DSGVO und Automatisierung: Was Sie bei CRM, E-Mail und KI beachten müssen

Automatisierung und DSGVO sind kein Widerspruch – Sie müssen nur sieben Grundregeln beachten. Die meisten Automatisierungstools (HubSpot, Make, n8n, Brevo) bieten eingebaute DSGVO-Features. Wenn Sie sie richtig konfigurieren, sind Sie rechtlich sicher und sparen trotzdem Zeit. Dieser Guide zeigt Ihnen, was bei CRM, E-Mail-Marketing, KI-Tools und Chatbots zu beachten ist.

Die DSGVO verunsichert viele Unternehmer so sehr, dass sie auf Automatisierung verzichten. Das ist unnötig. Die Verordnung verbietet nicht die Verarbeitung von Daten – sie reguliert, wie Sie es tun. Mit den richtigen Einstellungen automatisieren Sie rechtskonform und profitieren trotzdem von allen Vorteilen.

Regel 1: Rechtsgrundlage für jede Verarbeitung

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage. Die drei relevantesten für Automatisierung: Einwilligung (Art. 6 Abs. 1a) für Marketing-E-Mails, Newsletter und Tracking. Vertragserfüllung (Art. 6 Abs. 1b) für CRM-Daten bestehender Kunden, Rechnungsstellung und Onboarding. Berechtigtes Interesse (Art. 6 Abs. 1f) für interne Prozessoptimierung, anonymisierte Analytics und B2B-Akquise.

Regel 2: Auftragsverarbeitungsverträge (AVVs)

Für jeden externen Dienst, der personenbezogene Daten verarbeitet, brauchen Sie einen AVV. Das betrifft: CRM-Anbieter (HubSpot, Pipedrive, Salesforce), E-Mail-Tools (Brevo, ActiveCampaign, Mailchimp), Automatisierungsplattformen (Make, Zapier, n8n Cloud), KI-Tools (OpenAI, Anthropic) und Cloud-Speicher (Google, Microsoft). Die gute Nachricht: Alle großen Anbieter bieten standardisierte AVVs an – meist als Klick-Vereinbarung in den Einstellungen.

Regel 3: E-Mail-Marketing rechtskonform automatisieren

Double Opt-in ist in Deutschland Pflicht für Newsletter und Marketing-Mails. Jede E-Mail braucht: Absenderidentifikation (Name, Adresse), Abmeldelink (ein Klick, keine Hürden), und Hinweis auf Datenschutzerklärung. Bei automatisierten Sequenzen: Wenn ein Kontakt sich abmeldet, müssen alle laufenden Sequenzen sofort stoppen. Tools wie Brevo und ActiveCampaign machen das automatisch.

Regel 4: CRM-Daten richtig handhaben

Im CRM gelten: Datensparsamkeit – speichern Sie nur, was Sie wirklich brauchen. Löschfristen – definieren Sie, wann Daten gelöscht werden (z.B. Kontakte ohne Interaktion seit 24 Monaten). Auskunftsrecht – Sie müssen innerhalb von 30 Tagen alle gespeicherten Daten eines Kontakts herausgeben können. HubSpot hat dafür ein eingebautes Feature: GDPR-Tools unter Settings → Privacy & Consent.

Regel 5: KI-Tools und Datenschutz

KI-Tools wie ChatGPT und Claude verarbeiten Ihre Eingaben. Regel: Geben Sie keine personenbezogenen Kundendaten in Consumer-KI-Tools ein. Nutzen Sie stattdessen Enterprise-Versionen (ChatGPT Enterprise, Claude for Work), die garantieren, dass Daten nicht für Training verwendet werden. Oder: Anonymisieren Sie Daten vor der Eingabe.

Regel 6: Chatbots DSGVO-konform betreiben

Chatbots auf Ihrer Website müssen: Nutzer informieren, dass sie mit einer KI sprechen (Transparenzpflicht), keine personenbezogenen Daten dauerhaft speichern (es sei denn mit Einwilligung), Cookie-Banner-Integration haben (wenn der Bot Cookies nutzt), und Datenschutzerklärung verlinken. Bei WhatsApp-Bots: Explizites Opt-in vor der ersten Nachricht einholen.

Regel 7: Dokumentation und Verarbeitungsverzeichnis

Nach Art. 30 DSGVO müssen Sie ein Verzeichnis aller Verarbeitungstätigkeiten führen. Für jede Automatisierung dokumentieren Sie: Welche Daten werden verarbeitet, warum (Rechtsgrundlage), wohin fließen sie (welche Tools), wer hat Zugriff, und wann werden sie gelöscht. Klingt aufwendig, ist aber mit einer einfachen Tabelle in 2-3 Stunden erledigt.

Checkliste: DSGVO-konforme Automatisierung

Für jedes neue Tool oder jede neue Automatisierung gehen Sie diese Punkte durch: AVV mit dem Anbieter abgeschlossen? Rechtsgrundlage für die Verarbeitung definiert? Datenschutzerklärung aktualisiert? Löschfristen festgelegt? Abmelde-Mechanismus funktioniert? Ins Verarbeitungsverzeichnis eingetragen?

Häufig gestellte Fragen

Muss ich für Make/n8n einen AVV abschließen?

Ja, wenn Sie personenbezogene Daten durch diese Tools schicken (was bei den meisten Automatisierungen der Fall ist). Make bietet einen AVV als Standard-DPA im Account. n8n Cloud ebenfalls. Bei n8n Self-Hosted entfällt der AVV mit n8n, aber Sie brauchen einen für Ihren Hosting-Anbieter.

Darf ich Kundendaten in Automatisierungen verwenden?

Ja, wenn Sie eine Rechtsgrundlage haben. Für bestehende Kunden ist Vertragserfüllung die Grundlage – Sie dürfen ihre Daten für Rechnungsstellung, Onboarding und Support-Kommunikation automatisiert verarbeiten. Für Marketing brauchen Sie die explizite Einwilligung.

Was passiert bei einem DSGVO-Verstoß?

Bußgelder können bis zu 20 Mio. Euro oder 4% des Jahresumsatzes betragen. In der Praxis werden KMU bei Erstverstößen meist verwarnt oder mit Bußgeldern im niedrigen vierstelligen Bereich belegt. Schwerwiegender ist oft der Reputationsschaden. Deshalb: Lieber einmal sauber aufsetzen als hinterher reparieren.