Einladungen von der Firmendomain versenden und DSGVO

Damit Einladungen von Ihrer Domain im Posteingang von Microsoft 365 und Google Workspace landen, versenden Sie sie von einer Subdomain wie events.ihrefirma.de, authentifizieren diese mit SPF, DKIM und DMARC, steigern das Volumen schrittweise und versenden nie nachts. Nach der DSGVO ist Ihr Unternehmen Verantwortlicher für die Gästeliste und die Einladungsplattform Auftragsverarbeiter. Sie brauchen also einen Vertrag zur Auftragsverarbeitung (Art. 28), Datenhaltung in der EU und einen klaren Zeitpunkt, zu dem Gästedaten gelöscht oder anonymisiert werden.

Der Ratgeber beruht darauf, wie wir digitale Einladungen für Firmenevents in der Praxis versenden, darunter 548 Einladungen zum 20-jährigen Jubiläum von CC Real, verschickt von deren eigener Domain events.cc-real.com. Er richtet sich an die Person, die das Event organisiert, und an die Kolleginnen und Kollegen aus IT und Datenschutz, die es freigeben müssen.

Warum landen Firmeneinladungen in der Quarantäne?

Die Filter von Microsoft 365 und Google Workspace sollen Massenmails von unbekannten Absendern stoppen. Eine typische Event-Einladung löst mehrere ihrer Signale gleichzeitig aus:

• Ein neuer Absender verschickt Hunderte Mails in Minuten. Für einen Filter sieht das nach gehacktem Konto oder Spamwelle aus.
• Ihre Domain im Absender, aber ein fremder Server. Ohne DKIM und DMARC kann der Empfänger Ihr Tool nicht von einem Betrüger unterscheiden.
• Ein PDF im Anhang. Anhänge von unbekannten Absendern sind ein klassisches Phishing-Muster und landen oft in der Quarantäne.
• Keine Abmeldung. Große Mailanbieter erwarten von Massenversendern eine Abmeldemöglichkeit. Wer sich nicht abmelden kann, klickt „Spam melden“.

Quarantäne ist schlimmer als der Spamordner. Der Gast sieht die Mail gar nicht, und ein Administrator muss sie von Hand freigeben.

Von der eigenen Domain oder von der Adresse der Plattform versenden?

Wir empfehlen eine Subdomain. Gäste sehen einen bekannten Namen, und wenn bei einem großen Versand etwas schiefgeht, bleibt die Reputation der Domain, über die Ihr Team täglich mailt, unberührt.

Welche DNS-Einträge muss Ihre IT setzen?

Seit Februar 2024 verlangt Gmail und seit Mai 2025 Outlook.com von Absendern, die mehr als 5.000 Nachrichten pro Tag an ihre privaten Postfächer schicken, SPF, DKIM und DMARC. Gmail verlangt zusätzlich eine Abmeldung mit einem Klick und eine Spam-Beschwerdequote unter 0,3 %. Firmenpostfächer in Microsoft 365 und Google Workspace folgen den Regeln ihrer Administratoren, aber auch dort entscheiden dieselben Signale.

Im Sealdate-Paket Marke ist der Versand von Ihrer Domain enthalten, im Paket Start kostet er 90 € extra. Wir führen Ihre IT Schritt für Schritt durch die Einrichtung und schicken fertige Anleitungen für Microsoft 365 und Google Workspace.

Wie schnell darf man von einer neuen Domain versenden?

Schrittweise. Eine neue Absenderadresse hat noch keine Reputation, deshalb wächst das Volumen über die ersten Tage. Diesen Plan wendet unser System automatisch an:

Planen Sie den Versand danach. Eine kleine Liste geht in ein bis zwei Tagen hinaus, eine große Liste von einer neuen Adresse braucht etwa eine Woche, bis jeder Gast die Einladung hat. Existiert eine Adresse nicht oder beschwert sich ein Empfänger, wird die Adresse gesperrt und der Versand gestoppt, bevor Ihre Domain Schaden nimmt.

Wie sollte die Einladungsmail selbst aussehen?

• Keine Anhänge. Die Einladung lebt auf einer Webseite, die Mail enthält einen persönlichen Link.
• Eine Textversion neben der HTML-Version.
• Abmeldung mit einem Klick (RFC 8058). Ein Header, mit dem das Mailprogramm einen Abmelde-Button zeigt, damit Empfänger diesen statt des Spam-Buttons nutzen.
• Der Name des Gastes und ein klarer Betreff mit Event und Datum.
• Zuerst eine Testmail an Sie, dann an alle.

Kein Absender kann die Zustellung garantieren. Sie können erfüllen, was Filter prüfen, und sehen, wer die Einladung geöffnet hat. Bei Sealdate bekommen Gäste, die nach 24, 48 oder 72 Stunden nicht geöffnet haben, eine gezielte Nachricht per Mail oder SMS.

Was sollten Sie Ihre IT fragen?

