Offboarding-Checkliste DSGVO: sauber & sicher
Mitarbeiter-Austritt datenschutzkonform abwickeln: Zugänge sperren, Daten übergeben, Fristen wahren. Die DSGVO-Offboarding-Checkliste mit Vorlage zum Abhaken.
- Beim Offboarding zählen zwei Dinge gleichzeitig: alle Zugänge des Ausscheidenden sofort sperren und personenbezogene Daten DSGVO-konform behandeln.
- Verwaiste Konten – aktive Zugänge ausgeschiedener Mitarbeitender – sind ein häufiges Einfallstor und zugleich ein Datenschutzverstoß.
- Nicht alle Daten dürfen sofort gelöscht werden: Für Personalakten können Aufbewahrungsfristen von bis zu zehn Jahren gelten (dr-datenschutz.de), andere Daten sind umgehend zu löschen.
- Es gilt der Grundsatz der Datenminimierung und Speicherbegrenzung: Daten nur so lange aufbewahren, wie es nötig oder gesetzlich vorgeschrieben ist.
- War die private Nutzung dienstlicher Accounts erlaubt oder geduldet, darf das Postfach nicht ohne Weiteres eingesehen werden – Regelungen zur privaten Nutzung gehören deshalb in jede IT-Richtlinie.
- Auch Backups und externe Dienstleister (Auftragsverarbeitung) gehören auf die Offboarding-Checkliste: Daten des Ausgeschiedenen liegen selten nur im eigenen Haus.
- Ein dokumentiertes, am besten automatisiertes Offboarding schützt beides: die IT-Sicherheit und die Nachweispflicht gegenüber Aufsichtsbehörden.
Ein Mitarbeiter verlässt das Unternehmen – und sein Konto bleibt aktiv. Was harmlos klingt, ist einer der häufigsten und gefährlichsten Fehler im Mittelstand: ein Sicherheitsrisiko und ein DSGVO-Verstoß zugleich. Diese DSGVO-Checkliste führt Sie durch das Offboarding von Mitarbeitern, sodass beide Seiten sauber abgedeckt sind – die IT und die Datenschutz-Grundverordnung. Sie ersetzt keine Rechtsberatung, gibt Ihnen aber eine belastbare Struktur an die Hand.
Warum Offboarding genauso wichtig ist wie Onboarding
Beim Onboarding geben sich die meisten Unternehmen Mühe: Gerät steht bereit, Accounts sind angelegt, die Begrüßung ist geplant. Beim Austritt dagegen fehlen oft jegliche Regelungen für das Ausscheiden – niemand fühlt sich zuständig, und das Konto läuft weiter. Dabei ist der Austritt der Moment mit dem höheren Risiko: Beim Onboarding fehlt schlimmstenfalls ein Zugang, beim Offboarding bleibt einer zu viel bestehen.
Ein geregelter Austrittsprozess zählt deshalb zu dem, was die DSGVO als technische und organisatorische Maßnahmen von Unternehmen verlangt – und ist zugleich ein Grundpfeiler der Informationssicherheit. Wer beides zusammen denkt, muss den Prozess nur einmal implementieren und profitiert bei jedem Austritt davon.
Ausscheiden eines Mitarbeiters: was datenschutzrechtlich auf dem Spiel steht
Beim Austritt eines Mitarbeitenden verschieben sich die Pflichten: Aus einem berechtigten Zugriff wird von einem Tag auf den anderen ein unzulässiger. Bleiben Konto und Zugriffsrechte bestehen, kann eine ausgeschiedene Person weiter auf personenbezogene Daten zugreifen – oder ein Angreifer, der die vergessenen Zugangsdaten findet.
Deshalb hat ein datenschutzkonformes Offboarding zwei Seiten, die zusammengehören: Zugänge sperren und Daten korrekt behandeln. Wer nur das eine tut, lässt eine Lücke offen.
Die Offboarding-Checkliste für Unternehmen im Überblick
Arbeiten Sie die vier Phasen der Reihe nach ab – die Checkliste für Unternehmen jeder Größe bleibt dieselbe, nur die Zahl der Systeme variiert. Die vollständige Version zum Abhaken und Dokumentieren finden Sie im kostenlosen Protokoll unten.
