Automatisierung & DSGVO: Was Sie bei der Datenverarbeitung beachten müssen

Die Digitalisierung schreitet voran, und mit ihr wächst der Druck, repetitive Aufgaben durch Automatisierung effizienter zu gestalten. Ob Kundendaten in CRM-Systemen, personalisierte Marketingkampagnen oder HR-Prozesse – fast jedes Unternehmen im DACH-Raum nutzt mittlerweile Tools, die Daten automatisch verarbeiten. Doch genau hier beginnt das Dilemma: Wie lassen sich Zeitersparnis und rechtliche Sicherheit unter einen Hut bringen? Die Datenschutz-Grundverordnung (DSGVO) stellt klare Anforderungen an die Verarbeitung personenbezogener Daten – und diese gelten selbstverständlich auch für automatisierte Abläufe.

Der Knackpunkt liegt darin, dass viele Unternehmen Automatisierung mit „Set-and-Forget“ gleichsetzen. Doch wer personenbezogene Daten verarbeitet, trägt auch dann die Verantwortung, wenn ein Algorithmus oder eine Software die Arbeit übernimmt. Die gute Nachricht: Mit dem richtigen Ansatz müssen Sie nicht zwischen Compliance und Effizienz wählen. Dieser Artikel zeigt Ihnen, worauf Sie achten müssen, um automatisierte Datenverarbeitung DSGVO-konform zu gestalten – speziell zugeschnitten auf die Besonderheiten in Deutschland, Österreich und der Schweiz.

Warum Automatisierung und DSGVO oft aufeinandertreffen

Automatisierte Datenverarbeitung ist längst kein Nischenthema mehr. Von der Lead-Generierung über die Gehaltsabrechnung bis hin zur Kundenkommunikation: Überall dort, wo personenbezogene Daten eine Rolle spielen, kommen Tools wie Zapier, HubSpot, Salesforce oder selbstentwickelte Skripte zum Einsatz. Doch genau diese Tools bergen Risiken, wenn sie nicht korrekt konfiguriert oder dokumentiert werden.

Die DSGVO verlangt in Artikel 5, dass personenbezogene Daten „rechtmäßig, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise“ verarbeitet werden. Automatisierte Prozesse machen diese Nachvollziehbarkeit jedoch oft undurchsichtig. Wer kann schon auf Anhieb erklären, wie ein KI-gestütztes Lead-Scoring-System entscheidet, welche Kontakte priorisiert werden? Oder welche Daten ein Chatbot speichert, wenn er Kundenanfragen bearbeitet?

Hinzu kommt, dass die Aufsichtsbehörden im DACH-Raum – allen voran der Bayerische Landesbeauftragte für den Datenschutz oder die Österreichische Datenschutzbehörde – in den letzten Jahren vermehrt Prüfungen durchführen, sobald es um automatisierte Entscheidungsfindung geht. Bußgelder von mehreren Zehntausend Euro sind keine Seltenheit, wenn Unternehmen ihre Sorgfaltspflichten vernachlässigen. Doch es geht nicht nur um Strafen: Vertrauen ist das neue Kapital – und wer nachlässig mit Kundendaten umgeht, riskiert langfristig seine Reputation.

Die größten Stolpersteine bei der automatisierten Datenverarbeitung

Viele Unternehmen unterschätzen, wie viele Berührungspunkte ihre Automatisierungslösungen mit der DSGVO haben. Drei zentrale Herausforderungen gilt es besonders im Blick zu behalten:

1. Fehlende Transparenz über Datenflüsse

Automatisierte Systeme arbeiten oft im Hintergrund – und genau das wird zum Problem. Die DSGVO verlangt in Artikel 13 und 14, dass Betroffene klar und verständlich darüber informiert werden, welche Daten erhoben werden, zu welchem Zweck und wie lange sie gespeichert bleiben. Doch wenn ein Tool beispielsweise automatisch E-Mail-Adressen aus Webformularen in eine Newsletter-Datenbank überträgt, ohne dass der Nutzer dies explizit bestätigt, liegt bereits ein Verstoß vor.

Besonders kritisch wird es, wenn Daten an Drittanbieter weitergegeben werden – etwa an Cloud-Dienste wie AWS oder Google Analytics. Hier müssen Sie nicht nur sicherstellen, dass die Datenübertragung verschlüsselt erfolgt, sondern auch, dass der Drittanbieter selbst DSGVO-konform arbeitet. Standardvertragsklauseln (SCC) oder ein Angemessenheitsbeschluss der EU-Kommission sind hier unverzichtbar, besonders seit dem Schrems-II-Urteil.

