Kundendaten im CRM: was das Schweizer Datenschutzgesetz konkret verlangt

Wer über Datenschutz im CRMEin CRM (Customer Relationship Management) ist eine Software, in der ein Unternehmen alle Informationen zu Kunden und Interessenten zentral verwaltet:…Mehr erfahren → spricht, denkt oft zuerst an Strafen. Für ein KMU ist eine andere Sicht hilfreicher: Das DatenschutzgesetzDas Datenschutzgesetz (DSG) regelt in der Schweiz, wie Unternehmen und Bundesorgane Personendaten bearbeiten dürfen. Die revidierte Fassung (revDSG) gilt seit…Mehr erfahren → beschreibt, wie man mit Kundendaten ordentlich umgeht, und vieles davon ist gute Praxis, die auch ohne Gesetz sinnvoll wäre. Ein CRM ohne Löschregeln wird unübersichtlich, ein CRM ohne Rechtekonzept zum Sicherheitsrisiko.

Dieser Artikel listet die Pflichten aus dem Bundesgesetz über den Datenschutz (DSG, SR 235.1, in Kraft seit 1. September 2023) und der Datenschutzverordnung (DSV, SR 235.11) auf, die für ein CRM konkret werden. Warum Datenschutz auch ein Argument gegenüber Kunden sein kann, beschreibt der Beitrag Datenschutz als Wettbewerbsvorteil. Hier geht es um die Pflichten selbst. Für einen konkreten Fall ersetzt der Artikel keine Rechtsberatung.

Gilt das DSG auch für Firmenkontakte?

Ja. Das DSG schützt Personendaten natürlicher Personen. Auch wenn dein CRM vor allem Firmen enthält, stehen darin Namen, E-Mail-Adressen und Telefonnummern von Ansprechpersonen, dazu Notizen aus Gesprächen. Das sind Personendaten. Reine Firmendaten wie Firmenname und Adresse einer AG fallen dagegen nicht darunter.

Die Pflichten im Überblick

Zweck, Information und Richtigkeit

Personendaten dürfen nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft werden (Art. 6 Abs. 3 DSG). Für ein CRM heisst das: Schreib auf, wofür ihr die Daten nutzt, etwa «Bearbeitung von Anfragen, Offerten und Aufträgen» und, falls zutreffend, «Versand von Informationen über unsere Leistungen». Wer Daten aus einer Anfrage später für Werbung nutzt, braucht dafür eine eigene Grundlage.

Die Information der Kunden regelt Art. 19 DSG: Der Verantwortliche informiert die betroffene Person angemessen über die Beschaffung von Personendaten. In der Praxis geschieht das über die DatenschutzerklärungEine Datenschutzerklärung informiert Besucherinnen und Besucher einer Website darüber, welche Personendaten zu welchem Zweck bearbeitet werden, an wen sie…Mehr erfahren → auf der Website und einen Hinweis im Anfrageformular. Darin gehören unter anderem der Zweck, die Empfänger, also auch der CRM-Anbieter als Kategorie, und ein Hinweis, falls Daten ins Ausland gehen.

Wer Personendaten bearbeitet, muss sich zudem über deren Richtigkeit vergewissern und unrichtige oder unvollständige Daten berichtigen, löschen oder vernichten (Art. 6 Abs. 5 DSG). Dubletten mit veralteten Telefonnummern sind genau so ein Fall. Wie man sie findet und zusammenführt, zeigt der Beitrag CRM-Daten bereinigen.

Vorsicht bei besonders schützenswerten Daten

Manche Daten verlangen mehr Sorgfalt. Das DSG zählt dazu unter anderem Angaben über religiöse, weltanschauliche oder politische Ansichten, über die Gesundheit und die Intimsphäre, genetische und biometrische Daten sowie Daten über verwaltungs- und strafrechtliche Verfolgungen (Art. 5 lit. c DSG). In einem gewöhnlichen Vertriebs-CRM haben sie nichts zu suchen. In Freitextnotizen landen sie trotzdem schneller, als man denkt: «Kunde war länger krank, darum Verschiebung» ist eine Gesundheitsangabe. Eine einfache Regel fürs Team hilft: In Notizen steht, was für den Auftrag nötig ist, nicht warum.

