E-Mails per API DSGVO-konform versenden: Checkliste zu AV-Vertrag, Serverstandort, Logs und Löschfristen

Team BOTrento11. 10. 20268 Min. Lesezeit

Was beim Versand per API datenschutzrechtlich passiert

Wenn Ihre Software eine E-Mail über die API eines Versanddienstes verschickt, übergibt sie ihm Empfängeradresse, Betreff, Inhalt und oft auch Metadaten wie Ihre interne Kunden-ID. Der Dienst stellt die Mail zu, protokolliert den Zustellstatus und speichert je nach Einstellung auch Öffnungen, Klicks und Bounces.

Die Rollenverteilung

• Ihr Unternehmen ist Verantwortlicher. Sie entscheiden, wem Sie was schreiben und warum.
• Der Versanddienst ist in aller Regel Auftragsverarbeiter. Er verarbeitet die Daten nur nach Ihrer Weisung.
• Rechenzentren, Hosting- und Supportpartner des Dienstes sind Unterauftragsverarbeiter. Sie müssen sie kennen, auch wenn Sie keinen eigenen Vertrag mit ihnen haben.

Rechtsgrundlage je Mailtyp

Unterscheiden Sie, welche Mails Sie über die API verschicken:

• Transaktionale Mails wie Angebotsversand, Auftragsbestätigung, Rechnungshinweis oder Passwort-Reset stützen sich meist auf die Vertragsanbahnung oder Vertragserfüllung.
• Nachfass-Mails zu einer konkreten Anfrage lassen sich häufig noch dem Geschäftsvorgang zuordnen. Sie sollten aber erkennbar zu dieser Anfrage gehören.
• Werbliche Mails wie Newsletter oder Aktionsangebote brauchen in Deutschland, Österreich und der Schweiz grundsätzlich eine Einwilligung. Die Ausnahmen für Bestandskunden sind eng gefasst und unterscheiden sich je nach Land.

Für die Praxis heißt das: Trennen Sie Transaktions- und Werbeversand technisch, zum Beispiel über getrennte API-Schlüssel, Absenderadressen oder Streams. So können Sie Opt-outs und Löschungen sauber umsetzen.

AV-Vertrag mit dem E-Mail-Dienst: Was drinstehen sollte

Die meisten Versanddienste stellen einen Standard-AV-Vertrag bereit, oft als Teil der Nutzungsbedingungen oder zum Abschließen im Kundenkonto. Unterschreiben Sie ihn nicht ungelesen. Prüfen Sie mindestens diese Punkte:

• Gegenstand und Dauer: Ist der E-Mail-Versand inklusive Protokollierung und Tracking beschrieben?
• Datenkategorien und Betroffene: Kunden, Interessenten, Ansprechpartner bei Lieferanten
• Weisungsbindung: Der Dienst darf Daten nicht für eigene Zwecke nutzen, etwa für Marketing oder zum Training eigener Modelle.
• Technische und organisatorische Maßnahmen (TOM): Verschlüsselung bei Übertragung und Speicherung, Zugriffskontrolle, Protokollierung von Admin-Zugriffen
• Unterauftragsverarbeiter: Gibt es eine aktuelle Liste? Werden Sie über Änderungen informiert und können Sie widersprechen?
• Drittlandübermittlung: Welche Garantien gelten, zum Beispiel Standardvertragsklauseln oder ein Angemessenheitsbeschluss?
• Löschung und Rückgabe: Was passiert mit Logs und gespeicherten Inhalten, wenn der Vertrag endet?
• Unterstützungspflichten: Hilft der Dienst bei Auskunftsanfragen, Datenpannen und Kontrollen?

Legen Sie den unterschriebenen Vertrag zusammen mit der Liste der Unterauftragsverarbeiter dort ab, wo Sie ihn bei einer Prüfung schnell finden.

