Auf einen Blick
Der Garante Privacy hat Michael Page International Italia s.r.l. mit 225.000 Euro sanktioniert, weil das Unternehmen die E-Mail-Konten ehemaliger Mitarbeiter nach Beendigung des Arbeitsverhältnisses über einen langen Zeitraum aktiv gehalten und überwacht hat, um Beweismittel für Gerichtsverfahren zu sammeln. Das Unternehmen hatte den Mitarbeitern keine klaren und vollständigen Informationen bereitgestellt und gegen die Grundsätze der Datenminimierung und Speicherbegrenzung sowie gegen die Vorschriften zur Fernüberwachung verstoßen. Dieser Fall unterstreicht die Notwendigkeit, die geschäftliche E-Mail-Korrespondenz ehemaliger Mitarbeiter streng zu verwalten, unbefugte Zugriffe zu vermeiden und Transparenz zu gewährleisten.
Was zu tun ist
- Prüfen Sie, ob die Ihren Mitarbeitern bereitgestellten Datenschutzinformationen genaue und verständliche Details darüber enthalten, was mit ihren geschäftlichen E-Mail-Konten geschieht, wenn sie das Unternehmen verlassen.
- Stellen Sie sicher, dass Ihre internen Regelungen die Pflicht der Mitarbeiter, ihre Passwörter an Vorgesetzte oder andere Kollegen weiterzugeben, untersagen.
- Überprüfen Sie das Verfahren zur Verwaltung der E-Mail-Konten ehemaliger Mitarbeiter: Deaktivieren Sie diese sofort, aktivieren Sie eine automatische Antwort, die einen neuen Kontakt angibt, und vermeiden Sie verallgemeinerte oder längere Zugriffe auf die Inhalte.
Was zu vermeiden ist
- Gehen Sie nicht davon aus, dass das berechtigte Interesse des Unternehmens, sich vor Verstößen zu schützen, einen wahllosen und rückwirkenden Zugriff auf E-Mails von Mitarbeitern nach Beendigung des Arbeitsverhältnisses autorisiert.
- Verwenden Sie keine Datenschutzinformationen oder internen Regelungen mit allgemeinen oder 'Copy-Paste'-Formulierungen, die die spezifischen Verarbeitungsvorgänge von Mitarbeiterdaten nicht klar beschreiben.
- Halten Sie E-Mail-Konten von Mitarbeitern nicht monate- oder jahrelang nach deren Ausscheiden aktiv, insbesondere wenn der einzige Zweck darin besteht, die Inhalte zu 'untersuchen'.
Hintergrund
Drei ehemalige Mitarbeiter von Page Personnel Italia S.p.A. und Michael Page International Italia s.r.l. reichten Beschwerden beim Garante ein. Sie monierten, dass ihre individualisierten geschäftlichen E-Mail-Konten nach Beendigung des Arbeitsverhältnisses weiterhin aktiv waren. Zudem wiesen sie auf fehlende Informationen zur Verwaltung nach Beendigung hin. Im Laufe der Untersuchung stellte sich heraus, dass Page Personnel Italia S.p.A. durch Verschmelzung in Michael Page International Italia s.r.l. aufgegangen ist. Das Unternehmen hatte die E-Mail-Konten über beträchtliche Zeiträume (bis zu zweieinhalb Jahre) aktiv gehalten und auf deren Inhalt zugegriffen, um Beweismittel für rechtliche Schritte wegen angeblichen unlauteren Wettbewerbs und Entwendung von Geschäftsgeheimnissen zu sammeln. Das Unternehmen rechtfertigte sein Vorgehen mit einem berechtigten Interesse und verwies auf bestehende Informationen und interne Regelungen, die, so das Unternehmen, die Mitarbeiter über diese Verarbeitungen in Kenntnis gesetzt hätten. Es gab an, gezielte Überprüfungen mit Filtern und Schlüsselwörtern durchgeführt und einen IT-Sachverständigen mit forensischen Untersuchungen beauftragt zu haben, wobei das entnommene Material auf verschlüsselten Datenträgern gespeichert wurde.
