CRM und DSGVO: Rechtsgrundlagen, Löschfristen und Auskunft im Vertriebsalltag
Ein CRM ist der Ort, an dem Ihr Unternehmen die meisten personenbezogenen Daten sammelt: Namen, E-Mail-Adressen, Telefonnummern, Gesprächsnotizen, manchmal Geburtstage und private Vorlieben. Datenschutz entscheidet sich deshalb weniger bei der Wahl des Anbieters als im täglichen Umgang mit diesen Daten. Dieser Artikel zeigt die fünf Punkte, die ein CRM im Vertriebsalltag DSGVO-fest machen.
1. Für jede Kontaktgruppe eine Rechtsgrundlage
Jede Speicherung braucht eine Rechtsgrundlage nach Art. 6 DSGVO. Im CRM sind es meist drei:
- Vertrag oder Vertragsanbahnung (Art. 6 Abs. 1 lit. b): Kunden und Interessenten, die ein Angebot angefragt haben.
- Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): etwa Ansprechpartner bei Geschäftskunden, mit denen Sie in Kontakt stehen. Dokumentieren Sie die Abwägung.
- Einwilligung (Art. 6 Abs. 1 lit. a): zum Beispiel für Newsletter. Speichern Sie, wann und wie sie erteilt wurde.
2. Anbieter, Vertrag und Zugriffsrechte
Mit dem CRM-Anbieter schließen Sie einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Prüfen Sie Speicherort und Unterauftragsverarbeiter; bei US-Anbietern zusätzlich die Zertifizierung nach dem EU-US Data Privacy Framework oder Standardvertragsklauseln.
Genauso wichtig sind die Rechte im eigenen Team: Nicht jeder Mitarbeiter braucht Zugriff auf alle Kontakte, Notizen und Exporte. Rollen und eine Regel, wer Daten exportieren darf, verhindern, dass beim Wechsel eines Verkäufers die halbe Kundenliste mitgeht.
3. Notizen: sachlich und sparsam
Freitextnotizen sind das größte Risiko im CRM, denn Betroffene haben nach Art. 15 DSGVO ein Recht auf Auskunft, und das umfasst auch Notizen. Schreiben Sie nur, was für die Geschäftsbeziehung nötig ist, und so, dass der Kunde es lesen dürfte. Gesundheitsangaben, Vermutungen über Privates oder abwertende Bemerkungen gehören nicht hinein.
4. Ein Löschkonzept mit echten Fristen
Daten dürfen nur so lange gespeichert werden, wie sie für den Zweck nötig sind, aber handels- und steuerrechtliche Pflichten verlangen teils lange Aufbewahrung. Unterscheiden Sie:
- Interessenten ohne Auftrag: nach einer festgelegten Frist löschen, etwa wenn ein Jahr lang kein Kontakt bestand.
- Geschäftsbriefe und Angebote, die zu einem Geschäft geführt haben: sechs Jahre nach § 257 HGB.
- Buchungsbelege wie Rechnungen: seit 2025 acht Jahre (zuvor zehn); Bücher und Jahresabschlüsse weiterhin zehn Jahre.
- Newsletter-Abmelder: nur die Adresse auf einer Sperrliste behalten, damit sie nicht erneut angeschrieben wird.
5. Auskunft, Löschung und Werbung im Prozess verankern
Auskunftsanfragen müssen grundsätzlich innerhalb eines Monats beantwortet werden (Art. 12 Abs. 3 DSGVO). Legen Sie fest, wer sie bearbeitet, und testen Sie einmal, ob Sie alle Daten einer Person samt Notizen und E-Mails aus dem CRM exportieren können.
Für E-Mail-Werbung gilt § 7 UWG: Ohne Einwilligung dürfen Sie Bestandskunden nur unter engen Voraussetzungen anschreiben, etwa für ähnliche Produkte und mit Widerspruchshinweis in jeder E-Mail. Kalte Werbe-E-Mails an Interessenten aus dem CRM sind nicht erlaubt. Automatisierte Löschregeln, Sperrlisten und Exporte für Auskunftsanfragen richten wir im Rahmen einer CRM-Anbindung ein.
Häufige Fragen
- Darf ich Visitenkarten von Messen ins CRM übernehmen?
- In der Regel ja, auf Grundlage des berechtigten Interesses für die geschäftliche Kontaktaufnahme. Für Werbe-E-Mails brauchen Sie aber trotzdem eine Einwilligung, sofern keine Ausnahme nach § 7 Abs. 3 UWG greift.
- Ist ein CRM aus den USA erlaubt?
- Ja, mit Auftragsverarbeitungsvertrag und einer zulässigen Grundlage für die Übermittlung, etwa der Zertifizierung des Anbieters im Data Privacy Framework. Viele Anbieter bieten zusätzlich Hosting in der EU.
- Müssen wir das CRM im Verzeichnis der Verarbeitungstätigkeiten aufführen?
- Ja. Kundenverwaltung und Vertrieb gehören mit Zweck, Datenkategorien, Empfängern und Löschfristen ins Verzeichnis nach Art. 30 DSGVO.
Quellen
Nennen Sie uns Ihr CRM und wie Kontakte heute hineinkommen. Wir richten Löschregeln, Sperrlisten und Rechte so ein, dass Datenschutz automatisch mitläuft.
CRM-Datenschutz einrichten