DSGVO-konformes CRM auswählen: Die Prüfkriterien, die im Auswahlgespräch wirklich zählen

Es gibt eine Frage, die im Auswahlgespräch mit einem CRM-Anbieter mehr über den Datenschutz verrät als jedes Zertifikatslogo auf der Website: Wissen Sie, wo Ihre Daten tatsächlich landen? Nicht, wo sie beworben werden. Nicht, in welcher Region ein Rechenzentrum steht. Sondern wo sie auf ihrem Weg vom Browser Ihres Vertriebsmitarbeiters bis zur Datenbank vorbeikommen, wer dabei zugreifen kann und wo die Backups liegen.

Ein CRM ist kein beliebiges Tool. Es ist das System, in dem Ihre sensibelsten Geschäftsdaten liegen: Namen, Positionen, Telefonnummern, Gesprächsnotizen, Preisvorstellungen, interne Einschätzungen zu Personen. Diese Daten müssen maximal sicher sein, und sie sollten auf dem Weg zum Server nicht einmal kurz um die Welt reisen. Der Grundsatz ist einfach: Die Daten sollten den EU-Raum nicht verlassen.

Ein DSGVO-konformes CRM ist dabei kein Produkt mit Gütesiegel, sondern das Ergebnis aus drei Faktoren: einem Anbieter, der Hosting, Verschlüsselung, Zugriffskontrolle und Löschfunktionen technisch sauber liefert, einem geprüften Vertragswerk rund um den Auftragsverarbeitungsvertrag nach Art. 28 DSGVO samt vollständiger Subunternehmerliste, und Ihrer eigenen Konfiguration aus Berechtigungskonzept, Löschfristen und geschulten Mitarbeitern.

Und trotzdem beginnen die meisten Recherchen zum Thema mit der falschen Frage, nämlich: "Welches CRM ist DSGVO-konform?" Dieser Artikel dreht die Perspektive. Sie bekommen hier keine Anbieterliste, sondern die Prüffragen und Nachweise, mit denen Sie jeden Anbieter selbst durchleuchten können.

Warum kein CRM "von Haus aus" DSGVO-konform ist

Wenn ein Anbieter auf seiner Startseite "100 % DSGVO-konform" schreibt, ist das keine Falschaussage, aber es ist auch keine Prüfinformation. Konformität ist kein Produktmerkmal, das man wie eine Funktion einbaut. Sie entsteht aus drei Bausteinen, die zusammenspielen müssen:

1. Was der Anbieter technisch und organisatorisch liefert (Hosting, Verschlüsselung, Zugriffskontrollen, Löschfunktionen)
2. Was vertraglich geregelt ist (Auftragsverarbeitungsvertrag, Subunternehmer, Transferregelungen)
3. Was Sie selbst daraus machen (Berechtigungen, Löschfristen, welche Daten Sie überhaupt erfassen, wie Sie Ihre Mitarbeiter schulen)

Der beste Anbieter der Welt hilft Ihnen nicht, wenn in Ihrem CRM jeder Mitarbeiter alle Datensätze sieht, in Freitextfeldern Gesundheitsinformationen landen und nie etwas gelöscht wird. Umgekehrt können Sie mit disziplinierter Konfiguration ein Grundrisiko nicht wegkonfigurieren, wenn der Anbieter Daten in Drittländer transferiert. Deshalb gilt: "DSGVO-konform" ist kein Auswahlkriterium, sondern das Ergebnis, das Sie am Ende selbst nachweisen müssen.

Die Rollenverteilung: Was der Anbieter liefern muss und was Ihre Aufgabe bleibt

Rechtlich ist die Sache klar verteilt. Ihr Unternehmen ist Verantwortlicher im Sinne der DSGVO. Sie entscheiden, welche Daten zu welchem Zweck verarbeitet werden. Der CRM-Anbieter ist Auftragsverarbeiter. Er verarbeitet die Daten in Ihrem Auftrag und nach Ihren Weisungen.

Diese Trennung führt zu zwei sauber unterscheidbaren Pflichtenlisten.