Serverstandort: Speicherung und Verarbeitung auseinanderhalten

„Server in der EU“ ist ein häufiges Verkaufsargument. Es sagt aber nur aus, wo Daten gespeichert werden. Bei E-Mail-Diensten lohnen drei Fragen:

1. Wo liegen Logs und Mailinhalte? Bei manchen Anbietern lässt sich eine EU-Region wählen, bei anderen nicht.
2. Wer hat Zugriff? Support- und Betriebsteams sitzen unter Umständen außerhalb der EU. Auch ein Fernzugriff kann eine Übermittlung sein.
3. Welchem Recht unterliegt der Anbieter? Bei einem Mutterkonzern außerhalb der EU kommen Fragen zu behördlichen Zugriffen hinzu.

Das Prinzip ist dasselbe wie bei KI-Diensten: Speicherung und Verarbeitung können an verschiedenen Orten stattfinden. Warum diese Unterscheidung wichtig ist, erklären wir im Beitrag Wo liegen Ihre Daten, wenn Sie KI nutzen?. In der Schweiz gilt zusätzlich das Schweizer Datenschutzgesetz. Klären Sie bei Versand aus der Schweiz, ob Ihr Anbieter die dortigen Anforderungen an Auslandsübermittlungen abdeckt.

Protokollierung und Löschfristen festlegen

E-Mail-APIs protokollieren standardmäßig viel. Das ist nützlich, wenn Sie wissen wollen, ob ein Angebot zugestellt wurde. Gleichzeitig entsteht so ein Datenbestand, den Sie verantworten müssen.

Was üblicherweise protokolliert wird

• Empfänger, Absender, Betreff und Zeitstempel
• Zustellstatus, Bounces und Spam-Beschwerden
• Je nach Einstellung der vollständige Mailinhalt
• Öffnungs- und Klick-Tracking mit IP-Adresse und Gerätedaten

Datensparsam einstellen

• Inhaltsspeicherung abschalten, wenn Sie den Text ohnehin in Ihrem Postfach oder CRM haben
• Tracking bewusst entscheiden: Öffnungs- und Klick-Tracking gilt bei Geschäftsmails als heikel und ist rechtlich umstritten. Ob Sie es brauchen und ob Sie dafür eine Einwilligung benötigen, sollten Sie prüfen lassen. Bei Angeboten reicht oft der Zustellstatus.
• Kurze Aufbewahrung für technische Logs: Legen Sie eine Frist fest, die für Fehleranalyse und Missbrauchsabwehr reicht, und stellen Sie sie im Dienst ein.
• Sperrlisten getrennt behandeln: Abmeldungen und harte Bounces müssen Sie länger vorhalten, damit Sie diese Adressen nicht erneut anschreiben.

Aufbewahrungspflichten beachten

Versandte Angebote und Auftragsbestätigungen können als Geschäftsbriefe handels- und steuerrechtlichen Aufbewahrungspflichten unterliegen. Diese Pflicht erfüllen Sie in der Regel über Ihr Archiv, Ihr Postfach oder Ihre Buchhaltung, etwa lexoffice, sevDesk oder DATEV, und nicht über die Logs des Versanddienstes. Die konkreten Fristen für Ihr Land klären Sie am besten mit Ihrer Steuerberatung.

Checkliste in 7 Schritten und Vorlage für die Anfrage beim Anbieter

1. Mailtypen auflisten: Notieren Sie, welche E-Mails per API rausgehen, mit welcher Rechtsgrundlage und aus welchem System (Shop, CRM wie HubSpot oder Pipedrive, eigene Anwendung).
2. AV-Vertrag abschließen und die Liste der Unterauftragsverarbeiter ablegen.
3. Region und Drittlandbezug prüfen: Wählen Sie, wenn möglich, eine EU-Region und dokumentieren Sie die Garantien für Übermittlungen.
4. Logs einstellen: Inhaltsspeicherung, Tracking und Aufbewahrungsdauer festlegen und mit Screenshot dokumentieren
5. Zugänge absichern: Speichern Sie API-Schlüssel nicht im Quellcode, vergeben Sie getrennte Schlüssel je Anwendung und erneuern Sie sie regelmäßig.
6. Absenderdomain authentifizieren (SPF, DKIM, DMARC). Das ist kein reines Datenschutzthema, schützt Ihre Kunden aber vor gefälschten Mails in Ihrem Namen.
7. Verzeichnis der Verarbeitungstätigkeiten ergänzen und in der Datenschutzerklärung den Versanddienst als Empfänger nennen

