Datenschutz im CRM: Was KMU 2026 konkret regeln müssen

Ihr CRM ist der Ort, an dem sich alles sammelt: Namen, E-Mail-Adressen, Telefonnummern, Gesprächsnotizen, Angebote, Öffnungsraten von Newslettern. Genau deshalb steht es im Mittelpunkt, wenn es um die DSGVO geht. Datenschutz im CRM bedeutet, für jeden Kontakt beantworten zu können, warum Sie ihn speichern, auf welcher Rechtsgrundlage, wer darauf zugreift, wie lange er bleibt und was passiert, wenn etwas schiefgeht. Dieser Leitfaden zeigt Ihnen, welche Pflichten das konkret sind, wo kleine und mittelständische Unternehmen typischerweise Fehler machen und wie Sie die Regeln im Alltag umsetzen, ohne dass der Vertrieb ausgebremst wird.

Kurz gesagt

• Jeder Datensatz im CRM braucht eine Rechtsgrundlage, meist Einwilligung, Vertrag oder berechtigtes Interesse, und diese Grundlage sollte am Kontakt dokumentiert sein.
• Nutzen Sie eine CRM-Software eines Anbieters, brauchen Sie in der Regel einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
• Widerspricht jemand der Verarbeitung für Direktwerbung, ist Schluss: Dieses Widerspruchsrecht gilt ohne Abwägung.
• Ein Löschkonzept und ein Verzeichnis der Verarbeitungstätigkeiten gehören zum Pflichtprogramm, auch für kleine Teams.
• Bei einer Datenpanne läuft ab Kenntnis eine Frist von 72 Stunden für die Meldung an die Aufsichtsbehörde.

Inhaltsverzeichnis

• Warum gerade das CRM so heikel ist
• Verantwortlicher, Auftragsverarbeiter und der AV-Vertrag
• Die Rechtsgrundlage für jeden Kontakt
• Nur speichern, was Sie brauchen
• Transparenz und Betroffenenrechte im Alltag
• Ein Löschkonzept, das wirklich löscht
• Das Verzeichnis der Verarbeitungstätigkeiten
• Datenpannen: Die 72 Stunden zählen ab Kenntnis
• Profiling, Lead-Scoring und Automatisierungen
• Woran Sie ein datenschutzfreundliches CRM erkennen
• Unsere Sicht: Datenschutz wird einfacher, wenn die Daten an einem Ort liegen
• Häufige Fragen
• Quellen

Warum gerade das CRM so heikel ist

In den meisten KMU ist das CRM die größte Sammlung personenbezogener Daten im Haus. Es enthält nicht nur Stammdaten, sondern auch Verhaltensdaten: wer welche Seite besucht hat, wer auf welchen Link geklickt hat, wer ein Erstgespräch gebucht und dann abgesagt hat. Je mehr Funktionen zusammenkommen, etwa Formulare, Terminbuchung, E-Mail-Marketing und Automatisierungen, desto mehr Datenflüsse entstehen.

Das ist kein Grund zur Sorge, sondern ein Grund zur Ordnung. Ein CRM ist sogar eines der besten Werkzeuge, um Datenschutz sauber umzusetzen: Es weiß, woher ein Kontakt kommt, kann Einwilligungen speichern, Löschungen automatisieren und Auskünfte auf Knopfdruck liefern. Das Problem entsteht dort, wo Daten verstreut liegen: ein Teil im CRM, ein Teil in Excel-Listen, ein Teil im Newsletter-Tool, ein Teil in Postfächern. Dann weiß niemand mehr, welche Einwilligung wo gespeichert ist und welche Kopie beim Löschen vergessen wurde.

Die Grundsätze der DSGVO lassen sich für das CRM auf sechs Fragen herunterbrechen, die wir in den folgenden Abschnitten durchgehen:

1. Wer ist verantwortlich, und welche Rolle spielt der Softwareanbieter?
2. Auf welcher Rechtsgrundlage speichern und nutzen Sie jeden Kontakt?
3. Welche Daten brauchen Sie wirklich?
4. Wie informieren Sie Betroffene und erfüllen ihre Rechte?
5. Wann löschen Sie?
6. Wie dokumentieren Sie das Ganze und reagieren auf Pannen?

