--- title: 'DSGVO im CRM: Von der Pflicht zur Funktion' url: 'https://www.p17-crm.de/wissen/dsgvo-im-crm' markdown: 'https://www.p17-crm.de/wissen/dsgvo-im-crm.md' lang: de date: '2026-10-16' description: 'Welche cobra Funktion erfüllt welche DSGVO-Pflicht? Auskunft, Löschplan, Sperrvermerke und Sperrliste im Überblick, und was Sie selbst pflegen müssen.' --- Software & Systeme · Wissen # DSGVO im CRM: Von der Pflicht zur Funktion Jedes CRM ist eine Sammlung personenbezogener Daten und damit das datenschutzrelevante System im Unternehmen. cobra bringt für die wichtigsten DSGVO-Pflichten fertige Funktionen mit: Auskunftsdatei, Löschplan, Sperrvermerke, Sperrliste und Protokolle. Diese Seite ordnet jeder Pflicht die passende Funktion zu und sagt, wo die Grenzen der Software liegen. [DSGVO-Einrichtung anfragen ](#kontakt) [ +49 2562 18749-70](tel:+4925621874970) ## Warum das CRM das wichtigste System für den Datenschutz ist Ein Kundendatenbestand ist per Definition eine Sammlung personenbezogener Daten, und damit ist jedes CRM **das** datenschutzrelevante System im Unternehmen. Die entscheidende Frage lautet deshalb nicht, *ob* die DSGVO Ihr CRM betrifft, sondern ob Ihre Software Sie dabei unterstützt oder im Weg steht. Der Rahmen ist bekannt: Bei schwerwiegenden Verstößen sieht Art. 83 DSGVO Bußgelder von **bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes** vor, je nachdem, welcher Betrag höher ist. Ein Argument wird in der Praxis oft übersehen: **Eine zentrale Datenbank ist selbst schon ein Datenschutzvorteil.** Wer Kundendaten über Excel-Listen, Outlook-Ordner und drei Fachsysteme verteilt hat, bekommt eine Auskunft nach Art. 15 kaum binnen eines Monats zusammen. Wer alles in einem System hat, erstellt sie in wenigen Minuten. Bei cobra kommt hinzu, dass die Datenschutzfunktionen nicht nachträglich angebaut, sondern über Jahre als Produktbestandteil entwickelt wurden. Schon ADRESS PLUS enthält seit der Version 2018 ein eigenes Datenschutz-Modul, und alles lässt sich [im eigenen Haus betreiben](https://www.p17-crm.de/wissen/cloud-oder-on-premise). ## Die Pflichten und ihre Funktionen Für jede zentrale Pflicht der DSGVO gibt es in cobra eine passende Funktion. Die folgenden Abschnitte nennen jeweils zuerst die Pflicht, dann die Funktion. ### Auskunft erteilen (Art. 15) **Die Pflicht:** Auf Anfrage müssen Sie bestätigen, ob Sie Daten einer Person verarbeiten, und dann vollständig informieren: welche Daten, zu welchem Zweck, an wen weitergegeben, wie lange gespeichert, aus welcher Quelle. Die erste Kopie ist kostenlos; kommt die Anfrage elektronisch, antworten Sie in einem gängigen elektronischen Format. **Die Funktion:** Das Modul **cobra Datenschutz** sammelt zu einer Adresse alle personenbezogenen Daten auf einen Blick. Sie wählen aus, was die Auskunft enthalten soll, und geben sie als **PDF oder CSV** aus, versandfertig per E-Mail oder Brief. Kein Zusammensuchen aus Tabellen. Wie ein Auskunftsersuchen in der Praxis abläuft, beschreibt der Beitrag [Das Auskunftsersuchen](https://www.p17-crm.de/blog/dsgvo-auskunftsersuchen). ### Fristen einhalten (Art. 12) **Die Pflicht:** Sie antworten **innerhalb eines Monats** nach Eingang des Antrags. Eine Verlängerung um bis zu zwei weitere Monate ist möglich, die Verlängerung selbst müssen Sie aber innerhalb des ersten Monats mitteilen und begründen. Werden Sie nicht tätig, müssen Sie auch das binnen