¶ Kunden und Interessenten
Musterstatus: Diese Seite bestätigt keine realen CRM-Systeme, Datenquellen, Rechtsgrundlagen, Fristen oder Empfänger. Jede Verarbeitung wird im VVT konkretisiert.
Abgrenzung: Vertragsabwicklung, vorvertragliche Kommunikation, gesetzliche Pflichten, Service und Werbung sind getrennte Zwecke und werden nicht pauschal vermischt.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | DSGVO-SP-07-03 |
| Dokumentenart | Prüfraster für Kunden- und Interessentendaten |
| Wiki.js-Pfad | /DSGVO/07-Spezielle-Verarbeitungen/Kunden-und-Interessenten |
| Verantwortlich | festzulegende Vertriebs-, Vertrags- und Serviceverantwortung |
| Status | Entwurf – keine realen Systeme oder Verarbeitungen bestätigt |
| Version / Stand | 1.0 / 09.08.2026 |
| Schutzklasse | Intern bis vertraulich; Verträge, Kommunikation, Bewertungen und Supportinhalte geschützt |
| Rechtsbezug | Artikel 5, 6, 12 bis 22, 25, 28, 32 und 35 DSGVO |
Kunden- und Interessentendaten vom Erstkontakt bis zur Löschung nachvollziehbar steuern. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Verarbeitungskategorien
- Anfragen, Angebote und vorvertragliche Kommunikation,
- Vertrag, Lieferung, Abrechnung und gesetzliche Nachweise,
- Kontaktpersonen bei Geschäftskunden,
- Service, Support, Reklamation und Gewährleistung,
- Veranstaltungs- und Gesprächsdokumentation,
- Interessentenpflege, Marketing und Newsletter,
- Bonitäts-, Betrugs- oder Risikoprüfungen,
- Analysen, Scoring und Profilbildung.
Auch dienstliche Kontaktdaten natürlicher Personen sind personenbezogene Daten.
¶ 2. CRM-Mindestfelder
| Feld | Zweck |
|---|---|
| Quelle und Erhebungsdatum | Transparenz und Herkunftsnachweis |
| Status und Zweck | Anfrage, Vertrag, Service oder Werbung trennen |
| Rechtsgrundlage | konkrete Verarbeitung begründen |
| Informationsfassung | erteilte Information nachvollziehen |
| Kommunikationspräferenzen | Einwilligung, Widerspruch und Sperre steuern |
| Verantwortliche Rolle | Datenpflege und Freigabe zuordnen |
| Frist und Fristbeginn | Prüfung, Einschränkung oder Löschung auslösen |
Freitextfelder werden auf notwendige, sachliche Angaben begrenzt. Besondere Daten, private Wertungen und ungesicherte Verdachtsangaben gehören nicht ohne dokumentierte Notwendigkeit in ein CRM.
¶ 3. Qualitäts- und Schutzregeln
- Dubletten, veraltete Kontakte und unklare Quellen werden bereinigt.
- Datenanreicherung, Adresskauf und öffentliche Quellen werden vor Nutzung rechtlich geprüft.
- Gesprächsaufzeichnungen erfolgen nicht als Standard und benötigen eine gesonderte Prüfung.
- Rollen, Export, Massenänderung, Schnittstellen und mobile Nutzung werden technisch begrenzt.
- Auftragsverarbeitung, Drittlandzugriffe und Unterauftragnehmer werden dokumentiert.
- Werbung und Tracking folgen den speziellen Seiten und Sperrlisten wirken kanalübergreifend.
¶ 4. Abschluss und Nachweise
Nach Vertragsende werden offene Ansprüche, gesetzliche Aufbewahrung, Einschränkung, Servicezwecke und Marketingstatus getrennt bewertet. VVT, Informationsfassung, Rechtsgrundlagenentscheidung, Rollenmodell, Dienstleisterprüfung, Löschregel und Kontrollprotokoll verbleiben in der geschützten Ablage.
¶ 5. Verständlicher Lebenszyklus
¶ 5.1 Erstkontakt und Anfrage
Beim ersten Kontakt werden nur Angaben erfasst, die für Rückmeldung und gewünschtes Anliegen benötigt werden. Freitext wird nicht automatisch zu einem dauerhaften Vertriebsprofil. Stammt die Anfrage von einer dritten Person, aus einem Verzeichnis oder einer öffentlichen Quelle, werden Herkunft, Erwartbarkeit und Informationspflichten nach Artikel 14 geprüft.
¶ 5.2 Angebot und Vertrag
Vorvertragliche Maßnahmen auf Anfrage der Person und spätere Vertragsdurchführung werden getrennt von Werbung geführt. Bei Geschäftskunden ist Vertragspartner häufig ein Unternehmen, die verarbeiteten Namen, dienstlichen E-Mail-Adressen, Funktionen und Kommunikationsinhalte der Kontaktpersonen bleiben dennoch personenbezogen. Zugriffe werden auf Vertrieb, Auftragsabwicklung, Buchhaltung und notwendige Servicefunktionen begrenzt.
