E-Mail-Automatisierung verarbeitet fast immer personenbezogene Daten. Namen, Adressen, Bestellungen und Vertragsinhalte in Mails unterliegen der DSGVO. Vor KI-Triage oder automatischem Routing brauchen Sie eine Rechtsgrundlage, einen Auftragsverarbeitungsvertrag mit dem Dienstleister und eine Hosting-Entscheidung. Bei Nentix als Entwicklungspartner läuft produktive Verarbeitung auf IONOS in Deutschland, nicht in US-Cloud-Defaults. Das ersetzt keine Rechtsberatung, reduziert aber Übermittlungsrisiken gegenüber unkontrollierten SaaS-KI-Tools.
Welche Verarbeitungsschritte gibt es?
| Schritt | Daten | Typische Rechtsgrundlage |
|---|---|---|
| Einlesen Postfach | Absender, Inhalt, Anhänge | Vertrag oder berechtigtes Interesse |
| Klassifikation KI | Volltext zur Kategorie | Vertrag, ggf. Einwilligung bei Sensitiv |
| Routing | Weiterleitung an Mitarbeiter | Vertrag |
| Antwortentwurf | Generierung aus Inhalt | Vertrag |
| Logging | Metadaten, Fehler | Berechtigtes Interesse |
Artikel 6 DSGVO definiert die Rechtsgrundlagen. Die EU-Datenschutz-Grundverordnung ist die Primärquelle für Formulierungen im Verarbeitungsverzeichnis.
AVV und Auftragsverarbeitung
Wenn Nentix oder ein anderer Partner Mailinhalte im Auftrag verarbeitet, ist ein AVV Pflicht. Inhaltlich regeln Sie:
- Verarbeitungszweck und Dauer
- Kategorien betroffener Personen und Daten
- Technische und organisatorische Maßnahmen
- Unterauftragnehmer, zum Beispiel Hosting bei IONOS
- Löschkonzept und Auskunftsprozesse
Ohne AVV ist die Beauftragung für den Auftraggeber ein Haftungsrisiko, unabhängig von der technischen Qualität der Lösung.
Hosting und Datenübermittlung
Viele KI-Standardtools speichern oder verarbeiten in US-Regionen. Für Posteingang mit Kundendaten ist das ein Showstopper oder erfordert aufwendige Transfer-Mechanismen.
Unsere Architektur für Inbox-Triage nutzt IONOS in Deutschland. Details zu Self-Hosting und Souveränität finden Sie in n8n Self-Hosted DSGVO Deutschland. Für Wissens-KI parallel: RAG DSGVO Hosting Deutschland.
Vertiefung allgemein KI und Datenschutz: KI DSGVO-konform einsetzen und DSGVO Eingangsbelege KI im Beleg-Cluster.
Mitarbeiter, Transparenz und KI-Richtlinie
Automatisierung betrifft oft info@, auftrag@ oder support@, manchmal auch persönliche Postfächer mit Vertretungsregel. Mitarbeiter sollten wissen, dass KI klassifiziert oder Entwürfe erstellt. Eine interne KI-Richtlinie verhindert Schatten-IT mit privaten ChatGPT-Accounts.
Vorlage und Pflichten: KI-Richtlinie Unternehmen Vorlage und ChatGPT-Nutzung Mitarbeiter Regeln.
Löschfristen und Minimierung
Nur verarbeiten, was der Zweck braucht. Klassifikation kann auf Metadaten und gekürzte Snippets laufen, wenn Volltext im ERP nicht nötig ist. Logs für Fehleranalyse sollten rotierend und befristet sein, typisch 30 bis 90 Tage.
Anhänge mit Gesundheits-, Vertrags- oder Gehaltsdaten gehören nicht in generische KI-Pipelines ohne Risikoanalyse. Dann separate Kategorie, Mensch-im-Loop, ggf. Folgenabschätzung.
AI Act und Dokumentation
E-Mail-Triage ist in den meisten Fällen kein Hochrisiko-System im Sinne des AI Act, aber Dokumentation hilft bei Audits. AI Act Checkliste Mittelstand gibt den Rahmen. Bei automatischen Entscheidungen mit rechtlicher Wirkung steigt der Prüfbedarf.
Praktische Checkliste vor Go-Live
- Verarbeitungsverzeichnis um Postfach-Automatisierung ergänzt
- AVV mit Entwicklungspartner unterschrieben
- Hosting-Standort dokumentiert, DE bevorzugt
- Löschfristen für Cache und Logs definiert
- Mitarbeiter informiert, Richtlinie veröffentlicht
- Review-Pfad für sensible Kategorien aktiv
Technische Umsetzung und Kosten: E-Mail-Eingang automatisch sortieren und Lösungsseite E-Mail-Eingang automatisieren.
Betroffenenrechte und Auskunft
Wenn Kunden Auskunft nach Artikel 15 DSGVO verlangen, müssen Sie wissen, welche Mailinhalte in Logs, Klassifikations-Caches oder Trainings-Feedback gespeichert sind. Dokumentieren Sie Speicherorte und Löschfristen im Verarbeitungsverzeichnis.
Automatisierte Kategorisierung ist keine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Artikel 22, solange Menschen antworten und Aufträge freigeben. Sobald Systeme ohne Review Bestellungen ablehnen oder Verträge kündigen, steigt der Compliance-Aufwand.
