Wie regelst du Datenschutz und Zugriffe im CRM?
Datenschutz im CRM braucht klare Zwecke, geregelte Verantwortung, passende Zugriffsrechte und dokumentierte Abläufe.
Die kurze Antwort
Dokumentiere, welche Personendaten du im CRM zu welchem Zweck bearbeitest, wer dafür verantwortlich ist und welche externen Anbieter beteiligt sind. Vergib Zugriffe nach Aufgaben, informiere betroffene Personen angemessen und regle Aufbewahrung, Berichtigung, Löschung, Export sowie den Umgang mit Sicherheitsvorfällen.
Ein CRM bündelt viele Informationen über Ansprechpersonen, Mitarbeitende und Geschäftsbeziehungen. Dadurch lässt sich Kundenarbeit besser koordinieren. Gleichzeitig musst du bewusst festlegen, welche Daten bearbeitet werden, wer sie sehen darf und wie dein Unternehmen die geltenden Pflichten im Betrieb erfüllt.
Zwecke und Informationspflicht klären
Erstelle eine Übersicht der im CRM bearbeiteten Personendaten und ihrer Zwecke. Unterscheide beispielsweise Kontaktpflege, Verkauf, Vertragserfüllung, Support und Marketing.
Nach dem Schweizer Datenschutzgesetz muss der Verantwortliche betroffene Personen grundsätzlich über die Beschaffung ihrer Personendaten informieren. Prüfe anhand deiner konkreten Bearbeitung, welche Angaben zu verantwortlicher Stelle, Zweck, Empfängern und einer möglichen Bekanntgabe ins Ausland erforderlich sind und ob eine gesetzliche Ausnahme greift.
Rollen und Zugriffsrechte festlegen
Vergib Zugriffe nach den tatsächlichen Aufgaben. Nicht jede Person benötigt Einsicht in alle Kontakte, Notizen, Angebote oder Supportfälle.
Definiere Rollen für Nutzung, Administration und Export. Regle, wer Zugänge genehmigt, Rechte überprüft, starke Anmeldeverfahren verwaltet und Berechtigungen bei Rollenwechseln oder Austritten anpasst. Dokumentiere Ausnahmen, statt dauerhaft weitreichende Rechte zu vergeben.
Anbieter und Datenflüsse prüfen
Kläre, welche Unternehmen neben dir Zugriff auf CRM-Daten erhalten. Dazu können der CRM-Anbieter, Hosting-Dienste, Integrationsplattformen oder Supportpartner gehören.
Prüfe Verträge, Sicherheitsangaben, Unterauftragnehmer, Datenstandorte und Löschmöglichkeiten. Wenn Personendaten ins Ausland bekanntgegeben werden, gelten je nach Land und Schutzmechanismus zusätzliche Anforderungen. Beziehe angebundene E-Mail-, Kalender- und Marketing-Systeme in die Betrachtung ein.
Datenschutz als Betriebsprozess organisieren
Lege fest, wie dein Unternehmen mit Auskunftsbegehren, Berichtigungen, Löschungen und Datenexporten umgeht. Bestimme verantwortliche Personen und dokumentiere die Prüfschritte.
Definiere Regeln für Aufbewahrung und Bereinigung. Für mögliche Sicherheitsverletzungen brauchst du einen internen Meldeweg, damit der Vorfall beurteilt und das weitere Vorgehen entschieden werden kann. Prüfe diese Abläufe bei wesentlichen Änderungen am CRM oder an verbundenen Systemen erneut.
Quellen und Vertiefung
- Bundesgesetz über den Datenschutz, Schweizerische Eidgenossenschaft, FedlexGesetzliche Grundlage zu Bearbeitungsgrundsätzen, Informationspflicht, Auftragsbearbeitung, Datensicherheit und Bekanntgaben ins Ausland.
- Informationspflicht, Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter EDÖBBehördliche Erläuterung zu Inhalt und Form der Information über die Beschaffung und Bearbeitung von Personendaten.
- Häufig gestellte Fragen zum Datenschutz, Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter EDÖBHinweise zu Auskunft, Aufbewahrung, Auslandbekanntgabe und betrieblichen Datenschutzfragen.