Kundendaten im CRM: Integration mit dem Shop und Datenschutz

Ein Shop erhebt Kundendaten, damit eine Bestellung zustande kommt. Ein CRM führt sie weiter, damit Rückfragen, Reklamationen und spätere Käufe schneller gehen. Dazwischen liegt eine Weiterverarbeitung, und für sie gilt nicht der Umfang des Exports, sondern der Zweck jeder einzelnen Angabe.

Worauf es bei der Übernahme ankommt

Zwei Fragen entscheiden über jedes Feld: Wofür wurde es erhoben, und wofür soll es im CRM stehen? Die Antworten müssen nicht gleich lauten, aber vereinbar sein. Personendaten dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben und nicht in einer damit nicht zu vereinbarenden Weise weiterverarbeitet werden (Deutschland und Österreich: Art. 5 Abs. 1 Buchst. b DSGVO). Wollen Sie aus Bestelldaten ein Werbesegment bauen, ist das ein weiterer Zweck: Prüfen Sie die Vereinbarkeit nach Art. 6 Abs. 4 DSGVO und stützen Sie die Werbeverarbeitung auf eine eigene Rechtsgrundlage, die Einwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO oder das berechtigte Interesse nach Art. 6 Abs. 1 Buchst. f DSGVO.

In der Schweiz liegt die Grenze beim erkennbaren Zweck: Personendaten dürfen nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft und nur so bearbeitet werden, dass es mit diesem Zweck vereinbar ist (Art. 6 Abs. 3 DSG); für Daten über Vertragspartner in unmittelbarem Zusammenhang mit Abschluss oder Abwicklung eines Vertrags sieht Art. 31 Abs. 2 Buchst. a DSG ein überwiegendes Interesse vor. Ein Werbesegment aus denselben Daten braucht auch dort einen Rechtfertigungsgrund nach Art. 31 Abs. 1 DSG; der Widerspruch nach Art. 21 DSGVO gilt für die ausschliesslich schweizerische Verarbeitung nicht.

Ein zweiter Punkt ist die Menge. Was Sie übernehmen dürfen, dürfen Sie nicht deshalb vollständig übernehmen: Erhebung und Voreinstellung sind auf das für den Zweck notwendige Maß beschränkt (Deutschland und Österreich: Art. 5 Abs. 1 Buchst. c und Art. 25 Abs. 2 DSGVO; Schweiz: Art. 6 Abs. 2 und Art. 7 Abs. 3 DSG).

Welche Felder Sie übernehmen dürfen

Die Tabelle ordnet die Felder, die ein Shop beim Kaufabschluss erhebt. „Ohne eigene steuerliche Frist“ heißt: für dieses Feld selbst greift keine der hier geöffneten Aufbewahrungsvorschriften. Steht die Angabe aber in einem Handels- oder Geschäftsbrief oder in einer sonstigen Unterlage, die für die Besteuerung oder die Abgabenerhebung von Bedeutung ist, trägt diese Unterlage die Frist (Deutschland: sechs Jahre, § 147 Abs. 1 Nr. 2, 3 und 5, Abs. 3 AO; Österreich: sieben Jahre als Soll-Vorschrift, § 132 Abs. 1 BAO). Sonst entscheidet die Speicherbegrenzung.

