DSGVO-konformes Team-Postfach: Worauf KMU bei EU-Hosting achten sollten

Ein Postfach enthält mit das Sensibelste, was ein Unternehmen hat: Kundenanfragen, Verträge, Rechnungen, personenbezogene Daten. Wer ein geteiltes Team-Postfach einführt, sollte den Datenschutz deshalb nicht als Nachgedanken behandeln. Diese Checkliste hilft bei der Auswahl - und beim Gespräch mit dem eigenen Datenschutzbeauftragten.

Warum der Serverstandort zählt

Werden personenbezogene Daten in ein Drittland (z. B. in eine US-Cloud) übermittelt, braucht es dafür eine tragfähige Rechtsgrundlage - und die Lage dazu ist seit Jahren in Bewegung. Schon die Frage, ob ein US-Anbieter „Zugriff" auf Daten haben könnte, löst Dokumentations- und Prüfpflichten aus. Ein Anbieter, der vollständig in der EU hostet, vermeidet dieses Risiko von vornherein und vereinfacht die eigene Compliance erheblich: weniger Transfer-Folgenabschätzung, weniger Unsicherheit, weniger Aufwand.

Die Checkliste

1. EU-Hosting

Wo stehen die Server? Idealerweise ausschließlich in der EU, ohne Drittlandübermittlung im Regelbetrieb.

2. Verschlüsselung at-rest

Werden Zugangsdaten und Tokens verschlüsselt gespeichert (z. B. AES-256-GCM)? Zugangsdaten dürfen nie im Klartext liegen - und auch nicht in Logdateien auftauchen.

3. Auftragsverarbeitung (Art. 28 DSGVO)

Gibt es einen AV-Vertrag? Wer sind die Unterauftragsverarbeiter (Hosting, Zahlungsdienstleister)? Ein seriöser Anbieter legt diese Liste offen und schließt mit Ihnen einen AV-Vertrag ab - das ist kein Nice-to-have, sondern Pflicht.

4. Kein Mitlesen, kein Logging von Inhalten

Mail-Inhalte sollten ausschließlich zur Diensterbringung verarbeitet und nicht protokolliert oder für Werbung ausgewertet werden. Fragen Sie konkret nach, was in Logs landet.

5. Datenminimierung & Löschung

Lassen sich Postfächer, Inhalte und Konten sauber trennen und vollständig löschen?

6. Betroffenenrechte

Sind Auskunft, Export und Löschung praktisch umsetzbar - und nicht nur theoretisch versprochen?

7. Datenhoheit und Ausstieg

Der stärkste Schutz ist der, den man nicht braucht: Bleiben die Mails im eigenen Postfach des Unternehmens, statt zu einem weiteren Anbieter zu wandern? Und lassen sich die Daten, die beim Dienst entstehen - Vorlagen, Chat-Nachrichten, Zuweisungen - jederzeit exportieren?

Sonderfall KI: Datenschutz nicht aushebeln

KI-Funktionen sind praktisch, aber datenschutzrelevant - schließlich verlässt dabei Text das System. Achten Sie auf zwei Punkte: Erstens sollte nur der tatsächlich nötige Kontext an die KI gehen, nicht das ganze Postfach. Zweitens sollte der KI-Anbieter benannt und vertraglich gebunden sein: In Astreo arbeitet die Mistral AI SAS (Paris) als Auftragsverarbeiter mit, die Verarbeitung findet in der EU statt, und ein Auftragsverarbeitungsvertrag liegt vor. So bleibt die KI eine Funktion, die ihr steuert - und kein unkalkulierbarer Datenabfluss.

Kein Lock-in als Vertrauensanker

„Vertraut uns" ist im Datenschutz ein schwaches Versprechen. Stärker ist eine Architektur, die wenig Vertrauen nötig macht: Astreo ist ein E-Mail-Client, kein Postfachanbieter. Die Mails bleiben im Postfach des Unternehmens - in Microsoft 365 oder auf dem eigenen IMAP-Server. Astreo greift per OAuth darauf zu, speichert Zugangsdaten verschlüsselt at-rest und protokolliert keine Mailinhalte. Wer wechselt, muss nichts zurückholen, weil nie etwas umgezogen ist: Vorlagen, Chat-Nachrichten und Zuweisungen lassen sich exportieren - die Kommunikation selbst lag immer beim Kunden.

Kurz-Checkliste für das Auswahlgespräch

• Stehen alle Server in der EU? Gibt es Drittlandübermittlungen?
• Werden Zugangsdaten verschlüsselt at-rest gespeichert?
• Liegt ein AV-Vertrag inklusive Unterauftragsverarbeiter-Liste vor?
• Werden Mailinhalte geloggt oder ausgewertet?
• Wie funktionieren Export und Löschung in der Praxis?
• Bleiben die Mails im eigenen Postfach, und lassen sich die übrigen Daten exportieren?

Fazit

DSGVO-Konformität entsteht nicht aus einem einzelnen Häkchen, sondern aus dem Zusammenspiel von Hosting, Verschlüsselung, klaren Verträgen und sparsamer Verarbeitung. Ein in der EU gehostetes, quelloffenes Team-Postfach macht diesen Nachweis deutlich einfacher als eine intransparente Cloud-Lösung - und nimmt Ihnen im Alltag viel Dokumentationsarbeit ab.

Hinweis: Dieser Beitrag ist eine allgemeine Orientierung und ersetzt keine Rechtsberatung.