Zusammenarbeit mit dem Datenschutzbeauftragten
Externe oder interne DSB sollten vor Go-Live drei Dokumente sehen. Verarbeitungsverzeichnis-Ergänzung, AVV-Entwurf, technische Architektur-Skizze mit Datenflüssen. Das beschleunigt Freigabe mehr als nachträgliche Kleinarbeit.
Für hochgeladene Anhänge mit besonderen Kategorien personenbezogener Daten gilt erhöhte Sorgfalt. AI Act Hochrisiko Einstufung hilft bei der Einordnung, ob Ihr konkreter Prozess näher an Hochrisiko rückt.
Vergleich zu US-SaaS-KI im Postfach
Einige Cloud-Anbieter versprechen Ein-Klick-Klassifikation. Prüfen Sie immer Speicherort, Subprozessoren und ob Inhalte für Modelltraining genutzt werden. Unsere Festpreis-Lösungen als Entwicklungspartner mit IONOS-Hosting in Deutschland zielen auf minimierte Übermittlung und dokumentierte TOMs.
Wenn Sie bereits Copilot vs. eigene KI-Wissensdatenbank lesen, gilt Ähnliches für Posteingang. Bordmittel sind schnell, Souveränität braucht Architektur.
Aufbewahrungsfristen für Mail-Logs
Geschäftliche E-Mails unterliegen handels- und steuerrechtlichen Aufbewahrungspflichten, unabhängig von KI. Automatisierungs-Logs sollten kürzer aufbewahrt werden als der Mailarchiv selbst, sofern kein Compliance-Grund für längere Speicherung besteht.
Typisch sind 30 bis 90 Tage für technische Logs mit Kategorie und Confidence, während das Postfach nach Ihrer Archivrichtlinie drei bis zehn Jahre vorhält. Trennen Sie beides technisch, damit Sie nicht mehr Daten speichern als nötig.
Freigabe durch Geschäftsführung und IT
Kleine Unternehmen entscheiden oft in einer Runde. IT prüft Berechtigungen und Connector, Datenschutz prüft AVV, Fachbereich definiert Kategorien, GF gibt Budget frei. Vier kurze Inputs statt monatelanger Folien.
AI Act Fristen und Bußgelder setzt zeitlichen Druck bei KI-Themen insgesamt, auch wenn E-Mail-Triage selten im Hochrisiko-Segment liegt.
Konkrete TOMs für Posteingang-KI
Verschlüsselung in Transit und at Rest, rollenbasierte Zugriffe, Protokollierung von Admin-Aktionen, regelmäßige Updates der Runtime, keine Nutzung von Produktivdaten in Entwicklungsumgebungen. Das sind Standard-TOMs, die in jedem AVV-Anhang stehen sollten.
Penetrationstests auf die Review-Weboberfläche sind sinnvoll, wenn diese von außen erreichbar ist. Interne-only Oberflächen im VPN haben geringeres Risiko, brauchen aber trotzdem Auth und Session-Timeout.
Berechtigungen KI-Wissensdatenbank überträgt ähnliche Logik auf Wissens-KI und ist lesenswert, wenn Posteingang und interne Suche parallel geplant werden.
Incident Response bei Datenpannen
Wenn ein Workflow fehlerhaft Mails an falsche interne Empfänger leitet, dokumentieren Sie Vorfall, betroffene Personen, Ursache und Korrektur. Meldepflicht nach Artikel 33 DSGVO gilt bei Risiko für Betroffene, nicht bei jedem technischen Fehler. Ein Runbook mit Ansprechpartner, Abschalt-Schalter und Log-Export beschleunigt die Reaktion.
Prophylaxe ist günstiger als Incident. Deshalb Review-Pfad, Testpostfach und Schattenbetrieb vor Umschaltung. SharePoint Confluence KI durchsuchen behandelt verwandte Datenzugriffe in anderen Kanälen.
Häufige Fragen
Sind E-Mails personenbezogene Daten?
Fast immer ja. Name, E-Mail-Adresse, Signatur, Bestellinhalt oder Gesundheitsdaten in Anhängen können personenbezogen oder sensibel sein. Jede Automatisierung braucht eine Rechtsgrundlage und dokumentierte Zwecke.
Brauche ich eine AVV mit dem Dienstleister?
Ja, wenn ein externer Partner wie Nentix im Auftrag verarbeitet. Der Auftragsverarbeitungsvertrag regelt Zweck, Löschfristen, Unterauftragnehmer und technische Maßnahmen.
Darf KI E-Mails in die USA?
Nur mit tragfähiger Rechtsgrundlage und Datenübermittlungsmechanismus. Wir hosten Inbox-Triage auf IONOS in Deutschland als Made-in-Germany-Architektur, um dieses Risiko zu minimieren.
Was ist mit Mitarbeiter-E-Mails?
Interne Mails sind ebenfalls personenbezogen. Betriebsvereinbarung oder KI-Richtlinie sollten klarstellen, welche Postfächer automatisiert werden und wie lange Logs gespeichert werden.
Reicht eine Datenschutzerklärung auf der Website?
Nein. Website-Hinweis informiert Besucher. Für Verarbeitung im Postfach brauchen Sie Verarbeitungsverzeichnis, TOMs und bei KI oft eine Datenschutz-Folgenabschätzung, wenn Risiken erhöht sind.