Die Kundenliste liegt noch in Excel. Oder in einem US-Tool, das irgendwann jemand eingeführt hat. Jetzt sollst du ein neues CRM aussuchen, und deine Datenschutzberatung fragt als Erstes nach der AVV.
Das Problem: Fast jeder Anbieter schreibt „DSGVO-konform“ auf seine Website. Das klingt beruhigend, sagt aber wenig. Eine Software allein ist nämlich nicht DSGVO-konform. Entscheidend ist, was der Anbieter vertraglich zusichert, was das Tool technisch kann und wie dein Team es nutzt.
In diesem Artikel bekommst du eine Checkliste mit acht Prüfpunkten. Damit erkennst du in etwa einer Stunde, ob ein CRM zu deinen Datenschutz-Anforderungen passt. Wichtig vorab: Das ist keine Rechtsberatung. Bei konkreten Fragen hilft dir deine Datenschutzberatung.
Was „DSGVO-konformes CRM“ wirklich heißt
Du bist verantwortlich, der Anbieter verarbeitet in deinem Auftrag
In deinem CRM liegen personenbezogene Daten: Namen, E-Mail-Adressen, Telefonnummern, Gesprächsnotizen. Für diese Daten bist du als Unternehmen der Verantwortliche. Der CRM-Anbieter verarbeitet sie in deinem Auftrag. Er ist also Auftragsverarbeiter im Sinne von Art. 28 DSGVO.
Daraus folgt: Du brauchst mit dem Anbieter einen Vertrag zur Auftragsverarbeitung, kurz AVV. Und du musst prüfen, ob er ausreichende Garantien für den Schutz der Daten bietet.
Warum „DSGVO-konform“ auf der Website wenig beweist
„DSGVO-konform“ ist kein geschütztes Prüfsiegel. Jeder kann es schreiben. Belastbar sind dagegen Dokumente, die du selbst lesen kannst: die AVV, die Liste der Subprozessoren und die Beschreibung der technischen und organisatorischen Maßnahmen (TOMs). Ein seriöser Anbieter macht diese Unterlagen leicht auffindbar. Wenn du sie erst nach drei Mails und einem Demo-Termin bekommst, ist das ein Warnsignal. Gute Anbieter sagen dir auch, was sie nicht leisten.
Was das Tool leisten muss und was bei dir bleibt
Das CRM liefert die Werkzeuge: Rollen, Löschfunktionen, Protokolle, sichere Speicherung. Die Entscheidungen triffst aber du. Du legst fest, welche Daten ihr speichert, auf welcher Rechtsgrundlage und wie lange. Ein gutes CRM macht dir das leicht. Abnehmen kann es dir das nicht.
Die Checkliste: 8 Punkte für ein DSGVO-konformes CRM
Die folgenden acht Punkte kannst du bei jedem Anbieter gleich abfragen. Nimm dir die Website, die AVV und die Preisseite vor. Was du dort nicht findest, fragst du per Mail nach. Eine ausweichende Antwort ist übrigens auch eine Antwort.
1. Hosting: Wo liegen die Daten wirklich?
„Server in der EU“ ist ein guter Anfang, aber frag genauer nach. Bei welchem Anbieter und in welcher Region läuft das System? Gilt das für alle Daten oder nur für die Datenbank? Viele Plattformen unterscheiden zwischen Kernsystemen und Hilfsdiensten, etwa für Zahlungen oder Push-Nachrichten. Ein sauberer Anbieter benennt beides. Er sagt dir auch offen, welche Hilfsdienste Daten außerhalb der EU verarbeiten können. Für dich zählt am Ende, wo deine Kundendaten gespeichert werden und wer darauf zugreifen kann.
2. AVV: öffentlich, aktuell, nach Art. 28
Prüf, ob du die AVV ohne Vertriebsgespräch lesen kannst. Achte auf Stand und Versionsnummer. Inhaltlich sollte sie unter anderem regeln, wie Weisungen funktionieren, welche Maßnahmen der Anbieter trifft, wie er dich bei Anfragen Betroffener unterstützt, wie Datenpannen gemeldet werden und was mit den Daten nach Vertragsende passiert.
