DSGVO-konforme Automatisierung: Worauf es wirklich ankommt

DSGVO-konforme Automatisierung bedeutet: Sie wissen, welche personenbezogenen Daten durch Ihre Abläufe fließen, Sie haben mit der Automatisierungsplattform einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO geschlossen, und Sie können jederzeit nachvollziehen, wo und von wem diese Daten verarbeitet werden. Der größte Teil dieser Arbeit entscheidet sich nicht im laufenden Betrieb, sondern bei der Auswahl der Plattform. Dieser Beitrag geht die Punkte durch, auf die es dabei wirklich ankommt — und die Fragen, die Sie einem Anbieter vor der Einführung stellen sollten.

Hinweis: Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung im Einzelfall.

Warum ist Automatisierung überhaupt ein Datenschutzthema?

Eine Automatisierungsplattform ist kein gewöhnliches SaaS-Werkzeug. Sie sitzt zwischen Ihren Systemen und leitet Daten von einem zum anderen: Formularantworten ins CRM, Bestellungen in die Buchhaltung, Support-Anfragen in den Teamchat. Fast immer sind personenbezogene Daten darunter — Namen, E-Mail-Adressen, Bestelldaten, gelegentlich auch deutlich sensiblere Angaben wie Bewerbungsunterlagen oder Gesundheitsinformationen aus einem Kontaktformular.

Rechtlich ist die Lage klar verteilt: Ihr Unternehmen ist Verantwortlicher im Sinne der DSGVO, die Plattform ist Auftragsverarbeiter. Die Pflichten wandern dabei nicht zum Anbieter. Sie müssen sicherstellen, dass der Anbieter hinreichende Garantien bietet, und Sie bleiben gegenüber den betroffenen Personen in der Verantwortung. Genau deshalb ist die Tool-Auswahl der wichtigste einzelne Schritt auf dem Weg zu einer konformen Automatisierung: Ein passender Anbieter nimmt Ihnen den Großteil der Dokumentations- und Prüfarbeit ab, ein unpassender erzeugt sie laufend neu.

Welche Fragen sollten Sie vor der Tool-Auswahl klären?

Vier Fragen trennen die Anbieter, mit denen Konformität einfach ist, von denen, mit denen sie zur Dauerbaustelle wird.

Wo werden die Daten verarbeitet?

Der Verarbeitungsort bestimmt, welcher Teil der DSGVO Sie beschäftigt. Verarbeitet der Anbieter in der EU, gelten die allgemeinen Regeln. Verarbeitet er in einem Drittland — allen voran den USA —, kommen die Art. 44 ff. DSGVO hinzu: Sie brauchen eine Übermittlungsgarantie wie die Standardvertragsklauseln (SCC) und müssen die Umstände der Übermittlung bewerten. Das ist machbar, aber es ist laufende Arbeit, die bei einem EU-Anbieter für den Kernbetrieb schlicht entfällt.

Achten Sie dabei auf die Formulierung: „Serverstandort EU" ist nicht dasselbe wie „Verarbeitung in der EU durch ein EU-Unternehmen". Ein US-Anbieter mit europäischem Rechenzentrum bleibt US-Recht unterworfen. Warum dieser Unterschied zählt, behandelt der Beitrag zu Datenresidenz und Datensouveränität ausführlich.

Gibt es einen AV-Vertrag nach Art. 28 DSGVO?

Ohne Auftragsverarbeitungsvertrag dürfen Sie personenbezogene Daten nicht durch eine Plattform verarbeiten lassen — das ist keine Formalie, sondern eine Wirksamkeitsvoraussetzung der gesamten Konstruktion. Seriöse Anbieter stellen den Vertrag von sich aus bereit, ohne Verhandlung und ohne Aufpreis-Verstecke. Prüfen Sie außerdem, ob der Vertrag die Pflichtinhalte des Art. 28 Abs. 3 DSGVO tatsächlich abdeckt; was genau hineingehört, zeigt der Beitrag zum AV-Vertrag bei SaaS-Tools.

Wer sind die Unterauftragsverarbeiter?

Kein SaaS-Anbieter erbringt alles selbst. Hosting, E-Mail-Versand, Zahlungsabwicklung — hinter jedem Dienst stehen weitere Dienste, und jeder davon, der personenbezogene Daten verarbeitet, ist ein Unterauftragsverarbeiter. Entscheidend ist, ob der Anbieter diese Kette offenlegt: mit Zweck, Verarbeitungsregion und Übermittlungsgarantie je Anbieter. Eine Plattform, die diese Liste versteckt oder nur auf Anfrage herausgibt, macht Ihnen die eigene Rechenschaftspflicht unnötig schwer. Wie Sie eine solche Liste systematisch bewerten, zeigt die Checkliste zum Prüfen von Unterauftragsverarbeitern.

Was passiert bei KI-Schritten?

KI-Schritte senden Inhalte Ihrer Abläufe an einen Modellanbieter — und damit stellt sich dieselbe Frage noch einmal: Wo läuft das Modell, ist der Anbieter vertraglich als Auftragsverarbeiter gebunden, und werden Ihre Daten zum Training verwendet? Viele Plattformen leiten KI-Schritte standardmäßig an US-Anbieter weiter, ohne das kenntlich zu machen. Worauf Sie hier achten sollten, behandelt der Beitrag KI DSGVO-konform einsetzen.

Wie gestalten Sie Ihre Abläufe selbst datensparsam?

Auch mit dem richtigen Anbieter bleibt Gestaltungsarbeit bei Ihnen. Der Grundsatz der Datenminimierung aus Art. 5 DSGVO gilt für jeden einzelnen Ablauf — und er ist in der Automatisierung leichter umzusetzen, als es klingt.

