Automatisierung und Datenschutz: worauf Unternehmen achten müssen

Automatisierung und Datenschutz (Automation & Data Privacy) lassen sich vereinbaren, wenn Unternehmen bei Toolwahl, Datenflüssen und Auftragsverarbeitung bewusste Entscheidungen treffen. Die DSGVO verbietet Automatisierung nicht — sie verlangt Transparenz, Datensparsamkeit und technische Schutzmaßnahmen. Laut einer Bitkom-Umfrage (Oktober 2024) warnen 70 % der Unternehmen in Deutschland, dass der Datenschutz die Digitalisierung hemmt. In 63 % der Unternehmen sind im Jahr davor innovative Projekte an Datenschutzvorgaben gescheitert oder gar nicht erst gestartet worden.

Datenschutz ist also einer der häufigsten Gründe, warum Unternehmen bei der Automatisierung zögern. Die Sorge ist verständlich: Wenn Daten automatisch zwischen Systemen fließen, muss sichergestellt sein, dass das rechtskonform geschieht. Die gute Nachricht: Automatisierung und Datenschutz lassen sich sehr gut vereinbaren, wenn die richtigen Entscheidungen getroffen werden.

Warum ist Datenschutz bei Automatisierung besonders wichtig?

Automatisierung verarbeitet Daten. Häufig personenbezogene Daten: Kundennamen, E-Mail-Adressen, Rechnungsbeträge, Bestellhistorien. Sobald diese Daten automatisch zwischen Systemen übertragen werden, greifen die Vorschriften der DSGVO.

Das bedeutet nicht, dass Automatisierung problematisch ist. Es bedeutet, dass bestimmte Anforderungen erfüllt sein müssen:

• Es muss eine Rechtsgrundlage für die Verarbeitung geben (Art. 6 DSGVO).
• Die Daten dürfen nur für den definierten Zweck verwendet werden (Zweckbindung).
• Es muss klar sein, wo die Daten gespeichert und verarbeitet werden (Transparenz).
• Betroffene müssen informiert werden, wie ihre Daten verarbeitet werden (Informationspflicht).
• Es müssen technische und organisatorische Maßnahmen zum Schutz der Daten getroffen werden (TOM).

In der Praxis entstehen die meisten Probleme nicht durch Angriffe von außen. Sie entstehen durch Workflows, die mehr Daten übertragen als nötig — oder an eine Adresse, die niemand mehr prüft. Gerade bei Automatisierung ist sorgfältige Planung also kein Nice-to-have, sondern Pflicht.

Welche Entscheidungen sind bei der Tool-Wahl entscheidend?

Wo werden die Daten verarbeitet?

Die zentrale Frage bei der Tool-Wahl. Viele Automatisierungsplattformen betreiben ihre Server in den USA. Seit dem Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework vom 10. Juli 2023 ist die Übermittlung an zertifizierte US-Unternehmen wieder ohne zusätzliche Instrumente möglich, wie der Bundesbeauftragte für den Datenschutz (BfDI) erläutert. Voraussetzung ist, dass der Anbieter tatsächlich unter dem Framework zertifiziert ist — das musst du vorab prüfen.

Plattform	Datenstandort	Hinweis	Selbst-Hosting möglich?
Make	EU oder USA, beim Anlegen der Organisation wählbar (Make Help Center)	Standort lässt sich nachträglich nicht ändern	Nein
n8n	Cloud: EU auf Microsoft-Azure-Infrastruktur (n8n Security)	AVV mit Standardvertragsklauseln; alternativ eigener Server	Ja
Zapier	USA	Unter dem EU-US Data Privacy Framework zertifiziert (Zapier)	Nein
Microsoft Power Automate	EU-Rechenzentren wählbar	Teil von Microsoft 365, AVV über Microsoft	Nein

Empfehlung: Wähle Plattformen mit Datenstandort in der EU, wo du die Wahl hast. Bei Make heißt das konkret: die Organisation von Anfang an in der EU-Region anlegen. Selbst gehostete Lösungen wie n8n geben dir die volle Kontrolle über den Datenstandort — und die volle Verantwortung für Updates und Backups.

