Der Datenschutz für Beschäftigte endet nicht automatisch mit dem Ausscheiden aus dem Unternehmen. Auch danach werden personenbezogene Daten weiterverarbeitet – etwa für die Abrechnung, aus Nachweis- und Aufbewahrungspflichten oder zur Abwicklung noch offener Vorgänge. Besonders praxisrelevant sind dabei dienstliche E-Mail-Adressen, Postfächer und der darin gespeicherte Verlauf.

Die Berliner Beauftragte für Datenschutz und Informationssicherheit hat sich in ihrem Tätigkeitsbericht 2025 mit zwei typischen Konstellationen befasst: dem Umgang mit E-Mail-Postfächern bei längerer Abwesenheit sowie bei Beendigung eines Beschäftigungsverhältnisses.

Warum E-Mail-Postfächer sensibel sind

Dienstliche E-Mail-Adressen mit Namen oder Kürzel sowie der Postfachinhalt zählen zu den Beschäftigtendaten (Rechtsgrundlage regelmäßig § 26 BDSG). Ist die private Nutzung des Postfachs erlaubt, können sich darin auch private Inhalte befinden. Öffnen oder löschen andere Mitarbeitende das Postfach nach dem Ausscheiden unbedacht, drohen unzulässige Offenlegungen und damit Datenschutzverletzungen. Unternehmen sollten deshalb klare interne Vorgaben – etwa per Betriebsvereinbarung – für Postfächer, aber auch für Diensthandys und Laptops schaffen.

Löschprozesse rechtzeitig regeln

Bei längerer Abwesenheit, etwa krankheitsbedingt, empfiehlt sich zunächst eine neutrale Abwesenheitsnotiz mit Weiterleitungshinweis an eine Vertretung; bei anhaltender Abwesenheit sollte das Postfach abgeschaltet oder für neue E-Mails gesperrt werden.

Beim Ausscheiden aus dem Unternehmen sollte grundsätzlich der oder die Beschäftigte selbst das Postfach abschließend verwalten: geschäftlich relevante E-Mails weiterleiten, nicht mehr benötigte sowie private E-Mails löschen. Ist dies nicht möglich – etwa bei fristloser Kündigung – sollte eine neutrale Stelle (Datenschutzbeauftragter oder Betriebsrat) dienstliche von privaten E-Mails trennen, damit private Nachrichten ungeöffnet gelöscht werden können. Nach dieser Übergangsphase ist das Postfach zu deaktivieren.

Wenn kein Prozess geregelt ist

Fehlt ein festgelegter Löschprozess, sollte zunächst der ausgeschiedene Mitarbeitende kontaktiert werden, um private E-Mails selbst zu identifizieren oder zu löschen. Ist kein Kontakt mehr möglich, kann der Zugriff im Vier-Augen-Prinzip, idealerweise mit einer neutralen Stelle, erfolgen: Anhand von Betreff und Absender werden private E-Mails erkannt und umgehend gelöscht, eine Abwesenheitsnotiz eingerichtet und das Postfach anschließend deaktiviert. Der gesamte Vorgang sowie der Kontaktversuch sind gemäß der Nachweispflicht nach Art. 5 Abs. 2 DSGVO zu dokumentieren.

Fazit

Löschkonzepte sind ein zentraler Baustein des Beschäftigtendatenschutzes. Klare interne Zuständigkeiten, Prozesse und eine saubere Dokumentation schützen sowohl die Persönlichkeitsrechte ausgeschiedener Mitarbeitender als auch den reibungslosen Geschäftsbetrieb – etwa wenn wichtige Kunden- oder Geschäftspartner-E-Mails im Postfach eines Ex-Mitarbeitenden warten.

Quelle: https://www.datenschutz-berlin.de/jahresbericht-2025/#B-XI-1

Bei weitergehenden Fragen helfen wir Ihnen jederzeit gerne weiter, bitte senden Sie eine kurze E-Mail an datenschutz@dsb-ms.de. 

Ihr DSB Münster Team