Sobald ein Unternehmen E-Mails über einen externen Dienst verschickt, verarbeitet dieser Dienst personenbezogene Daten: E-Mail-Adressen, Namen, Inhalte, oft auch Bestell- oder Gesundheitsinformationen. Die DSGVO stellt daran klare Anforderungen. Dieser Überblick zeigt, welche Pflichten du als Verantwortlicher hast und worauf du bei der Wahl eines Anbieters achten solltest.
1. Der Anbieter ist Auftragsverarbeiter
Ein E-Mail-Dienst verarbeitet die Daten deiner Empfänger in deinem Auftrag. Nach Art. 28 DSGVO brauchst du deshalb einen Vertrag zur Auftragsverarbeitung (AVV). Er regelt unter anderem:
- Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Datenarten und Betroffenen,
- die Weisungsbindung des Anbieters und die Vertraulichkeit seiner Mitarbeitenden,
- die technischen und organisatorischen Maßnahmen (TOM) nach Art. 32 DSGVO,
- den Einsatz von Unterauftragsverarbeitern und dein Recht, ihnen zu widersprechen,
- die Unterstützung bei Betroffenenrechten und Datenpannen,
- die Löschung oder Rückgabe der Daten nach Vertragsende.
Ohne AVV ist die Übermittlung an den Dienst nicht zulässig – auch wenn technisch alles funktioniert.
2. Drittlandtransfer und US-Anbieter
Viele bekannte E-Mail-Dienste sind US-Unternehmen. Eine Übermittlung in Drittländer ist nur unter den Bedingungen von Kapitel V DSGVO erlaubt, etwa über einen Angemessenheitsbeschluss oder Standardvertragsklauseln. Für zertifizierte US-Unternehmen gilt seit 2023 das EU-US Data Privacy Framework. Trotzdem bleibt für viele Datenschutzbeauftragte ein Restrisiko: US-Anbieter unterliegen Gesetzen wie dem CLOUD Act, die Behördenzugriff auch auf Daten in europäischen Rechenzentren erlauben können – und das Vorgängerabkommen Privacy Shield hat der EuGH 2020 gekippt.
Die einfachste Antwort auf diese Frage ist ein Anbieter mit Sitz in der EU, der Daten ausschließlich in der EU verarbeitet und auch keine US-Unterauftragsverarbeiter einsetzt.
3. Datenminimierung und Löschfristen
Nach Art. 5 DSGVO dürfen Daten nur so lange gespeichert werden, wie es für den Zweck nötig ist. Für E-Mail-Versand heißt das konkret:
- Inhalte der Mails werden nach der Zustellung kaum noch gebraucht – wenige Tage für Support und Fehlersuche genügen.
- Metadaten wie Empfänger und Zustellstatus braucht man für Nachweise und Auswertungen eine Weile länger, aber nicht unbegrenzt.
- Sperrlisten und Einwilligungsnachweise sind Ausnahmen: Sie müssen gerade bleiben, damit Abmeldungen wirken und Einwilligungen belegbar sind.
4. Tracking braucht eine Einwilligung
Öffnungs-Tracking per Zählpixel und Klick-Tracking über Weiterleitungen greifen auf Informationen im Endgerät der Empfänger zu. Nach § 25 TDDDG ist dafür grundsätzlich eine Einwilligung nötig, für die anschließende Auswertung zusätzlich eine Rechtsgrundlage nach Art. 6 DSGVO. Wer Tracking ohne Einwilligung einsetzt, riskiert Beschwerden und Bußgelder. Viele Unternehmen verzichten daher bewusst darauf oder holen die Einwilligung beim Newsletter-Abo mit ein.
5. Sicherheit
Art. 32 DSGVO verlangt ein angemessenes Schutzniveau. Für E-Mail-Dienste gehören dazu verschlüsselte Übertragung (TLS) auf allen Wegen, verschlüsselte Speicherung von Schlüsseln und Secrets, ein striktes Rollen- und Rechtekonzept, Protokollierung und funktionierende Backups. Lass dir die TOM des Anbieters zeigen.
6. Betroffenenrechte und Datenpannen
Empfänger können Auskunft, Löschung oder Widerspruch verlangen. Dein Dienst sollte dich dabei unterstützen: Kontakte löschen, Daten exportieren, Abmeldungen sofort umsetzen. Bei einer Datenpanne musst du innerhalb von 72 Stunden die Aufsichtsbehörde informieren (Art. 33 DSGVO) – dafür ist wichtig, dass dein Auftragsverarbeiter dich unverzüglich benachrichtigt.
Checkliste für die Anbieterwahl
- AVV nach Art. 28 DSGVO vorhanden und ohne Verhandlung abschließbar?
- Sitz des Anbieters und Ort der Verarbeitung in der EU?
- Liste der Unterauftragsverarbeiter öffentlich und ohne US-Anbieter?
- Löschfristen für Inhalte und Metadaten einstellbar?
- Tracking standardmäßig aus?
- Einwilligungsnachweise für Newsletter eingebaut?
- Export und Löschung aller Daten per Klick?