Beschäftigtendatenschutz endet nicht automatisch mit dem Ausscheiden eines Mitarbeitenden. Auch nach Beendigung des Arbeitsverhältnisses können personenbezogene Daten weiterhin verarbeitet werden, etwa für Abrechnung, Nachweis- und Aufbewahrungspflichten oder zur Abwicklung offener betrieblicher Vorgänge. Daneben stellen sich praktische Fragen zum Umgang mit E-Mail-Adressen, Postfächern und dem E-Mail-Verlauf ehemaliger Beschäftigter.
Die Berliner Beauftragte für Datenschutz und Informationssicherheit hat in ihrem Tätigkeitsbericht 2025 zwei typische Situationen aufgegriffen: Was passiert mit der E-Mail-Adresse und dem E-Mail-Postfach, wenn ein Beschäftigungsverhältnis endet? Und wie ist damit umzugehen, wenn Mitarbeitende für längere Zeit abwesend sind?
Was gehört zu Beschäftigtendaten?
Beschäftigtendaten sind personenbezogene Daten, die im Zusammenhang mit einem Arbeitsverhältnis verarbeitet werden. Rechtsgrundlage ist regelmäßig § 26 BDSG. Dazu gehören klassische Personaldaten, etwa Stammdaten, Abrechnungsdaten, Vertragsdaten oder Krankmeldungen.
Beschäftigtendaten entstehen aber auch im Arbeitsalltag. Dazu zählen dienstliche E-Mail-Adressen, wenn sie den Namen oder ein Kürzel der beschäftigten Person enthalten. Auch das E-Mail-Postfach und der darin gespeicherte Verlauf können personenbezogene Daten enthalten.
Besonders sensibel wird es, wenn die private Nutzung des dienstlichen E-Mail-Postfachs erlaubt ist. Dann können sich im Postfach auch private Inhalte befinden. Wird das Postfach nach dem Ausscheiden durch andere Mitarbeitende geöffnet oder gelöscht, kann dies zu einer unzulässigen Offenlegung und damit zu einer Datenschutzverletzung führen.
Unternehmen sollten deshalb klare interne Vorgaben schaffen. Das gilt nicht nur für E-Mail-Postfächer, sondern auch für Diensthandys, Arbeitslaptops und andere bereitgestellte Arbeitsmittel. Eine Betriebsvereinbarung oder interne Richtlinie kann helfen, private Nutzung, Zugriffsbefugnisse und Löschprozesse datenschutzkonform zu regeln.
Löschprozesse im Beschäftigtendatenschutz
Löschprozesse gehören zu den Verarbeitungstätigkeiten, die Verantwortliche im Umgang mit Beschäftigtendaten klar regeln müssen. Gerade bei E-Mail-Daten sollte bereits im Voraus festgelegt sein, was passiert, wenn Mitarbeitende länger abwesend sind oder das Unternehmen verlassen. Dabei geht es nicht nur um Datenschutz, sondern auch um einen funktionierenden Geschäftsablauf.
In E-Mail-Postfächern ehemaliger Beschäftigter können sich wichtige Nachrichten von Kunden, Mandanten oder Geschäftspartnern befinden. Werden diese nicht rechtzeitig weitergeleitet oder organisatorisch aufgefangen, können Informationen verloren gehen oder Vorgänge unbearbeitet bleiben.
Längere Abwesenheit des Beschäftigten
Wenn ein Mitarbeitender beispielsweise aufgrund von Krankheit eine längere Zeit abwesend bleibt, sollte eine entsprechende Abwesenheitsnotiz erfolgen. Diese soll ohne Informationen über die Abwesenheit zu geben, lediglich den E-Mail Absender darüber informieren, dass die E-Mail nicht zur Kenntnis genommen wird oder aufgrund der Abwesenheit an einen weiteren Mitarbeiter, gegebenenfalls der Vertretung des Abwesenden weitergeleitet wird.
Bei anhaltender Abwesenheit sollte der E-Mail Postfach abgeschaltet werden oder keine neuen E-Mails mehr angenommen werden, sodass erstmal keine weitere Verarbeitung über diese E-Mail Adresse erfolgt.
