Cloud CRM.
Hosting, Datenstandort und On-Premise prüfen.

Was ist ein Cloud CRM?

Ein Cloud CRM ist ein CRM-System, das der Hersteller oder ein Dienstleister in seinem Rechenzentrum betreibt und Ihnen über das Internet als Dienst bereitstellt. Sie zahlen in der Regel je Nutzer und Monat, Betrieb, Updates und Sicherung übernimmt der Betreiber. Es gibt mehrere Varianten: eine geteilte Plattform für viele Kunden (Public SaaS), eine Plattform mit vertraglicher Datenzone, eine dedizierte Instanz nur für Sie oder das Hosting bei einem Partner. Welche Variante passt, hängt von Datenschutz, Integration und eigener IT ab.

Ist ein Cloud CRM DSGVO-konform?

Ein Cloud CRM kann DSGVO-konform eingesetzt werden, konform ist aber immer der Einsatz, nie die Software allein. Für das Hosting zählen ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, eine Grundlage für jede Übermittlung in Drittländer nach Art. 44 bis 49 und nachgewiesene Sicherheitsmaßnahmen. Prüfen Sie dabei nicht nur das Rechenzentrum, sondern auch Backupstandorte, Supportzugriffe und Unterauftragsverarbeiter. Rechtsgrundlagen, Einwilligungen und Löschfristen beschreibt unser Leitfaden CRM DSGVO-konform. Diese Antwort ist keine Rechtsberatung und ersetzt nicht die Prüfung durch Ihren Datenschutzbeauftragten.

Welche Cloud CRM Anbieter hosten in Deutschland oder der EU?

Laut eigener Angabe hosten unter anderem CAS genesisWorld, cobra (Cloud-Tarife), combit (Private Cloud in Hüllhorst) und weclapp (Frankfurt am Main) in Deutschland. Pipedrive nutzt vorrangig AWS-Regionen in Frankfurt und Dublin für Kunden aus der EU, Zoho Rechenzentren in Amsterdam und Dublin. HubSpot bietet ein EU-Rechenzentrum in Frankfurt, SAP Sales Cloud Version 2 die Region Frankfurt, Salesforce eine Operating Zone für EU und Schweiz. Lassen Sie den Standort immer vertraglich bestätigen (Stand 24.10.2026).

Muss ein CRM in Deutschland gehostet werden?

Nein, die DSGVO schreibt keinen Serverstandort in Deutschland vor; innerhalb der EU darf der freie Datenverkehr nicht eingeschränkt werden (Art. 1 Abs. 3 DSGVO). Ein Standort in Deutschland oder der EU vermeidet aber Drittlandübermittlungen bei der Speicherung und vereinfacht die Prüfung. Entscheidend sind zusätzlich der Supportstandort, die Unterauftragsverarbeiter und das Recht, dem der Anbieter oder seine Konzernmutter unterliegt. Ein deutscher Serverstandort bei einem US-Konzern beantwortet die Frage nach dem CLOUD Act nicht.

Was bedeutet der US CLOUD Act für ein Cloud CRM?

Der CLOUD Act verpflichtet Anbieter mit US-Bezug, Daten in ihrem Besitz, Gewahrsam oder ihrer Kontrolle auf behördliche Anordnung herauszugeben, auch wenn sie außerhalb der USA gespeichert sind (18 U.S.C. § 2713). Er ist ein rechtlicher Zugriffsweg für Ermittlungen, kein freier Zugang. Anbieter können Anordnungen unter Bedingungen anfechten (§ 2703(h)), und Art. 48 DSGVO erkennt Drittlandurteile nur auf Grundlage internationaler Abkommen an. Bewerten Sie das Risiko nach Schutzbedarf Ihrer Daten, nicht pauschal.

Darf ich ein CRM eines US-Anbieters nutzen?

Ja, wenn jede Übermittlung die Bedingungen der Art. 44 ff. DSGVO erfüllt. Für US-Empfänger, die im EU-US Data Privacy Framework zertifiziert sind, gilt der Angemessenheitsbeschluss (EU) 2023/1795 vom 10. Juli 2023. Das Gericht der EU hat die Klage dagegen am 3. September 2025 abgewiesen (T-553/23), das Rechtsmittel C-703/25 P ist beim EuGH anhängig (Stand 24.10.2026). Prüfen Sie die Zertifizierung je Empfänger und vereinbaren Sie Standardvertragsklauseln nach Art. 46 DSGVO als Ersatzweg, falls die Grundlage entfällt.