1. Sofort: alle Zugänge entziehen
- Anmeldung und Single Sign-On (SSO) deaktivieren, aktive Sitzungen beenden.
- E-Mail-Postfach sperren oder in Vertretung umleiten (Details im nächsten Abschnitt).
- Zugriffsrechte auf Fachsysteme wie CRM und ERP, Cloud-Dienste und VPN entziehen.
- MFA-Token bzw. Authenticator entkoppeln.
- Physische Zugänge (Schlüssel, Badge) einziehen.
2. Daten und Übergabe
- Geschäftlich relevante Daten an Nachfolge oder Vorgesetzte übergeben – idealerweise als fester Schritt im gemeinsamen Ablauf von HR und IT.
- Persönliche Ablagen prüfen, geschäftliche Daten sichern.
- Weiterleitungen, Freigaben und Automatismen auflösen.
3. Rückgabe von Arbeitsmitteln und Firmeneigentum
- Firmeneigentum vollständig zurücknehmen: Notebook, Smartphone, Zubehör, Datenträger – am besten mit quittierter Rückgabe.
- Zustand dokumentieren, Gerät im Inventar dem Nutzer entziehen.
- Gerät sicher löschen bzw. zurücksetzen und verschlüsselt neu bereitstellen.
- Lizenzen freigeben.
4. Dokumentation und DSGVO
- Jeden Schritt mit Datum und Verantwortlichem protokollieren – das ist Ihr Nachweis.
- Personenbezogene Daten nach Ablauf der Fristen löschen.
- Bei Bedarf das Verzeichnis der Verarbeitungstätigkeiten aktualisieren.
Postfach, Abwesenheitsnotiz und E-Mail-Weiterleitung
Das Postfach ist der heikelste Einzelposten des Offboardings. Bewährt hat sich diese Reihenfolge: Postfach sperren, eine Abwesenheitsnotiz einrichten, die auf den neuen Ansprechpartner verweist, und eingehende Mails befristet an die Vertretung umleiten. Wichtig: Die Weiterleitung sollte ein Enddatum haben – ein Postfach, das monatelang stillschweigend mitgelesen wird, ist datenschutzrechtlich kaum zu rechtfertigen. Ob Sie das Postfach überhaupt einsehen dürfen, hängt davon ab, wie die private Nutzung geregelt war – dazu gleich mehr.
Wie eng diese Punkte mit der allgemeinen IT-Sicherheit zusammenhängen, zeigt unsere IT-Sicherheits-Checkliste für KMU – dort ist der sofortige Entzug von Zugängen beim Austritt einer der 25 Prüfpunkte.
Private Nutzung dienstlicher Accounts: die unterschätzte Grauzone
War die private Nutzung von E-Mail und Internet erlaubt oder auch nur geduldet, dürfen Sie das Postfach nicht ohne Weiteres öffnen: Zwischen dienstlichen Nachrichten können private Daten des ehemaligen Mitarbeiters liegen, und die genießen besonderen Schutz. Im Streitfall steht dann nicht der Ausgeschiedene in der Pflicht, sondern das Unternehmen.
Die sauberste Lösung sind klare Regelungen zur privaten Nutzung – im Arbeitsvertrag oder in einer IT-Richtlinie, bevor der erste Austritt ansteht. Entweder Sie schließen die private Nutzung aus, dann bleibt das Postfach rein dienstlich und darf zur Übergabe eingesehen werden. Oder Sie erlauben sie ausdrücklich und legen fest, was beim Austritt mit den Inhalten passiert. Nur eines sollten Sie vermeiden: gar keine Regel.
Aufbewahren oder löschen? Die DSGVO-Fristen
Der häufigste Irrtum: „Beim Austritt löschen wir einfach alles.” Das ist falsch – und kann selbst zum Verstoß werden. Es gilt zu unterscheiden, welche Daten aufbewahrt werden müssen und für welche die Löschung ansteht.