3. Subprozessoren und Drittlandtransfers
Fast jeder Anbieter nutzt weitere Dienstleister. Du solltest eine Liste finden, die für jeden Dienstleister Zweck und Verarbeitungsort nennt. Bei Übermittlungen in die USA lautet die entscheidende Frage: Wie ist das abgesichert? Übliche Grundlagen sind das EU-US Data Privacy Framework und die EU-Standardvertragsklauseln. Prüf außerdem, ob du über Änderungen an der Liste informiert wirst und ob du widersprechen kannst.
4. Technische Maßnahmen (TOMs)
Mindestens solltest du Verschlüsselung bei der Übertragung und bei der Speicherung erwarten. Dazu kommen Zugriffskontrolle und Backups. Sei vorsichtig bei großen Zertifikats-Versprechen. Wenn ein Anbieter mit einer Zertifizierung wirbt, frag nach dem Nachweis.
5. Rollen und Berechtigungen
Nicht jede Person im Team muss alles sehen. Prüf, ob das CRM verschiedene Rollen kennt und wie fein du Rechte vergeben kannst. Das Prinzip dahinter: Jede Person sieht nur, was sie für ihre Arbeit braucht. Eine Werkstudentin im Marketing braucht vielleicht Lesezugriff auf Kontakte, aber keine Admin-Rechte. Wichtig ist auch, wie schnell du Zugänge entziehen kannst, wenn jemand das Team verlässt.
6. Nachvollziehbarkeit: Audit-Log und Änderungshistorie
Wer hat wann einen Datensatz geändert? Wer hat eine Rolle vergeben? Eine Änderungshistorie am Datensatz und ein Audit-Log für sicherheitsrelevante Aktionen helfen dir, Fragen zu beantworten und Fehler zu finden. Prüf, in welchem Tarif diese Funktionen enthalten sind.
7. Löschen, Aufbewahren, Exportieren
Kannst du einzelne Datensätze gezielt löschen? Gibt es Funktionen für Aufbewahrungsregeln? Und kannst du Daten exportieren, wenn ein Kontakt Auskunft verlangt oder du den Anbieter wechselst? Diese drei Fragen entscheiden, wie gut du Betroffenenrechte im Alltag umsetzen kannst. Frag auch, was am Vertragsende mit deinen Daten passiert und wie lange du sie noch abrufen kannst.
8. Einwilligungen und Tracking am Kontakt
Wenn du Newsletter verschickst oder Website-Besuche auswertest, brauchst du in der Regel eine Einwilligung. Ein gutes CRM zeigt dir am Kontakt, ob und wofür eine Einwilligung vorliegt. Prüf auch, ob Website-Tracking erst nach Zustimmung startet.
Die Checkliste zum Kopieren
Prüfpunkt | Frage an den Anbieter | Wo finde ich das? | Ergebnis |
|---|---|---|---|
Hosting | Wo laufen Kernsysteme und Hilfsdienste? | Sicherheitsseite, Subprozessoren | |
AVV | Ist sie öffentlich und aktuell? | AVV-Seite | |
Subprozessoren | Gibt es eine Liste mit Zweck, Ort und Garantie? | Subprozessor-Liste | |
TOMs | Welche Verschlüsselung, welche Zugriffskontrolle? | AVV, Sicherheitsseite | |
Rollen | Welche Rollen und wie feine Rechte? | Produkt- oder Sicherheitsseite | |
Nachvollziehbarkeit | Gibt es Historie und Audit-Log? Ab welchem Tarif? | Preise, Sicherheitsseite | |
Löschen und Export | Einzeln löschen, Aufbewahrung, Export? | Produktseite, AVV | |
Einwilligungen | Wird die Einwilligung am Kontakt gespeichert? | Produktseite |
Raus aus Excel oder HubSpot: worauf du beim Umstieg achtest
Excel: das unterschätzte Datenschutzrisiko
Eine Excel-Liste wirkt harmlos. In der Praxis gibt es aber schnell fünf Kopien auf verschiedenen Laptops und in Mail-Anhängen. Es gibt keine Rollen, keine Historie, und niemand kann sicher sagen, ob ein gelöschter Kontakt wirklich überall weg ist. Genau hier hilft ein CRM: Die Daten liegen an einem Ort, mit klaren Rechten. Und wenn jemand Auskunft verlangt, suchst du an einer Stelle statt in zehn Dateien.
