Aufsichtsbehördliche Maßnahmen aufgrund rechtsgrundloser Speicherung von E-Mail-Postfächern von Ex-Mitarbeitenden (APD (Datenschutzaufsicht Belgien))

Eine kürzlich im Beschwerdeverfahren ergangene Entscheidung der belgischen Datenschutzaufsicht (APD – Autorité de protection des données) wirft Licht auf ein äußerst praxisrelevantes Problem im Unternehmenskontext: Was ist mit E-Mail-Postfächern von Mitarbeitenden nach deren Ausscheiden aus dem Unternehmen zu tun? Die Beschwerdekammer der APD zeigt auf, ob und wie lange eine E-Mailadresse bestehend aus dem Namen von Mitarbeitenden weiter vom Arbeitgeber betrieben werden darf.

Sachverhalt

Ein Ex-Mitarbeiter hat bemerkt, dass seine beiden ehemaligen dienstlichen E-Mail-Postfächer, deren Adresse aus seinem Namen bestand, fast zwei Jahre nach seinem Ausscheiden noch in Benutzung waren. Der Arbeitgeber stütze den Weiterbetrieb auf eine mutmaßliche Notwendigkeit zum Erhalt der E-Mail-Infrastruktur als Ganzem und erklärte, dass mit dem Ausscheiden des Mitarbeiters durch technische Maßnahmen sichergestellt sei, dass keine Verletzung der Vertraulichkeit seiner personenbezogenen Daten erfolge. Dazu wurden die Postfächer fünf Monate nach dem Ausscheiden mit „/dev/null“ konfiguriert. Dies bezweckt eine direkte Löschung aller eingehenden E-Mails nach Eingang im E-Mail-Postfach. Dadurch sollte ein unerwünschter, automatische erfolgender pingpongartige Versand von „user unknown“-Nachrichten zwischen Absender- und Empfängerserver verhindert werden.

Im Übrigen konnte der Arbeitgeber über Einsicht in die E-Mail-Logs feststellen, welche Absender-Adressen (erfolglos) E-Mails an die E-Mail-Postfächer gesendet haben. Ein Jahr nach dem Ausscheiden wurden die beiden E-Mail-Postfächer zudem auf eine neu eingeführte IT-Umgebung migriert. Der Ex-Mitarbeiter hat in der Folge mehrfach erfolglos Zugang zu „seinen“ E-Mail-Postfächern bzw. eine Kopie der vorhandenen personenbezogenen Daten verlangt.

Entscheidung der Beschwerdekammer

Die Beschwerdekammer stellte einerseits eine fehlende Rechtmäßigkeit der Verarbeitung und andererseits eine unrechtmäßige Verweigerung bzw. nichterfolgte Auskunft fest. Als Konsequenz wurde die Löschung der E-Mail-Adressen sowie die Beauskunftung aus den noch vorhandenen Logs angeordnet. Als Sanktion wurde eine Verwarnung nach Art. 58 Abs. 2 lit. b DSGVO ausgesprochen.

Rechtmäßigkeit der Verarbeitung

Nach Ansicht der Beschwerdekammer stellen die E-Mail-Adressen des Ex-Mitarbeiters, welche aus seinem Namen bestanden, aus Sicht des Arbeitgebers einen unmittelbaren Personenbezog her. Über diese Verbindung ergibt sich auch für den Inhalt der E-Mail-Postfächer sowie diesbezügliche E-Mail-Logs von eingehenden E-Mails ein Personenbezug zum Ex-Mitarbeiter.

Die Beschwerdekammer erörterte sodann als einzig in Betracht kommende Rechtsgrundlage der konkreten Verarbeitung (Speicherung der E-Mail-Adresse und Erfassen der Meta-Dateien in Logs) ein mögliches berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Im Ausgangspunkt konnte der Arbeitgeber schon nicht die tatsächliche Durchführung einer Interessenabwägung darlegen, sodass die Beschwerdekammer die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verletzt sah. Nichtsdestotrotz hat die Beschwerdekammer das Vorhandensein von legitimen Interessen und die Erforderlichkeit der konkreten Datenverarbeitung zu Erreichung dieser legitimen Interessen geprüft.

Als legitim sei anerkannt, nach Ausscheiden von Mitarbeitenden in laufenden Geschäftsbeziehungen mittels Einrichtung einer automatischen Antwortnachricht auf einen Wechsel der Ansprechperson hinzuweisen. Die Erforderlichkeit besteht nach Ansicht der Beschwerdekammer für regelmäßig einen Monat, wobei im Einzelfall auch bis zu drei Monate zulässig sein können. Aufgrund der massiven zeitlichen Überschreitung von einer Anschlussspeicherung von ungefähr zwei Jahren könne sich daraus allerdings keine Rechtmäßigkeit der Verarbeitung ergeben.

Die Beschwerdekammer erkennt darüber hinaus das vom Beschwerdegegner vorgebrachte Interesse der Vermeidung der Überlastung der E-Mail-Server als legitim an. Die Datenverarbeitung erfülle aber nicht die Voraussetzungen an die Erforderlichkeit. Als Verantwortlicher müssen alternative Maßnahmen bevorzugt herangezogen werden, wenn dadurch die Grundrechte und Freiheiten der betroffenen Person weniger stark beeinträchtigt werden. Die Beschwerdekammer verweist darauf, dass sich das pingpongartige Hin- und Herschicken von Fehlermeldungen technisch ohne Probleme auf alternative Weisen ohne Beibehaltung des E-Mail-Postfaches des Ex-Mitarbeiters realisieren lasse.

Auskunftsersuchen

Die Beschwerdekammer hat eine rechtswidrige Nichtbeauskunftung auf Seiten des Arbeitgebers als Verantwortlicher festgestellt. Der Ex-Mitarbeiter solle durch das Auskunftsrecht gerade auch in die Lage versetzt werden, herauszufinden, ob irgendwelche E-Mails von persönlichen Bekannten eingegangen sind. Der Auskunftserteilung steht insbesondere nicht entgegen, dass der Weiterbeitrieb der E-Mail-Postfächer seinerseits ohne Rechtsgrundlage erfolgt ist.

Bewertung

Die Entscheidung demonstriert, dass Arbeitgeber in enger Abstimmung mit dem Datenschutzbeauftragten oder anderen fachkundigen Stellen Prozesse zum Offboarding von ausscheidenden Mitarbeitenden etablieren und von Zeit zu Zeit evaluieren müssen. Die Motivation, eine möglichst einfache und bequeme technische Lösung wie das „/dev/null“ zu wählen, darf den Blick auf den Schutz von Betroffenen nicht gänzlich versperren.

Die Beschwerdekammer hat ihrerseits zwar keine konkrete Alternative benannt, aber zu denken ist zum Beispiel an Folgende: Ein SMPT-Server kann so konfiguriert werden, dass eine eingehende Nachricht für eine nicht existierende Empfangsadresse direkt abgelehnt wird (REJECT), sodass der Empfangsserver selbst keine „userunknown“-Nachricht automatisch verschickt. Auf Absenderseite wird dann etwa aus den Logs zu entnehmen sein, dass an eine Adresse nicht zugestellt werden konnte (anders als bei „/dev/null“-Konfiguration). Sollte auch das beim Senderserver zu unbegrenzten erneuten Zustellversuchen führen, können etwa rate limiting Mechanismen auf Empfängerseite greifen.

Das im vorliegenden Sachverhalt aufkommende Problem lässt sich alternativ zum Teil auch schon dadurch vermeiden, dass statt der Namen der Mitarbeitenden eine Funktionsadresse erstellt wird.