Transaktionale Mails: AVV, Drittland, Bounces, DSE

Würdigung — der unsichtbare Dienstleister im Kontaktformular#

Wenn ein Mandant ein Kontaktformular ausfüllt und kurz darauf eine Bestätigung im Postfach hat, wirkt das wie eine Selbstverständlichkeit. Tatsächlich steckt dahinter ein eigener Dienstleister: ein spezialisierter Versand-Dienst, der die E-Mail zuverlässig zustellt — etwas, das ein normales Postfach für automatisierte Mails schlecht kann. Dieser Dienst sieht dabei die E-Mail-Adresse des Empfängers, oft den Namen und den Inhalt der Nachricht.

Genau das wird übersehen: Der Versand-Dienst verarbeitet personenbezogene Daten im Auftrag der Kanzlei — und ist damit ein Auftragsverarbeiter wie jeder andere, mit allen Pflichten, die dazugehören. Niemand handelt fahrlässig, der diesen Punkt nicht auf dem Schirm hat; er ist technisch gut versteckt. Aber er gehört geregelt, und zwar an vier Stellen. Wie schnell die Datenschutzerklärung sonst von der Realität abweicht, zeigt der Insight zur veralteten Datenschutzerklärung.

Punkt eins: der Auftragsverarbeitungsvertrag#

Wer einen Dienstleister personenbezogene Daten in seinem Auftrag verarbeiten lässt, braucht mit ihm einen Auftragsverarbeitungsvertrag — kurz AVV. Das ist keine Empfehlung, sondern eine Pflicht aus dem Datenschutzrecht. Der AVV regelt, was der Dienstleister mit den Daten tun darf, wie er sie schützt und dass er sie nicht für eigene Zwecke nutzt.

Das Gute: Bei den etablierten Versand-Diensten ist der AVV ein fertiges Dokument, das man im Konto abschließt oder herunterlädt — kein individuell zu verhandelnder Vertrag. Für unseren eigenen Versand über Resend ist genau dieser AVV die Grundlage. Die Pflicht-Aufgabe ist also nicht, ihn zu schreiben, sondern ihn aktiv abzuschließen und abzulegen — und nicht zu vergessen. Ein Versand-Dienst im Einsatz ohne abgeschlossenen AVV ist eine vermeidbare Lücke.

Punkt zwei: die Drittland-Frage ehrlich beantworten#

Viele der besten Versand-Dienste sitzen in den USA. Das macht jeden Versand zu einer Datenübermittlung in ein Drittland, die nach europäischem Recht eine eigene Grundlage braucht. Diese Frage zu ignorieren wäre der Fehler; sie sauber zu beantworten ist machbar.

Bei unserem Setup ist das transparent gelöst: Unser Versand-Dienst ist über das EU-US Data Privacy Framework zertifiziert — ein anerkannter Rahmen für den Datentransfer in die USA — und wir sichern den Transfer zusätzlich über die Standardvertragsklauseln ab, einen vom europäischen Datenschutzrecht vorgesehenen Vertrags-Baustein als zweite Ebene. Genau so steht es in unserer Datenschutzerklärung, wörtlich nachlesbar. Wem schon der US-Bezug zu viel Klärung ist, der prüft einen EU-ansässigen Anbieter oder, wo verfügbar, eine europäische Daten-Region — die grundsätzliche Abwägung „wo liegen die Daten" vertieft der Insight zur Hosting- und Daten-Residenz. Entscheidend ist nicht, dass es kein US-Bezug sein darf, sondern dass die gewählte Lösung offen benannt und korrekt abgesichert ist.

Punkt drei: was mit unzustellbaren Mails passiert#

Ein Detail, das fast nie bedacht wird: Nicht jede Mail kommt an. Eine falsch getippte Adresse, ein volles Postfach, ein abgelehnter Empfänger — die Mail prallt zurück, im Fachjargon ein Bounce. Der Versand-Dienst protokolliert solche Rückläufer, und damit liegt die betroffene E-Mail-Adresse für eine gewisse Zeit in seinen Logs.

Das ist kein Problem, solange man es kennt und benennt: Die Adresse wird zur Fehlerdiagnose kurz gespeichert und dann gelöscht. Wichtig ist die Disziplin, diese Speicherung in der Datenschutzerklärung mit abzubilden und eine klare Löschfrist zu nennen. Bei uns ist die Speicherdauer in den Versand-Logs ausdrücklich benannt und begrenzt. Wer den Bounce-Fall verschweigt, hat eine Verarbeitung laufen, die nirgends dokumentiert ist — genau die Art von Lücke, die bei einer Prüfung auffällt.

