Firmenlaptop forensisch ausgewertet: Beweis im Prozess ja — Datenkopien danach trotzdem löschen?
Der Mitarbeiter ist draußen, der Laptop liegt am Tisch, und plötzlich tauchen gelöschte Dateien, private Ordner und heikle E-Mails auf. Genau in diesem Moment passieren in vielen Unternehmen die teuersten Datenschutzfehler: Nicht beim Finden des Beweises, sondern beim Aufbewahren danach.
Für Unternehmer, Geschäftsführer und Vertriebsverantwortliche ist die Konstellation hochpraktisch. Wer interne Untersuchungen führt — etwa wegen Nebenbeschäftigung, Geheimnisverrat, Wettbewerbsverstößen oder illoyalem Verhalten — greift oft auf Firmenlaptops, E-Mail-Postfächer oder CRM-Daten zu. Der Oberste Gerichtshof hat dazu eine Linie gezogen, die wirtschaftlich klar ist: Die Nutzung bereits vorgelegter Daten im Prozess bleibt möglich, aber die weiteren internen Kopien können zur Datenschutzfalle werden.
Ein Laptop zurückgegeben, ein „privat“-Ordner gelöscht — und dann wurde es ernst
Ein entlassener Geschäftsführer gab seinen Firmenlaptop zurück. Noch davor hatte er einen privaten Ordner gelöscht. Darin lagen nicht bloß belanglose Dateien, sondern persönliche Dokumente: Familienfotos, Versicherungsunterlagen, Gesundheitsinformationen und Verträge. Die Arbeitgeberin ließ den Laptop anschließend IT-forensisch untersuchen.
Gesucht wurde nicht ins Blaue hinein. Das Unternehmen wollte Honorarnoten finden, um eine behauptete Nebenbeschäftigung des ehemaligen Geschäftsführers zu belegen. Zusätzlich wurden E-Mails zwischen ihm und dem Leiter der Rechtsabteilung gelesen und zum Teil sogar ausgedruckt. Einige dieser Unterlagen landeten später als Beweismittel im arbeitsgerichtlichen Verfahren.
Der Ex-Geschäftsführer wehrte sich. Er verlangte Unterlassung der Datennutzung, den Widerruf der Prozessvorbringen, Löschung der Daten und Schadenersatz. Wirtschaftlich übersetzt: Die Arbeitgeberin sollte die Daten nicht weiter verwenden dürfen und sämtliche noch vorhandenen Kopien wieder loswerden.
Was der OGH erlaubt hat — und wo er die rote Linie zog
Der OGH trennte scharf zwischen zwei Fragen: Darf ein bereits im Prozess verwendetes Beweismittel über eine gesonderte Datenschutzklage wieder aus dem Verfahren gedrängt werden? Und darf das Unternehmen dieselben Daten intern oder beim IT-Dienstleister einfach weiter aufbewahren?
Die erste Antwort fiel zugunsten der Arbeitgeberin aus. Bereits im Gerichtsverfahren vorgelegte Daten können nicht über einen separaten Unterlassungsanspruch oder durch einen „Widerruf“ von Prozessvorbringen aus der Welt geschafft werden. Ob ein Beweismittel im Prozess zulässig ist, entscheidet das Prozessgericht selbst.
Die zweite Antwort fiel deutlich strenger aus. Für intern noch gespeicherte personenbezogene Daten und Ausdrucke gilt die DSGVO weiter. Wenn der Zweck der Verarbeitung erfüllt ist — hier die Einbringung in das Gerichtsverfahren — und kein konkret begründeter weiterer Aufbewahrungsbedarf dargelegt wird, greift das Recht auf Löschung. Dann müssen verbleibende Kopien weg. Das betrifft nicht nur Dateien im Unternehmen, sondern auch Daten beim beauftragten IT-Forensiker.
Der OGH hat diese Linie in der Entscheidung 6 Ob A/… nicht bloß technisch, sondern praktisch relevant gezogen: Prozessverwertung und Speicherberechtigung sind zwei verschiedene Dinge. Wer das vermischt, riskiert Löschungsansprüche, obwohl der Beweis im Verfahren verwendet werden durfte.
Hinweis: In der übermittelten Analyse war keine gesicherte OGH-Aktenzahl samt Entscheidungsdatum enthalten. Diese sollten vor Veröffentlichung ergänzt werden.
