CRM und Datenschutzgesetz: Einwilligungen, Auskunft und Löschung regeln

CRM als zentrale Datensammlung: Grundsätze und Risiken

Seit dem 1. September 2023 gilt in der Schweiz das revidierte Datenschutzgesetz (DSG). Ein CRM sammelt Kontaktangaben, Vertrags- und Rechnungsdaten, Korrespondenz, Kaufhistorie und Kampagnenreaktionen an einer Stelle. Betreffen diese Angaben eine identifizierte oder identifizierbare Person, unterliegt ihre Bearbeitung dem DSG. Die Bearbeitungsgrundsätze sind gesetzlich vorgeschrieben, nicht optional.

Rechtmässigkeit verlangt eine Rechtsgrundlage – Einwilligung oder überwiegendes Interesse. Treu und Glauben verlangen transparente Verarbeitung und eine aktuelle Datenschutzerklärung. Verhältnismässigkeit heisst, nur notwendige Daten zu erheben und Pflichtfelder zu minimieren. Zweckbindung verlangt, den Nutzungszweck im CRM zu dokumentieren.

Richtigkeit setzt regelmässige Datenbereinigung voraus. Speicherbegrenzung verlangt Löschung nach Zweckerfüllung, etwa über automatische Löschfristen. Datensicherheit verlangt technische und organisatorische Massnahmen wie Verschlüsselung und Zugriffskontrollen.

Das Haftungsrisiko trifft nicht nur das Unternehmen: Ein Fachbeitrag zu CRM und DSG hält fest, dass Verstösse mit Bussen bis 250'000 Franken gegen die verantwortliche Privatperson geahndet werden können – nicht gegen die Firma. Der Fachbeitrag von WEKA Recht zu CRM-Systemen nennt ein weiteres Risiko: Profiling und KI-Analysen können eine Datenschutz-Folgenabschätzung auslösen.

DSG-Konformität im CRM ist kein einmaliger Akt, sondern ein laufender Prozess. Die Grundsätze gehören in Technik, Prozesse und Organisation verankert – in Felddefinitionen, Rollen, Löschläufen und wiederkehrenden Kontrollen.

DSG-Haftungsrisiken und rechtliche Rahmenbedingungen

Rechtsgrundlagen und Einwilligungen: Was braucht welche CRM-Nutzung?

Nicht jede Verarbeitung im CRM braucht eine ausdrückliche Einwilligung. Die Vertragserfüllung – Lieferadresse, Rechnungsdaten, vertragsbezogene Kommunikation – deckt einen grossen Teil der CRM-Daten im B2B-Bereich ab. Sie kommt ohne separate Einwilligung aus.

Cross- und Upselling bei Bestandskunden stützt sich auf ein überwiegendes Interesse, sofern der Kunde nicht widersprochen hat und die Interessenabwägung dokumentiert ist. Newsletter, Marketingkampagnen an Nicht-Kunden und Profiling verlangen dagegen eine explizite, informierte Einwilligung.

Gesetzliche Pflichten können die Speicherung sogar vorschreiben – Buchhaltungsbelege etwa sind zehn Jahre aufzubewahren. Diese Pflicht geht dem Löschrecht vor.

Entscheidend ist die Zuordnung pro Datenkategorie: Für jeden Verarbeitungszweck – Vertragsabwicklung, Support, Rechnungsstellung, Newsletter, Profiling – wird festgehalten, auf welche Rechtsgrundlage er sich stützt. Diese Zuordnung gehört in eine dokumentierte Übersicht und wird bei jedem neuen Zweck, jedem neuen Feld und jeder neuen Integration geprüft, bevor Daten erhoben werden.

Wo die Einwilligung die Grundlage bildet, gelten strengere Anforderungen als bei den übrigen Rechtsgrundlagen: Sie muss explizit und informiert sein, im CRM dokumentiert und jederzeit widerrufbar bleiben. Wer sie im Kleingedruckten mit anderen Erklärungen vermischt oder als Voreinstellung aktiviert, kann sich nicht auf sie stützen.

Einwilligungen im CRM nachvollziehbar festhalten und widerrufbar machen

Eine Einwilligung ist nur so viel wert wie ihre Dokumentation. Zu jeder erteilten Einwilligung gehören mindestens der konkrete Zweck (etwa Newsletter oder Weitergabe an Vertriebspartner), der Zeitpunkt, der Erhebungskanal (Website-Formular, Telefon, Messe, Double-Opt-In-Mail), die Version des Einwilligungstextes und der Status.

Ändert sich der Text später, bleibt die alte Version mit der damaligen Zustimmung verknüpft. Eine neue Zustimmung wird nur eingeholt, wenn der bisherige Zweck nicht mehr gedeckt ist.

Dieselben Angaben müssen Auskunftsbegehren tragen: Wer bemängelt, nie zugestimmt zu haben, kann nur korrekt bedient werden, wenn Zeitpunkt, Quelle und Textfassung belegbar sind. Fehlt der Nachweis, steht im Streitfall die Behauptung der betroffenen Person gegen die des Verantwortlichen.

