DSGVO bei Automatisierung: Was wirklich zählt

Von Aleksandra Dalak · Oktober 2026 · Lesezeit etwa 6 Minuten

Vorweg: Ich bin keine Juristin. Das hier ist das, was ich aus der Praxis weiß und selbst umsetze, mit Schulung im Datenschutz, aber ohne Anwaltsrobe. Für den Einzelfall fragen Sie einen Anwalt. Für die Richtung reicht dieser Text.

Sobald eine Automatisierung Anfragen verarbeitet, verarbeitet sie personenbezogene Daten: Name, E-Mail, Telefonnummer, der Inhalt der Anfrage. Daran ändert sich nichts, nur weil es ein Workflow tut statt ein Mensch. Verantwortlich bleiben Sie als Betrieb. Die Frage ist also nicht, ob die DSGVO gilt, sondern was sie konkret verlangt.

1. Wer für Sie hostet, braucht einen Auftragsverarbeitungsvertrag

Läuft die Automatisierung auf dem Server eines Dienstleisters, ist der Dienstleister Auftragsverarbeiter nach Art. 28 DSGVO. Dann ist ein Auftragsverarbeitungsvertrag, kurz AVV, Pflicht, für beide Seiten. Das gilt für den Automatisierungs-Dienstleister genauso wie für Ihren Hoster, Ihr CRM und Ihr Mailprogramm. Wer Ihnen keinen AVV anbietet oder ihn als Sonderwunsch behandelt, kennt die Regel nicht. Ich lege ihn jedem Projekt bei.

2. US-Tools sind erlaubt, aber nicht unsichtbar

Gmail, HubSpot, Slack, Notion: Die meisten gängigen Tools kommen aus den USA, und Daten fließen dorthin. Das ist zulässig, wenn der Anbieter unter dem EU-US Data Privacy Framework zertifiziert ist oder Standardvertragsklauseln mit Ihnen geschlossen hat. Beides steht beim Anbieter in den Datenschutzbedingungen oder im AVV. Prüfen Sie es einmal pro Tool und notieren Sie es.

Und misstrauen Sie jedem, der Ihnen „kein Datentransfer in Drittländer“ verspricht, obwohl Ihr Postfach bei Google liegt. Ein EU-Server für den Workflow ändert nichts an den Tools, die der Workflow anspricht. Ehrlich ist: „Mein Hosting in der EU, Ihre Tools nach deren Regeln.“

3. Nur die Daten, die der Ablauf braucht

Datenminimierung ist das Prinzip, das Automatisierer am häufigsten verletzen, weil es so einfach ist, alles mitzunehmen. Ein Workflow soll aus der Anfrage genau die Felder holen, die für Angebot und Kontakt nötig sind, und sie in genau ein System schreiben. Nicht zusätzlich in eine Tabelle, einen Slack-Kanal und ein Backup-Dokument. Jede Kopie ist ein Ort, an dem Sie später löschen müssen.

4. Löschen muss genauso automatisch gehen wie Erfassen

Eine Anfrage, aus der kein Auftrag wird, hat ein Verfallsdatum. Legen Sie es fest, zum Beispiel zwölf Monate nach dem letzten Kontakt, und lassen Sie den Workflow die Löschung anstoßen. Wird aus der Anfrage ein Vertrag, gelten die Aufbewahrungsfristen für Geschäftsunterlagen, in der Regel sechs bis zehn Jahre. Beides gehört in Ihre Datenschutzerklärung und in den Ablauf.

5. Zugänge sind das größte Risiko, nicht die Daten

Für eine Automatisierung bekommt jemand Zugriff auf Ihr Postfach, Ihr CRM und Ihre Rechnungen. Das ist der Moment, in dem Sicherheit entschieden wird. Was ich erwarte und selbst so mache: ein kontrollierter Zugriffspunkt statt Passwörter in Chats, API-Schlüssel mit den geringsten nötigen Rechten statt Admin-Zugänge, Zwei-Faktor-Anmeldung überall, und nach Projektende Rückgabe oder Löschung aller Zugänge, schriftlich bestätigt.

6. Automatisches Nachfassen ist keine Werbung an Fremde

Follow-ups an jemanden, der Sie angefragt hat, sind Teil der Vertragsanbahnung (Art. 6 Abs. 1 lit. b DSGVO). Das ist etwas anderes als eine Werbemail an gekaufte Adressen, die ohne Einwilligung nicht erlaubt ist. Meine Grenze: Die Nachrichten beziehen sich auf die Anfrage, sie hören nach wenigen Versuchen auf, und jede enthält den Hinweis, wie man absagen kann. Drei Follow-ups über zehn Tage sind in Ordnung. Ein Jahr lang monatliche „Erinnerungen“ nicht.

7. KI-Bausteine brauchen denselben Blick

Wenn ein Sprachmodell Anfragen zusammenfasst oder Antwortvorschläge formuliert, ist der Anbieter des Modells ein weiterer Auftragsverarbeiter. Also: AVV, Transfergrundlage bei US-Anbietern, und die Regel, dass keine Daten ins Modell gehen, die dort nichts zu suchen haben. Für eine Zusammenfassung reicht der Anfragetext. Die Bankverbindung des Kunden braucht das Modell nicht.

So setze ich es bei Automation Business um: Hosting in einem EU-Rechenzentrum, AVV inklusive, ein kontrollierter Zugriffspunkt, Löschregeln im Ablauf. Nicht, weil es Kunden beeindruckt, sondern weil ich nicht möchte, dass eine Automatisierung, die Ihnen Zeit spart, Ihnen später eine Beschwerde einbringt.

Alle Artikel