DSGVO und Kundenverwaltung, warum deutsche Datenschutzvorgaben die Softwareauswahl bestimmen

Das Wichtigste auf einen Blick

• Ein Kundenverwaltung Software Vergleich muss die Pflichten aus DSGVO und BDSG abbilden, sonst ist er wertlos.
• Der BfDI und die Landesaufsichtsbehörden prüfen CRM-Systeme zunehmend auf Auftragsverarbeitung und Drittlandtransfers.
• HubSpot, Salesforce und weclapp unterscheiden sich bei Serverstandorten, Unterauftragnehmern und Löschkonzepten.
• Ein Auftragsverarbeitungsvertrag ist Pflicht, reicht aber nicht: Technische und organisatorische Maßnahmen müssen dokumentiert sein.
• Die Checkliste für die Softwareauswahl im Datenschutz umfasst 12 Punkte, von der Datenminimierung bis zur Löschfrist.

Warum DSGVO und BDSG die Kundenverwaltung bestimmen

Kundenverwaltung ist Verarbeitung personenbezogener Daten. Jede Adresse, jede Telefonnummer, jeder Kaufverlauf fällt unter die Datenschutz-Grundverordnung. Das ist kein Nebenaspekt, sondern der Kern des Systems. Wer CRM-Software einführt, braucht eine Rechtsgrundlage, eine Zweckbindung und ein Löschkonzept.

Die DSGVO gilt in Deutschland unmittelbar. Ergänzend greift das Bundesdatenschutzgesetz (BDSG), etwa bei Beschäftigtendaten oder Videoüberwachung. Für den Mittelstand bedeutet das: Die Auswahl der Kundenverwaltungssoftware ist immer auch eine datenschutzrechtliche Entscheidung.

Viele Anbieter werben mit Zertifikaten. Entscheidend ist jedoch, ob die Verarbeitung im System den deutschen Aufsichtsstandard erfüllt. Dazu gehört, dass Daten auf Servern in der EU liegen oder ein angemessenes Schutzniveau nachgewiesen ist. Die DSGVO definiert diesen Rahmen verbindlich.

Die DSGVO-Pflichten bei der Kundenverwaltung sind umfangreich. Sie reichen von der Informationspflicht über die Auskunft bis zur Löschung. Ein CRM-System muss diese Rechte technisch unterstützen. Fehlt eine Funktion zur Datenauskunft, wird der manuelle Aufwand schnell unbezahlbar.

Der Datenschutz ist kein Hemmnis, sondern ein Qualitätsmerkmal. Software, die DSGVO-konform ist, schützt auch vor Bußgeldern und Reputationsverlust. Die Aufsichtsbehörden in Nordrhein-Westfalen, Bayern oder Baden-Württemberg verhängen empfindliche Strafen bei Verstößen.

Pflichten aus DSGVO und BDSG für CRM-Systeme

Die Pflichten lassen sich in sechs Bereiche gliedern. Jeder Bereich stellt konkrete Anforderungen an die Software.

1. Rechtsgrundlage und Zweckbindung: Jede Verarbeitung braucht eine Grundlage nach Art. 6 DSGVO. Das CRM muss Zwecke trennen können, etwa Marketing von Vertragsabwicklung.
2. Transparenz und Informationspflichten: Betroffene müssen erfahren, welche Daten gespeichert werden. Das System sollte Datenschutzhinweise versionieren und dokumentieren.
3. Betroffenenrechte: Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit müssen effizient bedienbar sein.
4. Richtigkeit und Aktualität: Veraltete Datensätze sind unzulässig. Das CRM braucht Regeln für die Aktualisierung und Löschung.
5. Integrität und Vertraulichkeit: Technische und organisatorische Maßnahmen (TOM) sind nachzuweisen. Dazu zählen Verschlüsselung, Zugriffssteuerung und Protokollierung.
6. Rechenschaftspflicht: Die Einhaltung muss dokumentiert werden. Das System sollte Prüfprotokolle und Berichte liefern.

Das BDSG ergänzt die DSGVO um nationale Regelungen. Für die Kundenverwaltung relevant sind vor allem § 26 BDSG (Beschäftigtendaten) und § 38 BDSG (Datenschutzbeauftragter). Letzterer verpflichtet Unternehmen ab 20 Personen, die ständig mit automatisierter Verarbeitung befasst sind, einen Datenschutzbeauftragten zu bestellen.

Die Software muss den Datenschutzbeauftragten unterstützen. Das bedeutet: Zugriff auf alle Verarbeitungsverzeichnisse, Einblick in Auftragsverarbeitungsverträge und eine Übersicht der Unterauftragnehmer. Fehlen diese Funktionen, entsteht ein manueller Prüfaufwand, der die Auswahlentscheidung beeinflusst.

Die DSGVO-Pflichten bei der Kundenverwaltung sind nicht optional. Sie gelten für jeden Anbieter, unabhängig von seiner Größe. Ein Verstoß kann mit bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden. Das ist ein Risiko, das die Softwareauswahl bestimmt. Die Datenschutz-Grundverordnung, Wikipedia fasst diesen Hintergrund zu DSGVO-Pflichten bei der Kundenverwaltung zusammen.

