Wenn Beschäftigte länger ausfallen oder das Unternehmen verlassen, kommt es in der Praxis häufig zu folgenden Situationen: Der Accountinhaber ist nicht erreichbar, aber es könnte sein, dass in dem Postfach für das Unternehmen wichtige E-Mails eingehen (z. B. Rechnungen, Auftragsbestätigungen oder Kundenanfragen), die bearbeitet werden müssen. Gleichzeitig ist die private Nutzung der E-Mail-Accounts nicht geregelt und wird stillschweigend geduldet.
Und dann stellt sich die Frage: Darf eine fremde Person überhaupt in den E-Mail-Account schauen – vor allem, wenn dort möglicherweise private E-Mails zu finden sind?
Genau diesen Fall beschreibt die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) in ihrem Tätigkeitsbericht 2025 unter Kapitel XI.1. Die Berliner Aufsicht stellt auf zwei typische Situationen ab: längere Abwesenheit und das Ende des Beschäftigungsverhältnisses. Für beide Fälle empfiehlt sie, schon im Vorfeld Prozesse festzulegen, weil sonst schnell Datenschutz-, Vertraulichkeits- und Organisationsprobleme zusammenkommen.
Funktionspostfächer
Zunächst lassen sich nach der Orientierungshilfe Probleme beim Zugriff dadurch lösen, dass Funktionspostfächer eingeführt werden (z. B. buchhaltung@… oder info@…). Diese haben den Vorteil, dass sie unabhängig von einzelnen Beschäftigten fortgeführt werden können und den Zugriff mehrerer Personen organisatorisch sauber abbilden.
Bei längeren Abwesenheiten
Bei längerer Abwesenheit (Krankheit, Urlaub, Elternzeit, Sabbatical usw.) soll ein Abwesenheitsassistent darüber informieren, dass eingehende E-Mails nicht zur Kenntnis genommen werden und an eine andere Adresse zu schicken sind; bei dauerhafter Abwesenheit soll das Postfach abgeschaltet oder zumindest die Annahme neuer E-Mails abgelehnt werden. Ein Sammelpostfach (sog. Catch-all-Postfach), in dem alle Mails landen, die sich nicht zuordnen lassen, wird von der Behörde eher kritisch gesehen, da dadurch E-Mails eingehen könnten, die nicht mehr in den dienstlichen Bereich fallen und damit den Arbeitgeber oder andere Mitarbeiter nichts angehen.
Nach dem Ausscheiden
Im Idealfall sollte es für den Fall des Ausscheidens eine Regelung geben. Die ausscheidende Person sollte vorab private E-Mails löschen und betriebliche E-Mails an die Vertretung oder die Nachfolge weiterleiten bzw. löschen, wenn sie nicht mehr benötigt werden. Wenn das nicht mehr möglich ist, etwa bei fristloser Kündigung, soll eine neutrale, verantwortliche Person das Postfach nur insoweit sichten, wie es zur Trennung von betrieblichen und offensichtlich privaten Mails nötig ist; private Mails sind dann unverzüglich zu löschen. Eine neutrale Person könnte der oder die Datenschutzbeauftragte sein oder auch der Betriebsrat.
Private Nutzung und Zugriff
Problematisch ist es, wenn die private Nutzung des E-Mail-Accounts ausdrücklich erlaubt oder zumindest geduldet wurde. Letzterer Fall liegt auch dann vor, wenn es keine Regelung zur privaten Nutzung gibt.
Wenig überraschend empfiehlt die Behörde, eine Regelung zu schaffen, etwa als Teil einer Betriebsvereinbarung. Soweit der Arbeitgeber die private Nutzung von E-Mail-Accounts zulassen möchte, besteht nach § 87 Abs. 1 Nr. 1 BetrVG ohnehin ein zwingendes Mitbestimmungsrecht des Betriebsrats. Die BlnBDI sieht selbst bei einem ausdrücklichen Verbot der privaten Nutzung eine Pflicht zur Prüfung, ob die E-Mails im Postfach einen privaten Charakter haben könnten. Soweit sich aus der Betreffzeile oder auch erst aus dem Inhalt der E-Mail ein privater Charakter ergibt, ist die E-Mail nicht zu öffnen oder intern weiterzuleiten bzw. sofort wieder zu schließen.
Liegt keine Regelung vor, wird der Zugriff auf das Postfach knifflig. Wie dieser Fall zu behandeln ist, schildert die Aufsichtsbehörde leider nicht. Klar ist, dass es dann nur noch um Schadensbegrenzung gehen kann.
