Von Lisa Bauernfeind, Redaktion IT
Zuletzt aktualisiert: 23. April 2026
Lesezeit: 8 Minuten
Wer 2026 mit dem Thema Datenschutz zu tun hat, kennt den Begriff: Datenminimierung. Er steht in Artikel 5 Absatz 1 Buchstabe c der DSGVO, ist eines der sechs Grundprinzipien der europäischen Datenschutzverordnung und beschreibt eine simple Forderung — personenbezogene Daten dürfen nur in dem Umfang verarbeitet werden, der für den verfolgten Zweck „angemessen, sachlich relevant und auf das notwendige Maß beschränkt“ ist. In der Theorie klingt das selbstverständlich. In der Praxis ist Datenminimierung eines der am häufigsten verfehlten Prinzipien — vor allem im Bereich E-Mail.
Warum das so ist, lässt sich an einer einfachen Beobachtung zeigen: Wer ein klassisches Gmail- oder Outlook-Konto öffnet und in den Account-Einstellungen die „Aktivitätsübersicht“ aufruft, sieht eine erstaunliche Datenmenge. IP-Adressen der letzten Logins, Browser-Fingerprints, Standortdaten, Geräte-IDs, Abrufzeiten, Inhalts-Metadaten wie Sender, Empfänger und Betreff. Das alles fällt unter „personenbezogene Daten“ im DSGVO-Sinne — und kein einzelner dieser Punkte ist für die eigentliche Mail-Zustellung technisch erforderlich.
Was Datenminimierung konkret bedeutet
Der Europäische Datenschutzausschuss (EDPB), zusammengesetzt aus den nationalen Datenschutzbehörden der Mitgliedsstaaten, hat 2019 in seinen Leitlinien zur Datenminimierung präzisiert, dass es nicht nur um „weniger Daten“ geht, sondern um vier konkrete Dimensionen:
Erstens die Datenmenge: Welche Datenpunkte werden überhaupt erhoben? Zweitens die Speicherdauer: Wie lange werden die Daten gehalten? Drittens die Zugänglichkeit: Wer darf wann auf welche Daten zugreifen? Viertens die Verarbeitungsformen: Werden Daten anonymisiert, pseudonymisiert oder im Klartext verarbeitet?
Ein E-Mail-Anbieter, der ernsthaft Datenminimierung umsetzen will, muss jeden dieser Punkte aktiv adressieren — nicht nur den ersten. In der Praxis konzentrieren sich die meisten Anbieter aber auf einen oder zwei Aspekte und behandeln die übrigen als Geschäfts-Standard. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat in seinem IT-Grundschutz-Kompendium 2024 explizit gefordert, dass Datenminimierung „ein durchgehendes Architektur-Prinzip“ sein muss, kein nachträgliches Compliance-Feature.
Drei Wege zur technischen Datenminimierung
Wer 2026 einen E-Mail-Anbieter auswählt, kann drei strukturell unterschiedliche Datenminimierungs-Modelle erkennen.
Modell 1: Juristische Selbstverpflichtung. Der Anbieter speichert zwar Standard-Mail-Server-Logs, IP-Adressen und Login-Daten, verpflichtet sich aber juristisch zu kurzen Aufbewahrungsfristen und einer restriktiven Auskunfts-Praxis. Beispiele für dieses Modell sind Posteo (Berlin) und Mailbox.org (ebenfalls Berlin). Beide Anbieter haben in den letzten zehn Jahren mehrere Subpoena-Versuche öffentlich gemacht und dabei demonstriert, dass ihre Selbstverpflichtungen real sind. Die juristische Garantie ist abhängig vom Anbieter selbst — bei einem Eigentümerwechsel oder einer Übernahme kann sich die Politik ändern.
