E-Mail-Kontrolle im Betrieb: Was Arbeitgeber dürfen

Einleitung

Der Anlass ist selten dramatisch und fast immer dringend. Ein Vertriebsmitarbeiter kündigt und wechselt zum Wettbewerber; kurz darauf fehlen Angebote im System. Eine Mitarbeiterin ist seit vier Wochen krank, und in ihrem Postfach liegen Kundenanfragen, die niemand beantwortet. Oder es gibt einen Hinweis, dass in der Beschaffung etwas nicht stimmt. In jedem dieser Fälle liegt derselbe Gedanke nahe: Es ist unser System, unser Server, unsere Adresse, also sehen wir nach.

Als Rechtsanwalt mit langjähriger Erfahrung im Arbeitsrecht und im Wirtschaftsstrafrecht rate ich, vorher eine einzige Frage zu beantworten, weil sie über alles Weitere entscheidet: Dürfen Ihre Mitarbeiter das dienstliche Postfach auch privat nutzen? Von dieser Antwort hängt ab, ob Sie sich im Datenschutzrecht oder zusätzlich im Strafrecht bewegen, ob Betriebsrat und Betriebsvereinbarung eingebunden sein müssen und ob der Fund später überhaupt verwendbar ist. Dieser Beitrag erklärt die Regeln, den erheblich in Bewegung geratenen Stand der Rechtsprechung und die typischen Fehler.

1. Die Vorfrage: erlaubt, verboten oder geduldet

Ist die private Nutzung ausdrücklich verboten und wird das Verbot auch durchgesetzt, gilt der gesamte Postfachinhalt als dienstlich. Sie bewegen sich dann allein im Datenschutzrecht, und die Kontrolle ist bei sachlichem Anlass und in verhältnismäßigem Umfang zulässig. Das ist der einfachste Fall, und er ist seltener, als die Unternehmen glauben.

Ist die private Nutzung dagegen erlaubt, enthält das Postfach private Kommunikation, an der Ihr Mitarbeiter und seine Gesprächspartner ein eigenes Recht haben. Der Zugriff wird damit ungleich schwieriger, und er berührt zusätzlich die strafrechtliche Ebene. Als privat erkennbare Nachrichten sind in diesem Fall nicht zu lesen; wer beim Öffnen bemerkt, dass es sich um eine private Nachricht handelt, hat abzubrechen.

Der praktisch wichtigste und zugleich gefährlichste Fall liegt in der Mitte. Es gibt kein Verbot, es gibt keine Erlaubnis, und alle telefonieren und mailen seit Jahren auch privat. Diese Duldung wird rechtlich wie eine Erlaubnis behandelt, und bei längerer Übung kann daraus über die betriebliche Übung sogar ein Anspruch der Beschäftigten entstehen. Ein Verbot, das auf dem Papier steht und im Betrieb nicht gelebt wird, hilft dann nicht.

Warum das Verbot nur wirkt, wenn es gelebt wird

Wer die private Nutzung ausschließen will, muss das eindeutig regeln, die Regelung bekannt machen und Verstöße auch ansprechen. Eine Klausel im Arbeitsvertrag genügt nicht, wenn die Geschäftsleitung selbst private Termine über das Firmenpostfach abstimmt. Und die nachträgliche Beseitigung einer eingespielten Duldung geht nicht durch einseitige Ansage, sondern nur durch Änderungsvereinbarung oder, wo ein Betriebsrat besteht, durch eine ablösende Regelung.

2. Das Fernmeldegeheimnis und § 206 StGB

Der strafrechtliche Hebel ist § 206 StGB. Er bedroht mit Freiheitsstrafe bis zu fünf Jahren, wer als Inhaber oder Beschäftigter eines Unternehmens, das geschäftsmäßig Telekommunikationsdienste erbringt, das Fernmeldegeheimnis verletzt. Das ist ein Sonderdelikt: Täter kann nur sein, wer zu diesem Kreis gehört. Die entscheidende Frage lautet deshalb, ob der Arbeitgeber, der seinen Beschäftigten E-Mail und Internet auch privat überlässt, dadurch selbst zum Anbieter wird.

