DSGVO-konforme CRM-Software: Worauf Unternehmen achten müssen

Eine DSGVO-konforme CRM-Software erkennen Sie nicht an einem Siegel auf der Website, sondern an fünf prüfbaren Punkten: einem Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, einem nachvollziehbaren Serverstandort ohne unkontrollierten Drittlandtransfer, einem Rollen- und Rechtekonzept, einem Löschkonzept mit Fristen und einer Protokollierung, die Zugriffe und Änderungen nachweisbar macht. Dazu kommt die Unterstützung bei Betroffenenrechten wie Auskunft und Löschung. Dieser Artikel erklärt, was hinter jedem Punkt steckt, liefert eine Checkliste für die Anbieterprüfung und räumt mit typischen Irrtümern auf.

Was DSGVO-Konformität bei einer Software wirklich bedeutet

Die Datenschutz-Grundverordnung richtet sich an Sie als Verantwortlichen, nicht an das Werkzeug. Eine Software kann Sie deshalb nicht konform machen, sie kann Ihnen aber die Einhaltung ermöglichen oder verbauen. Ein CRM-System verarbeitet Namen, E-Mail-Adressen, Telefonnummern, Gesprächsnotizen, Angebote und oft auch Vertragsdaten. Jede dieser Verarbeitungen braucht eine Rechtsgrundlage, einen Zweck und ein Ende.

Für den Alltag im Vertrieb reicht in den meisten Fällen die Vertragsanbahnung oder Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO oder das berechtigte Interesse nach lit. f. Eine Einwilligung brauchen Sie vor allem für werbliche E-Mails und Newsletter, hier kommt zusätzlich das Wettbewerbsrecht ins Spiel. Die Software muss diese Unterschiede abbilden können: Wer hat wann welcher Nutzung zugestimmt, und wer hat widersprochen.

Konformität bedeutet konkret, dass die Software vier Dinge leistet:

• Sie verarbeitet Daten nur dort und nur so, wie Sie es vertraglich festgelegt haben.
• Sie beschränkt den Zugriff auf Personen, die ihn für ihre Aufgabe brauchen.
• Sie ermöglicht Löschung, Berichtigung und Auskunft innerhalb der gesetzlichen Fristen.
• Sie hält fest, wer was wann geändert hat, damit Sie im Zweifel Rechenschaft ablegen können (Art. 5 Abs. 2 DSGVO).

Auftragsverarbeitung nach Art. 28 DSGVO

Sobald ein Anbieter Ihre Kundendaten auf seinen Servern speichert, ist er Auftragsverarbeiter. Ohne schriftlichen Vertrag nach Art. 28 DSGVO dürfen Sie das System nicht produktiv nutzen. Der Vertrag ist keine Formalie, er legt fest, was der Anbieter mit Ihren Daten tun darf und was nicht.

Was in den Auftragsverarbeitungsvertrag gehört

Art. 28 Abs. 3 DSGVO nennt die Mindestinhalte. Prüfen Sie, ob der Vertrag Ihres Anbieters folgende Punkte abdeckt:

• Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie Art der Daten und Kategorien betroffener Personen
• Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen
• Verpflichtung der Mitarbeiter des Anbieters zur Vertraulichkeit
• Technische und organisatorische Maßnahmen nach Art. 32 DSGVO, meist als Anlage
• Regelung zu Unterauftragsverarbeitern mit Informations- und Widerspruchsrecht
• Unterstützung bei Betroffenenanfragen und bei Datenschutzverletzungen
• Löschung oder Rückgabe der Daten nach Vertragsende
• Nachweispflichten und Kontrollrechte, etwa durch Audits oder Zertifikate

Ein seriöser Anbieter stellt den Vertrag ohne Nachfrage bereit, oft als klar benanntes Dokument neben den Nutzungsbedingungen. Wenn Sie den Vertrag erst nach mehreren E-Mails erhalten oder er nur auf Englisch mit Verweis auf ausländisches Recht existiert, ist das ein Warnsignal.

