Das Weiterleiten von beruflichen E-Mails durch Vorgesetzte ist rechtlich eng begrenzt. Eine neue Analyse zeigt: Ohne Zustimmung oder zwingenden Grund ist die Weitergabe tabu – und der Schutz privater Daten hat oberste Priorität.
Die Grenzen zwischen beruflicher Kontrolle und privater Sphäre verschwimmen zunehmend. Eine aktuelle rechtliche Einordnung aus der Schweiz sorgt nun für Klarheit: Arbeitgeber dürfen zwar geschäftliche Korrespondenz einsehen, um den Betrieb aufrechtzuerhalten. Doch beim Weiterleiten von E-Mails gelten strenge Regeln, die die Privatsphäre der Beschäftigten schützen.
Kontrolle ja, Weitergabe nur mit Zustimmung
Das Lesen dienstlicher Nachrichten ist Vorgesetzten grundsätzlich erlaubt. Anders sieht es beim Weiterleiten aus: Das ist nur dann zulässig, wenn es für die Erfüllung beruflicher Aufgaben zwingend erforderlich ist oder der Mitarbeiter ausdrücklich zugestimmt hat. Besonders sensible Daten – etwa Informationen über den Gesundheitszustand – dürfen ohne direkte Autorisierung unter keinen Umständen weitergegeben werden.
Für die Verwaltung von E-Mail-Konten während der Abwesenheit eines Mitarbeiters empfehlen Rechtsexperten das Vier-Augen-Prinzip. Es gewährleistet Kontrolle und schützt zugleich die Privatsphäre. Scheidet ein Beschäftigter aus dem Unternehmen aus, sind Arbeitgeber verpflichtet, das Konto zu sperren und verbliebene private Daten zu löschen.
Europäische Gerichte ziehen klare Linien
Der Europäische Gerichtshof (EuGH) hat am 16. Juli 2026 die Befugnisse nationaler Kartellbehörden präzisiert: Sie dürfen berufliche E-Mails ohne vorherige richterliche Anordnung beschlagnahmen – allerdings nur unter strengen rechtlichen Rahmenbedingungen und mit wirksamen Garantien, einschließlich einer nachträglichen gerichtlichen Überprüfung.
Wer sich mit den rechtlichen Grenzen der Datenverarbeitung im Unternehmen befasst, muss vor allem die Dokumentationspflichten im Blick behalten. Diese kostenlose Excel-Vorlage hilft Ihnen dabei, das erforderliche Verarbeitungsverzeichnis rechtssicher und zeitsparend zu erstellen. Kostenlose Muster-Vorlage und Schritt-für-Schritt-Anleitung jetzt gratis herunterladen
Anders verhält es sich bei gemischt genutzten Geräten: Wird ein Endgerät sowohl privat als auch beruflich verwendet, bleibt die vorherige richterliche oder unabhängige Autorisierung Pflicht. Diese Unterscheidung dürfte auch für deutsche Unternehmen erhebliche praktische Bedeutung haben.
In Großbritannien bestätigte der High Court am 31. Juli 2026 die Rechtmäßigkeit einer umstrittenen Kommunikationsrichtlinie: Die automatische Löschung von WhatsApp-Nachrichten nach 90 Tagen bei der Metropolitan Police ist demnach zulässig. Zwar hatte die Datenschutzbehörde ICO Bedenken angemeldet – das Gericht sah jedoch die Pflicht der Ermittler, relevante Beweise auf anderen Wegen zu sichern, als ausreichend an.
Technologie und Datenschutz im Wandel
Auch Anbieter reagieren auf wachsende Datenschutzbedürfnisse. Gmail hat am 4. August 2026 eine neue Warnfunktion eingeführt: Empfänger von Blindkopien (BCC) sehen nun ein gelbes Banner, wenn sie auf „Allen antworten“ klicken. Es weist darauf hin, dass diese Aktion ihre ursprüngliche Einbindung in den E-Mail-Verlauf für alle anderen Empfänger sichtbar machen würde.
Die französische Datenschutzbehörde CNIL hat ihre Empfehlungen zu Tracking-Pixeln in E-Mails aktualisiert. Zwar lief die Übergangsfrist am 14. Juli 2026 aus, doch die Behörde signalisiert: Verlängerungen sind bei objektiven Gründen möglich. Grundsätzlich gilt seit Mitte April: Tracking-Pixel benötigen die Zustimmung der Nutzer – es sei denn, sie sind für Sicherheit oder Zustellbarkeit unerlässlich.
Die korrekte Dokumentation von Datenflüssen ist für die Einhaltung der DSGVO-Vorgaben unerlässlich, um hohe Bußgeldrisiken zu minimieren. Erfahren Sie in diesem kostenlosen Report, welche häufig übersehenen Pflichtfelder bei einer Prüfung oft beanstandet werden. Gratis-Anleitung zum rechtssicheren Verarbeitungsverzeichnis sichern
KI bringt neue Rechtsrisiken
Die Integration künstlicher Intelligenz in Arbeitsabläufe schafft zusätzliche rechtliche Fallstricke. Ein US-Gerichtsurteil vom Februar 2026 (USA v. Heppner) verdeutlicht: Wer öffentliche KI-Plattformen für sensible juristische Analysen nutzt, riskiert den Verlust des Anwaltsgeheimnisses. Die Einbindung externer Dienstleister hebt die Vertraulichkeitserwartung auf.
Die globalen Compliance-Anforderungen bleiben streng. Auf den Philippinen ermöglicht der Data Privacy Act Geldstrafen von bis zu drei Prozent des Jahresbruttoeinkommens bei Verstößen. In Deutschland verlangen die GoBD-2026-Richtlinien von Unternehmen, steuerrelevante E-Mails manipulationssicher zu archivieren – und gleichzeitig personenbezogene Daten gemäß DSGVO zu löschen, sobald sie für den ursprünglichen Zweck nicht mehr benötigt werden.