Über Jahre wurde das bejaht. Die Datenschutzkonferenz hat in ihrer Orientierungshilfe aus dem Januar 2016 die Auffassung vertreten, bei erlaubter oder geduldeter Privatnutzung sei der Arbeitgeber Diensteanbieter und an das Fernmeldegeheimnis gebunden; jede Einsichtnahme berge damit ein Strafbarkeitsrisiko. Mehrere Instanzgerichte sind dem allerdings schon früh entgegengetreten, etwa das Landesarbeitsgericht Niedersachsen mit Urteil vom 31. Mai 2010 (Aktenzeichen 12 Sa 875/09) und das Landgericht Erfurt mit Urteil vom 28. April 2021 (Aktenzeichen 1 HK O 43/20).

Inzwischen hat sich das Bild gedreht. Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen hat in ihrem Tätigkeitsbericht 2024 ausdrücklich festgehalten, dass für Arbeitgeber das Fernmeldegeheimnis nicht mehr gilt, wenn sie die private Nutzung erlauben oder dulden. Die Bundesnetzagentur ist in ihrem Hinweispapier vom Juli 2025 zu demselben Ergebnis gekommen: Angebote zwischen Arbeitgeber und Arbeitnehmer sind in der Regel keine Telekommunikationsdienste, weil es an der eigenständigen wirtschaftlichen Tätigkeit fehlt.

Was vom Risiko bleibt

Für die Beratung bedeutet das Entwarnung mit Vorbehalt. Eine höchstrichterliche Entscheidung zur Anbietereigenschaft des Arbeitgebers gibt es nicht, und die Orientierungshilfe der Datenschutzkonferenz von 2016 ist bis heute nicht förmlich zurückgenommen worden. Solange das so ist, bleibt bei erlaubter Privatnutzung ein Restrisiko, das ernst zu nehmen ist. Ohne dieses Risiko wäre die Antwort einfach; mit ihm bleibt es bei der Regel, private Nachrichten nicht zu lesen.

3. Die datenschutzrechtliche Grundlage hat sich verschoben

Bis vor kurzem war die Antwort auf die Frage nach der Rechtsgrundlage kurz: § 26 Abs. 1 Satz 1 BDSG. Diese Selbstverständlichkeit gibt es nicht mehr. Der Europäische Gerichtshof hat mit Urteil vom 30. März 2023 (Aktenzeichen C-34/21) entschieden, dass eine auf die Öffnungsklausel des Art. 88 DSGVO gestützte nationale Vorschrift einen eigenständigen Regelungsgehalt haben und die besonderen Schutzmaßnahmen des Art. 88 Abs. 2 DSGVO enthalten muss. Eine bloße Erforderlichkeitsklausel genügt dem nicht.

Das Bundesarbeitsgericht hat daraus mit Urteil vom 8. Mai 2025 (Aktenzeichen 8 AZR 209/21) die Konsequenz gezogen und festgestellt, dass § 26 Abs. 1 Satz 1 BDSG unangewendet zu bleiben hat. An seine Stelle treten unmittelbar die Vorschriften der Datenschutz-Grundverordnung, in der Praxis vor allem die Interessenabwägung nach Art. 6 Abs. 1 Buchstabe f DSGVO. Wer seine Kontrollmaßnahme noch auf § 26 Abs. 1 Satz 1 BDSG stützt, arbeitet mit einer Grundlage, die es so nicht mehr gibt.

Anders liegt es bei § 26 Abs. 1 Satz 2 BDSG, der Datenverarbeitung zur Aufdeckung von Straftaten. Diese Vorschrift enthält eigene Schutzvorkehrungen: dokumentierte tatsächliche Anhaltspunkte für eine im Beschäftigungsverhältnis begangene Straftat, Erforderlichkeit der Verarbeitung und kein überwiegendes schutzwürdiges Interesse des Betroffenen. Nach überwiegender Auffassung und nach Auffassung der Aufsichtsbehörden bleibt sie deshalb anwendbar; eine ausdrückliche Entscheidung des Bundesarbeitsgerichts dazu steht aus.

Die Dokumentation ist Tatbestandsmerkmal

Der häufigste Fehler liegt nicht in der Kontrolle selbst, sondern in ihrer Vorbereitung. § 26 Abs. 1 Satz 2 BDSG verlangt, dass die tatsächlichen Anhaltspunkte zu dokumentieren sind, und zwar vor der Maßnahme. Wer den Verdacht erst im Nachhinein aus dem Fund begründet, hat die Voraussetzung nicht erfüllt. Ein knapper Vermerk mit Datum, Anlass, Verdachtsmoment und geplantem Umfang der Auswertung ist deshalb keine Formalie, sondern die Grundlage der Rechtmäßigkeit.

