Datenschutz, Zugriffe und Aufbewahrung regeln
Du legst fest, wofür Personendaten im CRM bearbeitet werden, wer darauf zugreifen darf und wann Daten gelöscht oder archiviert werden.
Die kurze Antwort
Beschreibe für jede wichtige Datenkategorie den Zweck, beschränke die Erfassung auf dafür angemessene Informationen und informiere betroffene Personen dort, wo es erforderlich ist. Vergib Zugriffe nach Aufgaben, regle Aufbewahrung und Löschung und kläre mit dem Anbieter, wie Daten bearbeitet, geschützt, exportiert und allenfalls ins Ausland bekanntgegeben werden.
Ein CRM bündelt Personendaten, Gesprächsnotizen, Aufgaben und geschäftliche Einschätzungen. Informationen, die vorher über Postfächer und persönliche Dateien verteilt waren, werden zentral auffindbar und für mehr Personen zugänglich. Das vereinfacht die Zusammenarbeit und erhöht zugleich die Verantwortung.
Das Schweizer Datenschutzgesetz verlangt keine bestimmte CRM-Konfiguration. Du musst nachvollziehbar entscheiden, welche Personendaten du zu welchem Zweck bearbeitest und welche organisatorischen sowie technischen Massnahmen dazu passen. Dabei sind insbesondere Transparenz, Verhältnismässigkeit, Datensicherheit und die Rechte betroffener Personen relevant.
Die konkrete rechtliche Beurteilung hängt von deinen Daten, Tätigkeiten, Verträgen und Märkten ab. Nutze die folgenden Punkte als Arbeitsgrundlage und hole bei erhöhten Risiken oder unklaren grenzüberschreitenden Konstellationen fachkundige Unterstützung ein.
Zwecke und Datenumfang festhalten
Notiere, wofür du die wichtigen Datenkategorien im CRM brauchst. Betriebliche Zwecke können die Bearbeitung von Anfragen, die Pflege bestehender Geschäftsbeziehungen, die Koordination von Verkaufsaktivitäten oder die Dokumentation vereinbarter Leistungen sein. «Für spätere Nutzung» ist keine brauchbare Beschreibung eines bestimmten Zwecks.
Prüfe anschliessend, ob die erfassten Informationen für den jeweiligen Zweck angemessen sind. Besonders in Freitextfeldern können unnötige persönliche Bewertungen, sensible Angaben oder private Informationen landen. Definiere daher, welche Inhalte in Notizen gehören und welche nicht.
Die Verhältnismässigkeit lässt sich nicht mit einer universellen Feldliste lösen. Entscheidend ist, dass du den Bezug zwischen Zweck, Datenumfang und Aufbewahrung erklären kannst.
Informationspflicht und Transparenz umsetzen
Prüfe, wann und wie du betroffene Personen über die Bearbeitung ihrer Personendaten informierst. Die Information sollte in verständlicher Form erkennen lassen, wer verantwortlich ist, zu welchen Zwecken Daten bearbeitet werden und welche weiteren Angaben in der konkreten Situation erforderlich sind.
Berücksichtige nicht nur Formulare auf der Website. Kontaktdaten können auch über Veranstaltungen, Empfehlungen, direkte Korrespondenz oder Datenimporte ins CRM gelangen. Lege fest, welche Datenschutzhinweise für diese Wege gelten und wer sie aktualisiert.
Dokumentiere, wie du mit Auskunfts-, Berichtigungs- oder Löschanfragen umgehst. Zuständigkeit, Identitätsprüfung und interne Suche sollten praktisch geklärt sein, bevor eine Anfrage eintrifft.
Anbieter und Bekanntgaben ins Ausland prüfen
Wenn ein externer CRM-Anbieter Personendaten für dich bearbeitet, bleiben Auswahl und Instruktion dieses Dienstleisters Aufgaben deines Unternehmens. Prüfe Vertrag, Sicherheitsinformationen, Unterauftragnehmer, Supportzugriffe, Datenexport und das Vorgehen bei Vertragsende.
Kläre, in welchen Ländern Daten gespeichert oder von Dienstleistern zugänglich gemacht werden können. Eine Bekanntgabe ins Ausland kann zusätzliche Voraussetzungen auslösen. Welche Vorkehrungen erforderlich sind, hängt unter anderem vom Empfängerland und von den verwendeten Garantien ab. Eine Serverstandort-Angabe allein beschreibt nicht zwingend alle Datenflüsse.
Halte die Prüfung in einer kurzen Anbieterakte fest und aktualisiere sie bei wesentlichen Änderungen. Rechtlich oder technisch komplexe Konstellationen gehören in fachkundige Hände.
Zugriffe nach Aufgaben vergeben
Vergib Berechtigungen so, dass Mitarbeitende ihre Aufgaben erfüllen können, ohne pauschal alle Informationen bearbeiten oder exportieren zu dürfen. Unterscheide normale Nutzung, erweiterte fachliche Rechte und technische Administration, sofern das System dies unterstützt.
Prüfe besonders Massenexporte, Löschungen, Berechtigungsänderungen und den Zugriff auf vertrauliche Notizen. Vermeide gemeinsam genutzte Konten. Regle auch den Entzug von Zugängen bei Rollenwechseln oder Austritten.
Berechtigungen verändern sich mit dem Betrieb. Prüfe sie bei personellen und organisatorischen Veränderungen sowie in einem zum Risiko passenden Rhythmus.
Aufbewahrung, Vorfälle und Verantwortung regeln
Definiere je Datenkategorie, wann die Information noch benötigt wird und was danach geschieht. Je nach Inhalt kommen Löschung, Anonymisierung oder eine getrennte Archivierung infrage. Berücksichtige vertragliche, gesetzliche und betriebliche Aufbewahrungsgründe, statt eine Frist auf sämtliche CRM-Daten anzuwenden.
Lege fest, wer Benutzerverwaltung, Berechtigungsprüfung, Anbieterkommunikation, Exporte, Löschläufe und die Pflege der Datenschutzdokumentation übernimmt. Kritische Zugänge sollten nicht von einer einzelnen Person abhängen.
Für mögliche Datenschutz- oder Sicherheitsvorfälle braucht es einen Meldeweg. Die verantwortliche Person sichert den Sachverhalt, beurteilt die Auswirkungen, koordiniert notwendige Massnahmen und prüft, ob Informations- oder Meldepflichten bestehen.
Quellen und Vertiefung
- Bundesgesetz über den Datenschutz, Schweizerische Eidgenossenschaft, FedlexGesetzliche Grundlage zu Bearbeitungsgrundsätzen, Informationspflicht, Auftragsbearbeitung, Datensicherheit und Bekanntgaben ins Ausland.
- Informationspflicht, Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter EDÖBBehördliche Erläuterung zur transparenten Information über Beschaffung und Bearbeitung von Personendaten.
- Häufig gestellte Fragen zum Datenschutz, Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter EDÖBHinweise zu Auskunft, Aufbewahrung, Bearbeitungsverzeichnis und weiteren betrieblichen Datenschutzfragen.