CRM DSGVO-konform betreiben.
Rechtsgrundlagen, AVV und Hosting.

Wann ist ein CRM DSGVO-konform?

Ein CRM ist DSGVO-konform, wenn Ihr Einsatz die Pflichten der DSGVO erfüllt: Rechtsgrundlage je Zweck, Information der Betroffenen, umsetzbare Betroffenenrechte, AVV mit dem Anbieter, angemessene Sicherheitsmaßnahmen und rechtmäßige Drittlandübermittlungen. Die Software liefert dafür Funktionen und Nachweise, die Verantwortung bleibt bei Ihnen. Die Hinweise auf dieser Seite sind keine Rechtsberatung, Rechtsstand 08.10.2026.

Gibt es ein DSGVO-zertifiziertes CRM?

Ein Herstellerlabel „DSGVO-zertifiziert“ ist kein gesetzlicher Nachweis. Die DSGVO kennt genehmigte Zertifizierungsverfahren nach Art. 42, auf die Art. 28 Abs. 5 und Art. 32 Abs. 3 als Faktor verweisen. ISO/IEC 27001 und BSI C5 belegen die Informationssicherheit eines Anbieters, nicht die Rechtmäßigkeit Ihrer Verarbeitung. Prüfen Sie deshalb Geltungsbereich und Datum jedes Zertifikats.

Brauche ich für ein Cloud-CRM einen Auftragsverarbeitungsvertrag?

Ja, bei einem Cloud-CRM verarbeitet der Hersteller Daten in Ihrem Auftrag, und Art. 28 Abs. 3 DSGVO verlangt einen Vertrag. Er regelt unter anderem Gegenstand, Dauer, Weisungen, Unterauftragsverarbeiter, Unterstützung bei Betroffenenrechten und die Löschung oder Rückgabe am Vertragsende. Schließen Sie ihn vor dem ersten Datenimport ab; elektronische Form genügt.

Muss ein CRM in Deutschland gehostet werden?

Nein, die DSGVO verlangt keinen Serverstandort in Deutschland; innerhalb der EU darf der Datenverkehr nach Art. 1 Abs. 3 nicht eingeschränkt werden. Hosting in Deutschland oder der EU vermeidet aber Drittlandübermittlungen bei der Speicherung und vereinfacht die Prüfung. Achten Sie zusätzlich auf Supportzugriffe und Unterauftragsverarbeiter außerhalb des EWR.

Darf ich ein CRM eines US-Anbieters wie Salesforce oder HubSpot nutzen?

Ja, wenn die Übermittlung die Bedingungen des Kapitels V erfüllt. Für US-Organisationen auf der Data Privacy Framework List gilt seit dem Durchführungsbeschluss (EU) 2023/1795 vom 10.07.2023 ein Angemessenheitsbeschluss, sonst braucht es Garantien wie Standardvertragsklauseln. HubSpot bietet neuen Kunden ein EU-Rechenzentrum in Frankfurt, Salesforce die kostenpflichtige Hyperforce EU Operating Zone.

Brauche ich eine Einwilligung, um B2B-Kontakte im CRM zu speichern?

Nicht zwingend, denn das Speichern von Geschäftskontakten lässt sich oft auf einen Vertrag oder das berechtigte Interesse nach Art. 6 Abs. 1 Buchst. b oder f stützen. Für Werbung per E-Mail verlangt § 7 Abs. 2 Nr. 2 UWG dagegen grundsätzlich eine vorherige ausdrückliche Einwilligung, auch im B2B. Dokumentieren Sie Rechtsgrundlage und Quelle je Kontakt.

Darf ich Bestandskunden ohne Einwilligung Werbe-E-Mails schicken?

Ja, unter den vier Voraussetzungen des § 7 Abs. 3 UWG: Die Adresse stammt aus einem Verkauf, Sie werben für eigene ähnliche Waren oder Dienstleistungen, der Kunde hat nicht widersprochen und wird bei Erhebung und jeder Verwendung auf sein Widerspruchsrecht hingewiesen. Laut DSK müssen Sie belegen können, dass es sich um die Adresse eines Bestandskunden handelt. Ein Kennzeichen im CRM macht das nachvollziehbar.

Wie lange darf ich Kundendaten im CRM speichern?

So lange, wie der Zweck es erfordert, danach gehen nur gesetzliche Aufbewahrungspflichten vor. Handels- und Geschäftsbriefe sind nach § 257 HGB und § 147 AO 6 Jahre, Buchungsbelege 8 Jahre und Bücher und Abschlüsse 10 Jahre aufzubewahren, jeweils ab Schluss des Kalenderjahres. Für Leads ohne Geschäft gibt es keine gesetzliche Frist; legen Sie eine eigene fest und lassen Sie Löschläufe automatisch laufen.

Wie schnell muss ich eine Auskunftsanfrage beantworten?

Unverzüglich, spätestens innerhalb eines Monats nach Eingang; bei komplexen oder zahlreichen Anträgen ist eine Verlängerung um zwei Monate möglich, über die Sie innerhalb des ersten Monats informieren (Art. 12 Abs. 3). Die betroffene Person erhält auch eine Kopie ihrer Daten (Art. 15 Abs. 3). Testen Sie vor dem Go-live, ob das CRM alle Daten einer Person zusammenführt.

Brauchen wir für das CRM eine Datenschutz-Folgenabschätzung?

Nur wenn die Verarbeitung voraussichtlich ein hohes Risiko für Betroffene hat (Art. 35 Abs. 1). Die Muss-Liste der DSK nennt CRM-nahe Fälle wie KI im Kundensupport, die automatisierte Auswertung von Telefonaten oder umfassende Profile über Kaufverhalten. Ein CRM für Kontakte, Angebote und Service ohne solche Funktionen steht nicht auf der Liste; halten Sie Ihre Prüfung trotzdem schriftlich fest.

Muss der Betriebsrat bei einem CRM mitbestimmen?

Häufig ja, denn nach § 87 Abs. 1 Nr. 6 BetrVG bestimmt der Betriebsrat bei technischen Einrichtungen mit, die dazu bestimmt sind, Verhalten oder Leistung der Arbeitnehmer zu überwachen. Typische Themen sind Aktivitätsberichte, Anrufprotokolle und Pipeline-Auswertungen je Person. Schließen Sie eine Betriebsvereinbarung vor dem Go-live.

Was tun bei einer Datenpanne im CRM?

Melden Sie die Panne unverzüglich und möglichst binnen 72 Stunden der zuständigen Aufsichtsbehörde, außer sie führt voraussichtlich nicht zu einem Risiko (Art. 33 Abs. 1). Bei hohem Risiko benachrichtigen Sie auch die Betroffenen (Art. 34). Ihr Anbieter muss Ihnen Pannen unverzüglich melden, und Sie dokumentieren jede Panne mit Folgen und Abhilfe.

Wie finde ich ein CRM, das zu unseren Datenschutzanforderungen passt?

Mit einem strukturierten Matching auf Basis Ihres Anforderungsprofils. Im CRM-Matching geben Sie Ihre Unternehmens-URL ein, das Anforderungsprofil entsteht automatisch, und Sie erhalten in rund 6 Minuten eine dokumentierte Shortlist aus über 150 CRM-Systemen, kostenlos und ohne Registrierung. Find-Your-CRM ist unabhängig und vergibt keine bezahlten Platzierungen.