CRM und Datenschutz: Einwilligung und Aufbewahrung verwalten

Datenschutz im CRM: Warum es kein neutrales Archiv ist

Das DSG gilt für die Bearbeitung personenbezogener Daten natürlicher Personen durch Private und Bundesorgane. Ein Unternehmens-CRM fällt unter den Anwendungsbereich, wenn es Namen, Kontaktdaten, Kontaktnotizen, Kaufhistorien oder Angebotsanfragen enthält. Dies gilt auch für Ansprechpartner bei Firmenkunden: Sie bleiben als identifizierte natürliche Personen geschützt.

Ausgenommen sind Daten, die keine Rückschlüsse auf eine bestimmte oder bestimmbare Person zulassen, wie etwa aggregierte oder irreversibel anonymisierte Daten.

Das DSG findet Anwendung auf die Bearbeitung personenbezogener Daten mit Wirkung in der Schweiz, auch wenn die Bearbeitung im Ausland erfolgt. Nicht anwendbar ist das Gesetz hingegen auf die Bearbeitung personenbezogener Daten durch natürliche Personen zur ausschliesslich persönlichen Nutzung. Ein Unternehmens-CRM fällt nicht unter diese Ausnahme.

Neben dem DSG verfügt jeder Kanton über ein kantonales Datenschutzgesetz. Diese Gesetze gelten für kantonale und kommunale Organe sowie für private Institutionen mit öffentlichen Aufgaben. Für ein privates Unternehmen bleibt das eidgenössische DSG die massgebliche Rechtsgrundlage.

Benutzerdefinierte Felder, Kontakt-Scores, E-Mail-Automatisierungen, Telefonieaufzeichnungen, Synchronisationen mit anderen Tools und Interaktionsprotokolle müssen einzeln bewertet werden, basierend darauf, was sie offenlegen und welchem Zweck sie dienen.

Der Ausgangspunkt ist ein operatives Inventar, das als Verzeichnis der Bearbeitungstätigkeiten organisiert werden kann. Für jeden Eintrag wird festgehalten, welche Daten in das System gelangen, aus welcher Quelle, zu welchem Zweck, für wie lange, wer Zugriff hat und an welche Anbieter die Daten weitergegeben werden.

Das Gesetz unterscheidet zwischen gewöhnlichen personenbezogenen Daten und besonders schützenswerten personenbezogenen Daten. Besonders geschützt sind unter anderem Daten, die die rassische und ethnische Herkunft offenbaren, Gesundheitsdaten, religiöse oder weltanschauliche Überzeugungen, biometrische Daten zur Identifikation und die Gewerkschaftszugehörigkeit. In einem CRM genügt bereits eine Freitextnotiz im Kontaktprofil, damit ein solches Datum erfasst wird.

Einwilligung im CRM: Wann sie nötig ist und wie sie dokumentiert wird

Bei der Einholung der Einwilligung ist es hilfreich, klar zu erläutern, welche CRM-Nutzungen von der Wahl betroffen sind. Die Dokumentation der akzeptierten Textversion, des Datums und des Erfassungskanals ermöglicht die Rekonstruktion, worauf sich die Einwilligung bezog. Ein einziges Ankreuzfeld für Newsletter, kommerzielle Profilierung und Weitergabe an Dritte erschwert das Verständnis der getroffenen Wahl.

Die Einwilligung ist nicht in jeder Situation die einzige mögliche Rechtsgrundlage.

Fehlt eine andere Rechtsgrundlage, dürfen Daten nur mit der ausdrücklichen Einwilligung der betroffenen Person bearbeitet und bekannt gegeben werden (Pro Infirmis).

Wenn das CRM auf einer Einwilligung basiert, muss auch der von der Person mitgeteilte Widerruf erfasst und die verbundenen Aktivitäten aktualisiert werden. So bleibt die Wahl zusammen mit den anderen Präferenzen des Kontakts nachvollziehbar.