Unterauftragsverarbeiter: die Kette hinter dem Anbieter

Kaum ein Software-Anbieter betreibt alles selbst. Rechenzentrum, E-Mail-Versand, Telefonie-Schnittstellen oder Backup-Speicher liegen häufig bei Dritten. Jeder dieser Dienstleister ist ein Unterauftragsverarbeiter, und Sie müssen wissen, wer das ist und wo er sitzt. Verlangen Sie eine aktuelle Liste. Wenn diese Liste Anbieter außerhalb der EU für zentrale Funktionen enthält, landen Sie beim nächsten Thema.

Serverstandort und Drittlandtransfer

Die DSGVO verbietet den Transfer in Länder außerhalb der EU und des EWR nicht, sie knüpft ihn an Bedingungen (Art. 44 ff. DSGVO). Zulässig ist ein Transfer, wenn ein Angemessenheitsbeschluss der EU-Kommission vorliegt, wenn Standardvertragsklauseln vereinbart wurden und eine Prüfung des Zielrechts stattgefunden hat, oder wenn eine der engen Ausnahmen greift. Für die USA gilt seit 2023 ein Angemessenheitsbeschluss, der nur für zertifizierte Unternehmen greift. Seine beiden Vorgänger hat der Europäische Gerichtshof für ungültig erklärt, weshalb viele Unternehmen diesen Weg mit Vorsicht nutzen.

Das bedeutet für Sie als kleines oder mittleres Unternehmen: Jeder Drittlandtransfer ist Prüf- und Dokumentationsaufwand, den Sie tragen müssen, nicht der Anbieter. Hosting in Deutschland oder in der EU nimmt Ihnen diesen Aufwand ab. Es macht die Software nicht automatisch konform, aber es entfernt eine der komplexesten Fragen aus Ihrem Verzeichnis von Verarbeitungstätigkeiten.

Worauf Sie beim Hosting konkret achten

• Wo stehen die Server, auf denen Ihre Daten produktiv liegen, und wo liegen die Backups?
• Wer betreibt das Rechenzentrum, und unterliegt der Betreiber Gesetzen eines Drittlands, auch wenn die Server in Europa stehen?
• Läuft der Support-Zugriff auf Ihre Daten aus einem Drittland?
• Werden Telemetrie- oder Nutzungsdaten an Dritte außerhalb der EU gesendet?

Bei digital scaleUp solutions liegen die Daten in Deutschland, die Software ist eine Eigenentwicklung aus Berlin. Das ist ein solides Fundament, ersetzt aber nicht Ihre eigene Dokumentation. Details zum Hosting und zur Auftragsverarbeitung klären wir gern in einem Beratungstermin.

Rollen und Rechte: Wer darf was sehen

Art. 32 DSGVO verlangt Maßnahmen, die dem Risiko angemessen sind. Zugriffskontrolle steht dabei ganz oben. Ein CRM, in dem jeder Benutzer jeden Datensatz sehen, exportieren und löschen kann, erfüllt diese Anforderung nicht, egal wo der Server steht.

Ein brauchbares Rechtekonzept unterscheidet mindestens drei Ebenen:

1. Modulrechte: Welche Bereiche der Software darf ein Benutzer überhaupt öffnen? Ein Monteur braucht Zeiterfassung und Aufgaben, nicht die Finanzberichte.
2. Datenrechte: Welche Datensätze innerhalb eines Moduls darf er sehen? Eigene Kunden, Kunden der Gruppe oder alle.
3. Aktionsrechte: Was darf er mit den Daten tun? Lesen, bearbeiten, exportieren, löschen.

Gerade der Export verdient Aufmerksamkeit. Ein Mitarbeiter, der die gesamte Kundenliste als Tabelle herunterladen kann, ist das größte Datenschutzrisiko in vielen Betrieben. Prüfen Sie, ob Exporte auf Rollen beschränkt und protokolliert werden.

In einer All-in-One-Software wie digital scaleUp solutions greifen die Module ineinander: Die Dokumentenablage kennt Rechte je Team, Freigabelinks nach außen sind bewusst gesetzte Ausnahmen, und Gesprächsnotizen bleiben in der Kundenakte statt in privaten Notizbüchern. Wie eine solche Akte aufgebaut ist, lesen Sie im Artikel Kundenverwaltung mit digitaler Kundenakte.

