Stand: 31.07.2026. Die italienische Datenschutzaufsicht hat Piaggio & C. Spa wegen des Umgangs mit betrieblichen E-Mail-Postfächern mit 460.000 Euro sanktioniert. Der Fall ist für Datenschutzteams außerhalb Italiens relevant, weil er ein alltägliches Problem sichtbar macht: Was darf ein Arbeitgeber mit alten Mitarbeiter-E-Mails tun, wenn ein Verdacht, eine interne Prüfung oder ein späterer Streit auftaucht?
Nach der Newsletter-Meldung des Garante per la protezione dei dati personali vom 29.07.2026 hatte das Unternehmen E-Mails von zwei ehemaligen Beschäftigten geprüft. Insgesamt ging es um 112 E-Mails. Die Behörde kritisierte nicht nur einzelne Zugriffe, sondern auch die systematische Sicherung und Aufbewahrung der E-Mail-Daten: Backups sollen während des gesamten Arbeitsverhältnisses und bis zu fünf Jahre nach dem Ausscheiden vorgehalten worden sein, Logdaten sechs Monate lang.
Warum alte Postfächer schnell zur Kontrolle werden
Für Unternehmen klingt eine Postfachsicherung zunächst nach IT-Sicherheit, Nachvollziehbarkeit oder Beweissicherung. Genau dort beginnt aber das Datenschutzrisiko. Wenn E-Mails und Logdaten dauerhaft verfügbar bleiben, kann daraus ein Werkzeug entstehen, mit dem Arbeitsverhalten, Kontakte, Zeitpunkte und Inhalte rückwirkend rekonstruiert werden. Die italienische Behörde sah darin eine mögliche Fernkontrolle von Beschäftigten und bemängelte fehlende Garantien nach Arbeitsrecht und Datenschutzrecht.
Der entscheidende Punkt ist nicht, dass ein Unternehmen niemals auf betriebliche E-Mails zugreifen darf. Entscheidend ist, ob Zweck, Rechtsgrundlage, Informationspflichten, Zugriffskreis und Löschfristen vorher sauber geregelt sind. Wer erst bei einem Verdacht entscheidet, alte Postfächer breit zu durchsuchen, steht schnell vor dem Problem, dass die technische Verfügbarkeit größer ist als die rechtliche Erlaubnis.
Welche Löschfristen jetzt besonders heikel sind
Die Piaggio-Entscheidung macht vor allem lange pauschale Speicherfristen riskant. Fünf Jahre nach dem Ende eines Arbeitsverhältnisses können für einzelne Unterlagen erklärbar sein. Für komplette E-Mail-Bestände oder breite Backups braucht es jedoch eine engere Prüfung. Datenschutzteams sollten klären, welche Postfächer wirklich archiviert werden müssen, welche Inhalte in Geschäftsakten überführt werden und welche privaten oder personenbezogenen Nachrichten früh aus dem Zugriff fallen.
Auch die Rechte ehemaliger Beschäftigter bleiben relevant. Der Garante beanstandete laut Newsletter außerdem, dass Piaggio auf Anfragen ehemaliger Beschäftigter zur Bestätigung der Account-Deaktivierung nicht ausreichend reagiert habe. Das ist ein praktischer Warnpunkt: Offboarding endet nicht mit dem Sperren des Logins. Es braucht nachvollziehbare Prozesse für Deaktivierung, Weiterleitung, Vertretung, Löschung und Auskunft.
Was der Marketingfall zusätzlich zeigt
In derselben Newsletter-Ausgabe meldete die italienische Aufsicht außerdem eine Sanktion von 280.000 Euro gegen Altroconsumo Edizioni. Dort ging es um E-Mail-Marketing, Registrierungsprozesse und verzögerte Antworten auf Betroffenenanfragen. Zusammen zeigen beide Fälle dieselbe Schwachstelle aus zwei Richtungen: Unternehmen müssen belegen können, warum sie E-Mail-Daten nutzen, wie lange sie diese behalten und wie schnell sie auf Widerspruch, Auskunft oder Löschwunsch reagieren.
Für Verantwortliche heißt das praktisch: E-Mail-Systeme brauchen nicht nur technische Regeln, sondern eine Datenschutzlogik. Wer darf auf ausgeschiedene Konten zugreifen? Wann wird ein Postfach exportiert, wann gelöscht, wann gesperrt? Welche Marketingkontakte sind wirklich bestätigt? Und wer prüft, ob ein Widerruf oder Widerspruch tatsächlich in allen Versandwegen angekommen ist?
Welche Prüfung jetzt sinnvoll ist
Ein kurzer Audit kann bereits viel klären. Datenschutz- und IT-Teams sollten die aktuellen E-Mail-Aufbewahrungsfristen, Backup-Zugriffe, Adminrollen und Offboarding-Abläufe nebeneinanderlegen. Danach braucht es klare Kriterien, wann ein Zugriff auf alte Konten zulässig ist und wann nur einzelne geschäftliche Unterlagen gesichert werden dürfen. Bei Marketingdaten ist zusätzlich zu prüfen, ob ein nicht abgeschlossener Registrierungsprozess wirklich als Einwilligung oder Vertrag behandelt werden darf.
Der offene Leserkonflikt bleibt damit sehr konkret: Darf ein Unternehmen Daten behalten, nur weil sie technisch noch vorhanden sind? Die italienischen Fälle zeigen, dass Aufsichtsbehörden genau diese Lücke prüfen. Wer E-Mails, Logs und Marketingkontakte nicht begrenzen kann, riskiert nicht nur Beschwerden, sondern auch nachträgliche Verbote für bereits gespeicherte Daten.
