E-Mail-Marketing selbst hosten: Der DSGVO-Stack für deutsche Unternehmen
Ein praxisnaher Leitfaden, wie Sie Newsletter- und E-Mail-Automation-Software so selbst hosten, dass sie einem Gespräch mit dem Datenschutzbeauftragten standhält. Wir gehen jede Ebene des Stacks durch (Hoster, Anwendung, Datenbank, SMTP, Backups, Error-Tracking, Support-Tools) und zeigen, welche Pflichten unabhängig vom Werkzeug bei Ihnen bleiben. Nüchtern, konkret, ohne Marketing-Geschwätz.
Wir sind keine Anwälte und diese Seite ist keine Rechtsberatung. Konkrete Einschätzungen für Ihr Unternehmen gehören in die Hände eines qualifizierten Datenschutzbeauftragten (DSB) oder einer Rechtsanwältin.
Für wen diese Seite gedacht ist
Für deutsche Unternehmen, Gründerinnen und Gründer, CTOs und technische Marketer, die sich bereits für EU-only oder Self-Hosted-Infrastruktur entschieden haben und jetzt ein klares Bild davon brauchen, wie dieser Stack tatsächlich aussieht. Das Ziel ist eine Konfiguration, mit der Sie Ihrem Datenschutzbeauftragten sagen können: „Newsletter-Empfängerdaten verlassen die EU nicht; hier ist der AVV mit jedem Auftragsverarbeiter; hier ist das Verarbeitungsverzeichnis.“
Kurz gefasst
- • Self-Hosting ändert, welche Auftragsverarbeiter personenbezogene Daten verarbeiten, nicht ob die DSGVO gilt. Das Bild ändert sich nur so weit, wie sich Ihr gesamter Stack ändert.
- • Ein sauberer DSGVO-freundlicher Stack besteht typischerweise aus: einem deutschen Hoster (Hetzner, IONOS, Strato), Broadcast als Anwendung, Postgres auf demselben Server, einem SMTP-Anbieter in der EU, Backups in der EU und einem Error-Tracking in der EU oder selbst gehostet.
- • Sie brauchen weiterhin einen AVV mit dem Hoster und dem SMTP-Anbieter, ein Impressum, eine Datenschutzerklärung, Double Opt-in, dokumentierte Löschprozesse und ein Verzeichnis von Verarbeitungstätigkeiten. Nichts davon fällt weg.
- • Gut gemacht lässt sich ein selbst gehosteter DSGVO-Stack einem Datenschutzbeauftragten leichter erklären als ein US-SaaS mit TIA, SCC und DPF-Verweisen. Der Betrieb macht mehr Arbeit; dieser Kompromiss ist real.
Der Stack, Ebene für Ebene
Eine funktionierende Konfiguration. Für jede Ebene: die Rolle, die empfohlenen Optionen und die DSGVO-relevanten Hinweise.
1. Hoster
AuftragsverarbeiterHier steht der Server. Der Hoster ist Auftragsverarbeiter für alle personenbezogenen Daten auf der Festplatte. Wählen Sie einen deutschen Anbieter mit DSGVO-konformem AVV und deutschem Rechenzentrum.
Empfehlungen
- • Hetzner: deutsche GmbH, Standorte Falkenstein und Nürnberg, transparente Preise, Standard-AVV. Die Standardwahl für die meisten Teams.
- • IONOS: deutscher Anbieter mit deutschen Rechenzentren; breiteres Produktangebot, bei gleicher Ausstattung etwas höhere Listenpreise.
- • Strato: deutscher Anbieter, beliebt bei kleineren Teams.
- • OVH (Roubaix): französischer Anbieter, falls Sie EU, aber nicht Deutschland bevorzugen; rechtlich beim Thema Drittlandtransfer gleichwertig.
Hetzner betreibt auch Standorte in Helsinki (EU) und Ashburn (USA); wählen Sie bei der Bestellung ausdrücklich einen deutschen Standort.
2. Anwendung: Broadcast
Self-Hosted, auf Ihrem ServerBroadcast ist eine selbst gehostete Rails-Anwendung. Sie installieren sie mit einem Befehl auf Ihrem Server. Es gibt keinen SaaS-Mandanten, standardmäßig keine Nutzungstelemetrie an uns und keine monatliche Gebühr. Abonnenten, Listen, Automationen und Tracking-Ereignisse liegen in Ihrer eigenen Postgres-Datenbank.
Weil die Anwendung in Ihrem Verantwortungsbereich läuft, ist Broadcast kein Auftragsverarbeiter im Sinne der DSGVO. Verantwortlicher sind Sie, Auftragsverarbeiter ist der Hoster. Das ist eine der Vereinfachungen, die Self-Hosting bringt.
3. Datenbank: Postgres
Auf demselben ServerBroadcast nutzt Postgres. Im einfachsten Setup läuft Postgres auf derselben Maschine wie die Anwendung. Kein Managed-Datenbankdienst, kein zusätzlicher Auftragsverarbeiter: Die Daten liegen auf der Festplatte, die Sie ohnehin kontrollieren. Für größere Listen ist ein Managed Postgres im selben deutschen Rechenzentrum (etwa das Angebot von Hetzner) der nächste Schritt; der AVV besteht dann mit demselben Hoster.
4. SMTP-Relay
AuftragsverarbeiterDas SMTP-Relay übernimmt die eigentliche Zustellung. Die E-Mail-Adressen der Empfänger laufen darüber, also ist es Auftragsverarbeiter. Diese Wahl beeinflusst die Frage des Drittlandtransfers spürbar.
