Datenschutz DSGVO Automatisierung

Automatisierung und Datenschutz: worauf Unternehmen achten müssen

Automatisierung und DSGVO schliessen sich nicht aus. Aber sie erfordern bewusste Entscheidungen bei Toolwahl, Datenfluss und Verarbeitung.

Jonas Rump 28. April 2026 10 Min. Lesezeit

Version 1.1 — Letzte Aktualisierung: April 2026

Automatisierung und Datenschutz (Automation & Data Privacy) lassen sich vereinbaren, wenn Unternehmen bei Toolwahl, Datenflüssen und Auftragsverarbeitung bewusste Entscheidungen treffen. Die DSGVO verbietet Automatisierung nicht — sie verlangt Transparenz, Datensparsamkeit und technische Schutzmassnahmen. Laut einer Bitkom-Studie sehen 78 % der deutschen Unternehmen Datenschutzanforderungen als Herausforderung bei der Digitalisierung, aber nur 12 % haben deshalb auf Automatisierung verzichtet (Quelle: Bitkom, Datenschutz in der Praxis, 2024).

Datenschutz ist einer der häufigsten Gründe, warum Unternehmen bei der Automatisierung zögern. Die Sorge ist verständlich: Wenn Daten automatisch zwischen Systemen fliessen, muss sichergestellt sein, dass das rechtskonform geschieht. Die gute Nachricht: Automatisierung und Datenschutz lassen sich sehr gut vereinbaren, wenn die richtigen Entscheidungen getroffen werden.

Warum ist Datenschutz bei Automatisierung besonders wichtig?

Automatisierung verarbeitet Daten. Häufig personenbezogene Daten: Kundennamen, E-Mail-Adressen, Rechnungsbeträge, Bestellhistorien. Sobald diese Daten automatisch zwischen Systemen übertragen werden, greifen die Vorschriften der DSGVO.

Das bedeutet nicht, dass Automatisierung problematisch ist. Es bedeutet, dass bestimmte Anforderungen erfüllt sein müssen:

Es muss eine Rechtsgrundlage für die Verarbeitung geben (Art. 6 DSGVO).
Die Daten dürfen nur für den definierten Zweck verwendet werden (Zweckbindung).
Es muss klar sein, wo die Daten gespeichert und verarbeitet werden (Transparenz).
Betroffene müssen informiert werden, wie ihre Daten verarbeitet werden (Informationspflicht).
Es müssen technische und organisatorische Massnahmen zum Schutz der Daten getroffen werden (TOM).

Laut dem Tätigkeitsbericht des Bundesdatenschutzbeauftragten 2024 betrafen 34 % der gemeldeten Datenpannen fehlerhafte automatisierte Datenübertragungen zwischen Systemen (Quelle: BfDI Tätigkeitsbericht, 2024). Gerade bei Automatisierung ist sorgfältige Planung also kein Nice-to-have, sondern Pflicht.

Welche Entscheidungen sind bei der Tool-Wahl entscheidend?

Wo werden die Daten verarbeitet?

Die zentrale Frage bei der Tool-Wahl. Viele Automatisierungsplattformen betreiben ihre Server in den USA. Das ist seit dem Wegfall des Privacy Shield datenschutzrechtlich problematisch, wenn personenbezogene Daten von EU-Bürgern verarbeitet werden.

Plattform	Serverstandort	DSGVO-Konformität	Selbst-Hosting möglich?
Make	EU (Prag)	Ja	Nein
n8n	EU oder selbst gehostet	Ja	Ja
Zapier	USA	Eingeschränkt (DPA verfügbar)	Nein
Microsoft Power Automate	EU-Rechenzentren wählbar	Ja	Nein

Empfehlung: Wählen Sie Plattformen mit Serverstandort in der EU. Alternativ bieten selbstgehostete Lösungen wie n8n die volle Kontrolle über den Datenstandort.

Welche Daten fliessen wohin?

In einem automatisierten Workflow werden häufig Daten zwischen mehreren Systemen übertragen. Für jeden einzelnen Datenfluss muss klar sein:

Welche Daten werden übertragen?
Ist die Übertragung für den definierten Zweck notwendig?
Werden nur die minimal erforderlichen Daten übertragen (Datensparsamkeit)?

Ein typischer Fehler: Wenn ein CRM-Kontakt automatisch an ein E-Mail-Marketing-Tool übertragen wird, werden oft alle Felder synchronisiert, auch solche, die für das Marketing gar nicht relevant sind. Datensparsamkeit bedeutet, nur die Felder zu übertragen, die tatsächlich benötigt werden.

Wer hat Zugriff auf automatisierte Workflows?

Automatisierte Workflows arbeiten in der Regel mit technischen Benutzerkonten oder API-Schlüsseln. Diese Zugänge müssen sicher verwaltet werden:

Zugangsdaten verschlüsselt speichern.
Berechtigungen auf das Minimum beschränken (Least Privilege Principle).
Regelmässig prüfen, welche Integrationen aktiv sind.
Nicht mehr benötigte Verbindungen deaktivieren.

Wie regelt man die Auftragsverarbeitung richtig?

Wenn ein externer Dienstleister, also auch eine Cloud-Automatisierungsplattform, personenbezogene Daten in Ihrem Auftrag verarbeitet, ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO erforderlich. Die meisten etablierten Plattformen bieten diesen standardmässig an.