Welche Daten fließen wohin?

In einem automatisierten Workflow werden häufig Daten zwischen mehreren Systemen übertragen. Für jeden einzelnen Datenfluss muss klar sein:

• Welche Daten werden übertragen?
• Ist die Übertragung für den definierten Zweck notwendig?
• Werden nur die minimal erforderlichen Daten übertragen (Datensparsamkeit)?

Ein typischer Fehler: Wenn ein CRM-Kontakt automatisch an ein E-Mail-Marketing-Tool übertragen wird, werden oft alle Felder synchronisiert. Auch solche, die für das Marketing gar nicht relevant sind. Datensparsamkeit bedeutet, nur die Felder zu übertragen, die tatsächlich benötigt werden. Das gilt auch für KI-gestützte Belegverarbeitung: Wer KI in der Buchhaltung einsetzt, sollte vorab klären, welche Rechnungs- und Kontaktdaten das System tatsächlich sehen muss.

Wer hat Zugriff auf automatisierte Workflows?

Automatisierte Workflows arbeiten in der Regel mit technischen Benutzerkonten oder API-Schlüsseln. Diese Zugänge müssen sicher verwaltet werden:

• Zugangsdaten verschlüsselt speichern.
• Berechtigungen auf das Minimum beschränken (Least Privilege Principle).
• Regelmäßig prüfen, welche Integrationen aktiv sind.
• Nicht mehr benötigte Verbindungen deaktivieren.

Wie regelt man die Auftragsverarbeitung richtig?

Wenn ein externer Dienstleister, also auch eine Cloud-Automatisierungsplattform, personenbezogene Daten in deinem Auftrag verarbeitet, ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO erforderlich. Die meisten etablierten Plattformen bieten diesen standardmäßig an.

Prüfe vor Vertragsabschluss:

• Ist der AVV DSGVO-konform formuliert?
• Werden Unterauftragnehmer (Sub-Prozessoren) transparent aufgelistet?
• Gibt es klare Regelungen für Datenpannen (Meldung innerhalb von 72 Stunden nach Art. 33 DSGVO)?
• Ist eine Auditmöglichkeit vorgesehen?

Meiner Erfahrung nach übersehen viele Unternehmen die Sub-Prozessoren-Liste. Eine Automatisierungsplattform nutzt oft weitere Dienste im Hintergrund — Cloud-Speicher, E-Mail-Versand, Analyse. Jeder dieser Dienste verarbeitet potenziell deine Daten und muss im AVV berücksichtigt sein.

Welche Einwilligungen und Informationspflichten gelten?

Wenn Automatisierung personenbezogene Daten von Kunden verarbeitet, müssen diese darüber informiert werden. Das geschieht in der Regel über die Datenschutzerklärung auf deiner Website.

Stelle sicher, dass deine Datenschutzerklärung folgende Punkte abdeckt:

• Welche Daten werden erfasst?
• Zu welchem Zweck?
• Welche Systeme und Dienstleister sind beteiligt?
• Wie lange werden die Daten gespeichert?
• Welche Rechte haben Betroffene (Auskunft, Löschung, Widerspruch)?

Wenn du neue Automatisierungen einführst, die zusätzliche Systeme einbinden, muss die Datenschutzerklärung entsprechend aktualisiert werden. In unseren Projekten ist das fast immer der Punkt, der zuletzt erledigt wird — oft erst, wenn jemand nachfragt. Besser ist es, die Aktualisierung als festen Schritt in jede Einführung einzuplanen.

Was gehört ins Verarbeitungsverzeichnis, wenn Workflows laufen?

