Was sagt die DSGVO zu Kundendaten im CRM?
Ein CRM ist per Definition eine Datenbank von Personen. Damit fällt es unmittelbar unter die Verordnung (EU) 2016/679 und unter die Aufsicht der Datenschutzaufsichtsbehörden.
Kurzantwort
- Jede Verarbeitung braucht eine Rechtsgrundlage: Einwilligung, Vertrag, rechtliche Verpflichtung oder berechtigtes Interesse.
- B2B-Akquise stützt sich meist auf berechtigtes Interesse; für Werbe-E-Mails oder WhatsApp-Marketing ist eine Einwilligung nötig, in Deutschland zusätzlich nach § 7 UWG.
- Sie schließen mit dem CRM-Anbieter einen Auftragsverarbeitungsvertrag (AVV) – er ist der Auftragsverarbeiter, Sie sind der Verantwortliche.
- Sie müssen Anfragen betroffener Personen beantworten können: Auskunft, Berichtigung, Löschung, Übertragbarkeit.
- Bei einer Sicherheitsverletzung beträgt die Meldefrist an die Aufsichtsbehörde 72 Stunden.
Was im CRM vorhanden sein muss, damit Sie konform sind
- Ein Feld mit Rechtsgrundlage und Quelle jedes Kontakts – woher er stammt und warum Sie ihn verarbeiten.
- Ein Nachweis der Einwilligung zur geschäftlichen Kommunikation, mit Datum und Kanal.
- Rollen und Berechtigungen, damit jeder Mitarbeiter nur die Daten sieht, die er braucht.
- Ein Änderungsprotokoll: wer einen Datensatz wann geändert hat.
- Export und Löschung auf Anfrage, in einem strukturierten Format.
- Eine Aufbewahrungsregel – Kontakte werden nicht „für alle Fälle“ unbegrenzt gespeichert.
Die häufigsten Sanktionsgründe
In Aufsichtsverfahren gehören fehlende technische und organisatorische Sicherheitsmaßnahmen und unwirksame Einwilligungen zu den typischen Beanstandungen – vorangekreuzt, gebündelt oder nicht widerrufbar.
Bei schweren Verstößen kann das Bußgeld bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes betragen.
Typische Fehler
- Eine gekaufte Liste importieren, ohne belegen zu können, woher die Daten stammen.
- Die Kundenliste per E-Mail oder WhatsApp zwischen Kollegen verschicken.
- Vollzugriff für jeden Nutzer, „damit es einfach bleibt“.
- Kein unterschriebener AVV mit dem CRM-Anbieter und den anderen Dienstleistern, die mit den Daten in Berührung kommen.
- Einen Kontakt löschen, ohne die Kopien in lokalen Exporten zu löschen.
So hilft 4softcrm
- Rechtsgrundlage, Quelle und Einwilligung werden als strukturierte Daten an jedem Kontakt erfasst.
- Granulare Rollen und Berechtigungen, mit Änderungsprotokoll je Datensatz.
- Export und Löschung auf Anfrage, mit Daten, die in der Europäischen Union gehostet werden.