Prüfen Sie vor Vertragsabschluss:

Ist der AVV DSGVO-konform formuliert?
Werden Unterauftragnehmer (Sub-Prozessoren) transparent aufgelistet?
Gibt es klare Regelungen für Datenpannen (Meldung innerhalb von 72 Stunden)?
Ist eine Auditmöglichkeit vorgesehen?

Meiner Erfahrung nach übersehen viele Unternehmen die Sub-Prozessoren-Liste. Eine Automatisierungsplattform nutzt oft weitere Dienste im Hintergrund — Cloud-Speicher, E-Mail-Versand, Analyse. Jeder dieser Dienste verarbeitet potenziell Ihre Daten und muss im AVV berücksichtigt sein.

Welche Einwilligungen und Informationspflichten gelten?

Wenn Automatisierung personenbezogene Daten von Kunden verarbeitet, müssen diese darüber informiert werden. Das geschieht in der Regel über die Datenschutzerklärung auf Ihrer Website.

Stellen Sie sicher, dass Ihre Datenschutzerklärung folgende Punkte abdeckt:

Welche Daten werden erfasst?
Zu welchem Zweck?
Welche Systeme und Dienstleister sind beteiligt?
Wie lange werden die Daten gespeichert?
Welche Rechte haben Betroffene (Auskunft, Löschung, Widerspruch)?

Wenn Sie neue Automatisierungen einführen, die zusätzliche Systeme einbinden, muss die Datenschutzerklärung entsprechend aktualisiert werden. Laut einer DSGVO-Umfrage von Capterra aktualisieren nur 41 % der KMU ihre Datenschutzerklärung nach der Einführung neuer Tools (Quelle: Capterra DSGVO-Report, 2024).

Welche technischen Schutzmassnahmen sind notwendig?

Verschlüsselung

Daten sollten sowohl bei der Übertragung (Transport-Verschlüsselung via HTTPS/TLS) als auch bei der Speicherung (Verschlüsselung at rest) geschützt sein. Die meisten seriösen Plattformen bieten beides standardmässig.

Zugriffskontrolle

Beschränken Sie den Zugriff auf automatisierte Workflows auf die Personen, die ihn tatsächlich brauchen. Nicht jeder im Team muss jeden Workflow sehen oder bearbeiten können.

Protokollierung

Automatisierte Prozesse sollten protokolliert werden: Welche Daten wurden wann wohin übertragen? Im Falle einer Datenpanne oder Prüfung ist diese Dokumentation entscheidend. Die DSGVO verlangt, dass Sie nachweisen können, welche Daten wann verarbeitet wurden (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO).

Löschkonzept

Personenbezogene Daten dürfen nicht unbegrenzt gespeichert werden. Planen Sie von Anfang an automatische Löschroutinen ein. Daten, die nicht mehr benötigt werden, müssen gelöscht werden, auch in allen verbundenen Systemen. Eine automatisierte Löschroutine stellt sicher, dass dies nicht vergessen wird.

Fazit

Datenschutz ist kein Hindernis für Automatisierung. Er ist eine Rahmenbedingung, die bei der Planung berücksichtigt werden muss. EU-basierte Plattformen, Datensparsamkeit, saubere AVVs und klare Zugriffskontrollen lösen die meisten Anforderungen. Wer diese Punkte von Anfang an mitdenkt, automatisiert nicht nur effizient, sondern auch rechtskonform. Der Aufwand für datenschutzkonforme Automatisierung ist gering verglichen mit dem Risiko einer Datenpanne oder eines Bussgeldes.

Häufig gestellte Fragen

Darf ich personenbezogene Kundendaten automatisch zwischen Systemen synchronisieren? Ja, sofern eine Rechtsgrundlage vorliegt (z. B. Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO), ein AVV mit allen beteiligten Dienstleistern besteht und die Datenschutzerklärung die Systeme benennt.

Welche Automatisierungsplattform ist am DSGVO-konformsten? Plattformen mit EU-Serverstandort wie Make (Prag) oder selbst gehostete Lösungen wie n8n bieten die höchste Kontrolle. Entscheidend ist nicht nur der Serverstandort, sondern auch die Sub-Prozessoren und der AVV.

Brauche ich für jede Automatisierung einen eigenen AVV? Nein. Der AVV wird pro Dienstleister abgeschlossen, nicht pro Workflow. Wenn Sie Make für zehn verschiedene Automatisierungen nutzen, genügt ein AVV mit Make.

Was passiert bei einer Datenpanne in einem automatisierten Workflow? Sie müssen die Panne innerhalb von 72 Stunden an die zuständige Datenschutzbehörde melden, sofern ein Risiko für die betroffenen Personen besteht. Protokollierung hilft, den Umfang schnell einzuschätzen.

Muss ich meine Mitarbeitenden über automatisierte Datenverarbeitung informieren? Ja. Auch intern gilt die Informationspflicht. Mitarbeitende müssen wissen, welche ihrer Daten wie verarbeitet werden. Das betrifft z. B. automatisierte Zeiterfassung oder Workflow-Protokolle.

Kann ich mit US-basierten Tools DSGVO-konform automatisieren? Unter bestimmten Voraussetzungen ja, wenn ein Data Processing Agreement (DPA) mit EU-Standardvertragsklauseln besteht und Sie ein Transfer Impact Assessment durchgeführt haben. In der Praxis ist es einfacher, EU-basierte Alternativen zu wählen.