Verantwortlicher, Auftragsverarbeiter und der AV-Vertrag

Die erste Frage klingt formal, entscheidet aber über Ihre Pflichten. Wenn Sie Kundendaten für Ihren eigenen Vertrieb und Ihr eigenes Marketing erheben, sind Sie Verantwortlicher. Sie tragen die Pflichten gegenüber den Betroffenen, von der Information über die Auskunft bis zur Datensicherheit.

Der Anbieter Ihrer CRM-Software verarbeitet die Daten in aller Regel nur in Ihrem Auftrag und nach Ihren Weisungen. Dann ist er Auftragsverarbeiter, und zwischen Ihnen beiden braucht es einen Vertrag nach Art. 28 DSGVO, den sogenannten AV-Vertrag. Die britische Datenschutzbehörde ICO erklärt in ihren Antworten zur Rollenverteilung, dass die Einordnung als Verantwortlicher, gemeinsam Verantwortlicher oder Auftragsverarbeiter davon abhängt, wer über Erhebung und Nutzung der Daten entscheidet. Diese Logik gilt unter der DSGVO genauso.

Worauf Sie in der Praxis achten sollten:

• AV-Vertrag abschließen, bevor echte Daten fließen. Nicht erst nach der Testphase, wenn schon Hunderte Kontakte importiert sind.
• Unterauftragsverarbeiter prüfen. Hosting, E-Mail-Versand, SMS-Dienste: Lassen Sie sich die Liste geben und achten Sie darauf, wo die Daten verarbeitet werden.
• Gemeinsame Verantwortung erkennen. Sobald ein Anbieter Daten auch für eigene Zwecke nutzt, etwa für eigene Auswertungen, kann eine gemeinsame Verantwortlichkeit entstehen. Dann braucht es eine Vereinbarung nach Art. 26 DSGVO.
• Rollen im Team klären. Wer darf exportieren, wer darf löschen, wer sieht Notizen? Ein sauberes Rechtekonzept ist Teil der technischen und organisatorischen Maßnahmen.

Je weniger Einzeltools Sie verwenden, desto weniger AV-Verträge, Unterauftragsverarbeiter und Schnittstellen müssen Sie prüfen. Das ist ein handfester Datenschutzvorteil einer zentralen Plattform gegenüber fünf verknüpften Insellösungen.

Die Rechtsgrundlage für jeden Kontakt

Ohne Rechtsgrundlage keine Verarbeitung. Für CRM-Daten kommen vor allem drei Grundlagen in Frage: die Erfüllung eines Vertrags oder vorvertraglicher Maßnahmen (ein Interessent fragt ein Angebot an), die Einwilligung (jemand trägt sich für Ihren Newsletter ein) und das berechtigte Interesse (Sie pflegen bestehende Geschäftsbeziehungen). Wichtig ist, dass Sie die Grundlage pro Zweck festlegen und am Datensatz festhalten, zum Beispiel in einem eigenen Feld.

Einwilligung: freiwillig, konkret, nachweisbar

Die Anforderungen an eine wirksame Einwilligung sind streng. Der Europäische Datenschutzausschuss fasst in seinem KMU-Leitfaden zur Einwilligung zusammen: Sie muss freiwillig, für einen bestimmten Zweck, informiert und unmissverständlich erteilt werden, durch eine eindeutige bestätigende Handlung. Vorangekreuzte Kästchen oder Schweigen reichen nicht, und der Widerruf muss so einfach sein wie die Erteilung.

