Ein Kundendatenbestand ist per Definition eine Sammlung personenbezogener Daten – jedes CRM ist damit das datenschutzrelevante System im Unternehmen. Die entscheidende Frage lautet deshalb nicht, ob die DSGVO Ihr CRM betrifft, sondern ob Ihre Software Sie dabei unterstützt oder im Weg steht. Der Rahmen ist bekannt: Bei schwerwiegenden Verstößen sieht Art. 83 Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor – je nachdem, welcher Betrag höher ist.
Ein Argument, das in der Praxis oft übersehen wird: Eine zentrale Datenbank ist selbst schon ein Datenschutzvorteil. Wer Kundendaten über Excel-Listen, Outlook-Ordner und drei Fachsysteme verteilt hat, bekommt eine Auskunft nach Art. 15 kaum binnen eines Monats zusammen. Wer alles in einem System hat, drückt einen Knopf.
Bei cobra ist das aus unserer Sicht ein echtes Alleinstellungsmerkmal: Datenschutzfunktionen wurden nicht nachträglich angeflanscht, sondern über Jahre als Produktbestandteil entwickelt – vom deutschen Hersteller, mit der Möglichkeit, alles im eigenen Haus zu betreiben.
Die Pflichten und ihre Funktionen
Auskunft erteilen (Art. 15)
Die Pflicht: Auf Anfrage müssen Sie bestätigen, ob Sie Daten einer Person verarbeiten – und dann vollständig informieren: welche Daten, zu welchem Zweck, an wen weitergegeben, wie lange gespeichert, aus welcher Quelle. Die erste Kopie ist kostenlos, das Format bei elektronischer Anfrage ebenfalls elektronisch.
Die Funktion: Das Modul cobra Datenschutz sammelt zu einer Adresse alle personenbezogenen Daten auf einen Blick. Sie wählen aus, was die Auskunft enthalten soll, und geben sie als PDF oder CSV aus – versandfertig per E-Mail oder Brief. Kein Zusammensuchen aus Tabellen, kein Excel-Bastelwerk.
Fristen einhalten (Art. 12)
Die Pflicht: Antwort innerhalb eines Monats nach Antragseingang. Verlängerung um bis zu zwei weitere Monate ist möglich – aber die Verlängerung selbst müssen Sie innerhalb des ersten Monats mitteilen. Werden Sie nicht tätig, müssen Sie das ebenfalls binnen eines Monats begründen und auf Beschwerde- und Klagemöglichkeiten hinweisen.
Die Funktion: Für jede dieser Standardsituationen legen Sie einmalig eine rechtskonforme Brief- oder Mailvorlage an. Danach ist der Vorgang ein Zwei-Klick-Thema: Adresse aufrufen, Vorlage auswählen, versenden. Über die Zeitsteuerung lässt sich der Versand sogar terminieren – hilfreich bei den Informationsfristen für Daten aus Drittquellen.
Ein schöner Nebeneffekt: Können Sie eine Person nicht identifizieren, dürfen Sie die Auskunft verweigern (Art. 12 Abs. 2). Ein leeres Ergebnis der Volltextsuche über alle relevanten Tabellen ist dafür der Nachweis.
Zweck und Speicherdauer dokumentieren (Art. 13, 14, 15)
Die Pflicht: Betroffene müssen wissen, warum Sie ihre Daten speichern und wie lange. Ändert sich der Zweck, müssen Sie vorher informieren.
Die Funktion: In cobra pflegen Sie Verarbeitungszwecke und Speicherdauer direkt an der Adresse – nicht global in einem Dokument, sondern datensatzgenau. Das ist der Mechanismus, der gleich drei Artikel bedient: Informationspflicht bei Erhebung, Informationspflicht bei Drittdaten und Auskunftsrecht.
Herkunft und Weitergaben nachweisen (Art. 14, 15)
Die Pflicht: Woher stammen die Daten (wenn nicht vom Betroffenen selbst)? Und an wen haben Sie sie weitergegeben?
Die Funktion: cobra dokumentiert die Herkunft/Quelle personenbezogener Daten (eigenes Register im Datenschutz-Dialog) und protokolliert Datenweitergaben – auswertbar und selektierbar. Beim Export lässt sich sogar eine Abfrage des Exportgrunds aktivieren: cobra prüft, ob eine Weitergabe erlaubt ist, und dokumentiert sie samt Grund und Empfänger. Wer Adressen zukauft oder Teilnehmerlisten herausgibt, braucht genau das – zumal Herkunft und Empfänger bei Datenweitergaben zwei Jahre vorgehalten werden müssen.
Ehrlich gesagt: Hier liegt die Grenze jeder Software. Das Protokoll kann nur ausgeben, was vorher gepflegt wurde. Die konsequente Pflege von Quellen und Weitergabezielen ist Disziplin, keine Funktion – aber cobra macht sie so einfach, dass sie realistisch durchhaltbar ist. Genau daran arbeiten wir in der Einrichtung mit Ihnen.
