Richtlinien über den Zugriff auf ein E-Mail-Postfach ... - IKT Betriebsrat

Richtlinien über den Zugriff auf ein E-Mail-Postfach,
das einem einzelnen Mitarbeiter zugeordnet ist
Den Mitarbeitern des ÖBB-Konzerns werden E-Mail-Programme als Arbeitsmittel zur dienstlichen
Nutzung zur Verfügung gestellt. Gemäß E-Mail Policy des Konzerns ist eine Privatnutzug
im Rahmen des absolut Notwendigen erlaubt. In den E-Mail-Postfächern der Mitarbeiter
sind somit in erster Linie betriebliche bzw. geschäftliche Daten enthalten, die die Mitarbeiter
im Namen seines Arbeitgebers versendet oder empfängt. Um E-Mail-Daten vor Zugriffen
Unbefugter zu schützen, sind diese über ein – ausschließlich dem betreffenden Mitarbeiter
bekanntes – Passwort geschützt. Ist im Einzelfall bei Abwesenheit des Postfachinhabers
(siehe dazu unten) die Einsichtnahme in ein E-Mail-Fach erforderlich, um betriebliche bzw.
geschäftliche E-Mails zu bearbeiten zu können, ist nach folgenden Richtlinien vorzugehen:
1. Von der Führungskraft sind zunächst folgende Voraussetzungen zu prüfen:
1.1. Nicht bloß kurzfristige Abwesenheit eines Mitarbeiters
- Es ist damit zu rechnen, dass die Abwesenheit einen mindestens einwöchigen Zeitraum
überschreitet.
- Die Abwesenheit des Mitarbeiters darf nicht geplant sein (zB Urlaub) bzw. muss unvorhersehbar
gewesen sein, zB Unfall oder plötzliche Erkrankung des Mitarbeiters.
1.2. Erforderlichkeit der Einsichtnahme
- Es ist gezielt ein bestimmtes E-Mail zu bearbeiten oder aufgrund einer automatisierten
Mailing-Systematik ein bestimmter Typ von Dokumenten (zB Rechnungen, die
automatisch an einen bestimmten Buchhalter geleitet werden).
1.3. Keine alternative Möglichkeit der Einsichtnahme
- Der Absender des E-Mails kann das E-Mail nicht ein weiteres Mal an die Führungskraft
oder den Vertreter des abwesenden Mitarbeiters senden.
- Es besteht keine Stellvertreterzugriffsberechtigung und auch keine Möglichkeit, dass
der abwesende Mitarbeiter (ausnahmsweise) selbst ein E-Mail weiterleitet (zB via
BlackBerry, RAS-Service oder dgl).
2. Anforderung eines Zugriffs auf ein E-Mail-Postfach
2.1. Die Anforderung, auf das E-Mail-Postfach eines Mitarbeiters zuzugreifen, ist an den
Securitiy Officer der Konzerngesellschaft zu richten. Dabei ist
a) das Vorliegen der unter Punkt 1 genannten Voraussetzungen zu bestätigen,
b) das gesuchte E-Mail möglichst genau zu beschreiben (Empfänger-/Absenderbezeichnung,
Betreff, …) und
c) der Zweck, zu dem das E-Mail benötigt wird, sowie
d) die Information, wem das gesuchte E-Mail zur Bearbeitung weitergeleitet werden
soll, anzugeben.
2.2. Ist ausnahmsweise nicht nur ein Zugriff auf bereits eingegangene bzw. versandte
E-Mails, sondern aufgrund einer automatisierten Mailing-Systematik, die nur mit großem
Aufwand änderbar wäre, eine Weiterleitung während der Abwesenheit erforderlich, ist
dies (einschließlich des voraussichtlich erforderlichen Zeitraums) gesondert anzugeben.
1