Für Ihr CRM heißt das: Speichern Sie nicht nur ein Häkchen „Einwilligung ja“, sondern Zeitpunkt, Quelle (welches Formular, welche Landingpage), den Wortlaut des Einwilligungstextes und bei E-Mail-Marketing den Nachweis der Bestätigung. Wer gerade sein Tool für Newsletter auswählt, findet in einem Überblick über E-Mail-Marketing-Plattformen im Vergleich Kriterien, an denen sich auch die Verwaltung von Einwilligungen und Abmeldungen messen lässt. Die rechtlichen Details zum Newsletter selbst haben wir in unserem Beitrag zu Newsletter und DSGVO aufbereitet.

Ein typischer Stolperstein ist die Lead-Erfassung offline: Visitenkarten vom Messestand landen ohne dokumentierte Einwilligung im Newsletter-Verteiler. Wie Sie Messekontakte rechtssicher übernehmen, zeigt unser Leitfaden zur Lead-Erfassung auf Messen.

Berechtigtes Interesse: kein Freibrief

Viele Unternehmen greifen zum berechtigten Interesse nach Art. 6 Abs. 1 lit. f DSGVO, weil es bequemer wirkt als eine Einwilligung. Die Leitlinien 1/2024 des EDSA machen aber klar, dass dafür eine dreistufige Prüfung nötig ist:

1. Legitimes Interesse: Verfolgen Sie einen rechtmäßigen, klar benannten Zweck?
2. Erforderlichkeit: Ließe sich das Ziel auch mit weniger Daten erreichen?
3. Abwägung: Überwiegen die Interessen und Grundrechte der betroffenen Person?

Diese Abwägung müssen Sie dokumentieren. Ein Satz wie „Marketing ist unser berechtigtes Interesse“ genügt nicht. Die ICO betont in ihrem Leitfaden zum berechtigten Interesse, dass diese Grundlage zwar die flexibelste ist, Sie dafür aber die Verantwortung für den Schutz der Betroffenen übernehmen. Beachten Sie außerdem: Für werbliche E-Mails gelten in Deutschland zusätzlich die Vorgaben des Wettbewerbsrechts, die bei Neukontakten in der Regel eine ausdrückliche Einwilligung verlangen. Im Zweifel klären Sie das mit Ihrem Datenschutzbeauftragten oder einer auf IT-Recht spezialisierten Kanzlei, bevor Sie eine Kampagne an eine bestehende Liste schicken.

Widerspruch gegen Direktwerbung ist absolut

Widerspricht eine Person der Verarbeitung ihrer Daten für Direktwerbung (Art. 21 DSGVO), gibt es keine Abwägung mehr. Ihre Gründe sind dann unerheblich, die Verarbeitung für diesen Zweck endet. Im CRM bedeutet das: Ein Werbewiderspruch muss sofort und systemweit wirken, in jeder Liste, jeder Automatisierung und jedem Funnel. Löschen Sie den Kontakt dabei nicht einfach komplett, sondern setzen Sie eine Sperre, damit er beim nächsten Import nicht wieder auftaucht.

Nur speichern, was Sie brauchen

Datenminimierung klingt abstrakt, ist im CRM aber sehr konkret. Jedes Feld im Formular und jedes Freitextfeld im Datensatz ist eine Entscheidung. Fragen Sie sich bei jedem Feld: Wofür brauchen wir das, und würde der Vertrieb ohne es schlechter arbeiten?

Drei Problemzonen sehen wir in der Praxis immer wieder:

• Freitext-Notizen. „Kunde wirkt gestresst, Scheidung läuft“ hat in einem CRM nichts verloren. Notizen sind auskunftspflichtig und landen bei einer Anfrage beim Betroffenen.
• Besondere Kategorien. Gesundheitsdaten, religiöse Zugehörigkeit oder politische Meinungen unterliegen nach Art. 9 DSGVO besonders strengen Regeln. Erfassen Sie sie nur, wenn es zwingend nötig ist und eine Ausnahme greift.
• Wildwuchs bei Feldern. Wenn drei Kollegen das Feld „Branche“ unterschiedlich befüllen, wird jede Auswertung ungenau und jede Löschung lückenhaft.

