Wie schützt man Kundendaten in einem CRM rechtskonform?

Die vier Pflichten

1. Rechtsgrundlage

Kundendaten zur Vertragsabwicklung stützen sich auf Art. 6 Abs. 1 lit. b DSGVO. Werbung an Bestandskunden kann auf ein berechtigtes Interesse gestützt werden, Newsletter an Interessenten brauchen eine Einwilligung – samt Nachweis, wann und wie sie erteilt wurde.

2. Rollen und Rechte

Nicht jede Person braucht jeden Datensatz. Ein CRM, in dem alle alles sehen, ist bequem und im Ernstfall nicht verteidigbar.

3. Löschfristen

Daten dürfen nur so lange gespeichert werden, wie sie für den Zweck nötig sind. Handels- und steuerrechtliche Aufbewahrungspflichten gehen vor – sie sind aber ein Grund zum Aufbewahren, nicht zum Weiterverarbeiten. Wer Daten aus steuerlichen Gründen behalten muss, darf sie deshalb nicht weiter bewerben.

4. Auftragsverarbeitung

Jeder Dienstleister mit Zugriff – Hoster, Support, Agentur – braucht einen Vertrag nach Art. 28 DSGVO.

Was in der Praxis am häufigsten fehlt

• Der Nachweis der Einwilligung. Ohne ihn ist die Einwilligung im Streitfall wertlos.
• Umgesetzte Löschfristen. Ein Konzept im Ordner reicht nicht; das System muss tatsächlich löschen.
• Auskunftsfähigkeit. Bei einer Anfrage nach Art. 15 DSGVO haben Sie in der Regel einen Monat Zeit. Wer die Daten dafür aus fünf Systemen von Hand zusammensuchen muss, schafft das nicht zuverlässig.

Bei individuellen Lösungen

Der Vorteil: Löschfristen, Protokollierung und Auskunftsfunktion lassen sich von Anfang an einbauen, statt sie später nachzurüsten.