Offboarding-Checkliste DSGVO: sauber & sicher
Mitarbeiter-Austritt datenschutzkonform abwickeln: Zugänge sperren, Daten übergeben, Fristen wahren. Die DSGVO-Offboarding-Checkliste mit Vorlage zum Abhaken.
- Ein DSGVO-konformes Offboarding hat zwei Seiten: alle Zugänge des Ausscheidenden spätestens am letzten Arbeitstag sperren und jede personenbezogene Datei nach Rechtsgrundlage sortieren – aufbewahren oder löschen.
- Verwaiste Konten – aktive Zugänge ausgeschiedener Mitarbeitender – sind Sicherheitslücke und Datenschutzverstoß zugleich. Das BSI führt den Weggang von Mitarbeitenden als Basis-Anforderung ORP.2.A2 im IT-Grundschutz-Kompendium.
- Nicht alles darf gelöscht werden: § 257 HGB verlangt zehn Jahre für Jahresabschlüsse und Handelsbücher, acht Jahre für Buchungsbelege und sechs Jahre für Handelsbriefe – und die Frist beginnt erst mit dem Ende des Kalenderjahres.
- Wird ein Microsoft-365-Konto gelöscht, bleiben Outlook- und OneDrive-Inhalte 30 Tage lang wiederherstellbar und sind danach endgültig weg. Jede Übergabe muss in dieses Fenster passen.
- War die private Nutzung dienstlicher Postfächer erlaubt oder auch nur geduldet, darf das Postfach nicht ohne Weiteres eingesehen werden. Die Regelung dazu gehört in die IT-Richtlinie, nicht in die Diskussion am Austrittstag.
Ein Mitarbeiter verlässt das Unternehmen – und sein Konto bleibt aktiv. Was harmlos klingt, ist einer der häufigsten und gefährlichsten Fehler im Mittelstand: ein Sicherheitsrisiko und ein DSGVO-Verstoß zugleich. Diese Offboarding-Checkliste nach DSGVO führt Sie durch den Austritt von Mitarbeitern, sodass beide Seiten sauber abgedeckt sind – die IT und die Datenschutz-Grundverordnung. Sie ersetzt keine Rechtsberatung, gibt Ihnen aber eine belastbare Struktur an die Hand.
Warum Offboarding genauso wichtig ist wie Onboarding
Beim Onboarding geben sich die meisten Unternehmen Mühe: Gerät steht bereit, Accounts sind angelegt, die Begrüßung ist geplant – so wie es unsere Checkliste für das IT-Onboarding beschreibt. Beim Austritt dagegen fehlen oft jegliche Regelungen – niemand fühlt sich zuständig, und das Konto läuft weiter. Dabei ist der Austritt der Moment mit dem höheren Risiko: Beim Onboarding fehlt schlimmstenfalls ein Zugang, beim Offboarding bleibt einer zu viel bestehen.
Das BSI führt den Weggang von Mitarbeitenden deshalb als eigene Basis-Anforderung. Laut IT-Grundschutz-Baustein ORP.2 Personal (Anforderung ORP.2.A2) müssen alle erhaltenen Unterlagen, Schlüssel, Geräte, Ausweise und Zutrittsberechtigungen eingezogen und alle betroffenen Stellen – ausdrücklich auch die IT – über das Ausscheiden informiert werden. Ein geregelter Austrittsprozess ist damit zugleich die technische und organisatorische Maßnahme, die die DSGVO verlangt.
Ausscheiden eines Mitarbeiters: was datenschutzrechtlich auf dem Spiel steht
Beim Austritt verschieben sich die Pflichten: Aus einem berechtigten Zugriff wird von einem Tag auf den anderen ein unzulässiger. Bleiben Konto und Rechte bestehen, kann die ausgeschiedene Person weiter auf personenbezogene Daten zugreifen – oder ein Angreifer, der die vergessenen Zugangsdaten findet. Genau dagegen verlangt Artikel 32 DSGVO geeignete technische und organisatorische Maßnahmen.
Wird ein solcher Zugang missbraucht, greift eine Frist, die viele unterschätzen: Nach Artikel 33 DSGVO ist eine Datenschutzverletzung möglichst binnen 72 Stunden der Aufsichtsbehörde zu melden. Wer dann erst rekonstruieren muss, welche Konten offen waren, verliert genau die Zeit, die er für die Meldung braucht.
Sehr wenig Zeit im Ernstfall, ein enges Fenster für die technische Übergabe, sehr lange Pflichten bei Buchhaltung und Personalunterlagen: Ein Offboarding, das nur „Konto löschen” heißt, wird keiner dieser drei Fristen gerecht.
