Datenabfluss durch Mitarbeitende – was jetzt zu tun ist

Es passiert öfter als man denkt, ein:e Mitarbeiter:in leitet vertrauliche Unterlagen an ein privates E-Mail-Konto weiter, sei es vor dem Austritt oder aus anderen Motiven. Ein solches Vorgehen ist rechtlich ernst zu nehmen. Für das Unternehmen ist das in beiden Fällen ein ernstes Problem: rechtlich, datenschutztechnisch und strategisch. Dieser Beitrag zeigt Ihnen, was dahintersteckt und wie Sie im Ernstfall Schritt für Schritt richtig vorgehen.

Die rechtliche Einordnung
Was auf den ersten Blick wie eine Kleinigkeit wirkt, ist rechtlich eindeutig. Die Weiterleitung von Geschäftsunterlagen an ein privates E-Mail-Konto verletzt die arbeitsvertragliche Treuepflicht und allfällige Vertraulichkeitsvereinbarungen. Sind Geschäftsgeheimnisse oder Personendaten betroffen, kommt auch eine strafrechtliche Relevanz hinzu.

Kurz gesagt: Wer als Unternehmer bei einem Datenabfluss nichts unternimmt, riskiert nicht nur den Verlust sensibler Informationen, sondern auch den Verlust seiner Handlungsmacht.

Vier Schritte, die jetzt zählen
Ein strukturiertes Vorgehen ist in solchen Situationen entscheidend, denn wer planlos reagiert, verliert wertvolle Zeit. Deshalb haben sich die folgenden vier Schritte in der Praxis bewährt, wenn ein Datenabfluss durch Mitarbeiter stattgefunden hat.

Schritt 1 – Sofortiges anwaltliches Aufforderungsschreiben
Der erste Schritt ist eine schriftliche Aufforderung an den betreffenden Mitarbeiter, sämtliche Daten zu löschen oder zurückzugeben. Dazu gehören eine schriftliche Bestätigung und eine Unterlassungserklärung. Eine Konventionalstrafe von CHF 50’000 kommuniziert den Ernst der Lage unmissverständlich. Dieses Schreiben sollte immer ein Anwalt formulieren

Schritt 2 – Prüfung einer Strafanzeige
Besteht der Verdacht, dass die Daten für Wettbewerbszwecke genutzt werden sollen oder dass Geschäftsgeheimnisse abgeflossen sind, lohnt sich die Prüfung einer Strafanzeige. Eine Strafanzeige wirkt doppelt: Sie führt zur Strafverfolgung und erzeugt gleichzeitig eine präventive Wirkung gegenüber der restlichen Belegschaft.

Schritt 3 – Information des neuen Arbeitgebers
Ist bekannt, wo der Mitarbeiter künftig tätig sein wird, kann ein sachlicher Hinweis an den neuen Arbeitgeber sinnvoll sein. Dabei geht es nicht um Konfrontation, sondern um einen klaren Hinweis auf die möglichen rechtlichen Konsequenzen, wenn unrechtmässig erlangte Daten verwendet werden.

Schritt 4 – Datenschutzrechtliche Einordnung
Ein Datenabfluss kann unter Umständen als meldepflichtiger «Data Breach» im Sinne des Schweizer Datenschutzgesetzes (DSG) gelten. Bei hohem Risiko für betroffene Personen besteht eine Meldepflicht an den EDÖB. Zusätzlich sind eine interne Dokumentation und die forensische Sicherung der Logdaten zwingend erforderlich.

Wir haben kürzlich einen vergleichbaren Fall erfolgreich begleitet, inklusive Strafanzeige und konsequenter rechtlicher Durchsetzung. Was dabei den Unterschied gemacht hat: rasches Handeln, klare Kommunikation und ein strukturiertes Vorgehen von Anfang an. Wer zögert, verliert nicht nur Zeit, sondern oft auch Beweismittel.

Ihr Merkblatt mit Checkliste – kostenlos zum Download
Damit Sie im Ernstfall nicht lange suchen müssen, haben wir alle wichtigen Schritte in einem kompakten Merkblatt zusammengefasst, inklusive Checkliste, die Sie direkt in Ihrem Unternehmen einsetzen können.

Jetzt anfordern

Wir unterstützen Sie!
Wichtig für unsere Full-Service-Kunden: Solche Fälle sind in der Regel ganz oder weitgehend durch die inkludierten Beratungsstunden abgedeckt.

Bei Fragen oder konkreten Verdachtsfällen empfehlen wir ein rasches Vorgehen. Gerne unterstützen wir Sie bei der Formulierung der notwendigen Schreiben und der rechtlichen Beurteilung.