Weiterleitung dienstlicher E-Mails an private Mailaccounts – rechtliche Konsequenzen

Sachverhalt

Im Fokus stand ein Betriebsratsvorsitzender einer Klinik mit rund 390 Beschäftigten, der wiederholt dienstliche E-Mails inklusive sensibler Personaldaten an seine private E-Mail-Adresse weiterleitete. Nach mehreren Abmahnungen richtete er automatisierte Umleitungen ein und übermittelte unter anderem eine vollständige Excel-Tabelle mit vertraulichen Informationen wie Name, Tarifgruppe, Grundgehalt und Eingruppierung. Begründet wurde das Vorgehen mit mangelnder technischer Ausstattung am Arbeitsplatz zuhause (größerer Monitor daheim!).

Rechtliche Würdigung

Das Hessische Landesarbeitsgericht (Az. 16 TaBV 109/24) bestätigte den Ausschluss des Betriebsratsvorsitzenden aus dem Gremium, weil sein Verhalten eine grobe Pflichtverletzung im Sinne von § 23 BetrVG darstellt.
Relevante rechtliche Aspekte:

• Unzulässige Verarbeitung personenbezogener Daten: Die Weiterleitung sensibler Informationen an private Accounts ohne Rechtsgrundlage verstößt gegen Art. 6 Abs. 1 DS-GVO und § 79a Abs. 1 BetrVG.
• Missachtung klarer datenschutzrechtlicher Vorschriften: Der Vorsitzende unterlag bereits nach Abmahnung einer konkreten Pflichtverletzung, die er wissentlich fortsetzte .
• Fehlende Notwendigkeit externen Zugriffs: Technisch wäre die Bearbeitung ausschließlich mit dienstlichen Geräten möglich gewesen. Ein Umweg auf private Systeme war nicht gerechtfertigt.

Bedeutung für Datenschutzpraxis

Der Fall zeigt eindrücklich: Auch Betriebsratsmitglieder unterliegen den strengen Vorgaben der DS-GVO und des BDSG. Sensible Daten dürfen nicht fahrlässig an private Systeme übermittelt werden, ungeachtet von vermeintlichen technischen Verbesserungen. Arbeitgeber sind angehalten, verlässliche technische Ausstattung zur Verfügung zu stellen und klare Richtlinien für Datenschutz im Betriebsrat zu etablieren.

Handlungsempfehlungen für Unternehmen und Betriebsräte

• Technische Ausstattung bereitstellen: Arbeitgeber sollten dienstliche Arbeitsplätze so ausstatten, dass Heimarbeitsplätze nicht notwendig werden.
• Sensibilisierung und Schulung: Regelmäßige Datenschutzfortbildungen sind unerlässlich. Das gilt auch (und gerade) für Betriebsratsmitglieder.
• Klare interne Regeln implementieren: Datenschutzvereinbarungen sollten den Umgang mit E‑Mails und Datenverarbeitungswegen eindeutig regeln.
• Verhalten sanktionieren und dokumentieren: Bereits abgemahntes Fehlverhalten muss überwacht und bei Wiederholung konsequent geahndet werden.

(Foto: nmann77 – stock.adobe.com)