Postfach eines abwesenden Mitarbeiters weiterleiten – ein Fall, den viele kennen

Was in dem Fall passiert ist

Der Beschäftigte verwaltete einen großen Teil des Kundenstamms; die Informationen für Leistung, Abrechnung und Forderungseinzug lagen praktisch ausschließlich in seinem dienstlichen Postfach. Über eine längere Abwesenheit reagierte er nicht auf Versuche, ihn zu erreichen, und hatte selbst eine automatische Abwesenheitsantwort mit einer Ausweichadresse eingerichtet. Als Aufträge stockten, prüfte ein Gremium des Betriebs die Verkehrsdaten – viele ungelesene Nachrichten, Absender ignorierten die Abwesenheitsantwort, laufende Projekte mit Fristen. Daraufhin leitete der Dienstgeber alle E-Mails auf eine gemeinsame Adresse um, in einem Ordner, auf den die Vertretung zugriff. Erst zum Ende des Arbeitsverhältnisses wurde die Adresse geschlossen und eine automatische Antwort eingerichtet.

Die Behörde bejahte Verstöße gegen Artikel 5 Absatz 1 Buchstaben a und c sowie Artikel 6 Absatz 1 DSGVO. Der Dienstgeber hatte sich auf ein berechtigtes Interesse gestützt, konnte aber nicht belegen, dass die Interessenabwägung tatsächlich vor der Umleitung stattgefunden hatte. Und die Umleitung war nicht notwendig: Eine mildere Maßnahme – eine vom Betrieb selbst eingerichtete automatische Antwort – hätte zur Verfügung gestanden. Weil die Verarbeitung bereits beendet war, ordnete die Behörde weder Maßnahme noch Bußgeld an.

Meine Einordnung

Menschengemacht ist dieser Fall, weil er aus einem echten Engpass entsteht. In Mandaten sehe ich regelmäßig, dass Wissen, Kundenkommunikation und Auftragsunterlagen bei einer einzigen Person im Postfach liegen. Fällt diese Person aus, steht der Betrieb. Der Reflex – einfach alles weiterleiten – ist verständlich und meist gut gemeint. Er ist nur datenschutzrechtlich der falsche erste Schritt. Die Behörde beanstandet nicht das Ziel, sondern das Vorgehen: dass umgeleitet wurde, ohne vorher nachweisbar abzuwägen, und dass es dauerhaft geschah, obwohl ein milderes Mittel griffbereit war.

Der wichtigste Satz in der Entscheidung ist für mich der zur Nachweisbarkeit. Das berechtigte Interesse war im Kern vorhanden – Betriebskontinuität und Schadensvermeidung können wirtschaftliche Interessen sein. Aber die Abwägung muss vor der Verarbeitung stattfinden, und sie muss sich später belegen lassen. Eine nachträglich aus der Eskalation rekonstruierte Begründung akzeptierte die Behörde nicht. Interessant ist auch der Hinweis, dass die private Nutzung des dienstlichen Postfachs nicht untersagt war – was das Eingreifen zusätzlich verschärft. Man sieht daran, wie sehr es auf die Umstände ankommt. Wichtig für deutsche Betriebe: Das ist slowenische Aufsichtspraxis, keine allgemeingültige Rechtslage; die hiesigen Behörden können Einzelfälle anders bewerten. Und die eigentliche Lehre ist organisatorisch: Wer Kundendaten in persönlichen Postfächern konzentriert, baut sich dieses Problem selbst.

Was Sie jetzt konkret tun können

1. Abwesenheit vorbereiten, nicht verwalten. Richten Sie vor längeren Auszeiten eine klare Abwesenheitsantwort ein und eine funktionale Adresse, über die weitergearbeitet wird – statt im Nachhinein das ganze Postfach umzuleiten.

2. Abwägung vor der Verarbeitung dokumentieren. Wenn eine Umleitung nötig scheint, halten Sie vorher und mit Datum fest, welches Interesse Sie verfolgen, welche milderen Mittel Sie geprüft haben und warum sie nicht genügen. Eine nachträgliche Begründung trägt nicht.

3. Umleitung befristen und schmal halten. Nur so lange und so weit wie nötig, und aktiv beenden, sobald der Grund entfällt. Die Notwendigkeit ist dynamisch, nicht einmalig.

4. Das Postfach als Wissensspeicher abbauen. Legen Sie Kunden- und Vorgangsdaten in einer gemeinsamen, rollenbasierten Ablage ab, nicht in der persönlichen Mailbox einer Einzelperson.

5. Schriftlich regeln. Halten Sie Zugriff und Umleitung getrennt in einer internen Richtlinie fest. Eine Regelung nur für den Zugriff – wie im beschriebenen Fall – deckt die Umleitung nicht ab.