4. Verhältnismäßigkeit, der eigentliche Maßstab

Auch wenn die Rechtsgrundlage steht, entscheidet die Verhältnismäßigkeit. Der Europäische Gerichtshof für Menschenrechte hat dafür im Urteil der Großen Kammer vom 5. September 2017 in der Sache Bărbulescu gegen Rumänien (Beschwerde Nr. 61496/08) einen Prüfkatalog aufgestellt: vorherige und transparente Information über Anlass und Ausmaß der Überwachung, Umfang und Eingriffstiefe der Maßnahme, legitime Gründe des Arbeitgebers, Verfügbarkeit milderer Mittel, Folgen für den Beschäftigten und ausreichende Schutzvorkehrungen gegen Missbrauch.

Das Bundesarbeitsgericht folgt derselben Linie. Nach dem Urteil vom 31. Januar 2019 (Aktenzeichen 2 AZR 426/18) darf der Arbeitgeber die auf dem Dienstrechner gespeicherten, nicht als privat gekennzeichneten Dateien auch ohne konkreten Anfangsverdacht einsehen, wenn der Beschäftigte auf die mögliche Einsichtnahme hingewiesen wurde. Umgekehrt hat das Bundesarbeitsgericht den verdeckten und anlasslosen Einsatz eines Keyloggers mit Urteil vom 27. Juli 2017 (Aktenzeichen 2 AZR 681/16) als unverhältnismäßig eingestuft.

Für die Praxis folgt daraus eine Stufenfolge: zuerst offene statt verdeckte Maßnahmen, zuerst Metadaten und Absender-Empfänger-Beziehungen statt Inhalte, zuerst gezielte Suchbegriffe statt vollständiger Sichtung, und immer nur der Zeitraum und der Personenkreis, für die es einen Anlass gibt. Wer das gesamte Postfach über fünf Jahre auswertet, weil ein Vorgang aus dem letzten Quartal fraglich ist, verliert die Verhältnismäßigkeit unabhängig davon, was er findet.

Die Kennzeichnungsobliegenheit des Beschäftigten

Eine für Arbeitgeber günstige Linie ergibt sich aus der Behandlung nicht gekennzeichneter Inhalte. Der Europäische Gerichtshof für Menschenrechte hat mit Urteil vom 22. Februar 2018 in der Sache Libert gegen Frankreich (Beschwerde Nr. 588/13) entschieden, dass die Öffnung von Dateien auf dem Dienstrechner, die nicht ausdrücklich als privat gekennzeichnet waren, Art. 8 EMRK nicht verletzt. Wer private Inhalte schützen will, muss sie also als solche erkennbar machen.

5. Betriebsrat und Betriebsvereinbarung

Besteht ein Betriebsrat, führt an ihm kein Weg vorbei. Nach § 87 Abs. 1 Nr. 6 BetrVG hat er mitzubestimmen bei der Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Arbeitnehmer zu überwachen. Nach ständiger Rechtsprechung genügt dafür die objektive Eignung zur Überwachung; eine Überwachungsabsicht ist nicht erforderlich. Damit sind Mailserver, Archivierungs- und Protokollierungssysteme, Content-Filter und Auswertungswerkzeuge praktisch immer mitbestimmungspflichtig.

Die Betriebsvereinbarung ist zugleich mehr als ein Verfahrensschritt, denn sie kann über Art. 88 Abs. 1 und 2 DSGVO in Verbindung mit § 26 Abs. 4 BDSG eigene Rechtsgrundlage der Verarbeitung sein. Der Europäische Gerichtshof hat dazu mit Urteil vom 19. Dezember 2024 (Aktenzeichen C-65/23) klargestellt, dass Kollektivvereinbarungen die Vorgaben der Datenschutz-Grundverordnung vollständig einhalten müssen und der vollen gerichtlichen Kontrolle unterliegen; einen Beurteilungsspielraum der Betriebsparteien bei der Erforderlichkeit gibt es nicht.

