Kurzfassung für den Datenschutzbeauftragten
Beanstandet wurde nicht der Zugriff selbst, sondern die Infrastruktur, die ihn ermöglicht hat: E-Mail-Backups über die gesamte Beschäftigungsdauer plus fünf Jahre, Protokolle über sechs Monate, unzureichende Information. Wer alles aufbewahrt, kann jederzeit alles rekonstruieren, und für die Behörde ist diese Möglichkeit bereits eine Verhaltenskontrolle.
Der Sachverhalt
Das Verfahren geht auf Beschwerden zweier ehemaliger Beschäftigter von Piaggio & C. Spa zurück. Während des Arbeitsverhältnisses hatte das Unternehmen auf deren dienstliche E-Mail-Postfächer zugegriffen und insgesamt 112 E-Mails erhoben, mit dem erklärten Ziel, einen Verdacht auf Fehlverhalten zu überprüfen.
Am schwersten wog ein zeitliches Detail. In einigen Fällen stammten die erhobenen E-Mails aus einer Zeit rund zwei Jahre vor dem Aufkommen des Verdachts. Es handelte sich also nicht um eine gezielte Prüfung eines konkreten Vorgangs, sondern um eine rückwärtsgerichtete Suche in einem Archiv, das bereits bestand und unabhängig von jedem Verdacht aufgebaut worden war.
Dieses Archiv war das Ergebnis zweier Aufbewahrungsentscheidungen: Backups der E-Mail-Daten für die gesamte Dauer des Arbeitsverhältnisses und bis zu fünf Jahre nach dessen Ende sowie die Aufbewahrung der zugehörigen Protokolle über sechs Monate. Die Behörde hielt beide Fristen für überschießend.
Warum daraus eine Verhaltenskontrolle wird
Die Argumentation der Behörde entspricht der gefestigten Linie zu Arbeitsmitteln: Sind Erhebung und Aufbewahrung systematisch und andauernd, wird die Verarbeitung geeignet, die Tätigkeit der beschäftigten Person zu rekonstruieren. Ab diesem Punkt zählt nicht mehr die Absicht des Arbeitgebers, sondern die objektive Leistungsfähigkeit des Systems. Und diese verlangt die Garantien des italienischen Arbeitnehmerstatuts, die hier nicht vorlagen.
Deshalb wird die Grenze zwischen Arbeitsmittel und Kontrollmittel nicht auf dem Papier gezogen, sondern in der technischen Konfiguration. Ein Mailclient ist ein Arbeitsmittel; derselbe Client mit unbegrenzter Backup-Aufbewahrung und monatelang gespeicherten Protokollen wird zu einem Kontrollsystem, ohne dass jemand diese Entscheidung je getroffen hätte.
Die weiteren Beanstandungen
- Überschießende Speicherfristen sowohl für dienstliche E-Mails als auch für Zugriffsprotokolle, unter Verstoß gegen den Grundsatz der Speicherbegrenzung.
- Mängel bei der Information der Beschäftigten über Zwecke und Rechtsgrundlagen der Verarbeitung: Die Information erklärte nicht hinreichend, was gespeichert wurde, wie lange und unter welchen Voraussetzungen darauf zugegriffen werden konnte.
- Keine Beantwortung der Betroffenenanfragen der ehemaligen Beschäftigten, insbesondere derjenigen zur Bestätigung der Deaktivierung ihrer Konten.
Die Behörde erklärte die Verarbeitung der dienstlichen E-Mail-Daten für rechtswidrig, untersagte Piaggio den Zugriff auf die auf den eigenen Systemen erhobenen und gespeicherten Daten und verhängte das Bußgeld von 460.000 Euro.
Was Sie bei Ihren Mandanten konkret prüfen sollten
1) Wie lange überdauern E-Mail-Backups das Ende des Arbeitsverhältnisses? Lautet die Antwort „weiß ich nicht“ oder „dauerhaft“, besteht das Problem bereits. 2) Wie lange werden Zugriffsprotokolle der Postfächer aufbewahrt? 3) Sagt die Information für Beschäftigte in verständlichen Worten, was gespeichert wird und wie lange? 4) Gibt es ein schriftliches Verfahren zur Deaktivierung der Konten beim Ausscheiden, mit Bestätigung an die betroffene Person? 5) Gibt es ein förmliches Verfahren für den ausnahmsweisen Zugriff auf ein Postfach, mit Voraussetzungen, Genehmigung und Dokumentation? Die ersten drei Fragen richten sich an die IT, nicht an die Personalabteilung.
Der Punkt für alle mit mehreren Mandanten
Die Verwaltung dienstlicher E-Mail ist wahrscheinlich die am meisten vernachlässigte Pflicht unter denen mit hohem Bußgeldrisiko, weil sie zwischen zwei Funktionen liegt: Die IT entscheidet über die technische Aufbewahrung, die Personalabteilung schreibt die Information, und beide werden fast nie abgeglichen. Das Verarbeitungsverzeichnis ist der richtige Ort, um das sichtbar zu machen, denn es zwingt dazu, die Speicherdauer neben den Zweck zu schreiben. Fehlt in einem Verzeichnis die Verarbeitung „E-Mail der Beschäftigten“, oder steht dort eine pauschale Frist, hat dieser Mandant dasselbe Problem wie Piaggio, nur in kleinerem Maßstab.
Offizielle Quelle:Italienische Datenschutzbehörde - Newsletter Nr. 550 vom 29. Juli 2026; Bescheid vom 18. Juni 2026 [doc-web 10272529]Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