Einheitliche Felder sind deshalb nicht nur eine Frage der Datenqualität, sondern auch des Datenschutzes. Wie Sie dabei vorgehen, beschreiben wir im Beitrag CRM-Felder standardisieren. Planen Sie gerade einen Systemwechsel, ist das der ideale Moment zum Aufräumen: Alte Kontakte ohne Rechtsgrundlage werden nicht migriert, sondern gelöscht. Unser Fahrplan zur CRM-Datenmigration zeigt die Reihenfolge.

Transparenz und Betroffenenrechte im Alltag

Wer Daten erhebt, muss informieren. Der EDSA beschreibt in seinem Leitfaden, welche Informationen Sie Betroffenen geben müssen: unter anderem wer Sie sind, zu welchem Zweck und auf welcher Grundlage Sie Daten verarbeiten, wie lange Sie sie speichern und welche Rechte die Person hat. Diese Informationen gehören in Ihre Datenschutzerklärung und, kurz gefasst, direkt an jedes Formular, über das Kontakte ins CRM gelangen.

Die Rechte der Betroffenen sollten Sie im CRM technisch abbilden können:

Legen Sie intern fest, wer Anfragen entgegennimmt, wie Sie die Identität prüfen und wo die Bearbeitung dokumentiert wird. Die gesetzlichen Fristen sind kurz, und eine Anfrage, die drei Wochen im Sammelpostfach liegt, wird schnell zum Problem. Wie Sie Kundenbetreuung und Datenschutz in einen alltagstauglichen Ablauf bringen, zeigt unsere Praxis-Roadmap zur Kundenbetreuung.

Ein Löschkonzept, das wirklich löscht

Die DSGVO verlangt, dass Daten nur so lange gespeichert werden, wie es für den Zweck nötig ist. Im CRM ist das die Pflicht, die am häufigsten vernachlässigt wird, weil alte Kontakte „ja vielleicht noch mal nützlich sein könnten“. Genau dieses Argument trägt nicht.

Ein praktikables Löschkonzept unterscheidet Kontaktgruppen und legt für jede eine Regel fest:

• Interessenten ohne Abschluss: Nach einer festgelegten Zeit ohne Kontakt löschen oder vorher um Erlaubnis für weitere Ansprache bitten.
• Newsletter-Abonnenten: Bei Abmeldung aus dem Verteiler entfernen und nur den Nachweis der Abmeldung als Sperrvermerk behalten.
• Kunden: Für Rechnungen, Verträge und Geschäftsbriefe gelten in Deutschland handels- und steuerrechtliche Aufbewahrungsfristen von mehreren Jahren. Diese Dokumente dürfen und müssen Sie aufbewahren, die übrigen Marketingdaten nicht automatisch mit.
• Bewerber oder Partner, die im CRM gelandet sind: eigene Fristen, eigene Regeln.

Welche Fristen für welche Unterlagen genau gelten, klären Sie am besten mit Ihrer Steuerberatung, da sich die Vorgaben ändern können. Technisch gilt: Ein gutes CRM lässt sich so konfigurieren, dass es Kontakte nach Ablauf markiert oder per Automatisierung löscht. Manuelles Löschen „einmal im Jahr“ klappt erfahrungsgemäß nicht.

Das Verzeichnis der Verarbeitungstätigkeiten

Art. 30 DSGVO verlangt ein Verzeichnis aller Verarbeitungstätigkeiten. Für das CRM halten Sie darin fest, welche Daten Sie zu welchem Zweck verarbeiten, wer Zugriff hat, an wen Daten gehen, wie lange sie gespeichert werden und welche Schutzmaßnahmen bestehen.

Oft hört man, kleine Unternehmen seien davon befreit. Das stimmt nur eingeschränkt. Die Ausnahme in Art. 30 Abs. 5 gilt nach Darstellung von EDSA und EDPS bislang für Organisationen mit weniger als 250 Beschäftigten, aber nicht, wenn die Verarbeitung ein Risiko birgt, nicht nur gelegentlich erfolgt oder besondere Datenkategorien betrifft. Ein CRM, das täglich genutzt wird, ist alles andere als gelegentlich. Stand Juli 2025 lag zudem ein Vorschlag auf EU-Ebene vor, die Schwelle auf 750 Beschäftigte anzuheben, wobei Hochrisiko-Verarbeitungen ausgenommen bleiben sollen. Ob und ab wann diese Änderung gilt, sollten Sie aktuell prüfen.