Löschen – und gelöscht bleiben (Art. 17)
Die Pflicht: Daten müssen gelöscht werden, wenn der Zweck entfällt oder die Einwilligung widerrufen wird.
Die Funktion: Der Löschplan versieht Daten mit einem Löschdatum und listet alle anstehenden Löschungen in zeitlicher Reihenfolge auf – so geht keine Frist unter. In den größeren Editionen läuft die Löschung automatisiert und zeitgesteuert, inklusive Vorwarn-E-Mail einige Tage vorher und einer Historie, die dokumentiert, wer ein Löschdatum wann und warum geändert hat.
Zwei Funktionen werden dabei oft verwechselt, obwohl sie Verschiedenes tun:
- Die E-Mail-Blacklist verhindert den Versand an eine gesperrte Adresse.
- Die cobra Sperrliste verhindert die Wiederanlage: Bei Neuanlage oder Import prüft cobra gegen die hinterlegten Merkmale gelöschter Datensätze und warnt – auf Wunsch wird die Übernahme ganz unterbunden. Das löst das klassische Wiederauferstehungs-Problem, an dem in der Praxis die meisten Löschkonzepte scheitern.
Mehr dazu im Beitrag Löschkonzept in cobra.
Anträge fristgerecht abarbeiten (Art. 12)
Die Pflicht: Betroffenenanträge sind organisatorisch das eigentliche Risiko – nicht, weil sie schwierig wären, sondern weil sie im Alltag untergehen und die Monatsfrist unbemerkt verstreicht.
Die Funktion: Eingehende Anträge lassen sich als Kampagne mit Workflow abbilden: Der Antrag wird dem zuständigen Mitarbeiter zugewiesen, automatisierte Erinnerungen greifen nach einer internen Frist (etwa drei Tagen), und bei Fristablauf wird auf Wunsch der Datenschutzbeauftragte automatisch informiert. Die Auswertung der Kampagne zeigt jederzeit, wie viele Anträge offen sind und wo sie stehen – genau der Nachweis, den die Rechenschaftspflicht verlangt.
Berichtigen (Art. 16)
Die Pflicht: Falsche Daten korrigieren – unverzüglich. Und zwar sofort.
Die Funktion: Die schlichteste Antwort der ganzen Liste: Adressmaske öffnen, korrigieren, speichern. Wichtig ist hier eher das Drumherum – protokollierte Änderungen und eine saubere Feldstruktur, damit die Korrektur überall greift.
Einwilligungen einholen und beweisen (Art. 7)
Die Pflicht: Werbung per E-Mail braucht eine nachweisbare Einwilligung – mit Zeitstempel, damit belegbar ist, dass sie vor dem Versand vorlag.
Die Funktion: cobra unterstützt das Double-Opt-in-Verfahren inklusive Web-Frontend für Newsletter- und Downloadverwaltung. Die E-Mail-Blacklist stoppt Werbung an Abgemeldete; bei angebundenen Newsletter-Systemen fließen Abmeldungen automatisch zurück. Wer cobra FORMS nutzt, bekommt die Einwilligungs-Checkbox als fertigen Feldtyp.
Überblick behalten
Für Verantwortliche gibt es das Datenschutz-Cockpit: Dashboards mit Drill-Down zum Status Ihrer Daten – wie viele Datensätze haben einen Sperrvermerk, wo fehlen Zwecke, was steht zur Löschung an. In den größeren Tarifen kommt der Audit-Trail dazu, der Änderungen lückenlos nachvollziehbar macht.
In welcher Version steckt was?
Datenschutz-Grundfunktionen – Sperrvermerke, Blacklist, Kennzeichnung personenbezogener Daten, Protokolle – sind in allen cobra Linien enthalten, von ADRESS PLUS bis One Max. Die automatisierte Löschung mit Warnmail war in der Classic-Welt den Versionen CRM PRO und CRM BI vorbehalten; in der neuen Tarifwelt gibt es den DSGVO-Löschplan mit Audit-Trail ab cobra One Grow. Der Tarifvergleich zeigt die Details.
Und die Betriebsart?
Nicht zu unterschätzen: cobra läuft On-Premise auf Ihrem eigenen Server – dann verlassen die Daten Ihr Haus überhaupt nicht, und die Vertragskette der Auftragsverarbeitung bleibt kurz. Wer die deutsche cobra Cloud wählt, bleibt immerhin im Geltungsbereich der DSGVO, mit AV-Vertrag und deutschem Rechenzentrum. Beides ist ein Unterschied zu Systemen, bei denen die Frage „Wo liegen meine Daten eigentlich?" nur mit einem Achselzucken zu beantworten ist.
Wir richten das ein. Von der Kennzeichnung personenbezogener Felder über den Löschplan bis zu den Auskunftsvorlagen: Wie ein solches Projekt abläuft, steht auf der Seite DSGVO-Beratung & Einrichtung. Den Überblick über Ihre Pflichten gibt die DSGVO-Checkliste.