Antwort:
Wenn ein Mitarbeiter das Unternehmen verlässt, stellt sich oft die Frage, wie mit seinen personenbezogenen Daten in Social Content umgegangen werden muss – also z. B. mit Profilen auf der Unternehmenswebsite, in Social-Media-Kanälen oder anderen öffentlich zugänglichen Plattformen. Die Datenschutz-Grundverordnung (DSGVO) und das Bundesdatenschutzgesetz (BDSG) geben hier klare Vorgaben vor. Dieser Artikel erklärt, welche Pflichten Arbeitgeber haben, welche Fristen gelten und wie die Löschung korrekt umgesetzt wird.
1. Rechtliche Grundlagen: Wann müssen Daten gelöscht werden?
Nach Art. 17 DSGVO hat ein ausscheidender Mitarbeiter das Recht auf Löschung seiner personenbezogenen Daten, sobald diese für den ursprünglichen Zweck nicht mehr erforderlich sind. Bei Social Content (z. B. Mitarbeiterprofile, Fotos oder Beiträge) ist dies in der Regel der Fall, sobald das Beschäftigungsverhältnis endet – es sei denn, es bestehen gesetzliche Aufbewahrungspflichten.
- Keine Aufbewahrungspflicht bei Social Content: Für öffentlich sichtbare Inhalte wie Profile auf der Website oder Social-Media-Auftritte gibt es keine gesetzlichen Aufbewahrungspflichten (im Gegensatz zu z. B. Lohnunterlagen oder steuerrelevanten Dokumenten).
- Löschpflicht besteht sofort: Die Daten müssen „unverzüglich“ gelöscht werden, sobald sie nicht mehr benötigt werden oder der Mitarbeiter die Löschung verlangt.
2. Welche Fristen gelten für die Löschung?
Die DSGVO verlangt eine Löschung ohne unnötige Verzögerung. In der Praxis bedeutet das:
- Kleine Unternehmen: Löschung idealerweise noch am selben Tag.
- Standardfrist: 1–2 Arbeitstage nach Eingang des Löschverlangens oder Beendigung des Arbeitsverhältnisses.
- Maximalfrist: 48 Stunden gelten als angemessen.
Wichtig: Die Frist beginnt mit dem Wegfall der Erforderlichkeit (z. B. letztem Arbeitstag) oder dem Eingang eines Löschantrags des Mitarbeiters.
3. Welche Daten müssen gelöscht werden?
Betroffen sind alle personenbezogenen Daten, die nicht mehr benötigt werden, insbesondere:
- Mitarbeiterprofile auf der Unternehmenswebsite
- Fotos und Videos des Mitarbeiters
- Beiträge oder Kommentare, die den Mitarbeiter identifizierbar machen
- Kontaktdaten in öffentlichen Verzeichnissen
Ausnahme: Wenn der Mitarbeiter der weiteren Nutzung ausdrücklich zugestimmt hat (z. B. für Alumni-Netzwerke), darf eine Speicherung erfolgen – allerdings nur, wenn die Einwilligung freiwillig, informiert und widerrufbar erteilt wurde.
4. Praktisches Vorgehen: Schritt-für-Schritt-Anleitung
Schritt 1: Prüfung auf Aufbewahrungspflichten
- Klären, ob für die betreffenden Daten gesetzliche Aufbewahrungsfristen gelten (z. B. für steuerrelevante Unterlagen).
- Bei Social Content ist dies meist nicht der Fall – hier überwiegt das Löschinteresse des Mitarbeiters.
Schritt 2: Technische Umsetzung der Löschung
- Eigene Plattformen (Website, Intranet, firmeneigene Social-Media-Kanäle):
- Profile, Fotos und Beiträge vollständig entfernen (nicht nur archivieren oder unsichtbar schalten).
- Cache und Backups prüfen, um sicherzustellen, dass die Daten nicht mehr abrufbar sind.
- Externe Plattformen (z. B. LinkedIn, XING, Facebook):
- Falls das Unternehmen die Inhalte nicht selbst löschen kann, muss es den Plattformbetreiber unverzüglich zur Löschung auffordern.
- Eine Kopie der Aufforderung sollte dokumentiert werden.
Schritt 3: Bestätigung an den Mitarbeiter
- Der Mitarbeiter sollte schriftlich oder per E-Mail über die erfolgte Löschung informiert werden.
- Beispielformulierung: „Sehr geehrter Herr/Frau [Name], wir bestätigen Ihnen, dass Ihre personenbezogenen Daten aus unseren Social-Media-Auftritten und der Unternehmenswebsite am [Datum] gelöscht wurden.“
5. Was passiert bei Nichtbeachtung?
Ein Verstoß gegen die Löschpflicht kann Bußgelder nach Art. 83 DSGVO nach sich ziehen. Zudem kann der Mitarbeiter:
- Beschwerde bei der Aufsichtsbehörde einreichen.
- Schadensersatz fordern, falls durch die Nichtlöschung ein Nachteil entsteht (z. B. bei Weiterverwendung ohne Einwilligung).
6. Tipps für die Praxis
✅ Prozess etablieren: Legt interne Abläufe fest, wer für die Löschung zuständig ist (z. B. HR oder IT).
✅ Dokumentation: Halten Sie schriftlich fest, wann welche Daten gelöscht wurden.
✅ Regelmäßige Überprüfung: Auch ohne explizites Löschverlangen sollten Profile ausgeschiedener Mitarbeiter routinemäßig geprüft und bereinigt werden.
✅ Einwilligungen klären: Falls Daten ausnahmsweise weitergenutzt werden sollen, muss eine DSGVO-konforme Einwilligung vorliegen.
Zusammenfassung
- Löschpflicht besteht sofort nach Ausscheiden des Mitarbeiters, sofern keine Aufbewahrungspflichten entgegenstehen.
- Frist: Maximal 1–2 Arbeitstage (bei kleinen Unternehmen idealerweise sofort).
- Umfang: Alle nicht mehr benötigten personenbezogenen Daten in Social Content müssen vollständig entfernt werden.
- Bestätigung: Der Mitarbeiter ist über die Löschung zu informieren.
- Externe Plattformen: Betreiber sind zur Löschung aufzufordern, falls kein direkter Zugriff besteht.
Hinweis
Dieser Artikel dient der allgemeinen Information und ersetzt keine Rechtsberatung. Bei komplexen Fällen oder Unsicherheiten sollte ein Datenschutzbeauftragter oder Anwalt hinzugezogen werden.
Mögliche Fragen, die zu diesem Artikel führen könnten:
- „Wie schnell muss ich das Profil eines ausgeschiedenen Mitarbeiters von der Website löschen?“
- „Dürfen wir Fotos von ehemaligen Mitarbeitern auf unserer Facebook-Seite behalten?“
- „Was passiert, wenn wir die Löschung personenbezogener Daten eines Ex-Mitarbeiters verzögern?“
- „Müssen wir den Mitarbeiter informieren, wenn wir seine Daten aus Social Media gelöscht haben?“
- „Gilt die 48-Stunden-Frist für die Löschung auch für LinkedIn-Profile?“