CRM DSGVO 2026: Server, AV-Vertrag, Checkliste

Ein CRM unter der DSGVO wählst du nicht über Siegel-Slogans, sondern über prüfbare Kriterien: AV-Vertrag nach Art. 28, dokumentierte Serverregion, Unterauftragsverarbeiter und öffentliche Rechtstexte. inDeal (indeal.ai) ist ein kostenloses KI-CRM für KMU der Lars Krüger GmbH, Berlin. Nicht zu verwechseln mit indeal.io, einem anderen Unternehmen.

Stand: 16. Oktober 2026. Recht: EUR-Lex DSGVO; EU-Kommission DPF IP_23_3721 (Kontext); Markt: Eurostat CRM/Cloud 2025; Produkt: indeal.ai FAQ, app.indeal.ai/legal/datenschutz, success.indeal.ai. Keine Rechtsberatung – bei Unsicherheit Fachleute einbinden.

Warum ist „CRM DSGVO Server Deutschland“ die falsche Kurzformel?

Die Suchintention ist klar: Du willst Lead- und Kundendaten nicht „irgendwo“ speichern. Trotzdem ist die Phrase riskant. „Server in Deutschland“ und „DSGVO-konform“ sind zwei verschiedene Aussagen – und keine von beiden ist ein Zertifikat, das du ungeprüft übernehmen solltest.

Laut Eurostat nutzten 2025 nur 24,69 % der kleinen EU-Unternehmen CRM-Software (gesamt 28,51 %). Gleichzeitig nutzten 53 % der EU-Unternehmen bezahlte Cloud-Dienste (ddn-20260203-1). Cloud ist also Alltag – die Vertrags- und Standortfrage bleibt.

Die EU definiert KMU über Beschäftigte und Finanzschwellen (SME definition). Für dich heißt das: Du brauchst ein Kriterienraster, das auch ohne Rechtsabteilung funktioniert – und das Superlative wie „100 % DSGVO-konform“ bewusst vermeidet.

Welche DSGVO-Artikel treffen das CRM zuerst?

Zwei Kapitel tauchen in der Praxis immer wieder auf – als Lesezeichen, nicht als Rechtsberatung:

Das nationale BDSG ergänzt in Deutschland – ersetzt aber nicht die Prüfung des CRM-Vertrags.

Was muss im AV-Vertrag (Art. 28) stehen?

Wenn das CRM deine Lead-Daten nach deiner Weisung verarbeitet, handelt der Anbieter typischerweise als Auftragsverarbeiter. Art. 28 verlangt eine Vereinbarung – oft AVV genannt. Prüfe mindestens:

1. Schriftlichkeit / elektronische Form vor dem produktiven Import.
2. Gegenstand, Dauer, Art und Zweck der Verarbeitung.
3. Weisungsbindung und Vertraulichkeit.
4. Technische und organisatorische Maßnahmen (TOMs).
5. Regeln für Unterauftragsverarbeiter und Änderungen.
6. Unterstützung bei Betroffenenrechten, Löschung und Audit-Rechten im vertraglichen Rahmen.

Wie unterscheidest du Datenresidenz und Drittlandtransfer?

Residenz fragt: In welcher Region liegen die Datenbanken und Backups? Beispiel: EU-Region Frankfurt (eu-central-1).

Transfer fragt: Verlassen personenbezogene Daten den Europäischen Wirtschaftsraum – durch Speicherung, Support-Zugriff oder Unterauftragnehmer?

Wie vorsichtig ist der EU-US Data Privacy Framework zu nutzen?

Die EU-Kommission hat 2023 einen Angemessenheitsbeschluss zum EU-US Data Privacy Framework veröffentlicht (IP_23_3721). Das ist ein Instrument unter Art. 45, kein Freibrief für jedes CRM und kein Ersatz für deine konkrete Architekturprüfung. Formuliere intern: „DPF kann relevant sein, wenn der Empfänger gelistet ist – wir prüfen trotzdem SCCs, Regionen und Unteraufträge.“

Welche Checkliste gilt vor der CRM-Auswahl?