Wann lohnt sich ein CRM On-Premise noch?

On-Premise lohnt sich, wenn Kerndaten das Haus nicht verlassen dürfen, das CRM eng mit lokalen Systemen verbunden ist und eine eigene IT Betrieb, Sicherung und Patches dauerhaft übernimmt. Wirtschaftlich zählt der Abstand zwischen Cloud- und Eigenbetriebspreis: Im Rechenbeispiel mit combit Professional für 25 Nutzer bleiben 1.340 € je Monat für Server, Datenbank und Administration. Bei Konzernplattformen kommen Wartungsenden hinzu, etwa Mainstream-Support für Microsoft Customer Engagement (on-premises) Version 9 bis 12. Januar 2027.

Welche CRM-Hersteller bieten noch On-Premise an?

Laut eigener Angabe bieten unter anderem CAS genesisWorld, cobra mit cobra One und combit einen Betrieb in Ihrer eigenen IT an. Microsoft führt Customer Engagement (on-premises) Version 9.1, SugarAI das Produkt Sugar Enterprise, Odoo erlaubt den Selbstbetrieb im Custom-Tarif und SuiteCRM steht als Open Source unter AGPL-3.0 zum eigenen Betrieb bereit. SAP CRM 7.0 erhält Mainstream-Wartung bis Ende 2027. Reine Cloud-Dienste sind dagegen etwa HubSpot, Pipedrive, weclapp und Zoho CRM.

Ist ein Cloud CRM günstiger als On-Premise?

Nicht automatisch, denn beim Eigenbetrieb kommen Server, Datenbank, Sicherung und Administration zu den Lizenzen hinzu. Im Rechenbeispiel von Find-Your-CRM kostet combit Professional für 25 Nutzer als Private Cloud 2.250 € je Monat und zum Selbstbetrieb 910 € je Monat bei jährlicher Zahlweise, jeweils netto. Die Differenz von 1.340 € je Monat ist das Budget, mit dem der Eigenbetrieb auskommen muss. Rechnen Sie mit Ihren eigenen Stunden und Infrastrukturkosten über mindestens 36 Monate.

Was ist der Unterschied zwischen Public Cloud und Private Cloud beim CRM?

In der Public Cloud teilen sich viele Kunden eine Plattform; Region und Update-Zeitpunkt legt der Hersteller fest. In der Private Cloud erhalten Sie eine eigene, abgeschottete Serverinstanz, die der Hersteller oder sein Rechenzentrumspartner für Sie betreibt. combit nennt für seine Private Cloud einen dedizierten Server je Organisation bei der WORTMANN AG in Hüllhorst, CAS bietet Public und Private Cloud in Deutschland an. Die Private Cloud kostet je Nutzer meist mehr, bietet aber mehr Kontrolle.

Wie wechsle ich aus einem Cloud CRM zu einem anderen Anbieter?

Seit dem 12. September 2025 regelt die EU-Datenverordnung (Data Act) den Wechsel bei Cloud-Diensten einschließlich Software-as-a-Service. Die Kündigungsfrist für den Wechsel beträgt höchstens zwei Monate, der Übergang höchstens 30 Kalendertage, Daten bleiben danach mindestens 30 Kalendertage abrufbar (Art. 25 Abs. 2). Bis 12. Januar 2027 dürfen Anbieter nur direkte Wechselkosten berechnen, danach keine Wechselentgelte mehr (Art. 29). Testen Sie den vollständigen Export vor der Unterschrift, inklusive Anhängen, Aktivitäten und Historie.

Welche Nachweise sollte ein Cloud CRM Anbieter vorlegen?

Fordern Sie einen Prüfbericht nach BSI C5 oder ein ISO/IEC-27001-Zertifikat an und prüfen Sie Geltungsbereich, Prüfzeitraum und Datum. Das BSI hat am 7. April 2026 die Fassung C5:2026 veröffentlicht; Wirtschaftsprüfer testieren, ob ein Anbieter die Kriterien erfüllt. Achten Sie darauf, ob das CRM selbst oder nur das Rechenzentrum geprüft wurde. Dazu kommen die Liste der Unterauftragsverarbeiter mit Ländern, die Hosting-Richtlinie mit Ausnahmen und die Angaben zum staatlichen Zugriff nach Art. 28 Data Act.