DSGVO-bewusste Automatisierung: Worauf kleine Unternehmen achten sollten

Automatisierung verarbeitet Daten – und wo Daten verarbeitet werden, gilt die DSGVO. Das ist kein Grund, auf Automatisierung zu verzichten. Aber es ist ein Grund, sie sorgfältig zu planen. Wer von Anfang an datenschutzbewusst vorgeht, spart sich spätere Nacharbeit und vermeidet unnötige Risiken.

Warum Datenschutz bei Automatisierung besonders wichtig ist

Automatisierungen laufen oft im Hintergrund, ohne dass jemand jeden Schritt aktiv überwacht. Daten werden gespeichert, weitergeleitet, verarbeitet – und manchmal weiß nach einiger Zeit niemand mehr genau, was wohin geht. Deshalb ist es wichtig, am Anfang zu klären, welche Daten im System fließen und was damit passiert.

Datenminimierung: Nur das Nötige erfassen

Das Grundprinzip der DSGVO bei der Datenerhebung: Nur so viele Daten erfassen wie notwendig. Wer ein Kontaktformular hat, braucht dafür nicht das Geburtsdatum, die Adresse oder den Arbeitgeber. Nur die Felder abfragen, die für die Bearbeitung der Anfrage wirklich benötigt werden. Das gilt auch für Daten, die in automatisierten Workflows weitergeleitet werden.

Zweck klar definieren

Welchen Zweck haben die Daten, die in der Automatisierung verarbeitet werden? Für welchen Schritt werden sie gebraucht? Daten, die für einen bestimmten Zweck erfasst werden, dürfen nicht einfach für andere Zwecke weiterverwendet werden. Diese Klarheit ist wichtig, bevor man eine Automatisierung aufsetzt.

Zugriffsschutz und Berechtigungen

Wer hat Zugriff auf die automatisierten Systeme und die dort verarbeiteten Daten? Zugriff sollte auf Personen beschränkt sein, die ihn für ihre Arbeit benötigen. Passwörter und API-Keys sollten sicher aufbewahrt werden. Wer n8n selbst hostet, muss sicherstellen, dass das System von außen nicht ohne Authentifizierung erreichbar ist.

Auftragsverarbeitung klären

Wer externe Tools in Automatisierungen einsetzt – Tabellendienste, E-Mail-Tools, CRM-Systeme – verarbeitet Kundendaten oft im Auftrag. Dafür ist in der Regel ein Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter nötig. Die meisten seriösen Anbieter stellen diesen bereit. Es lohnt sich, das vorab zu prüfen und den Vertrag abzuschließen.

Externe Tools prüfen

Bevor ein externes Tool in eine Automatisierung eingebunden wird, sollte man sich fragen: Wo liegen die Server? Welche Daten werden gespeichert? Gibt es eine klare Datenschutzerklärung des Anbieters? Tools mit Serverstandort außerhalb der EU können datenschutzrechtlich komplizierter sein. Tools, die Daten für eigene Zwecke (wie Modelltraining) nutzen, sollten bei sensiblen Inhalten besonders sorgfältig geprüft werden.

Löschfristen und Verantwortlichkeiten

Personenbezogene Daten dürfen nicht auf unbestimmte Zeit gespeichert bleiben. In jeder Automatisierung, die Kundendaten verarbeitet, sollte geklärt sein: Wie lange werden die Daten aufbewahrt? Wer ist dafür verantwortlich, veraltete Einträge zu löschen? Das muss kein aufwendiger Prozess sein, aber er muss existieren.

KI-Dienste vorsichtig nutzen

Wenn KI-Dienste in Automatisierungen eingebunden werden, fließen Daten an externe Anbieter. Sensible Kundendaten – persönliche Details, finanzielle Informationen, Gesundheitsdaten – sollten nicht ungeprüft an KI-Dienste weitergegeben werden. Wer KI nutzen möchte, sollte prüfen, ob der Anbieter Datenschutzgarantien gibt und wie Daten nach der Verarbeitung behandelt werden.

Datenschutzerklärung aktuell halten

Jedes Tool und jede Automatisierung, die personenbezogene Daten verarbeitet, sollte in der Datenschutzerklärung erwähnt sein. Wer neue Tools einbindet, muss prüfen, ob die Datenschutzerklärung aktualisiert werden muss. Eine veraltete Datenschutzerklärung, die nicht mehr zu den tatsächlich eingesetzten Tools passt, ist ein datenschutzrechtliches Problem.