Die Entscheidung
Der Garante stufte die von Michael Page International Italia s.r.l. durchgeführte Verarbeitung personenbezogener Daten als unrechtmäßig ein. Das Unternehmen verstieß gegen die Grundsätze der Rechtmäßigkeit und Transparenz (Art. 5 Abs. 1 lit. a, Art. 13 DSGVO), da die den Mitarbeitern bereitgestellten Informationen weder klar, vollständig noch datenschutzkonform waren. Sie beschrieben weder die Verarbeitungen nach Beendigung des Arbeitsverhältnisses und die betroffenen Datenkategorien ausreichend, noch die Speicherfristen oder deren Kriterien. Es wurden auch unrechtmäßige Verarbeitungsvorgänge festgestellt, wie die Möglichkeit für Vorgesetzte, über bereitgestellte Passwörter auf die E-Mails von Mitarbeitern zuzugreifen. Der Garante stellte zudem einen Verstoß gegen die Grundsätze der Datenminimierung und Speicherbegrenzung (Art. 5 Abs. 1 lit. c und e DSGVO) fest, da die Konten über einen beträchtlichen Zeitraum (bis zu zweieinhalb Jahre) aktiv und zugänglich gehalten wurden, und zwar für andere als die ursprünglichen Zwecke und nicht aus Gründen der Geschäftskontinuität, ohne automatische Antworten zu aktivieren. Schließlich wurden der Zugriff auf den Inhalt der E-Mail-Konten nach Beendigung des Arbeitsverhältnisses und die zehnjährige Speicherung der Kommunikationen als unrechtmäßige Fernüberwachung eingestuft, die gegen Art. 88 DSGVO und Art. 114 des Codice Privacy verstoßen, welche auf Art. 4 des Gesetzes Nr. 300/1970 verweisen. Der Garante wies die Verteidigung des Unternehmens, die auf berechtigtem Interesse und der Theorie der 'defensiven Kontrollen' basierte, zurück. Die Datensammlung erfolgte rückwirkend, unabhängig von einem begründeten Verdacht und ohne geeignete Maßnahmen, um den Zugriff durch den Arbeitgeber zu verhindern. Es wurden keine zusätzlichen Korrekturmaßnahmen angeordnet, da das Unternehmen die Konten bereits gelöscht hat. Allerdings wurde eine Geldbuße von 225.000 Euro verhängt.
Verletzte DSGVO-Artikel
| Artikel | Beschreibung | Relevanz |
|---|---|---|
|
5 par.1 lett.a GDPR |
Personenbezogene Daten müssen auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden (Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz). | das unternehmen hat diesen grundsatz verletzt, indem es keine klare und vollständige information über die verarbeitungen nach beendigung des arbeitsverhältnisses bereitstellte und ohne geeignete rechtsgrundlage auf e-mail-konten zugriff. |
|
5 par.1 lett.c GDPR |
Personenbezogene Daten müssen dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein (Datenminimierung). | das unternehmen hat diesen grundsatz verletzt, indem es die e-mail-konten aktiv hielt und über einen übermäßigen zeitraum sowie für zwecke, die nicht den ursprünglichen zugewiesen waren, auf deren inhalt zugriff. |
|
5 par.1 lett.e GDPR |
Personenbezogene Daten müssen in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten ausschließlich zu Archivzwecken im öffentlichen Interesse, zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken gemäß Artikel 89 Absatz 1 verarbeitet werden, sofern geeignete technische und organisatorische Maßnahmen getroffen werden, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden (Speicherbegrenzung). | das unternehmen hat diesen grundsatz verletzt, indem es die e-mail-konten über einen beträchtlichen und über das unbedingt notwendige maß hinausgehenden zeitraum speicherte, nicht aus gründen der geschäftskontinuität, sondern um deren inhalt für rechtsstreitigkeiten zu prüfen. |
|
13 GDPR |
Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person. | das unternehmen hat keine vollständige, klare und rechtskonforme information bereitgestellt, da es die e-mail-verarbeitungen nach beendigung des arbeitsverhältnisses und die damit verbundenen zwecke, datenkategorien und speicherfristen nicht spezifisch beschrieben hat. |
|
88 GDPR |
Verarbeitung im Beschäftigungskontext. | das unternehmen hat diesen artikel verletzt, der auf spezifischere nationale vorschriften verweist, indem es die regelungen zur fernüberwachung von mitarbeitern (art. 114 codice privacy und art. 4 arbeitnehmerstatut) durch den unrechtmäßigen zugriff auf e-mail-inhalte nicht beachtet hat. |
|
114 Codice Privacy |
Datenverarbeitung im Arbeitsverhältnis, unter Bezugnahme auf die in Artikel 4 des Gesetzes vom 20. Mai 1970, Nr. 300 (Arbeitnehmerstatut), vorgesehenen Garantien für die Fernüberwachung. | das unternehmen hat diese vorschrift verletzt, indem es umfassende und rückwirkende kontrollen der e-mail-kommunikation von mitarbeitern nach beendigung des arbeitsverhältnisses durchführte, ohne die bedingungen für defensive kontrollen und ohne geeignete maßnahmen zum schutz der vertraulichkeit der arbeitnehmer zu beachten. |
Auferlegte Maßnahmen
Null
Sanktion
Der Garante erklärt die Unrechtmäßigkeit der Verarbeitung personenbezogener Daten und ordnet Michael Page International Italia s.r.l. die Zahlung einer Geldbuße von 225.000 Euro wegen Verstoßes gegen Art. 5 Abs. 1 lit. a), c), e), Art. 13 und Art. 88 der Verordnung sowie Art. 114 des Codice an. Der Verstoß wird nicht als 'geringfügig' angesehen, da die Verstöße gegen die allgemeinen Grundsätze der Verarbeitung, die Informationspflicht und die Vorschriften zur Fernüberwachung vielfältig waren. Die Höhe der Sanktion wurde auch unter Berücksichtigung der hohen Schwere, des Verschuldens des Unternehmens, der Sensibilität der Daten (elektronische Kommunikation) sowie mildernder Umstände wie der Löschung der Konten, des Fehlens relevanter Vorverstöße und eines normalen Kooperationsgrades festgelegt. Die Zahlungsfrist beträgt 30 Tage ab Zustellung des Bescheids, mit der Möglichkeit einer vereinfachten Abwicklung durch Zahlung der Hälfte des Betrags.
