Datensicherheit: Sollte ich einer Software mein Postfach geben?

In einem Maklerpostfach liegt mehr Vertrauliches als in fast jedem anderen Geschäftskonto: Einkommensnachweise, Finanzierungszusagen, Scheidungs- und Erbfälle, Grundbuchdaten, Kaufpreisverhandlungen. Die Frage, ob man einer Software Zugriff darauf gibt, ist die richtige Frage – und sie wird zu selten gestellt.

Hinweis: Dieser Beitrag beschreibt Prüfkriterien aus der Praxis und ersetzt keine Rechtsberatung.

Die sieben Fragen, die du stellen solltest

1. Wo werden die Daten verarbeitet und gespeichert? Innerhalb der EU ist der einfachste Fall. Bei Drittländern brauchst du Garantien – Standardvertragsklauseln, ergänzende Maßnahmen, und du musst das im eigenen Verzeichnis dokumentieren. Frag nach dem konkreten Standort, nicht nach der Region.

2. Gibt es einen Auftragsverarbeitungsvertrag? Ohne AV-Vertrag ist der Einsatz nicht zulässig. Er sollte unterschriftsreif vorliegen, nicht „auf Anfrage" – und du solltest ihn lesen, nicht nur unterschreiben.

3. Wer bei dem Anbieter kann meine Inhalte sehen? Die entscheidende Frage. Seriöse Antworten benennen ein Vier-Augen-Prinzip, protokollierte Zugriffe und die Fälle, in denen ein Zugriff überhaupt vorgesehen ist. „Niemand" ist selten die vollständige Wahrheit – ein Supportfall braucht manchmal Einsicht. Wichtig ist, dass es geregelt und protokolliert ist.

4. Welche Berechtigungen werden angefordert? Wenn eine Software Vollzugriff inklusive Löschrechten verlangt, obwohl sie nur lesen muss, ist das ein Hinweis. Prüfe bei Google und Microsoft, welche Scopes tatsächlich angefragt werden – das siehst du im Zustimmungsdialog.

5. Werden meine Inhalte für das Training von Modellen verwendet? Bei jeder Software mit KI-Funktion die entscheidende Frage. Die Antwort muss vertraglich zugesichert sein, nicht in einem Blogbeitrag stehen. Für Maklerdaten sollte die Antwort ein klares Nein sein, inklusive der eingesetzten Unterauftragsverarbeiter.

6. Wie werden Zugangsdaten gespeichert? Zugriffs-Token sollten verschlüsselt gespeichert werden, der Schlüssel getrennt von der Datenbank. Das ist Standard – ein Anbieter, der die Frage nicht beantworten kann, hat sie sich nicht gestellt.

7. Was passiert bei der Trennung? Wenn du das Konto trennst: Werden alle Kopien gelöscht, inklusive Suchindizes, Backups und abgeleiteter Daten? In welcher Frist? Bekommst du eine Bestätigung?

Die Antworten, die stutzig machen sollten

• „Das steht in unseren AGB." – Ein AV-Vertrag ist etwas anderes als AGB.
• „Unsere Server stehen in Europa." – Welche? Auch die des KI-Dienstleisters?
• „Wir sind DSGVO-konform." – Eine Selbstauskunft ohne Inhalt. Frag nach dem Verzeichnis der Unterauftragsverarbeiter.
• „Ihre Daten gehören Ihnen." – Schön. Wie exportiere ich sie?
• Ausweichende Antworten zur Frage nach dem KI-Training.

Was für den Postfachzugriff spricht

Bei aller Vorsicht: Die Alternative ist nicht risikofrei. Ein Postfach, in dem seit zwölf Jahren alles liegt, ohne Struktur, ohne Löschkonzept, mit Zugriff über ein privates Handy, das nicht verschlüsselt ist – das ist datenschutzrechtlich ebenfalls kein guter Zustand.

Die relevante Frage ist deshalb nicht „Zugriff oder kein Zugriff", sondern: Ist der Umgang mit den Daten dokumentiert, begrenzt und überprüfbar?

Deine eigene Hausaufgabe

Unabhängig vom Anbieter gehören diese Punkte in dein eigenes Haus:

• Zwei-Faktor-Authentifizierung auf dem Mailkonto. Der wirksamste Einzelschritt überhaupt.
• Gerätesperre und Verschlüsselung auf Handy und Laptop.
• Getrennte geschäftliche und private Konten.
• Ein Löschkonzept, siehe DSGVO im Maklerbüro.
• Der Softwareeinsatz im Verzeichnis von Verarbeitungstätigkeiten dokumentiert.

Wer diese fünf Punkte erledigt hat, ist besser aufgestellt als der Großteil der Branche – unabhängig davon, welche Software er einsetzt.