Warum ein Löschkonzept unverzichtbar ist
Viele CRM-Systeme wachsen über Jahre, ohne dass jemand prüft, ob alle gespeicherten Daten noch gebraucht werden. Das erhöht das Haftungsrisiko bei Datenschutzverstößen und erschwert die tägliche Arbeit mit dem System. Ein schriftliches Löschkonzept schafft Klarheit, welche Daten wie lange bleiben dürfen.
Grundsatz: Speicherdauer an den Zweck koppeln
Personenbezogene Daten dürfen nur so lange gespeichert werden, wie sie für den jeweiligen Zweck erforderlich sind. Entfällt der Zweck, muss gelöscht oder anonymisiert werden, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Handels- und steuerrechtliche Vorschriften wie § 257 HGB und § 147 AO verlangen für bestimmte Geschäftsunterlagen eigene Fristen, die Vorrang vor einer sofortigen Löschung haben.
Löschregeln je Datenart
Nicht jede Datenart im CRM braucht dieselbe Regel. Sinnvoll ist eine Tabelle, die für jede Kategorie Zweck, Löschanlass und Besonderheiten festhält.
| Datenart | Typischer Zweck | Löschanlass | Besonderheit |
|---|---|---|---|
| Interessenten/Leads | Kontaktaufnahme, Angebot | Keine Reaktion über definierten Zeitraum, erfolglose Nachfassaktion | Regelmäßige Bereinigung inaktiver Datensätze |
| Kunden | Vertragserfüllung, Rechnungsstellung | Ende der Geschäftsbeziehung plus Ablauf gesetzlicher Fristen | Handels- und steuerrechtliche Aufbewahrungspflichten beachten |
| Newsletter-Kontakte | Versand von Werbung auf Basis Einwilligung | Widerruf, dauerhafte Inaktivität, Bounce | Abmeldung sofort umsetzen, Nachweis auf Sperrliste behalten |
| Bewerbungsdaten | Auswahlverfahren | Abschluss des Verfahrens | Kurze Frist, orientiert an Geltendmachungsfristen aus dem AGG |
| Einwilligungsnachweise | Beleg der Rechtsgrundlage | Solange Einwilligung genutzt wird oder Ansprüche drohen | Für Telefonwerbung schreibt § 7a UWG eine Aufbewahrung von fünf Jahren vor |
Einwilligungsnachweise: besonderer Aufbewahrungsbedarf
EinwilligungsnachweiseDer Einwilligungsnachweis ist die Dokumentation, mit der ein Unternehmen belegt, dass eine bestimmte Person zu einem bestimmten Zeitpunkt in eine bestimmte Werbung eingewilligt hat. sind die Verteidigung gegen Beschwerden und Bußgeldverfahren. Sie dürfen nicht einfach mit dem Kontakt gelöscht werden, sondern müssen so lange vorgehalten werden, wie die EinwilligungEine Einwilligung ist die freiwillige, informierte und unmissverständliche Erklärung einer Person, dass sie mit einer bestimmten Verarbeitung ihrer Daten oder mit einer bestimmten Werbung einverstanden ist. genutzt wird oder noch Ansprüche geltend gemacht werden können. Für Telefonwerbung gibt § 7a UWG eine feste Frist von fünf Jahren vor, an der sich auch andere Kanäle orientieren können.
Sperrliste für Widersprüche und Abmeldungen
Wer sich von Werbung abmeldet oder widerspricht, darf nicht versehentlich erneut angeschrieben werden. Dafür braucht es eine Sperrliste, die unabhängig vom übrigen CRM-Bestand gepflegt wird. Sie sollte möglichst wenige Daten enthalten, meist reichen E-Mail-Adresse oder Telefonnummer sowie Datum und Grund der Sperrung.
Datenqualität: Dubletten und regelmäßige Prüfung
Dubletten verzerren Auswertungen und führen zu doppelten Ansprachen. Ein regelmäßiger Abgleich, etwa anhand von E-Mail-Adresse oder Kundennummer, hilft, Datensätze zusammenzuführen, bevor sie zum Problem werden. Datenqualität ist kein einmaliges Projekt, sondern eine laufende Aufgabe, die fest im Kalender verankert sein sollte.
Verantwortlichkeiten und Protokollierung
Löschkonzepte scheitern oft daran, dass niemand verantwortlich ist. Legen Sie fest, wer Löschfristen überwacht, wer Löschungen technisch ausführt und wer das Protokoll führt. Ein Löschprotokoll mit Datum, Datensatz und Rechtsgrundlage der Löschung erleichtert spätere Nachweise gegenüber Aufsichtsbehörden.
Prüfliste
- Löschfristen für jede Datenart schriftlich festgelegt
- Handels- und steuerrechtliche Aufbewahrungspflichten geprüft und dokumentiert
- Einwilligungsnachweise getrennt von den eigentlichen Werbedaten aufbewahrt
- Sperrliste für Widersprüche und Abmeldungen eingerichtet und datensparsam gestaltet
- Verantwortliche Person für Löschprozesse benannt
- Löschprotokoll eingeführt und regelmäßig kontrolliert
- Dublettenabgleich und Datenqualitätsprüfung terminiert
Häufige Fragen
Müssen wir alle CRM-Daten nach Vertragsende sofort löschen?
Nein, handels- und steuerrechtliche Aufbewahrungspflichten gehen vor. Erst nach Ablauf dieser Fristen besteht keine rechtliche Grundlage mehr für die Speicherung.
Wie lange müssen Einwilligungsnachweise aufbewahrt werden?
Solange die Einwilligung für Werbung genutzt wird und solange Ansprüche drohen können. Für Telefonwerbung nennt § 7a UWG konkret fünf Jahre.
Was gehört auf eine Sperrliste?
Nur die Daten, die nötig sind, um eine erneute Ansprache zu verhindern, meist E-Mail-Adresse oder Telefonnummer sowie Datum und Grund der Sperrung.
Wie oft sollte die Datenqualität im CRM geprüft werden?
Ein fester Rhythmus, etwa vierteljährlich oder halbjährlich, hat sich in der Praxis bewährt, abhängig von der Größe und Dynamik des Datenbestands.
Wer ist für Löschungen im Unternehmen verantwortlich?
Das sollte im Löschkonzept klar benannt sein, meist eine Person aus CRM- oder Datenschutzverantwortung, die Fristen überwacht und Löschungen veranlasst.
Quellen
- UWG § 7a Dokumentationspflicht bei Telefonwerbung www.gesetze-im-internet.de
- HGB § 257 Aufbewahrung von Unterlagen www.gesetze-im-internet.de
- AO § 147 Ordnungsvorschriften für die Aufbewahrung von Unterlagen www.gesetze-im-internet.de