Nach dem Ende des Beschäftigungsverhältnisses
Der Prozess bei Beendigung des Beschäftigungsverhältnisses sollte so geregelt werden, dass der ausscheidende Mitarbeiter sich grundsätzlich um die letzte Verwaltung des Postfachs kümmert. Dieser sollte dann geschäftlich relevante E-Mails an eine vertretende Stelle weiterleiten oder, wenn sie nach seinem Ausscheiden nicht mehr relevant sind, löschen. Auch E-Mails mit privaten Inhalten sollte der Ausscheidende löschen.
Bei Beschäftigungsbeendigungen, bei denen die betroffene Person dann keinen Zugriff mehr auf das Postfach hat, wie zum Beispiel bei fristlosen Kündigungen, sollte eine neutrale Stelle, etwa ein Datenschutzbeauftragter oder der Betriebsrat, das E-Mail Postfach insoweit organisieren, dass betriebliche von privaten E-Mails unterschieden werden können. Somit können private, geschäfts-unrelevante E-Mails ohne Öffnen umgehend gelöscht werden.
Nach dieser Übergangsphase sollte das Postfach ehemaliger Beschäftigter deaktiviert werden. Sobald laufende Vorgänge auf eine Nachfolgeperson oder eine zentrale Funktionsadresse übergegangen sind, sollten über das Postfach keine weiteren E-Mails mehr eingehen.
Was ist zu tun, wenn kein Löschprozess geregelt ist?
Der ehemalige Beschäftigte ist weg und das E-Mail Postfach besteht wie bisher. Kein Prozess zur Löschung ist erfolgt. Da die betroffene Person nicht mehr im Betrieb ist, kann ein datenschutzkonformer Zugang auf das Postfach nicht ohne Weiteres erfolgen.
Zunächst sollte der ausgeschiedene Mitarbeiter kontaktiert werden, sodass dieser innerhalb einer angemessenen Frist mitteilen kann, ob private E-Mails vorhanden sind und diese dann gegebenenfalls unter Aufsicht selbst löschen kann. Entscheidend ist, dass die Person vorher die Möglichkeit hatte, private Inhalte zu identifizieren oder zu entfernen.
Sollte kein Kontakt mehr zu dem ehemaligen Mitarbeiter hergestellt werden können, kann im Vier-Augen-Prinzip, im Idealfall mit einer neutralen Stelle, also dem Datenschutzbeauftragten, auf das E-Mail Postfach zugegriffen werden. Ziel ist dabei, geschäftliche von privaten E-Mails zu trennen. Unter Beachtung der Betreffzeile und des Absenders sollen E-Mails mit privaten Inhalten bestmöglich erkannt und umgehend gelöscht werden. Eine Abwesenheitsnotiz sollte auch in diesem Fall eingerichtet werden. Nachdem der Prozess beendet ist, sollte das Postfach deaktiviert werden.
Entsprechend der allgemeinen Nachweispflicht des Verantwortlichen nach Art. 5 Abs. 2 DSGVO sollte der gesamte Vorfall und die Kontaktaufnahme zum ehemaligen Beschäftigten dokumentiert werden.
Fazit
Löschkonzepte sind ein wichtiger Bestandteil des Datenschutzes. Die Löschung personenbezogener Daten ist eine eigene Verarbeitungstätigkeit und sollte durch klare interne Vorgaben, Zuständigkeiten und Dokumentationen abgesichert werden. Bei der Einführung geeigneter Löschprozesse und der Einhaltung relevanter Aufbewahrungsfristen unterstützt Sie Ihr Datenschutzbeauftragter.
Das gilt besonders im Beschäftigtendatenschutz. Im täglichen E-Mail-Verkehr können zahlreiche personenbezogene Daten verarbeitet werden. Gleichzeitig können sich in Postfächern ehemaliger Beschäftigter wichtige betriebliche Informationen befinden, die nach dem Ende des Beschäftigungsverhältnisses organisatorisch aufgefangen werden müssen.
