Die Privatnutzung ist erlaubt bzw. geduldet

In vielen Unternehmen ist die Nutzung des dienstlichen E-Mail-Postfachs nicht schriftlich geregelt. Wird die private Nutzung dann geduldet, kann es sich um eine betriebliche Übung handeln. Somit kann die private Nutzung als erlaubt angesehen werden. In diesem Fall verletzt der Zugriff die Privatsphäre des Beschäftigten.

Bei einem Zugriff ist also dringend darauf zu achten, dass nur geschäftliche E-Mails eingesehen werden. Das lässt sich in der Praxis leider nicht sauber umsetzen.

Hinzu kommt die Gefahr eines möglichen strafrechtlichen Verstoßes, da der Arbeitgeber bei erlaubter Privatnutzung ggf. zu einem Telekommunikationsanbieter wird. Dann kann ein Zugriff strafrechtlich relevant werden, weil dieser das Fernmeldegeheimnis verletzt. Diese Einschätzung ist derzeit umstritten, sollte aber bedacht werden.

Die Privatnutzung des Postfachs ist verboten

Wenn die Privatnutzung ausdrücklich verboten ist, macht dies den Zugriff durch den Arbeitgeber etwas leichter. Trotzdem sollte hier die betriebliche Erforderlichkeit geprüft werden, da private Inhalte nie ganz ausgeschlossen werden können. Unabhängig von einer internen Regelung haben auch die externen Kommunikationspartner ggf. Schutzinteressen.

Daher sollte in der Regel kein Zugriff durch den Arbeitgeber erfolgen, sondern lediglich mittels einer Abwesenheitsnachricht der Absender einer E-Mail über die Abwesenheit informiert werden. So hat er selbst die Möglichkeit, über das weitere Vorgehen zu entscheiden.

Wenn doch ein Zugriff erfolgen muss, um überwiegende betriebliche Interessen zu wahren, dann sollten folgende Punkte beachtet werden:

• Der Zugriff auf das Postfach sollte im Vier-Augen-Prinzip erfolgen. Es bietet sich hier an, den Datenschutzbeauftragten und/oder den Betriebsrat hinzuzuziehen. Außerdem sollte der Beschäftigte darüber informiert werden.
• Der Zugriff sollte auf ein Minimum reduziert werden. Es sollten also nicht alle E-Mails ohne Einschränkung eingesehen werden.
• Ein schriftliches Protokoll mit Angabe über Zeitpunkt, Dauer und Umfang des Zugriffs und Angabe der beteiligten Personen ist empfehlenswert.

Fazit

Es empfiehlt sich dringend, die private Nutzung des dienstlichen E-Mail-Postfachs ausdrücklich zu untersagen. Nur so kann womöglich der Anwendungsbereich des Fernmeldegeheimnisses umgangen werden. Außerdem ist der Zugriff auf das persönliche Postfach eines Mitarbeiters durch den Arbeitgeber deutlich risikoärmer, wenngleich nur in Ausnahmesituationen durchzuführen.

Tipp

Die konsequente Nutzung von Team-Postfächern wie service@… oder vertrieb@… mit Zugriffsmöglichkeit für alle Team-Mitglieder anstelle von personenbezogenen Postfächern erleichtert viele Abläufe. Speziell die Absender von E-Mails müssen in diesem Fall davon ausgehen, dass E-Mails an solche Team-Postfächer von unterschiedlichen Personen bearbeitet werden. Außerdem sind für die Abwesenheiten einzelner Mitarbeiter keine besonderen Maßnahmen notwendig, da die anderen Team-Mitglieder einfach weiterarbeiten können.

Der Beitrag Darf der Arbeitgeber auf die E-Mail-Postfächer der Beschäftigten zugreifen? erschien zuerst auf Datenschutz-Manager-24.

Die Ergänzung dieser Leitlinien finden Sie unter folgendem Link: Leitlinien für die Anwendung und Festsetzung von Geldbußen im Sinne der Verordnung (EU) 2016/679 (wp253)

Den Vorgänger dieser Leitlinien finden Sie unter folgendem Link: Guidelines 04/2022 on the calculation of administrative fines under the GDPR

Der Beitrag EDSA-Leitlinien 04/2022 zur Berechnung von Geldbußen nach der Datenschutz-Grundverordnung erschien zuerst auf Datenschutz-Manager-24.

Den Vorgänger dieser Leitlinien finden Sie unter folgendem Link: Leitlinien für die Meldung von Verletzungen des Schutzes personenbezogener Daten gemäß der Verordnung (EU) 2016/679

Der Beitrag EDSA-Leitlinien 9/2022 zur Meldung von Verletzungen des Schutzes personenbezogener Daten nach der DSGVO erschien zuerst auf Datenschutz-Manager-24.

Der Beitrag DSK-Kurzpapier Nr. 2: Aufsichtsbefugnisse/Sanktionen erschien zuerst auf Datenschutz-Manager-24.

Der Beitrag EDSA-Leitlinien 01/2021 zu Beispielen für die Meldung von Verletzungen des Schutzes personenbezogener Daten erschien zuerst auf Datenschutz-Manager-24.

• Eine E-Mail, ein Brief oder Fax wurde an einen falschen Empfänger verschickt.
• Eine E-Mail wurde mit einem offenen Verteiler verschickt (jeder Empfänger sieht die E-Mail-Adressen der anderen Empfänger, BCC-Feld nicht genutzt).
• Ein Datenträger (USB-Stick, CD, DVD, externe Festplatte, Dokument etc.) oder ein mobiles Endgerät (Mobiltelefon, Notebook etc.) ging verloren oder wurde gestohlen.
• Ein Virus oder eine andere Schadsoftware wurde installiert bzw. aktiv.
• Unbefugte hatten Zugang zu Systemen durch Einbruch oder einen Hackerangriff.
• Jemand nutzt eine andere Identität für fragwürdige Aktionen.

Wichtig: schnelles und ehrliches Handeln vermeidet Schlimmeres!

Informieren Sie umgehend die Geschäftsführung und/oder die zuständige Stelle. In jedem Unter-nehmen sollte hierfür eine Abteilung oder ein Team definiert sein. Nur so können schnellstmöglich geeignete Maßnahmen ergriffen werden, um den Schaden zu begrenzen. Helfen Sie der zuständigen Stelle mit Informationen zu dem Vorfall.

Handeln Sie schnell und sachlich. Haben Sie keine Scheu, eventuell einen eigenen Fehler einzugestehen. Es geht nicht darum, jemanden zu bestrafen, sondern durch gezieltes Handeln den Schaden zu begrenzen!

Weitere Vorgehensweise durch Fachabteilung oder Geschäftsleitung

• Oberstes Ziel ist Schadensbegrenzung.
• Datenlücken müssen schnellstmöglich geschlossen werden.
• Eventuell den Datenschutzbeauftragten oder andere Fachabteilung einbinden.
• Jede Datenpanne muss dokumentiert werden: Wann und wo ist was passiert? Wer ist in welchem Umfang davon betroffen? Wie wurde die Gefahr beseitigt?
• Möglicherweise muss binnen 72 Stunden die Aufsichtsbehörde informiert werden.
• In schlimmeren Fällen sind die von der Datenpanne betroffenen Personen zu informieren.
• Gesetzliche Vorgaben aus dem Datenschutzrecht und der Datensicherheit sind einzuhalten.

Der Beitrag Datenschutzverstöße richtig melden erschien zuerst auf Datenschutz-Manager-24.