eines Monats begründen und auf Beschwerde- und Klagemöglichkeiten hinweisen. **Die Funktion:** Für jede dieser Standardsituationen legen Sie **einmal eine Brief- oder Mailvorlage** an, deren Wortlaut Sie mit Ihrem Datenschutzbeauftragten abstimmen. Danach ist der Vorgang schnell erledigt: Adresse aufrufen, Vorlage auswählen, versenden. Über die **Zeitsteuerung** lässt sich der Versand terminieren, hilfreich bei den Informationsfristen für Daten aus fremden Quellen. Finden Sie zu einer Person keine Daten, antworten Sie trotzdem fristgerecht mit einer Negativauskunft. Eine dokumentierte Volltextsuche über alle relevanten Tabellen hilft, das später zu belegen. Haben Sie begründete Zweifel, ob die anfragende Person die ist, für die sie sich ausgibt, dürfen Sie zusätzliche Angaben zur Identität verlangen (Art. 12 Abs. 6). ### Zweck und Speicherdauer dokumentieren (Art. 13, 14, 15) **Die Pflicht:** Betroffene müssen wissen, **warum** Sie ihre Daten speichern und **wie lange**. Ändert sich der Zweck, müssen Sie vorher informieren. **Die Funktion:** In cobra pflegen Sie **Verarbeitungszwecke und Speicherdauer direkt an der Adresse**, nicht global in einem Dokument, sondern für jeden Datensatz. Dieser Mechanismus bedient gleich drei Artikel: die Informationspflicht bei der Erhebung, die Informationspflicht bei Daten aus anderen Quellen und das Auskunftsrecht. ### Herkunft und Weitergaben nachweisen (Art. 14, 15) **Die Pflicht:** Woher stammen die Daten, wenn nicht von der Person selbst? Und an wen haben Sie sie weitergegeben? Ohne diese Angaben können Sie eine Auskunft nach Art. 15 Abs. 1 Buchstabe c und g nicht vollständig erteilen. **Die Funktion:** cobra dokumentiert die **Herkunft personenbezogener Daten** in einem eigenen Register im Datenschutz-Dialog und **protokolliert Datenweitergaben**, auswertbar und selektierbar. Beim Export lässt sich eine **Abfrage des Exportgrunds** aktivieren: cobra prüft, ob eine Weitergabe erlaubt ist, und dokumentiert sie samt Grund und Empfänger. Wer [Firmenadressen zukauft](https://www.p17-crm.de/leistungen/firmenadressen) oder Teilnehmerlisten an Dienstleister gibt, braucht genau das. > **Ehrlich gesagt:** Hier liegt die Grenze jeder Software. Das Protokoll kann nur ausgeben, was vorher gepflegt wurde. **Die konsequente Pflege von Quellen und Weitergabezielen ist Disziplin, keine Funktion.** cobra macht sie aber so einfach, dass sie im Alltag durchhaltbar ist. Genau daran arbeiten wir in der [Einrichtung](https://www.p17-crm.de/leistungen/einrichtung-optimierung) mit Ihnen. ### Werbung stoppen, ohne zu löschen (Art. 21) **Die Pflicht:** Widerspricht eine Person der Werbung, dürfen Sie ihre Daten dafür nicht mehr verwenden (Art. 21 Abs. 3). Löschen können Sie den Datensatz trotzdem oft nicht, etwa weil Rechnungen oder Garantieansprüche Aufbewahrungsfristen auslösen. Dann nutzen Sie die Daten nur noch für diesen Zweck. **Die Funktion:** **Sperrvermerke** halten je Kontaktweg fest, was nicht mehr erlaubt ist: E-Mail, Anruf oder Brief. Technisch sind das Ja/Nein-Felder in der Adresstabelle, die Sie in jeder Recherche für Mailings und Telefonaktionen ausschließen. Zusätzlich gibt es den Dialog *Sperrvermerke bearbeiten*: Ist ein Sperrvermerk gesetzt, warnt cobra bei jeder Änderung an den personenbezogenen Daten und zeigt den Vermerk in der Adressbearbeitung an. Die **E-Mail-Blacklist** schließt einzelne Empfänger oder