Die Schonzeit ist vorbei, die ersten Unternehmen werden wegen gravierender Datenschutzverstößen kräftig zur Kasse gebeten. So wurde beispielsweise die Deutsche Wohnen (DW) zuletzt mit einer Rekordstrafe von 14,5 Millionen Euro seitens der Berliner Datenschutzbeauftragten Maja Smoltczyk behangen. Es sind Meldungen wie diese, die stetig für Verunsicherung bei Unternehmen aller Branchen sorgen. Viele wissen nach wie vor nicht genau, was sich mit dem Inkrafttreten der DSGVO eigentlich geändert hat und was sie genau wie umgesetzt werden muss.

Wir wollen an dieser Stelle einmal etwas genauer auf die diversen Fragen der Sicherheit im Bereich der CRM-Systeme eingehen und dabei die Frage beantworten, was genau Sie beim Umgang mit Ihrem CRM-System datenschutzrechtlich beachten müssen. Doch nicht nur die Richtlinien, die sich aus der Datenschutzgrundverordnung ergeben spielen bei der Sicherheit des CRM-Systems eine Rolle. Generell will man sich vor externen Angriffen oder auch dem Verlust von Daten ausreichend schützen. Was genau im Bereich der CRM-Systeme in puncto Sicherheit zu beachten ist, wollen wir an dieser Stelle einmal etwas genau erläutern.

Was ist ein CRM-System?

Doch zunächst lohnt ein Blick auf allgemeine Definitionen, um verstehen zu können, in welchen Sphären wir uns hier eigentlich genau bewegen. CRM steht für Customer-Relationship-Management und beschreibt die Ausrichtung eines Unternehmens beziehungsweise derer Geschäftsprozesse auf den Kunden. Grundsätzlich geht es beim CRM um ein ganzheitlichen Kundenbeziehungsmanagement zur langfristigen Bindung des Kunden an das eigene Unternehmen.

CRM-Systeme unterstützen dabei softwareseitig. Auf einer zentralen Datenbank werden alle relevanten Daten zu Kunden und jegliche Kontakte in entsprechenden Kundenakten gespeichert und sind fortan für jeden zugangsberechtigten Mitarbeiter einsehbar. Dies bringt gleich mehrere verschiedene Vorteile mit sich.

Vorteile eines CRM-Systems

Zum einen kann so der Kundenservice schneller und qualitativ hochwertiger auf Anfragen antworten. Zum anderen können Marketing und auch Vertrieb von den diversen zentrierten Daten profitieren. Vor allem dann, wenn diese durch diverse Analysetools ausgewertet werden. An dieser Stelle ergeben sich viele neue Erkenntnisse, die dabei helfen die Customers Journey noch attraktiver und angenehmer zu gestalten. Auch intern sorgen CRM-Systeme für eine Vielzahl verschiedener Verbesserungen. So wird beispielsweise die innerbetriebliche Kommunikation deutlich verbessert, Workflows entstehen und verbinden Abteilungen die zuvor eher autark aneinander vorbei arbeiteten.

Kurzum, CRM-Systeme stellen einen wichtigen Schlüssel in der Digitalisierung von Unternehmen dar. Da eine Vielzahl verschiedenster Daten in einem CRM-System, und im Falle einer Clous-Lösung gar auf externen Servern meist im Ausland, gespeichert werden, muss man sich auch immer die Frage der Datensicherheit stellen.

Eine Frage der Sicherheit

Wir wollen in dieser Reihe einmal die wesentlichsten Aspekte der Sicherheit in CRM-Systemen aufgreifen und näher durchleuchten. Dabei geht es zum einen um die Sicherheit der Daten vor Zugriff Dritter, aber auch um den internen Umgang mit diesen, der Speicherung und den rechtlichen Vorgaben, die sich beispielsweise aus der Datenschutzgrundverordnung (DSGVO) ergeben.

Zugriffsrechte und Rollenvergabe

Ein CRM-System beinhaltet eine Vielzahl verschiedenster Daten, die letztlich dafür sorgen, dass ein echter 360°-Blick auf die Kunden entstehen kann. Je nach Branche können diese Daten durchaus sensibel sein, so dass deren Schutz unbedingt gewährleistet werden muss – extern wie auch intern. Um letzteres zu gewährleisten, verfügt ein CRM-System über die Möglichkeit verschiedene Rollen von Usern zu definieren.

Nicht jeder Mitarbeiter benötigt Zugriff auf alle Daten und nicht alle Daten sollten von jedem bearbeitet werden können. So ergeben sich in der Regel drei verschiedene Rollen innerhalb eines CRM-System. Ein Admin kann grundsätzlich alle Daten einsehen, bearbeiten, löschen und auch Rollen vergeben und definieren. Anwender haben ebenfalls Zugriff auf die Daten und können diese auch bearbeiten. Ob diese auch Daten löschen können, ist eine individuelle Frage. Gäste haben dann lediglich einen lesenden Zugang auf die Daten. Zudem sind, wie bereits erwähnt nicht alle Daten allen Mitarbeitern zugänglich.