Feld	Zweck im CRM	Rechtsgrundlage	Aufbewahrung und Löschung
Name, Anschrift, E-Mail, bestellte Artikel	Bestellung abwickeln, Rechnung stellen, Rückfragen beantworten	Deutschland und Österreich: Art. 6 Abs. 1 Buchst. b DSGVO; Schweiz: Art. 31 Abs. 2 Buchst. a DSG	Buchungsbelege acht Jahre (Deutschland, § 147 Abs. 3 AO), sieben Jahre (Österreich, § 132 Abs. 1 BAO), zehn Jahre bei Buchführungspflicht (Schweiz, Art. 958f Abs. 1 OR)
Rechnungsnummer, Steuerbetrag, Zahlungsstatus	Buchhaltung und Belegnachweis	Deutschland und Österreich: Art. 6 Abs. 1 Buchst. b und c DSGVO; Schweiz: Art. 31 Abs. 2 Buchst. a DSG	wie oben; die Frist ist eine Mindestfrist und trägt keine Werbenutzung
Abweichende Lieferadresse und Empfänger	Zustellung der Sendung, Rückfragen zur Lieferung	wie bei den Bestelldaten	ohne eigene steuerliche Frist; löschen Sie die Angabe nach abgeschlossener Zustellung, soweit sie nicht in einem aufzubewahrenden Geschäftsbrief oder Beleg steht und kein Abwicklungs- oder Nachweiszweck sie weiter trägt
Telefonnummer	Rückfrage zur laufenden Bestellung	Deutschland und Österreich: Art. 6 Abs. 1 Buchst. b DSGVO, wenn die Abwicklung sie verlangt, sonst Buchst. a oder f; Schweiz: Art. 31 DSG	ohne eigene steuerliche Frist; löschen, sobald die Rückfrage abgeschlossen ist und kein weiterer Abwicklungs- oder Nachweiszweck sie trägt
Reklamations- und Retourenvorgang (Nummer, Betrag, Gutschrift)	Reklamation und Gewährleistung bearbeiten	Deutschland und Österreich: Art. 6 Abs. 1 Buchst. b DSGVO; Schweiz: Art. 31 Abs. 2 Buchst. a DSG	ohne eigene steuerliche Frist; ein darin enthaltener Buchungsbeleg bleibt nach der Steuerfrist, im Übrigen löschen, sobald der Vorgang keine Nachweisfunktion mehr hat
Konto- und Anmeldedaten (Kennung, Hashwert des Kennworts)	Zugang zum Kundenkonto	Deutschland und Österreich: Art. 6 Abs. 1 Buchst. b DSGVO; Schweiz: Art. 31 Abs. 2 Buchst. a DSG	ohne eigene steuerliche Frist; mit der Kontolöschung löschen, soweit keine Aufbewahrungspflicht und kein Anspruchsnachweis entgegensteht
Zahlungsreferenz des Zahlungsdienstleisters	Zahlung und Rückerstattung zuordnen	wie bei den Bestelldaten	ohne eigene steuerliche Frist, soweit die Angabe kein Buchungsbeleg ist; löschen, sobald die Zuordnung nicht mehr gebraucht wird
Newsletter-Anmeldung mit Zeitpunkt und Wortlaut	Werbe-E-Mails senden	Deutschland und Österreich: Art. 6 Abs. 1 Buchst. a und Art. 7 Abs. 1 DSGVO; Schweiz: Art. 6 Abs. 6 DSG	bis zum Widerruf; danach löschen, soweit keine andere Rechtsgrundlage, keine Aufbewahrungspflicht und kein Anspruchsnachweis bleibt (Deutschland und Österreich: Art. 17 Abs. 1 Buchst. b und Abs. 3 DSGVO; Schweiz: Art. 6 Abs. 4 DSG)
Kaufhistorie und Kundensegment für Werbung	Werbung an bestehende Kundschaft	Deutschland und Österreich: Art. 6 Abs. 1 Buchst. f DSGVO; Schweiz: Art. 31 Abs. 1 DSG	bis zum Widerspruch, längstens so lange der Zweck und die Interessenabwägung die Speicherung tragen (Deutschland und Österreich: Art. 5 Abs. 1 Buchst. e, Art. 6 Abs. 1 Buchst. f, Art. 21 Abs. 2 und 3 DSGVO; Schweiz: Art. 6 Abs. 3 und 4, Art. 31 Abs. 1 DSG)

Drei Grenzen stehen neben der Tabelle. Für Werbung per E-Mail kommen die Werberegeln des jeweiligen Landes hinzu; sie behandelt E-Mail-Marketing im Shop. Eine steuerliche Aufbewahrungsfrist verlangt Aufbewahrung, sie erlaubt keine werbliche Weiterverwendung: nach ihrem Ablauf ist die Identifizierung für diesen Zweck nicht mehr erforderlich, und Sie löschen die Daten, soweit nicht ein anderer Zweck sie weiter trägt (Art. 5 Abs. 1 Buchst. e DSGVO; in der Schweiz Art. 6 Abs. 4 DSG). Und eine Nachricht selbst kann die aufzubewahrende Unterlage sein: Ob eine Bestellbestätigung oder Korrespondenz Handels- oder Geschäftsbrief ist, entscheidet ihr Inhalt; trifft es zu, sind in Deutschland sechs Jahre (§ 147 Abs. 1 Nr. 2 und 3, Abs. 3 AO) und in Österreich sieben Jahre (§ 132 Abs. 1 BAO, Soll-Vorschrift) zu beachten, auch wenn einzelne Felder darin früher entbehrlich wären.

