In vielen Unternehmen ist das leider gängige Praxis: Schnell noch eine wichtige dienstliche E-Mail ans private Postfach weiterleiten, um auch von zu Hause darauf zugreifen zu können. Das OLG München hat nun mit Urteil vom 31.07.2024 (Az. 7 U 351/23 e) klargestellt: Diese Praxis kann zur fristlosen Kündigung führen. Im entschiedenen Fall hatte ein Vorstandsmitglied dienstliche E-Mails mit Unternehmensdaten an sein privates GMX-Postfach weitergeleitet.
Sachverhalt
In dem Fall stritten die Parteien über die Abberufung als Vorstand und die Kündigung seines Vorstandsdienstvertrages. Dieser sah hinsichtlich der Geheimhaltungspflicht u.a. vor, dass: „sich der Vorstand verpflichtet, alle betrieblichen Angelegenheiten und Geschäfts- und Betriebsgeheimnisse, die ihm während und im Rahmen seiner Tätigkeit für die Gesellschaft oder mit der Gruppe verbundenen Unternehmen bekannt werden, vertraulich zu behandeln, unabhängig davon, ob sie als vertraulich gekennzeichnet oder offensichtlich als vertraulich erkennbar sind.“
Inhalt der weitergeleiteten dienstlichen E-Mails waren u.a. Provisionspläne, Gehalts- und Provisionsabrechnungen, Compliance-Vorgänge, Streitigkeiten zwischen Vorständen. Ein neu bestelltes Vorstandsmitglied stellte bei der Durchsicht verschiedener Unterlagen fest, dass der Kläger die E-Mails an seine private E-Mail-Adresse weitergeleitet hatte.
Der Kläger versicherte, dass er die Informationen nicht an Dritte weitergegeben habe und dass die Informationen zu jeder Zeit vor Dritten geschützt gewesen seien. Dennoch wurde das Vorstandsmitglied kurz darauf aus wichtigem Grund aus dem Vorstand abzuberufen und ihm aus außerordentlich fristlos gekündigt.
Der Kläger machte zu seiner Verteidigung geltend, die Weiterleitung der E-Mails an seine private E-Mail-Adresse führe aufgrund der von ihm vorgenommenen Sicherung seines privaten E-Mail-Accounts nicht zu einer Verletzung des Geheimnisschutzes und des Datenschutzes, da nur er die Passwörter kenne und nur er zugriffsberechtigt sei. Im Übrigen habe er nur solche E-Mails weitergeleitet, die wegen bedenklicher Veränderungen im Betrieb der Beklagten unerlässlich gewesen seien, um später nachweisen zu können, dass ihn selbst kein haftungsbegründendes Verschulden treffe.
Kernaussagen des Urteils
Das Gericht stellte klar, dass bereits die Weiterleitung sensibler Unternehmensdaten an private E-Mail-Accounts ohne entsprechende Rechtsgrundlage einen Verstoß gegen die DSGVO darstellt. Dabei half dem Vorstand auch nicht, dass:
– die Daten nicht an Dritte weitergegeben wurden
– keine DSGVO-Sanktionen gegen das Unternehmen verhängt wurden
– der Betroffene die Daten zur eigenen rechtlichen Absicherung speichern wollte.
Das OLG München zieht explizit eine Parallele zur Rechtsprechung des Bundesarbeitsgerichts (BAG, Urteil vom 08.05.2014 – 2 AZR 249/13): Auch Arbeitnehmern ist es ohne Einverständnis des Arbeitgebers untersagt, sich betriebliche Unterlagen oder Daten anzueignen oder für betriebsfremde Zwecke zu vervielfältigen. Die Entscheidung dürfte daher in weiten Teilen auf Arbeitnehmer übertragbar sein, insbesondere wenn:
– sensible Unternehmensdaten betroffen sind
– die Weiterleitungen systematisch erfolgen
– keine betriebliche Notwendigkeit besteht.
Handlungsempfehlungen für Arbeitgeber
Das Urteil stärkt die Position der Arbeitgeber beim Schutz sensibler Unternehmensdaten.
Arbeitgeber sollten aber dennoch unbedingt verbindliche Richtlinien zur E-Mail-Nutzung implementieren. Diese sollten unmissverständlich regeln, dass die Weiterleitung dienstlicher E-Mails an private E-Mail-Accounts untersagt ist. Die Richtlinien sollten schriftlich fixiert und allen Mitarbeitern nachweislich zur Kenntnis gebracht werden. Sinnvoll ist es, die Kenntnisnahme durch Unterschrift bestätigen zu lassen, um im Streitfall die Information der Mitarbeiter belegen zu können. Um dem Einwand einer Duldung vorzubeugen, ist bei Verstößen konsequentes Handeln gefordert.
Werden Verstöße gegen die E-Mail-Richtlinien oder sonst unzulässige Weiterleitungen bekannt, ist eine zeitnahe Reaktion des Arbeitgebers erforderlich. Der Sachverhalt sollte umfassend aufgeklärt und sorgfältig dokumentiert werden. Dabei geht es insbesondere darum festzuhalten:
• Wann wurden welche Daten weitergeleitet?
• Wie oft ist dies passiert?
• Wie sensibel waren die Informationen?
Bei schweren Verstößen, etwa wenn besonders vertrauliche Daten betroffen sind oder Mitarbeiter wiederholt E-Mails weiterleiten, kann eine fristlose Kündigung in Betracht kommen. Wichtig ist dabei auf die Zwei-Wochen-Frist des § 626 Abs. 2 BGB zu achten. Bei einmaligen oder leichteren Verstößen kann auch eine Abmahnung ausreichen.