Warum schon ein Ordner namens „D:\privat“ datenschutzrechtlich relevant ist
Viele Unternehmen denken bei personenbezogenen Daten erst an Inhalte. Der OGH geht weiter. Schon das Wiederherstellen, Auswerten, Lesen und Ausdrucken von Dateien und E-Mails ist „Verarbeitung“ im Sinn der DSGVO. Auch die bloße Ordnerstruktur kann personenbezogen sein, wenn sie einer bestimmten Person zugeordnet werden kann. Ein Verzeichnis wie „D:\privat“ ist daher nicht neutral.
Das hat Folgen für jede interne Untersuchung. Wer einen Firmenlaptop forensisch sichert, verarbeitet nicht erst dann personenbezogene Daten, wenn eine Honorarnote geöffnet wird. Die Verarbeitung beginnt schon viel früher: beim Wiederherstellen gelöschter Ordner, beim Durchsuchen von Verzeichnissen, beim Lesen von Betreffzeilen oder beim Ausdrucken von E-Mails.
Der OGH stellte in diesem Zusammenhang auch klar: Die hier relevanten Daten waren zwar personenbezogen, aber nicht automatisch „besondere Kategorien personenbezogener Daten“ nach Art 9 DSGVO. Das ist wichtig, weil Unternehmen sonst vorschnell jede Untersuchung für unzulässig halten. Die Kernfrage war hier jedoch nicht, ob jede einzelne Verarbeitungsmaßnahme nach Art 6 DSGVO gerechtfertigt war, sondern was nach der bereits erfolgten Verwendung im Prozess noch gespeichert bleiben darf.
Die eigentliche Botschaft für Unternehmen: Beweis sichern, aber nicht horten
Genau hier liegt der wirtschaftlich heikle Punkt. Unternehmen handeln oft aus nachvollziehbarem Sicherheitsdenken: Wenn ein Prozess läuft, wird lieber alles aufgehoben — lokal, am Server, beim externen Forensiker und zusätzlich in Papierform im Legal-Ordner. Der OGH akzeptiert dieses Bauchgefühl nicht automatisch.
Wer Daten weiter speichert, braucht einen konkret dokumentierten Zweck. Ein pauschales „für alle Fälle“ reicht nicht. Wenn Unterlagen bereits bei Gericht eingebracht sind und kein nachvollziehbarer weiterer Bedarf dargelegt wird, besteht eine Löschpflicht nach Art 17 DSGVO. Das gilt auch für Ausdrucke. Papier ist datenschutzrechtlich kein Freibrief.
Für beauftragte IT-Dienstleister gilt nichts anderes. Sie sind typischerweise Auftragsverarbeiter. Wenn das Projektziel erreicht ist, müssen auch dort gespeicherte Kopien gelöscht werden, sofern kein dokumentierter Grund für eine weitere Aufbewahrung besteht.
Wo das im Vertriebsalltag besonders brisant wird
Das Thema betrifft nicht nur klassische Arbeitsverhältnisse. Im Vertriebsrecht taucht dieselbe Frage regelmäßig in anderen Rollen auf.
- Handelsvertreterähnliche Funktionen: Wenn Sie E-Mail-Accounts, CRM-Zugänge oder ein Firmen-Notebook bereitstellen und später Pflichtverletzungen prüfen, verarbeiten Sie personenbezogene Daten mit denselben DSGVO-Grenzen.
- Vertragshändler und Franchise: Auch außerhalb eines Arbeitsverhältnisses kann ein Systemzugriff des Herstellers oder Franchisegebers datenschutzrechtlich relevant werden, etwa bei Verdacht auf Wettbewerbsverstöße oder unzulässige Parallelgeschäfte.
- Entlassung, Kündigung, Auflösung: Sobald E-Mails oder Dokumente als Beweis für illoyales Verhalten, Nebenbeschäftigung oder Provisionsmanipulation dienen sollen, stellt sich dieselbe Doppelfrage: Darf ich das verwenden? Und wie lange darf ich Kopien behalten?
- Interne Investigations bei Führungskräften: Gerade bei Geschäftsführern und Vertriebsleitern finden sich auf Geräten oft private und geschäftliche Inhalte vermischt. Das erhöht das Risiko einer überschießenden Auswertung massiv.
Vier Punkte, die vor jeder Laptop-Forensik geregelt sein sollten
- Klare IT- und E-Mail-Policy: Regeln Sie die Privatnutzung eindeutig. Entweder Verbot oder strenge Kennzeichnungspflichten. Mitarbeiter und Führungskräfte sollten schriftlich bestätigen, dass bei konkretem Verdacht ein kontrollierter Zugriff möglich ist.
- Need-to-know statt Daten-Bummel: Forensische Auswertungen müssen zielgerichtet sein. Definieren Sie Suchbegriffe, Zeiträume, betroffene Ordner und den Untersuchungszweck vorab. Wer einfach „alles durchsieht“, produziert Angriffsfläche.
