CRM DSGVO-konform 2026: AV-Vertrag, Standort und Checkliste
Kein CRM ist von sich aus „DSGVO-konform“. Verantwortlich für die Kundendaten bleibt dein Unternehmen; vom Anbieter brauchst du dafür einen Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO, geeignete technische und organisatorische Maßnahmen (Art. 32), die Liste der Unterauftragnehmer, Möglichkeiten zum Löschen und klare Angaben zu Datenstandort und Übermittlung. Alle sechs von uns bewerteten CRM-Systeme bieten einen AVV an, fünf davon öffentlich abrufbar. Deutlich unterscheiden sie sich beim Datenstandort und beim Bezug zu den USA.
Stand: 15. Oktober 2026 – Angaben laut den Websites der Anbieter und dem Gesetzeswortlaut.
Was die DSGVO verlangt – von dir und vom Anbieter
Die folgenden Punkte geben den Wortlaut der Verordnung wieder und ordnen ihn für die CRM-Nutzung ein. Das ist keine Rechtsberatung; ob und wie eine Pflicht in deinem Fall greift, klärst du mit deinem Datenschutzbeauftragten oder einer Rechtsberatung.
- AV-Vertrag (Art. 28): Wer Daten im Auftrag verarbeiten lässt, „arbeitet … nur mit Auftragsverarbeitern, die hinreichend Garantien dafür bieten“, dass geeignete technische und organisatorische Maßnahmen getroffen werden (Abs. 1). Der Vertrag legt unter anderem Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Datenarten und die Kategorien betroffener Personen fest (Abs. 3). Er ist schriftlich abzufassen, „was auch in einem elektronischen Format erfolgen kann“ (Abs. 9). Die Pflicht trifft also dich als Verantwortlichen, nicht nur den Anbieter.
- Unterauftragnehmer (Art. 28 Abs. 2): Der Anbieter darf keinen weiteren Auftragsverarbeiter „ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung“ einsetzen. Die Liste der Unterauftragnehmer gehört deshalb zur Prüfung – sie zeigt, wer tatsächlich Zugriff auf die Daten haben kann.
- Technische und organisatorische Maßnahmen (Art. 32): Gefordert ist „ein dem Risiko angemessenes Schutzniveau“. Genannt werden unter anderem „die Pseudonymisierung und Verschlüsselung personenbezogener Daten“ und die Fähigkeit, Daten nach einem Zwischenfall rasch wiederherzustellen. Rollen, Rechte und Protokolle nennt das Gesetz nicht ausdrücklich; sie sind übliche Beispiele für solche Maßnahmen.
- Löschung (Art. 17): Fällt etwa der Zweck weg oder wird eine Einwilligung widerrufen, ist der Verantwortliche verpflichtet, die Daten „unverzüglich zu löschen“. Ausnahmen regelt Abs. 3, zum Beispiel bei gesetzlichen Aufbewahrungspflichten. Nach Vertragsende muss der Anbieter die Daten löschen oder zurückgeben (Art. 28 Abs. 3 lit. g).
- Verzeichnis der Verarbeitungstätigkeiten (Art. 30): „Jeder Verantwortliche … führ[t] ein Verzeichnis aller Verarbeitungstätigkeiten“. Für Unternehmen mit weniger als 250 Beschäftigten gilt das nach Abs. 5 nicht, „es sei denn“, die Verarbeitung birgt ein Risiko, „erfolgt nicht nur gelegentlich“ oder betrifft besondere Datenkategorien. Ob eine laufende CRM-Nutzung „nicht nur gelegentlich“ ist, ist eine Auslegungsfrage. Der Landesdatenschutzbeauftragte Baden-Württemberg etwa empfiehlt in seinem Vereinsratgeber ein Verzeichnis auch kleinen Vereinen, weil die Verarbeitung dort „nicht nur gelegentlich, sondern regelmäßig stattfindet“.
- Rechtsgrundlage (Art. 6 Abs. 1): Jede Speicherung braucht eine Rechtsgrundlage. Die Einwilligung (lit. a) ist nur eine davon; daneben stehen unter anderem die Verarbeitung „für die Erfüllung eines Vertrags … oder zur Durchführung vorvertraglicher Maßnahmen“ (lit. b) und „zur Wahrung der berechtigten Interessen“ (lit. f).
