Wer den Kundenstamm innehat
Man spricht der Einfachheit halber vom „Eigentum“ an Daten. Bei personenbezogenen Daten denkt das Recht anders: Es fragt, wer entscheidet und wer ausführt. Die DSGVO nennt Verantwortlichen die Stelle, die „über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet“, und Auftragsverarbeiter die Stelle, die „personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet“ (Artikel 4 Nummern 7 und 8).
Bei einem gehosteten CRM ist das Unternehmen, das Kunden akquiriert und Rechnungen stellt, der Verantwortliche. Der Anbieter, der die Software betreibt, ist Auftragsverarbeiter: Er handelt auf Weisung und bestimmt nicht über die Nutzung des Kundenstamms.
Daraus ergeben sich drei praktische Folgen:
- Der Anbieter handelt nur auf Weisung. Artikel 28 schreibt vor, dass der Auftragsverarbeiter die Daten „nur auf dokumentierte Weisung des Verantwortlichen“ verarbeitet. Ein CRM, dessen Anbieter Ihre Datensätze für eigene Zwecke weiterverwendet, verlässt diesen Rahmen.
- Der Ausstieg ist ein Recht, keine Gefälligkeit. Nach Vertragsende muss der Auftragsverarbeiter die Daten „nach Wahl des Verantwortlichen“ löschen oder zurückgeben und die vorhandenen Kopien löschen, sofern keine gesetzliche Aufbewahrungspflicht besteht.
- Der Vertrag sagt, wer nutzt. Der Auftragsverarbeitungsvertrag (oft AVV oder DPA genannt) legt die Weisungen, die Sicherheitsmaßnahmen, die weiteren Auftragsverarbeiter und die Rückgabe fest. Ihn sollten Sie vor der Wahl eines CRM lesen, nicht die Startseite.
Die Frage „Wer kann meine Daten öffnen, welches Recht gilt, wie komme ich wieder heraus?“ wird ausführlich im Leitfaden Was ist eine souveräne Cloud? behandelt. Merken Sie sich daraus eine Regel: Die Reversibilität wird bei der Unterzeichnung festgeschrieben, mit Format, Frist und Löschung, nicht erst bei der Kündigung.
Was ein CRM an Sensiblem enthält
Gehen Sie von den Objekten aus, die jedes Vertriebs-CRM verwaltet, statt von einer theoretischen Feldliste: Interessenten, Kunden, Kontakte, Verkaufschancen, Angebote, Aufträge, Rechnungen, Gutschriften und Mahnungen. Jedes trägt eine andere Art von Information.
| Objekt | Was es enthält | Warum es sensibel ist |
|---|
| Kontakte | Namen, Funktionen, E-Mail-Adressen, Telefonnummern | Personenbezogene Daten im Sinne der DSGVO, nützlich für jeden, der Ihre Ansprechpartner abwerben will |
| Beziehungshistorie | Anrufe, Termine, Notizen, Nachfassaktionen | Zeigt den Stand jeder Beziehung, manchmal einen Streitfall oder Unzufriedenheit |
| Verkaufschancen | Beträge, Wahrscheinlichkeiten, Fristen | Zeigt, wo Sie abschließen werden, und zu welchem Preis |
| Angebote und Aufträge | Preise, Rabatte, Konditionen | Legt Ihre Preispolitik Kunde für Kunde offen |
| Rechnungen, Gutschriften, Mahnungen | Umsatz, Zahlungsverzüge | Lässt auf die finanzielle Gesundheit eines Kundenkontos schließen |
Freie Notizen verdienen besondere Aufmerksamkeit. Ein Vertriebsmitarbeiter schreibt dort manchmal mehr als nötig. Die DSGVO verlangt Daten, die angemessen und auf das notwendige Maß beschränkt sind: Eine Notiz, die der Geschäftsbeziehung nicht dient, gehört nicht in den Datensatz.
Die Personen, deren Kontaktdaten im Kundenstamm stehen, haben Rechte: Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und, in den vorgesehenen Fällen, Datenübertragbarkeit (Artikel 15 bis 21 DSGVO). Ein Interessent, der fragt, was Sie über ihn wissen, muss eine vollständige Antwort erhalten. Sie müssen seine Daten also finden und herausziehen können, ohne zehn Werkzeuge zu durchsuchen.
Was die Gesamtheit verrät
Ein einzelner Datensatz sagt wenig. Der gesamte Kundenstamm sagt fast alles über das Vertriebsgeschäft des Unternehmens:
- Die Pipeline: was Sie abschließen werden, wann und mit welcher Wahrscheinlichkeit.
- Die Konzentration: wie viele Kunden den Großteil des Umsatzes ausmachen, und welche.
- Die Saisonalität: zu welcher Zeit im Jahr Sie verkaufen, nachfassen, kassieren.
- Die Geschäftsbedingungen: Rabatte, Zahlungsfristen, ausgehandelte Preise.
