CRM und DSGVO: Auftragsverarbeitung, Drittlandtransfer, Löschfristen

Wer ein CRM nutzt, bleibt Verantwortlicher im Sinne der DSGVO. Der Anbieter ist in der Regel Auftragsverarbeiter, wofür ein Vertrag nach Art. 28 DSGVO nötig ist. Hinzu kommen Fragen zu Rechtsgrundlagen, Speicherort, Datenübermittlung in Drittländer, Löschfristen und Betroffenenrechten. Dieser Guide ordnet die wichtigsten Punkte so, dass Sie sie bei der Auswahl und im Betrieb abarbeiten können. Er ersetzt keine Rechtsberatung.

Rollen: Verantwortlicher und Auftragsverarbeiter

Sie entscheiden, welche Kundendaten Sie zu welchem Zweck speichern; das macht Sie zum Verantwortlichen (Art. 4 Nr. 7 DSGVO). Der CRM-Anbieter verarbeitet die Daten nach Ihren Weisungen und ist Auftragsverarbeiter (Art. 4 Nr. 8). Dafür verlangt Art. 28 DSGVO einen Vertrag mit bestimmtem Mindestinhalt: Gegenstand und Dauer, Art und Zweck, Datenarten, Pflichten und Rechte, Weisungsbindung, Vertraulichkeit, technische und organisatorische Maßnahmen, Regeln zu Unterauftragnehmern, Unterstützung bei Betroffenenrechten, Rückgabe oder Löschung nach Vertragsende und Kontrollrechte.

Die meisten Anbieter stellen einen Standard-AV-Vertrag online bereit. Prüfen Sie ihn, statt ihn nur zu akzeptieren: Wer sind die Unterauftragnehmer? Wie werden Sie über neue informiert? Wo liegen die Server? Wie lange werden Backups vorgehalten?

Rechtsgrundlagen für CRM-Daten

Für die Verarbeitung von Kundendaten brauchen Sie eine Rechtsgrundlage nach Art. 6 DSGVO. Häufig kommen in Betracht:

Zweck	Mögliche Rechtsgrundlage
Vertragsanbahnung und -durchführung	Art. 6 Abs. 1 lit. b (Vertrag)
Pflege von Geschäftskontakten, Direktansprache im B2B	Art. 6 Abs. 1 lit. f (berechtigtes Interesse) nach Interessenabwägung
Newsletter und Marketing-Mails	Einwilligung (Art. 6 Abs. 1 lit. a) und UWG-Regeln
Aufbewahrung von Geschäftsbriefen	Art. 6 Abs. 1 lit. c (rechtliche Pflicht)

Die Wahl ist vom Einzelfall abhängig. Dokumentieren Sie sie im Verzeichnis von Verarbeitungstätigkeiten (Art. 30), sofern Sie ein solches führen müssen. Das Verzeichnis ist für viele Unternehmen Pflicht, weil Ausnahmen für kleine Betriebe eng ausgelegt werden. Informieren Sie Betroffene nach Art. 13 und 14 in Ihrer Datenschutzerklärung.

Speicherort und Drittlandtransfer

Kapitel V DSGVO (Art. 44 ff.) regelt die Übermittlung personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums. Sie ist zulässig, wenn eine der Garantien greift, zum Beispiel:

ein Angemessenheitsbeschluss der EU-Kommission (Art. 45),
Standardvertragsklauseln der Kommission (Art. 46) zusammen mit einer Prüfung der Rechtslage im Zielland (Transfer Impact Assessment),
verbindliche interne Datenschutzvorschriften (Binding Corporate Rules).

Für die USA hat die Kommission am 10. Juli 2023 den Angemessenheitsbeschluss zum EU-US Data Privacy Framework erlassen. Er gilt für US-Unternehmen, die unter dem Framework zertifiziert sind. Nach meinem Kenntnisstand hat das Gericht der EU eine Klage gegen den Beschluss im September 2025 abgewiesen; ein Rechtsmittel kann eingelegt werden. Beobachten Sie die Entwicklung und prüfen Sie den aktuellen Stand bei der EU-Kommission. Verlassen Sie sich nicht allein auf die Zertifizierung, sondern prüfen Sie die Zertifizierungsliste und halten Sie Standardvertragsklauseln als Rückfallebene bereit, soweit der Anbieter sie anbietet.

