Spark Mail von Readdle ist einer der beliebtesten E-Mail-Clients für iOS, macOS, Windows und Android. Er bietet ein modernes UI, smarte Posteingangs-Funktionen, Team-Inboxes und KI-Features. Genau diese Komfortfunktionen sind aber datenschutzrechtlich heikel: Spark verbindet sich nicht direkt zwischen Ihrem Endgerät und dem Mailserver, sondern leitet einen wesentlichen Teil des Traffics über eigene Mail-Proxy-Server bei Readdle. Diese architektonische Entscheidung hat erhebliche Folgen für KMU, Spitäler, Anwaltskanzleien und alle Unternehmen, die Berufsgeheimnis oder besonders schützenswerte Personendaten bearbeiten.

Dieser Artikel zeigt:

• wie die Mail-Proxy-Architektur von Spark technisch funktioniert;
• welche OAuth-Berechtigungen Spark sich von Microsoft 365, Google Workspace oder iCloud holen lässt;
• welche personenbezogenen Daten Readdle als Auftragsbearbeiter und welche als eigener Verantwortlicher bearbeitet;
• warum Berufsgeheimnisträger (Art. 321 StGB) Spark in der heutigen Form kaum einsetzen können;
• welche Konfigurationspfade es trotzdem gibt (Self-Hosted-Modus, On-Prem-Setup);
• und welche Alternativen für Schweizer Unternehmen realistisch sind.

Rechtsanker: DSG (Art. 6, 8, 9, 16, 22, 24), DSGVO (Art. 28, 32, 44 ff.), Art. 321 StGB (Berufsgeheimnis), Art. 47 BankG, Art. 35 KAG, FINMA-RS 2018/3, Schrems II.

Anders als ein klassischer Mail-Client (Outlook, Apple Mail, Thunderbird), der per IMAP/SMTP direkt mit Ihrem Mailserver kommuniziert, schaltet Spark eigene Cloud-Server zwischen Endgerät und Mailserver. Konkret:

1. Bei der Konto-Einrichtung übergeben Sie Spark Ihre Zugangsdaten oder ein OAuth-Token für Microsoft 365 / Google Workspace.
2. Spark hinterlegt diese Credentials in der Readdle-Cloud (Hauptregion historisch USA, neuere Setups EU-Region).
3. Readdle-Server pollen Ihr Postfach im Auftrag des Spark-Clients und schieben Push-Benachrichtigungen an Ihr Gerät.
4. Bestimmte Funktionen (Snooze, Send Later, Team-Inbox, AI-Compose, Link Previews) erfordern, dass Mail-Inhalte oder Metadaten auf Readdle-Servern verarbeitet und teilweise temporär gespeichert werden.

Das ist keine Ende-zu-Ende-Architektur. Selbst wenn Ihr Mailserver in der Schweiz liegt (z. B. Infomaniak, Swisscom, Hostpoint, Exchange On-Prem), durchläuft jedes E-Mail einen US- oder EU-Cloud-Hop bei Readdle. Aus Sicht des DSG ist das eine Bekanntgabe an Readdle als Auftragsbearbeiter (Art. 9 DSG) und eine grenzüberschreitende Bekanntgabe nach Art. 16 DSG, sobald Readdle in einem Drittstaat ohne angemessenes Schutzniveau verarbeitet.

Wenn Sie Spark mit Microsoft 365 oder Google Workspace verbinden, fordert die App OAuth-Berechtigungen, die deutlich über das hinausgehen, was man bei einem reinen Mail-Client erwarten würde. Typischerweise:

• Mail.ReadWrite, Mail.Send – Lesen, Schreiben und Versenden aller E-Mails;
• Calendars.ReadWrite – Kalenderzugriff;
• Contacts.ReadWrite – Vollzugriff auf das Adressbuch;
• offline_access – Refresh-Tokens, mit denen Readdle praktisch unbegrenzt auf Ihr Postfach zugreifen kann, auch wenn der Client geschlossen ist;
• Files.Read.All – bei aktivierter Anhang-Funktion auch Lesezugriff auf OneDrive/Google Drive.

