Daten aus einem CRM exportieren und Anbieterwechsel vorbereiten

Das Wichtigste auf einen Blick

• Exportieren Sie Kontakte, Angebote und Aktivitäten getrennt als CSV, XML oder JSON und dokumentieren Sie jede Feldbezeichnung.
• Artikel 15 und 20 DSGVO verpflichten Sie zu Auskunft und Datenübertragung in einem gängigen Format.
• Klären Sie Pflichtfelder, Feldtypen und Löschfristen schriftlich, bevor der Altvertrag endet.
• Zuständig sind der BfDI für Bundesbehörden und die Landesdatenschutzaufsicht für alle übrigen Stellen.
• Planen Sie vier Wochen zwischen Export und Abschaltung des Altsystems.

Export in fünf Schritten vorbereiten

Die Steuerung liegt bei der Vertriebsleitung, die technische Umsetzung bei der IT. Beide benennen je eine verantwortliche Person, die Export und Prüfung abzeichnet.

1. Bestandsaufnahme an Tag 1: Objekte, Felder und Datensatzanzahl je Objekt zählen. Ergebnis ist eine Feldliste mit Bezeichnung, Datentyp und Kennzeichnung als Pflichtfeld.
2. Format festlegen bis Tag 3: CSV für flache Tabellen, XML für verschachtelte Belege, JSON für Exporte über eine Schnittstelle.
3. Testexport bis Tag 5 mit höchstens 500 Datensätzen, Zeichensatz UTF-8, Semikolon als Trennzeichen.
4. Validierung bis Tag 8: Zeilenzahl, Dubletten, leere Pflichtfelder und Sonderzeichen prüfen, Abweichungen protokollieren.
5. Übergabe bis Tag 10: Export verschlüsselt ablegen, Übertragung quittieren, Löschauftrag an den Alt-Anbieter senden.

CSV bleibt erste Wahl für Kontaktlisten, weil jede Tabellenkalkulation die Datei liest. XML trennt Kopf- und Positionsdaten und passt damit zu Angeboten. JSON liefert ohne Dokumentation der Feldschlüssel kaum verwertbare Ergebnisse.

Welche Felder der Export enthalten muss

Ein CRM verteilt dieselbe Kundin auf mehrere Objekte. Vollständig wird der Export erst, wenn die Verknüpfungen mitgehen.

• Kontakte: Name, Firma, Anschrift, E-Mail, Telefon, Einwilligungsstatus, Opt-in-Datum.
• Angebote: Nummer, Datum, Status, Positionen, Netto- und Bruttobetrag.
• Aktivitäten: Typ, Datum, Bearbeiter, Ergebnis, Wiedervorlage.
• Verträge und Umsätze: Laufzeit, Kündigungsfrist, wiederkehrender Betrag.
• Historie: Änderungsdatum und Herkunft je Datensatz.

Pflichten aus Artikel 15 und 20 DSGVO

Artikel 15 DSGVO regelt die Auskunft. Betroffene erhalten auf Antrag eine Kopie ihrer Daten, in der Regel innerhalb eines Monats. Bei komplexen Anträgen dürfen Sie die Frist um zwei weitere Monate verlängern und müssen das begründen.

Artikel 20 DSGVO regelt die Übertragbarkeit. Sie stellen die vom Betroffenen bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format bereit. Das Recht gilt bei Verarbeitung auf Einwilligung oder Vertrag. Die Einzelheiten zu beiden Ansprüchen fasst das BfDI zu den Betroffenenrechten der DSGVO zusammen.

Prüfen Sie vor dem Export, ob für jeden Datensatz eine Rechtsgrundlage dokumentiert ist. Sätze ohne Grundlage gehören in die Löschung, nicht in die Migration.

Pflichtfelder, Feldwerte und Löschfristen

Die häufigste Falle sind Pflichtfelder im Zielsystem, die im Altsystem leer sind. Der Import verwirft solche Sätze oder bricht ab. Legen Sie vorab fest, welcher Ersatzwert gesetzt wird und wer ihn freigibt.

Zweite Falle sind Auswahllisten. Werte wie Interessent oder Bestandskunde heißen im Zielsystem anders. Eine Zuordnungstabelle je Liste verhindert, dass Kundensegmente verloren gehen.

Bei Löschfristen gelten handels- und steuerrechtliche Aufbewahrungspflichten nach Paragraf 257 HGB und Paragraf 147 AO, gestaffelt nach sechs und zehn Jahren. Was abläuft, löschen Sie und beauftragen den Anbieter schriftlich mit der Löschung.

Für Export und Migration brauchen Sie außerdem einen Vertrag zur Auftragsverarbeitung mit klaren Weisungen. Die Anforderungen beschreibt das Bayerische Landesamt für Datenschutzaufsicht zur Auftragsverarbeitung.

Ansprechstellen und Zeitplan

Für Bundesbehörden ist der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit zuständig. Für Landesbehörden, Kommunen und private Unternehmen ist es die Aufsichtsbehörde des jeweiligen Bundeslandes. Grundlagen bündelt das BfDI-Basiswissen zum Datenschutz.

Legen Sie den Abschalttermin des Altsystems auf den letzten Tag der Migration. Vier Wochen vorher liegt der Export vollständig vor, zwei Wochen vorher ist die Validierung abgeschlossen. Zuständig für die Freigabe ist die Vertriebsleitung, für die Technik die IT.

Häufige Fragen

Welches Format eignet sich für den CRM-Datenexport?

CSV für flache Kontaktlisten, XML für Angebote mit Positionen, JSON für Schnittstellenexporte. Entscheidend ist, dass das Zielsystem das Format ohne Nacharbeit liest.

Wie lange habe ich für einen Auskunftsantrag nach Artikel 15 DSGVO?

Einen Monat ab Eingang. Bei komplexen Anträgen verlängert sich die Frist um zwei Monate, die Verlängerung teilen Sie der betroffenen Person mit.

Muss der alte Anbieter die Daten nach dem Wechsel löschen?

Ja, auf Ihre Weisung. Fordern Sie die Löschung schriftlich an und lassen Sie sich den Vollzug bestätigen, damit keine Datenbestände zurückbleiben.

Wer prüft den Export fachlich und wer technisch?

Die Vertriebsleitung prüft Vollständigkeit und Feldinhalte, die IT prüft Format, Zeichensatz und Übertragung. Beide zeichnen das Ergebnis ab.