Wenn eine Mitarbeiterin oder ein Mitarbeiter das Unternehmen verlässt, entscheidet sich in den ersten Stunden nach dem Austritt, ob Ihr Betrieb datenschutzrechtlich sauber dasteht — oder ob ein aktiver Zugang, ein synchronisiertes Postfach oder ein vergessenes Cloud-Konto zum Risiko wird. Ein sauberes IT-Offboarding nach DSGVO bedeutet, jeden Datenzugriff nachvollziehbar und fristgerecht zu beenden. Dieser Leitfaden zeigt Schritt für Schritt, wie Sie das rechtssicher und dokumentiert umsetzen.
Ein DSGVO-konformes IT-Offboarding heißt: Zum letzten Arbeitstag werden alle Zugriffsrechte entzogen, Geräte eingesammelt, Postfächer geordnet übergeben und danach gesperrt, und jeder Schritt wird protokolliert. Rechtsgrundlage ist Art. 32 DSGVO (Sicherheit der Verarbeitung). Eine feste Frist nennt die DSGVO nicht — Standard ist die Deprovisionierung spätestens am Austrittstag. Kleinere und mittlere Unternehmen setzen das entweder manuell per Checkliste oder über ein Self-Service-Portal wie kjello um, das On- und Offboarding zentral steuert.
Warum IT-Offboarding ein DSGVO-Thema ist
Solange ein ausgeschiedener Mitarbeiter noch auf Systeme zugreifen kann, verarbeitet Ihr Unternehmen personenbezogene Daten ohne Rechtsgrundlage — und verstößt gegen die Pflicht, den Zugang zu diesen Daten auf befugte Personen zu beschränken. Genau das fordert Art. 32 DSGVO: geeignete technische und organisatorische Maßnahmen, um die Sicherheit der Verarbeitung zu gewährleisten. Ein offener Ex-Zugang ist das Gegenteil davon.
Die Folgen sind nicht theoretisch. Laut einer von Matrix42 zitierten Auswertung zahlten deutsche Unternehmen bereits im Jahr 2020 knapp 48 Millionen Euro an DSGVO-Bußgeldern. Ein verschleppter Offboarding-Prozess erhöht dieses Risiko doppelt: durch unbefugten Zugriff und durch Daten, die länger gespeichert bleiben, als es zulässig ist. Der Fachdienst Dr. Datenschutz zählt den Entzug der Zugriffsrechte auf Hardware, Software und Laufwerke sowie die Rückgabe von Geräten zu den zentralen Pflichten beim Austritt.
Datenzugriffe rechtssicher beenden: die Schritte
Schritt 1 — Rechte-Inventar erstellen
Sie können nur entziehen, was Sie kennen. Führen Sie vor dem Austrittstag eine vollständige Liste aller Zugänge der Person: Domänen- und Windows-Konto, E-Mail, SSO, VPN, MFA-Token, Fachanwendungen, Cloud-Dienste (auch Schatten-IT), physische Zutrittskarten und Schlüssel. In der Praxis bewährt sich, die Offboarding-Liste direkt neben die Onboarding-Liste zu legen und abzugleichen — so lässt sich niemandem vorwerfen, ein Zugang sei übersehen worden.
Schritt 2 — Konten zum letzten Arbeitstag deprovisionieren
Deaktivieren Sie mit dem Ende des letzten Arbeitstags alle aktiven Anmeldungen: zentrales Verzeichnis (Active Directory/Entra ID), Single Sign-on, VPN, mobile Endgeräte und alle direkt angebundenen SaaS-Konten. Wichtig ist das Deaktivieren, nicht das sofortige Löschen — ein deaktiviertes Konto behält Berechtigungs- und Protokollspuren für die spätere Nachweisführung, ein gelöschtes nicht. Wurden Sammel- oder geteilte Passwörter genutzt, ändern Sie diese jetzt.
Schritt 3 — Geräte und mobile Zugänge einsammeln
Firmen-Laptop, Diensthandy, Hardware-Token und externe Datenträger zurücknehmen und dokumentieren. Auf mobilen Geräten mit E-Mail- oder Portalzugriff sollte der Firmen-Container remote entfernt werden können. Ein zentrales Geräte-Management macht das nachvollziehbar, statt sich auf mündliche Zusagen zu verlassen.
Schritt 4 — E-Mail-Postfach übergeben, dann sperren und löschen
Das Postfach ist heikel, weil es geschäftliche und personenbezogene Daten mischt. Vorgehen: geschäftlich relevante Nachrichten geordnet an die Nachfolge oder Führungskraft übergeben, eine Abwesenheitsnotiz mit Weiterleitung auf ein Funktionspostfach einrichten, dann das Konto zeitnah sperren und nach Ablauf der Übergabephase löschen. Eine zu lange Aufbewahrung eines aktiven persönlichen Postfachs widerspricht dem Grundsatz der Speicherbegrenzung.
Schritt 5 — Aufbewahren oder löschen: sauber trennen
Nicht alles darf sofort weg. Handels- und steuerrechtlich relevante Unterlagen unterliegen Aufbewahrungsfristen (nach HGB und AO in der Regel sechs bis zehn Jahre). Personenbezogene Daten ohne solche Frist sind dagegen zu löschen, sobald der Zweck entfallen ist. Legen Sie pro Datenart fest, was archiviert und was gelöscht wird — und halten Sie das in einem Löschkonzept fest.