ganze Domains vom Versand aus; sie wird zentral von der Systemverwaltung gepflegt. Das Video am Ende dieser Seite stammt aus unserer kostenlosen Schulung zu diesem Thema. Es zeigt, wie Sie die Sperrvermerksfelder für E-Mail, Anruf und Brief in der Datenbankstruktur anlegen und wie die Blacklist in cobra arbeitet. ### Löschen und gelöscht bleiben (Art. 17) **Die Pflicht:** Daten müssen gelöscht werden, wenn der Zweck entfällt oder die Einwilligung widerrufen wird. Prüfen Sie vorher, ob Aufbewahrungsfristen entgegenstehen. **Die Funktion:** Der **Löschplan** versieht Daten mit einem Löschdatum und listet alle anstehenden Löschungen in zeitlicher Reihenfolge auf, so geht keine Frist unter. In den größeren Versionen läuft die Löschung **automatisiert und zeitgesteuert**, mit einer Vorwarn-E-Mail einige Tage vorher und einer Historie, die dokumentiert, wer ein Löschdatum wann und warum geändert hat. Zwei Funktionen werden dabei oft verwechselt, obwohl sie Verschiedenes tun: - Die **E-Mail-Blacklist** verhindert den **Versand** an eine gesperrte Adresse. - Die **cobra Sperrliste** verhindert die **Wiederanlage**: Bei Neuanlage oder Import prüft cobra gegen die hinterlegten Merkmale gelöschter Datensätze und warnt; auf Wunsch wird die Übernahme ganz unterbunden. Das löst das klassische Problem, an dem in der Praxis die meisten Löschkonzepte scheitern: die gelöschte Adresse, die mit der nächsten Messeliste zurückkommt. Mehr dazu im Beitrag [Löschkonzept in cobra](https://www.p17-crm.de/blog/dsgvo-loeschkonzept-cobra). ### Anträge fristgerecht abarbeiten (Art. 12) **Die Pflicht:** Betroffenenanträge sind organisatorisch das eigentliche Risiko. Nicht, weil sie schwierig wären, sondern weil sie im Alltag untergehen und die Monatsfrist unbemerkt verstreicht. **Die Funktion:** Eingehende Anträge lassen sich als **Kampagne mit Workflow** abbilden. Der Antrag wird der zuständigen Person zugewiesen, automatische Erinnerungen greifen nach einer **internen Frist**, etwa nach drei Tagen, und bei Fristablauf wird auf Wunsch der Datenschutzbeauftragte informiert. Die Auswertung der Kampagne zeigt jederzeit, wie viele Anträge offen sind und wo sie stehen. Das ist genau der Nachweis, den die Rechenschaftspflicht verlangt. ### Berichtigen (Art. 16) **Die Pflicht:** Falsche Daten müssen Sie unverzüglich korrigieren. **Die Funktion:** Das ist die schlichteste Antwort der ganzen Liste: Adressmaske öffnen, korrigieren, speichern. Wichtig ist das Drumherum: protokollierte Änderungen und eine [saubere Feldstruktur](https://www.p17-crm.de/wissen/cobra-datenbankstruktur), damit die Korrektur überall greift. ### Einwilligungen einholen und beweisen (Art. 7) **Die Pflicht:** Werbung per E-Mail braucht in der Regel eine Einwilligung, und die müssen Sie nachweisen können, mit Zeitstempel, damit belegbar ist, dass sie *vor* dem Versand vorlag. Welche Regeln je Kanal gelten, erklärt der Beitrag [Werbeeinwilligung](https://www.p17-crm.de/blog/werbeeinwilligung-dsgvo). **Die Funktion:** cobra unterstützt das **Double-Opt-in-Verfahren**, inklusive Web-Frontend für die Verwaltung von Newsletter-Anmeldungen und Downloads. Die **E-Mail-Blacklist** stoppt Werbung an Abgemeldete; bei angebundenen [Newsletter-Systemen](https://www.p17-crm.de/erweiterungen/newsletter-schnittstellen) fließen Abmeldungen automatisch zurück. Wer [cobra FORMS](https://www.p17-crm.de/erweiterungen/cobra-forms) nutzt, bekommt