E-Mail-Versand für SaaS-Plattformen, die im Auftrag tausender Kunden senden — und das DSGVO-fest

Sie betreiben eine SaaS-Plattform für deutsche Steuerberatungs­kanzleien, eine Praxis-Software für österreichische Arztpraxen, ein Buchungssystem für Schweizer Hotels, ein Helpdesk-Produkt für DACH-Mittelständler. Ihre Kunden sind kleine und mittlere Unternehmen, die auf Ihrer Plattform Terminerinnerungen, Rechnungs­benachrichtigungen, Mandanten-Kommunikation, Passwort-Resets versenden. Das aggregierte Volumen ist relevant — einstellige Millionen pro Monat sind üblich — aber kein einzelner Kunde sendet besonders viel. Die naheliegende Lösung: SendGrid, Mailgun oder Mailchimp Transactional anbinden, einen IP-Pool über alle Mandanten teilen, fertig. Genau hier verdichten sich zwei strukturelle Risiken zu einem operativen Problem.

Das erste Risiko ist die geteilte Reputation. Ein gemeinsamer IP-Pool bedeutet eine gemeinsame Reputation. Ein Spammer, ein kompromittiertes Konto, ein Mandant, der ohne § 7 UWG-Einwilligung eine Werbe­kampagne startet — und die Sende-Reputation aller anderen Mandanten Ihrer Plattform fällt mit. SendGrids eigene Dokumentation sagt das offen. Reale Vorfälle sind dokumentiert: Microsoft-Blocklisting, Zustellraten unter 30%, Wochen bis zur Erholung. Das Bulk-Sender-Mandate von Gmail/Yahoo aus 2024 (und die parallelen Microsoft-Regeln aus 2025) hat den Schwerpunkt von IP- auf Domain-Reputation verschoben — was hilft, aber das Pool-Problem nicht löst, weil Empfänger weiterhin Signale über gepoolter Infrastruktur aggregieren.

Das zweite Risiko ist regulatorisch und für DACH-Anbieter härter als für andere Märkte. Die meisten großen E-Mail-Versanddienstleister sind US-Unternehmen oder gehören zu US-Konzernen: SendGrid (Twilio, USA), Mailgun (Sinch, schwedischer Konzern mit US-Operations), Mailchimp (Intuit, USA), Postmark (ActiveCampaign, USA), Amazon SES (USA). Selbst wenn diese Anbieter eine EU-Region anbieten, bleibt das Drittstaatentransfer-Problem nach Art. 44 ff. DSGVO bestehen — der EDSA hat in seinen Leitlinien 05/2021 klargestellt, dass auch ein Zugriff durch eine US-Muttergesellschaft auf Daten in der EU-Tochter einen Drittstaatentransfer begründet, weil der CLOUD Act einschlägig ist. FISA 702 erlaubt US-Geheimdiensten den Zugriff auf Daten von Nicht-US-Personen bei US-Cloud-Anbietern ohne richterlichen Beschluss.

Das EU-US Data Privacy Framework (DPF) vom 10. Juli 2023 hat den Datentransfer in die USA an zertifizierte US-Unternehmen wieder formal abgesichert, aber die deutschen Aufsichtsbehörden bleiben skeptisch. Das BayLDA-Verfahren gegen einen deutschen Mailchimp-Nutzer bleibt eine warnende Referenz: Die bayerische Datenschutzaufsicht argumentierte, dass die SCCs allein gegen FISA-702-Zugriff wirkungslos seien, und dass ergänzende technische Maßnahmen erforderlich seien. NOYB (Max Schrems) hat bereits angekündigt, das DPF gerichtlich anzugreifen — eine Wiederholung des Privacy-Shield-Schicksals (Schrems II) ist nicht ausgeschlossen. Mehrere Landes­datenschutz­beauftragte empfehlen weiterhin ausdrücklich den Wechsel zu EU-Anbietern, wo praktisch möglich.

Für eine Multi-Mandanten-SaaS-Plattform bedeutet das: Sie tragen das Reputationsrisiko Ihrer schlechtesten Mandanten plus das Drittstaaten­transfer-Risiko Ihres US-Versanddienstleisters plus den Aufwand für Transfer Impact Assessments (TIA) gemäß EDSA-Empfehlungen 01/2020 plus die Erklärung gegenüber dem Procurement Ihrer mittelständischen Enterprise-Kunden, warum Mandanten-Daten überhaupt durch US-Infrastruktur fließen. Das alles bei einer Sache, die eigentlich nur eine technische Versand-Komponente sein sollte.

Im August 2025 hat AWS Amazon SES Tenants ausgeliefert — explizite Per-Mandant-Isolation mit Reputations-Policies, die problematische Mandanten automatisch pausieren. Der Produktstart hat das Reputations-Diagnoseproblem strukturell adressiert, aber die DSGVO-Frage natürlich nicht: SES Tenants läuft in AWS-Regionen, also unter US-Operator-Recht. Postmark, Mailgun und SendGrid haben Subaccounts in unterschiedlicher Tiefe; die Abuse-Containment-Automation drumherum ist uneinheitlich.

Die Kosten des Scheiterns sind konkret. Die Deliverability-Literatur zeigt rund $1.200 entgangenen Umsatz pro 1% gespammt-gefilterter Mail pro aktivem Absender. Die Erholung von einem Blocklisting-Vorfall liegt bei zwei Wochen bis sechs Monaten. Eine Woche E-Mail-Ausfall für ein 20-köpfiges Vertriebsteam kostet über $50.000 verlorene Pipeline. Der DACH-B2B-E-Commerce hatte 2023 in Deutschland allein ein Volumen von €104 Mrd. — das wirtschaftliche Gewicht der Zustellbarkeit nimmt zu, nicht ab. Und die Bußgelder bei DSGVO-Verstößen können sechsstellig werden, ohne den Reputationsschaden gegenüber B2B-Kunden mitzurechnen.

Das Produkt unter einem Multi-Mandanten-SaaS-Engagement mit uns ist derselbe Operator-managed PowerMTA-Stack, den wir an jeden anderen Dedicated-Infrastructure-Kunden liefern, konfiguriert für den Multi-Mandanten-Fall — und ergänzt um die DSGVO-Bausteine, die DACH-Procurement erwartet.