Das Postfach der Ausgeschiedenen: die Verarbeitung, die niemand dokumentiert

Es lohnt sich, der Versuchung zu widerstehen, das als belgische Angelegenheit abzulegen. Von allen Verarbeitungen einer Organisation ist das Postfach der Ausgeschiedenen wohl die universellste und fast immer die, die im Verzeichnis fehlt. Niemand entscheidet sie: sie passiert. Am Tag des Austritts bleibt das Konto offen, weil «vielleicht noch etwas Wichtiges kommt»; einen Monat später denkt niemand mehr daran, es zu schließen; ein Jahr später existiert ein Behälter mit der Korrespondenz einer Person, die nicht mehr da ist, gelesen von Kollegen, die sie nie dazu befugt hat.

Das Argument zur Verteidigung der Praxis ist stets dasselbe: berechtigtes Interesse an der Geschäftskontinuität. Das Argument ist nicht lächerlich, es ist nur viel kürzer als der Gebrauch, der davon gemacht wird. In den Tagen unmittelbar nach dem Austritt besteht tatsächlich ein Interesse, keinen Auftrag und keine Frist zu verlieren. Dieses Interesse erschöpft sich, sobald die Korrespondenten Zeit hatten, die Adresse zu ändern, und diese Zeit misst sich in Wochen. Danach bleibt nicht Kontinuität, sondern die Bequemlichkeit, nichts umorganisiert zu haben — und Bequemlichkeit ist keine Rechtsgrundlage.

• Das Postfach ist spätestens an dem Tag zu deaktivieren, an dem das Verhältnis endet. Nicht «so bald wie möglich»: an diesem Tag.
• An seiner Stelle eine automatische Antwort mit einer Alternativadresse, ohne zu erklären, wohin die Person gegangen ist, und ohne ihre privaten Kontaktdaten weiterzugeben.
• Nach einer angemessenen Frist — grundsätzlich ein Monat, mit dokumentierten Gründen höchstens auf drei verlängerbar — werden Postfach und automatische Antwort beide gelöscht.
• Der Inhalt wird nicht gelesen. Wird ein Dokument wirklich gebraucht, ist es durch eine gezielte, dokumentierte Suche zu finden, und die betroffene Person ist vorher zu informieren.
• Die Person muss das alles vor dem Austritt wissen und nicht danach erfahren: das ist die Informationspflicht, keine Höflichkeit.

Für den Datenschutzbeauftragten sind es vier Dinge, die schriftlich festzuhalten sind, und keines davon braucht ein Projekt: der Eintrag im Verzeichnis der Verarbeitungstätigkeiten, mit Zweck, Rechtsgrundlage und getrennten Fristen für Deaktivierung und Löschung; der Abschnitt in der Mitarbeiterinformation, der beschreibt, was mit dem Postfach nach dem Austritt geschieht; das Offboarding-Verfahren, das einer namentlich benannten Person die Schließung mit Datum zuweist; und das Protokoll jedes Zugriffs auf den Inhalt, falls es einen gab. Ohne den vierten Punkt kann die Organisation nicht nachweisen, dass niemand etwas gelesen hat — und die Beweislast liegt bei ihr.

Eine Einzelheit zur automatischen Antwort, denn das ist der am häufigsten schlecht geschriebene Teil. «Unser Kollege arbeitet nicht mehr bei uns, Sie erreichen ihn unter dieser neuen Adresse» teilt jedem Schreibenden eine Information über den beruflichen Weg einer Person mit, die um diese Offenlegung nicht gebeten hat. Der richtige Text sagt zwei Dinge und hört dann auf: dass diese Adresse nicht mehr in Gebrauch ist, und an welche Adresse zu schreiben ist. Nicht den Grund, nicht das Ziel, nicht die guten Wünsche.

Was heute konkret zu tun ist. Wer in einer Organisation die Compliance verantwortet, kann in einer halben Stunde feststellen, wie viele Postfächer ausgeschiedener Personen noch aktiv sind, seit wann, und ob eines an einen Kollegen weitergeleitet wird. Ist die Zahl nicht null, braucht es keine Datenschutz-Folgenabschätzung, sondern eine Liste mit einem Datum neben jeder Zeile. Die belgische Entscheidung hat keinen neuen Grundsatz aufgestellt — die Linie der Behörde ist mindestens seit 2020 dieselbe, als ein Unternehmen mit 15.000 Euro belegt wurde, weil Adressen beim Austritt von Mitarbeitern nicht geschlossen worden waren. Geändert hat sich der Preis.