Offboarding und Datenschutz: Checkliste beim Ausscheiden

Wenn Beschäftigte das Unternehmen verlassen, stehen meist organisatorische Fragen im Vordergrund: Übergabe, Resturlaub, Arbeitszeugnis. Datenschutzrechtlich ist das Ausscheiden aber ebenso bedeutsam. Zugänge müssen gesperrt, Postfächer geregelt, Fotos entfernt und Daten nach Fristen gelöscht werden. Wer hier strukturiert vorgeht, verhindert Sicherheitslücken und Konflikte, etwa ein Auskunftsersuchen im Kündigungsstreit.

1. Zugänge und Geräte

• Benutzerkonten, VPN- und Cloud-Zugänge zum letzten Arbeitstag sperren,
• Passwörter für gemeinsam genutzte Konten ändern,
• Zwei-Faktor-Apps und Token zurückfordern bzw. deaktivieren,
• Laptop, Smartphone, USB-Sticks und Schlüssel zurücknehmen und dokumentieren,
• Daten auf zurückgegebenen Geräten sichern oder sicher löschen,
• Zugriffe auf Kundenportale, Social-Media-Konten und Dienstleisterportale entziehen.

2. Das E-Mail-Postfach

Ob und wie der Arbeitgeber auf das Postfach zugreifen darf, hängt maßgeblich davon ab, ob die private Nutzung erlaubt war; Einzelheiten in unserem Beitrag „Private E-Mail-Nutzung am Arbeitsplatz“. Bewährt hat sich: eine Abwesenheitsnachricht mit neuem Ansprechpartner für eine Übergangszeit, Weiterleitung nur dienstlicher Nachrichten in Absprache, und anschließend Deaktivierung und Löschung des Postfachs nach einer festgelegten Frist. Geschäftsbriefe, die aufbewahrt werden müssen, sind vorab zu archivieren.

3. Website, Social Media und Printmaterial

Fotos, Namen und Kontaktdaten ausgeschiedener Beschäftigter sollten zeitnah von Team-Seiten, Signaturen, Broschüren und Social-Media-Kanälen entfernt werden. Wurde die Einwilligung in die Veröffentlichung widerrufen, ist das ohnehin Pflicht; siehe „Mitarbeiterfotos auf der Website“.

4. Personalakte und Fristen

Die Personalakte darf nach dem Ausscheiden nicht pauschal unbegrenzt aufbewahrt werden. Für die einzelnen Bestandteile gelten unterschiedliche Fristen. Zu beachten ist, dass der Gesetzgeber die Aufbewahrungsfrist für Buchungsbelege zum 1. Januar 2025 von zehn auf acht Jahre verkürzt hat. Einen Überblick über die Behandlung der Personalakte bietet unser Beitrag „Personalakte und Datenschutz“. Legen Sie die Fristen in Ihrem Löschkonzept fest und richten Sie eine Wiedervorlage ein.

5. Daten im Kopf und auf privaten Geräten

Ausscheidende Beschäftigte sollten daran erinnert werden, dass die Verpflichtung zur Vertraulichkeit fortgilt. Wurden dienstliche Daten auf privaten Geräten gespeichert oder dienstliche Chats über private Messenger geführt, ist deren Löschung zu verlangen und zu dokumentieren. Werden Kundendaten mitgenommen, kann dies eine Datenpanne sein, die nach Art. 33 DSGVO zu bewerten ist.

6. Auskunftsersuchen vorbereiten

Gerade bei konfliktbehafteten Trennungen verlangen Beschäftigte häufig Auskunft nach Art. 15 DSGVO. Wer seine Daten geordnet hat, kann die Monatsfrist leichter einhalten. Hinweise zur Beantwortung enthält unser Leitfaden „Auskunftsersuchen nach Art. 15 DSGVO richtig beantworten“.

Die Kurz-Checkliste

1. Zugänge sperren, Geräte zurücknehmen.
2. Postfach-Regelung umsetzen.
3. Fotos und Kontaktdaten aus öffentlichen Kanälen entfernen.
4. Löschfristen für Personalakte vormerken.
5. Vertraulichkeitspflicht in Erinnerung rufen, Löschung privater Kopien dokumentieren.
6. Ansprechpartner für Auskunftsersuchen festlegen.

Am besten arbeiten Personalabteilung und IT eine gemeinsame, standardisierte Checkliste ab. Wir helfen beim Aufsetzen des Offboarding-Prozesses und ebenso, wenn bereits ein Auskunftsersuchen eines ehemaligen Mitarbeiters vorliegt. Kontaktieren Sie uns oder buchen Sie einen Termin.