Mitarbeiter-Austritt im Maklerbüro: Checkliste für Zugriffe, E-Mail-Postfach und Kundenakten

Am letzten Arbeitstag gibt ein Mitarbeiter das Diensthandy ab, verabschiedet sich vom Team und verlässt das Büro. Zwei Wochen später entdeckt Ihr Innendienst, dass sein Zugang zum Maklerverwaltungsprogramm noch aktiv ist. Im gemeinsamen Postfach liegen ungelesene Schadenmeldungen, und eine automatische E-Mail-Weiterleitung sendet Nachrichten weiterhin an eine private Adresse. Genau solche Lücken entstehen, wenn der Mitarbeiter-Austritt im Maklerbüro nur als Personalthema behandelt wird.

Dieser Beitrag ist ein praktischer Ratgeber und ersetzt keine individuelle Rechts- oder Datenschutzberatung. Bei kniffligen Fragen ziehen Sie Ihren Datenschutzbeauftragten oder die zuständige Aufsichtsbehörde hinzu.

Offboarding ist zugleich IT-Sicherheit, Datenschutz und Betriebsorganisation. Ehemalige Mitarbeitende dürfen nach Ende ihrer Tätigkeit grundsätzlich keinen Zugriff mehr auf personenbezogene Daten, Kundenakten oder interne Systeme haben. Das betrifft nicht nur den Büro-PC, sondern auch Cloud-Dienste, Smartphones, Versichererportale, digitale Signaturen, geteilte Ordner und Zugangsdaten bei externen Dienstleistern.

Warum das Offboarding im Maklerbüro besonders sensibel ist

Maklerbüros verarbeiten regelmäßig umfangreiche personenbezogene Daten. Dazu gehören Kontakt- und Vertragsdaten, Gesundheitsdaten in der Personenversicherung, Finanzierungsunterlagen, Ausweisdokumente oder Informationen zur wirtschaftlichen Situation. Häufig greifen mehrere Personen parallel auf digitale Kundenakten, E-Mail-Postfächer und Vergleichsrechner zu.

Bleiben Berechtigungen bestehen, entstehen mehrere Risiken:

• Ehemalige Mitarbeitende können versehentlich oder absichtlich auf Kundendaten zugreifen.
• Unbearbeitete Kundenanfragen bleiben in persönlichen Postfächern liegen.
• Zugänge zu Versichererportalen ermöglichen möglicherweise Vertragsauskünfte oder Änderungen.
• Gespeicherte Dateien auf privaten Geräten oder privaten Cloud-Speichern entziehen sich Ihrer Kontrolle.
• Unklare Zuständigkeiten führen zu Lücken in Beratung, Schadenbearbeitung und Dokumentation.

Datenschutzrechtlich müssen Zugriffe auf das erforderliche Maß begrenzt sein. Technische und organisatorische Maßnahmen müssen zudem gewährleisten, dass Berechtigungen bei geänderten Aufgaben oder beim Ausscheiden zeitnah angepasst werden. Die Grundlagen dazu bündelt unsere TOM-Checkliste für Maklerbüros.

Offboarding beginnt vor dem letzten Arbeitstag

Warten Sie nicht bis zur Rückgabe des Schlüssels. Sobald das Austrittsdatum feststeht, sollte eine verantwortliche Person eine Offboarding-Akte anlegen. Das kann die Geschäftsführung, der Datenschutzkoordinator oder eine IT-verantwortliche Person sein. Wichtig ist eine klare Zuständigkeit.

Dokumentieren Sie mindestens:

• Name, Funktion und letzter Arbeitstag
• genutzte Systeme, Geräte und Postfächer
• Rollen und Berechtigungen
• Zugänge zu Versicherern, Pools, Vergleichsrechnern und Dienstleistern
• Kundenbestände, offenen Vorgänge und Vertretungsregelungen
• ausgegebene Hardware, Schlüssel, Token und Karten
• verantwortliche Person für Sperrung und Kontrolle
• Datum und Ergebnis jeder einzelnen Maßnahme

Bei einer Freistellung müssen Sie besonders schnell handeln. In diesem Fall kann es erforderlich sein, wesentliche Zugänge bereits vor dem eigentlichen Ende des Arbeitsverhältnisses zu entziehen. Arbeitsrechtliche Fragen, insbesondere zum Zugriff auf E-Mails oder zur Nutzung dienstlicher Geräte, sollten Sie bei Bedarf individuell prüfen lassen.

