Kunden gewinnen: CRM-Datenschutz für Berliner Start-ups

Das Wichtigste auf einen Blick

Warum das für Verkauf und Kundenarbeit zählt

Ein CRM ist im Verkauf und in der Kundenarbeit das tägliche Arbeitsmittel. Wer Kunden gewinnen will, Leads nachfasst, Angebote verfolgt oder Bestandskunden betreut, verlässt sich auf die Daten. Sind Einwilligung, Löschfrist und Export nicht sauber geregelt, stockt genau diese Arbeit.

DSGVO-Konformität ist deshalb keine Formalie für die IT. Sie sichert, dass Ansprache erlaubt bleibt, Übergaben zwischen Vertrieb und Service funktionieren und Kunden nicht doppelt oder unerwünscht kontaktiert werden. Für Berliner Start-ups heißt das: Das CRM muss den Verkaufsalltag tragen und zugleich prüfbar sein.

Die vier Pflichten, die jedes CRM erfüllen muss

Sobald ein Start-up Kundendaten bündelt, ist es Verantwortlicher im Sinne der DSGVO. Die Texte der Verordnung und des Bundesdatenschutzgesetzes stehen in der amtlichen Sammlung der Gesetze und Verordnungen des Bundes.

Vier Punkte entscheiden über die Konformität. Erstens eine Rechtsgrundlage je Kontakt, also Einwilligung, Vertrag oder berechtigtes Interesse. Zweitens ist bei einer Auftragsverarbeitung ein Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO erforderlich. Drittens braucht es ein Löschkonzept, das Fristen berücksichtigt, statt Kontakte nur als inaktiv zu markieren. Viertens sollte ein Export alle Daten mitnehmen.

Prüfen Sie deshalb vor dem Vertrag schriftlich, welche Löschregeln das Tool automatisch ausführt und in welchem Format Sie Daten herausbekommen. Bei kurzen Wechselzyklen in Berliner Start-ups wird der Export später zum teuersten Kriterium.

CRM-Anbieter im Vergleich

Die Unterschiede liegen bei Serverstandort, Löschfunktionen und Exportmöglichkeiten.

Die Tarifseiten der Anbieter sind für konkrete Preisangaben maßgeblich; dieser Beitrag nennt keine Anbieterpreise. Prüfen Sie bei jedem Tarif außerdem Hosting, AVV, Löschfunktionen und Export.

Beispielrechnung: CRM für acht Vertriebsmitarbeitende

Angenommen werden 15 Euro netto je Nutzer und Monat für ein mittleres Paket, acht Nutzer und zwölf Monate: 1.440 Euro netto, mit 19 Prozent Umsatzsteuer 1.713,60 Euro brutto. Dazu 2.000 Euro netto für Einrichtung und Schulung, brutto 2.380 Euro. Im ersten Jahr sind das 4.093,60 Euro brutto. Das ist eine Beispielrechnung mit eigenen Annahmen, keine Preisliste eines Anbieters.

Löschfristen selbst festlegen

Die DSGVO nennt keine Frist für Leads, sondern verlangt Speicherbegrenzung. Sie legen die Fristen fest und begründen sie. Für Handelsbriefe und Buchungsbelege gelten dagegen sechs beziehungsweise zehn Jahre nach Paragraph 257 HGB und Paragraph 147 AO.

Dokumentieren Sie die Tabelle und lassen Sie sie von einem Datenschutzbeauftragten gegenlesen. Für Fragen zur Datenschutzaufsicht ist in Berlin die Berliner Beauftragte für Datenschutz und Informationsfreiheit zuständig; die IHK Berlin ist keine Datenschutzaufsichtsbehörde. Mündlich vereinbarte Fristen lassen sich im Streitfall nicht belegen.

Förderung für CRM-Vorhaben in Berlin

Die KfW bündelt ihre Angebote für Software und Prozesse auf der Seite zu Innovation und Digitalisierung. Dazu zählt der ERP-Digitalisierungs- und Innovationskredit. Ob er für Ihr Vorhaben offen ist und welche Förderanteile gelten, steht in den aktuellen Programmbedingungen.

Junge Unternehmen finden zusätzlich Angebote unter Gründung und Nachfolge. Zwei Regeln gelten überall: Der Antrag wird vor dem Vorhaben gestellt, und der Vertrag darf noch nicht unterschrieben sein. Die IHK Berlin hilft als gesetzliche Interessenvertretung bei Fragen zu Datenschutz und Förderanträgen, für Mitglieder ohne gesonderte Beratungsgebühr.

Schulung und Verantwortlichkeiten

Planen Sie zwei Termine: einen zur Bedienung, einen zu Datenschutz und Löschpflichten. Der zweite ist der wichtigere. Als Grundlage für kleine Teams eignet sich der Leitfaden Cybersicher, kurz und knapp des DIHK.

Benennen Sie eine Person für das CRM und eine für den Datenschutz. In kleinen Teams darf das dieselbe Person sein, die Rollen werden getrennt dokumentiert. Zugriffsrechte verteilen Sie nach Funktion. Ein CRM ohne wöchentliche Pflegeroutine liefert falsche Prognosen.

Häufige Fragen

Reicht ein Auftragsverarbeitungsvertrag aus?

Nein. Der Vertrag sichert die technische Seite ab. Zusätzlich brauchen Sie eine Rechtsgrundlage je Kontakt und ein Löschkonzept.

Was kostet ein DSGVO-konformes CRM?

Die Tarifseiten der Anbieter nennen die konkreten Beträge; dieser Beitrag enthält keine Anbieterpreise. Die Beispielrechnung oben beruht auf einer eigenen Annahme und ist keine Tarifauskunft.

Wie lange dürfen Leads im CRM bleiben?

Ohne Vertragsverhältnis sind sechs Monate nach dem letzten Kontakt eine übliche, selbst gesetzte Frist. Danach folgt eine Löschprüfung.

Kann die KfW ein CRM finanzieren?

Digitalisierungsvorhaben sind grundsätzlich förderfähig, wenn die Programmbedingungen passen. Der Antrag wird vor dem Vorhaben gestellt.

Wer haftet bei einem Datenschutzverstoß?

Das Start-up als Verantwortlicher, nicht der Anbieter. Löschfristen und Zugriffsrechte gehören deshalb in die Auswahlentscheidung.

Zum Weiterlesen: SaaS-Vertrag prüfen: SLA, Datenverarbeitung und Exit-Klausel im B2B-Einkauf absichern (firmenanwalt24.de).