Ein datenschutzkonformes Offboarding hat deshalb zwei Seiten, die zusammengehören: Zugänge sperren und Daten korrekt behandeln. Wer nur das eine tut, lässt eine Lücke offen.
Die Offboarding-Checkliste nach DSGVO für Unternehmen im Überblick
Arbeiten Sie die vier Phasen der Reihe nach ab – die Checkliste bleibt für Unternehmen jeder Größe dieselbe, nur die Zahl der Systeme variiert. Die vollständige Version zum Abhaken finden Sie im kostenlosen Protokoll unten.
1. Sofort: alle Zugänge entziehen
- Anmeldung und Single Sign-On deaktivieren. Aktive Sitzungen beenden – sonst bleibt eine offene Sitzung stundenlang gültig.
- E-Mail-Postfach sperren oder in Vertretung umleiten.
- Fachsysteme, Cloud und VPN entziehen. CRM, ERP, Fileshares, Fernzugriff – auch die selten genutzten.
- MFA-Token und Authenticator entkoppeln, damit kein zweiter Faktor auf einem privaten Gerät zurückbleibt.
- Geteilte Zugangsdaten wechseln. Sammelkonten und Passwörter, die die Person kannte, werden neu gesetzt statt nur entzogen.
- Physische Zugänge einziehen. Schlüssel, Badge, Tresorcode, Alarmanlagen-PIN.
Der Punkt mit den geteilten Zugangsdaten fehlt am häufigsten. Ein persönliches Konto lässt sich abschalten, ein Passwort, das drei Leute im Kopf haben, nicht. Wie sich Zugänge stattdessen an einer Identität bündeln lassen, erklärt unser Wissenseintrag zu Single Sign-On.
2. Daten und Übergabe
- Geschäftlich relevante Daten an Nachfolge oder Vorgesetzte übergeben – idealerweise als fester Schritt im gemeinsamen Ablauf von HR und IT.
- Persönliche Ablagen prüfen, geschäftliche Daten sichern.
- Weiterleitungen, Freigaben und Automatismen auflösen, auch in Teams-Kanälen und geteilten Kalendern.
3. Rückgabe von Arbeitsmitteln und Firmeneigentum
- Firmeneigentum vollständig zurücknehmen: Notebook, Smartphone, Zubehör, Datenträger – am besten mit quittierter Rückgabe.
- Zustand dokumentieren und das Gerät im Inventar dem Nutzer entziehen; wie das im Betrieb aussieht, zeigt die zentrale Geräteverwaltung.
- Gerät sicher löschen bzw. zurücksetzen und verschlüsselt neu bereitstellen.
- Lizenzen freigeben, bevor die nächste Abrechnung läuft.
4. Dokumentation und DSGVO
- Jeden Schritt mit Datum und Verantwortlichem protokollieren – das ist Ihr Nachweis.
- Personenbezogene Daten nach Ablauf der Fristen löschen.
- Bei Bedarf das Verzeichnis der Verarbeitungstätigkeiten aktualisieren.
Postfach, Abwesenheitsnotiz und E-Mail-Weiterleitung
Das Postfach ist der heikelste Einzelposten des Offboardings. Bewährt hat sich diese Reihenfolge: Postfach sperren, eine Abwesenheitsnotiz einrichten, die auf den neuen Ansprechpartner verweist, und eingehende Mails befristet an die Vertretung umleiten. Die Weiterleitung braucht ein Enddatum – ein Postfach, das monatelang stillschweigend mitgelesen wird, ist datenschutzrechtlich kaum zu rechtfertigen. Ob Sie es überhaupt einsehen dürfen, hängt davon ab, wie die private Nutzung geregelt war.
Wie eng diese Punkte mit der allgemeinen IT-Sicherheit zusammenhängen, zeigt unsere IT-Sicherheits-Checkliste für KMU – dort ist der sofortige Entzug von Zugängen einer der 25 Prüfpunkte.
Wer beim Offboarding wofür zuständig ist
Der häufigste Grund für ein unvollständiges Offboarding ist keine fehlende Technik, sondern eine unklare Zuständigkeit. HR weiß vom Austritt zuerst, hat aber keinen Zugriff auf Systeme. Die IT hat den Zugriff, erfährt vom Austritt aber manchmal erst, wenn das Gerät auf dem Tisch liegt. Die Führungskraft weiß als Einzige, welche Fachsysteme die Person wirklich genutzt hat.
Legen Sie deshalb drei Dinge schriftlich fest, bevor der nächste Austritt ansteht: Wer meldet den Austritt an wen, mit welcher Vorlaufzeit? Wer quittiert die Rückgabe? Wer gibt das Offboarding am Ende frei? Ein Prozess, der nur in einem Kopf existiert, fällt genau dann aus, wenn dieser Kopf im Urlaub ist.
