Laden...
Laden...
Kundendaten im CRM gehören zu den sensiblesten Beständen: Sie verlangen rechtmäßige Verarbeitung, dokumentierte Zweckbindung, Einwilligungs‑ und Berechtigungslogik sowie revisionssichere Änderungs‑ und Zugriffsprotokolle.
Wer was sieht, steuerst du über Rollen und Rechte-Vorlagen.
Die DSGVO richtet sich an personenbezogene Daten aller Kontakte — Interessenten, Kunden, Partner. Für CRM bedeutet das: Jede Verarbeitung braucht eine Rechtsgrundlage (z. B. Vertrag, berechtigtes Interesse — stets dokumentiert), Zweckbindung: Für einen anderen Zweck darfst du die Daten nur weiterverarbeiten, wenn er mit dem ursprünglichen Zweck vereinbar ist oder du dich auf eine Einwilligung oder eine Rechtsvorschrift stützen kannst (Artikel 5 Absatz 1 Buchstabe b und Artikel 6 Absatz 4 DSGVO). Zudem bestehen Betroffenenrechte (Auskunft, Löschung, Berichtigung, Datenportabilität) und Pflichten zu Aufbewahrung, Löschfristen und Auftragsverarbeitung beim Einsatz von Cloud‑Diensten. Ein professionelles CRM ersetzt keine Rechtsberatung. Es liefert aber die organisatorisch‑technischen Werkzeuge, damit deine Prozesse auditierbar und operabel bleiben.
Vier Bausteine tauchen in Praxis und Audits immer wieder auf. Strukturiere sie früh:
Newsletter und Tracking brauchen belastbare Nachweise. Die Einwilligung musst du nach Artikel 7 Absatz 1 DSGVO belegen können, und der Widerruf muss so einfach sein wie die Erteilung (Artikel 7 Absatz 3). Für Werbe-E-Mails verlangt § 7 Absatz 2 Nummer 2 UWG die vorherige ausdrückliche Einwilligung, für Tracking auf dem Endgerät § 25 Absatz 1 TDDDG.
Felder wie Geburtsdatum oder sensible Zusatzinfos erfasst du nur, wenn es für den Zweck wirklich nötig ist. Halte Lebenszyklen und Löschkonzepte schriftlich fest.
Ist der Zweck erfüllt oder die Einwilligung widerrufen, müssen Löschung und Pseudonymisierung vorbereitet sein, damit keine stillen Datenreste ohne Verantwortlichen zurückbleiben.
Status‑ und Zugriffslogs helfen beim Nachweis interner Kontrollsysteme gegenüber Geschäftsführung, Datenschutzbeauftragten und Prüfern.
Technische Grundlagen plus modularen Aufbau zur Reduktion unkontrollierter Kopien.
Strikte Zugriffe verhindern, dass CRM‑Daten in Zusatz‑Spreadsheets «nebenbei» ohne Governance weiterkopiert werden.
Made‑in‑Germany‑Ausrichtung und transparente Datenflüsse reduzieren Drittland‑Transferszenarien im operativen Tagesgeschäft.
CRM, Aufträge, Zeiten und Rechnungen verdichten Daten an einem konsistenten Objektbaum — Schlüsselfaktor gegen Medienbruch‑Leakage mit personenbezogenen Feldern.
Ordne dein CRM in den Gesamtkontext von Vertrag und Finanzakte.
Nein. Tools liefern Prozess‑ und Zugriffsmechaniken; deine Datenverarbeitungsverzeichnisse, Zweck‑ und Dokumentationspflichten sowie Verträge mit Auftragsverarbeitern bleiben deine Governance‑Aufgabe. Professionelle Begleitung durch einen Datenschutzbeauftragten oder Rechtsanwalt ist weiterhin angezeigt bei komplexeren Sales‑Stacks.
Ja. Artikel 30 Absatz 1 DSGVO verpflichtet jeden Verantwortlichen zu einem Verzeichnis von Verarbeitungstätigkeiten. Die Ausnahme für Unternehmen mit weniger als 250 Mitarbeitern greift nur, wenn die Verarbeitung kein Risiko birgt, nur gelegentlich erfolgt und keine besonderen Datenkategorien umfasst. Ein CRM läuft dauerhaft, damit greift die Ausnahme praktisch nie. Das CRM ist dort typischerweise ein Kerneintrag samt Zwecken, Datenkategorien, Empfängern und Löschfristen.
Das hängt von Rechtsgrundlage und Kanal ab. Artikel 6 Absatz 1 DSGVO erlaubt Vertrag, Einwilligung oder berechtigtes Interesse nach Abwägung. Für Werbe-E-Mails kommt § 7 Absatz 2 Nummer 2 UWG dazu: ohne vorherige ausdrückliche Einwilligung geht dort nichts, abgesehen von der engen Bestandskundenausnahme in § 7 Absatz 3 UWG. Lege pro Pipeline-Stufe fest, worauf du dich stützt und wie du es nachweist.
Löschen heißt strukturierte Kaskaden: gekoppelte Aktivitäten, Angebote, Rechnungsbelege können steuerrechtlich längere Aufbewahrungszyklen haben. cashwerk strukturiert Lebenszyklen zusammen mit Finanz‑ und Projektmodulen, damit Löschvorgaben nicht gegen GoBD‑Impulse kollidieren.
Mindestens: Beschreibung der Nutzerrollen, Exportrichtlinien für E-Mail-Tools, dokumentierte Datenimporte von Messen oder aus gekauften Listen und Nachweise zu den Einwilligungstexten. Nachweisen musst du das gegenüber der Datenschutz-Aufsichtsbehörde deines Bundeslandes (§ 40 Absatz 1 BDSG), denn die Rechenschaftspflicht aus Artikel 5 Absatz 2 DSGVO liegt bei dir. Umfangreiche Profilbildung kann zusätzlich eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO auslösen.
Verschlüsselung ist eine der in Artikel 32 Absatz 1 DSGVO ausdrücklich genannten Maßnahmen, und nach Artikel 34 Absatz 3 Buchstabe a kann sie dir bei einer Datenpanne die Benachrichtigung der Betroffenen ersparen, wenn die Daten für Unbefugte unzugänglich bleiben. Sie ersetzt aber keine saubere Rechtevergabe. Wer Pflichtfelder als CSV in ein privates Cloud-Laufwerk exportiert, hebelt jede Verschlüsselung aus.
Nutze die integrierte cashwerk Kernplattform, um operative und finanzbezogene Datenstränge ohne Medienbruch zu kombinieren — Grundlage stabiler Zweck‑ und Zweck‑fortführungsdokumentation.
Zu cashwerk CRM