Diese Scopes geben Readdle technisch die Möglichkeit, auf alle Inhalte des Postfachs zuzugreifen – nicht nur auf eingehende Push-Benachrichtigungen, sondern auf den gesamten Bestand. Microsoft- und Google-Adminstrator:innen sehen Spark in Entra ID / Google Workspace Admin als Enterprise-App mit einer langen Berechtigungsliste. Ein Admin-Approval-Workflow ist hier zwingend; ohne ihn können einzelne Benutzer Spark beliebig autorisieren.

Dass Readdle technisch zugreifen kann, heisst nicht, dass sie es tun – die Privacy Policy von Readdle limitiert die Nutzung auf die Bereitstellung der Dienste. Aus regulatorischer Sicht bleibt aber die Zugriffsmöglichkeit der prüfungsrelevante Faktor, gerade beim CLOUD Act und FISA 702.

Aus Sicht des DSG und der DSGVO ist Readdle in zwei Rollen unterwegs:

1. Auftragsbearbeiter für die Mail-Inhalte, Kontakte und Kalender, die Sie über Spark verarbeiten. Hier braucht es einen Auftragsbearbeitungsvertrag (Data Processing Addendum) nach Art. 9 DSG / Art. 28 DSGVO. Readdle bietet ein solches DPA an, allerdings ist es für viele Schweizer Anwendungsfälle (Spitäler, Kanzleien, Banken) nicht ausreichend, weil es weder Schweizer Recht als Gerichtsstand vorsieht noch FINMA-Audit-Rechte enthält.
2. Eigener Verantwortlicher für Telemetrie- und Nutzungsdaten der Spark-App (Crashes, Feature-Nutzung, Account-Verknüpfung), für Marketing-Daten und für gewisse AI-Trainingsdaten – sofern entsprechende Opt-Ins gesetzt sind. Diese Sekundärbearbeitung muss in Ihrer Datenschutzerklärung Ihrer Mitarbeitenden transparent gemacht werden.

Besonders kritisch: Wenn Spark privat von Mitarbeitenden installiert wird und Geschäfts-E-Mails über Readdle laufen, ohne dass die IT davon weiss, liegt eine ungenehmigte Bekanntgabe an einen Auftragsbearbeiter vor. Das ist eine Verletzung der Sorgfaltspflichten nach Art. 8 DSG und kann eine Datenpannen-Meldepflicht nach Art. 24 DSG auslösen, sobald daraus ein hohes Risiko für die Betroffenen entsteht.

Für Berufsgeheimnisträger ist Spark in seiner Default-Konfiguration kaum vertretbar. Art. 321 StGB (Anwälte, Notare, Ärzte, Apotheker) und Art. 47 BankG (Bankgeheimnis) verlangen, dass die Weitergabe geschützter Informationen an Dritte nur in engen, gesetzlich definierten Konstellationen oder mit Einwilligung erfolgt.

Eine Bekanntgabe an Readdle ist eine Weitergabe an einen Dritten. Selbst mit Auftragsbearbeitungsvertrag bleibt die Frage, ob ein Mandant in eine Bekanntgabe seiner Korrespondenz an einen US-Anbieter eingewilligt hätte. Die herrschende Lehre (siehe die Stellungnahmen der FMH zur Cloud-Nutzung, die SwissBanking-Cloud-Position und die Aufsichtspraxis der Anwaltskommissionen) verlangt:

• Eine schriftliche Einwilligung des Mandanten/Patienten in die Cloud-Bearbeitung, oder
• eine technische Architektur, in der die Cloud-Komponente die Inhalte technisch nicht sehen kann (Ende-zu-Ende-Verschlüsselung, Zero-Knowledge).

Spark erfüllt keines dieser beiden Kriterien out of the box. Für FINMA-regulierte Institute kommt hinzu, dass nach RS 2018/3 jede wesentliche Outsourcing-Beziehung an die FINMA gemeldet und mit Audit-Rechten ausgestattet werden muss – eine Anforderung, die Readdle in der heute öffentlich angebotenen Form nicht erfüllt.