Wir starten jede Zusammenarbeit mit einer Risikoanalyse gemeinsam mit der Geschäftsführung. Nicht um Angst zu machen, sondern um ehrlich zu sehen, wo Sie stehen und was zuerst dran ist.
Jens HagelGründer & Geschäftsführer
Fürs Offboarding heißt diese Bestandsaufnahme konkret: eine Liste aller Systeme mit Personenbezug. Ohne sie ist jede Checkliste unvollständig, weil niemand weiß, was überhaupt draufgehört.
Private Nutzung dienstlicher Accounts: die unterschätzte Grauzone
War die private Nutzung von E-Mail und Internet erlaubt oder auch nur geduldet, dürfen Sie das Postfach nicht ohne Weiteres öffnen: Zwischen dienstlichen Nachrichten können private Daten des ehemaligen Mitarbeiters liegen, und die genießen besonderen Schutz. Im Streitfall steht dann nicht der Ausgeschiedene in der Pflicht, sondern das Unternehmen.
Die sauberste Lösung ist eine klare Regelung im Arbeitsvertrag oder in der IT-Richtlinie, bevor der erste Austritt ansteht: Entweder Sie schließen die private Nutzung aus, dann bleibt das Postfach rein dienstlich und darf zur Übergabe eingesehen werden – oder Sie erlauben sie ausdrücklich und legen fest, was beim Austritt mit den Inhalten passiert. Nur eines sollten Sie vermeiden: gar keine Regel.
Mitarbeiterdaten aufbewahren oder löschen? Die Fristen im Überblick
Der häufigste Irrtum: „Beim Austritt löschen wir einfach alles.” Das ist falsch und kann selbst zum Verstoß werden. Maßgeblich ist der Grundsatz der Speicherbegrenzung aus Artikel 5 DSGVO: Daten dürfen nur so lange in identifizierbarer Form gespeichert werden, wie es für den Zweck erforderlich ist. Fällt der Zweck weg und besteht keine andere Rechtsgrundlage, greift Artikel 17 DSGVO und die Daten sind zu löschen.
Dem stehen die handelsrechtlichen Aufbewahrungspflichten gegenüber. § 257 Abs. 4 HGB staffelt sie in drei Stufen, und die Frist beginnt nach Absatz 5 erst mit dem Schluss des Kalenderjahres, in dem der Beleg entstanden ist:
| Unterlagen | Aufbewahrungsfrist | Typisch beim Austritt |
|---|---|---|
| Handelsbücher, Inventare, Jahresabschlüsse, Lageberichte | 10 Jahre (§ 257 HGB) | Buchhaltungsdaten mit Personenbezug |
| Buchungsbelege | 8 Jahre (§ 257 HGB) | Lohn- und Reisekostenbelege |
| Empfangene und abgesandte Handelsbriefe | 6 Jahre (§ 257 HGB) | geschäftliche Korrespondenz im Postfach |
| Ohne Rechtsgrundlage zur weiteren Speicherung | keine – Löschung nach Art. 17 DSGVO | persönliche Ablagen, Zugangsdaten, private Notizen im Postfach |
Die Personalakte selbst hat keine einheitliche Frist; sie ist ein Sammelbehälter, dessen Bestandteile unterschiedlichen Regeln folgen. Genau deshalb trägt im Alltag nur ein Löschkonzept, das nach Datenart sortiert – nicht nach Person.
Backups nicht vergessen
Gelöscht ist ein Datensatz erst dann wirklich, wenn auch die Sicherungen bedacht sind. Backups lassen sich selten selektiv bereinigen – ins Löschkonzept gehört deshalb, wie lange Sicherungen vorgehalten werden und dass gelöschte Daten beim Wiedereinspielen nicht unbemerkt zurückkehren.
Dieser Artikel gibt einen Überblick und ist keine Rechtsberatung. Welche Fristen für Ihre konkreten Datenarten gelten, klären Sie mit Ihrem Datenschutzbeauftragten oder einer fachkundigen Beratung.
Microsoft 365: das 30-Tage-Fenster nach dem Löschen des Kontos
Wer Microsoft 365 einsetzt, hat beim Offboarding eine Frist, die in keinem Kalender steht. Laut Microsoft Learn werden Outlook- und OneDrive-Inhalte nach dem Löschen eines Benutzerkontos 30 Tage lang aufbewahrt; in dieser Zeit lässt sich das Konto wiederherstellen, danach sind die Daten endgültig weg. Dasselbe gilt beim bloßen Entfernen der Lizenz: E-Mails, Kontakte und Kalender bleiben 30 Tage erhalten.
