Die Datenschutzgrundverordnung hat seit 2016 neue Regeln eingeführt. Für den Einsatz eines CRM hat sich einiges geändert. Wir halten hier für die Zukunft fest, wie Kunden mit CentralStationCRM arbeiten und was die DSGVO konkret für Kunden im CRM bedeutet.
Was bedeutet DSGVO im CRM?
Bei der ersten Beschäftigung mit dem Thema sollte man bedenken, dass es zwei Ebenen gibt:
- der Umgang des CRM-Anbieters (hinter CentralStationCRM steht 42he) mit den Daten seiner Kunden
- das, was die Kunden mit ihren Kundendaten anstellen
Welche Datenschutzprobleme gibt es bei CRM?
Mögliche Datenschutzprobleme im CRM-Bereich sind:
Rechtsgrundlage fehlt: Kontaktdaten ohne Einwilligung oder berechtigtes Interesse gespeichert.
- Zweckbindung verletzt: Daten für andere Zwecke genutzt als erhoben (z.B. Vertriebsdaten fürs Marketing)
- Übermäßige Datensammlung: Mehr Felder gespeichert als nötig (Datenminimierung missachtet)
- Aufbewahrungsfristen ignoriert: Alte Kontakte nie gelöscht, keine Löschroutine
- Betroffenenrechte nicht umsetzbar: Auskunft, Löschung, Datenübertragung technisch nicht abbildbar
- Drittland-Transfer: CRM-Anbieter oder Hosting außerhalb EU ohne gültige Rechtsgrundlage
- Kein AV-Vertrag: Auftragsverarbeitung mit CRM-Anbieter nicht geregelt
- Fehlende Transparenz: Betroffene nicht über Speicherung informiert (Informationspflicht Art. 13/14)
Was bedeutet DSGVO bei CentralStationCRM?
Wir bei 42he haben uns viele Gedanken gemacht, wie wir die DSGVO sinnvoll für CentralStationCRM und unsere Kunden umsetzen können. Wir haben die entsprechenden Maßnahmen zusammen mit unserem Datenschutzbeauftragten umgesetzt.
AV-Vertrag statt ADV: Was sich rechtlich ändert
Bislang hatten unsere Kunden die Möglichkeit, eine ADV (Auftragsdatenvereinbarung) mit uns abzuschließen. Diese wurde dann sowohl vom Kunden als auch von uns unterschrieben und ausgetauscht.
Rechtzeitig zum 25. Mai 2018 gibt es statt der bisherigen ADV einen sogenannten Auftragsverarbeitungs-Vertrag (AV-Vertrag) zur Bestätigung, jedoch für ausnahmslos alle Kunden (CRM-Nutzer gehen dazu in ihre Accounteinstellungen auf den Punkt "Auftragsdatenverarbeitung (DSGVO)").
Dieser regelt rechtssicher, dass wir die Daten im Auftrag unserer Kunden verarbeiten und wie das im Detail passiert.
Keine Schriftform mehr für AV-Verträge
Die Schriftform ist für AV-Verträge übrigens nicht mehr nötig, sodass innerhalb des CentralStationCRM-Accounts die Vereinbarung zum AV-Vertrag erfolgt. In den Einstellungen können Sie jetzt festlegen, wessen Daten Sie speichern und welcher Art diese Daten sind. Auf Grundlage dieser Einstellungen wird dann der AV-Vertrag zum Download im PDF-Format bereitgestellt.
Darüber hinaus wird es in unseren Webformularen zukünftig eine Klickbox geben, mit deren Anhaken der Seitenbesucher der Verwendung und Weiterverarbeitung seiner personenbezogenen Daten zustimmt. Denn dies ist eine weitere Stelle, über die personenbezogene Daten ins CRM-System gelangen.
Mit den AV-Verträgen und Hinweisen in unseren Webformularen erfüllen wir datenschutzkonform die DSGVO.
Was muss ich als Kunde tun, um im Sinne der DSGVO datenschutzkonform mit CentralStationCRM zu arbeiten?
Als Kunde von CentralStationCRM sind Sie für die Kontakte, die Sie im CRM-System verwalten, selbst verantwortlich. Dementsprechend müssen Sie selbst dafür Sorge tragen, dass Sie Ihre Kontakte datenschutzkonform nutzen.
Wir als CRM-Anbieter können nicht beeinflussen, was unsere Kunden mit ihren eigenen Kundendaten machen, dementsprechend liegt dies im Verantwortungsbereich der Nutzer. Jeder Einzelne muss also prüfen, welche Daten er speichern und wie er diese nutzen darf und ob separate Vereinbarungen zur Datenverarbeitung getroffen werden müssen.
Um Sie dabei zu unterstützen, Ihre Kontakte im Sinne der DSGVO zu verwenden, möchten wir zukünftig zusätzliche Funktionen in CentralStationCRM anbieten, die beim Thema “Datenportabilität”* (Recht auf Datenübertragbarkeit / Auskunft) und “Recht auf Vergessenwerden” (Löschung von Kundendaten nach einer bestimmten Frist) Hilfestellungen bieten werden.
Konkrete Maßnahmen für Kunden von CentralStationCRM
Bezüglich CentralStationCRM müssen Sie:
- einen Auftragsverarbeitungs-Vertrag mit CentralStationCRM abschließen (in den Accounteinstellungen unter "Auftragsdatenverarbeitung (DSGVO)").
Darüber hinaus gilt es folgende Punkte zu beachten, um datenschutzkonform im Sinne der DSGVO zu arbeiten:
- eigene AV-Verträge mit Kunden abschließen, wenn Sie selbst auch im Auftrag Daten von Kunden verarbeiten
- internes Verarbeitungsverzeichnis*** anlegen, das alle Standardverfahren in Ihrem täglichen Geschäft dokumentiert. Beispiel: ein Kunde ruft an und hat eine Frage zu einem Ihrer Produkte.