Nur die Felder übergeben, die gebraucht werden

Ein Ablauf, der eine Bestellbestätigung versendet, braucht die E-Mail-Adresse und die Bestellnummer — nicht den kompletten Kundendatensatz. Übergeben Sie an jeden Schritt nur die Felder, die er tatsächlich verwendet. Das reduziert nicht nur das Risiko, es macht Abläufe auch übersichtlicher und leichter zu warten.

Protokolle mitdenken

Ausführungsprotokolle sind für die Fehlersuche wertvoll, enthalten aber die verarbeiteten Daten. Klären Sie, wie lange Protokolle aufbewahrt werden und wer sie einsehen kann. Ein Löschkonzept für Protokolldaten gehört zur Automatisierung dazu wie das Backup zur Datenbank.

Zugriffe beschränken

Wer im Team darf Abläufe sehen, wer darf sie ändern? Eine Anmeldung über den zentralen Unternehmens-Login (SSO über Google oder Microsoft) stellt sicher, dass ausscheidende Mitarbeitende automatisch den Zugriff verlieren. Für nachweispflichtige Umgebungen ergänzt ein Audit-Log, wer wann was geändert hat.

Wie gehen Sie bei bestehenden Abläufen vor?

Wer schon automatisiert, führt die Prüfung rückwärts durch — als Bestandsaufnahme. Listen Sie zunächst die Abläufe auf, die personenbezogene Daten bewegen; meist sind es weniger, als befürchtet, aber wichtigere, als gedacht. Prüfen Sie dann je Ablauf drei Punkte: Liegt für die beteiligte Plattform ein AV-Vertrag vor? Fließen Daten an Dienste außerhalb der EU, und wenn ja, mit welcher Garantie? Und werden mehr Felder übergeben, als der Ablauf braucht?

Aus den Antworten ergibt sich die Reihenfolge der Arbeit von selbst: fehlende Verträge nachholen, überflüssige Felder aus den Abläufen entfernen, ungeklärte Drittlandsübermittlungen bewerten oder ersetzen. Das ist an einem Nachmittag zu schaffen — und deutlich angenehmer, als dieselben Fragen zum ersten Mal im Auskunftsersuchen einer betroffenen Person oder in der Nachfrage einer Aufsichtsbehörde zu beantworten.

Woran erkennen Sie einen passenden Anbieter?

Zusammengefasst als Prüfliste vor der Entscheidung:

• Verarbeitung in der EU durch ein EU-Unternehmen — nicht nur ein EU-Rechenzentrum eines US-Konzerns
• AV-Vertrag nach Art. 28 DSGVO ohne Verhandlung verfügbar
• Öffentliche Liste der Unterauftragsverarbeiter mit Zweck, Region und Garantie
• KI-Schritte standardmäßig bei einem EU-Anbieter, Drittlandmodelle nur auf ausdrückliche Wahl
• Transparenz statt absoluter Versprechen: Ein Anbieter, der ehrlich benennt, wo ein US-Dienst beteiligt ist — etwa bei der Zahlungsabwicklung —, ist glaubwürdiger als einer, der pauschale Garantien abgibt

Zauberflow ist nach genau diesen Kriterien gebaut: Die Plattform läuft bei netcup in Nürnberg und wird von der SweetWater Holding UG aus Hamburg betrieben — nicht auf einer US-Cloud. Ein AV-Vertrag nach Art. 28 DSGVO steht bereit, die Liste der Unterauftragsverarbeiter ist öffentlich, und KI-Schritte laufen standardmäßig in der EU. Die Details zur Datenverarbeitung stehen in der Datenschutzerklärung — und testen lässt sich das alles 14 Tage kostenlos, ohne Kreditkarte.

Häufige Fragen

Ist Automatisierung mit US-Anbietern automatisch unzulässig?

Nein. Die DSGVO verbietet Drittlandsübermittlungen nicht, sie knüpft sie an Bedingungen (Art. 44 ff. DSGVO): eine Garantie wie die Standardvertragsklauseln und eine Bewertung der Umstände im Einzelfall. Der Unterschied liegt im Aufwand — bei einem EU-Anbieter entfällt diese Prüfung für den Kernbetrieb weitgehend.

Brauche ich für jedes Automatisierungstool einen AV-Vertrag?

Sobald personenbezogene Daten durch die Abläufe fließen: ja. Und das ist praktisch immer der Fall — schon eine E-Mail-Adresse in einer Formularantwort genügt. Ohne Vertrag nach Art. 28 DSGVO fehlt der Verarbeitung die rechtliche Grundlage.

Muss ich meine Abläufe irgendwo dokumentieren?

Die Verarbeitungen Ihres Unternehmens gehören in das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO. Meist genügt es, die Automatisierung bei den betroffenen Verarbeitungstätigkeiten zu ergänzen — ein eigener Eintrag pro Ablauf ist in der Regel nicht nötig. Halten Sie zusätzlich fest, welcher Ablauf welche Datenkategorien bewegt; bei einer Anfrage der Aufsichtsbehörde ist das Ihre halbe Antwort.

Reicht ein Serverstandort in der EU für DSGVO-Konformität?

Nein, er ist ein Baustein von mehreren. Hinzu kommen der AV-Vertrag, die Kontrolle der Unterauftragsverarbeiter, die Wahrung der Betroffenenrechte und die datensparsame Gestaltung der Abläufe selbst. Der EU-Standort nimmt Ihnen aber die aufwendigste Baustelle ab: die laufende Bewertung von Drittlandsübermittlungen.