Datensicherheit und Voreinstellungen

Art. 7 DSG verlangt, die Datenbearbeitung schon ab der Planung technisch und organisatorisch so auszugestalten, dass die Datenschutzvorschriften eingehalten werden. Art. 8 verlangt eine dem Risiko angemessene Datensicherheit durch geeignete technische und organisatorische Massnahmen. Für ein CRM sind das ganz praktische Fragen: Wer sieht welche Daten? Gibt es eine Anmeldung mit zweitem Faktor? Werden Daten exportiert und per E-Mail verschickt? Wird ein Konto gelöscht, wenn jemand das Unternehmen verlässt?

Datenschutzfreundliche Voreinstellungen bedeuten zum Beispiel: Neue Felder sind nicht automatisch für alle sichtbar, Notizen zu Gesprächen sind nicht öffentlich im ganzen Unternehmen, und Exporte sind nur für bestimmte Rollen möglich.

Der CRM-Anbieter als Auftragsbearbeiter

Wer ein CRM als Cloud-Dienst nutzt, gibt die Bearbeitung an einen Auftragsbearbeiter. Art. 9 DSG regelt das: Der Verantwortliche bleibt verantwortlich, der Anbieter darf die Daten nur so bearbeiten, wie es der Verantwortliche selbst dürfte, und er darf die Bearbeitung nur mit vorgängiger Genehmigung einem Dritten übertragen (Art. 9 Abs. 3). Bei grossen Anbietern geschieht das über einen Vertrag zur Auftragsbearbeitung und eine Liste der Unterauftragnehmer, die man vor dem Abschluss lesen sollte.

Liegen die Daten im Ausland, gilt Art. 16 DSG: Eine Bekanntgabe ins Ausland ist zulässig, wenn der Bundesrat festgestellt hat, dass das Zielland einen angemessenen Schutz gewährleistet, oder wenn andere geeignete Garantien bestehen. Welche Grundlage für einen konkreten Anbieter gilt, hängt von Land, Vertrag und Zertifizierungen ab und ist im Einzelfall zu prüfen. Im Kriterienkatalog für die CRM-Auswahl steht der Datenstandort deshalb unter den Pflichtkriterien.

Verzeichnis und Folgenabschätzung

Art. 12 DSG verlangt ein Verzeichnis der Bearbeitungstätigkeiten. Die Datenschutzverordnung befreit davon Unternehmen, die am 1. Januar eines Jahres weniger als 250 Mitarbeitende beschäftigen, ausser es werden umfangreich besonders schützenswerte Personendaten bearbeitet oder es findet ein Profiling mit hohem Risiko statt (Art. 24 DSV). Für die meisten KMU mit einem gewöhnlichen Vertriebs-CRM entfällt das Verzeichnis also. Freiwillig ist eine einfache Übersicht trotzdem nützlich, weil sie bei Auskunftsbegehren hilft.

Eine Datenschutz-Folgenabschätzung nach Art. 22 DSG ist vorgängig zu erstellen, wenn eine Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen mit sich bringen kann. Ein gewöhnliches CRM mit Kontaktdaten und Gesprächsnotizen erreicht diese Schwelle in der Regel nicht. Anders kann es aussehen, wenn das CRM Gesundheitsdaten enthält, etwa in einer Praxis, oder wenn Kunden automatisiert bewertet werden. Was bei KI-Funktionen im Vertrieb gilt, beschreibt der Beitrag KI im Vertrieb: sieben Einsatzfelder.

Auskunft, Berichtigung und Löschung

Jede Person kann Auskunft verlangen, ob Daten über sie bearbeitet werden, und welche. Die Auskunft wird in der Regel innerhalb von 30 Tagen erteilt (Art. 25 Abs. 7 DSG). Zudem kann die betroffene Person verlangen, dass unrichtige Daten berichtigt werden (Art. 32 Abs. 1 DSG). Das klingt einfach, ist es aber nur, wenn das CRM dafür vorbereitet ist.