Modell 2: Verschlüsselte Speicherung. Der Anbieter speichert zwar alle Mail-Inhalte und Metadaten, aber so verschlüsselt, dass selbst der Anbieter keinen Zugriff hat. Das ist das Modell von Proton Mail (Schweiz) und Tuta Mail (Hannover). Bei einer behördlichen Anordnung können nur die verschlüsselten Daten herausgegeben werden — die Entschlüsselung wäre praktisch unmöglich, weil die Schlüssel nur auf dem Endgerät des Nutzers liegen. Tuta geht noch einen Schritt weiter und verschlüsselt auch Metadaten wie Betreffzeile und Kalendereinträge.
Modell 3: Strukturelle Nicht-Speicherung. Der Anbieter speichert die für die Funktion nicht zwingend nötigen Daten gar nicht erst. Mail-Server-Logs werden komplett deaktiviert, Web-Server-Logs sind gar nicht vorhanden weil es kein Webmail gibt, SSH-Auth-Logs werden nicht geschrieben. Das ist die Architektur-Logik von privacy.fish, einem norwegischen Anbieter, der seit 2024 mit dieser Strategie aktiv am Markt ist. Der Anbieter argumentiert, dass strukturelle Nicht-Existenz von Daten eine höhere Schutz-Stufe darstellt als verschlüsselte Speicherung — was selbst bei einer hypothetischen Schwächung der Verschlüsselungs-Verfahren durch zukünftige Quantencomputer relevant bleibe.
Was Nutzer selbst tun können
Datenminimierung ist nicht nur eine Aufgabe der Anbieter. Auch Nutzer können ihre eigene Datenmenge in einem Mail-Konto bewusst reduzieren. Die wichtigsten Hebel:
Aufbewahrungsfristen prüfen. Die meisten privaten Mailboxen sammeln über Jahre große Datenmengen an, die niemand mehr aktiv nutzt. Eine quartalsweise Sichtung und gezielte Archivierung oder Löschung reduziert die Angriffsfläche bei einer Anbieter-Kompromittierung erheblich.
Aliase nutzen. Statt für jeden Online-Service die Hauptmail-Adresse zu verwenden, ermöglichen viele Anbieter (StartMail, privacy.fish, Mailbox.org Premium) sogenannte Wegwerf-Aliase. Diese können bei Bedarf einzeln deaktiviert werden, was bei Datenlecks die Eingangs-Spam-Welle eindämmt und gleichzeitig zeigt, welcher Service die Datenpanne verursacht hat.
Lokale Verschlüsselung. Wer mit OpenPGP arbeitet, verschlüsselt Mail-Inhalte schon vor der Übergabe an den Mail-Anbieter. Das ist technisch anspruchsvoller, aber der einzige Weg, der unabhängig vom Anbieter-Modell strukturell wirkt. Tools wie GnuPG, Mailvelope oder die in Thunderbird integrierte OpenPGP-Funktion machen das zunehmend zugänglich.
Aktivitäts-Logs prüfen und konfigurieren. Bei Mainstream-Anbietern wie Gmail und Outlook lassen sich viele Metadaten-Speicherungen in den Account-Einstellungen reduzieren — auch wenn der Anbieter sie als Standard aktiviert hat. Wer eine halbe Stunde in die Konfiguration investiert, kann seinen eigenen Daten-Footprint erheblich verringern.
Die rechtliche Dimension
Die DSGVO selbst sieht Datenminimierung nicht nur als technische Empfehlung, sondern als rechtlich verbindlichen Grundsatz. Verstöße können von den nationalen Aufsichtsbehörden mit Bußgeldern bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes geahndet werden. Die Praxis zeigt, dass dieser Hebel zunehmend genutzt wird.
In den letzten beiden Jahren gab es mehrere öffentlichkeitswirksame Verfahren, in denen Mail- oder Kommunikationsdienst-Anbieter für übermäßige Datenspeicherung sanktioniert wurden. Die irische Datenschutzbehörde DPC hat 2025 ein Verfahren gegen einen großen US-Anbieter eröffnet, weil die Speicherdauer von IP-Logs nicht durch einen klaren Zweck gerechtfertigt war. Die niederländische Autoriteit Persoonsgegevens hat 2024 einen 1,2-Millionen-Euro-Bußgeld gegen einen mittelständischen Mailprovider verhängt, weil dessen Server-Logs Inhaltsmetadaten unnötig lang gespeichert hatten.