- Drittland (Art. 44 ff.): Eine Übermittlung außerhalb der EU ist nur zulässig, wenn die Bedingungen des Kapitels V eingehalten werden – etwa ein Angemessenheitsbeschluss der Kommission (Art. 45) oder geeignete Garantien wie Standarddatenschutzklauseln (Art. 46).
Daten in die USA: der Stand im Oktober 2026
Seit dem Schrems-II-Urteil des EuGH vom Juli 2020 (C-311/18) ist die Übermittlung personenbezogener Daten in die USA ein eigener Prüfpunkt. Am 10. Juli 2023 hat die EU-Kommission den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (DPF) erlassen. Laut den Anwendungshinweisen der Datenschutzkonferenz (DSK) vom 4. September 2023 können aber nur Übermittlungen an US-Organisationen darauf gestützt werden, die auf der DPF-Liste des US-Handelsministeriums stehen.
Das Gericht der EU hat die Nichtigkeitsklage gegen den Beschluss am 3. September 2025 abgewiesen (T-553/23, Latombe/Kommission). Dagegen wurde am 31. Oktober 2025 Rechtsmittel eingelegt; das Verfahren C-703/25 P ist beim EuGH anhängig. Ein Urteil haben wir bis zum 15. Oktober 2026 nicht gefunden. Solange der Beschluss in Kraft ist, ist er laut DSK geltendes EU-Recht.
Wichtig für die Anbieterwahl: Ein EU-Rechenzentrum beendet die Transferfrage nicht. Die DSK schreibt, dass es sich „auch beim Einräumen einer faktischen Zugriffsmöglichkeit aus dem Drittland (beispielsweise für administrative oder Supportzwecke) um eine Übermittlung handeln“ kann. Bei Anbietern mit US-Gesellschaft gehört deshalb auch die Frage dazu, auf welcher Grundlage übermittelt wird.
Die sechs bewerteten CRM-Systeme im Datenschutz-Vergleich
Die Tabelle zeigt, was die Anbieter selbst zu Standort, AV-Vertrag, Übermittlungsgrundlage und Zertifikaten angeben, sortiert nach BuddyScore. Die Spalte „DSGVO & Standort“ ist eine von fünf Teilnoten unserer Bewertung; sie ist kein Konformitätssiegel.
| Anbieter (BuddyScore) | Teilnote DSGVO & Standort | Datenstandort laut Anbieter | AV-Vertrag | Übermittlungsgrundlage laut Anbieter | Zertifikate laut Anbieter |
|---|---|---|---|---|---|
| Zoho CRM (7,9) | 5/10 | EU-Kunden: Amsterdam (primär), Dublin (sekundär); kein deutsches Rechenzentrum | nicht öffentlich; per E-Mail an legal@zohocorp.com | DPA auf Basis von Standardvertragsklauseln; eine DPF-Angabe haben wir nicht gefunden | ISO/IEC 27001 und 27701 (gültig bis 21.08.2028), SOC 2 Type 2 |
| Salesforce (7,9) | 8/10 | Infrastruktur Hyperforce; EU Operating Zone für Speicherung und Verarbeitung „strikt innerhalb der EU“ | öffentlich als PDF | DPF-Zertifizierung laut Salesforce, zusätzlich Processor Binding Corporate Rules | in unseren Quellen nicht erfasst |
| Pipedrive (7,6) | 8/10 | AWS-Regionen u. a. Frankfurt und Dublin; EU-Kunden der EU-Region zugeordnet, mit Anbietervorbehalt | öffentlich (Stand 2. Juli 2026) | Standardvertragsklauseln und DPF; Pipedrive Inc. (USA) ist laut AVV Empfänger von Daten | ISO 27001:2022, ISO 27701, SOC 2 Type 2 |
| HubSpot (7,5) | 7/10 | Frankfurt für zahlende Neukunden seit 19.07.2021, Zuordnung per IP bei Anmeldung; reine Gratis-Accounts in den USA | Teil der Kundenbedingungen; unterschriebene Kopie auf Wunsch | DPF-Teilnahme von HubSpot, Inc. und Standardvertragsklauseln | SOC-2-Type-2- und SOC-3-Bericht; ISO 27001 beim Infrastrukturanbieter |
| CentralStationCRM (7,0) | 9/10 | Rechenzentren in Deutschland; alle drei Unterauftragnehmer laut AVV in Deutschland | Mustertext öffentlich, Abschluss im Account | laut AVV kein Drittlandtransfer für die Anwendung | kein ISO-Zertifikat ausgewiesen |