Für das Löschen gilt Art. 6 Abs. 4 DSG: Personendaten werden vernichtet oder anonymisiert, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind. Für ein CRM braucht es also Löschregeln. Ein konstruiertes Beispiel, kein Kundenfall: Ein Treuhandbüro legt fest, dass Anfragen ohne Auftrag nach zwei Jahren ohne Kontakt gelöscht werden, Kundendaten nach Ende der gesetzlichen Aufbewahrungsfristen für Geschäftsunterlagen. Das CRM markiert betroffene Einträge einmal im Quartal, eine Person prüft und löscht.

1. 01
   Erfassung

   Anfrage

   Kontakt entsteht, Zweck: Bearbeitung der Anfrage.

2. 02
   Nutzung

   Kunde

   Auftrag erteilt, Zweck erweitert um Auftragsabwicklung.

3. 03
   Prüfung

   Ruhend

   Kein Kontakt mehr, Frist läuft.

4. 04
   Ende

   Löschen

   Frist abgelaufen, Daten gelöscht oder anonymisiert.

Was bei Verstössen droht

Das DSG sieht Bussen bis CHF 250'000 für private Personen vor, die vorsätzlich bestimmte Pflichten verletzen, darunter Informations- und Auskunftspflichten (Art. 60) und Sorgfaltspflichten wie die Bekanntgabe ins Ausland ohne die nötigen Voraussetzungen oder die Missachtung von Mindestanforderungen an die Datensicherheit (Art. 61). Verfolgt wird auf Antrag. Wäre die Ermittlung der verantwortlichen Person unverhältnismässig aufwendig, kann laut Art. 64 stattdessen das Unternehmen mit einer Busse bis CHF 50'000 belegt werden (Gesetzestext abgerufen auf Fedlex am 11.11.2026, Stand 1. September 2023). Für ein KMU, das die Pflichten oben ernst nimmt, ist das kein Grund zur Angst, aber ein Grund, sie nicht aufzuschieben.

Wenn das CRM die Pflichten nicht abbildet

Viele Standard-CRM erfüllen die Anforderungen mit Einstellungen: Rollen und Rechte, Exportfunktion, Löschung. Schwierig wird es, wenn Kundendaten über mehrere Systeme verteilt sind, etwa Website-Anfragen, CRM, Buchhaltung und E-Mail. Dann wird jede Auskunft zur Suche in vier Systemen. Eine zentrale Lösung oder eine Anbindung der Systeme kann das vereinfachen. Wie ein eigenes CRM mit Rechtekonzept und Löschregeln entsteht, beschreibt CRM entwickeln lassen; für Anbindungen zwischen bestehenden Systemen die Seite Individualsoftware. Wer zuerst einen Überblick über alle Systeme und Datenflüsse im Betrieb braucht, startet mit der Digitalisierungsberatung. Die eigene Datenschutzerklärung von DLM Digital findest du unter Datenschutz.

Fazit

Das DSG verlangt für ein CRM nichts Exotisches: einen erkennbaren Zweck, informierte Kunden, richtige und geschützte Daten, einen Vertrag mit dem Anbieter, Vorsicht beim Ausland, Auskunft in der Regel innert 30 Tagen und Löschung, wenn der Zweck entfällt. Wer das bei der Einführung einrichtet, hat später wenig Arbeit. Wer es nachholt, beginnt mit Löschregeln und einem Probelauf für ein Auskunftsbegehren.

Quellen

1. Bundesgesetz über den Datenschutz (DSG), SR 235.1, Art. 6, 7, 8, 9, 12, 16, 19, 22, 24, 25, 32, 60, 61, 64Fedlex, Schweizerische Eidgenossenschaft · abgerufen am 11.11.2026
2. Verordnung über den Datenschutz (DSV), SR 235.11, Art. 24Fedlex, Schweizerische Eidgenossenschaft · abgerufen am 11.11.2026