Der EDSA rät unabhängig davon, dass jede Organisation ein Verzeichnis führen sollte, weil es hilft, die eigenen Pflichten richtig einzuschätzen. Unsere Empfehlung: Legen Sie es einfach an. Für ein typisches KMU-CRM ist das ein Nachmittag Arbeit, und es ist das erste Dokument, nach dem eine Aufsichtsbehörde fragt.

Datenpannen: Die 72 Stunden zählen ab Kenntnis

Ein Mitarbeiter exportiert die komplette Kontaktliste auf einen privaten USB-Stick, ein Passwort wird geknackt, eine E-Mail geht mit allen Empfängern im offenen Verteiler raus. Solche Vorfälle sind Datenpannen. Nach Art. 33 DSGVO müssen Sie meldepflichtige Pannen nach den Vorgaben des EDSA zu Datenpannen unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde melden, außer die Verletzung führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Ist das Risiko hoch, müssen Sie auch die betroffenen Personen benachrichtigen. Jede Panne, auch eine nicht meldepflichtige, müssen Sie intern dokumentieren.

Viele KMU scheitern nicht an der Meldung selbst, sondern an der fehlenden Vorbereitung. Drei Dinge sollten Sie deshalb vorab festlegen:

1. Wer entscheidet? Eine Person, die Vorfälle bewertet, plus Vertretung.
2. Wie wird dokumentiert? Wann und wie Sie von dem Vorfall erfahren haben, welche Daten betroffen sind, wie Sie das Risiko bewertet haben und was Sie unternommen haben.
3. Wie melden Sie? Die Meldung darf schrittweise erfolgen. Eine rechtzeitige, noch unvollständige Erstmeldung ist besser als eine vollständige, die zu spät kommt.

Im CRM helfen Protokolle über Logins, Exporte und Rechteänderungen, um im Ernstfall schnell zu klären, was passiert ist.

Profiling, Lead-Scoring und Automatisierungen

Automatisierungen sind der Grund, warum viele Unternehmen überhaupt ein CRM einführen: Lead-Scoring, automatische Follow-ups, Segmentierung nach Verhalten. Datenschutzrechtlich ist das meist Profiling. Es ist erlaubt, braucht aber eine Rechtsgrundlage und Transparenz. Betroffene sollten wissen, dass Sie ihr Verhalten auswerten, und sie können dem für Werbezwecke widersprechen.

Eine Grenze zieht Art. 22 DSGVO: Personen haben das Recht, keiner ausschließlich automatisierten Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung unterworfen zu werden. Die ICO erläutert das in ihrer Leitlinie zu automatisierten Entscheidungen und Profiling für das britische Recht, das hier der DSGVO entspricht. Ein Lead-Score, der bestimmt, welche E-Mail jemand bekommt, fällt typischerweise nicht darunter. Ein automatisches Ablehnen von Kunden für Ratenzahlung ohne menschliche Prüfung dagegen sehr wohl. Wie Sie Leads sinnvoll durch die Phasen führen, beschreiben wir unter Lead Management: Prozess und Phasen.

Woran Sie ein datenschutzfreundliches CRM erkennen

Bei der Auswahl oder Überprüfung Ihrer Software helfen diese Kriterien:

Die vollständige Liste der Prüfpunkte zum Abhaken finden Sie in unserer CRM-DSGVO-Checkliste.

Unsere Sicht: Datenschutz wird einfacher, wenn die Daten an einem Ort liegen

Wir sehen bei kleinen und mittelständischen Unternehmen immer wieder dasselbe Muster. Datenschutz scheitert selten am fehlenden Willen, sondern an der Zersplitterung: Formulare im Website-Baukasten, Kontakte im CRM, Abonnenten im Newsletter-Tool, Termine in einem Buchungsdienst, Bestellungen im Shop. Jedes System hat eigene Einwilligungen, eigene Exporte, eigene Löschlogik. Wenn dann eine Auskunftsanfrage kommt, beginnt die Suche.