| monday CRM (6,8) | 6/10 | EU-Datenregion für Enterprise sowie ab 23.01.2023 angelegte Standard- und Pro-Accounts; automatisch nach Standort der Person, die den Account eröffnet | Addendum öffentlich | Vertragspartner monday.com Ltd. in Israel (Angemessenheitsbeschluss); US-Tochter laut monday im DPF | SOC 2 Type II, ISO 27001 (englische Anbieterangabe) |
Drei Details verändern die Bewertung im Alltag. Bei HubSpot kannst du die Region bei der Anmeldung nicht frei wählen; sie richtet sich nach der IP-Adresse. Zahlende Bestandskunden können laut HubSpot kostenlos migrieren; wo dein Account liegt, zeigt der englische Menüpunkt „Account Defaults > Data Hosting“. Bei monday CRM lässt sich die Region nicht mehr verlegen, sobald Daten gespeichert sind; Basic nennt die monday-Hilfe für die EU-Region nicht. Bei Zoho bestimmt die Landesauswahl bei der Registrierung das Rechenzentrum, den AV-Vertrag forderst du mit Angabe deines Rechenzentrums per E-Mail an. Kein deutsches Rechenzentrum und kein öffentlich verlinkter AV-Vertrag – beides zusammen begründet die 5 von 10 in unserer Zoho-CRM-Bewertung.
Die höchste Teilnote im Feld hat CentralStationCRM mit 9 von 10: Anbietersitz in Köln (42he GmbH), Speicherung in Deutschland, Unterauftragnehmer Core-Backbone, Hetzner und Telekom Deutschland, alle mit Sitz in Deutschland. Auch dort gilt aber: Laut AVV sind „Löschkonzept, Recht auf Vergessenwerden, Möglichkeiten und Umsetzung von Berichtigungen und Datenportabilität … durch den Auftraggeber sicher zu stellen“. Im Gesamtergebnis liegt CentralStationCRM mit 7,0 auf Platz 5, unter anderem wegen des kleinsten Funktionsumfangs (5 von 10) und der niedrigsten Teilnote bei API & Skalierbarkeit (4 von 10).
Weitere Optionen, von uns nicht bewertet
Zwei weitere Systeme, die du bei der Suche finden kannst, haben bei uns keinen BuddyScore. 1CRM wird im deutschsprachigen Raum von der visual4 GmbH in Stuttgart als offiziellem Distributor vertrieben; 1CRM selbst ist laut Impressum eine Marke der 1CRM Corp mit Sitz in Kanada. Die Cloud-Edition läuft laut Anbieter im eigenen Rechenzentrum in Stuttgart, alternativ ist ein Betrieb auf eigenen Servern möglich. Brevo gibt an, dass seine Server in der EU stehen, und nennt eine Zertifizierung nach ISO 27001:2022; Städte nennt Brevo nicht.
Checkliste: So setzt du dein CRM datenschutzgerecht auf
- AV-Vertrag abschließen, bevor echte Kundendaten importiert werden – je nach Anbieter im Account, als Teil der Vertragsbedingungen oder per E-Mail-Anfrage.
- Unterauftragnehmer und Standort prüfen: Welche Firmen haben Zugriff, in welchem Land, und gilt der zugesagte Standort auch für deinen Tarif?
- Übermittlungsgrundlage festhalten: DPF, Standardvertragsklauseln oder Angemessenheitsbeschluss – auch bei EU-Hosting, wenn eine Gesellschaft außerhalb der EU Zugriff haben kann.
- Verzeichnis der Verarbeitungstätigkeiten anlegen oder ergänzen, mit dem CRM als Verarbeitung, den Empfängern und eventuellen Drittlandübermittlungen; die Ausnahme nach Art. 30 Abs. 5 nicht ungeprüft in Anspruch nehmen.
- Rechtsgrundlage je Datenart klären, etwa für Bestandskunden, Interessenten und Newsletter-Kontakte.
- Löschkonzept festlegen: Fristen, Zuständigkeit und Ablauf für Löschanfragen nach Art. 17. HubSpot etwa bietet laut Hilfe eine dauerhafte Löschung in allen Produkten und Tarifen.
- Rechte und Rollen vergeben: Jede Person sieht nur die Daten, die sie für ihre Aufgabe braucht.