Wenn Angaben in den Unterlagen des Anbieters fehlen, fragen Sie schriftlich nach:

Betreff: AV-Vertrag und Datenverarbeitung beim E-Mail-Versand

Guten Tag,

wir möchten Ihren Dienst für den Versand von Angeboten und Auftragsbestätigungen nutzen. Bitte senden Sie uns:
– Ihren aktuellen Auftragsverarbeitungsvertrag inklusive TOM,
– die Liste Ihrer Unterauftragsverarbeiter mit Standorten,
– Angaben, in welcher Region Logs und Mailinhalte gespeichert werden,
– die einstellbaren Aufbewahrungsfristen für Logs und Inhalte,
– die Garantien, die Sie bei Übermittlungen außerhalb der EU einsetzen.

Vielen Dank und freundliche Grüße
[Name, Unternehmen]

Wenn KI die E-Mails vorbereitet: Freigabe vor dem Versand

Viele Teams lassen Antworten und Follow-ups inzwischen von KI vorformulieren. Damit kommt neben dem Versanddienst ein weiterer Dienstleister hinzu: der Anbieter des Sprachmodells. Außerdem geht es um die Frage, ob eine Maschine selbstständig an Kunden schreiben soll. Die KI-Verordnung (AI Act) für KMU setzt dabei auf Transparenz und darauf, dass Menschen die Entscheidungen treffen.

BOTrento Chief of Staff ist so aufgebaut, dass dieser Punkt gar nicht erst entsteht:

• Nichts wird automatisch versendet. BOTrento erstellt Entwürfe für Antworten, Angebote und Follow-ups in vier Sprachen, darunter Deutsch. Ein Mensch prüft und gibt jeden Entwurf frei.
• Gesteuerter Prozess statt Einzelprompts: Anfragen und Angebote werden im Postfach und in importierten Daten (CSV/XLSX) überwacht. An jedem Werktag erscheint morgens die Übersicht „Heute 1+3“. Zusagen wie „Ich melde mich bis Freitag“ werden erkannt, und BOTrento erinnert daran.
• Klare Datenwege: Die Daten werden auf Servern in der EU gespeichert (Deutschland, Anwendungsdatenbank in Irland). Das Sprachmodell erhält nur die Texte, die für die jeweilige Aufgabe nötig sind, und zwar über die API eines kommerziellen Anbieters. Standardmäßig läuft das über unser Konto, optional über Ihren eigenen API-Schlüssel. Ein EU-Server, der eine externe KI-API aufruft, ist keine abgeschlossene Verarbeitung. Das sagen wir offen.
• KI im Tarif enthalten: Es gibt ein monatliches Verbrauchslimit mit Hinweis bei 80 % und keine automatischen Nachzahlungen.

Wie der Ablauf konkret aussieht, zeigt die Prozessdemo. Die Datenschutz-Checkliste für KI-Vertriebstools beantwortet, ob ein solches Werkzeug DSGVO-konform ist. Für Agenturen und Dienstleister mit vielen individuellen Angeboten gibt es eine eigene Seite zu B2B-Dienstleistungen. Sie können den Prozess 14 Tage kostenlos mit Ihren eigenen Daten testen, ohne Kreditkarte und ohne eigenen API-Schlüssel. Die Testphase beginnt erst mit dem ersten erfolgreichen Datenimport. Die Tarife finden Sie in der Preisübersicht.