neutrale, verantwortliche Person (z. B. der Datenschutzbeauftragte oder ein Betriebsratsmitglied) das Postfach nur insoweit sichtet, wie es zur Trennung von betrieblichen und offensichtlich privaten E-Mails nötig ist. Private E-Mails sind dann unverzüglich zu löschen.
Klar ist: Datenschutzkonform kann der Zugriff auf ein persönliches E-Mail-Postfach, das womöglich private E-Mails enthält, nicht mehr sein. Aber der Schaden lässt sich minimieren:
Schritt 1: Kontakt zum ausgeschiedenen Beschäftigten aufnehmen
Vor dem Zugriff muss die beschäftigte Person die Gelegenheit erhalten, private E-Mails zu entfernen. Setzen Sie eine angemessene Frist und fordern Sie die Person schriftlich auf, entweder mitzuteilen, welche E-Mails privater Natur sind, oder nochmals vorbeizukommen und private E-Mails unter Aufsicht zu löschen.
Schritt 2: Zugriff im Vier-Augen-Prinzip
Reagiert die Person nicht, kann auf das Postfach zugegriffen werden – jedoch ausschließlich im Vier-Augen-Prinzip. Idealerweise sichten der betriebliche Datenschutzbeauftragte und, sofern vorhanden, ein Betriebsratsmitglied gemeinsam das Postfach.
Schritt 3: Dienstliche und private E-Mails trennen
Anhand von Absender und Betreffzeile beurteilen, ob private E-Mails vorliegen – soweit dies ohne Öffnen der Nachricht möglich ist. Private E-Mails dürfen nicht zur Kenntnis genommen werden: Sie sind entweder direkt zu löschen oder ungeöffnet an eine mit der ausgeschiedenen Person abgesprochene private E-Mail-Adresse weiterzuleiten. Dienstliche E-Mails dürfen weiterverarbeitet werden.
Schritt 4: Abwesenheitsnotiz statt Weiterleitung
Eingehende E-Mails sollten nicht automatisch weitergeleitet werden. Stattdessen eine Abwesenheitsnotiz einrichten, die darüber informiert, dass die Person das Unternehmen verlassen hat, und eine alternative Kontaktadresse nennt. Wichtig: Der Hinweis, dass eingehende E-Mails nicht weitergeleitet und nicht gelesen werden. Nach einigen Wochen das Postfach endgültig stilllegen.
Schritt 5: Alles dokumentieren
Der gesamte Vorgang muss protokolliert werden: Kontaktaufnahme mit der ausgeschiedenen Person, gesetzte Fristen, Zugriff auf das Postfach, beteiligte Personen, Vorgehen bei der Sichtung. Das ergibt sich aus der allgemeinen Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.
Erfüllen Sie die DSGVO-Rechenschaftspflicht – mit der strukturierten Muster-Checkliste zur Erstellung einer rechtssicheren Datenschutzrichtlinie für alle Pflichtinhalte und Konzepte, kostenlos als Download.
Ein Thema, das selten bedacht wird, aber vorkommt: Was passiert mit dem E-Mail-Postfach, wenn eine beschäftigte Person verstirbt? Die DSGVO schützt ausschließlich lebende Personen. Das Arbeitsverhältnis endet mit dem Tod. Dennoch darf der Arbeitgeber auch in diesem Fall erkennbar private E-Mails nicht zur Kenntnis nehmen. Angehörige haben nach aktueller Rechtslage keinen datenschutzrechtlichen Auskunftsanspruch aus Art. 15 DSGVO auf das Postfach.
Unberührt bleiben mögliche zivilrechtliche Ansprüche der Erben, die sich nicht aus der DSGVO ergeben.
Die LDI NRW hat in ihrem 27. Tätigkeitsbericht klargestellt, dass auch das BGH-Urteil zum „digitalen Nachlass“ (Az. III ZR 183/17) das datenschutzrechtliche Auskunftsrecht nicht erweitert – es handelt sich dabei um eine rein zivilrechtliche Aussage.
Die Empfehlungen der Berliner Aufsichtsbehörde sind wenig überraschend, aber in der Praxis zeigt sich immer wieder: Viele Unternehmen haben diese Hausaufgaben nicht erledigt. Dabei ist der Aufwand überschaubar, wenn man es einmal richtig aufsetzt. Wir empfehlen unseren Mandanten konkret:
Der Zugriff auf E-Mail-Postfächer ausgeschiedener oder abwesender Beschäftigter ist eines der Themen, bei denen Datenschutz, Arbeitsrecht und IT-Organisation zusammentreffen. Die Berliner Aufsichtsbehörde bestätigt, was wir unseren Mandanten seit Jahren empfehlen: Wer klare Prozesse hat, vermeidet Ärger mit ehemaligen Beschäftigten, Datenschutzaufsichtsbehörden und Betriebsräten. Wer keine Regelung hat, kann nur noch Schadensbegrenzung betreiben.
Die gute Nachricht: Mit einer Richtlinie zur E-Mail-Nutzung, Funktionspostfächern und einem durchdachten Offboarding-Prozess ist das Problem weitgehend gelöst.
Professioneller Datenschutz zum Budget-Preis mit Software, Schulungen, Audits & Vorlagen inklusive
Wir helfen Unternehmen dabei, die Anforderungen der DSGVO im Unternehmen umzusetzen – digital, so einfach wie möglich, zu fixen Konditionen. Als Beratungsdienstleister und externer Datenschutzbeauftragter sorgen wir für die Einhaltung der DSGVO-Vorgaben bei der Verarbeitung von personenbezogenen Daten in Ihrem Unternehmen.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen