CRM und DSGVO: Worauf kleine Unternehmen achten müssen
Datenschutz im CRM für kleine Betriebe: Rechtsgrundlagen für Kundendaten, Auftragsverarbeitungsvertrag, Serverstandort, Löschfristen, Rechte der Betroffenen, Datenschutzerklärung.
Dieser Artikel erklärt die Technik und die üblichen Anforderungen. Er ersetzt keine Rechtsberatung. Für Ihre konkrete Situation fragen Sie Ihren Datenschutzbeauftragten oder Berater.
1. Rechtsgrundlage: Warum dürfen Sie Kundendaten speichern?
Für Kunden und Interessenten, die ein Angebot wollen, ist die Rechtsgrundlage der Vertrag beziehungsweise die Vertragsanbahnung (Art. 6 Abs. 1 lit. b DSGVO). Sie brauchen keine Einwilligung, um Name, Firma, E-Mail und Notizen zum Gespräch zu speichern. Anders bei Werbung an Personen, die nie angefragt haben: Dafür braucht es ein berechtigtes Interesse oder eine Einwilligung. Speichern Sie im CRM deshalb, woher ein Kontakt kommt.
2. Auftragsverarbeitung: Der Anbieter arbeitet für Sie
Wenn das CRM in der Cloud läuft, verarbeitet der Anbieter Ihre Kundendaten in Ihrem Auftrag. Dafür braucht es einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Jeder seriöse Anbieter stellt ihn bereit, oft als PDF zum Herunterladen oder auf Anfrage. Ohne AVV keine Cloud-Nutzung. Klarkunde stellt den AVV auf Anfrage bereit.
3. Serverstandort und Unterauftragsverarbeiter
Innerhalb der EU ist es am einfachsten. Bei Anbietern außerhalb der EU brauchen Sie zusätzliche Garantien (Standardvertragsklauseln, Data Privacy Framework). Fragen Sie auch nach den Unterauftragsverarbeitern: Wo liegt das Backup, wer betreibt die E-Mail-Zustellung. Bei Klarkunde laufen Anwendung und Sicherungen auf Servern in der EU; verbundene Kalender bei Google oder Microsoft sind Ihre Entscheidung und jederzeit trennbar.
4. Trennung der Daten
Die DSGVO verlangt angemessene technische Maßnahmen. Wie ein Anbieter die Daten verschiedener Kunden trennt, ist eine berechtigte Frage. Eine gemeinsame Datenbank mit Software-Filter ist üblich; eine eigene Instanz je Kunde, wie bei Klarkunde, ist die strengere Variante. Mehr dazu unter Sicherheit.
5. Löschen und Aufbewahren
Daten dürfen nur so lange gespeichert werden, wie sie gebraucht werden. Legen Sie eine einfache Regel fest, etwa: Interessenten ohne Reaktion nach zwei Jahren löschen, Kunden nach Vertragsende plus gesetzlicher Aufbewahrung (Rechnungen zehn Jahre nach § 147 AO, im CRM selbst aber meist nur die Kontaktdaten). Das CRM sollte Löschen einzelner Kontakte und den Export vor der Löschung ermöglichen.
6. Rechte der Betroffenen
Kunden können Auskunft verlangen, was Sie über sie gespeichert haben, und Berichtigung oder Löschung fordern. Mit einem CRM ist das einfach: Kontakt aufrufen, Daten exportieren oder löschen. Ohne CRM müssten Sie E-Mails, Excel-Listen und Notizbücher durchsuchen.
7. Zugriff im Team
Nicht jeder muss alles sehen. Rollen und Rechte je Projekt sorgen dafür, dass die Aushilfe nur den Kalender sieht und der Vertrieb nur sein Projekt. Deaktivieren Sie Konten ausgeschiedener Mitarbeiter sofort. Protokolle über administrative Zugriffe helfen, wenn etwas nachzuvollziehen ist.
8. Ihre eigene Datenschutzerklärung
Erwähnen Sie das CRM in der Datenschutzerklärung Ihrer Website: dass Anfragen in einem CRM verarbeitet werden, mit welchem Anbieter, auf welcher Rechtsgrundlage. Wenn Sie eine Buchungsseite einbetten, ergänzen Sie einen Absatz zur Terminbuchung. Die Datenschutzerklärung Ihrer Klarkunde-Instanz enthält Formulierungen, die Sie übernehmen können.
Checkliste
- AVV mit dem CRM-Anbieter abgeschlossen
- Serverstandort und Unterauftragsverarbeiter bekannt
- Herkunft je Kontakt gespeichert
- Löschregel festgelegt und im Kalender als jährliche Aufgabe
- Rollen und Rechte vergeben, alte Konten deaktiviert
- CRM und Terminbuchung in der Datenschutzerklärung erwähnt
- Verzeichnis der Verarbeitungstätigkeiten um „Kundenverwaltung (CRM)“ ergänzt