Die DSGVO verlangt in Art. 30 ein Verzeichnis von Verarbeitungstätigkeiten. Für Unternehmen mit weniger als 250 Mitarbeitenden gibt es Ausnahmen, die aber selten greifen, sobald regelmäßig Kundendaten verarbeitet werden. Jeder automatisierte Workflow, der personenbezogene Daten bewegt, gehört in dieses Verzeichnis.

Pro Workflow reichen wenige Zeilen: Zweck, betroffene Personengruppen, Datenkategorien, beteiligte Systeme und Dienstleister, Löschfrist. Der Vorteil dieser Übung geht über die Pflicht hinaus. Wer sie einmal für alle Workflows gemacht hat, sieht auf einen Blick, wo Daten unnötig doppelt liegen.

Welche technischen Schutzmaßnahmen sind notwendig?

Verschlüsselung

Daten sollten sowohl bei der Übertragung (Transport-Verschlüsselung via HTTPS/TLS) als auch bei der Speicherung (Verschlüsselung at rest) geschützt sein. Die meisten seriösen Plattformen bieten beides standardmäßig.

Zugriffskontrolle

Beschränke den Zugriff auf automatisierte Workflows auf die Personen, die ihn tatsächlich brauchen. Nicht jeder im Team muss jeden Workflow sehen oder bearbeiten können.

Protokollierung

Automatisierte Prozesse sollten protokolliert werden: Welche Daten wurden wann wohin übertragen? Im Falle einer Datenpanne oder Prüfung ist diese Dokumentation entscheidend. Die DSGVO verlangt, dass du nachweisen kannst, welche Daten wann verarbeitet wurden (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO).

Löschkonzept

Personenbezogene Daten dürfen nicht unbegrenzt gespeichert werden. Plane von Anfang an automatische Löschroutinen ein. Daten, die nicht mehr benötigt werden, müssen gelöscht werden, auch in allen verbundenen Systemen. Eine automatisierte Löschroutine stellt sicher, dass das nicht vergessen wird.

Kommentar von Jonas Rump

Ich werde in fast jedem Erstgespräch gefragt, ob Automatisierung „datenschutzrechtlich überhaupt geht”. Meine Antwort ist seit Jahren dieselbe: Ja — und meist ist der automatisierte Prozess am Ende sauberer als der manuelle davor. Denn wer einen Workflow baut, muss jeden Datenfluss einmal bewusst festlegen. Beim Weiterleiten per E-Mail denkt darüber niemand nach.

Ein Beispiel aus einem Projekt: Bei einer Spedition läuft die Spesenabrechnung heute automatisch — mobile Erfassung durch die Fahrer, automatische Berechnung, Übergabe an die Buchhaltung. Das sind Mitarbeiterdaten: Reisezeiten, Belege, Orte. Genau deshalb haben wir vor dem Bau festgelegt, welche Felder die Abrechnung wirklich braucht und wer sie sehen darf. Die Fahrer wurden informiert, bevor die erste Erfassung lief. Das hat zwei Tage gekostet und seitdem keine einzige Nachfrage ausgelöst.

Meine ehrliche Einschränkung: Ich bin Automatisierungsberater, kein Anwalt. Bei Sonderfällen — Gesundheitsdaten, Bewerberdaten, Videoaufnahmen — gehört der Datenschutzbeauftragte oder eine Kanzlei an den Tisch, bevor ich den ersten Workflow baue. Und „DSGVO-konform” ist keine Eigenschaft eines Tools. Es ist eine Eigenschaft eures Prozesses drumherum.

Deshalb mein Rat: Selbst gehostetes n8n klingt nach maximaler Kontrolle, und das stimmt auch. Aber die Verantwortung für Updates, Backups und Zugriffsrechte liegt dann komplett bei euch. Wer dafür niemanden hat, fährt mit einer EU-Cloud und einem sauberen AVV oft sicherer.