Der Anbieter schuldet Ihnen:

• einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO
• Transparenz über alle Subunternehmer und deren Standorte
• dokumentierte technische und organisatorische Maßnahmen
• Unterstützung bei Auskunfts-, Berichtigungs- und Löschanfragen
• Meldung von Sicherheitsvorfällen ohne unnötige Verzögerung
• Löschung oder Rückgabe der Daten nach Vertragsende

Sie selbst schulden der Aufsichtsbehörde und Ihren Kontakten:

• ein Verzeichnis von Verarbeitungstätigkeiten, in dem das CRM auftaucht
• eine Rechtsgrundlage für jede Datenkategorie
• Datenschutzhinweise, die die CRM-Nutzung abdecken
• ein Berechtigungskonzept, das Sie im System auch umsetzen
• Löschfristen und deren Einhaltung
• geschulte Mitarbeiter

Wenn Ihnen ein Anbieter im Gespräch signalisiert, dass er "den Datenschutz für Sie übernimmt", ist das ein Warnsignal. Kann er nicht. Er kann Ihnen nur die Werkzeuge geben.

Serverstandort und Datentransfer: Was nach Schrems II tatsächlich zu prüfen ist

Hier liegt der Punkt, an dem sich Anbieter am deutlichsten unterscheiden, und hier wird am unsaubersten kommuniziert.

Seit dem Schrems II-Urteil des EuGH ist der Datentransfer in die USA nicht pauschal verboten, aber begründungspflichtig. Das Nachfolgeabkommen zwischen EU und USA hat die Lage entspannt, ohne sie zu vereinfachen: Sie müssen prüfen, ob der Anbieter beziehungsweise sein US-Mutterkonzern zertifiziert ist, was passiert, wenn diese Zertifizierung wegfällt, und ob US-Behörden über Zugriffsbefugnisse verfügen, die im Konflikt mit europäischem Recht stehen. Das ist machbar, kostet aber Dokumentationsaufwand, den ein KMU ohne eigene Rechtsabteilung selten dauerhaft leistet.

Wichtiger ist jedoch: Der beworbene Speicherort ist nur ein Teil der Verarbeitungskette. Fragen Sie konkret nach:

• Wo liegt die Produktivdatenbank? Region genügt nicht, fragen Sie nach dem Rechenzentrumsstandort.
• Wo liegen die Backups? Es kommt vor, dass die Datenbank in Frankfurt liegt und die Sicherung in einer anderen Region.
• Wo läuft die Anwendungslogik? Bei modernen Architekturen können Datenbank und ausführende Serverfunktionen an unterschiedlichen Orten stehen.
• Wer greift für den Support zu? Ein Supportteam außerhalb der EU, das zur Fehlerbehebung in Ihre Daten schaut, ist ein Datentransfer.
• Welche Subdienstleister sind eingebunden? Mailversand, Fehler-Tracking, Analyse, KI-Funktionen. Jeder dieser Dienste kann Daten mitnehmen.

Genau an dieser Stelle trennt sich ein Anbieter mit Hosting in Deutschland von einem US-Konzern mit EU-Region. Beim ersten endet die Prüfung nach zwei Fragen. Beim zweiten beginnt sie dort erst.

Die Unterlagen, die Sie vor Vertragsabschluss anfordern sollten

Ein AV-Vertrag allein reicht nicht. Fordern Sie folgendes Paket an, und zwar bevor die erste Rechnung kommt:

• Auftragsverarbeitungsvertrag: Vollständige Weisungsbindung, Regelungen zu Löschung und Vertragsende, Unterauftragsverhältnisse
• Liste der Subunternehmer: Name, Zweck, Standort. Eine Liste ohne Standorte ist unbrauchbar
• TOM-Dokumentation: Verschlüsselung, Zugriffskontrolle, Protokollierung, Backup- und Wiederherstellungskonzept
• Löschkonzept: Fristen, Verfahren, was nach Kündigung mit Ihren Daten passiert
• Transferregelungen: Nur relevant, wenn Drittlandbezug besteht. Existiert er nicht, sollte das explizit bestätigt werden
• Zertifikate und Auditberichte: Falls vorhanden, aber kein Ersatz für die Punkte darüber

Und dann der wichtigste Schritt: lesen. Ein nicht gelesener Standardvertrag ist kein Nachweis, sondern eine Ablage.