Checkliste für den letzten Arbeitstag

Die folgende Checkliste eignet sich für fest angestellte Mitarbeitende ebenso wie für Aushilfen, freie Mitarbeitende oder externe Dienstleister mit Systemzugriff. Bei Externen sollten Sie zusätzlich Vertragslaufzeiten und vereinbarte Rückgabe- sowie Löschungspflichten kontrollieren.

Konten und Zugänge sperren

• Benutzerkonto im Maklerverwaltungsprogramm deaktivieren oder löschen, soweit keine gesetzlichen oder organisatorischen Gründe für eine befristete Aufbewahrung des Kontos bestehen.
• Persönliche Zugänge zu Versichererportalen, Pools, Vergleichsrechnern und Courtageportalen sperren.
• Microsoft-365-, Google-Workspace- oder sonstige Cloud-Konten blockieren.
• Zugang zum VPN, zur Fernwartung, zum Remote-Desktop und zu internen Servern entziehen.
• Zugänge zu Passwortmanagern entfernen.
• Mehrfaktor-Authentisierung zurücksetzen oder das registrierte private Authenticator-Gerät entfernen.
• API-Schlüssel, technische Benutzerkonten und Freigaben prüfen, wenn der Mitarbeiter IT-nahe Aufgaben hatte.
• Berechtigungen in Dokumentenmanagement, CRM, Ticketsystem, Telefonanlage und Zeiterfassung entfernen.

Verlassen Sie sich nicht allein auf eine Passwortänderung. Ein gesperrtes Benutzerkonto verhindert auch die Anmeldung über vorhandene Sitzungen, gespeicherte Zugangsdaten oder alternative Anmeldemethoden besser als ein bloßer Passwortwechsel.

Für Microsoft 365 sollten Sie insbesondere Freigaben in Teams, SharePoint, OneDrive und gemeinsamen Postfächern kontrollieren. Wie Sie Berechtigungen in diesem Umfeld grundsätzlich strukturieren, erläutert unser Beitrag zu Microsoft 365 Copilot und Datenschutz im Maklerbüro.

E-Mail-Postfach sicher übergeben

Ein persönliches geschäftliches E-Mail-Postfach darf nicht einfach unbegrenzt weiterlaufen. Sonst können Anfragen übersehen werden, und es besteht das Risiko, dass unbefugte Personen auf eingehende Kommunikation zugreifen.

Prüfen Sie beim Postfach:

• Ist das Konto gesperrt und eine neue Anmeldung ausgeschlossen?
• Wurde eine automatische Abwesenheitsnotiz eingerichtet?
• Nennt die Nachricht eine funktionsbezogene Ersatzadresse, etwa „service@“ oder „schaden@“?
• Wurden eingehende E-Mails an ein betreutes Funktionspostfach weitergeleitet?
• Bestehen Weiterleitungen an private oder externe E-Mail-Adressen?
• Gibt es delegierte Zugriffe, Versandberechtigungen oder Regeln, die entfernt werden müssen?
• Sind wichtige offene Vorgänge an zuständige Kollegen übergeben?
• Ist geregelt, wer und wie lange noch auf das frühere Postfach zugreifen darf?

Formulieren Sie die Abwesenheitsnotiz knapp. Sie muss keine Details zum Austritt enthalten. Ein Hinweis wie „Diese E-Mail-Adresse wird nicht mehr betreut. Bitte wenden Sie sich an …“ genügt in der Regel.

Ein Zugriff auf das ehemalige Postfach sollte nur erfolgen, wenn er betrieblich erforderlich ist, etwa zur Bearbeitung offener Kundenanliegen. Legen Sie Zuständigkeit, Zweck und Dauer schriftlich fest. Private Kommunikation des Mitarbeiters ist dabei besonders sensibel zu behandeln.

Kundenakten, Freigaben und Vertretungen prüfen

Die Sperrung des Benutzerkontos löst nicht automatisch alle Zugriffsprobleme. Häufig bleiben Dateien, Aktenbesitzrechte und Freigaben erhalten. Prüfen Sie deshalb die digitale Kundenakte gezielt.