Fehlt die Mitbestimmung, ist die Maßnahme betriebsverfassungsrechtlich rechtswidrig. Der Betriebsrat kann Unterlassung und Beseitigung verlangen, notfalls im einstweiligen Verfügungsverfahren, und belastende Weisungen sind gegenüber dem einzelnen Arbeitnehmer unwirksam. Datenschutzrechtlich bleibt die Verarbeitung rechtswidrig, wenn keine andere Grundlage nach Art. 6 DSGVO trägt.

Ein Beweisverwertungsverbot folgt daraus nicht

Was viele überrascht: Die Betriebsparteien können ein prozessuales Verwertungsverbot nicht vereinbaren. Das Bundesarbeitsgericht hat mit Urteil vom 29. Juni 2023 (Aktenzeichen 2 AZR 297/22) entschieden, dass die Führung des gerichtlichen Verfahrens nicht zur Disposition der Betriebsparteien steht. Eine Klausel in der Betriebsvereinbarung, wonach unter Verstoß gegen sie erlangte Erkenntnisse im Prozess nicht verwendet werden dürfen, geht daher ins Leere.

6. Was im Kündigungsschutzprozess verwertbar ist

Hier hat sich die Rechtslage in den vergangenen drei Jahren spürbar zugunsten der Arbeitgeber entwickelt. Den Anfang machte das Bundesarbeitsgericht mit Urteil vom 29. Juni 2023 (Aktenzeichen 2 AZR 296/22) zur offenen Videoüberwachung: Aufzeichnungen sind im Kündigungsschutzprozess grundsätzlich verwertbar, auch wenn die Überwachung datenschutzrechtliche Vorgaben nicht vollständig einhielt, jedenfalls wenn es um vorsätzliches vertragswidriges Verhalten geht. Das Recht auf informationelle Selbstbestimmung schützt nicht davor, sich vorsätzlich rechtswidrigem Handeln zu entziehen.

Diese Linie hat der Europäische Gerichtshof mit Urteil vom 18. Juni 2026 (Aktenzeichen C-484/24) auf europäischer Ebene bestätigt. Danach steht die Datenschutz-Grundverordnung der Berücksichtigung rechtswidrig erlangter personenbezogener Daten durch nationale Gerichte nicht entgegen; ein Verstoß gegen die Verordnung begründet für sich genommen kein Beweisverwertungsverbot. Zugleich verlangt der Gerichtshof, dass die Gerichte die Grundsätze der Datenminimierung und der Speicherbegrenzung beachten, eine Anonymisierung nicht verfahrensrelevanter Daten prüfen und die betroffenen Grundrechte abwägen.

Für die Praxis heißt das zweierlei. Erstens: Ein Datenschutzverstoß macht den Fund nicht automatisch wertlos, und das Argument, die Kündigung sei schon wegen des Verstoßes unwirksam, trägt nicht mehr. Zweitens: Der Verstoß bleibt trotzdem einer, mit allen Folgen für Schadensersatz, Bußgeld und Betriebsklima. Wer sich auf die Verwertbarkeit verlässt, gewinnt möglicherweise die Kündigungsschutzklage und verliert an anderer Stelle.

Grenzen bleiben bestehen

Nicht alles ist damit erlaubt. Die Verwertung bleibt in Fällen ausgeschlossen, in denen der Eingriff besonders schwer wiegt, etwa bei verdeckter, dauerhafter und anlassloser Überwachung oder beim Eindringen in geschützte private Bereiche. Der Keylogger-Fall des Bundesarbeitsgerichts ist dafür weiterhin der Maßstab. Der Unterschied liegt nicht im Datenschutzverstoß als solchem, sondern in der Intensität des Eingriffs.

7. Die drei Alltagsfälle

Der erste Fall ist die Abwesenheit. Ist ein Beschäftigter erkrankt oder im Urlaub und liegen im Postfach geschäftlich erforderliche Vorgänge, ist ein eng begrenzter Zugriff zulässig, wenn er nicht erreichbar ist und mildere Mittel ausscheiden. Milder und vorzugswürdig sind organisatorische Lösungen: Vertreterregelung, Abwesenheitsnotiz, Weiterleitung und funktionsbezogene Sammelpostfächer für Einkauf, Buchhaltung und Vertrieb. Der Zugriff selbst sollte im Vier-Augen-Prinzip erfolgen und protokolliert werden.