Nutze diese neutrale Liste – ohne Wettbewerber-Links:

Cloud-CRM unter Cloud-Nutzern lag 2025 bei 27,9 % (Eurostat Cloud) – die Mehrheit der Cloud-Nutzer hat also noch kein CRM in der Cloud. Wer startet, sollte die Liste oben vor dem Datenimport abhaken.

Was dokumentiert inDeal zu Server, AVV und Unteraufträgen?

inDeal (indeal.ai) ist ein kostenloses KI-CRM für KMU. Laut FAQ auf indeal.ai: Daten auf Servern in der EU (Frankfurt), Mandantentrennung auf Datenbankebene, AV-Vertrag inklusive.

Die Datenschutzerklärung beschreibt Rollen (Verantwortlicher vs. Auftragsverarbeiter nach Art. 28), technische Dienstleister und Regionen. Für die Datenbank ist Supabase mit EU-Region eu-central-1 (Frankfurt) genannt; Hosting/Auslieferung u. a. über Vercel in der EU-Region. Weitere Empfänger (E-Mail, Support, Analytics) sind mit Sitz und Übermittlungsgrundlage tabellarisch aufgeführt – inklusive Hinweis auf Standardvertragsklauseln bei Drittlandtransfers. Logische Mandantentrennung ist als Sicherheitsmaßnahme genannt.

Im Produkt unter Papierkorb und Rechtliches findest du Reiter für Firmendaten, Impressum, Datenschutz, AVV, Nutzungsbedingungen und Unterauftragsverarbeiter. Öffentliche Fassungen sind ohne Login erreichbar – zum Weitergeben an Prüfer oder Kunden (Papierkorb und Rechtliches).

Preis und Zugang – kurz und belegt

Account, Pipeline und Mail-Integration: 0 €, unbegrenzt Nutzer; 10 Starter-Credits; Credits für Anreicherung (E-Mail 1, Mobil 5, Festnetz 0,5) laut indeal.ai. Datenschutzfragen und Seat-Modell sind getrennt: Ein günstiger Tarif ohne AVV ist für personenbezogene Lead-Daten trotzdem riskant. Vertiefung Limits: Grenzen kostenloser CRM-Tarife.

Wie gehst du intern in 30 Minuten vor?

1. Zweck und Datenarten notieren (Leads, Mail-Inhalte, Anhänge-Metadaten).
2. AVV öffnen und speichern / akzeptieren – Firmendaten vollständig.
3. Unterauftragsverarbeiter-Liste lesen; Transfers markieren.
4. Hosting-Region aus FAQ/Datenschutz gegen deine Anforderung legen.
5. Testtenant mit Dummy-Leads – noch keine echten Sonderkategorien.
6. Lösch- und Exportweg einmal durchspielen (Papierkorb-Fristen beachten).
7. Mail-Integration erst danach verbinden; Token-Zwecke in der Datenschutzseite nachlesen.
8. Entscheidungsprotokoll für die Ablage (Datum, Links, wer geprüft hat).

Wer Stages und Follow-up parallel sauber hält, reduziert außerdem wildes Copy-Paste personenbezogener Daten in private Tabellen – siehe Perfekter CRM-Prozess und Follow-up im Vertrieb.

Was bedeuten Mandantentrennung und TOMs im Alltag?

Technische Schlagworte wirken abstrakt. In der Praxis willst du Antworten auf vier Betriebsfragen:

1. Trennung: Sehen andere Kunden deine Leads? Logische Mandantentrennung auf Datenbankebene ist das Minimum, das du in der Dokumentation suchen solltest.
2. Zugriff: Wer im Anbieter-Team darf Support-Zugriffe? Gibt es Protokollierung?
3. Verschlüsselung: Transport (TLS) und sinnvolle Speicherung von Tokens – etwa für Mail-OAuth – sollten beschrieben sein.
4. Backup und Löschung: Papierkorb-Fristen, endgültige Löschung, Exportwege.

inDeal beschreibt in der Datenschutzerklärung unter anderem Zugriffskontrollen, Authentifizierung, Transportverschlüsselung, logische Mandantentrennung, Protokollierung, Datensicherung und Wiederherstellung (Datenschutz). Mail-Tokens werden verschlüsselt gespeichert und nur für den Versand-/Abruf-Prozess genutzt – Microsoft-Daten werden laut Erklärung nicht verkauft und nicht zum KI-Training verwendet.