Deshalb halten wir die Werkzeugfrage für eine Datenschutzfrage. Jede Schnittstelle weniger ist eine Kopie weniger, ein Vertrag weniger und eine Fehlerquelle weniger. Gleichzeitig ersetzt keine Software die Entscheidungen, die nur Sie treffen können: welche Daten Sie wirklich brauchen, auf welcher Grundlage Sie Menschen ansprechen und wann Sie loslassen. Unser Rat ist pragmatisch: Erst die Prozesse klären, dann die Software so einrichten, dass sie diese Prozesse automatisch einhält. Datenschutz, der vom Gedächtnis einzelner Mitarbeiter abhängt, hält keinem Alltag stand.

Genau dafür haben wir Funnel-tunnel gebaut: Website, Funnels, Shop, E-Mail-Marketing, Terminbuchung, Kontaktverwaltung und Automatisierungen laufen in einer Plattform zusammen, auch für Teams ohne technische Vorkenntnisse. Wenn Sie sehen möchten, wie das in der Praxis aussieht, finden Sie alle Funktionen der All-in-One-Plattform im Überblick, und unser Support hilft Ihnen bei der Einrichtung.

— Thomas

Häufige Fragen

Brauche ich für mein CRM eine Einwilligung jedes Kontakts?

Nein, nicht zwingend. Bestehende Kunden und Anfragen können Sie auf Grundlage des Vertrags oder vorvertraglicher Maßnahmen verarbeiten, manches auch auf Basis eines dokumentierten berechtigten Interesses. Für Werbe-E-Mails an Neukontakte brauchen Sie in Deutschland in der Regel eine ausdrückliche Einwilligung.

Ist ein AV-Vertrag mit dem CRM-Anbieter Pflicht?

Wenn der Anbieter Ihre Kundendaten in Ihrem Auftrag verarbeitet, ja. Der Vertrag nach Art. 28 DSGVO regelt, wie der Anbieter die Daten schützt und wofür er sie verwenden darf. Schließen Sie ihn ab, bevor Sie echte Kontaktdaten importieren.

Muss ich alte Kontakte aus dem CRM löschen?

Ja, sobald der Zweck entfallen ist und keine Aufbewahrungspflicht greift. Interessenten, mit denen seit langer Zeit kein Kontakt bestand, sollten Sie nach einer festgelegten Frist löschen. Rechnungen und Verträge bewahren Sie nach den handels- und steuerrechtlichen Fristen auf, die übrigen Marketingdaten nicht.

Was tun, wenn die Kontaktliste versehentlich an Dritte ging?

Dokumentieren Sie sofort, wann Sie davon erfahren haben und welche Daten betroffen sind, und bewerten Sie das Risiko. Ist eine Meldung nötig, muss sie möglichst innerhalb von 72 Stunden bei der zuständigen Aufsichtsbehörde eingehen, notfalls zunächst unvollständig. Ziehen Sie Ihren Datenschutzbeauftragten früh hinzu.

Quellen

• EDSA: Data breaches, Leitfaden für KMU
• EDSA: KMU-FAQ zur Einwilligung
• EDSA: Leitlinien 1/2024 zum berechtigten Interesse
• EDSA und EDPS zur Vereinfachung der Dokumentationspflichten
• ICO: Previously asked questions zur Rollenverteilung
• ICO: Legitimate interests
• ICO: Automated decision-making and profiling

Empfehlungen

• Datensicherheit für KMU: Schutz und Compliance 2026
• CRM DSGVO Checkliste: Die wichtigsten Prüfpunkte für Ihr Unternehmen
• CRM-Trends 2026: Prioritäten und Fahrplan für KMU
• Kundendatenmanagement: So digitalisieren KMU erfolgreich