Der zweite Fall ist das Ausscheiden. Die dienstliche Korrespondenz bleibt Geschäftskorrespondenz des Unternehmens, das Postfach ist damit aber nicht freigegeben. Bewährt hat sich eine Abwesenheitsnotiz mit Hinweis auf das Ausscheiden und den neuen Ansprechpartner, eine Umleitung an ein Funktionspostfach, eine geordnete Sichtung im Vier-Augen-Prinzip und die Deaktivierung der Adresse nach angemessener Frist. War die Privatnutzung erlaubt, sind private Nachrichten auszusondern.

Der dritte Fall ist die interne Untersuchung. Sie ist der anspruchsvollste, weil sie zugleich Beweismittel für ein späteres Verfahren schafft und selbst Datenverarbeitung ist. Erforderlich sind ein dokumentierter Anlass, eine abgestufte Vorgehensweise, eine Prüfung der Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und die Beteiligung des Betriebsrats. Zu bedenken ist außerdem, dass die entstehenden Unterlagen von der Staatsanwaltschaft beschlagnahmt werden können; ein umfassendes Anwaltsprivileg besteht nach der Rechtsprechung des Bundesverfassungsgerichts nicht.

Was der Mitarbeiter seinerseits geltend machen kann

Zwei Ansprüche werden regelmäßig unterschätzt. Über Art. 15 DSGVO kann der Beschäftigte Auskunft und eine Kopie seiner Daten verlangen; damit wird sichtbar, welche Kontrollmaßnahmen stattgefunden haben. Und über Art. 82 DSGVO kann er immateriellen Schadensersatz verlangen. Die Beträge sind moderat: Das Bundesarbeitsgericht hat im Urteil vom 8. Mai 2025 (Aktenzeichen 8 AZR 209/21) 200 Euro zugesprochen und im Urteil vom 20. Februar 2025 (Aktenzeichen 8 AZR 61/24) klargestellt, dass ein rein hypothetisches Missbrauchsrisiko nicht genügt. Erheblich sind dagegen die Bußgelder nach Art. 83 DSGVO; im bekanntesten deutschen Fall zur Ausforschung von Beschäftigten wurden 2020 rund 35,3 Millionen Euro festgesetzt. Weiterführende Hinweise finden Sie auf meinen Seiten zum Arbeitsrecht, zur Abmahnung und zur fristlosen Kündigung.

8. Wo anwaltliche Hilfe ansetzt

Der erste Schritt ist die Bestandsaufnahme, und sie betrifft nicht den Verdachtsfall, sondern Ihr Haus. Zu klären ist, wie die private Nutzung tatsächlich geregelt und tatsächlich gehandhabt wird, welche Betriebsvereinbarungen bestehen, welche Systeme protokollieren und ob es eine Regelung für Abwesenheit und Ausscheiden gibt. Wer das erst im akuten Fall klärt, entscheidet unter Zeitdruck über eine Frage, die Monate zuvor hätte geregelt sein müssen.

Der zweite Schritt betrifft den konkreten Zugriff. Hier geht es um die Rechtsgrundlage, um die Dokumentation des Anlasses, um den Zuschnitt der Auswertung nach Zeitraum, Personen und Suchbegriffen, um die Beteiligung des Betriebsrats und um die Frage, wer die Auswertung durchführt. Parallel ist zu prüfen, welche arbeitsrechtlichen Schritte der Fund trägt und ob zugleich ein Straf- oder Ermittlungsverfahren im Raum steht, weil dann andere Regeln greifen.

Womit ich Ihnen konkret helfe

Ich prüfe die Ausgangslage in Ihrem Betrieb, ordne ein, ob und in welchem Umfang ein Zugriff zulässig ist, und begleite die Auswertung so, dass die Ergebnisse später Bestand haben. Auf der Gegenseite vertrete ich Beschäftigte, deren Postfach ausgewertet wurde, gegenüber Kündigung, Auskunftsverweigerung und Schadensersatzfragen. Welcher Weg im Einzelfall trägt, hängt von der gelebten Nutzungspraxis, von der Beweislage und vom Zeitpunkt ab und lässt sich nicht allgemein beantworten.