Wenn Sie Spark im Unternehmen einsetzen wollen, gibt es realistische Pfade – jeder mit Trade-offs:

1. Spark for Teams Self-Hosted (Enterprise-Tier): Readdle bietet für grössere Kunden ein Self-Hosted-Setup an, bei dem die Mail-Proxy-Funktion in Ihrer eigenen Infrastruktur läuft. Dies eliminiert die Drittstaaten-Bekanntgabe für Mail-Inhalte, behält aber die Auftragsbearbeitung für Telemetrie und Konto-Synchronisation bei.
2. Whitelisting auf Tenant-Ebene: Microsoft 365 / Google Workspace Admins können Spark als Enterprise-App entweder blocken oder mit eng definierten Scopes und Admin-Approval freischalten. Damit verhindern Sie unautorisierte Privatinstallationen.
3. Reine Privatnutzung: Wenn Mitarbeitende Spark nur für private E-Mail-Konten nutzen, betrifft das den Arbeitgeber datenschutzrechtlich nicht – sofern keine Geschäfts-E-Mails über das private Konto fliessen. Diese Trennung muss in der IT-Nutzungsrichtlinie eindeutig geregelt sein.
4. DPIA und Risikoabwägung: Für nicht-regulierte Unternehmen mit geringem Geheimnisdichte-Niveau kann eine DPIA zum Schluss kommen, dass Spark vertretbar ist – wenn DPA, EU-Region, Logging und Exit-Strategie sauber dokumentiert sind.

Wichtig ist, dass keine dieser Optionen die grundsätzliche Architektur ändert: Spark bleibt eine Cloud-vermittelte App, kein klassischer Direkt-Client.

Wenn Spark nicht durchsetzbar ist, gibt es etablierte Alternativen, die dem Schweizer Compliance-Niveau besser entsprechen:

• Outlook (Microsoft 365): Direkter Sync via Exchange ActiveSync / Graph, keine Drittpartei zwischen Client und Server. Mit Intune und Conditional Access durchgängig managbar.
• Apple Mail: Direktverbindung per IMAP/EAS, keine Cloud-Vermittlung. Für reine Apple-Flotten oft die einfachste Lösung.
• Mozilla Thunderbird: Open Source, vollständige Eigenkontrolle, S/MIME- und PGP-Support nativ.
• Proton Mail / Tutanota: End-to-End-verschlüsselte Mail-Anbieter mit eigenen Clients – relevant für Berufsgeheimnisträger und Unternehmen mit hoher Vertraulichkeitsanforderung.
• Infomaniak Mail / kSuite: Schweizer Anbieter mit Webclient und nativen Apps; eine native Schweizer Cloud-Lösung.

Wenn Sie auf den Komfort einer modernen Inbox-Erfahrung nicht verzichten wollen, ist Outlook Mobile mit Microsoft Defender for Cloud Apps und sauberer Conditional-Access-Policy meist die beste Balance zwischen UX und Compliance.

SIDD bewertet Mail-Clients und Kollaborationstools regelmässig im Rahmen von Plattform-Audits, DPIA-Mandaten und ISO/IEC 27001-Projekten. Für Spark Mail liefern wir Ihnen eine klare Empfehlung pro Use Case – inkl. der Frage, ob Self-Hosted-Tier wirtschaftlich darstellbar ist oder eine Alternative der bessere Weg ist.

Typische Leistungen:

• DPIA für Spark Mail oder vergleichbare Cloud-vermittelte Mail-Clients;
• Review Ihrer Microsoft 365- / Google-Workspace-Tenant-Konfiguration auf nicht autorisierte OAuth-Apps;
• Erstellung oder Update der IT-Nutzungsrichtlinie inkl. Klarheit zur Privat-/Geschäftstrennung;
• Mandate als externer Datenschutzberater oder externer CISO/ISB;
• ISO/IEC 27001-Begleitung (ISO 27001 / ISMS);
• Awareness-Trainings für Mitarbeitende (IT-Sicherheits-Workshops).

Kontaktieren Sie uns über das Kontaktformular oder fordern Sie ein Angebot über das Offertformular an. Eine schnelle Erstbewertung zu Spark Mail liefern wir innerhalb von zwei Arbeitstagen.