Vorab: kein Rechtsrat
Die wichtigsten DSGVO-Punkte für ein CRM
| Thema | Worum es geht | Fundstelle |
|---|---|---|
| Auftragsverarbeitung | Der CRM-Anbieter verarbeitet Daten in deinem Auftrag. Dafür braucht es einen Vertrag (AVV). | Art. 28 DSGVO |
| Sicherheit | Angemessene technische und organisatorische Maßnahmen, z. B. Zugriffsschutz und Verschlüsselung. | Art. 32 DSGVO |
| Löschung | Daten müssen gelöscht werden können, wenn der Zweck entfällt oder jemand es verlangt. | Art. 17 DSGVO |
| Datenübertragbarkeit | Betroffene können ihre Daten in einem gängigen Format verlangen. | Art. 20 DSGVO |
Auftragsverarbeitung
- Worum es geht
- Der CRM-Anbieter verarbeitet Daten in deinem Auftrag. Dafür braucht es einen Vertrag (AVV).
- Fundstelle
- Art. 28 DSGVO
Sicherheit
- Worum es geht
- Angemessene technische und organisatorische Maßnahmen, z. B. Zugriffsschutz und Verschlüsselung.
- Fundstelle
- Art. 32 DSGVO
Löschung
- Worum es geht
- Daten müssen gelöscht werden können, wenn der Zweck entfällt oder jemand es verlangt.
- Fundstelle
- Art. 17 DSGVO
Datenübertragbarkeit
- Worum es geht
- Betroffene können ihre Daten in einem gängigen Format verlangen.
- Fundstelle
- Art. 20 DSGVO
Dazu kommt die Grundfrage nach der Rechtsgrundlage: Für die Pflege von Kunden- und Interessentendaten im Rahmen eines Vertrags oder einer Anfrage gibt es in der Regel eine. Für Werbung per E-Mail gelten zusätzliche Regeln.
Checkliste für die CRM-Auswahl
- Serverstandort bekannt – idealerweise in der EU oder in Deutschland
- Auftragsverarbeitungsvertrag (AVV) vom Anbieter erhältlich
- Strikte Trennung der Daten von anderen Kunden des Anbieters
- Rollen: Nicht jeder braucht Zugriff auf Einstellungen und Import
- Nachvollziehbarkeit: Wer hat wann was geändert?
- Export in einem gängigen Format (z. B. CSV) jederzeit möglich
- Einträge lassen sich vollständig löschen
- Zugangsdaten zu verbundenen Diensten (z. B. Postfach) werden verschlüsselt gespeichert
So geht codea CRM damit um
- Die CRM-Daten liegen auf Servern der Hetzner Online GmbH in Deutschland.
- Jedes Team ist strikt von anderen getrennt – auch bei direkten Zugriffen und Verknüpfungen.
- Rollen für Admins und Mitarbeiter; Einstellungen und Import sind Admins vorbehalten.
- Wichtige Verwaltungsaktionen werden in einem Sicherheitsprotokoll festgehalten.
- Postfach-Zugangsdaten werden verschlüsselt, Gerätezugänge für CardDAV nur gehasht gespeichert.
- Export von Kontakten, Firmen, Deals und Aufgaben jederzeit als CSV.
Frag jeden CRM-Anbieter nach dem Auftragsverarbeitungsvertrag und nach seinen Unterauftragnehmern – auch uns. Details zur Datenverarbeitung auf dieser Webseite stehen in unserer Datenschutzerklärung.
Datenschutz im CRM-Alltag
- Nur speichern, was du wirklich brauchst – keine privaten Details in Notizen.
- Alte Interessenten regelmäßig prüfen und nicht mehr benötigte Daten löschen.
- Nicht jedem im Team Admin-Rechte geben.
- Ausgeschiedene Mitarbeiter sofort aus dem Team entfernen.
- Für E-Mail-Werbung die Einwilligung dokumentieren.
Quellen
- Datenschutz-Grundverordnung (EUR-Lex) · abgerufen November 2026
Zuletzt aktualisiert am · Ratgeber von codea CRM