Prüfbereich	Zu kontrollierende Maßnahme
Maklerverwaltungsprogramm	Zuständigkeiten, Wiedervorlagen, Aufgaben und offene Vorgänge neu zuordnen
Dokumentenablage	Persönliche Freigaben, Besitzrechte und externe Freigabelinks prüfen
CRM	Ansprechpartner, Vertriebschancen und Kundenkommunikation übergeben
Teams und SharePoint	Mitgliedschaften in Teams, Kanälen und Projektordnern entfernen
Lokale Dateien	Kundenunterlagen vom Dienstgerät in die zentrale Akte überführen
Papierakten	Akten, Notizen, Schlüssel und Unterlagen vollständig zurücknehmen

Achten Sie darauf, dass Beratungsdokumentation, Gesprächsnotizen und kundenrelevante E-Mails nicht im persönlichen Bereich des ausgeschiedenen Mitarbeiters verbleiben. Die Dokumentation muss für berechtigte Kollegen auffindbar und dem jeweiligen Vorgang zugeordnet sein. Für die Anforderungen an eine nachvollziehbare Beratung lesen Sie auch unseren Beitrag zur Beratungsdokumentation nach § 61 VVG.

Geräte, Datenträger und private Nutzung kontrollieren

Dienstgeräte sind erst dann sicher zurückgegeben, wenn nicht nur das Gerät physisch im Büro liegt, sondern auch seine Verwaltung und gespeicherten Daten geprüft wurden.

• Dienstlaptop, Smartphone, Tablet, Headset und mobile Datenträger entgegennehmen.
• Seriennummern und Zustand im Übergabeprotokoll festhalten.
• Bildschirmsperre, Gerätemanagement und Verschlüsselung kontrollieren.
• Geschäftliche Konten vom Gerät abmelden oder über die zentrale Verwaltung entfernen.
• Lokale Kundenunterlagen, Downloads und synchronisierte Ordner prüfen.
• SIM-Karten, Hardware-Token, Sicherheitskarten und Schlüssel zurücknehmen.
• Bei erlaubter privater Nutzung die Trennung geschäftlicher und privater Daten nachvollziehbar dokumentieren.
• Bei Verlust eines Geräts sofort Sperrung, Fernlöschung und Risikobewertung veranlassen.

Private Endgeräte sind ein häufiger Sonderfall. Wurden dienstliche E-Mails, Messenger oder Cloud-Ordner auf privaten Smartphones genutzt, müssen geschäftliche Daten und Zugänge entfernt werden. Eine saubere Regelung zur mobilen Arbeit und Mehrfaktor-Authentisierung reduziert dieses Risiko bereits im Vorfeld. Praktische Grundlagen finden Sie in unserem Ratgeber „Passwörter, 2FA und Homeoffice: IT-Schutz für Makler“.

Nach dem Austritt: Kontrolle statt bloßer Annahme

Planen Sie eine zweite Prüfung einige Tage nach dem Austritt ein. Dabei kontrollieren Sie, ob Sperrungen tatsächlich wirksam sind und ob automatisierte Prozesse weiterlaufen.

• Anmeldeprotokolle auf ungewöhnliche Zugriffsversuche prüfen.
• Lizenzzuweisungen entfernen oder neu vergeben.
• Gemeinsame Postfächer, Weiterleitungen und Abwesenheitsnotizen kontrollieren.
• Versicherer- und Poolzugänge erneut abgleichen.
• Offene Kundenanfragen und Wiedervorlagen auf neue Verantwortliche prüfen.
• Ehemalige E-Mail-Adresse nach Ihrer internen Regelung weiterführen, deaktivieren oder löschen.
• Offboarding-Protokoll vollständig abzeichnen und sicher ablegen.

Falls Sie feststellen, dass ein ausgeschiedener Mitarbeiter noch Zugriff hatte oder Daten unbefugt weitergegeben wurden, bewerten Sie den Vorfall unverzüglich. Je nach Sachlage kann eine Datenschutzverletzung vorliegen. Dann zählt eine schnelle, dokumentierte Reaktion. Unser 72-Stunden-Playbook für Datenpannen zeigt, welche Informationen Sie sichern und welche Entscheidungen Sie fristgerecht treffen sollten.

Offboarding als fester Prozess

Die beste Checkliste hilft wenig, wenn sie nur bei einem besonders geordneten Austritt genutzt wird. Verankern Sie das Offboarding deshalb als verbindlichen Standardprozess. Ergänzen Sie Ihre Vorlage regelmäßig, wenn neue Software, Versichererportale oder Kommunikationskanäle hinzukommen.

Wer das Thema Datenschutz und organisatorische Pflichten systematisch vertiefen möchte, findet passende Seminare bei cmt.de.

Ein vollständiges, zeitnah dokumentiertes Offboarding schützt Ihr Maklerbüro doppelt: Kundenanliegen bleiben bearbeitbar, und der Zugriff auf sensible Daten endet dort, wo das Arbeitsverhältnis endet.