CRM-Software DSGVO-konform und in Deutschland gehostet
Sie wollen ein CRM einsetzen, ohne mit den Aufsichtsbehörden in Konflikt zu geraten? Diese Seite ordnet den aktuellen Rechtsrahmen ein - Art. 28 DSGVO, Data Privacy Framework, Schrems II - und listet, welcher Anbieter wo hostet. Mit konkreter Checkliste für die datenschutzkonforme Einführung.
Sobald ein CRM-Anbieter personenbezogene Daten im Auftrag eines deutschen oder europäischen Unternehmens verarbeitet, ist der Verantwortliche nach Art. 28 DSGVO verpflichtet, einen Auftragsverarbeitungsvertrag (AVV) abzuschließen. Der AVV muss schriftlich oder elektronisch vorliegen, bevor die Datenverarbeitung beginnt.
Der AVV regelt unter anderem:
Gegenstand, Dauer, Art und Zweck der Verarbeitung
Datenkategorien und Betroffenengruppen
Zehn konkrete Pflichten des Auftragsverarbeiters (Vertraulichkeit, TOMs, Sub-Auftragsverarbeiter, Löschung)
Praktische Konsequenz: Vor Vertragsabschluss mit Salesforce, HubSpot, Pipedrive, Zoho, Microsoft, monday oder Bitrix24 muss der Verantwortliche den jeweiligen AVV prüfen, unterzeichnen und dokumentieren. Die meisten US-Anbieter stellen den AVV über Self-Service oder im Privacy Center bereit.
Wer DSGVO-Stress aus dem Weg gehen will, hostet in Deutschland - sechs deutsche CRMs liefern das ab Werk.
DPF
EU-US Data Privacy Framework - Stand Mai 2026
Seit Juli 2023 gilt der Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. Data Privacy Framework (DPF). Am 3. September 2025 hat das Gericht der Europäischen Union (EuG) die Nichtigkeitsklage T-553/23 (Latombe/Kommission) gegen den DPF-Beschluss abgewiesen und damit den Beschluss bestätigt.
Am 31. Oktober 2025 hat der Kläger Rechtsmittel beim EuGH eingelegt. Das Verfahren läuft als C-703/25 P (Latombe/Kommission) weiter. Das DPF bleibt bis zu einer eventuellen Aufhebung wirksam.
Bedeutung für CRM: Wenn ein US-Anbieter DPF-zertifiziert ist und der Zertifizierungs-Scope die Daten umfasst, sind Datentransfers in die USA ohne EU-Standardvertragsklauseln (SCC) und ohne Transfer Impact Assessment (TIA) möglich. Der AVV nach Art. 28 bleibt weiter Pflicht.
Den DPF-Zertifizierungsstatus eines US-CRMs können Sie in der offiziellen Data Privacy Framework List prüfen. Salesforce, HubSpot, Microsoft, Pipedrive, Zoho und monday.com sind dort als zertifiziert geführt (Stand Mai 2026 stichprobenartig bestätigt).
Schrems-II-Relevanz heute
Das Schrems-II-Urteil des EuGH (16.07.2020) hat den Privacy Shield als Transfermechanismus für ungültig erklärt. Mit dem DPF (2023) und der EuG-Bestätigung (2025) ist die Lage formal entspannt. Solange das DPF gilt, ist Schrems II für DPF-zertifizierte Anbieter weitgehend entschärft.
Risikolage: Falls der EuGH das DPF im Verfahren C-703/25 P kippen sollte, fällt erneut der Transfermechanismus weg. Verantwortliche brauchen dann wieder SCC plus TIA plus zusätzliche Schutzmaßnahmen (zum Beispiel Verschlüsselung, Pseudonymisierung). Wer dauerhaft Risiko vermeiden will, fährt mit EU- oder DE-Hosting sicherer.
Datenschutzfolgenabschätzung (DSFA) bei sensiblen Datenkategorien (Gesundheit, Bonität, Beschäftigtendaten) durchführen.
Betroffenenrechte umsetzen: Auskunft, Berichtigung, Löschung müssen im CRM-Workflow abbildbar sein.
Internes Verarbeitungsverzeichnis nach Art. 30 DSGVO ergänzen.
Löschkonzept definieren - zum Beispiel Löschung nicht reagierender Leads nach 24 Monaten, Löschung von Mitarbeiterdaten bei Austritt.
FAQ
Häufige Fragen
Welche CRMs hosten ausschließlich in Deutschland?
weclapp (Frankfurt), CentralStationCRM (Köln), Hamburger Software (Hamburg), TecArt CRM (Erfurt), CAS genesisWorld (Karlsruhe) und combit Relationship Manager (Konstanz) hosten Daten ausschließlich in deutschen Rechenzentren. Salesforce, HubSpot und Microsoft bieten DE- bzw. EU-Hosting als Option an.
Ist Salesforce DSGVO-konform?
Ja, sofern Hyperforce-Region Deutschland gewählt und der AVV nach Art. 28 DSGVO abgeschlossen ist. Salesforce ist zusätzlich DPF-zertifiziert. Stand des DPF im Mai 2026: vom Gericht der Europäischen Union am 03.09.2025 bestätigt, Rechtsmittel am EuGH anhängig.
Was ist ein AVV und brauche ich den?
Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO regelt die Datenverarbeitung durch den CRM-Anbieter im Auftrag Ihres Unternehmens. Er ist zwingend vorgeschrieben. Bei allen großen Anbietern (Salesforce, HubSpot, Pipedrive, Zoho, Microsoft, monday, Bitrix24) ist ein Self-Service-AVV abrufbar.
Gilt Schrems II 2026 noch?
Schrems II hat 2020 den Privacy Shield gekippt. Seit 2023 ersetzt das Data Privacy Framework den Privacy Shield. Solange das DPF gilt, ist der US-Transfer für DPF-zertifizierte Anbieter rechtssicher. Falls der EuGH das DPF im laufenden Verfahren C-703/25 P kippt, brauchen Verantwortliche wieder Standardvertragsklauseln plus Transfer Impact Assessment.
Diese Domain inkl. der aufgebauten Website ist verfügbar. Wer das Keyword "CRM-Software" im deutschsprachigen Markt belegen will, kann hier einsteigen.
