Bevor Sie ein KI-E-Mail-Tool im Rahmen der DSGVO mit einem geschäftlichen Postfach verbinden, prüfen Sie fünf Dinge: wo die Daten gehostet werden, was das Tool tatsächlich verarbeitet, ob Verbindungs-Tokens im Ruhezustand verschlüsselt sind, ob eine Auftragsverarbeitungsvereinbarung (AVV) besteht, und ob eine Person jede einzelne Nachricht freigibt, bevor sie verschickt wird. Kann ein Anbieter nicht alle fünf klar beantworten, ist das bereits Ihre Antwort.
1. Wo werden die Daten tatsächlich gehostet
Die DSGVO verbietet den Einsatz von KI-Tools mit Daten von EU-Kunden nicht, verlangt aber, dass Sie wissen, wo diese Daten liegen und welcher Rechtsprechung sie unterliegen. Ein KI-E-Mail-Assistent liest live Postfachinhalte — Absender, Betreff, Text —, weshalb der Hosting-Standort keine Randnotiz ist, sondern eine der ersten Fragen, die Sie stellen sollten. Achten Sie auf eine konkrete Antwort wie "in der EU gehostet" mit einem benannten Rechenzentrum, nicht auf ein vages "konform"-Abzeichen. DraftKite hostet auf Supabase-Infrastruktur in Frankfurt, Deutschland — verbundene Postfächer, Klassifizierungen und Entwürfe bleiben durchweg auf EU-Servern.
2. Was das Tool verarbeitet — und was es nicht braucht
Eine zweite, damit verbundene Frage: Braucht das Tool Ihren gesamten Postfachverlauf oder nur neue Nachrichten, sobald sie eintreffen? Breiter, dauerhafter Zugriff auf jahrelange E-Mails ist ein größerer Verarbeitungsumfang, als es zum Klassifizieren und Entwerfen neuer Post eigentlich braucht. Bestätigen Sie, dass das Tool nur liest, was es für seine Aufgabe braucht — Absender, Betreff und Inhalt neuer Nachrichten —, und nicht stillschweigend Ihr gesamtes Archiv einliest, es sei denn, Sie haben das bewusst aktiviert (etwa durch Hinzufügen früherer E-Mails zu einer Wissensdatenbank zum Tonfall-Abgleich).
Fragen Sie nach den Berechtigungen, nicht nur nach dem Pitch
OAuth-Berechtigungsbildschirme (von Google oder Microsoft) listen genau die Berechtigungen auf, die eine App anfordert, bevor Sie den Zugriff gewähren. Lesen Sie diesen Bildschirm. Er ist eine zuverlässigere Quelle als die Marketingseite eines Anbieters dafür, worauf das Tool genau zugreifen kann.
3. Sind Verbindungs-Tokens im Ruhezustand verschlüsselt
Das Verbinden eines Postfachs stellt ein OAuth-Token aus, nicht Ihr Passwort — dieser Teil ist bei jedem seriösen Anbieter Standard und sicher. Was variiert, ist, wie dieses Token anschließend gespeichert wird. Ein im Klartext in einer Datenbank gespeichertes Token ist nur einen Datenschutzvorfall von vollem Postfachzugriff für jedes verbundene Konto entfernt. Fragen Sie, ob Refresh- und Access-Tokens im Ruhezustand verschlüsselt sind (AES-256 ist der anerkannte Standard) und ob der Verschlüsselungsschlüssel getrennt von der Datenbank selbst verwaltet wird. DraftKite verschlüsselt jedes gespeicherte Token auf diese Weise, und dieselbe Verschlüsselung umfasst auch jeden API-Schlüssel, den Sie für andere Integrationen verbinden.
4. Gibt es eine unterschriebene Auftragsverarbeitungsvereinbarung
Nach der DSGVO ist jeder Anbieter, der personenbezogene Daten in Ihrem Auftrag verarbeitet, während Sie selbst Verantwortlicher bleiben, ein Auftragsverarbeiter, und Sie brauchen eine Auftragsverarbeitungsvereinbarung (AVV) mit ihm — das ist eine gesetzliche Pflicht, kein optionales Extra. Ein seriöser KI-E-Mail-Anbieter hat eine Standard-AVV zur Unterschrift bereit (oft mit den EU-Standardvertragsklauseln), bevor Sie ein echtes geschäftliches Postfach verbinden. Kann ein Anbieter keine vorlegen oder behandelt die Anfrage als ungewöhnlich, ist das eine Compliance-Lücke, die Sie übernehmen würden.
5. Gibt eine Person jede Nachricht frei, bevor sie versendet wird
Das ist die Kontrollmaßnahme, die in der Praxis am meisten zählt, und sie wird bei einer reinen Datenfluss-Prüfung oft übersehen. Ein KI-Tool, das Postfachinhalte liest und Antworten automatisch versendet, entfernt genau die Absicherung, die einen falschen Preis, eine missverstandene Anfrage oder eine im falschen Thread versendete Antwort abfangen würde. Menschliche Prüfung vor dem Versand ist nicht nur gute Praxis — sie ist der Unterschied zwischen einem Assistenten und einem unbeaufsichtigten System, das in Ihrem Namen mit personenbezogenen Daten handelt. DraftKite versendet nie automatisch: Jede Klassifizierung und jede Antwort liegt als Entwurf in Gmail oder Outlook, bis Sie sie selbst prüfen und versenden.
Kurz-Checkliste, bevor Sie ein geschäftliches Postfach verbinden
- EU-Hosting mit einer benannten Region bestätigt — nicht nur eine "DSGVO-freundlich"-Behauptung
- Zugriff beschränkt auf das, was zum Klassifizieren und Entwerfen neuer Post nötig ist
- OAuth-Berechtigungen auf dem eigenen Zustimmungsbildschirm des Anbieters geprüft
- Refresh- und Access-Tokens im Ruhezustand verschlüsselt, nicht im Klartext gespeichert
- Eine unterschriebene Auftragsverarbeitungsvereinbarung vor dem Livegang vorhanden
- Jede ausgehende Antwort erfordert menschliche Freigabe — nichts wird automatisch versendet
Nichts davon ersetzt die Compliance-Prüfung Ihrer eigenen Organisation. Betrachten Sie dies als Startliste, nicht als Ersatz für Rechtsberatung, die auf Ihre Daten und Branche zugeschnitten ist.
DraftKite ist genau um diese fünf Punkte herum aufgebaut: EU-gehostet in Frankfurt, verschlüsselte Tokens, eine Standard-AVV auf Anfrage, und jeder Entwurf wartet auf Ihre Freigabe, bevor irgendetwas verschickt wird. Starten Sie die 7-tägige kostenlose Testphase — keine Kreditkarte nötig — und prüfen Sie die Antworten selbst, bevor Sie ein echtes Postfach verbinden.