2. Automatisierte Entscheidungen ohne menschliche Kontrolle

Ein klassisches Beispiel ist das Profiling – also die automatisierte Analyse von Nutzerverhalten, um Vorhersagen zu treffen (z. B. Kreditwürdigkeit oder Kaufinteressen). Die DSGVO räumt Betroffenen in Artikel 22 ein Recht auf menschliche Überprüfung ein, wenn automatisierte Entscheidungen „rechtliche oder ähnlich schwerwiegende Auswirkungen“ haben. Doch in der Praxis wird dieses Recht oft ignoriert.

Stellen Sie sich vor, ein Bewerbermanagement-Tool filtert automatisch Bewerbungen nach bestimmten Kriterien – und lehnt Kandidaten ab, ohne dass ein Mensch die Entscheidung nachvollzieht. Selbst wenn das System „objektiv“ arbeitet, kann dies zu Diskriminierung führen und ist ohne entsprechende Safeguards rechtswidrig. Dokumentieren Sie daher immer, wie automatisierte Entscheidungen zustande kommen, und bieten Sie Betroffenen die Möglichkeit, Widerspruch einzulegen.

3. Unklare Verantwortlichkeiten bei Tools und Dienstleistern

Viele Unternehmen nutzen SaaS-Lösungen (Software as a Service), bei denen unklar ist, wer für die DSGVO-Compliance zuständig ist. Sind Sie der Verantwortliche (Controller) oder der Auftragsverarbeiter (Processor)? Diese Unterscheidung ist entscheidend, denn sie bestimmt, wer welche Pflichten hat.

Ein typisches Szenario: Ein Unternehmen nutzt einen E-Mail-Marketing-Dienst wie Mailchimp. Hier ist das Unternehmen selbst der Verantwortliche, während Mailchimp als Auftragsverarbeiter fungiert. Das bedeutet, Sie müssen sicherstellen, dass:

Ein AV-Vertrag (Auftragsverarbeitungsvertrag) mit dem Anbieter besteht.
Die Daten nur für die vereinbarten Zwecke genutzt werden.
Betroffene ihre Rechte (z. B. Löschung, Auskunft) auch gegenüber dem Dienstleister durchsetzen können.

In der Schweiz gilt zwar nicht die DSGVO, aber das revidierte Datenschutzgesetz (nDSG), das seit September 2023 ähnliche Anforderungen stellt. Unternehmen, die sowohl in der EU als auch in der Schweiz aktiv sind, müssen beide Regelwerke beachten – was die Komplexität erhöht.

Praktische Maßnahmen: So bleiben Sie compliant

Theorie ist das eine – doch wie setzt man die Anforderungen konkret um? Hier sind die wichtigsten Schritte, um automatisierte Datenverarbeitung DSGVO-konform zu gestalten:

Schritt 1: Datenverarbeitung von Anfang an dokumentieren

Ein Verzeichnis von Verarbeitungstätigkeiten (VVT) ist nach Artikel 30 DSGVO für die meisten Unternehmen Pflicht. Doch viele behandeln es als lästige Pflichtübung. Dabei ist das VVT Ihr bester Freund, wenn es um Automatisierung geht. Dokumentieren Sie für jeden automatisierten Prozess:

Welche Daten werden verarbeitet (z. B. Name, E-Mail, IP-Adresse)?
Zu welchem Zweck (z. B. Lead-Qualifizierung, Vertragsabwicklung)?
Wie lange werden die Daten gespeichert?
Welche Tools/Dienstleister sind beteiligt?

Ein praktisches Beispiel: Wenn Sie ein Chatbot-Tool wie ManyChat nutzen, um Kundenanfragen zu beantworten, müssen Sie im VVT festhalten, dass der Chatbot Nutzerinputs speichert – und wie lange. Gleichzeitig müssen Sie sicherstellen, dass Nutzer über diese Speicherung informiert werden (z. B. durch einen Hinweis im Chatfenster).

Schritt 2: Datenschutz durch Technikgestaltung („Privacy by Design“)

Die DSGVO verlangt in Artikel 25, dass Datenschutz bereits bei der Entwicklung von Prozessen berücksichtigt wird. Für automatisierte Systeme bedeutet das:

Datenminimierung: Erheben Sie nur die Daten, die Sie wirklich benötigen. Wenn ein Newsletter-Tool nur die E-Mail-Adresse braucht, warum dann auch noch den Geburtsort abfragen?
Standardmäßige Verschlüsselung: Stellen Sie sicher, dass Daten sowohl bei der Übertragung (z. B. via TLS) als auch im Ruhezustand (z. B. durch AES-256) verschlüsselt werden.
Automatische Löschroutinen: Viele Tools speichern Daten endlos – doch die DSGVO verlangt, dass personenbezogene Daten gelöscht werden, sobald ihr Zweck erfüllt ist. Nutzen Sie Funktionen wie „Auto-Delete“ in CRM-Systemen oder setzen Sie manuelle Prüfungen ein.

