Datenschutz im CRM: Kundendaten DSGVO-konform pflegen

Ein CRM ist im Kern eine Sammlung von Angaben über Menschen: Ansprechpartner, Durchwahlen, E-Mail-Adressen, Gesprächsnotizen, Termine. Auch im reinen B2B-Vertrieb sind das personenbezogene Daten, sobald sie sich auf eine bestimmte Person beziehen. Die Datenschutz-Grundverordnung (DSGVO) gilt deshalb nicht erst, wenn du an Privatkunden verkaufst.

Im Alltag bedeutet das keinen Papierberg, sondern ein paar klare Gewohnheiten: wissen, auf welcher Grundlage du Daten speicherst, Interessenten informieren, nur Nötiges notieren, Daten rechtzeitig löschen und auf Anfragen reagieren können. Der Ratgeber CRM für Vertriebspartner streift diese Punkte kurz. Hier geht es in die Tiefe.

Rechtsgrundlagen: Vertrag und berechtigtes Interesse

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. Im Vertrieb spielen vor allem zwei eine Rolle:

• Vertrag (Art. 6 Abs. 1 lit. b DSGVO): Daten, die für einen Vertrag oder für vorvertragliche Schritte auf Anfrage der betroffenen Person nötig sind, etwa wenn ein Interessent ein Angebot anfordert oder ein Kunde einen Vertrag abschließt.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Hier wägst du dein Interesse, zum Beispiel einen Geschäftskontakt anzusprechen, gegen die Interessen der betroffenen Person ab. Für Werbung ist diese Abwägung nach Auffassung der Datenschutzkonferenz der zentrale Maßstab, sofern keine Einwilligung vorliegt.

Wichtig: Datenschutzrecht und Wettbewerbsrecht stehen nebeneinander. Ob du jemanden anrufen oder ihm eine Werbe-E-Mail schicken darfst, regelt zusätzlich § 7 UWG. Was dort gilt, beschreibt der Ratgeber Kundenakquise im B2B-Vertrieb.

Informationspflichten bei Leads aus Recherche und Empfehlung

Die DSGVO unterscheidet, woher die Daten stammen. Gibt dir ein Interessent seine Kontaktdaten selbst, etwa im Gespräch oder über ein Formular, gilt Art. 13 DSGVO: Er ist zum Zeitpunkt der Erhebung zu informieren. Hast du die Daten aus einer Recherche, einem Branchenverzeichnis oder über eine Empfehlung, liegt eine Dritterhebung nach Art. 14 DSGVO vor.

Für die Dritterhebung gilt nach dem Kurzpapier Nr. 10 der Datenschutzkonferenz:

• Die Information muss innerhalb einer angemessenen Frist erfolgen, höchstens innerhalb eines Monats.
• Nutzt du die Daten, um die Person zu kontaktieren, musst du spätestens bei der ersten Kontaktaufnahme informieren.
• Zusätzlich anzugeben sind die Kategorien der Daten und die Quelle, aus der sie stammen, und ob es sich um eine öffentlich zugängliche Quelle handelt.
• Die Pflicht entfällt unter anderem, wenn die Person die Informationen bereits hat.

Praktisch heißt das: Erfasse beim Anlegen eines Leads immer die Quelle. Und halte einen kurzen Datenschutzhinweis bereit, den du der ersten E-Mail beifügst oder verlinkst. Wer für diese Information zuständig ist und welchen Text du verwendest, gibt in der Regel das Unternehmen vor, für das du vermittelst.

Datenminimierung: was ins Notizfeld gehört und was nicht

Nach Art. 5 Abs. 1 lit. c DSGVO dürfen Daten nur verarbeitet werden, soweit es für den Zweck nötig ist. Für das Notizfeld eignet sich eine einfache Probe: Würdest du die Notiz dem Kunden zeigen? Betroffene haben nach Art. 15 DSGVO ein Recht auf Auskunft und eine Kopie ihrer Daten. Was dort steht, kann er also eines Tages lesen.

• Gehört hinein: Bedarf, besprochene Lösung, vereinbarte nächste Schritte, Zuständigkeiten, Termine.
• Gehört nicht hinein: Vermutungen über die Person, private Details, Bewertungen ohne sachlichen Bezug.
• Gehört auf keinen Fall hinein: besondere Kategorien nach Art. 9 DSGVO, etwa Angaben zur Gesundheit, zu religiösen Überzeugungen, politischen Meinungen oder zur Gewerkschaftszugehörigkeit. „Kunde war lange krank“ ist bereits eine Gesundheitsangabe.

Hilfreich ist, die Notiz auf das Geschäftliche zu reduzieren: „Rückmeldung verschiebt sich auf Mitte November“ reicht völlig. Der Grund für die Verzögerung gehört nicht ins CRM.

Löschen und Aufbewahren: zwei Pflichten, die sich ergänzen

Daten, die du für ihren Zweck nicht mehr brauchst, sind zu löschen (Art. 5 Abs. 1 lit. e und Art. 17 Abs. 1 DSGVO). Ein Lead, aus dem nichts geworden ist, sollte also nicht jahrelang im System bleiben. Lege dir eine feste Regel fest, etwa eine regelmäßige Durchsicht abgeschlossener Leads, und halte sie ein.

Anders ist es bei Unterlagen, für die gesetzliche Aufbewahrungspflichten gelten. Dann ist eine Löschung ausgeschlossen, solange die Pflicht besteht (Art. 17 Abs. 3 lit. b DSGVO). Die wichtigsten Fristen:

• Buchungsbelege, zum Beispiel Rechnungen und Provisionsabrechnungen: acht Jahre (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB). Die Frist von acht Jahren gilt seit dem 1. Januar 2025.
• Empfangene und abgesandte Handels- oder Geschäftsbriefe (in Kopie): sechs Jahre. Das kann auch E-Mails betreffen, wenn sie diese Funktion haben.
• Bücher, Inventare und Jahresabschlüsse: zehn Jahre.