Der Widerruf muss so einfach sein wie die Erteilung und im CRM unmittelbar wirken: Sperrung des Kontakts für den betroffenen Zweck, Auflösung der Segmente und Automatismen, die auf dieser Einwilligung beruhen, Protokollierung des Widerrufs mit Datum. Der Widerruf einer Marketingeinwilligung beseitigt allerdings die übrigen Rechtsgrundlagen nicht: Vertragsbezogene Daten bleiben gestützt auf Vertragserfüllung oder gesetzliche Pflichten bestehen, soweit sie dafür noch benötigt werden.

Auskunftsbegehren innert 30 Tagen beantworten

Nach dem DSG kann jede Person vom Verantwortlichen Auskunft verlangen, ob Personendaten über sie bearbeitet werden, und gegebenenfalls die Löschung oder Berichtigung veranlassen. Das Begehren muss nicht begründet werden.

Die Auskunft wird in der Regel innert 30 Tagen kostenlos erteilt. Verursacht ein Begehren unverhältnismässigen Aufwand, sind Gebühren bis zu 300 Franken möglich.

Für das CRM heisst das: Eine einzelne Person muss sich über alle Systeme, Felder, Kampagnen und Verknüpfungen hinweg recherchieren, exportieren und verständlich darstellen lassen.

Nach den Angaben des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) umfasst die Auskunft mindestens Identität und Kontaktdaten des Verantwortlichen, die bearbeiteten Personendaten und den Bearbeitungszweck. Hinzu kommen die Aufbewahrungsdauer oder – falls nicht bestimmbar – die Kriterien zu ihrer Festlegung sowie die verfügbaren Angaben zur Herkunft der Daten, soweit sie nicht bei der betroffenen Person selbst beschafft wurden.

Weiter sind Empfängerinnen und Empfänger oder Kategorien von Empfängern zu nennen. Sitzen Empfänger im Ausland, sind der Staat und die vorgesehenen Garantien oder die Anwendung einer Ausnahme anzugeben. Bei einer automatisierten Einzelentscheidung ist über deren Vorliegen und die zugrunde liegende Logik zu informieren.

Die Auskunft kann verweigert, eingeschränkt oder aufgeschoben werden, insbesondere wegen überwiegender privater oder öffentlicher Interessen; der Verantwortliche muss dies begründen. Bei Bundesorganen ergeht ein Entscheid, gegen den Beschwerde möglich ist. In Streitigkeiten nach dem DSG werden keine Gerichtskosten gesprochen, was die Durchsetzung der Betroffenenrechte erleichtert.

In der Praxis zählt der Prozess mehr als die Rechtslage: definierte Anlaufstelle, Identitätsprüfung der anfragenden Person, Standardformular für die Antwort, Checkliste der Pflichtangaben und ein Fristenlauf, der die 30 Tage ab Eingang misst.

Der Fachbeitrag von WEKA Recht hält fest, dass Betroffenenrechte wie Auskunft und Datenherausgabe innert 30 Tagen erfüllbar sein müssen. Eine Exportfunktion pro Person ist deshalb ein Beschaffungskriterium für jedes CRM.

Löschung und Aufbewahrung: Speicherbegrenzung praktisch umsetzen

Speicherbegrenzung heisst: Daten sind zu löschen, sobald der Zweck erfüllt ist – umgesetzt über automatische Löschfristen. Der Grundsatz der Richtigkeit verlangt zusätzlich regelmässige Datenbereinigung, damit Adressen, Funktionen und Kontaktwege aktuell bleiben. Beides gehört in dieselbe Routine: Ein Kontakt, der seit Jahren nicht reagiert, nützt weder dem Marketing noch einer allfälligen Auskunft.

Dem Löschinteresse stehen gesetzliche Aufbewahrungspflichten gegenüber: Buchhaltungsbelege etwa sind zehn Jahre aufzubewahren, und diese Pflicht geht dem Löschrecht vor. Ein Löschkonzept unterscheidet deshalb nach Datenkategorien – Lead- und Marketingdaten ohne Vertragsbezug, Vertrags- und Kommunikationsdaten, Rechnungs- und Buchhaltungsdaten. Pro Kategorie werden Aufbewahrungsgrund, Frist, zuständige Rolle und Löschmechanismus festgelegt; im CRM wird sichtbar, welcher Datensatz welcher Kategorie angehört.

Berichtigungs- und Löschbegehren folgen demselben Schema: Person über alle Systeme identifizieren, betroffene Daten und Zwecke zusammenstellen, prüfen, ob eine Aufbewahrungspflicht oder ein überwiegendes Interesse entgegensteht, Daten berichtigen oder löschen und die Massnahme mit Datum dokumentieren. Wird ein Begehren ganz oder teilweise abgelehnt, ist dies zu begründen – nachvollziehbar und auf die konkrete Einschränkung bezogen.

Technisch heisst das: gelöscht wird nicht nur im aktiven Datensatz, sondern auch in Segmenten, Kampagnenlisten, Verknüpfungen, Backup-Zyklen und Exporten. Überlagern Backups die Aufbewahrungsfristen, ist festzulegen, dass gelöschte Datensätze bei einer Wiederherstellung erneut gelöscht werden – sonst kehren sie mit jedem Restore zurück.