Ein konkretes Beispiel aus der Praxis: Wenn Sie ein Marketing-Automatisierungstool wie ActiveCampaign nutzen, sollten Sie sicherstellen, dass Kontakte, die sich abmelden, nicht nur aus der E-Mail-Liste entfernt, sondern auch aus allen damit verknüpften Datenbanken gelöscht werden.

Schritt 3: Betroffenenrechte technisch umsetzen

Automatisierte Systeme dürfen die Rechte der Betroffenen nicht einschränken. Das bedeutet:

Auskunftsersuchen müssen auch dann bearbeitet werden können, wenn Daten in verschiedenen Tools verstreut sind. Nutzen Sie ggf. APIs, um Daten aus unterschiedlichen Systemen (z. B. Shopify, HubSpot, Zapier) zusammenzuführen.
Löschanfragen müssen vollständig umgesetzt werden – also nicht nur in der Hauptdatenbank, sondern auch in Backups oder Logfiles.
Widerspruchsrecht bei Profiling: Wenn Nutzer nicht wollen, dass ihre Daten für personalisierte Werbung genutzt werden, müssen Sie dies technisch abbilden können (z. B. durch Opt-out-Cookies oder manuelle Flags in der Datenbank).

In der Schweiz ist das Recht auf Datenportabilität (Art. 20 DSGVO / Art. 28 nDSG) besonders relevant, da viele Nutzer ihre Daten zu anderen Anbietern mitnehmen wollen. Stellen Sie sicher, dass Ihre Systeme Daten in einem gängigen Format (z. B. CSV, JSON) exportieren können.

Schritt 4: Regelmäßige Überprüfung und Anpassung

DSGVO-Compliance ist kein einmaliger Akt, sondern ein kontinuierlicher Prozess. Besonders bei automatisierten Systemen gilt:

Prüfen Sie regelmäßig, ob sich Datenflüsse geändert haben (z. B. durch Updates eines Tools).
Führen Sie Datenschutz-Folgenabschätzungen (DSFA) durch, wenn neue Automatisierungsprozesse eingeführt werden, die ein hohes Risiko für Betroffene bergen (z. B. KI-basierte Bonitätsprüfungen).
Schulen Sie Ihre Mitarbeiter, die mit automatisierten Tools arbeiten. Oft entstehen Compliance-Lücken nicht durch die Technik, sondern durch falsche Bedienung.

Fazit: Automatisierung und DSGVO müssen kein Widerspruch sein

Automatisierung bietet enorme Chancen – doch wer sie blind einsetzt, riskiert nicht nur Bußgelder, sondern auch das Vertrauen seiner Kunden. Die gute Nachricht: Mit einer strukturierten Herangehensweise lassen sich effiziente Prozesse und Datenschutz sehr wohl vereinen. Die wichtigsten Stellschrauben sind:

Transparenz über alle Datenflüsse – von der Erhebung bis zur Löschung.
Technische Safeguards, die Datenschutz von Anfang an berücksichtigen.
Klare Verantwortlichkeiten, besonders bei der Zusammenarbeit mit Drittanbietern.
Kontinuierliche Überprüfung, um auf Änderungen in Tools oder Gesetzen zu reagieren.

Im DACH-Raum kommt erschwerend hinzu, dass die Auslegung der DSGVO in Deutschland, Österreich und der Schweiz teilweise unterschiedlich ist. Während deutsche Behörden beispielsweise sehr streng auf Cookie-Banner und Einwilligungen achten, legt die Schweiz mehr Wert auf Datenexport-Kontrollen. Wer hier sicher navigieren will, sollte sich entweder tiefgehend einarbeiten – oder externe Expertise hinzuziehen.

Sie wollen sicherstellen, dass Ihre Automatisierungsprozesse DSGVO-konform sind?

Ob CRM-Systeme, KI-Tools oder Marketing-Automatisierung: Wir helfen Ihnen, rechtssichere Lösungen zu entwickeln, die gleichzeitig Ihre Effizienz steigern. Vereinbaren Sie ein unverbindliches Kontaktgespräch und klären Sie, wo in Ihren Prozessen Handlungsbedarf besteht.