Funktionen im System, an denen sich Datenschutz im Alltag entscheidet

Ihre eigenen Pflichten können Sie nur erfüllen, wenn das System sie technisch unterstützt. Diese Funktionen sind daher keine Extras, sondern Mindestausstattung:

• Rollen und Berechtigungen auf Datensatzebene, damit nicht jeder alles sieht
• Verschlüsselung bei der Übertragung und im Ruhezustand
• Zwei-Faktor-Authentifizierung, idealerweise erzwingbar für alle Nutzer
• Audit-Logs, damit nachvollziehbar bleibt, wer welchen Datensatz eingesehen oder geändert hat
• Vollständiger Datenexport in einem gängigen Format, für Auskunftsanfragen und für den Fall eines Anbieterwechsels
• Echtes Löschen, nicht nur ein Ausblenden aus der Oberfläche
• Automatisierte Löschfristen pro Datenkategorie

Der letzte Punkt wird am häufigsten unterschätzt. Ein Löschkonzept, das nur in einem Word-Dokument existiert, wird im Alltag nicht befolgt.

Wie lange Interessenten- und Kundendaten im CRM bleiben dürfen

Die DSGVO nennt keine Fristen in Tagen. Sie verlangt Speicherbegrenzung, also: für jede Datenkategorie einen Zweck und eine daraus abgeleitete Frist.

Praktisch heißt das für ein CRM meist drei Kategorien:

• Bestandskunden mit laufender Geschäftsbeziehung: Speicherung solange die Beziehung besteht, danach greifen handels- und steuerrechtliche Aufbewahrungspflichten für die abrechnungsrelevanten Daten. Gesprächsnotizen und Vertriebsinformationen fallen nicht darunter und können früher weg.
• Interessenten ohne Abschluss: Hier brauchen Sie eine eigene Frist. Ein Lead, der seit Jahren nicht reagiert, hat keinen Verarbeitungszweck mehr. Legen Sie eine Frist fest, die zu Ihrem Vertriebszyklus passt, und begründen Sie sie.
• Abgesagte oder verlorene Chancen: Häufig genügt eine kurze Nachhaltefrist, danach reicht ein anonymisierter Datensatz für die Statistik.

Entscheidend ist, dass diese Fristen im CRM technisch abgebildet sind. Wenn das System keine Möglichkeit bietet, Datensätze nach Ablauf automatisch zu markieren oder zu löschen, wird Ihre Frist zur Absichtserklärung.

Cloud oder On-Premise: Welche Variante für ein KMU datenschutzrechtlich einfacher ist

Viele Entscheider gehen davon aus, ein Server im eigenen Keller sei automatisch die datenschutzfreundlichere Variante. Das gilt nur, wenn Sie die Sicherheitsverantwortung, die Sie damit vollständig ins eigene Haus holen, auch tragen können.

On-Premise bedeutet: Sie sind für Patches, Firewalls, Zugriffskontrolle, Backups und deren Wiederherstellungstest, Verschlüsselung und Protokollierung selbst verantwortlich. Kein AV-Vertrag verteilt hier etwas um. Für ein KMU ohne eigene IT-Abteilung ist das in der Regel das größere Risiko als eine saubere Cloud-Lösung mit deutschem Hosting, denn die häufigste Ursache für Datenschutzvorfälle ist nicht der Cloud-Anbieter, sondern das ungepatchte, unbeaufsichtigte System.

Die Kurzfassung: Eine gehostete Lösung mit klarem Serverstandort in der EU und geprüftem Vertragswerk ist für die meisten KMU der pragmatischere und sicherere Weg.

Ihre Checkliste für das Auswahlgespräch: 12 Fragen an jeden Anbieter

Diese Liste arbeiten Sie in einer halben Stunde im Demo-Termin ab. Die Unterschiede zwischen Anbietern werden dabei schnell sichtbar, oft weniger an den Antworten selbst als daran, wie schnell und konkret sie kommen.