Die Übergabe muss also in dieses Fenster passen – oder Sie entscheiden vorher bewusst anders. Microsoft nennt zwei Wege: das Postfach in ein freigegebenes Postfach umwandeln, das ohne Lizenz weiterläuft, oder die Inhalte über eine Aufbewahrungsrichtlinie sichern. Beides ist eine Minute Arbeit vorher und mehrere Tage danach. Wie sich das automatisieren lässt, beschreibt unser Ratgeber zur Onboarding- und Offboarding-Automatisierung mit Microsoft 365.
Externe Dienstleister und Auftragsverarbeitung
Ein Punkt, der auf vielen Listen fehlt: Die Daten eines Mitarbeitenden liegen selten nur im eigenen Haus. Lohnabrechnung, Zeiterfassung, SaaS-Tools, das gehostete CRM – überall dort werden personenbezogene Daten in Ihrem Auftrag verarbeitet. Rechtlich ist das Auftragsverarbeitung, und die Verantwortung bleibt bei Ihnen.
Beim Austritt heißt das: Die Konten müssen auch dort deaktiviert werden, und die Verträge zur Auftragsverarbeitung sollten regeln, wann der Dienstleister die Daten löscht. Ein aktuelles Verzeichnis aller Dienste mit Personenbezug macht das zur Routine – ohne Verzeichnis wird es zum Ratespiel.
Warum Automatisierung das Offboarding sicherer macht
Offboardings scheitern im Alltag selten an bösem Willen, sondern an der Menge der Einzelschritte. Ein Mitarbeitender mit Bürojob sammelt über die Jahre Zugänge zu weit mehr Systemen, als die Personalabteilung auf dem Schirm hat – vom Mailkonto bis zum Tool, das eine einzelne Abteilung selbst eingekauft hat. Jeden davon manuell und rechtzeitig zu entziehen, ist fehleranfällig; einer wird fast immer vergessen.
Wenn jemand neu anfängt: Laptop da, E-Mail eingerichtet, Telefon läuft. Wenn jemand geht: Zugänge zu. Mehr wollen wir gar nicht.
Automatisiertes Offboarding löst genau das: Ein einziger Auslöser entzieht alle verknüpften Zugänge – Konten, Lizenzen, Gruppen, Gerätezugriff – und protokolliert jeden Schritt mit Zeitstempel. Damit sinkt das Risiko verwaister Konten, und zugleich entsteht der Nachweis, den die DSGVO als Rechenschaftspflicht verlangt.
Der häufigste Einwand lautet: „Das können wir intern lösen.” Kann man – solange die eine Person, die alle Systeme kennt, da ist. Fällt sie aus oder häufen sich drei Austritte in einer Woche, bricht der Prozess genau dort, wo er nachweispflichtig wäre. Der zweite Einwand ist der Preis, und der lässt sich rechnen: kjello Core kostet 29 € pro Nutzer und Monat netto, inklusive On- und Offboarding, Geräte-Management und Support – nachzulesen in der Preisübersicht.
30 Minuten, kostenlos, ohne Vertriebsdruck – wir schauen uns Ihren Austrittsprozess gemeinsam an.
Gespräch vereinbarenWie kjello On- und Offboarding als Service übernimmt, zeigt die Produkt-Übersicht.
Fazit: der Prozess entscheidet, nicht der Einzelfall
Ein sauberes Offboarding ist kein Bürokratie-Akt, sondern eine der günstigsten Versicherungen gegen offene Türen und unangenehme Fragen der Aufsichtsbehörde. Entscheidend ist nicht, dass der nächste Austritt gut läuft, sondern dass der übernächste genauso läuft, wenn jemand anderes ihn abarbeitet. Fangen Sie deshalb bei der Liste an, nicht bei der Technik: alle Systeme mit Personenbezug, jeweils mit Verantwortlichem und Löschfrist.
Geschrieben von
Jens Hagel
Gründer & Geschäftsführer
Jens Hagel gründete 2004 das Systemhaus hinter kjello und betreut mit seinem Team über 150 mittelständische Unternehmen. Er schreibt über das, was er in echten Firmen erlebt – praxisnah, ehrlich und ohne Fachchinesisch.
Häufige Fragen
Was gehört zu einem DSGVO-konformen Offboarding?
Müssen beim Austritt alle Daten des Mitarbeiters gelöscht werden?
Was ist das Risiko verwaister Konten?
Wie schnell müssen Zugänge beim Austritt gesperrt werden?
Wie lange bleiben Microsoft-365-Daten nach dem Löschen des Kontos erhalten?
Was gilt für Daten bei externen Dienstleistern?
Offboarding automatisieren
kjello entzieht beim Austritt alle Zugänge auf einen Auslöser und protokolliert jeden Schritt – DSGVO-sicher und lückenlos nachweisbar.
