Das CRM erklärt
Europäisches CRM
Wo Ihre Daten liegen, welchem Recht sie unterliegen und wie Sie sie wieder mitnehmen. Drei Fragen, die selten vor der Unterschrift gestellt werden.
Ein europäisches CRM, oft auch „CRM made in Europe“ genannt, ist eine CRM-Software, deren Anbieter in der EU sitzt und die Ihre Daten in der EU speichert. Das ist mehr als ein Etikett: Ihr CRM enthält Ihre Kundenliste, Ihre Preise und Ihre laufenden Verhandlungen. Wo diese Daten liegen, welche Unternehmen die Technik betreiben und wie Sie die Daten wieder mitnehmen, entscheidet darüber, welchem Recht sie unterliegen und wie frei Sie bleiben.
Was die DSGVO garantiert und was nicht
Für ein Unternehmen in der EU gilt die DSGVO, egal wo sein CRM-Anbieter sitzt. Auch ein Anbieter aus den USA ist an sie gebunden: unmittelbar oder über den Auftragsverarbeitungsvertrag, den Sie als Verantwortlicher mit ihm schließen (Art. 28 DSGVO). Die Verordnung regelt Zweck und Rechtsgrundlage der Verarbeitung, die Information der Betroffenen, ihre Rechte und die Datensicherheit. Drei Dinge garantiert sie nicht. Einen Speicherort: Daten dürfen die EU verlassen, wenn es dafür eine Grundlage gibt, etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln. Die Auflösung von Rechtskonflikten: Ein Anbieter, der dem Recht eines Drittstaats unterliegt, kann dort zur Herausgabe von Daten verpflichtet werden, auch wenn die Server in Europa stehen. Und ein Siegel: „DSGVO-konform“ ist eine Selbstauskunft, kein geschützter Begriff. Konform ist am Ende Ihre Verarbeitung, nicht eine Software.
Die Fragen an jeden Anbieter
Vier Fragen, und jede verdient eine schriftliche Antwort. In welchem Land werden die Daten physisch gespeichert? Welche Gesellschaft betreibt die Infrastruktur, und welchem Recht unterliegt sie? Welche weiteren Dienstleister verarbeiten Daten, etwa für Backups, Support oder E-Mail-Versand, und verlassen Daten dabei die EU? Und wie bekommen Sie alles zurück, wenn Sie gehen: in welchem Format, durch wen, mit oder ohne Anfrage beim Support? Ein Anbieter, der bei einer dieser Fragen ausweicht, hat Ihnen bereits geantwortet.
Datenexport und Wechsel: die eigentliche Souveränitätsfrage
Das alltägliche Risiko ist selten der Zugriff einer Behörde, sondern die Abhängigkeit. Ein CRM, aus dem der Export mühsam ist, hält Sie fest, denn ein Wechsel würde den Verlust Ihrer Historie bedeuten. Verlangen Sie, Kontakte, Organisationen, Deals und den Verlauf Ihrer Interaktionen jederzeit in einem lesbaren Format exportieren zu können, ohne Umweg über den Support. Probieren Sie den Export aus, bevor Sie sich festlegen, nicht erst bei der Kündigung: Er zeigt, welche Beziehung ein Anbieter zu Ihnen haben will.
Wo Lea CRM steht
Lea CRM wird von der N.Y.B.K. SAS herausgegeben, einer französischen Gesellschaft. Die Anwendung und ihre Datenbank (Kontakte, Organisationen, Deals, Notizen) laufen in Amsterdam, in den Niederlanden, auf Servern der Railway Corp., eines US-amerikanischen Unternehmens. Das ist unsere Antwort auf die Frage, welche Gesellschaft Ihre Daten hostet. Für einzelne Aufgaben, etwa das Speichern von Anhängen oder den E-Mail-Versand, arbeiten wir mit weiteren Dienstleistern: Fragen Sie uns nach der Liste. Kontakte und Organisationen können alle Nutzerinnen und Nutzer jederzeit als CSV aus der Anwendung exportieren, Deals die Administratoren des Kontos, ohne Anfrage beim Support. Für Personen, die nicht mehr angesprochen werden möchten, gibt es eine integrierte Sperrliste („Nicht mehr kontaktieren“). Die Oberfläche gibt es in sechs Sprachen, darunter Deutsch. Prüfen Sie diese Angaben wie die jedes anderen Anbieters: Die Abwägung bleibt bei Ihnen, diese Seite soll sie nur möglich machen.
Häufige Fragen
Gibt es ein DSGVO-konformes CRM?
Kein CRM ist für sich allein DSGVO-konform, denn die DSGVO bewertet Verarbeitungen, nicht Produkte. Ein CRM kann Ihnen die Einhaltung erleichtern: Daten in der EU, ein Auftragsverarbeitungsvertrag, Export und Löschung jederzeit, eine Sperrliste für Widersprüche. Ob Ihre Nutzung konform ist, hängt davon ab, welche Daten Sie wofür und wie lange speichern.
Reicht ein US-Anbieter, der DSGVO-Konformität zusagt?
Für den Umgang mit den Daten zählt die DSGVO, und sie gilt auch für ihn. Offen bleibt der Konflikt mit dem Recht seines Herkunftslands, den keine DSGVO-Zusage auflöst. Ob dieses Risiko für Ihre Daten ins Gewicht fällt, müssen Sie selbst abwägen.
Hosting in Deutschland oder in der EU: Was ist der Unterschied?
Rechtlich spielt sich das Wesentliche auf EU-Ebene ab: dieselbe Verordnung, dieselben Rechte. Ein Rechenzentrum in Deutschland bringt Nähe, aber keinen zusätzlichen Schutz durch die DSGVO. Wichtiger als das Land ist, welche Unternehmen die Infrastruktur betreiben und welchem Recht sie unterliegen.
Wie prüfe ich, was ein Anbieter verspricht?
Lassen Sie sich Speicherort, Hosting-Anbieter und weitere Auftragsverarbeiter schriftlich nennen: im Vertrag, im Auftragsverarbeitungsvertrag oder in der Datenschutzerklärung. Eine Aussage auf einer Website ist schnell geändert, eine Vertragsklausel nicht.