Wechsel von einem US-Anbieter
Wenn du von einem großen US-Anbieter wie HubSpot wechseln willst, wende dieselben acht Prüfpunkte an. Bewerte dabei nicht nur das neue, sondern auch das alte System nach denselben Kriterien. Einen Funktionsvergleich findest du auf unserer Seite HubSpot-Alternative im Vergleich.
Die Migration selbst datensparsam planen
Ein Umzug ist die beste Gelegenheit zum Aufräumen. Lösch doppelte und veraltete Kontakte vor dem Import. Übernimm nur Felder, die ihr wirklich braucht. Freitextfelder mit alten Notizen sind oft die größte Baustelle, also lies sie vor dem Import quer. Und dokumentiere kurz, welche Daten ihr wann aus welchem System übernommen habt. Das hilft dir später bei Auskunftsanfragen.
So sieht das bei YOWO7 aus: ein Beispiel
Damit die Checkliste greifbar wird, gehen wir sie an einem Beispiel durch, dem YOWO7 CRM. YOWO7 ist auf DSGVO-Konformität ausgelegt und unterstützt dich beim DSGVO-konformen Arbeiten. Die Belege dafür sind öffentlich.
Hosting und Subprozessoren
Die Kernsysteme von YOWO7 laufen ausschließlich in der EU, bei Amazon Web Services in Frankfurt. Dazu gehören die Anwendung, die Datenbank, die Dateien, die Plattform-E-Mail und die KI. Für Zahlungen, Captcha, optionale Kalender-Anbindungen, Video-Calls und Mobile-Push nutzt YOWO7 Hilfsdienste. Diese können Daten auch in den USA verarbeiten. Die Subprozessor-Liste nennt jeden Anbieter mit Zweck, Ort und Absicherung, also Data Privacy Framework und/oder Standardvertragsklauseln. Änderungen kündigt YOWO7 in der Regel mindestens 14 Tage vorher an. Product-Analytics-Dienste gibt es in der Plattform nicht.
AVV und Löschung
Die AVV ist öffentlich, folgt Art. 28 DSGVO und trägt Version und Stand. Sie regelt unter anderem die Unterstützung bei Betroffenenrechten, die unverzügliche Meldung von Datenpannen und die Löschung oder Rückgabe der Daten nach Vertragsende. Als TOMs nennt sie Verschlüsselung in Transit und at Rest, EU-Hosting der Kernsysteme, Zugriffskontrolle, Malware-Scan bei Uploads, Audit-Logs und Backups.
Rollen, Historie, Export und Audit-Log
YOWO7 kennt vier Rollen: Viewer, Member, Admin und Owner. Die Rechte greifen auf Workspace-, App- und Objektebene. Am Datensatz siehst du die Property-Historie und eine Timeline mit Feldänderungen. Datensätze kannst du exportieren. Einen Audit-Log für sicherheitsrelevante Aktivitäten gibt es ab dem Plan Business, Datenaufbewahrung im Plan Enterprise. Am Kontakt siehst du außerdem Subscriptions und die Marketing-Bestätigung. Seitenbesuche werden einem Kontakt erst nach Identifizierung oder einem Formular-Submit zugeordnet.
Was du selbst prüfen solltest
YOWO7 wirbt bewusst nicht mit ISO- oder SOC-2-Zertifikaten. Falls dein Unternehmen solche Nachweise verlangt, kläre das vorab. Prüf außerdem, welchen Plan du für Audit-Log und Aufbewahrung brauchst. Die Details findest du auf den Seiten Sicherheit und Preise.
