Bei der Verwendung von Mailgun können unter bestimmten Umständen DSGVO-relevante Probleme auftreten – aber sie sind lösbar, wenn man bestimmte Punkte beachtet.
✅ Das Wichtigste zur DSGVO und Mailgun:
Mailgun hat seinen Hauptsitz in den USA, was zunächst kritisch ist, da personenbezogene Daten (z. B. E‑Mail-Adressen, IP-Adressen, Tracking-Informationen) in ein Drittland außerhalb der EU übermittelt werden könnten.
Aber:
Mailgun bietet auch Rechenzentren in der EU (z. B. in Frankfurt) und ermöglicht die regionale Datenverarbeitung, was ein wichtiger Schritt zur DSGVO-Konformität ist.
🔍 DSGVO-Probleme & Lösungen im Detail
| Thema | Problem | Lösung |
|---|---|---|
| Datentransfer in die USA | Übermittlung personenbezogener Daten in ein unsicheres Drittland (USA) ohne Angemessenheitsbeschluss | Nur EU-Datenregion aktivieren und Vertrag zur Auftragsverarbeitung (AVV / DPA) abschließen |
| Tracking von Öffnungen/Klicks | Nutzerverhalten wird mitgetrackt (z. B. via Pixel oder Tracking-Links) | Nur mit Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO erlaubt; ggf. Tracking deaktivieren |
| E‑Mail-Inhalte mit personenbezogenen Daten | Inhalt wird über US-Server geleitet (wenn EU-Region nicht genutzt wird) | Keine sensiblen Daten im Mail-Text oder nur bei aktivierter EU-only-Verarbeitung |
✅ Was du tun solltest, um DSGVO-konform zu sein:
- EU-Region nutzen
– Bei Mailgun lässt sich die Verarbeitung auf EU-Server beschränken („EU region deployment“ – Frankfurt). - DPA/AVV abschließen
– Mailgun bietet einen Data Processing Addendum (DPA) an. Dies ist der Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. - Standardvertragsklauseln (SCCs) prüfen
– Falls doch Daten in die USA fließen, sollten die aktuellen EU-Standardvertragsklauseln implementiert und dokumentiert sein. - Einwilligung für Tracking einholen
– Öffnungs- und Klickraten dürfen nur mit vorheriger Einwilligung erfasst werden (Cookie-Banner / Opt-in). - Datenschutzerklärung aktualisieren
– Du musst Mailgun als Dienstleister mit Zweck, Datenumfang, Rechtsgrundlage und Speicherdauer in deiner Datenschutzerklärung aufführen.
⚠️ Fazit
Mailgun kann DSGVO-konform verwendet werden, wenn:
- du ausschließlich die EU-Datenregion nutzt,
- der AV-Vertrag abgeschlossen ist,
- und du Tracking nur mit Einwilligung einsetzt.
Wenn du dich unsicher fühlst, könnte ein Anbieter mit Sitz in der EU (wie z. B. Sendinblue / Brevo, CleverReach, mailjet) als Alternative sinnvoll sein.