Das ist ein Bild der Geschäftstätigkeit, genau wie ein Hauptbuch. Die Buchhaltung sagt, wie viel das Unternehmen verdient hat. Das CRM sagt, mit wem, wie und was als Nächstes kommt. Für einen Wettbewerber, der ein gezieltes Angebot vorbereitet, oder für einen Mitarbeiter, der mit dem Gedanken geht, ein Team oder einen Kundenstamm abzuwerben, ist das Zweite oft nützlicher als das Erste.
Beispiel. Ein KMU für Industriewartung mit 40 Mitarbeitern erzielt 60 % seines Umsatzes mit zwölf Kunden. Ein vollständiger Export des CRM liefert in einer Datei die zwölf Namen, die Ansprechpartner, die angewandten Preise und die Verlängerungstermine der Verträge. Kein Buchhaltungsdokument liefert diese vier Informationen zusammen.
Das CRM ist daher nach denselben Regeln zu behandeln wie die Finanzen: wenige Personen mit Berechtigung, alles zu sehen, Rechte, die bei einem Stellenwechsel überprüft werden, und eine Spur der Änderungen.
Verschlüsselung: was sie in einem CRM schützt
Ein CRM muss die Datensätze lesen, um zu funktionieren: einen Kunden suchen, ein Dashboard berechnen, ein Angebot erzeugen, eine Rechnung senden. Seine Daten werden daher im Ruhezustand verschlüsselt, mit Schlüsseln, die der Dienst verwenden kann.
Der Leitfaden Was ist eine souveräne Cloud? unterscheidet zwei Modelle:
- Verschlüsselung ruhender Daten, Schlüssel vom Anbieter verwaltet. Sie schützt Festplatten und Datenträger, die gestohlen oder unsachgemäß entsorgt werden. Sie macht die Daten für den Dienst selbst nicht unlesbar. Das ist das Modell eines CRM.
- Verschlüsselung, deren Schlüssel allein der Kunde hält. Das ist der Fall bei an der Quelle verschlüsselten Dokumenten oder bei mit S/MIME signierten und verschlüsselten Nachrichten. Der Anbieter kann den Inhalt nicht lesen, aber auch nicht verarbeiten.
Ein CRM als „Ende-zu-Ende-verschlüsselt“ darzustellen, wäre irreführend. Was den Kundenstamm über die Verschlüsselung ruhender Daten hinaus schützt, sind die Zugriffsrechte, die Protokolle, der Vertrag und das für den Anbieter geltende Recht.
Elektronische Rechnungsstellung: ein gewollter und geregelter Datenausgang
In Frankreich verpflichtet die Reform der elektronischen Rechnungsstellung die Unternehmen, ihre Rechnungen zwischen Unternehmen über eine zugelassene Plattform („plateforme agréée“) zu leiten, die von der Steuerverwaltung registriert ist. Diese Plattform stellt Rechnungen aus, übermittelt und empfängt sie und übermittelt bestimmte Daten an die Verwaltung.
Der vom französischen Wirtschaftsministerium veröffentlichte Zeitplan lautet:
- 1. September 2026: Alle Unternehmen, unabhängig von ihrer Größe, müssen elektronische Rechnungen empfangen können. Große Unternehmen und Unternehmen mittlerer Größe müssen sie auch ausstellen.
- 1. September 2027: Die Ausstellungspflicht wird auf KMU und Kleinstunternehmen ausgeweitet.
Für das CRM bedeutet das, dass Rechnungsdaten das Werkzeug bewusst in Richtung eines gesetzlich bestimmten Dritten verlassen. Das ist kein Datenleck: Ziel, Format und Inhalt sind festgelegt. Die üblichen strukturierten Formate sind CII, UBL und Factur-X. Prüfen Sie vor der Wahl, mit welcher Plattform sich das CRM verbindet, wer sie betreibt und wohin die Status der Rechnung (eingereicht, abgelehnt, bezahlt) zurückgemeldet werden.
Häufige Fehler
- Hosting und Inhaberschaft verwechseln. Das Hosting bei einem Dritten überträgt nicht die Verantwortung: Das Unternehmen bleibt Verantwortlicher.
- Allen Vertriebsmitarbeitern die Sicht auf den gesamten Kundenstamm geben, aus Bequemlichkeit, beim Projektstart, ohne je darauf zurückzukommen.
- Allen das Exportrecht lassen. Einen Datensatz lesen und den gesamten Kundenstamm herunterladen sind zwei verschiedene Rechte.
- Die Kopien vergessen: Exporte auf Arbeitsplatzrechnern, Sicherungen, Anhänge von Tickets. Bei Vertragsende zählen auch sie.
Häufige Fragen
Darf mein CRM-Anbieter meine Kundendatensätze nutzen?
Als Auftragsverarbeiter darf er sie nur auf Ihre dokumentierte Weisung verarbeiten. Prüfen Sie dies im Auftragsverarbeitungsvertrag und lesen Sie unsere Seite DSGVO.
Reicht Verschlüsselung aus, um ein CRM zu schützen?
