DSGVO und Automatisierung: Was Firmen in Österreich beachten müssen

Automatisierung heißt fast immer: Daten fließen. Aus dem Formular ins CRM, vom CRM ins E-Mail-Tool, vom E-Mail-Tool zur KI und zurück. Jeder dieser Schritte ist aus Sicht der Datenschutz-Grundverordnung eine Verarbeitung personenbezogener Daten. Das klingt nach Bürokratie – ist aber mit etwas Struktur gut beherrschbar.

In diesem Artikel erklären wir die wichtigsten Punkte, die ihr bei Automatisierungen in Marketing und Vertrieb beachten solltet. Mit Blick auf Österreich, aber das meiste gilt genauso in Deutschland. Wichtig: Das ist keine Rechtsberatung. Bei konkreten Fragen solltet ihr eure Datenschutzbeauftragte oder eure Kanzlei einbinden.

Die Grundfrage: Dürft ihr die Daten verarbeiten?

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach Art. 6 DSGVO. Für Marketing und Vertrieb sind vor allem drei relevant:

Wichtig: Die DSGVO-Frage „Darf ich die Daten verarbeiten?“ ist getrennt von der Frage „Darf ich Werbung schicken?“. Für Werbe-E-Mails regelt das in Österreich § 174 TKG 2021 – und der verlangt in der Regel eine vorherige Einwilligung, auch im B2B. Mehr dazu in unserem Artikel über Cold-E-Mail 2026.

Auftragsverarbeitung: Jedes Tool braucht einen Vertrag

Wenn ein externer Dienst in eurem Auftrag Daten verarbeitet – CRM, E-Mail-Tool, Automatisierungsplattform, KI-Anbieter –, braucht ihr mit ihm einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Bei den großen Anbietern ist das meist ein Standarddokument, das ihr im Konto akzeptiert oder herunterladet.

Klingt einfach, wird aber oft vergessen – vor allem bei kleinen Tools, die „nur schnell“ eingebunden wurden. Eine typische Automatisierungskette hat schnell fünf, sechs beteiligte Dienste. Für jeden braucht ihr den Vertrag.

US-Tools: erlaubt, aber mit Bedacht

Viele gute Tools kommen aus den USA. Seit Juli 2023 gibt es das EU-US Data Privacy Framework. US-Unternehmen, die daran teilnehmen, gelten als sicherer Empfänger – die Übermittlung ist damit grundsätzlich zulässig. Ob ein Anbieter zertifiziert ist, könnt ihr auf der offiziellen Liste des US-Handelsministeriums nachsehen.

Trotzdem gibt es gute Gründe, wo möglich EU-Anbieter oder EU-Rechenzentren zu wählen:

• Das Abkommen wird politisch und rechtlich immer wieder in Frage gestellt. Seine Vorgänger wurden vom Europäischen Gerichtshof gekippt.
• Viele Kunden – vor allem größere Unternehmen und öffentliche Auftraggeber – fragen gezielt nach EU-Datenhaltung.
• Bei sensiblen Daten ist das Risiko geringer.

Unser Ansatz: Kern-Systeme wie Automatisierungsplattform und Datenbank laufen in der EU, etwa ein selbst betriebenes n8n. US-Tools setzen wir gezielt ein, wo sie einen klaren Vorteil haben, und schicken ihnen nur die Daten, die sie wirklich brauchen.

Datenminimierung: nur weitergeben, was nötig ist

Ein Grundprinzip der DSGVO, das bei Automatisierungen besonders wichtig ist: Jeder Schritt bekommt nur die Daten, die er braucht. Ein Beispiel:

• Ein KI-Schritt soll eine Anfrage nach Thema einordnen. Dafür braucht er den Text der Anfrage – aber nicht Telefonnummer und Adresse.
• Ein Reporting-Dashboard soll zeigen, wie viele Leads aus welcher Kampagne kommen. Dafür braucht es keine Namen.

In Automatisierungen ist es verführerisch, einfach den ganzen Datensatz weiterzureichen. Das bewusst zu vermeiden, ist einer der einfachsten Wege, Risiken zu senken.

Leads aus öffentlichen Quellen

Viele Vertriebsautomatisierungen beginnen mit der Recherche: Firmen und Ansprechpartner aus LinkedIn, Firmenverzeichnissen oder Websites. Das ist nicht grundsätzlich verboten, aber es gibt Pflichten:

• Berechtigtes Interesse abwägen und dokumentieren. Geschäftliche Kontaktdaten von Entscheidern für eine passende B2B-Ansprache sind eher vertretbar als private Daten.
• Informationspflicht nach Art. 14. Wenn ihr Daten nicht direkt bei der Person erhebt, müsst ihr sie spätestens bei der ersten Kontaktaufnahme (und innerhalb eines Monats) informieren: wer ihr seid, woher die Daten stammen, wofür ihr sie nutzt und welche Rechte sie hat.
• Nutzungsbedingungen der Quelle beachten. Manche Plattformen verbieten automatisiertes Auslesen.
• Widerspruch sofort umsetzen. Wer nicht kontaktiert werden will, landet auf einer Sperrliste, die alle Abläufe prüfen.

KI in Automatisierungen

Wenn ihr Sprachmodelle wie Claude oder GPT in eure Abläufe einbaut, gelten dieselben Regeln wie für jedes andere Tool – plus ein paar zusätzliche Fragen:

• Werden eure Daten zum Training verwendet? Bei den Business-Schnittstellen der großen Anbieter standardmäßig nicht. Bei Consumer-Versionen kann das anders sein. Nutzt für Kundendaten immer die Business-Variante mit Auftragsverarbeitungsvertrag.
• Wo wird verarbeitet? Einige Anbieter bieten mittlerweile Verarbeitung in der EU an.
• Trifft die KI Entscheidungen über Menschen? Vollautomatisierte Entscheidungen mit erheblicher Wirkung auf Personen sind nach Art. 22 DSGVO eingeschränkt. Lead-Scoring über Firmen ist unproblematischer als die automatische Ablehnung einer Privatperson.

Zusätzlich gelten ab August 2026 die Transparenzpflichten des EU AI Act. Mehr dazu in unserem Überblick zum EU AI Act.

Löschfristen automatisieren

Ein Punkt, bei dem Automatisierung dem Datenschutz direkt hilft: Löschfristen. Statt einmal im Jahr zu überlegen, welche Daten weg müssen, läuft ein Ablauf, der zum Beispiel:

• Leads ohne Aktivität nach 12 Monaten löscht oder anonymisiert,
• Gesprächsaufzeichnungen nach 30 Tagen entfernt,
• Bewerbungs- oder Buchungsdaten nach einer festgelegten Frist bereinigt.

Das ist weniger Arbeit, als es klingt, und ihr seid bei einer Prüfung auf der sicheren Seite. Auch die Buchungsdaten auf dieser Website werden übrigens automatisch nach Frist gelöscht.

Checkliste für eure Automatisierungen

Unser Fazit

Datenschutz ist kein Grund, auf Automatisierung zu verzichten. Im Gegenteil: Gut gebaute Automatisierungen sind oft datenschutzfreundlicher als Handarbeit – weil Daten nicht in Excel-Listen und Postfächern herumliegen, weil Löschfristen automatisch greifen und weil jeder Schritt dokumentiert ist.

Entscheidend ist, dass Datenschutz von Anfang an mitgedacht wird und nicht am Ende „noch schnell“ geprüft wird. Genau so arbeiten wir: Bevor wir etwas bauen, klären wir mit euch, welche Daten wohin fließen und warum.