Löschkonzept: Daten brauchen ein Ablaufdatum

Der Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) ist der am häufigsten ignorierte Punkt. Ein CRM sammelt Leads, die nie Kunden werden, Bewerbungen, die abgelehnt wurden, und Kontakte ehemaliger Ansprechpartner. Ohne Löschkonzept bleibt alles liegen.

Ein Löschkonzept beantwortet je Datenkategorie drei Fragen: Warum speichern wir das, wie lange, und was passiert danach. Typische Kategorien im CRM:

Die genannten Fristen sind Orientierungswerte, keine Rechtsberatung. Entscheidend ist, dass Ihre Software Fristen abbilden kann: durch Wiedervorlagen, Kennzeichnungen oder Regeln, die alte Datensätze zur Prüfung vorlegen. Handels- und steuerrechtliche Aufbewahrungspflichten gehen der Löschung vor, betreffen aber nur die Belege, nicht die gesamte Kundenakte.

Protokollierung und Nachweis

Rechenschaftspflicht heißt: Sie müssen belegen können, dass Sie die Regeln einhalten. Dafür braucht die Software ein Änderungsprotokoll, das mindestens festhält, wer wann welchen Datensatz angelegt, geändert, exportiert oder gelöscht hat. Ohne dieses Protokoll können Sie eine Betroffenenanfrage nicht vollständig beantworten und eine Datenpanne nicht eingrenzen.

Achten Sie darauf, dass das Protokoll selbst nicht von normalen Benutzern gelöscht werden kann und dass Sie es im Bedarfsfall auswerten können, ohne den Anbieter um Hilfe zu bitten.

Betroffenenrechte in der Praxis

Kunden dürfen Auskunft verlangen (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragung (Art. 20) und Widerspruch (Art. 21). Die Frist beträgt in der Regel einen Monat. Ein CRM-System, in dem die Daten eines Kunden über Notizen, Tickets, Termine und Dokumente verstreut sind, macht die Auskunft zur Tagesaufgabe.

Prüfen Sie deshalb praktisch: Können Sie alle Daten zu einer Person mit wenigen Klicks zusammenstellen? Können Sie einen Datensatz vollständig löschen, inklusive Anhänge, oder bleibt etwas in Papierkörben liegen? Und wird ein Widerspruch gegen Werbung so hinterlegt, dass niemand versehentlich doch eine Kampagne an diese Person sendet?

Der Vorteil einer integrierten Lösung liegt auf der Hand: Wenn CRM, Ticketsystem, Termine und Dokumente in einem System liegen, gibt es eine Kundenakte statt fünf Datensilos. Was das für kleine Betriebe im Alltag bedeutet, beschreibt der Artikel All-in-One-Software für KMU.

Checkliste für die Anbieterprüfung

Nutzen Sie diese Tabelle im Gespräch mit einem Anbieter oder während der Testphase. Jede Zeile lässt sich mit Ja oder Nein beantworten.

Wenn mehr als zwei Zeilen mit Nein beantwortet werden, sollten Sie nicht mit dem Anbieter starten, sondern nachfragen oder weitersuchen.

Typische Irrtümer

Irrtum 1: Server in Deutschland heißt DSGVO-konform

Der Serverstandort löst die Frage des Drittlandtransfers, sonst nichts. Rollen, Löschfristen, Protokolle und der AV-Vertrag hängen nicht vom Standort ab. Ein deutsches Rechenzentrum mit einem CRM ohne Rechtekonzept ist nicht konform.

Irrtum 2: Der Anbieter ist für den Datenschutz verantwortlich

Der Anbieter ist Auftragsverarbeiter, Sie bleiben Verantwortlicher. Bußgelder und Auskunftspflichten treffen Ihr Unternehmen. Der Anbieter muss Sie unterstützen, aber er entscheidet nicht über Zwecke und Fristen.

Irrtum 3: Wir brauchen für alles eine Einwilligung

Für die Verwaltung von Kunden und Interessenten im Rahmen der Geschäftsbeziehung reicht in der Regel die Vertragsanbahnung oder das berechtigte Interesse. Einwilligungen brauchen Sie gezielt, vor allem für E-Mail-Werbung. Wer überall Einwilligungen einholt, erzeugt Verwaltungsaufwand und schwächt die Rechtsgrundlage, weil eine Einwilligung jederzeit widerrufbar ist.