Das Kind ist in den Brunnen gefallen – was nun?
Was sollte ein Unternehmen tun, wenn es keine Regelung zur Nutzung des E-Mail-Accounts getroffen hat? Klar ist: Datenschutzkonform kann der Zugriff auf ein persönliches E-Mail-Postfach, das womöglich auch private E-Mails enthält, nicht mehr sein. Aber man kann versuchen, den Schaden zu minimieren:
- Kontaktaufnahme mit dem ausgeschiedenen Beschäftigten
Vor dem Zugriff sollte dem Beschäftigten Gelegenheit gegeben werden, private E-Mails aus dem Postfach zu entfernen. Dazu sollte ihm eine angemessene Frist gesetzt werden. Sollte die beschäftigte Person bereits das Unternehmen verlassen haben, sollte sie schriftlich aufgefordert werden, innerhalb einer Frist mitzuteilen, welche E-Mails privater Natur sind, oder nochmals vorbeizukommen und die privaten E-Mails (unter Aufsicht) zu löschen. Wichtig ist, dass die Person die Gelegenheit hatte, private E-Mails zu identifizieren oder zu löschen.
- Zugriff im Vier-Augen-Prinzip
Reagiert der Mitarbeiter nicht, kann auf das Postfach zugegriffen werden. Der Zugriff sollte im Vier-Augen-Prinzip durchgeführt werden, d. h. unter Hinzuziehung einer neutralen Vertrauensperson – idealerweise des betrieblichen Datenschutzbeauftragten und, sofern vorhanden, eines Betriebsratsmitglieds.
- Trennung dienstlicher und privater E-Mails
Während der Sichtung sollte anhand von Absender und Betreffzeile beurteilt werden, ob private E-Mails vorliegen. Diese dürfen nicht zur Kenntnis genommen werden und sind zu löschen oder der ausgeschiedenen Person ungeöffnet an eine abgesprochene E-Mail-Adresse weiterzuleiten. Dienstliche E-Mails dürfen weiterverarbeitet werden.
- Stilllegung und Abwesenheitsnotiz
Eine Weiterleitung eingehender E-Mails sollte nicht erfolgen. Stattdessen sollte eine Abwesenheitsnotiz erstellt werden, die darauf hinweist, dass die beschäftigte Person das Unternehmen verlassen hat, und eine alternative E-Mail-Adresse nennt. Auch sollte der Hinweis nicht fehlen, dass die eingehenden E-Mails nicht weitergeleitet und nicht gelesen werden. Nach einigen Wochen sollte das Postfach stillgelegt werden.
- Dokumentation
Der gesamte Vorgang der Sichtung des E-Mail-Postfachs sollte protokolliert werden. Das gilt vor allem für die Kontaktaufnahme und den Zugriff auf das Postfach. Das ergibt sich aus der allgemeinen Dokumentationspflicht nach Art. 5 Abs. 2 DSGVO.
Exkurs: Wie ist der Fall zu behandeln, wenn der Arbeitnehmer verstorben ist?
Hier ist festzuhalten, dass die DSGVO ausschließlich lebende natürliche Personen schützt. Die Nutzung des Postfachs gründet im Arbeitsverhältnis, das mit dem Tod endet. Private E-Mails, die als solche erkennbar werden, darf der Arbeitgeber aber auch hier nicht zur Kenntnis nehmen. Angehörige haben nach aktueller Rechtslage keinen datenschutzrechtlichen Auskunftsanspruch aus Art. 15 DSGVO auf das Postfach des Verstorbenen. Die Landesbeauftragte für Datenschutz und Informationsfreiheit in Nordrhein-Westfalen (LDI NRW) hat in ihrem 27. Tätigkeitsbericht (S. 100) klargestellt, dass ein Urteil des Bundesgerichtshofs (BGH-Urteil vom 12.07.20218, Az. III ZR 183/17), welches eine rein zivilrechtliche Aussage zum digitalen Nachlass trifft, das datenschutzrechtliche Auskunftsrecht nicht erweitert.
Fazit
Die Berliner Aufsichtsbehörde empfiehlt wenig überraschend, dass klare Regeln für den Umgang mit E-Mail-Accounts geschaffen werden sollten. Soweit ein Betriebsrat besteht, sollte auch dieser einbezogen werden. Dann ließe sich im Nachgang einiger Ärger mit ausgeschiedenen Beschäftigten vermeiden. Andernfalls hilft nur Schadensbegrenzung, wie oben skizziert.
Keine Kommentare