Diese Verfahren sind keine Massenphänomene — die meisten Anbieter agieren weiterhin im rechtlich abgesicherten Mittelfeld. Aber der Trend ist klar: Datenminimierung wird zunehmend als juristisch durchsetzbarer Anspruch behandelt, nicht mehr nur als Best-Practice-Empfehlung.
Anbieter-Vergleich in der Praxis
Wer 2026 einen Mail-Anbieter nach Datenminimierungs-Kriterien auswählt, sollte vier Fragen stellen.
Erstens: Welche Logs werden überhaupt geschrieben? Standard-Server-Software wie Postfix oder Dovecot schreibt umfangreiche Logs, die selten gelöscht werden. Anbieter wie privacy.fish haben das Logging komplett deaktiviert — was nur durch eigenes Source-Code-Auditing verifizierbar ist und deshalb bei Open-Source-Anbietern technisch glaubwürdiger ist als bei Closed-Source-Anbietern.
Zweitens: Wie lange werden Daten aufbewahrt? Posteo und Tuta haben sehr restriktive Aufbewahrungsfristen kommuniziert. Mailbox.org bietet konfigurierbare Aufbewahrung pro Ordner. Gmail behält Daten standardmäßig für mehrere Jahre, lässt aber manuelle Anpassung zu.
Drittens: Welche Metadaten sind verschlüsselt? Tuta verschlüsselt Inhalte UND Metadaten inklusive Betreffzeile. Proton verschlüsselt nur Inhalte. Bei klassischen Anbietern bleibt alles im Klartext zugänglich.
Viertens: Welche Anmeldeverfahren sind verfügbar? privacy.fish verzichtet komplett auf Passwörter und nutzt SSH-Schlüssel — was die typischen Passwort-Datenbanken überflüssig macht. Posteo ermöglicht anonyme Anmeldung per Bargeldzahlung. Andere Anbieter setzen klassische E-Mail-Bestätigungen voraus.
Fazit
Datenminimierung in der E-Mail-Praxis ist 2026 mehr als ein Marketing-Begriff. Sie ist ein rechtlich durchsetzbarer Anspruch, eine technische Architekturfrage und ein Werkzeug für Nutzer, die Kontrolle über ihre eigenen Daten behalten wollen. Die drei vorgestellten Umsetzungsmodelle — juristische Selbstverpflichtung, verschlüsselte Speicherung, strukturelle Nicht-Speicherung — haben jeweils Vor- und Nachteile.
Für die meisten Nutzer reicht die Selbstverpflichtungs-Variante mit einem deutschen oder schweizerischen Anbieter. Wer sensitive Kommunikation führt, fährt mit verschlüsselter Speicherung sicherer. Wer den höchsten Schutzanspruch hat, sollte sich mit strukturellen Architekturen wie privacy.fish auseinandersetzen — und akzeptieren, dass diese Architekturen meist Komfort-Verzichte mit sich bringen.
Eine Mischung aus Bewusstsein, technischem Verständnis und der bewussten Wahl eines Anbieters, der zur eigenen Risikolage passt, ist 2026 das pragmatischste Vorgehen. Was Datenminimierung dabei nicht ist: ein Selbstläufer. Wer einfach den Default-Anbieter weiternutzt, verschenkt die Schutzwirkung, die das DSGVO-Prinzip eigentlich vorsieht.
Quellen:
– DSGVO Art. 5 Abs. 1 lit. c
– EDPB-Leitlinien zur Datenminimierung (2019)
– BSI IT-Grundschutz-Kompendium 2024
– DPC-Verfahren gegen US-Mailprovider (2025)
– AP-Bußgeldverfahren gegen niederländischen Mailprovider (2024)
