Kundenverwaltung
DSGVO und Kundenverwaltung, warum deutsche Datenschutzvorgaben die Softwareauswahl bestimmen
Kundenverwaltung Software Vergleich: DSGVO und BDSG bestimmen die Auswahl. Prüfpunkte für HubSpot, Salesforce und weclapp sowie BfDI-Vorgaben im Überblick.
Das Wichtigste auf einen Blick
- Jede Kundendatei verarbeitet personenbezogene DatenRechtsgrundlage, Zweckbindung und Löschfrist gehören ins Lastenheft.
- Ohne Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist der Betrieb unzulässig, auch bei Servern in Deutschland.
- HubSpot, Salesforce und weclapp hosten in der EU, unterscheiden sich aber bei Unterauftragnehmern, Löschroutinen und Zertifikaten.
- Der Angemessenheitsbeschluss zum EU-US Data Privacy Framework datiert vom 10. Juli 2023.
- Der Bußgeldrahmen nach Art. 83 DSGVO reicht bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes.
Fünf Pflichtenbereiche, die ein CRM abbilden muss
Die DSGVO gilt unmittelbar, das BDSG ergänzt sie um nationale Regeln, etwa § 26 BDSG für Beschäftigtendaten und § 38 BDSG für den Datenschutzbeauftragten. Die geltenden Fassungen stehen in der amtlichen Textsammlung des Bundes.
Daraus folgen fünf Bereiche, die jede Kundenverwaltung technisch abbilden muss:
Fünf Pflichtenbereiche im CRM
- Rechtsgrundlage und ZweckbindungDas System hält fest, auf welcher Grundlage ein Kontakt gespeichert wurde.
- BetroffenenrechteAuskunft, Berichtigung, Löschung und Übertragbarkeit lassen sich pro Kontakt zusammenstellen.
- LöschkonzeptFristen je Datenkategorie greifen automatisch, statt in manuellen Listen zu stehen.
- Maßnahmen nach Art. 32 DSGVORollen, Verschlüsselung, Protokollierung. Prüfraster bietet der BSI IT-Grundschutz.
- Verzeichnis und VerträgeVerarbeitungsverzeichnis nach Art. 30 DSGVO und Liste aller Unterauftragnehmer.
Ein CRM, das eine Auskunft nach Art. 15 DSGVO nur per Handarbeit liefert, bindet bei jeder Anfrage Personal. Der BfDI erläutert die einzelnen Betroffenenrechte und ihre Fristen.
HubSpot, Salesforce und weclapp im Vergleich
Die Unterschiede liegen im Vertrag, nicht im Datenblatt.
HubSpot
- Datenhaltung in der EU
- zubuchbar
- AVV nach Art. 28 DSGVO
- Standardvertrag mit Standardvertragsklauseln
- Unterauftragnehmer
- Liste veröffentlicht
- Löschroutinen
- konfigurierbar
- Zertifikate laut Anbieter
- ISO 27001, SOC 2
Salesforce
- Datenhaltung in der EU
- Rechenzentrum Frankfurt am Main
- AVV nach Art. 28 DSGVO
- Standardvertrag mit Standardvertragsklauseln
- Unterauftragnehmer
- Liste veröffentlicht
- Löschroutinen
- konfigurierbar
- Zertifikate laut Anbieter
- ISO 27001, SOC 1 und 2
weclapp
- Datenhaltung in der EU
- deutsches Rechenzentrum
- AVV nach Art. 28 DSGVO
- deutscher Standardvertrag
- Unterauftragnehmer
- Liste veröffentlicht
- Löschroutinen
- konfigurierbar
- Zertifikate laut Anbieter
- ISO 27001
HubSpot stammt aus den USA und bietet Datenhaltung in der EU als Option. Wer Sales Hub und Marketing Hub verbindet, sollte die Zwecke trennen, sonst wandern Vertriebskontakte in den Werbekontext. Der Vertrag nutzt Standardvertragsklauseln für Übermittlungen in die USA.
