Wer Leads und Gespräche im CRM speichert, verarbeitet personenbezogene Daten im Auftrag. Entscheidend ist nicht das Siegel auf der Website, sondern drei prüfbare Punkte: wo die Daten liegen, was im Auftragsverarbeitungsvertrag steht und welche Dienste im Hintergrund mitlesen.
Warum der Serverstandort im Vertrieb zählt
Ein Vertriebs-CRM enthält Namen, Telefonnummern, Gesprächsnotizen und oft Vertragsinhalte. Nach der DSGVO bist du als Unternehmen dafür verantwortlich, auch wenn die Software ein anderer betreibt. Liegen die Daten auf Servern in Deutschland und arbeitet der Anbieter ohne Übermittlung in Drittländer, fällt eine ganze Klasse von Prüfungen weg.
Werden Daten in ein Drittland wie die USA übertragen, braucht es zusätzliche Garantien nach Art. 44 ff. DSGVO, etwa Standardvertragsklauseln. Das ist erlaubt, aber es ist mehr Aufwand, mehr Dokumentation und ein Punkt, den Kunden und Datenschutzbeauftragte nachfragen.
Der Auftragsverarbeitungsvertrag (AVV)
Verarbeitet ein Anbieter Daten in deinem Auftrag, schreibt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag vor. Ein guter AVV beantwortet konkret:
- welche Daten zu welchem Zweck verarbeitet werden,
- welche technischen und organisatorischen Maßnahmen gelten,
- welche Unterauftragsverarbeiter beteiligt sind und wo sie sitzen,
- wie schnell du bei einer Datenpanne informiert wirst,
- was mit den Daten nach Vertragsende passiert.
Musst du für den AVV erst Mails schreiben und Wochen warten, ist das ein Warnsignal für den späteren Alltag.
Checkliste für die CRM-Auswahl
| Frage | Worauf du achtest |
|---|---|
| Wo stehen die Server? | Konkreter Hoster und Standort, nicht nur „in der EU“ |
| Gibt es einen AVV? | Sofort verfügbar, mit Anlage zu Maßnahmen und Unterauftragsverarbeitern |
| Welche Dienste laufen im Hintergrund? | E-Mail-Versand, KI, Telefonie, Zahlungen: jeweils Sitz und Grundlage |
| Wer hat Zugriff auf Kontodaten? | Rollen, Protokollierung von Support-Zugriffen |
| Wie trennt der Anbieter Kunden? | Eigene Datenhaltung je Kunde statt gemeinsamer Tabelle |
| Wie kommst du wieder raus? | Export in gängigem Format, klare Löschfrist |
Eigene Konten statt versteckter Dienste
Viele Tools bündeln Telefonie, KI oder Zahlungen über eigene Verträge. Das ist bequem, macht aber jeden dieser Dienste zum Unterauftragsverarbeiter. Die Alternative: Du verbindest deine eigenen Konten (etwa Telefonie, Zahlungsanbieter oder Dateiablage). Dann bleibt die Datenbeziehung bei dir, und der CRM-Anbieter sieht nur, was er für den Betrieb braucht.
So macht es RevenueLab
- Hosting bei ZAP-Hosting in Frankfurt am Main, mit AVV zwischen Revenue Lab und dem Hoster.
- AVV nach Art. 28 DSGVO online unterschreiben, ohne Wartezeit: AVV mit einem Klick.
- Eigene Datenhaltung je Kunde, Support-Zugriffe werden protokolliert.
- Telefonie über deinen eigenen Twilio-Account, Zahlungen über dein eigenes Stripe-Konto, Dateien optional in deiner eigenen Nextcloud.
CRM mit deutscher Cloud-Infrastruktur: was dazugehört
„Server in Deutschland“ ist ein Anfang, aber nicht die ganze Antwort. Zu einer deutschen Cloud-Infrastruktur gehört, dass auch die Dienste rund um das CRM nachvollziehbar sind. So ist es bei RevenueLab aufgebaut:
| Baustein | Anbieter | Standort |
|---|---|---|
| Anwendung, Datenbank, Dateien | ZAP-Hosting | Frankfurt am Main |
| System-E-Mails (Login-Links, Benachrichtigungen) | Brevo | EU |
| Dokumentenablage (optional) | deine eigene Nextcloud | frei wählbar |
| Telefonie (optional) | dein eigener Twilio-Account | nach deinem Twilio-Vertrag |
| KI-Coach (optional) | dein eigener OpenRouter-Schlüssel | nach deinem OpenRouter-Vertrag |
Alles, was optional ist, läuft über eigene Konten. Damit weißt du genau, wer welche Daten bekommt, und kannst jeden Dienst einzeln abschalten.
Häufige Fragen
Reicht es, wenn ein CRM „DSGVO-konform“ auf der Website stehen hat?
Nein. Prüfe Serverstandort, den AVV mit seinen Anlagen und die Liste der Unterauftragsverarbeiter. Erst diese Dokumente zeigen, wie der Anbieter tatsächlich arbeitet.
Ist ein CRM mit Servern in den USA verboten?
Nicht grundsätzlich. Für Übermittlungen in Drittländer braucht es aber Garantien wie Standardvertragsklauseln. Das bedeutet zusätzlichen Prüf- und Dokumentationsaufwand.
Brauche ich für ein CRM einen AVV?
Ja, sobald der Anbieter personenbezogene Daten in deinem Auftrag verarbeitet, also praktisch immer, wenn du Leads oder Kunden speicherst.
Nextcloud statt Google Drive: Dokumentenablage im Vertrieb mit Datenhoheit