Die Frist beginnt jeweils mit dem Schluss des Kalenderjahres, in dem der Beleg entstanden oder der Brief empfangen oder abgesandt wurde. Nach § 147 Abs. 3 AO läuft sie zudem nicht ab, solange die Unterlagen für eine noch nicht verjährte Steuer von Bedeutung sind. Wichtig ist die Trennung: Die Aufbewahrungspflicht betrifft die Unterlagen, nicht jede Notiz im CRM. Gesprächsnotizen zu einem geplatzten Lead sind in der Regel kein Buchungsbeleg. Welche Pflichten dich als Selbstständigen konkret treffen, klärst du am besten mit deiner Steuerberatung.

Auskunft, Löschung und Widerspruch

Die Rechte der Betroffenen sind der Punkt, an dem Datenschutz im Vertrieb am häufigsten konkret wird. Drei sind besonders wichtig:

• Auskunft (Art. 15 DSGVO): Jede Person kann formlos und ohne Begründung fragen, welche Daten über sie gespeichert sind, wofür und woher sie stammen. Die Antwort muss unverzüglich kommen, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO), und ist in der Regel kostenlos.
• Löschung (Art. 17 DSGVO): Verlangt jemand die Löschung und gibt es keinen Grund mehr für die Speicherung, sind die Daten unverzüglich zu löschen. Aufbewahrungspflichten gehen vor.
• Widerspruch gegen Werbung (Art. 21 Abs. 2 und 3 DSGVO): Widerspricht jemand der Nutzung seiner Daten für Direktwerbung, ist keine Abwägung mehr nötig. Die Daten dürfen für Werbung nicht mehr verwendet werden.

Für dich als Vertriebspartner heißt das vor allem: Anfragen erkennen und sofort weitergeben. Schreibt ein Kontakt „Bitte löschen Sie meine Daten“ oder „Ich möchte keine Werbung mehr“, ist das ein rechtlich erhebliches Anliegen, auch ohne Paragrafen. Leite es an die Stelle weiter, die nach deinem Vertrag dafür zuständig ist, und sprich die Person bis zur Klärung nicht mehr werblich an.

Wer ist verantwortlich: du oder das Unternehmen?

Diese Frage lässt sich nicht pauschal beantworten. Verantwortlicher ist nach Art. 4 Nr. 7 DSGVO, wer allein oder gemeinsam mit anderen über Zwecke und Mittel der Verarbeitung entscheidet. Für die Zusammenarbeit zwischen Unternehmen und Handelsvertreter kommen drei Modelle in Betracht:

• Auftragsverarbeitung (Art. 28 DSGVO): Du verarbeitest Daten nur nach Weisung des Unternehmens. Dann ist ein Vertrag zur Auftragsverarbeitung nötig.
• Gemeinsame Verantwortung (Art. 26 DSGVO): Ihr legt Zwecke und Mittel gemeinsam fest. Dann braucht es eine Vereinbarung, wer welche Pflichten erfüllt, etwa die Information der Betroffenen. Betroffene können ihre Rechte trotzdem bei jedem der Beteiligten geltend machen.
• Getrennte Verantwortung: Jeder entscheidet für seinen Bereich selbst, und Daten werden zwischen euch übermittelt.

Die Datenschutzkonferenz betont in ihrem Kurzpapier Nr. 16, dass die tatsächliche Rollenverteilung entscheidet und nicht allein die Bezeichnung im Vertrag. Arbeitest du in einem System, das das Unternehmen stellt und dessen Vorgaben es festlegt, spricht viel für dessen Verantwortung; nutzt du eigene Werkzeuge und eigene Kontaktlisten, kann es anders aussehen. Kläre die Frage vor dem Start und lass dir die Regelung schriftlich geben.

Datenpannen: schnell melden, nicht verschweigen

Ein verlorenes Smartphone mit Kundendaten, eine E-Mail mit Kundenliste an den falschen Empfänger, ein kompromittiertes Passwort: Das sind Verletzungen des Schutzes personenbezogener Daten. Der Verantwortliche muss sie nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden, nachdem er davon erfahren hat, der Aufsichtsbehörde melden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Auch dann ist sie intern zu dokumentieren. Bei voraussichtlich hohem Risiko sind zusätzlich die Betroffenen zu benachrichtigen (Art. 34 DSGVO).

Bist du nicht selbst Verantwortlicher, ist deine wichtigste Pflicht, die zuständige Stelle sofort zu informieren, damit die Frist eingehalten werden kann. Warte nicht ab, ob sich das Problem von allein löst. Wie du Vorfälle von vornherein vermeidest, beschreibt der Ratgeber Informationssicherheit im Vertrieb.

So ist es in SB NEXT

In SB NEXT, der Vertriebsplattform von SB Dienstleistungen, sind einige der beschriebenen Grundsätze bereits in den Abläufen angelegt:

• Vertriebspartner sehen nur ihre eigenen Kunden. Die Teamleitung erhält Zugriff nur bei Eskalation oder Vertretung (siehe Rollen und Rechte).
• Das Notizfeld enthält den Hinweis, keine besonders schützenswerten Daten einzutragen.
• Unter „Meine Daten“ kannst du eine Auskunft über deine eigenen Daten als Datei abrufen.
• Auskunfts- und Löschanfragen bearbeitet die Administration im Datenschutzbereich. Leads ohne Vertrag können anonymisiert werden.
• In der Plattform findet kein Tracking statt.
• Wie die Verantwortung zwischen SB Dienstleistungen und den Vertriebspartnern verteilt ist, regelt der Vertriebspartnervertrag.