Punkt vier: der Eintrag in der Datenschutzerklärung — und wie man ihn erzwingt#

Alle drei vorigen Punkte münden in denselben Ort: die Datenschutzerklärung. Der Versand-Dienst muss dort als Auftragsverarbeiter genannt sein, mit Zweck, Drittland-Absicherung und Speicherdauer. Das ist der sichtbare Beleg, dass die Verarbeitung bewusst und geregelt läuft.

Hier liegt der eigentliche Hebel — und der Grund, warum diese Lücke bei uns strukturell nicht entstehen kann. Auf fahoch2.de erzwingt ein eigener Prüf-Mechanismus, dass jede im Code eingebundene Verarbeitung auch eine passende Sektion in der Datenschutzerklärung hat. Bindet jemand einen Versand-Dienst ein, ohne den Datenschutz-Eintrag zu ergänzen, wird die Änderung blockiert, bevor sie überhaupt live gehen kann. So bleibt die Datenschutzerklärung mit dem realen Stand der Technik konsistent, statt ihm hinterherzuhinken — Mechanik statt Erinnerung. Wie dieser Konsistenz-Gedanke die ganze Bauweise prägt, zeigt der Insight zum wöchentlichen Security-Sweep.

Was Kanzleien davon haben#

• Keine versteckte Verarbeitung: Der unsichtbare Versand-Dienstleister wird bewusst geregelt statt übersehen — eine der häufigsten stillen Datenschutz-Lücken fällt weg.
• Belastbare Drittland-Antwort: Ob US-Anbieter mit Absicherung oder EU-Dienst — die Lage ist offen benannt und korrekt begründet statt verschwiegen.
• Vollständige Datenschutzerklärung: Auftragsverarbeiter, Zweck, Drittland und Speicherdauer stehen dort, wo eine Prüfung sie sucht.
• Strukturell abgesichert: Eine neu eingebundene Verarbeitung zieht den Datenschutz-Eintrag erzwungen nach sich — die Lücke kann gar nicht erst entstehen.

Für eine strukturierte Prüfung, ob die Verarbeitungen Ihrer Website vollständig und korrekt in der Datenschutzerklärung abgebildet sind, empfehlen wir den Hebel-Audit (890 €, bei Mandanten-Boost-Beauftragung innerhalb von 60 Tagen voll anrechenbar).

Zusammenfassung#

Fast jede Kanzlei-Website versendet transaktionale Mails über einen spezialisierten Dienstleister — und der verarbeitet dabei personenbezogene Daten, ist also ein Auftragsverarbeiter mit allen Pflichten. Vier Punkte müssen sauber geregelt sein. Erstens der Auftragsverarbeitungsvertrag, bei den etablierten Diensten ein fertiges Dokument, das man aktiv abschließen und ablegen muss. Zweitens die Drittland-Frage, die bei einem US-Anbieter über das EU-US Data Privacy Framework und ergänzende Standardvertragsklauseln offen abgesichert wird — so wie es in unserer Datenschutzerklärung steht. Drittens der Umgang mit unzustellbaren Mails, deren Adressen kurz in den Versand-Logs liegen und mit klarer Frist gelöscht werden. Viertens der Eintrag in der Datenschutzerklärung, der alle drei vorigen Punkte sichtbar macht. Auf fahoch2.de erzwingt ein eigener Prüf-Mechanismus diesen Eintrag: Eine eingebundene Verarbeitung ohne passende Datenschutz-Sektion blockiert die Änderung, bevor sie live geht — Mechanik statt Erinnerung.

Quellen#

• DSGVO (VO EU 2016/679) — konsolidierte Fassung, u. a. Art. 28 (Auftragsverarbeitung) — abgerufen 2026-06-13
• EU-US Data Privacy Framework — offizielle Website — abgerufen 2026-06-13
• Resend — Auftragsverarbeitungsvertrag (DPA) — abgerufen 2026-06-13

Disclaimer: Allgemeine fachliche Information zum Zeitpunkt der Veröffentlichung, keine Rechtsberatung. Das beschriebene Versand-Setup bildet den Stand von fahoch2.de zum Veröffentlichungszeitpunkt ab; die datenschutzrechtliche Bewertung von Dienstleistern und Drittland-Transfers gehört im Einzelfall anwaltlich geprüft.