1. In welchem Rechenzentrum und an welchem Standort liegt die Produktivdatenbank?
2. Wo werden die Backups gespeichert, und wie oft wird die Wiederherstellung getestet?
3. Wo läuft die Anwendungslogik, falls sie von der Datenbank getrennt ist?
4. Welche Subunternehmer sind eingebunden, mit welchem Zweck und welchem Standort?
5. Verlassen Daten zu irgendeinem Zeitpunkt den EU-Raum, auch temporär?
6. Wer greift im Supportfall auf Kundendaten zu, von wo aus, und wird das protokolliert?
7. Erhalte ich einen AV-Vertrag nach Art. 28 DSGVO vor Vertragsschluss zur Prüfung?
8. Wie sind Verschlüsselung bei Übertragung und Speicherung umgesetzt?
9. Kann ich Berechtigungen rollenbasiert bis auf Datensatzebene steuern?
10. Gibt es Audit-Logs, und wie lange sind sie einsehbar?
11. Lassen sich Löschfristen pro Datenkategorie automatisiert abbilden?
12. Was passiert nach einer Kündigung mit meinen Daten, in welcher Frist, und wie exportiere ich sie vorher vollständig?

Notieren Sie sich die Antworten schriftlich. Sie brauchen sie später für Ihr Verarbeitungsverzeichnis.

Typische Fehler bei der DSGVO-konformen CRM-Auswahl

Vier Stolperfallen sehe ich immer wieder:

Ungeprüfte Standardverträge. Der AV-Vertrag wird digital abgehakt und nie gelesen. Fällt spätestens auf, wenn eine Auskunftsanfrage kommt und niemand weiß, welche Fristen zugesagt wurden.

Vergessene Subunternehmer. Der Serverstandort wird sauber geprüft, aber das Mailversand-Tool, der Fehler-Tracker oder eine zugeschaltete KI-Funktion nimmt Daten mit. Fragen Sie die Kette komplett ab, nicht nur die Datenbank.

Wild gewachsene Freitextfelder. In Notizfeldern landen mit der Zeit Informationen, die niemand geplant hat, von privaten Details bis zu Gesundheitsangaben. Legen Sie fest, was in Notizen gehört, und schulen Sie das.

Ungefilterte Altdaten aus Excel. Der Wechsel ins CRM wird als Gelegenheit verpasst, aufzuräumen. Stattdessen wandern zehn Jahre alte Kontakte ohne Zweck und ohne Rechtsgrundlage in das neue System. Migrieren Sie bewusst weniger. Das ist nicht nur datenschutzrechtlich sauberer, es macht das CRM auch von Tag eins an brauchbar.

Wie ApexLead-pro diese Kriterien erfüllt

ApexLead-pro ist ein branchenübergreifendes B2B-CRM für KMU, Einzelunternehmer, kleine Agenturen und Salesteams im DACH-Raum. Es ist als gehostete Lösung konzipiert, in mehrjähriger Entwicklung entstanden und seit der finalen Implementierung im Februar 2026 im Einsatz.

Für die Prüfpunkte aus diesem Artikel bedeutet das konkret: maximale Datensicherheit durch lokale Server in Deutschland. Die Datenbank läuft in Frankfurt am Main, ebenso die ausführenden Serverfunktionen der Anwendung. Die Daten verlassen damit nicht den EU-Raum und legen auch keinen Umweg über andere Kontinente zurück. Entwicklung und Support sitzen ebenfalls in Deutschland, es gibt hier also keine Trennung zwischen "Made in Germany" beim Produkt und einem Serverstandort irgendwo anders.

Praktisch heißt das für Sie als Interessent: Bei den Fragen 1 bis 6 der Checkliste ist die Prüfung nach wenigen Minuten abgeschlossen, und Sie können Ihre Aufmerksamkeit dorthin lenken, wo Datenschutz im Alltag tatsächlich entschieden wird, nämlich auf Ihr Berechtigungskonzept, Ihre Löschfristen und die Frage, welche Daten Sie überhaupt erfassen wollen. Wer unverbindlich einordnen möchte, ob das System zum eigenen Vertrieb passt: Machen Sie den kostenlosen CRM-Check.

Und wenn Sie nur eine einzige Frage aus diesem Artikel mitnehmen, dann diese, gestellt an jeden Anbieter auf Ihrer Liste: Wissen Sie, wo meine Daten tatsächlich landen?