Nein. Sie schützt die Datenträger. Rechte und Vertrag schützen die Nutzung. Der Leitfaden souveräne Cloud erläutert den Unterschied.
Wie verhindere ich, dass ein Vertriebsmitarbeiter den Kundenstamm mitnimmt?
Indem Sie das Recht zu lesen und das Recht zu exportieren trennen. Siehe Den Export des Kundenstamms verhindern.
Wie trenne ich die Kunden zweier Gesellschaften einer Gruppe?
Siehe Wer in Klytic CRM welche Kunden sieht.
Wo Klytic steht
Klytic CRM verwaltet Interessenten, Kunden, Kontakte, Verkaufschancen, Angebote, Aufträge, Rechnungen, Gutschriften und Mahnungen. Lager, Einkauf, Projekte und Spesenabrechnungen kommen je nach Bedarf hinzu. Der Dienst lässt sich eigenständig nutzen, ohne Klytic Mail oder Klytic Docs.
- Rolle. Für die dem Dienst anvertrauten CRM-Datensätze handelt Klytic als Auftragsverarbeiter im Sinne von Artikel 28 DSGVO. Mit jedem Kunden wird eine Vereinbarung zur Auftragsverarbeitung unterzeichnet.
- Nutzung der Daten. Klytic gibt an, dass die Daten niemals zu kommerziellen Zwecken oder von Dritten genutzt werden.
- Hosting. In jeder geografischen Zone, die der anwendbaren Rechtsordnung entspricht, vorbehaltlich der Verfügbarkeit der Dienste, insbesondere in Europa oder auf Mauritius, oder auf den Servern des Kunden. Siehe Hosting und Souveränität.
- Verschlüsselung. Im Ruhezustand, mit Schlüsseln, die der Dienst verwendet. Es ist keine Verschlüsselung, deren Schlüssel allein der Kunde hält.
- Einstieg und Ausstieg. Begleiteter Import aus einer Tabellenkalkulation oder einer anderen Software. Bei Vertragsende bleiben die Daten 30 Tage lang in Standardformaten exportierbar, mit Begleitung, und werden dann gelöscht.
- Elektronische Rechnungsstellung. Formate CII, Factur-X und UBL, Anbindung an EsaLink (Hubtimize) und SuperPDP. Einzelheiten auf der Seite Klytic CRM.
- Datensicherung. Stündlich, 30 Tage aufbewahrt, Wiederherstellung über den Support, je nach Ursache inklusive oder kostenpflichtig. Klytic CRM hat standardmäßig keinen Papierkorb: Die optionale Erweiterung „Papierkorb“ ermöglicht es, einen gelöschten Datensatz selbst wiederherzustellen, und trägt dazu bei, das Open-Source-Projekt zu unterstützen, auf dem es aufbaut. Siehe Sicherheit und Datensicherung.
Klytic ist nicht SecNumCloud-qualifiziert. Wenn Ihre Branche dies verlangt, ist es nicht die richtige Wahl.
Diese Seite beschreibt einen allgemeinen Rahmen. Sie ersetzt weder die Prüfung Ihres Vertrags noch eine Rechtsberatung.
Rechtsstand: 11. Oktober 2026. Der hier genannte Zeitplan der elektronischen Rechnungsstellung ist der vom französischen Wirtschaftsministerium veröffentlichte. Er wurde in der Vergangenheit bereits geändert: Prüfen Sie vor jeder Entscheidung die offizielle Seite.
Quellen
Abgerufen im Oktober 2026.
- DSGVO, Artikel 4 Nummern 7 und 8: Begriffsbestimmungen des Verantwortlichen und des Auftragsverarbeiters. cnil.fr
- DSGVO, Artikel 15 bis 21: Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. cnil.fr
- DSGVO, Artikel 28: dokumentierte Weisung, Löschung oder Rückgabe der Daten nach Abschluss der Leistung; Artikel 32: Verschlüsselung als eine der Sicherheitsmaßnahmen. cnil.fr
- Verordnung (EU) 2016/679, amtlicher Text, Erwägungsgründe 81 (Rückgabe oder Löschung durch den Auftragsverarbeiter) und 83 (Verschlüsselung). eur-lex.europa.eu
- Zeitplan der elektronischen Rechnungsstellung in Frankreich: Empfang durch alle Unternehmen ab 1. September 2026, Ausstellung durch KMU und Kleinstunternehmen ab 1. September 2027. economie.gouv.fr
- Rolle der zugelassenen Plattformen: Ausstellung, Übermittlung, Empfang von Rechnungen und Übermittlung von Daten an die Verwaltung. impots.gouv.fr
- Klytic CRM: verwaltete Objekte, Module, Formate und Plattformen der elektronischen Rechnungsstellung, Hosting. klytic.com
- Verschlüsselung ruhender CRM-Daten und Unterscheidung vom Schlüssel in der Hand des Kunden; Reversibilität. klytic.com
- Rolle von Klytic als Auftragsverarbeiter, Vereinbarung zur Auftragsverarbeitung, Reversibilität von 30 Tagen. klytic.com