Auftragsbearbeitung und Cloud-CRM: Anbieter und Datenexport absichern

Betreibt das Unternehmen sein CRM bei einem Anbieter, verarbeitet dieser Personendaten in dessen Auftrag. Nach dem Fachbeitrag von WEKA Recht zu CRM-Systemen ist ein Auftragsbearbeitungsvertrag (ADV) mit dem CRM-Anbieter zwingend erforderlich.

Er regelt Gegenstand und Dauer der Bearbeitung, den Zweck, die Kategorien der Daten und der betroffenen Personen sowie die Sicherheitsmassnahmen des Auftragsbearbeiters. Ebenfalls zu regeln sind der Beizug von Subunternehmern samt Genehmigungsvorbehalt, die Unterstützung bei Auskunfts-, Berichtigungs- und Löschbegehren, Rückgabe oder Löschung der Daten nach Vertragsende, Weisungsbindung und Kontrollrechte. Damit kann der Verantwortliche die Einhaltung überprüfen.

Besonders kritisch sind laut derselben Quelle Datenexporte in Drittstaaten wie die USA; solche Übermittlungen erfordern das Swiss-U.S. Data Privacy Framework oder Standarddatenschutzklauseln. Für Auskunftsbegehren ist das direkt relevant: Sitzen Empfänger im Ausland, muss die betroffene Person über den Staat und die vorgesehenen Garantien oder die Anwendung einer Ausnahme informiert werden.

Wer das CRM mit Servern in den USA, Support-Zugriffen aus Drittstaaten oder externen Marketing-Tools betreibt, hält deshalb pro Datenfluss fest, wohin die Daten gehen und worauf sich die Übermittlung stützt.

Profiling und KI-Analysen können eine Datenschutz-Folgenabschätzung (DSFA) auslösen – im CRM etwa Lead-Scoring, automatisierte Segmentierung mit Persönlichkeitsbezug oder Vorschlagsalgorithmen, die Entscheide vorbereiten. Fällt eine solche Verarbeitung an, sind Zweck, Notwendigkeit, Risiken für die betroffenen Personen und entlastende Massnahmen schriftlich zu prüfen, bevor das Feature produktiv geht.

Vertraglich und technisch zu prüfen sind auch die Anbieterabhängigkeiten: Wo liegen die Daten, wer hat Zugriff, wie werden Subunternehmer gemeldet, wie schnell lassen sich die Daten bei einem Anbieterwechsel exportieren und beim bisherigen Anbieter löschen. Solche Punkte gehören in die Ausschreibung, nicht in die Nachverhandlung.

Checkliste für DSG-konforme CRM-Prozesse

Zugriff und Sicherheit: rollenbasierte Berechtigungen begrenzen den Zugriff auf die für eine Aufgabe nötigen Datensätze. Verschlüsselung im Transport und im Ruhezustand schützt die Daten; Zugriffe und Exporte werden protokolliert. Ein Prozess für den Austritt von Mitarbeitenden schliesst Konten unverzüglich. Verschlüsselung und Zugriffskontrollen sind die im CRM üblicherweise genannten technischen und organisatorischen Massnahmen für den Grundsatz der Datensicherheit.

Datenminimierung und Zwecke: Pflichtfelder auf das für den jeweiligen Prozess Nötige beschränken. Freitextfelder nur mit dokumentierter Zweckangabe nutzen. Den Nutzungszweck je Verarbeitung im CRM sichtbar festhalten und für jeden Zweck die Rechtsgrundlage hinterlegen – Vertragserfüllung, überwiegendes Interesse, gesetzliche Pflicht oder ausdrückliche Einwilligung. Jede neu integrierte Quelle (Formulare, Chat, Messestand, Newsletter-Tool) wird vor der Anbindung auf Zweck und Rechtsgrundlage geprüft.

Lebenszyklus: Löschfristen pro Datenkategorie definieren und automatisieren; regelmässig Daten bereinigen; Auskunfts- und Löschprozess mit Fristenlauf und Standardantworten dokumentieren; mindestens einmal jährlich einen Testlauf durchführen. Eine Auskunft, die sich nicht in 30 Tagen zusammenstellen lässt, ist ein Prozessfehler – kein Einzelfall.

Verträge und Organisation: Auftragsbearbeitungsvertrag mit dem CRM-Anbieter und allen Tools mit Personenbezug aktuell halten; Drittlandtransfers mit Staat und Garantie dokumentieren; bei Profiling oder KI-gestützten Analysen prüfen, ob eine Datenschutz-Folgenabschätzung nötig ist.

Die Rollen sind namentlich zu benennen: Wer entscheidet über Zwecke, wer beantwortet Auskunftsbegehren, wer gibt Löschungen frei. Alle Personen mit CRM-Zugriff werden auf diese Prozesse geschult. Die Konfiguration wird periodisch überprüft, weil jede neue Automatisierung, jedes neue Feld und jede neue Integration die Beurteilung verändern kann.