- Löschfristen beachten (“Recht auf Vergessenwerden”)
- Auskunftsrecht beachten (“Recht auf Datenübertragbarkeit”)
- Risikoprüfung & DSFA (Datenschutzfolgeabschätzung) beachten
- Informationspflichten beachten
- internes Anwendungsverzeichnis sowie Rollen- & Berechtigungskonzept anlegen
- einen Datenschutzbeauftragten benennen, wenn Kriterien dafür erfüllt sind
Bitte beachten: Diese Auflistung erhebt keinen Anspruch auf Vollständigkeit und stellt keine Rechtsberatung dar, je nach Unternehmen und/oder Art des Geschäftsmodells können sich diese Punkte unterscheiden. Bitte sichten Sie für weitere Informationen die am Schluss des Artikels genannten weiterführenden Links und lassen sich von einem Datenschutzexperten beraten.
Mythos 1: “Wenn die DSGVO kommt, nutzen wir aus Sicherheitsgründen besser keine Internet/Cloudlösung mehr, sondern steigen wieder auf Aktenordner/Excel um.”
Unabhängig davon, ob man seine Kontakte mit einer Cloud-Lösung oder lokal (beispielsweise mit Excel) verwaltet, muss jeder, der personenbezogene Daten verarbeitet, seine Prozesse dokumentieren und mit seinen Kunden(Gruppen) über die Verarbeitung personenbezogener Daten entsprechende Vereinbarungen treffen, auch dann, wenn ein sogenanntes “berechtigtes Interesse”** vorliegt. Als Nutzer einer professionellen CRM-Software profitieren Sie sogar davon, dass sich die meisten CRM-Anbieter mit den Anforderungen der DSGVO seit Monaten sehr intensiv befassen und entsprechende Schutzmaßnahmen umsetzen.
Mythos 2: “Sobald die DSGVO verbindlich in Kraft tritt, darf man nichts mehr (so wie früher) machen” und/oder ”die DSGVO ändert alles.”
Diese Aussage werden Sie sicher in der ein oder anderen Form schon mal gehört haben, sie ist aber nicht zutreffend. Im Gegenteil: Wer bislang bereits nach Bundesdatenschutzgesetz (BDSG), Telemediengesetz (TMG) und Gesetz gegen den unlauteren Wettbewerb (UWG) gearbeitet hat, ist bereits recht gut aufgestellt. Das Ziel der DSGVO ist nämlich nicht, bestehende Gesetze “über den Haufen zu werfen” sondern im Gegenteil zu ergänzen und zu optimieren, um ein europaweit einheitliches Regelwerk zu schaffen.
Im Zentrum stehen dabei die deutlich stärkeren Nutzerrechte. Zukünftig sollen Nutzer einen einfacheren Zugang zu ihren Daten haben und Anspruch auf klare und leicht verständliche Informationen darüber, wer ihre Daten zu welchem Zweck wie und wo verarbeitet. Auch haben Nutzer zukünftig ein “Recht auf Vergessenwerden”. Löschfristen und Bestimmungen dazu gab es in den Datenschutzgesetzen in Deutschland zwar bisher auch schon, die DSGVO wird hier jedoch konkreter und räumt dem Thema Datenlöschung mit einem eigenen Artikel einen besonderen Stellenwert ein.
Fazit: Die Beschäftigung mit Datenschutz lohnt sich
Es ist also auch in kleinen Unternehmen zwingend notwendig, sich mit dem Thema Datenschutz- und Sicherheit sowie der DSGVO intensiv auseinander zu setzen.
Irrationale Befürchtungen oder gar Panik sind jedoch keinesfalls angebracht, denn wer die wichtigsten Neuerungen beachtet und umgesetzt hat sowie bereits bisher nach den bestehenden deutschen Datenschutzgesetzen gearbeitet hat, ist gut aufgestellt für Mai 2018 und natürlich auch darüber hinaus.
Weiterführende Informationen:
https://www.bmwi.de/Redaktion/...
https://www.lda.bayern.de/de/d...
Handreichungen für kleine Unternehmen und Vereine:
https://www.lda.bayern.de/de/k...
https://www.bitkom.org/Themen/...
https://www.e-recht24.de/daten...
Was beim Newsletterversand zu beachten ist:
https://www.newsletter2go.de/d...
Unsere Grundlagen für die Erfassung von Kundendaten:
Zum Blogartikel: Kundendaten erfassen
Anmerkungen:
*) “Datenportabilität” Art. 20 EU-DSGVO:
“Die betroffene Person hat das Recht, die sie betreffenden personenbezogenen Daten, die sie einem Verantwortlichen bereitgestellt hat, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten, und sie hat das Recht, diese Daten einem anderen Verantwortlichen ohne Behinderung durch den Verantwortlichen, dem die personenbezogenen Daten bereitgestellt wurden, zu übermitteln (...)”
**) “berechtigtes Interesse”:
Art. 6 EU-DSGVO Absatz f) “die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen (...)”
*** Verarbeitungsverzeichnis
Unternehmen müssen gemäß DSGVO ein sogenanntes “Verarbeitungsverzeichnis” anlegen, in dem alle Prozesse, bei denen personenbezogene Daten verarbeitet werden, genau dokumentiert werden. Dieses Verzeichnis ersetzt das bisherige Verfahrensverzeichnis nach BDSG. Das Verzeichnis wird nicht veröffentlicht wie z.B. AGBs, sondern dient zu internen Dokumentationszwecken und im Bedarfsfall für Nachfragen von Behörden.