¶ 5.3 Service und Reklamation
Supporttickets können technische Protokolle, Fotos, Gesprächsinhalte oder Angaben zu weiteren Personen enthalten. Eingabemasken und Mitarbeitende weisen darauf hin, keine unnötigen sensiblen Informationen einzutragen. Anhänge, Fernzugriffe und Bildschirmaufzeichnungen erhalten einen eigenen Schutz- und Löschprozess. Eine spätere Nutzung von Supportinhalten für Produkttraining oder KI-Modelle ist ein neuer beziehungsweise weitergehender Zweck und wird vorab geprüft.
¶ 5.4 Ende der Beziehung
Nach Abschluss werden Vertragsnachweise, gesetzliche Aufbewahrung, mögliche Rechtsansprüche, offene Services und Werbestatus getrennt bewertet. Eine Aufbewahrungspflicht rechtfertigt keine aktive Nutzung für andere Zwecke. Daten können gesperrt beziehungsweise in Zugriff und Verarbeitung eingeschränkt werden, während andere CRM-Inhalte gelöscht oder anonymisiert werden.
¶ 6. Entscheidungsbeispiele
| Situation | Zulässige Bearbeitung | Zusätzliche Prüfung |
|---|---|---|
| Person bittet um Angebot | Anfrage aufnehmen und beantworten | erforderliche Daten, Informationspflicht, angemessene Nachhaltefrist |
| Bestandskunde meldet Störung | Vertrag und Service bearbeiten | Anhänge, Protokolle, Fernzugriff, Dienstleister und Löschung |
| Kontaktperson wechselt Arbeitgeber | Datensatz nicht ungeprüft weiterverwenden | Aktualität, neue Funktion, Erreichbarkeit und Informationsbedarf |
| Vertrieb erhält Teilnehmerliste | keine automatische CRM- und Newsletterfreigabe | Quelle, Zweckbindung, Information, Erwartung und Kanalrecht |
| CRM erzeugt Lead-Score | nicht als neutrale Stammdaten behandeln | Logik, Datenqualität, Profiling, Folgen, Widerspruch und DSFA-Screening |
| Gespräch soll aufgezeichnet werden | nicht standardmäßig starten | Zweck, Erforderlichkeit, Rechtsgrundlage, transparente Wahl, Zugriff und Löschung |
¶ 7. CRM-Governance und technische Kontrollen
Änderungen an Pflichtfeldern, Scoring, Schnittstellen, Importen, Exporten oder Rollen benötigen einen Change-Antrag. Dieser benennt Zweck, Daten, Personengruppen, Empfänger, Rechtsgrundlage, Risiken und Testfälle. Ein Testsystem verwendet keine unkontrollierte Kopie des Produktivbestands. Massenexporte, API-Schlüssel und Administratorzugriffe werden besonders geschützt und protokolliert.
¶ 7.1 Regelmäßige Qualitätsprüfung
- Stichprobe ungeklärter Quellen und fehlender Informationsfassungen,
- Dubletten- und Aktualitätskontrolle,
- Test von Widerrufs- und Widerspruchssperren,
- Prüfung inaktiver Kontakte und abgelaufener Nachhaltefristen,
- Berechtigungsreview einschließlich Agenturen und Dienstleister,
- Kontrolle von Freitexten auf unnötige besondere oder wertende Angaben,
- Abgleich zwischen CRM, Newsletter, Support, ERP und Datenexporten.
¶ 7.2 Nachweise und Verantwortung
Prozessverantwortung, Systemverantwortung und fachliche Datenpflege werden getrennt benannt. Der Datenschutz berät und kontrolliert, übernimmt aber nicht automatisch die operative Richtigkeit aller CRM-Datensätze. Nachweise sind VVT, Rechtsgrundlagenkataster, Informationsfassung, Importfreigabe, Rollenmodell, Schnittstellenübersicht, Löschlauf, Sperrtest und Kontrollbericht.
Eine Datenschutzverletzung, etwa ein falsch adressierter CRM-Export, wird unverzüglich über den Meldeweg bewertet. Das Löschen der versendeten Datei im eigenen System beendet weder den Vorfall noch die Empfänger- und Risikoprüfung.
¶ 7.3 Häufige Fragen
Schnellentscheidung für Lesende: Ein Kunden- oder Interessentendatensatz ist nur belastbar, wenn Quelle, Zweckstatus, Rechtsgrundlage, Informationsfassung, verantwortliche Rolle, Kommunikationspräferenz und Frist nachvollziehbar sind. Fehlt die Herkunft oder ist nicht erkennbar, ob der Kontakt für Anfrage, Vertrag, Service oder Werbung geführt wird, wird der Datensatz bis zur Klärung nicht aktiv verwendet.