1. Können wir für Event-Mails eine Subdomain nutzen, z. B. events.unserefirma.de?
2. Wer setzt die SPF-, DKIM- und DMARC-Einträge, und bis wann?
3. Hat die Hauptdomain eine DMARC-Richtlinie, die die Subdomain erbt? Ist sie streng, müssen die Einträge vor dem ersten Versand stehen.
4. Sollen unsere Mitarbeitenden die Einladung über eine Zulassungsregel erhalten? Wenn ja, knüpfen Sie sie an die authentifizierte Domain, nicht an das Abschalten der Filter.
5. Wer erhält während des Versands die DMARC-Berichte?

Wer ist nach DSGVO verantwortlich für die Gästeliste?

Ihr Unternehmen. Sie entscheiden, wer eingeladen wird und warum, und sind damit Verantwortlicher. Die Einladungsplattform speichert und verarbeitet die Liste nach Ihren Weisungen und ist damit Auftragsverarbeiter. Art. 28 DSGVO verlangt einen schriftlichen Vertrag zur Auftragsverarbeitung (AVV). Bei Sealdate ist er Teil der Nutzungsbedingungen, und auf Anfrage senden wir ihn als eigenes Dokument zusammen mit der Liste der Unterauftragsverarbeiter.

Rechtsgrundlage für Einladungen an Mitarbeitende und bestehende Geschäftskontakte ist meist das berechtigte Interesse. Klären Sie das mit Ihrer oder Ihrem Datenschutzbeauftragten und halten Sie die Gästeliste vom Marketing getrennt: Eine Einladung zur Weihnachtsfeier ist keine Einwilligung in einen Newsletter. Bei Einladungen an die Belegschaft lohnt sich außerdem ein kurzer Blick, ob der Betriebsrat einbezogen werden muss.

Welche Gästedaten dürfen Sie erheben?

Nur, was das Event braucht: Name, Kontakt und Antwort. Fragen zu Begleitung und Ernährung sind in Ordnung, wenn sie dem Catering dienen. Vorsicht bei Allergien und Ernährung: Eine Antwort wie „glutenfrei wegen Zöliakie“ kann eine Gesundheitsinformation verraten. Machen Sie diese Fragen freiwillig, nutzen Sie die Antworten nur für das Event und löschen Sie sie danach.

Wo liegen die Gästedaten und wann werden sie gelöscht?

Ihre IT und Ihr Datenschutz können den AVV, die Liste der Unterauftragsverarbeiter und die Anleitung zur Absenderfreigabe unter privacy@sealdate.com anfordern. Details stehen in unserer Datenschutzerklärung und den AGB.

Was kostet das?

Der Versand von Ihrer Domain ist im Paket Marke enthalten, ab 680 € für bis zu 50 Gäste, und kostet im Paket Start, ab 290 €, 90 € extra. SMS-Einladungen und -Erinnerungen kosten 0,20 € pro Nachricht, mindestens 30 € pro Event. Sie zahlen einmal pro Event, ohne Abo. Für den Text selbst lesen Sie Textbeispiele für die Einladung zum Firmenevent und Texte für die Einladung zur Weihnachtsfeier.

Häufige Fragen

Können wir Einladungen von unserer eigenen Firmendomain versenden?

Ja. Am sichersten ist eine Subdomain wie events.ihrefirma.de mit SPF-, DKIM- und DMARC-Einträgen, die Ihre IT setzt. Bei Sealdate ist das im Paket Marke enthalten und kostet im Paket Start 90 € extra.

Landen die Einladungen bei Outlook und Microsoft 365 im Posteingang statt im Spam?

Garantieren kann das kein Absender, aber Sie können alles erfüllen, was Filter prüfen: authentifizierte Domain, schrittweiser Start mit 150 Nachrichten am ersten Tag, keine Anhänge, Textversion, Abmeldung mit einem Klick und kein Versand zwischen 21 und 8 Uhr.

Brauchen wir einen AVV mit der Einladungsplattform?

Ja. Ihr Unternehmen ist Verantwortlicher für die Gästeliste und die Plattform Auftragsverarbeiter, daher verlangt Art. 28 DSGVO einen schriftlichen Vertrag. Bei Sealdate ist er Teil der Nutzungsbedingungen und auf Anfrage als eigenes Dokument erhältlich.

Ist eine Gästeliste ein personenbezogenes Datum?

Ja. Namen, E-Mail-Adressen und Antworten sind personenbezogene Daten Ihrer Mitarbeitenden und Partner. Erheben Sie nur, was das Event braucht, speichern Sie sie in der EU und löschen oder anonymisieren Sie sie nach dem Event.

Wie lange dürfen wir Gästedaten nach dem Event aufbewahren?

Nur so lange, wie Sie sie für das Event brauchen. Bei Sealdate wird die Einladung nach dem Event archiviert und die personenbezogenen Daten der Gäste werden anonymisiert; Antworten können Sie selbst früher löschen.