Fazit

Datenschutz ist kein Hindernis für Automatisierung. Er ist eine Rahmenbedingung, die bei der Planung berücksichtigt werden muss. EU-basierte Plattformen, Datensparsamkeit, saubere AVVs und klare Zugriffskontrollen lösen die meisten Anforderungen. Wer diese Punkte von Anfang an mitdenkt, automatisiert nicht nur effizient, sondern auch rechtskonform.

Der Aufwand für datenschutzkonforme Automatisierung ist gering verglichen mit dem Risiko einer Datenpanne oder eines Bußgeldes. Wie du unter diesen Rahmenbedingungen deine Geschäftsprozesse automatisieren kannst, zeigt unser Praxis-Guide — und wer Wert auf eine DSGVO-freundliche Umsetzung mit selbst gehosteten Automatisierungs-Plattformen legt, findet dort den passenden Einstieg.

---

Häufig gestellte Fragen

Darf ich personenbezogene Kundendaten automatisch zwischen Systemen synchronisieren? Ja, sofern eine Rechtsgrundlage vorliegt (z. B. Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO), ein AVV mit allen beteiligten Dienstleistern besteht und die Datenschutzerklärung die Systeme benennt.

Welche Automatisierungsplattform ist am DSGVO-konformsten? Plattformen mit EU-Datenstandort wie Make (EU-Region) oder n8n (EU-Cloud oder selbst gehostet) bieten die höchste Kontrolle. Entscheidend ist nicht nur der Serverstandort, sondern auch die Sub-Prozessoren und der AVV.

Brauche ich für jede Automatisierung einen eigenen AVV? Nein. Der AVV wird pro Dienstleister abgeschlossen, nicht pro Workflow. Wenn du Make für zehn verschiedene Automatisierungen nutzt, genügt ein AVV mit Make.

Was passiert bei einer Datenpanne in einem automatisierten Workflow? Du musst die Panne innerhalb von 72 Stunden an die zuständige Datenschutzbehörde melden, sofern ein Risiko für die betroffenen Personen besteht (Art. 33 DSGVO). Protokollierung hilft, den Umfang schnell einzuschätzen.

Muss ich meine Mitarbeitenden über automatisierte Datenverarbeitung informieren? Ja. Auch intern gilt die Informationspflicht. Mitarbeitende müssen wissen, welche ihrer Daten wie verarbeitet werden. Das betrifft z. B. automatisierte Zeiterfassung, Spesenabrechnung oder Workflow-Protokolle.

Kann ich mit US-basierten Tools DSGVO-konform automatisieren? Ja, wenn der Anbieter unter dem EU-US Data Privacy Framework zertifiziert ist oder ein AVV mit EU-Standardvertragsklauseln vorliegt. Prüfe die Zertifizierung vor Vertragsabschluss. In der Praxis ist es einfacher, EU-Datenstandorte zu wählen, wo der Anbieter sie anbietet.

Quellen

• Bitkom e. V.: „Datenschutz: Aufwand für Unternehmen nimmt zu”, Presseinformation, 1. Oktober 2024 — bitkom.org
• Europäische Union: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 5, 6, 28, 30 und 33 — eur-lex.europa.eu
• Bundesbeauftragter für den Datenschutz und die Informationsfreiheit: „Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework in Kraft getreten”, 2023 — bfdi.bund.de
• Make: „Organizations” (Wahl des Rechenzentrums EU/US), Make Help Center, abgerufen August 2026 — help.make.com
• n8n: „Security” (Hosting der n8n Cloud in der EU), n8n GmbH, abgerufen August 2026 — n8n.io
• Zapier: „Data Privacy Framework”, Zapier Inc., abgerufen August 2026 — zapier.com

Verwandte Artikel: Datenintegration leicht gemacht: so verbindest du deine Systeme effizient, Welche Automatisierungstools lohnen sich für Unternehmen?, Die größten Fehler bei der Automatisierung und wie man sie vermeidet