Irrtum 4: Excel ist unproblematischer als ein CRM

Eine Tabelle auf dem Netzlaufwerk hat keine Rollen, kein Protokoll, keine Löschfristen und wird per E-Mail weitergereicht. Aus Datenschutzsicht ist das die schlechteste Variante. Wie der Umstieg gelingt, zeigt die Checkliste zur CRM-Einführung.

Irrtum 5: Kleine Betriebe sind ausgenommen

Die DSGVO gilt unabhängig von der Unternehmensgröße. Lediglich die Pflicht zur Benennung eines Datenschutzbeauftragten hängt nach § 38 BDSG von der Zahl der Personen ab, die ständig mit automatisierter Verarbeitung beschäftigt sind, in der Regel ab 20 Personen. Die übrigen Pflichten gelten auch für den Zwei-Personen-Betrieb.

Was das für die Auswahl bedeutet

Ein DSGVO-konformes CRM ist kein Produktmerkmal, das man einmal abhakt, sondern die Summe aus Vertrag, Technik und Ihrer eigenen Organisation. Bei der Auswahl zählen deshalb: der AV-Vertrag, der Serverstandort, ein Rechtekonzept über alle Module, Werkzeuge für Löschung und Auskunft, und ein Anbieter, den Sie erreichen, wenn es darauf ankommt.

digital scaleUp solutions wurde als Eigenentwicklung in Berlin gebaut, wird in Deutschland gehostet und bündelt CRM, Tickets, Termine, Zeiterfassung und Dokumente in einer Kundenakte. Welche Funktionen und Preise es gibt, finden Sie auf der Produktseite. Was ein CRM für kleine Unternehmen grundsätzlich leisten sollte, beschreibt der Artikel CRM für kleine Unternehmen, und mit welchen Kosten Sie rechnen müssen, der Beitrag zu CRM-Software-Kosten.

Häufige Fragen

Brauche ich einen Auftragsverarbeitungsvertrag, wenn ich das CRM nur teste?

Ja, sobald Sie echte Kundendaten eingeben. Für einen Test mit fiktiven Daten ist kein Vertrag nötig. Sinnvoll ist es, den Vertrag vor dem Test zu lesen, damit Sie nach 30 Tagen ohne Verzögerung produktiv gehen können.

Reicht ein Anbieter mit Servern in der EU, oder muss es Deutschland sein?

Aus Sicht der DSGVO ist der EU- und EWR-Raum gleichwertig. Deutschland bietet zusätzlich deutsches Vertragsrecht, deutschsprachigen Support und kurze Wege bei Anfragen der Aufsichtsbehörde. Ein Muss ist es nicht, ein Vorteil in der Praxis schon.

Was mache ich mit Altdaten aus Excel, die nie gelöscht wurden?

Bereinigen Sie vor dem Import. Kontakte ohne Geschäftsbeziehung in den letzten Jahren sollten Sie nicht übernehmen. Alles, was Sie importieren, fällt ab diesem Zeitpunkt unter Ihr Löschkonzept.

Muss ich WhatsApp Business im CRM datenschutzrechtlich gesondert prüfen?

Ja. Nachrichtendienste sind eigene Verarbeitungen mit eigenen Anbietern und eigenen Übertragungswegen. Prüfen Sie den Anbieter des Dienstes, informieren Sie Kunden transparent und dokumentieren Sie den Kanal in Ihrem Verzeichnis von Verarbeitungstätigkeiten.

Wie erkenne ich, ob das Änderungsprotokoll ausreicht?

Machen Sie den Test: Ändern Sie in der Testphase eine Telefonnummer, löschen Sie einen Testkontakt und exportieren Sie eine Liste. Wenn Sie anschließend alle drei Vorgänge mit Benutzer und Zeitstempel im System finden, ist das Protokoll brauchbar.

Jetzt prüfen statt vermuten

Die beste Anbieterprüfung ist der eigene Test mit der Checkliste in der Hand. Testen Sie digital scaleUp solutions 30 Tage kostenlos, ohne Kreditkarte, oder vereinbaren Sie einen Beratungstermin, in dem wir AV-Vertrag, Hosting und Rechtekonzept für Ihren Betrieb durchgehen. Weitere Antworten finden Sie in den FAQ.