Die Rolle des BfDI und der Aufsichtsbehörden

Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) ist die oberste Aufsichtsbehörde des Bundes. Er prüft, ob Unternehmen und Behörden die DSGVO einhalten. Für den Mittelstand sind jedoch meist die Landesbeauftragten zuständig, etwa in Düsseldorf, München oder Stuttgart.

Der BfDI hat in der Vergangenheit wiederholt CRM-Systeme untersucht. Ein Schwerpunkt liegt auf der Auftragsverarbeitung und der Datenübermittlung in Drittländer. Die Prüfungen zeigen: Viele Unternehmen haben ihre Verträge nicht im Griff. Der BfDI fordert klare Regelungen zu Unterauftragnehmern und Löschfristen.

Die Aufsichtsbehörden arbeiten zusammen. Der BfDI koordiniert mit den Landesbehörden, etwa dem Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen. Bei Verstößen können Bußgelder verhängt werden. Die Höhe richtet sich nach der Schwere und der Dauer des Verstoßes.

Ein weiterer Akteur ist das Bundesamt für Sicherheit in der Informationstechnik (BSI). Es veröffentlicht technische Richtlinien und Prüfkriterien. Ein CRM-System, das BSI-zertifiziert ist, erleichtert die Datenschutz-Folgenabschätzung. Der BfDI und das BSI arbeiten eng zusammen, um Sicherheitsstandards zu etablieren.

Für Unternehmen bedeutet das: Die Auswahl der Software muss die Prüfmaßstäbe der Aufsichtsbehörden kennen. Ein Blick in die aktuellen Prüfberichte des BfDI lohnt sich. Sie zeigen, welche Mängel häufig auftreten und wie man sie vermeidet.

Die amtlichen Normen für diese Prüfung finden sich in Gesetze im Internet, der amtlichen Quelle für DSGVO- und BDSG-Normen bei der Softwareprüfung.

Prüfpunkte bei HubSpot, Salesforce und weclapp

Die drei Anbieter unterscheiden sich deutlich. HubSpot ist bekannt für seine Marketingfunktionen, Salesforce für seine Flexibilität, weclapp für seine Integration von CRM und ERP. Bei der Auswahl sind die Datenschutzmerkmale entscheidend.

Kriterium	HubSpot	Salesforce	weclapp
Serverstandort	EU-Rechenzentrum (Irland)	EU-Rechenzentrum (Frankfurt)	Deutschland (Frankfurt)
Auftragsverarbeitungsvertrag	Standardvertrag verfügbar	Standardvertrag verfügbar	Standardvertrag verfügbar
Unterauftragnehmer	Liste online einsehbar	Liste online einsehbar	Liste online einsehbar
Löschkonzept	Automatische Löschung konfigurierbar	Automatische Löschung konfigurierbar	Automatische Löschung konfigurierbar
Zertifizierungen	ISO 27001, SOC 2	ISO 27001, SOC 2	ISO 27001
Datenexport	Vollständiger Export möglich	Vollständiger Export möglich	Vollständiger Export möglich

HubSpot betreibt seine EU-Server in Irland. Das Unternehmen ist nach dem EU-US Data Privacy Framework zertifiziert. Dennoch bleibt ein Restrisiko bei Übermittlungen in die USA. Der Auftragsverarbeitungsvertrag von HubSpot enthält Standardvertragsklauseln. Kunden müssen prüfen, ob diese ausreichen.

Salesforce bietet ein EU-Rechenzentrum in Frankfurt. Das Unternehmen hat sein Angebot in den letzten Jahren deutlich europäisiert. Der Auftragsverarbeitungsvertrag ist umfassend, die Unterauftragnehmer sind transparent. Allerdings ist Salesforce für kleinere Mittelständler oft teuer und komplex.

weclapp hat seinen Sitz in Deutschland und betreibt seine Server in Frankfurt. Der Anbieter wirbt mit DSGVO-Konformität und einem deutschen Auftragsverarbeitungsvertrag. Für Unternehmen, die Wert auf deutsche Serverstandorte legen, ist weclapp eine naheliegende Wahl. Die Integration von CRM und ERP reduziert zudem Schnittstellenprobleme.

Die Prüfpunkte bei CRM-Anbietern sind bei allen gleich: Wo liegen die Daten? Wer hat Zugriff? Wie werden Unterauftragnehmer kontrolliert? Gibt es ein Löschkonzept? Die Antworten müssen dokumentiert sein. Ein Kundenverwaltung Software Vergleich sollte diese Punkte tabellarisch gegenüberstellen.

Auftragsverarbeitung und Datenübermittlung in Drittländer

Die Auftragsverarbeitung ist der rechtliche Rahmen für die Auslagerung von Datenverarbeitung. Art. 28 DSGVO verlangt einen schriftlichen Vertrag. Er muss Weisungsbefugnisse, Sicherheitsmaßnahmen und Löschpflichten regeln. Ohne Auftragsverarbeitungsvertrag ist die Nutzung eines CRM-Systems unzulässig.