Wie werden Daten aus Messen und Veranstaltungen behandelt?
Teilnahme, Visitenkartentausch, Gesprächswunsch und Newsletterinteresse sind verschiedene Sachverhalte. Das Team dokumentiert, was die Person tatsächlich erbeten hat. Eine Teilnehmerliste wird nicht pauschal importiert; Veranstalterrolle, bereitgestellte Information, Übermittlungszweck und erwartbare Kontaktaufnahme werden geprüft.
Was gilt für Bonitäts- und Betrugsprüfungen?
Zweck, Datenquelle, Aussagekraft, Aktualität, Rechtsgrundlage, Anbieterrolle und mögliche erhebliche Folgen werden dokumentiert. Automatisierte Ablehnung oder Preisgestaltung kann Artikel 22 berühren. Negative Ergebnisse erhalten einen erreichbaren menschlichen Prüf- und Korrekturweg.
Darf ein Supportdienstleister alle Kundendaten sehen?
Nein. Zugriff richtet sich nach konkretem Dienst und Ticket. Rollen, Mandantentrennung, Protokollierung, Fernzugriff, Unterauftragnehmer, Löschung und Drittlandzugriff werden geprüft. Ein allgemeiner Administrationszugang wird besonders begründet und kontrolliert.
Darf jede Anfrage dauerhaft im CRM bleiben?
Nein. Zunächst wird der Zweck der Bearbeitung und eine angemessene Nachhaltefrist bestimmt. Kommt keine Geschäftsbeziehung zustande, werden mögliche Rechtsverteidigung, erneute Kontaktaufnahme, gesetzliche Pflichten und Marketing getrennt geprüft. Ein Datensatz darf nicht nur deshalb unbegrenzt bestehen bleiben, weil Speicherplatz verfügbar ist.
Sind Kontaktdaten auf einer Firmenwebseite frei nutzbar?
Die öffentliche Auffindbarkeit beseitigt den Personenbezug nicht. Quelle, veröffentlichter Kontext, vernünftige Erwartung, konkrete Ansprache, Informationspflicht und Widerspruch werden berücksichtigt. Automatisches Sammeln für Massenwerbung erhält keine pauschale Freigabe.
Was ist bei Telefonnotizen erlaubt?
Notizen müssen sachlich, zweckbezogen und für die Aufgabe erforderlich sein. Abwertende Einschätzungen, private Details oder ungeprüfte Verdachtsangaben gehören nicht in allgemein sichtbare CRM-Freitexte. Notizen können Gegenstand eines Auskunfts- oder Berichtigungsbegehrens sein.
Dürfen Kundeninformationen für Schulungen verwendet werden?
Nach Möglichkeit werden erfundene oder belastbar anonymisierte Fälle genutzt. Reale Vorgänge benötigen Zweck- und Rechtsprüfung, Datenminimierung, Zugriffsschutz und eine klare Löschregel. Eine interne Schulung ist nicht automatisch mit dem ursprünglichen Servicezweck vereinbar.
Wie werden Konzernkontakte behandelt?
Gemeinsame Systeme bedeuten nicht automatisch gemeinsame Verantwortlichkeit oder freie konzernweite Nutzung. Gesellschaft, Rolle, Zweck, Zugriff, Information, Vertrag und Transfer werden je Verarbeitung geklärt.
¶ 7.4 Leser-Check vor einem CRM-Import
Vor Import beantwortet die verantwortliche Rolle schriftlich: Wer ist die Quelle? Für welchen konkreten Zweck wurden die Daten erhoben? Welche Personengruppen und Datenfelder sind enthalten? Wurden Informationen erteilt? Welche Rechtsgrundlage und welcher Kanal gelten? Gibt es Widersprüche oder Sperren? Welche Dubletten- und Qualitätskontrolle erfolgt? Wann werden unklare Datensätze gesperrt oder gelöscht? Erst ein bestandener Testimport mit Prüfprotokoll führt zur produktiven Freigabe.
¶ 8. Verknüpfte Seiten
- Rechtsgrundlagenkataster
- Informationspflichten
- Marketing und Newsletter
- Widerspruch
- Lösch- und Aufbewahrungskonzept
¶ 9. Offizielle Grundlage
¶ 10. Weiterführende Informationen von SMCT MANAGEMENT
Datenschutzmanagement für Kundenprozesse, CRM und Nachweise
¶ 11. Änderungshistorie
| Version | Datum | Änderung | Freigabe |
|---|---|---|---|
| 1.0 | 09.08.2026 | Kundenlebenszyklus, Entscheidungsbeispiele, CRM-Governance und Qualitätskontrollen ergänzt | Ausstehend |
| 0.1 | 08.08.2026 | Muster-Prüfraster für Kunden und Interessenten erstellt | Ausstehend |