Einwilligung vs. Andere Rechtsgrundlagen im CRM

Optionen zur Verwaltung der Einwilligung im CRM

Informieren vor der Erfassung: Von Formularen bis zu Kontaktprofilen

Die Informationspflicht gilt nur dann als erfüllt, wenn eine Reihe von Informationen mitgeteilt wird; dazu gehören die Identität und die Kontaktdaten des Verantwortlichen.

Die Information muss unter anderem den Zweck der Bearbeitung, die Empfänger oder die Kategorien von Empfängern, denen die Daten bekannt gegeben werden, sowie – falls die Daten nicht bei der betroffenen Person erhoben werden – die Kategorien der bearbeiteten personenbezogenen Daten angeben.

Werden Daten ins Ausland bekannt gegeben, sind auch der Name des Staates oder der internationalen Organisation und, je nach Fall, die vorgesehenen Garantien oder die anwendbare Ausnahme anzugeben. Das DSG spricht vom Ausland, nicht vom Drittland.

Kontaktformular, Landingpage und Callcenter-Skripte dürfen sich nicht auf einen generischen Verweis beschränken. Der Text muss vor dem Absenden der Daten erreichbar sein und angeben, wer die Daten zu welchem Zweck bearbeitet.

Wer externe Listen importiert, kann sich nicht auf die Information der Quelle stützen. Es muss geprüft werden, ob die Daten mit einer Information erhoben wurden, die die Zwecke des neuen CRM abdeckt, und ob die erforderliche Einwilligung vorliegt.

Auch das Hinzufügen eines Feldes, eines Scores oder eines verbundenen Tools (Newsletter, Automatisierung, Analytics) ändert die Funktionsweise des Systems. Dies erfordert eine Aktualisierung des Informationstextes, sonst beschreibt die Information eine andere Bearbeitung als die tatsächlich stattfindende.

Geschäftskontakte und Widerspruchsrecht

Im CRM koexistieren Opt-in und Opt-out. Das Opt-in basiert auf einer vorherigen Einwilligung; das Opt-out geht von einem bestehenden Kontakt aus und muss den Widerspruch gewährleisten. In beiden Fällen muss die Wahl nachvollziehbar dokumentiert werden: Datum, Kanal (Formular, Telefon, E-Mail, Abmeldung via Link), betroffene Kampagne oder Liste und die Person, die die Anfrage bearbeitet hat. Ein nur als Freitext im Kontaktprofil notierter Widerspruch riskiert, in der nächsten Kampagne ignoriert zu werden.

Technisch muss der Widerspruch Kontakte blockieren. Der Kontakt ist von Versandlisten, Automatisierungen und Exporten in andere Tools auszuschliessen. Seine Präsenz in einer Sperrliste ist vor jeder Kampagne zu prüfen. Auch teilweiser Widerspruch ist zu managen: Wer den Newsletter akzeptiert, aber keine kommerziellen Anrufe wünscht, stellt weder eine totale Ablehnung noch eine allgemeine Einwilligung dar.

Die dokumentarische Erfassung der Entscheidungen ist wichtig. Beim Direktmarketing und beim Widerspruchsrecht hat der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) mit Untersuchungen interveniert.

In der Modebranche hat der EDÖB Cream della Cream und Philipp Plein wegen Direktmarketings und Nichtbeachtung des Widerspruchsrechts sanktioniert. Die Entscheidung vom 17. April 2026 ist nach Ablauf der Rekursfrist rechtskräftig geworden.

Aufbewahrung im CRM: Kriterien für Dauer und Löschung

Die Dauer ist in der Projektphase zu entscheiden, nicht dem Zufall zu überlassen. Für jede Kategorie ist eine Dauer oder ein Ablaufkriterium festzulegen: Bei einem nie konvertierten Lead kann dies Inaktivität sein, bei einem aktiven Kunden das Ende der Geschäftsbeziehung, bei einer Supportanfrage der Abschluss des Tickets. Bei Protokollen kann das Kriterium das Wegfallen des operativen Zwecks sein.

Wer Daten einer Person bearbeitet, ist verpflichtet, gemäss dem Grundsatz der Verhältnismässigkeit rechtlich korrekt zu handeln. Auf die Aufbewahrung angewandt, gebietet dieses Kriterium, Daten nicht länger aufzubewahren, als es der Zweck erfordert.