- Lösch- und Aufbewahrungslogik dokumentieren: Wenn Sie Daten für einen Prozess sichern, halten Sie fest, warum, wo und wie lange. Nach Einbringung beim Gericht muss neu geprüft werden, ob interne Kopien noch benötigt werden.
- Auftragsverarbeiter sauber einbinden: Mit IT-Forensikern braucht es klare vertragliche Vorgaben zu Zweckbindung, Sicherheitsmaßnahmen und Löschung nach Projektende.
FAQ: Was Unternehmer dazu tatsächlich googeln
Darf ich den Firmenlaptop eines entlassenen Managers einfach durchsuchen?
Nicht schrankenlos. Schon das Wiederherstellen, Lesen und Auswerten von Dateien ist eine Datenverarbeitung nach der DSGVO. Zulässig kann ein gezielter Zugriff bei konkretem Verdacht sein, aber er muss verhältnismäßig organisiert werden. Eine unsystematische Vollsuche durch private Inhalte ist besonders riskant.
Kann ich gefundene E-Mails oder Dateien im Gerichtsprozess als Beweis verwenden?
Wenn die Unterlagen bereits im Verfahren vorgelegt wurden, entscheidet über ihre prozessuale Verwertbarkeit das jeweilige Gericht. Eine gesonderte Datenschutzklage kann diese Prozesshandlung nicht einfach rückgängig machen. Das heißt aber nicht, dass sämtliche Kopien außerhalb des Gerichtsverfahrens beliebig weiter gespeichert werden dürfen.
Muss ich Kopien beim IT-Forensiker nach dem Prozess löschen lassen?
Ja, wenn kein konkreter weiterer Aufbewahrungszweck besteht. Der externe Forensiker verarbeitet die Daten typischerweise als Auftragsverarbeiter. Ist der Zweck erfüllt, greift das Löschregime der DSGVO auch dort. Unternehmen sollten sich die Löschung dokumentieren lassen.
Gilt das auch für Handelsvertreter, Franchisenehmer oder Vertragshändler mit Systemzugang?
Ja, in vielen Fällen schon. Wenn Sie als Unternehmer Systeme, E-Mail-Accounts oder CRM-Zugänge bereitstellen und Zugriffe kontrollieren, agieren Sie datenschutzrechtlich als Verantwortlicher. Dann brauchen Sie auch außerhalb des klassischen Arbeitsrechts klare Transparenz-, Zugriffs- und Löschprozesse.
Für Unternehmen ist die Entscheidung vor allem eine Warnung vor Routinefehlern: Beweise sichern ist das eine. Datenberge anlegen und aus Vorsicht ewig behalten, ist etwas ganz anderes.
Zur vollständigen OGH-Entscheidung
Probleme im Vertriebsrecht? Wir beraten Sie.
Unsere Rechtsanwaltskanzlei in 1010 Wien berät Hersteller, Importeure, Handelsvertreter, Vertragshändler und Franchisenehmer in allen Fragen des Vertriebs- und Handelsrechts. Beratungstermin vereinbaren oder anrufen: 01/513 07 00.
Dieser mit KI-Unterstützung erstellte Beitrag dient ausschließlich der allgemeinen Information über das österreichische Recht. Er stellt keine Rechtsberatung im Sinne der RAO dar und ersetzt nicht die individuelle anwaltliche Beratung . Die Anwendung gesetzlicher Bestimmungen und höchstgerichtlicher Judikatur auf einen konkreten Lebenssachverhalt erfordert stets eine einzelfallbezogene Prüfung durch einen Rechtsanwalt. Durch das Lesen, Speichern, Teilen oder Weiterleiten dieses Beitrags kommt kein Auftrags- oder Beratungsverhältnis mit der Pichler Rechtsanwalt GmbH oder einer ihrer Rechtsanwältinnen oder Rechtsanwälte zustande. Ein Mandat entsteht ausschließlich nach individueller Beauftragung. Soweit dieser Beitrag auf Entscheidungen des OGH, EuGH oder anderer Gerichte Bezug nimmt, geben wir die jeweilige Geschäftszahl und allenfalls einen Direktlink zum Rechtsinformationssystem des Bundes (RIS) an. Maßgeblich ist stets der vollständige Wortlaut der Originalentscheidung, nicht die Zusammenfassung in diesem Beitrag. Für eine auf Ihren konkreten Sachverhalt zugeschnittene Beurteilung vereinbaren Sie bitte eine Erstberatung , schreiben Sie an wien@anwaltskanzlei-pichler.at oder rufen Sie uns unter 01/5130700 an.