- Zusatzfunktionen mitprüfen: E-Mail-Integration, Apps aus Marktplätzen und KI-Funktionen verarbeiten dieselben Kundendaten. Was die KI-Funktionen der sechs Anbieter leisten, steht im Ratgeber CRM mit KI.
Fazit: erst Vertrag und Standort prüfen, dann den Funktionsumfang
Die Frage ist nicht, welches CRM „DSGVO-konform“ ist, sondern ob du es mit den Unterlagen des Anbieters rechtmäßig einsetzen kannst. Einen Standort in Deutschland ohne Drittlandtransfer laut AVV bietet unter den sechs nur CentralStationCRM. Wenn du mehr Funktionen brauchst, bieten Salesforce, Pipedrive, HubSpot und monday CRM öffentliche AV-Verträge und EU-Standorte (bei HubSpot nur für zahlende Kunden, bei monday nennt die Hilfe die EU-Region für Basic nicht); dort gehört aber eine Gesellschaft außerhalb der EU zum Konzern, und die Übermittlungsgrundlage solltest du dokumentieren. Bei Zoho ist der Weg zum AV-Vertrag umständlicher. Die Gesamtbewertung aller sechs Systeme steht in der Rangliste der CRM-Anbieter.
Häufige Fragen
Welches CRM ist DSGVO-konform?
Kein CRM ist als Produkt pauschal DSGVO-konform. Verantwortlich bleibt das Unternehmen, das es nutzt; der Anbieter liefert AV-Vertrag, Maßnahmen zur Datensicherheit und Angaben zu Standort und Übermittlung. Alle sechs von uns bewerteten Systeme bieten einen AV-Vertrag an. Die höchste Teilnote „DSGVO & Standort“ hat CentralStationCRM mit 9 von 10, die niedrigste Zoho CRM mit 5 von 10.
Brauche ich für ein Cloud-CRM einen AV-Vertrag?
Ja, sobald der Anbieter personenbezogene Daten in deinem Auftrag verarbeitet. Art. 28 DSGVO verlangt einen Vertrag, der unter anderem Gegenstand, Dauer, Zweck und Datenarten festlegt; er kann auch elektronisch geschlossen werden. Öffentlich abrufbar ist er bei Salesforce, Pipedrive, HubSpot, monday CRM und als Mustertext bei CentralStationCRM, bei Zoho nur per E-Mail an legal@zohocorp.com.
Wo speichert HubSpot die Daten?
Die Grundinfrastruktur läuft laut HubSpot bei AWS in der US-Ostregion. Seit dem 19. Juli 2021 können Neukunden ihre Daten im EU-Rechenzentrum Frankfurt speichern, das gilt aber nur für zahlende Kunden und richtet sich nach der IP-Adresse bei der Anmeldung. Reine Gratis-Accounts werden einem Rechenzentrum in den USA zugewiesen.
Reicht ein Serverstandort in der EU für die DSGVO?
Nein, allein nicht. Die DSGVO verlangt keinen bestimmten Standort, sondern unter anderem einen AV-Vertrag und geeignete Schutzmaßnahmen. Zudem kann laut Datenschutzkonferenz schon eine Zugriffsmöglichkeit aus einem Drittland, etwa für Support, eine Übermittlung sein. Bei Anbietern mit US-Gesellschaft musst du deshalb auch die Übermittlungsgrundlage prüfen.
Darf ich nach Schrems II ein CRM eines US-Anbieters nutzen?
Grundsätzlich ja, wenn die Bedingungen der Art. 44 ff. DSGVO erfüllt sind. Seit dem 10. Juli 2023 gilt der Angemessenheitsbeschluss zum EU-US Data Privacy Framework für US-Firmen auf der DPF-Liste; das EuG hat ihn am 3. September 2025 bestätigt, ein Rechtsmittel (C-703/25 P) ist beim EuGH anhängig. Alternativ kommen Standardvertragsklauseln infrage. Das ist keine Rechtsberatung.
Muss ich für mein CRM ein Verzeichnis der Verarbeitungstätigkeiten führen?
Art. 30 DSGVO verlangt es von jedem Verantwortlichen. Unternehmen mit weniger als 250 Beschäftigten sind nach Abs. 5 ausgenommen, es sei denn, die Verarbeitung birgt ein Risiko, erfolgt nicht nur gelegentlich oder betrifft besondere Datenkategorien. Ob eine laufende CRM-Nutzung darunter fällt, klärst du am besten mit deinem Datenschutzbeauftragten.