Der Teil, der Aufbewahrungspflichten aus anderen Normen unterliegt, ist von rein kommerziellen Daten, die früher gelöscht werden können, getrennt zu halten. Ohne diese Unterscheidung riskiert die periodische Löschung, entweder das Aufbewahrungspflichtige zu eliminieren oder aus Vorsicht alles aufzubewahren.

Die Löschung ist selbst eine Bearbeitungstätigkeit: Die Bearbeitung umfasst das Beschaffen, Aufbewahren, Nutzen, Anpassen, Bekanntgeben und Löschen von Daten. Sie ist daher wie andere Vorgänge zu planen.

Es ist zu definieren, was mit Backup-Kopien, Daten in verbundenen Tools, Exporten in Tabellenkalkulationen für einzelne Kampagnen sowie doppelt oder falsch zusammengeführten Profilen geschieht. Nie konvertierte Kontakte und Duplikate machen meist das grösste Volumen aus und sind natürliche Kandidaten für kurze Aufbewahrungsfristen.

Schliesslich die Konsistenzprüfung: Was in der Information zur Dauer deklariert wird, muss mit dem übereinstimmen, was das System tatsächlich tut. Ist die Löschung automatisch, ist zu prüfen, ob die Automatisierung läuft und nicht deaktiviert wurde. Ist sie manuell, ist die Tätigkeit einer Person zuzuordnen und zu protokollieren. So kann auf eine Anfrage der betroffenen Person oder eine Untersuchung geantwortet werden.

Datenlebenszyklus im CRM: Von der Erfassung bis zur Löschung

Wer wofür im Unternehmen verantwortlich ist

Für jede Bearbeitungstätigkeit gibt es eine oder mehrere Stellen, die für die Einhaltung der Anforderungen verantwortlich sind. Im Unternehmen bedeutet dies eine explizite Zuweisung der mit dem CRM verbundenen Aufgaben.

Es ist festzulegen, wer entscheidet, welche Felder existieren und zu welchem Zweck, wer Einwilligungen und Widersprüche verwaltet, wer Löschungen durchführt und prüft. Ebenso ist zu definieren, wer interner Ansprechpartner für betroffene Personen ist und wer die Anbieter kontrolliert.

Dieselben Funktionen sind den Systemadministratoren, den Marketingnutzern und den Vertriebsmitarbeitern zuzuweisen. Verantwortlichkeiten decken sich nicht mit Zugriffsrechten.

Mit dem CRM-Anbieter ist die Datenbearbeitung und die Aufgabenteilung sinnvoll zu formalisieren. Eine Vereinbarung kann die Sicherheitspflichten und die Unterstützung durch den Anbieter präzisieren sowie die allfällige Beiziehung von Unterauftragnehmern regeln.

Diese Verantwortlichkeiten messen sich an den Rechten, die betroffene Personen geltend machen können: Personen, deren Daten bearbeitet werden, können Ansprüche gegenüber den Verantwortlichen erheben. Konkret muss das CRM in der Lage sein, einen vollständigen Auszug der Daten einer einzelnen Person, einschliesslich Notizen und Historie, zu erstellen, Fehler zu korrigieren und Daten zu löschen, deren Aufbewahrung nicht mehr rechtmässig ist.

Der Datenschutz gewährt der betroffenen Person rechtlich geschützte Rechte, insbesondere das Recht auf Auskunft darüber, welche sie betreffenden Daten bearbeitet werden. Unter bestimmten Bedingungen kann sie auch die Berichtigung, Sperrung oder Vernichtung der Daten verlangen.

Die Nichtbeachtung des DSG ist mit Sanktionen bis zu 250'000 Schweizer Franken strafbar.

Es empfiehlt sich, den Prozess an einem realen Profil mit den beteiligten Zeiten und Personen zu testen. Besser, als die Grenzen des Systems erst bei der ersten Auskunftsbegehren zu entdecken.

Sanktionen und Verantwortung gemäss Schweizer DSG