CRM DSGVO-konform in Deutschland: Die echten Anforderungen
Welche Anforderungen muss ein CRM in Deutschland DSGVO-konform erfuellen?
DSGVO-konformes CRM braucht vier Saeulen: EU-Hosting, dokumentierte Verarbeitungsverzeichnisse, AVV mit allen Dienstleistern und definierte Loeschfristen pro Datentyp. Cookie-Banner allein reichen nicht. Im SnapSite-Audit 2026 fielen 7 von 10 SaaS-CRM-Installationen bei der AVV-Pruefung durch. Wer das ernst nimmt, baut die Pflichten in die System-Architektur, nicht ans Ende.
- 01
Pruefe Hosting und Datenfluss
Server in EU, idealerweise Deutschland. Jede Dienstleister-Komponente bekommt eine Datenfluss-Beschreibung. Was nicht dokumentiert ist, gilt im Audit als nicht vorhanden.
- 02
Erstell das Verarbeitungsverzeichnis
Pro Verarbeitungstyp: Zweck, Rechtsgrundlage, Datenkategorien, Empfaenger, Loeschfrist. Eine Vorlage allein reicht nicht. Das Verzeichnis muss zur eigenen Praxis passen.
- 03
Schliesse AVVs mit allen Dienstleistern
Hosting, E-Mail-Versand, Analytics, KI-Modelle. Jeder Dienstleister, der personenbezogene Daten verarbeitet, braucht einen AVV. Fehlt einer, wird der gesamte Datenfluss unzulaessig.
Im SnapSite-Audit 2026 fielen 7 von 10 SaaS-CRM-Installationen bei der AVV-Pruefung durch.
Audit ueber zehn DACH-Mittelstand-Kunden mit unterschiedlichen SaaS-CRMs, Maerz 2026.
- Reicht eine Cookie-Banner-Loesung?
- Nein. Cookie-Consent betrifft nur das Tracking. CRM-Daten haben einen anderen Rechtsrahmen: berechtigtes Interesse oder Vertragsabwicklung. Die Banner-Frage ist nicht das CRM-Problem.
- Wo darf das CRM gehostet werden?
- Innerhalb der EU ohne Zusatzaufwand. In Drittlaendern nur mit Standardvertragsklauseln plus Transfer-Folgenabschaetzung. Wer auf US-Hosting setzt, baut sich eine Pflichten-Schicht obendrauf.
- Welche Loeschfristen gelten?
- Pro Datentyp unterschiedlich. Kunden-Anfragen ohne Vertrag in der Regel sechs Monate. Vertragsdaten zehn Jahre wegen steuerlicher Pflicht. Loeschungen muessen automatisiert ablaufen, nicht per Hand.
- Was passiert im Audit?
- Geprueft werden Verarbeitungsverzeichnis, AVVs, technische Massnahmen und Datenschutzerklaerung. Im SnapSite-Audit 2026 fielen 7 von 10 SaaS-CRM-Installationen bei der AVV-Pruefung durch. Meist fehlen AVVs fuer E-Mail-Versand und Analytics.
- Wer haftet bei einem Datenleck?
- Der Verantwortliche, also das Dienstleister-Unternehmen mit dem CRM. Auftragsverarbeiter haftet mit, wenn ein Verstoss gegen den AVV vorliegt. Eine saubere Vertragslage schuetzt nicht vor der Pflicht zur Meldung binnen 72 Stunden.
SnapSite baut CRMs mit DSGVO als Architektur-Prinzip, nicht als Nach-Anbau. EU-Hosting, dokumentierte Datenfluesse, AVV-Pakete fuer alle Dienstleister.
Wer einen DSGVO-Audit am CRM braucht oder einen sauberen Bau plant, klaert das im Projekt-Gespraech.
Projekt besprechen