EU-only-Optionen (kein US-Mutterkonzern)
- • Brevo SMTP: französische SAS, Verarbeitung in der EU
- • Mailjet: gehört zu Sinch, operativ französisch, Verarbeitung in der EU
- • Eigenes Postfix: maximale Kontrolle; erfordert Arbeit an der IP-Reputation
EU-Standort, US-Mutterkonzern
- • Amazon SES (eu-central-1): am günstigsten, US-Mutterkonzern AWS
- • Postmark EU: starke Zustellbarkeit, US-Mutterkonzern ActiveCampaign
- • Mailgun EU: Mutterkonzern Sinch (Schweden), damit näher an EU-only
Für einen strikten EU-only-Stack sind Brevo oder Mailjet die saubersten Optionen. Für die niedrigsten Kosten bei einer für viele Teams akzeptablen Transferlage ist SES Frankfurt die Standardwahl.
5. Backups
Auftragsverarbeiter (falls extern)Die Server-Backups von Hetzner bleiben innerhalb der Hetzner-Infrastruktur (deutsche Rechenzentren) und sind vom selben AVV abgedeckt. Für Off-Site-Backups halten eine Hetzner Storage Box oder ein S3-kompatibler Objektspeicher aus Deutschland (etwa IONOS oder OVHcloud Object Storage in Frankfurt oder Straßburg) die AVV-Lage innerhalb der EU. Vermeiden Sie US-kontrollierte Backup-Ziele, sofern der Transfer nicht in Ihrer TIA dokumentiert ist.
6. Error-Tracking und Monitoring
Optional, aber verbreitetStacktraces können nebenbei personenbezogene Daten enthalten (etwa eine E-Mail-Adresse in einem Query-Parameter). Wählen Sie das Error-Tracking mit Bedacht. Sentry bietet Datenhaltung in der EU. GlitchTip ist eine selbst hostbare Alternative mit derselben SDK-API. Für Uptime und Metriken sind Uptime Kuma (selbst gehostet) und Grafana Cloud (Frankfurt) sinnvolle Optionen.
7. Support- und Betriebswerkzeuge
Wird leicht übersehenHelpdesk, Livechat, interne Dashboards und Screensharing-Werkzeuge können alle personenbezogene Daten sehen. Wenn Ihr Support-Team Intercom oder Zendesk nutzt, müssen diese Auftragsverarbeiter in Ihrer AVV-Kette und Ihrer TIA auftauchen. EU-freundliche Alternativen gibt es (Help Scout bietet EU-Datenhaltung; Crisp ist französisch; Freshdesk bietet EU-Datenhaltung). Selbst gehostete Optionen wie Chatwoot lösen die Frage vollständig auf.
Ein durchgerechnetes Beispiel
Ein Referenz-Stack nach DSGVO-Maßstab für einen typischen Newsletter mit 10.000 Empfängern. Konkrete Entscheidungen, mit Begründung.
Hetzner CX22 in Falkenstein
Broadcast (selbst gehostet)
Postgres, dieselbe Maschine
Amazon SES eu-central-1 (Frankfurt)
Hetzner Storage Box
GlitchTip (selbst gehostet) oder Sentry EU
Preise Stand Anfang 2026; prüfen Sie sie beim jeweiligen Anbieter, bevor Sie sich festlegen. Für einen strikten EU-only-Stack ohne US-Mutterkonzern auf irgendeiner Ebene tauschen Sie SES gegen Brevo SMTP aus Frankreich und rechnen mit einem moderaten Kostenaufschlag.
Was Self-Hosting nicht löst
Wichtig für die Ehrlichkeit dieser Seite: Diese Pflichten gelten unabhängig davon, welches Werkzeug oder welchen Stack Sie einsetzen.
Impressum
In Deutschland für jede geschäftsmäßige Website nach TMG § 5 Pflicht. Self-Hosting ändert daran nichts.
Datenschutzerklärung
Die Datenschutzerklärung muss jeden Auftragsverarbeiter nennen, der personenbezogene Daten verarbeitet. Self-Hosting verringert die Zahl der Einträge, hebt die Pflicht aber nicht auf.
Double Opt-in
Die deutsche Rechtsprechung behandelt Double Opt-in als sicheren Standard für die Newsletter-Einwilligung. Broadcast unterstützt das von Haus aus.
AVV mit jedem Auftragsverarbeiter
Hoster, SMTP-Anbieter, Backup-Ziel, Error-Tracking. Ein AVV pro Auftragsverarbeiter, archiviert.
Verzeichnis von Verarbeitungstätigkeiten (VVT)
Verzeichnis nach Art. 30 DSGVO. Für nahezu alle geschäftsmäßig Verantwortlichen Pflicht.
Auskunfts- und Löschprozesse
Dokumentiertes Verfahren für die Bearbeitung von Auskunfts- und Löschungsanfragen innerhalb der gesetzlichen Fristen.
Häufige Fragen
DSGVO-freundliche Newsletter-Software für deutsche Unternehmen.
Broadcast macht Sie nicht automatisch DSGVO-konform. Es gibt Ihnen ein einfacheres Infrastrukturmodell: Ihre Liste, Ihr Server, Ihre Datenbank, Ihr gewählter SMTP-Anbieter.
Einmalige Lizenz. Keine Staffelung nach Abonnentenzahl. Gebaut für Self-Hosting auf einem deutschen Server.