Personalakten beispielsweise dürfen nur von der Personalabteilung und dem Management eingesehen werden oder wichtige Vertriebskennzahlen sollten auch dem Management vorbehalten sein. Bei der Einführung eines CRM-Systems ist also auf ein weitreichendes und funktionierendes Rollenvergabesystem zu achten. So werden Daten innerhalb eines Unternehmens geschützt.

Sicherheit der Datenbank

Normalerweise werden die Daten eines CRM-Systems in SQL basierten Datenbanken gespeichert. Beispielsweise wird oftmals ein Microsoft SQL-Server eingesetzt, der dann bereits durch die bekannte Windows-Infrastruktur gestützt wird und für den Anwender beziehungsweise den Administrator einfach zu warten und verwalten ist.

Eine SQL-Datenbank kann entweder im eigenen Unternehmen, auf den eigenen Servern oder über einen VPN-Tunnel gesichert in einem externen Rechenzentrum betrieben werden. Dadurch hat letztlich das Unternehmen die volle Kontrolle über die Daten aus dem CRM-System und kann allen Anforderungen hinsichtlich der Datenschutzvorgaben des EU bezogen auf die Sicherheit der Datenbanken gerecht werden.

Datenschutzgrundverordnung (DSGVO)

Mit Inkrafttreten der Datenschutzgrundverordnung mussten auch CRM-Systeme hohe Anforderungen erfüllen. Der Schutz von Kundendaten muss dauerhaft gewährleistet sein, so dass die Betroffenenrechte geschützt werden. Hierzu gehören neben dem Recht auf Vergessen auch das Recht auf Einschränkung der Verarbeitung, das Recht auf Datenübertragbarkeit, Datenminimierung, Zweckbindung oder auch die Umsetzung von Einwilligungen und diversen anderen Rechtsgrundlagen für die Verarbeitung personenbezogener Daten.

Dies setzten CRM-System mittlerweile zu meist um. So können diese beispielsweise mit speziellen Funktionen die rechtskonforme Einwilligung der Kunden zur Einholung und Dokumentation dieser gewährleisten, oder können Lösch- und Anonymisierungsfristen mit Wiedervorlagen umsetzen.

Sicherheit in der Cloud

Einer der größten Kritikpunkte an Cloud-Diensten ist immer wieder die Sicherheit. Oftmals herrscht noch Unklarheit darüber, ob diese in der Cloud ausreichend gewährleistet werden kann. An dieser Stelle sei gesagt, dass die meisten Cloud-Anbieter auf das Hosting spezialisiert sind und in den meisten Fällen einen deutlich höheren Sicherheitsstandard bieten, als Unternehmen dies gewährleisten könnten. Im Übrigen stehen laut einer BitKOM-Studie 85% aller von Unternehmen registrierten IT-Angriffe nicht in Zusammenhang mit Cloud-Anwendungen.

Dennoch bleibt der Datenschutz ein brisantes Thema. Die Rechenzentren der großen Cloud-Anbieter stehen zu meist in den USA. Hier wird es dann datenschutzrechtlich schwierig und es müssen Vereinbarungen zur Auftragsdatenverarbeitung abgeschlossen werden. Ein Hosting in inländischen Rechenzentren ist daher immer etwas leichter. Die meisten CRM-Cloud-Lösungen halten zudem die Vorgaben der DSGVO ein und die entsprechenden Hoster kümmern sich um eine entsprechend sichere Infrastruktur. Aus Gründen der Datenschutzgrundverordnung auf die Cloud zu verzichten ist also wirklich nicht nötig.

Verstöße gegen den Datenschutz

Wäre der Datenschutz eine Option, so würden Unternehmen sich sicherlich kaum Gedanken zu diesem machen. Da es aber mittlerweile eine Vielzahl verschiedener Rechtsvorgaben und Gesetze gibt, schaut man gern mal genauer hin. Denn Verstöße gegen diese, bleiben nicht ohne Konsequenzen. Erst vor Kurzem wurde in Deutschland die höchste Strafe wegen Verstöße gegen die DSGVO verhangen. 14,5 Millionen Euro wurden für die Deutsche Wohnen (DW) fällig. Doch auch in Groß-Britannien und Frankreich wurden bereits saftige Bußgelder verhängt. Hier wurden mitunter deutlich höhere Summen fällig.

Grund genug sich für Unternehmen abzusichern. Denn eins ist sicher, die bis dato verhängten Strafen sind erst der Anfang. Doch nicht nur das Bußgeld an sich schmerzt, ein irreparabler Imageverlust kann viel deutlich tiefer greifen und ein Unternehmen nachhaltig schädigen.