DSGVO und der E-Mail-Client mit KI

Ein Mailprogramm ohne KI holt Nachrichten vom Server deines Anbieters und zeigt sie an. Verarbeitet wird auf deinem Gerät. Sobald eine KI-Funktion dazukommt, ändert sich das: für eine Zusammenfassung, eine Einordnung oder einen Antwortentwurf muss der Text der Nachricht an ein Modell gehen, und das Modell läuft nicht auf deinem Rechner.

Das gilt für jeden Anbieter in diesem Feld, auch für BoxBee. Wer etwas anderes behauptet, meint entweder ein sehr kleines Modell auf dem Gerät oder er ist nicht genau. Die ehrliche Auskunft lautet: es werden Inhalte übertragen, und die relevanten Fragen sind, welche Inhalte, wohin, wie lange gespeichert und mit welcher Rechtsgrundlage.

Diese vier Fragen trennen die Anbieter schneller als jede Funktionsliste. Wenn eine Antwort ausweicht oder in Marketingsprache abbiegt, ist das selbst schon eine Antwort.

• Welche Daten verlassen mein Gerät, und bei welcher Aktion genau? Nur beim Zusammenfassen, oder laufend im Hintergrund?
• In welchem Land stehen die Server, auf denen verarbeitet wird, und wer betreibt sie?
• Werden meine Inhalte gespeichert, und werden sie zum Training von Modellen verwendet?
• Gibt es einen Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO, und wer sind die Unterauftragsverarbeiter?

Für die Übermittlung personenbezogener Daten in Drittländer gelten in der DSGVO eigene Regeln. In der Praxis führt das dazu, dass Datenschutzbeauftragte, Betriebsräte und Aufsichtsbehörden bei US-Anbietern genauer hinsehen und mehr Dokumentation verlangen. Wenn die Verarbeitung ohnehin in Europa stattfindet, entfällt ein grosser Teil dieser Diskussion.

BoxBee ist deshalb so gebaut: die KI-Anfragen gehen an Mistral, ein in Frankreich entwickeltes Modell, und werden auf Servern in Europa verarbeitet. Der Anbieter, TTA Technologies, sitzt in Luxemburg. Das ist keine Zusicherung von Rechtssicherheit und ersetzt keine eigene Prüfung, aber es ist eine Kette ohne Wechsel des Rechtsraums.

Das ist ein wichtiger Unterschied, der oft durcheinandergeht. BoxBee stellt keine Postfächer bereit und vergibt keine Adressen. Dein Postfach bleibt bei dem Anbieter, bei dem es heute liegt, und BoxBee verbindet sich per IMAP und SMTP damit.

Für deine Datenschutzdokumentation heisst das: dein Mailanbieter bleibt unverändert im Verzeichnis der Verarbeitungstätigkeiten stehen, und BoxBee kommt als zusätzlicher Verarbeiter für die KI-Funktionen hinzu. Wer das Postfach nicht wechseln will oder darf, muss dafür nichts umbauen.

Diese Klarheit ist Absicht. Eine Datenschutzseite, die mehr verspricht als sie halten kann, kostet beim ersten genauen Blick mehr Vertrauen, als sie vorher eingebracht hat.

• Keine Zertifizierung nach ISO 27001, keine SOC-2-Bescheinigung, kein Siegel, das hier nicht belegt werden kann.
• Keine Aussage, dass der Einsatz in deinem Haus automatisch zulässig ist. Das entscheidet deine eigene Prüfung.
• Keine Verschlüsselung, die es nicht gibt. Verschlüsselt Ende zu Ende sind die BeeCrypted-Direktnachrichten zwischen BoxBee-Nutzern, nicht die normale Mail an Dritte.

Nimm die Datenschutzerklärung von BoxBee, lies den Abschnitt zur KI-Verarbeitung und gleiche ihn mit den vier Fragen oben ab. Wenn du in einer regulierten Branche arbeitest, gib den Abschnitt deiner oder deinem Datenschutzbeauftragten, bevor du ausrollst. Und teste sieben Tage lang mit einem echten Postfach, denn erst dann siehst du, welche Inhalte im Alltag überhaupt durch die KI-Funktionen laufen.