Für Teile der Personalakte können Aufbewahrungsfristen von bis zu zehn Jahren gelten; in dieser Zeit ist das Unternehmen verpflichtet, die Daten vorzuhalten. Andere personenbezogene Daten, für die keine Rechtsgrundlage zur weiteren Speicherung besteht, sind dagegen umgehend zu löschen. Maßgeblich ist der Grundsatz der Datenminimierung und Speicherbegrenzung, und er gilt über den gesamten Lebenszyklus – von der Datenerhebung bis zur Löschung: Daten nur so lange aufbewahren, wie es nötig oder vorgeschrieben ist.
Backups nicht vergessen
Gelöscht ist ein Datensatz erst dann wirklich, wenn auch die Sicherungen bedacht sind. Backups lassen sich technisch selten selektiv bereinigen – deshalb gehört ins Löschkonzept, wie lange Sicherungen vorgehalten werden und dass gelöschte Daten beim Wiedereinspielen eines Backups nicht unbemerkt zurückkehren. Halten Sie das schriftlich fest; die konkreten Fristen stimmen Sie mit Ihrem Datenschutzbeauftragten ab.
Externe Dienstleister und Auftragsverarbeitung
Ein Punkt, der auf vielen Listen fehlt: Die Daten eines Mitarbeitenden liegen selten nur im eigenen Haus, sondern auch bei externen Dienstleistern. Lohnabrechnung, Zeiterfassung, SaaS-Tools, das gehostete CRM – überall dort werden personenbezogene Daten in Ihrem Auftrag verarbeitet. Rechtlich ist das Auftragsverarbeitung, und die Verantwortung bleibt bei Ihnen.
Beim Austritt heißt das: Sie müssen sicherstellen, dass die Konten auch bei diesen Diensten deaktiviert werden und dass die Verträge zur Auftragsverarbeitung regeln, wann der Dienstleister die Daten löscht. Ein aktuelles Verzeichnis aller Dienste mit Personenbezug macht diesen Schritt zur Routine – ohne Verzeichnis wird er zum Ratespiel.
Warum Automatisierung das Offboarding sicherer macht
Der Grund, warum Offboardings im Alltag scheitern, ist selten böser Wille – es ist die Menge der Einzelschritte. Ein durchschnittlicher Mitarbeitender hat Zugänge zu einem Dutzend Systemen. Jeden davon manuell und rechtzeitig zu entziehen, ist fehleranfällig; einer wird fast immer vergessen.
Automatisiertes Offboarding löst das: Ein einziger Auslöser entzieht alle verknüpften Zugänge auf einmal – Konten, Lizenzen, Gruppen, Gerätezugriff – und protokolliert jeden Schritt. Damit lässt sich das Risiko verwaister Konten drastisch minimieren, und zugleich entsteht der lückenlose Nachweis, den die DSGVO verlangt. Wie das technisch abläuft, beschreibt unser Ratgeber zur Onboarding- und Offboarding-Automatisierung mit Microsoft 365; wie kjello beides als Service übernimmt, zeigen die Produkt-Übersicht und die Seite On- und Offboarding automatisieren.
Ein sauberes Offboarding ist am Ende kein Bürokratie-Akt, sondern eine der günstigsten Versicherungen, die ein Unternehmen hat – gegen offene Türen und gegen unangenehme Fragen der Aufsichtsbehörde.
Geschrieben von
Jens Hagel
Gründer & Geschäftsführer
Jens Hagel gründete 2004 das Systemhaus hinter kjello und betreut mit seinem Team über 150 mittelständische Unternehmen. Er schreibt über das, was er in echten Firmen erlebt – praxisnah, ehrlich und ohne Fachchinesisch.
Häufige Fragen
Was gehört zu einem DSGVO-konformen Offboarding?
Müssen beim Austritt alle Daten des Mitarbeiters gelöscht werden?
Was ist das Risiko verwaister Konten?
Wie schnell müssen Zugänge beim Austritt gesperrt werden?
Was passiert beim Offboarding mit dem E-Mail-Postfach?
Was gilt für Daten bei externen Dienstleistern?
Wie hilft Automatisierung beim datenschutzkonformen Offboarding?
Offboarding automatisieren
kjello entzieht beim Austritt alle Zugänge auf einen Auslöser und protokolliert jeden Schritt – DSGVO-sicher und lückenlos nachweisbar.