Häufige Fehler bei der CRM-Auswahl
Nur auf das Siegel „DSGVO-konform“ schauen
Ein Schlagwort ersetzt keine Prüfung. Lies die AVV und die Subprozessor-Liste, bevor du dich entscheidest.
Hilfsdienste und Integrationen vergessen
Kalender-Sync, Zahlungsanbieter, Push-Dienste und Captcha bringen eigene Datenflüsse mit. Auch die gehören in deine Prüfung und in dein Verarbeitungsverzeichnis.
Keine Löschregeln festlegen
Das CRM kann löschen, aber es weiß nicht, wann. Leg fest, wie lange ihr Interessenten, Kunden und ehemalige Kunden speichert, und plane regelmäßige Aufräumtermine ein. Ein fester Termin pro Quartal reicht für viele kleine Teams. Denk dabei auch an gesetzliche Aufbewahrungspflichten, zum Beispiel für Rechnungen.
Rollen „später“ einrichten
Wer am Anfang allen Admin-Rechte gibt, dreht das selten wieder zurück. Richte die Rollen gleich beim Start ein.
Das Verarbeitungsverzeichnis nicht aktualisieren
Ein neues CRM ist eine neue Verarbeitungstätigkeit oder ändert eine bestehende. Trag es in dein Verzeichnis der Verarbeitungstätigkeiten ein, mit Zweck, Datenkategorien, Empfängern und Löschfristen. Die AVV und die Subprozessor-Liste des Anbieters liefern dir dafür viele Angaben.
Das Team nicht schulen
Das beste CRM hilft wenig, wenn Notizen voller sensibler Details stehen, die niemand braucht. Sprich mit deinem Team kurz darüber, was ins CRM gehört und was nicht. Zehn Minuten im Teammeeting reichen oft schon.
Fazit: Prüf Dokumente, nicht Siegel
Ein DSGVO-konformes CRM erkennst du nicht am Werbeversprechen, sondern an Belegen: am Hosting, an der AVV, an der Subprozessor-Liste, an Rollen, Historie und Löschfunktionen. Nimm dir eine Stunde Zeit, geh die Checkliste durch und vergleich die Anbieter ehrlich. Der Rest ist gute Gewohnheit im Team.
Willst du es an einem Beispiel prüfen? Lies die AVV und die Subprozessor-Liste von YOWO7 und teste das YOWO7 CRM 14 Tage kostenlos. Mehr zum Thema Tool-Wildwuchs liest du in unserem Artikel Tool-Chaos im Team.
Häufige Fragen
Gibt es ein CRM, das automatisch DSGVO-konform ist?
Nein. Ein CRM liefert die Voraussetzungen, zum Beispiel EU-Hosting, eine AVV, Rollen und Löschfunktionen. Ob du DSGVO-konform arbeitest, hängt davon ab, wie dein Team das Tool nutzt.
Reicht es, wenn der CRM-Server in der EU steht?
Das ist ein wichtiger Punkt, aber nicht der einzige. Prüf auch Hilfsdienste und Subprozessoren, die Absicherung von Drittlandtransfers und die AVV.
Brauche ich für mein CRM eine AVV?
Wenn der Anbieter personenbezogene Daten in deinem Auftrag verarbeitet, ja. Das regelt Art. 28 DSGVO. Seriöse Anbieter stellen die AVV öffentlich bereit.
Kann ich HubSpot DSGVO-konform nutzen?
Eine Pauschalantwort gibt es nicht. Wende dieselben acht Prüfpunkte auf jeden Anbieter an. Einen Funktionsvergleich findest du unter HubSpot-Alternative im Vergleich.
Was mache ich, wenn ein Kontakt Auskunft oder Löschung verlangt?
Prüf die Identität, such alle Daten zur Person im CRM und in angebundenen Tools und antworte innerhalb der gesetzlichen Frist. Dein CRM-Anbieter unterstützt dich dabei laut AVV. Die Antwort gibst aber du als Verantwortlicher.