die Einwilligungs-Checkbox als fertigen Feldtyp. ### Überblick behalten Für Verantwortliche gibt es das **Datenschutz-Cockpit**: Dashboards mit Drill-Down zum Status Ihrer Daten. Sie sehen, wie viele Datensätze einen Sperrvermerk haben, wo Zwecke fehlen und was zur Löschung ansteht. In den größeren Tarifen kommt ein **Audit-Trail** dazu, der Änderungen lückenlos nachvollziehbar macht. ## In welcher Version steckt was? Die Grundfunktionen für den Datenschutz stecken in **allen** cobra Linien, von [ADRESS PLUS](https://www.p17-crm.de/cobra-klassik/cobra-adress-plus) bis [One Max](https://www.p17-crm.de/cobra-one/cobra-one-max): Sperrvermerke, Blacklist, Kennzeichnung personenbezogener Daten und Protokolle. Die **automatisierte, zeitversetzte Löschung mit Warnmail** war in der Classic-Welt den Versionen [CRM PRO](https://www.p17-crm.de/cobra-klassik/cobra-crm-pro) und [CRM BI](https://www.p17-crm.de/cobra-klassik/cobra-crm-bi) vorbehalten. In der neuen Tarifwelt gibt es den automatisierten DSGVO-Löschplan ab [cobra One Grow](https://www.p17-crm.de/cobra-one/cobra-one-grow). Welche Tarife den Audit-Trail enthalten, zeigt der [Tarifvergleich](https://www.p17-crm.de/cobra-one/tarifvergleich). ## Welche Rolle die Betriebsart spielt Die Betriebsart bestimmt, wie lang die Vertragskette beim Datenschutz wird. Läuft cobra **On-Premise auf Ihrem eigenen Server**, verlassen die Daten Ihr Haus nicht, und die Kette der [Auftragsverarbeitung](https://www.p17-crm.de/wissen/dsgvo-checkliste) bleibt kurz. Wer die cobra CRM Cloud wählt, bleibt mit Hosting in Deutschland und Vertrag zur Auftragsverarbeitung im Geltungsbereich der DSGVO. Beides ist ein Unterschied zu Systemen, bei denen die Frage „Wo liegen meine Daten eigentlich?“ nur mit einem Achselzucken beantwortet wird. ## So richten wir die Funktionen mit Ihnen ein Die Datenschutzfunktionen von cobra sind vorhanden, müssen aber auf Ihr Unternehmen angepasst werden; erst die Einrichtung macht sie im Alltag nutzbar. Von der Kennzeichnung personenbezogener Felder über den Löschplan und die Sperrvermerke bis zu den Auskunftsvorlagen setzen wir das in Ihrer Datenbank um. Wie ein solches Projekt abläuft, steht auf der Seite [DSGVO in cobra einrichten](https://www.p17-crm.de/leistungen/dsgvo-beratung). Den Überblick über Ihre Pflichten gibt die [DSGVO-Checkliste](https://www.p17-crm.de/wissen/dsgvo-checkliste). Hinweis **Wichtiger Hinweis:** Diese Seite erklärt, wie sich DSGVO-Anforderungen mit cobra technisch umsetzen lassen. Sie stellt **keine Rechtsberatung** dar. Ob und wie eine Pflicht in Ihrem Fall gilt, klären Sie mit Ihrem Datenschutzbeauftragten oder einer Fachanwältin oder einem Fachanwalt. Stand: Oktober 2026. Kostenlose Schulung zum Thema Sperrvermerke und Blacklists in cobra Kostenlose Schulung zum Thema Sperrvermerke und Blacklists in cobra Das Video wird erst nach Klick von YouTube geladen. Hinweise dazu in der [Datenschutzerklärung](https://www.p17-crm.de/datenschutz). ## Häufige Fragen Gilt die DSGVO auch für Firmenadressen? Für reine Firmendaten wie Firmenname, Geschäftsanschrift und Zentrale nicht, für Ansprechpartner schon. Name, Durchwahl und eine persönliche E-Mail-Adresse nach dem Muster „vorname.nachname@firma“ sind personenbezogene Daten. Vorsicht bei Einzelunternehmen: Dort ist oft schon der Firmenname ein Personenname. Die Trennung in [Haupt- und