Salesforce betreibt ein Rechenzentrum in Frankfurt am Main und bietet Datenhaltung in der EU. Der Vertragsaufbau ist umfangreich, die Unterauftragnehmerliste öffentlich. Konfiguration und Betrieb verlangen mehr Aufwand als bei den beiden anderen Anbietern.
weclapp sitzt in Deutschland, verbindet CRM und ERP und hostet in einem deutschen Rechenzentrum. Ein US-Mutterkonzern ist nicht beteiligt, der Drittlandtransfer entfällt beim Hosting. Der Auftragsverarbeitungsvertrag ist auf Deutsch verfügbar.
Die Angaben stammen aus Anbieterunterlagen; maßgeblich ist die unterschriebene Fassung.
Auftragsverarbeitung: Was im Vertrag stehen muss
Art. 28 DSGVO verlangt einen schriftlichen Vertrag mit festen Mindestinhalten:
Auftragsverarbeitung im Vertrag
- Gegenstand, Dauer, Art und Zweck der Verarbeitung
- Kategorien betroffener Personen und Datenarten
- Weisungsbindung und Pflichten des Auftragnehmers
- Unterauftragsverhältnisse mit Genehmigungsvorbehalt
- Löschung oder Rückgabe der Daten nach Vertragsende
Fehlt ein Punkt, ist die gesamte Verarbeitung angreifbar. Das Bayerische Landesamt für Datenschutzaufsicht stellt eine Dokumentation zur Auftragsverarbeitung bereit, die die Pflichten und Prüffragen erläutert.
Im CRM-Vertrag fehlen häufig die Löschfristen einzelner Objekte, die Behandlung von Backups und die Meldung bei Wechsel eines Unterauftragnehmers. Klären Sie diese Punkte vor der Unterschrift.
Drittlandtransfer in die USA: Was seit 2023 gilt
Der EuGH erklärte mit dem Urteil C-311/18 vom 16. Juli 2020 den Privacy Shield für ungültig. Seit dem 10. Juli 2023 stützt ein Angemessenheitsbeschluss der EU-Kommission Übermittlungen in die USA, wenn der Anbieter nach dem EU-US Data Privacy Framework zertifiziert ist.
Drei Restrisiken bleiben:
Drittlandtransfer in die USA
- Der Anbieter ist nicht für alle verarbeiteten Datenarten zertifiziert.
- Support, Fernzugriff oder Telemetrie laufen direkt aus den USA.
- Der Beschluss wird regelmäßig überprüft und kann wie seine Vorgänger gekippt werden.
Wer dieses Risiko ausschließen will, wählt einen Anbieter mit Datenhaltung und Support in der EU. Änderungen am EU-Recht dokumentiert der Bericht aus Brüssel des DIHK.
Häufige Fragen
Brauche ich einen Auftragsverarbeitungsvertrag?
Ja. Jede Auslagerung an einen Softwareanbieter braucht einen Vertrag nach Art. 28 DSGVO, auch bei deutschen Servern. Der Anbieter stellt das Dokument im Kundenportal bereit.
Reicht ein Serverstandort in der EU für DSGVO-Konformität?
Nein. Der Standort ist ein Kriterium von mehreren. Ebenso zählen Zweckbindung, Löschkonzept, Zugriffsrechte, Unterauftragnehmer und die Frage, ob Supportzugriffe aus Drittländern möglich sind.
Was kostet eine DSGVO-konforme Kundenverwaltung?
Kosten entstehen vor allem durch interne Arbeitszeit: Prüfung des AVV, Verarbeitungsverzeichnis, Löschkonzept, Datenschutz-Folgenabschätzung. Dazu kommen die Anbieterpreise pro Nutzer und Monat, gestaffelt nach Tarif und Funktionsumfang.
Welcher der drei Anbieter ist datenschutzfreundlicher?
weclapp hostet in Deutschland ohne US-Mutterkonzern; HubSpot und Salesforce verarbeiten je nach Konfiguration auch in den USA. Prüfen Sie den konkreten Vertrag und die Liste der Unterauftragnehmer.