2.3. Die Zugriffsanforderung ist durch die Führungskraft gleichzeitig mit der Anforderung an
den Security Officer der Konzerngesellschaft dem Vorsitzenden des Zentralbetriebsrates
bzw. Betriebsrates der Gesellschaft zur Kenntnis zu bringen.
Die (Zentral-) Betriebsratsvorsitzenden sind in einer Anlage zu diesen Richtlinien angeführt,
die keinen integrierenden Bestandteil dieser Richtlinien bildet und im Anlassfall
(bei Wechsel des Funktionsträgers) geändert wird.
3. Zugriff auf ein E-Mail-Postfach
3.1. Der Zugriff auf das E-Mail-Postfach des Mitarbeiters erfolgt durch den Security Officer
der betreffenden Konzerngesellschaft gemeinsam mit dem zuständigen Administrator
(Vier-Augen-Prinzip).
Die allfällige Einrichtung des Zugriffsrechtes unter den in diesen Richtlinien definierten
Voraussetzungen erfolgt nicht über eine Weitergabe von Username und Passwort des
jeweiligen Accounts, sondern ausschließlich über das Einrichten von Zugriffsrechten auf
die betreffende Mailablage (Wahrung der eindeutigen Benutzerzuordnung).
3.2. Auf private E-Mails ist nicht zuzugreifen. Als private E-Mails sind solche anzusehen, die
ausdrücklich als solche gekennzeichnet sind oder in einem Ordner „Privat“ bzw. einem
ähnlich benannten Ordner gespeichert sind. Im Zweifel gelten auch E-Mails, die in der
Absender- oder Empfängerbezeichnung keine auf eine Konzerngesellschaft oder Geschäftspartner
hinweisenden Angaben enthalten, als private E-Mails.
3.3. Der Zugriff ist zu dokumentieren (insbesondere Datum, Uhrzeit, auf welche Dokumente
wurde zugegriffen, welches E-Mail wurde an wen weitergeleitet).
3.4. Steht die Abwesenheit des Mitarbeiters im Zusammenhang mit behördlichen Ermittlungen,
wurde beispielsweise eine U-Haft verhängt, und ist nicht zweifelsfrei auszuschließen,
dass Daten des beruflichen E-Mail-Postfachs des Mitarbeiters für die Ermittlungen
von Relevanz sein könnten, ist vor Zugriff auf das E-Mail-Fach Rücksprache
über die weitere Vorgangsweise mit den ermittelnden Behörden oder Gerichten zu halten.
Die festgelegte Vorgehensweise ist zu dokumentieren.
3.5. Im Zuge des Zugriffs auf das E-Mail-Postfach ist auch der Abwesenheitsassistent zu
aktivieren. Sollte in der Anforderung des Zugriffs kein anderer Ansprechpartner genannt
sein, wird darauf verwiesen, dass E-Mails an den Mitarbeiter iSd Punkt 2.1 lit. d oder die
Führungskraft zu senden sind. Eine automatische Weiterleitung von E-Mails grundsätzlich
nicht vorzusehen (zu Ausnahmen siehe zB Punkt 2.2).
4. Dokumentation
Die entsprechend den oben angeführten Punkten erfolgte Dokumentation ist vom
Security Officer der jeweiligen Konzerngesellschaft aufzubewahren.
Vor jeder Sitzung des Kernteams des Datenschutzteams ist ein Bericht (über die wesentlichen
Zugriffsgründe, Praktikabilität der Vorgangsweise nach diesen Richtlinien,
Verstöße gegen diese Richtlinien, Vorschläge zur Optimierung der Vorgangsweise zu
diesen Richtlinien u.ä.) zu erstellen, der im Kernteam des Datenschutzteams zu diskutieren
ist. Gegebenenfalls werden diese Richtlinien angepasst.
2

5. Vorgangsweise bei Ausscheiden aus dem Unternehmen
Scheidet ein Mitarbeiter aus dem Unternehmen aus, ohne dass es zu einer Übergabe/Weiterleitung
der betrieblichen bzw. geschäftlichen E-Mails kommt (zB fristlose Beendigung
des Dienstverhältnisses wegen Entlassung) oder ohne dass es zu einer Übergabe/Weiterleitung
kommen kann (zB Todesfall), ist wie folgt vorzugehen:
5.1. Die Anforderung des Zugriffs auf das E-Mail-Postfach des ausgeschiedenen Mitarbeiters
ist von der Führungskraft an den Security Officer der Konzerngesellschaft zu richten.
Punkt 2.3 ist zu beachten.
5.2. Die Daten dieses E-Mail-Postfaches sind vom Security Officer gemeinsam mit dem zuständigen
Administrator gesondert zu sichern und es ist technisch sicherzustellen, dass
keine weiteren E-Mails mehr unter der Adresse des ausgeschiedenen Mitarbeiters eingehen,
worüber die Absender von E-Mails automatisiert zu informieren sind.
5.3. Zwecks Datensichtung ist der Führungskraft oder einem Vertreter Zugriff auf den E-Mail-
Bestand des ausgeschiedenen Mitarbeiters mit folgender Maßgabe zu gewähren: Die
Sichtung darf jedoch nur im Vier-Augen-Prinzip erfolgen, dh entweder Führungskraft
oder Vertreter gemeinsam mit entweder Security Officer oder Administrator.
Private E-Mails (siehe Punkt 3.2) sind zu löschen. Ebenso zu löschen sind dienstliche
E-Mails, die für betriebliche Zwecke nicht mehr benötigt werden. Weiterhin für betriebliche
Zwecke benötigte dienstliche E-Mails sind an den zuständigen Bearbeiter weiterzuleiten.
Über diese Grundsätze ist die Führungskraft bzw. der Vertreter des ausgeschiedenen
Mitarbeiters vor der Datensichtung zu belehren.
Die Datensichtung (Weiterleitung oder Löschung) soll nach Möglichkeit in einem Zug erfolgen.
Sind aufgrund des Datenumfangs mehrere Termine erforderlich, ist jeweils das
oben angeführte Vier-Augen-Prinzip zu beachten.
Grundsätzlich ist spätestens sechs Monate nach Ausscheiden des Mitarbeiters auch der
gesicherte Datenbestand zu löschen. Im Falle eines anhängigen Gerichtsverfahrens (zB
vor dem Arbeitsgericht) muss dieser gesicherte Datenbestand bis zum Vorliegen eines
rechtskräftigen Gerichtsurteils oder Vergleichs aufbewahrt werden.
Alle gesetzten Schritte sind zu dokumentieren. Punkt 4 gilt auch bei Zugriffen nach Ausscheiden
von Mitarbeitern.
3