Nebenadressen](https://www.p17-crm.de/wissen/cobra-datenbankstruktur) hilft, weil das Personenbezogene dann gesammelt in den Nebenadressen liegt. Darf ich gelöschte Adressen in einer Sperrliste behalten? In sparsamer Form in der Regel ja, denn nur so können Sie verhindern, dass eine gelöschte Person beim nächsten Import wieder auftaucht. Speichern Sie nur die Merkmale, die zum Wiedererkennen nötig sind, etwa die E-Mail-Adresse, und dokumentieren Sie den Zweck. Wie das in cobra eingerichtet wird, zeigt der Beitrag [Löschkonzept in cobra](https://www.p17-crm.de/blog/dsgvo-loeschkonzept-cobra); die Bewertung im Einzelfall gehört zu Ihrem Datenschutzbeauftragten. Wer haftet, wenn im CRM ein Datenschutzverstoß passiert? In erster Linie Ihr Unternehmen als Verantwortlicher, nicht der Softwarehersteller. Dienstleister, die in Ihrem Auftrag Daten verarbeiten, haften nach Art. 82 Abs. 2 DSGVO nur für eigene Pflichtverletzungen, etwa wenn sie gegen Ihre Weisungen handeln. Umso wichtiger sind eingerichtete Funktionen und ein dokumentierter Ablauf; welche Verträge Sie mit Dienstleistern brauchen, zeigt die [DSGVO-Checkliste](https://www.p17-crm.de/wissen/dsgvo-checkliste). Weiterführend ## Das könnte Sie auch interessieren ### DSGVO-Einrichtung Löschplan, Sperrliste, Auskunftsvorlagen, Verarbeitungszwecke: Wir richten die cobra Datenschutzfunktionen so ein, dass sie im Alltag tragen. [DSGVO-Einrichtung ansehen ](https://www.p17-crm.de/leistungen/dsgvo-beratung) ### DSGVO-Checkliste Verarbeitungsverzeichnis, Gap-Analyse, Datenschutzbeauftragter, Auftragsverarbeitung, Drittlandtransfer: die Arbeitshilfe für CRM-Anwender, Stand 202… [DSGVO-Checkliste ansehen ](https://www.p17-crm.de/wissen/dsgvo-checkliste) ### DSGVO-Löschkonzept Der Klassiker: gelöschte Adressen kehren beim nächsten Import zurück. Wie die cobra Sperrliste das verhindert und ein Löschplan aussieht, der wirklic… [DSGVO-Löschkonzept ansehen ](https://www.p17-crm.de/blog/dsgvo-loeschkonzept-cobra) ### Auskunftsersuchen Was eine Auskunft nach Art. 15 enthalten muss, welche Fristen gelten – und wie die Auskunftsdatei in cobra per Knopfdruck entsteht. [Auskunftsersuchen ansehen ](https://www.p17-crm.de/blog/dsgvo-auskunftsersuchen) ### Werbeeinwilligung Brief, Telefon, E-Mail, Fax: für jeden Kanal andere Regeln. Was in eine wirksame Einwilligung gehört und wie Sie sie beweisbar dokumentieren. [Werbeeinwilligung ansehen ](https://www.p17-crm.de/blog/werbeeinwilligung-dsgvo) Kontakt ## DSGVO-Einrichtung anfragen Rufen Sie an oder schreiben Sie uns kurz, worum es geht. Wir melden uns in der Regel innerhalb eines Werktags. Direkt sprechen![Benjamin Beloch, Geschäftsführer](https://www.p17-crm.de/images/c/8/a/1/8/c8a18f2cae87cd0093f6e3d4ddf235ce8a89b7f8-benjamin-beloch.jpg)**Benjamin Beloch**Geschäftsführer [ +49 2562 18749-70](tel:+4925621874970)Mo–Do 8–17 Uhr, Fr 8–16 Uhr - [ info@p17-crm.de](mailto:info@p17-crm.de) 1. **Sie rufen an oder schreiben**Ein paar Sätze genügen. 2. **Wir melden uns**In der Regel innerhalb eines Werktags, persönlich. 3. **Erstgespräch**Danach entscheiden Sie, ob und wie es weitergeht. --- ## Navigation - Parent: [Wissen rund um cobra: verständlich statt vertrieblich](https://www.p17-crm.de/wissen.md) - Previous: [Häufige Fragen zu cobra, ehrlich beantwortet](https://www.p17-crm.de/wissen/faq.md) - Next: [DSGVO-Checkliste für Ihr CRM: die fünf Prüfbereiche](https://www.p17-crm.de/wissen/dsgvo-checkliste.md)