Ein Auftragsverarbeitungsvertrag CRM muss mehrere Punkte enthalten: Gegenstand und Dauer der Verarbeitung, Art und Zweck, Kategorien betroffener Personen sowie Pflichten des Auftragnehmers. Hinzu kommen Regelungen zu Unterauftragsverhältnissen, zu technischen und organisatorischen Maßnahmen und zur Löschung nach Vertragsende. Fehlt ein Punkt, ist der Vertrag angreifbar.

Die Datenübermittlung in Drittländer ist der zweite kritische Punkt. Seit dem Schrems-II-Urteil des EuGH sind Übermittlungen in die USA nur mit zusätzlichen Garantien zulässig. Das EU-US Data Privacy Framework von 2023 bietet einen Rahmen, ist aber politisch umstritten. Unternehmen sollten prüfen, ob der Anbieter zertifiziert ist.

Für Übermittlungen in andere Drittländer gelten die Standardvertragsklauseln der EU-Kommission. Sie müssen um eine Transfer Impact Assessment ergänzt werden. Das ist aufwendig, aber notwendig. Ein CRM-Anbieter, der diese Dokumente bereitstellt, erleichtert die Prüfung. Als Prüfmaßstab für die Kundenverwaltung dient dabei die Datenschutz-Grundverordnung als Prüfmaßstab für Kundenverwaltung in der amtlichen Fassung.

Die EU-Kommission arbeitet an neuen Regelungen. Der Bericht aus Brüssel informiert regelmäßig über den Stand zu EU-Recht und DSGVO für die Softwareauswahl. Unternehmen sollten diese Entwicklung verfolgen, denn sie beeinflusst die Softwareauswahl direkt. Ein Anbieter, der heute als sicher gilt, kann morgen problematisch sein.

Checkliste für die Softwareauswahl im Datenschutz

Die folgende Checkliste hilft bei der Bewertung. Sie ist als Prüfschema für die Auswahl von Kundenverwaltungssoftware gedacht.

• Rechtsgrundlage für alle Verarbeitungen dokumentiert
• Auftragsverarbeitungsvertrag mit dem Anbieter abgeschlossen
• Liste der Unterauftragnehmer vorhanden und aktuell
• Serverstandorte bekannt und in der EU oder mit Angemessenheitsbeschluss
• Technische und organisatorische Maßnahmen (TOM) nachgewiesen
• Löschkonzept für Kundendaten implementiert
• Betroffenenrechte (Auskunft, Löschung, Übertragbarkeit) technisch umsetzbar
• Datenschutz-Folgenabschätzung durchgeführt, falls erforderlich
• Zugriffssteuerung und Protokollierung aktiviert
• Verschlüsselung bei Übertragung und Speicherung
• Notfallplan für Datenpannen vorhanden
• Regelmäßige Überprüfung der Konformität

Die Checkliste sollte bei jeder Softwareauswahl abgearbeitet werden. Sie ist kein einmaliges Projekt, sondern ein fortlaufender Prozess. Die Aufsichtsbehörden erwarten, dass Unternehmen ihre Systeme regelmäßig überprüfen. Ein Kundenverwaltung Software Vergleich ohne diese Prüfung ist unvollständig.

Häufige Fragen

Welche Pflichten hat ein Unternehmen bei der Kundenverwaltung?

Es muss eine Rechtsgrundlage haben, die Betroffenen informieren, Auskunft und Löschung ermöglichen und die Sicherheit der Daten gewährleisten. Ein Auftragsverarbeitungsvertrag mit dem Softwareanbieter ist Pflicht.

Was prüft der BfDI bei CRM-Systemen?

Der BfDI prüft vor allem die Auftragsverarbeitung, die Datenübermittlung in Drittländer und die Löschkonzepte. Er kann Bußgelder verhängen und Anordnungen treffen.

Welcher Anbieter ist am datenschutzfreundlichsten?

Das lässt sich pauschal nicht sagen. weclapp hat Server in Deutschland, Salesforce und HubSpot in der EU. Entscheidend sind die vertraglichen Regelungen und die Transparenz der Unterauftragnehmer.

Was kostet ein Auftragsverarbeitungsvertrag?

Der Vertrag selbst ist meist kostenlos. Die Kosten entstehen durch die Prüfung und Dokumentation, die das Unternehmen intern leisten muss.

Gilt die DSGVO auch für kleine Unternehmen?

Ja, die DSGVO gilt für alle Unternehmen, die personenbezogene Daten verarbeiten. Ausnahmen gibt es nur für rein persönliche oder familiäre Tätigkeiten.

Wie oft muss die Software überprüft werden?

Mindestens einmal jährlich oder bei wesentlichen Änderungen. Die Aufsichtsbehörden empfehlen eine regelmäßige Überprüfung der technischen und organisatorischen Maßnahmen.