Praktische Prüffragen an Anbieter:

In welchem Land liegen Rechenzentren für unsere Daten, und können wir eine EU-Region wählen?
Greifen Mitarbeiter oder Konzerngesellschaften außerhalb der EU auf die Daten zu (Support, Wartung)?
Welche Unterauftragnehmer sitzen in Drittländern?
Auf welcher Grundlage erfolgt die Übermittlung?

Ein EU-Rechenzentrum reduziert Risiken, schließt aber Zugriffe aus Drittländern, etwa im Supportfall, nicht automatisch aus.

Datensparsamkeit und Löschkonzept

Speichern Sie nur, was Sie brauchen (Art. 5 Abs. 1 lit. c). Legen Sie fest, wann Kontakte gelöscht oder gesperrt werden: etwa nach Ablauf einer Frist ohne Geschäftsbeziehung. Beachten Sie gesetzliche Aufbewahrungspflichten: Handels- und Geschäftsbriefe sechs Jahre, Buchungsbelege acht Jahre. Daten, die diese Fristen betreffen, dürfen nicht vorschnell gelöscht werden, sind aber zu sperren, wenn sie nicht mehr aktiv genutzt werden. Richten Sie, wo möglich, automatische Erinnerungen oder Löschregeln im CRM ein.

Betroffenenrechte praktisch erfüllen

Betroffene können Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) verlangen. In der Regel müssen Sie innerhalb eines Monats antworten. Ein CRM erleichtert das, wenn alle Daten zentral liegen. Prüfen Sie, ob das System Suchfunktionen über alle Objekte, Exporte einzelner Kontakte und eine nachvollziehbare Löschung bietet. Legen Sie intern einen Ablauf fest: Wer nimmt Anfragen entgegen, wie wird die Identität geprüft, wer antwortet?

Rollen, Rechte und Sicherheit

Art. 32 DSGVO verlangt angemessene technische und organisatorische Maßnahmen. Für CRM bedeutet das unter anderem: individuelle Zugänge statt gemeinsamer Passwörter, Zwei-Faktor-Authentifizierung, Rollen und Rechte nach dem Prinzip „so wenig wie nötig“, Protokollierung von Exporten und Löschungen sowie verschlüsselte Übertragung. Prüfen Sie außerdem, ob eine Datenschutz-Folgenabschätzung (Art. 35) erforderlich ist; das ist bei einfachen Kundendaten meist nicht der Fall, kann aber bei umfangreichem Profiling anders sein.

Beschäftigtendaten im CRM (etwa Nutzungs- und Leistungsdaten der Mitarbeiter) unterliegen zusätzlich § 26 BDSG und gegebenenfalls der Mitbestimmung des Betriebsrats.

Dokumentation und Nachweis

Halten Sie schriftlich fest: AV-Vertrag, Unterauftragnehmerliste, Prüfung des Drittlandtransfers, Eintrag im Verzeichnis der Verarbeitungstätigkeiten, Löschkonzept, Rollenkonzept. Das hilft bei Prüfungen durch die Aufsichtsbehörde und bei Anfragen von Kunden. Nutzen Sie die Auswahl-Checkliste als Gerüst.

Wann Sie Hilfe holen sollten

Beziehen Sie die oder den Datenschutzbeauftragten ein, bevor Sie Verträge unterschreiben. Bei Drittlandtransfers, sensiblen Daten oder Zweifeln bei Rechtsgrundlagen lohnt eine Fachanwältin oder ein Fachanwalt für IT-Recht. Zuständig für Kontrollen sind die Datenschutzaufsichtsbehörden der Länder. Diese Hinweise ersetzen keine Rechtsberatung.

Häufige Fragen

Brauche ich für jedes CRM einen AV-Vertrag?

Ja, sobald ein externer Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet, auch bei kostenlosen Tarifen.

Ist ein CRM mit Servern in den USA verboten?

Nein. Die Übermittlung ist zulässig, wenn eine Garantie nach Kapitel V DSGVO vorliegt und dokumentiert ist. Prüfen Sie den aktuellen Stand.

Muss ich Kunden über das CRM informieren?

Ja, in der Datenschutzerklärung nach Art. 13 und 14, einschließlich Zwecken, Rechtsgrundlagen, Empfängern und Speicherdauer.

Quellen

Bundesbeauftragter für den Datenschutz und die Informationsfreiheit — Informationen und Kontakte der Aufsichtsbehörden
Europäischer Datenschutzausschuss — Leitlinien zu Drittlandtransfer und Auftragsverarbeitung
EUR-Lex — DSGVO, Verordnung (EU) 2016/679