Das ersetzt keine Penetrationstests durch dich, aber es gibt dir prüfbare Sätze, die du gegen deine Anforderungsliste halten kannst.

Welche Fehler machen KMU bei „Server Deutschland“?

Gerade kostenlose oder günstige CRMs verleiten dazu, Datenschutz als „Phase 2“ zu behandeln. Die bessere Reihenfolge: Rechtstexte und AVV → Dummy-Daten → Produktivimport. Preise ohne Nutzerlizenz (siehe CRM ohne Nutzerlizenz) erhöhen die Team-Adoption – erhöhen aber auch die Zahl der Personen mit Zugriff. Umso wichtiger sind Rollen und Protokollierung.

Wie hängt Mail-Integration mit der DSGVO zusammen?

Sobald ein CRM dein Postfach verbindet, verarbeitet es E-Mail-Inhalte und Metadaten, die Personen beziehen können. Zusätzliche Checks:

• Welche Scopes verlangt OAuth (lesen, senden)?
• Werden Anhänge im CRM gespeichert oder nur referenziert?
• Was passiert beim Trennen – bleiben Kopien liegen?
• Ist der Zweck auf CRM-Funktionen begrenzt (kein Verkauf der Mailbox-Daten)?

Bei inDeal bleiben Anhänge im Postfach; Trennen löscht importierte Mails in inDeal endgültig; der Sync übernimmt nur Lead-Gegenüber (Postfach verbinden). Das ist für die DSGVO-Diskussion relevant, weil Speicherminimierung und klare Löschpfade Teil der TOMs-Story sind – Details im Ratgeber Kostenloses CRM mit Outlook.

Was gehört in dein Entscheidungsprotokoll?

Ein einseitiges Protokoll reicht für die meisten KMU:

• Anbieter, Produkt-URL, Datum der Prüfung
• Link zum AVV und Version/Stand
• Genannte Hosting-Region(en)
• Link zur Unterauftragsverarbeiter-Liste
• Bekannte Drittlandempfänger und genannte Garantien (SCC/DPF o. Ä.)
• Ergebnis Mail-Integration (Scopes, Anhänge, Trennen)
• Offene Punkte fürs nächste Review (90-Tage-Rhythmus für Vergleichsthemen laut Richtlinien)

So bleibst du handlungsfähig, wenn Aufsicht, Kunde oder Investor nachfragt – ohne dass du Rechtsberatung vortäuschst.

Review-Rhythmus

Vergleichs- und Rechtsthemen solltest du etwa alle 90 Tage anfassen: AVV-Version, Unterauftrag-Liste, Hosting-Angaben. Ändert der Anbieter die Region oder die Empfängerliste, aktualisierst du Protokoll und Stand-Zeile – nicht erst, wenn ein Kunde nachfragt.

Welches CRM-Setup passt unter DSGVO-Aspekten?

Wer parallel KI-Assistenten (MCP) anbindet, erweitert den Empfängerkreis: Jede zusätzliche Schnittstelle braucht denselben Blick auf Weisung, Protokollierung und Zweckbindung – siehe CRM mit ChatGPT/Claude verbinden. Die DSGVO-Frage beginnt beim CRM-Kern und wächst mit jeder Integration, nicht erst beim „KI-Feature“.

Für internationale Tochtergesellschaften gilt dieselbe Logik: Die DSGVO greift, sobald personenbezogene Daten von Personen in der EU verarbeitet werden – unabhängig davon, ob dein Headquarter in Berlin, Nice oder anderswo sitzt. Die Checkliste bleibt; nur die internen Freigabewege ändern sich.

Weiterlesen

• KI-CRM für KMU: Was ein CRM mit KI 2026 wirklich kann
• Kostenloses CRM für KMU 2026: Welches Gratis-CRM passt zu dir?
• Grenzen kostenloser CRM-Tarife 2026: Checkliste für KMU
• CRM ohne Nutzerlizenz 2026: Preismodelle für KMU erklärt
• Kostenloses CRM mit Outlook 2026: Postfach & Timeline

Häufige Fragen

Quellen

inDeal ist das KI-CRM für kleine und mittlere B2B-Unternehmen.