Fristen: innerhalb von 30 Tagen nach Zustellung dieser Anordnung
Praktische Auswirkungen
Diese Anordnung unterstreicht die entscheidende Bedeutung für Unternehmen, die geschäftliche E-Mail-Korrespondenz von Mitarbeitern korrekt zu verwalten, insbesondere nach Beendigung des Arbeitsverhältnisses. Unternehmen müssen sicherstellen, dass die Datenschutzinformationen äußerst detailliert und DSGVO-konform sind und die Zwecke, Methoden und Speicherfristen von Daten genau beschreiben, auch im Falle eines Rechtsstreits. Der Zugriff auf E-Mail-Konten ehemaliger Mitarbeiter ist eine streng regulierte Praxis; das berechtigte Unternehmensinteresse am Schutz des Informationsvermögens berechtigt keine wahllose oder präventive Kontrolle. Jeder Zugriff muss verhältnismäßig, zielgerichtet, durch einen begründeten und spezifischen Verdacht motiviert sein und mit Garantien erfolgen, die die Eingriffsintensität für den ehemaligen Mitarbeiter begrenzen. Es ist notwendig, strenge technische und organisatorische Maßnahmen zu ergreifen, wie die Aktivierung automatischer Antworten und die Benennung vertrauenswürdiger Dritter (die nicht hierarchisch übergeordnet sind) für die eventuelle Bearbeitung dringender Nachrichten, um eine längere Speicherung und den direkten Zugriff auf Inhalte durch den Arbeitgeber ohne gerichtliche Genehmigung oder einen spezifischen Rechtsrahmen zu vermeiden.
Fragen zur Selbsteinschätzung
- Beschreibt unsere Datenschutzinformation für Mitarbeiter ausdrücklich und klar, wie geschäftliche E-Mail-Konten nach Beendigung des Arbeitsverhältnisses verwaltet werden?
- Welche Verfahren haben wir für die Deaktivierung und den eventuellen (begrenzten und begründeten) Zugriff auf die E-Mail-Konten ehemaliger Mitarbeiter, und entsprechen diese Art. 4 des Arbeitnehmerstatuts?
- Verbietet unsere Regelung zur Nutzung von IT-Systemen die Pflicht der Mitarbeiter, ihre Passwörter an Vorgesetzte oder den Arbeitgeber weiterzugeben?
Verweise
EDPB-Leitlinien: Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR
Nationales Recht: D.Lgs. 196/2003 · D.Lgs. 10 agosto 2018, n. 101 · Art. 4 della l. 20.5.1970, n. 300 · Art. 18, l. 24 novembre 1981, n. 689 · Art. 27 l. n. 689/1981 · Art. 10 d.lgs. 1° settembre 2011, n. 150
Anmerkungen
Die Anordnung erwähnt die Verschmelzung durch Aufnahme zwischen Page Personnel Italia S.p.A. und Michael Page International Italia s.r.l., was die Haftung des aufnehmenden Unternehmens für das Verhalten des aufgenommenen Unternehmens impliziert. Es wird betont, dass die 'Theorie der defensiven Kontrollen' zurückgewiesen wird, wenn der Datenzugriff präventiv und verallgemeinert erfolgt und nicht erst nach einem begründeten Verdacht.