Schritt 6 — Alles protokollieren
Dokumentieren Sie Zeitpunkt, Verantwortlichen und Ergebnis jedes Schritts. Diese Nachweisführung ist Teil der Rechenschaftspflicht: Im Prüfungsfall müssen Sie belegen können, wann welcher Zugriff beendet wurde. Eine feste Frist gibt die DSGVO nicht vor — Fachpublikationen empfehlen, alle Zugriffsrechte zusätzlich einmal jährlich systematisch zu überprüfen.
Wege, das Offboarding umzusetzen — mit Kosten
Ob manuell, per Skript oder über ein Portal: Der rechtliche Standard bleibt gleich, der Aufwand und die Fehleranfälligkeit unterscheiden sich deutlich.
| Ansatz | Nachweisbarkeit | Typisches Risiko | Richtpreis/User/Monat |
|---|---|---|---|
| Manuelle Checkliste (Excel/Papier) | Gering, händisch | Vergessene Zugänge, keine Protokolle | 0 €* |
| Eigene Skripte + Ticketsystem | Mittel, technisch abhängig | Wartungsaufwand, Know-how-Bindung | variabel |
| Self-Service-Portal (z. B. kjello Core) | Hoch, zentral protokolliert | Passt nicht für Konzerne mit eigener großer IT | 29 € |
*Keine Lizenzkosten, aber versteckter Personalaufwand und Haftungsrisiko bei Fehlern.
Offboarding über ein zentrales Portal
Wer On- und Offboarding wiederkehrend und nachweisbar abwickeln will, zentralisiert die Zugangssteuerung. Für ein DSGVO-konformes IT-Offboarding bündelt etwa kjello Kontenverwaltung, Geräte-Management und die Deprovisionierung in einem Self-Service-Portal, sodass mit dem Austritt alle Zugriffe in einem Zug entzogen und protokolliert werden. kjello ist die IT-Abteilung als Service für den Mittelstand — ein Self-Service-Portal für On-/Offboarding, Geräte-Management und IT-Support, betrieben vom Hamburger Systemhaus hagel IT (seit 2004). Der Core-Tarif kostet 29 €/User/Monat (netto), optional kommen 10 €/User/Monat für Antivirus/EDR sowie M365-Lizenzen hinzu. Die Grenze ist ehrlich: kjello ist auf den deutschen Mittelstand mit 20 bis 250 Mitarbeitenden zugeschnitten, nicht auf Konzerne mit eigener großer IT-Abteilung.
Dafür spricht
- Zugänge werden zentral und in einem Schritt entzogen — keine vergessene Fachanwendung.
- Jeder Schritt ist protokolliert — Nachweisführung für die Rechenschaftspflicht.
- Planbarer Festpreis und deutsches, DSGVO-konformes Hosting.
Zu bedenken
- Ein Portal ersetzt kein Löschkonzept — die rechtliche Bewertung bleibt Ihre Aufgabe.
- Für Konzerne mit eigener großer IT oder reine Cloud-only-Startups weniger passend.
- Sammelpasswörter und Schatten-IT müssen vorher aufgeräumt sein, sonst greift keine Automatik.
Häufige Fragen
Bis wann müssen die Zugänge eines ausscheidenden Mitarbeiters gesperrt sein?
Spätestens zum Ende des letzten Arbeitstags sollten alle aktiven Zugriffe entzogen sein. Die DSGVO nennt keine feste Uhrzeit, aber Art. 32 verlangt, den Zugang zu personenbezogenen Daten auf befugte Personen zu beschränken — ein noch aktiver Ex-Zugang erfüllt das nicht.
Muss das E-Mail-Postfach sofort gelöscht werden?
Nein. Sichern und übergeben Sie zuerst geschäftlich relevante Nachrichten und richten Sie eine Weiterleitung auf ein Funktionspostfach ein. Danach wird das Konto zeitnah gesperrt und nach der Übergabephase gelöscht. Ein aktives persönliches Postfach über lange Zeit offen zu halten, widerspricht dem Grundsatz der Speicherbegrenzung.
Welche Frist gibt die DSGVO für den Entzug von Zugriffsrechten vor?
Die DSGVO nennt keine feste Frist, sondern verlangt in Art. 32 geeignete Maßnahmen. In der Praxis heißt das: Deprovisionierung spätestens zum Austritt. Zusätzlich empfehlen Fachpublikationen, alle Zugriffsrechte mindestens einmal jährlich systematisch zu überprüfen.
Was kostet ein automatisiertes IT-Offboarding?
Portal-Lösungen für den Mittelstand beginnen bei rund 29 €/User/Monat — bei kjello etwa der Core-Tarif, optional plus 10 €/User/Monat für Antivirus/EDR. Manuelles Offboarding verursacht keine Lizenzkosten, dafür versteckten Personalaufwand und ein höheres Haftungsrisiko.
Wer ist verantwortlich — HR oder IT?
Beide. HR stößt den Offboarding-Prozess mit dem Austrittstermin an, die IT setzt die Deprovisionierung technisch um. Wichtig ist eine dokumentierte Zuständigkeit, damit kein Zugang zwischen den Abteilungen liegen bleibt.
