Zugangsdaten DSGVO-konform übergeben

Was die DSGVO bei der Übermittlung von Zugangsdaten verlangt

Zugangsdaten schützen fast immer den Zugriff auf personenbezogene Daten, etwa auf ein Kundensystem, ein Postfach oder eine Datenbank. Die Art und Weise, wie du diese Zugangsdaten übermittelst, fällt damit unter die DSGVO. Drei Grundsätze sind hier zentral.

• Vertraulichkeit (Art. 5 Abs. 1 lit. f): Daten müssen so verarbeitet werden, dass sie vor unbefugtem Zugriff geschützt sind. Ein Passwort im Klartext per Mail widerspricht dem, weil es dauerhaft in Postfächern und Backups lesbar bleibt.
• Datenminimierung (Art. 5 Abs. 1 lit. c): Es soll nur so viel und so lange verarbeitet werden wie nötig. Ein Zugang, der nach der Übergabe dauerhaft in mehreren Systemen gespeichert bleibt, verstößt gegen dieses Prinzip.
• Technische und organisatorische Maßnahmen, TOMs (Art. 32): Du musst dem Stand der Technik entsprechende Maßnahmen treffen. Für die Übermittlung von Geheimnissen zählt dazu insbesondere Verschlüsselung.

Kurz gesagt: Zugangsdaten sollen verschlüsselt übertragen, so kurz wie möglich vorgehalten und danach zuverlässig gelöscht werden. Genau das lässt sich mit einem Einmal-Link abbilden.

Warum ein Einmal-Link diese Anforderungen abdeckt

Ein selbstzerstörender Einmal-Link setzt genau an den drei Punkten an, die die DSGVO verlangt.

• Clientseitige Verschlüsselung: Der Inhalt wird bereits in deinem Browser mit AES-256-GCM verschlüsselt, bevor er den Server erreicht. Der Schlüssel steckt hinter dem # im Link und wird technisch nicht an den Server gesendet. Der Betreiber sieht die Zugangsdaten deshalb nie im Klartext.
• Serverstandort Deutschland: Der Server steht in Deutschland und damit im Anwendungsbereich der DSGVO. Es entsteht keine Übermittlung in ein Drittland, für die zusätzliche Garantien nötig wären.
• Keine dauerhafte Speicherung: Nach dem einmaligen Abruf wird der verschlüsselte Block gelöscht. Es bleibt kein Archiv zurück, das später zum Risiko werden könnte. Das dient direkt der Datenminimierung.

Ehrlich eingeordnet ist das keine klassische Ende-zu-Ende-Verschlüsselung, sondern clientseitige Verschlüsselung im Browser. Das Vertrauensmodell setzt voraus, dass der ausgelieferte Code korrekt arbeitet. Für die alltägliche Übergabe einzelner Zugänge ist dieser Ansatz gegenüber Klartext trotzdem ein klarer Gewinn an Vertraulichkeit.

Konkrete Szenarien aus der Praxis

Login-Daten an den Kunden

Du richtest einen Account ein und möchtest dem Kunden die Erstzugangsdaten schicken. Statt Benutzername und Passwort in eine Mail zu schreiben, verschickst du einen Einmal-Link. Der Kunde öffnet ihn, notiert sich die Daten und der Link ist verbraucht. Am besten mit dem Hinweis, das Passwort nach dem ersten Login zu ändern.

Serverzugang ans Entwicklungsteam

SSH-Zugänge, API-Schlüssel oder Deploy-Tokens gehören nicht dauerhaft in einen Chatverlauf. Über einen Einmal-Link übergibst du sie gezielt an eine Person, ohne dass die Daten im Team-Tool zurückbleiben und dort mitgesichert werden.

WLAN- oder Datenbankzugang

Auch temporäre Zugänge wie ein Gast-WLAN-Passwort oder ein Datenbank-Login lassen sich so weitergeben, dass nach dem einmaligen Lesen nichts Lesbares zurückbleibt. Das reduziert die Angriffsfläche spürbar.

Grenze: keine Auftragsverarbeitung, kein AVV-Ersatz

Wichtig zur ehrlichen Einordnung: Dieses Tool ist ein Hilfswerkzeug einer Einzelperson für die punktuelle, sichere Übermittlung einzelner Geheimnisse. Es ist nicht als Plattform für eine strukturierte Auftragsverarbeitung im Sinne von Art. 28 DSGVO gedacht.

Wo eine Auftragsverarbeitung vorliegt, brauchst du weiterhin einen Auftragsverarbeitungsvertrag (AVV) mit deinem eigenen Vertragspartner und musst deine Pflichten dort abbilden. Der Einmal-Link ersetzt diese vertragliche Grundlage nicht, sondern kann innerhalb deiner Prozesse als sicherer Übertragungsweg dienen. Details zur Nutzung und zur Verantwortung findest du in den Nutzungsbedingungen.

Häufige Fragen

Reicht ein Einmal-Link, um Zugangsdaten DSGVO-konform zu übergeben?

Für den Übertragungsweg deckt er die zentralen Anforderungen gut ab: verschlüsselte Übertragung, Serverstandort Deutschland und keine dauerhafte Speicherung. Ob deine Verarbeitung insgesamt DSGVO-konform ist, hängt aber vom Gesamtkontext ab, etwa von Rechtsgrundlage, bestehenden Verträgen und deiner Dokumentation. Der Link ist ein Baustein, nicht die komplette Compliance.

Sieht der Betreiber die übergebenen Zugangsdaten?

Nein. Die Verschlüsselung passiert in deinem Browser, der Schlüssel steckt im Link-Fragment hinter dem # und wird technisch nicht an den Server gesendet. Auf dem Server liegt nur ein verschlüsselter Datenblock, den der Betreiber nicht entschlüsseln kann.

Ersetzt das Tool einen Auftragsverarbeitungsvertrag?

Nein. Wo eine Auftragsverarbeitung nach Art. 28 DSGVO vorliegt, brauchst du weiterhin einen entsprechenden Vertrag mit deinem Partner. Das Tool ist ein Übertragungsweg für einzelne Geheimnisse und kein Ersatz für die vertragliche Grundlage.

Ist der Serverstandort für die DSGVO relevant?

Ja. Weil der Server in Deutschland und damit in der EU steht, entsteht keine Übermittlung in ein Drittland, für die zusätzliche Garantien wie Standardvertragsklauseln erforderlich wären. Das vereinfacht die datenschutzrechtliche Bewertung.