Diese Daten gehören nicht ins CRM

• Kartennummern. Für die Zuordnung von Zahlung und Erstattung genügt die Referenz des Zahlungsdienstleisters. Welche Kartendaten Sie selbst speichern dürfen, hängt an den Vorgaben der Kartennetzbetreiber und an Ihrem Vertrag mit dem Dienstleister; die Einzelheiten stehen in Kartenzahlung im Onlineshop einrichten.
• Notizen mit besonderen Kategorien. Enthält eine Service-Notiz Angaben über Gesundheit, die rassische oder ethnische Herkunft oder politische Meinungen, ist die Verarbeitung in Deutschland und Österreich nach Art. 9 Abs. 1 DSGVO untersagt, solange keine Ausnahme des Absatzes 2 greift. In der Schweiz sind solche besonders schützenswerten Personendaten (Art. 5 Buchst. c DSG) zulässig, wenn die Persönlichkeitsverletzung durch Einwilligung, ein überwiegendes Interesse oder Gesetz gerechtfertigt ist (Art. 31 Abs. 1 DSG); ist die Einwilligung der tragende Grund, muss sie ausdrücklich erfolgen (Art. 6 Abs. 6 und 7 Buchst. a DSG).
• Angaben für einen anderen Zweck. Daten, die Sie für eine Alters- oder Identitätsprüfung erhoben haben, werden nicht ohne eigene Grundlage zum Werbemerkmal.
• Daten Dritter ohne Information. Erhalten Sie Angaben nicht von der Person selbst, trifft Sie eine eigene Informationspflicht (Art. 14 DSGVO; in der Schweiz Art. 19 DSG).

Ein Rechenbeispiel: dieselbe Rechnung, drei Fristen

Beispielrechnung mit einer Rechnung aus dem Kalenderjahr 2019 und einem Kalenderjahr als Geschäftsjahr. Die Tabelle zeigt, ab wann diese Rechnung gelöscht werden kann. In Deutschland läuft die Frist nicht ab, solange die Unterlagen für Steuern von Bedeutung sind, deren Festsetzungsfrist noch nicht abgelaufen ist (§ 147 Abs. 3 Satz 5 AO); in Österreich gilt die Verlängerung für anhängige Verfahren (§ 132 Abs. 1 BAO).

Land	Frist und Beginn	Fristende für das Jahr 2019	Früheste Löschung
Deutschland	acht Jahre, ab Schluss des Kalenderjahres des Belegs (§ 147 Abs. 3 Satz 1 und Abs. 4 AO)	Ablauf 2027	1. Januar 2028
Österreich	sieben Jahre, ab Schluss des Kalenderjahres (§ 132 Abs. 1 BAO)	Ablauf 2026	1. Januar 2027
Schweiz	zehn Jahre, ab Ablauf des Geschäftsjahres (Art. 958f Abs. 1 OR)	Ablauf 2029	1. Januar 2030

Hält dasselbe Unternehmen Bücher in Deutschland und in Österreich, endet die Frist für einen Beleg aus 2019 in Deutschland ein Jahr später als in Österreich, nämlich am 1. Januar 2028 statt am 1. Januar 2027; eine Buchführung in der Schweiz rechnet zehn Jahre. Die Aufbewahrungspflicht folgt dem Recht, dem die Buchführung unterliegt, nicht dem Wohnsitz der Kundschaft. Löschen Sie deshalb nicht die ganze Kundenakte: Der Beleg bleibt bis zum Fristende verfügbar, die Felder ohne bleibenden Zweck fallen früher weg.

Typische Fehler

• Alles übernehmen, was der Export enthält. Ein Export liefert Felder, keine Zwecke. Streichen Sie, wofür das CRM keinen Zweck hat, statt die Spalte beim Import mitzunehmen.
• Die Aufbewahrungsfrist als Erlaubnis lesen. Sechs, sieben, acht oder zehn Jahre sagen, wie lange Unterlagen aufzubewahren sind; sie erlauben keine Werbung mit diesen Daten.
• Ein Werbesegment ohne Rechtsgrundlage bauen. Für die Werbenutzung brauchen Sie eine eigene Grundlage (Deutschland und Österreich: Art. 6 Abs. 1 Buchst. f DSGVO; Schweiz: Art. 31 Abs. 1 DSG) und, in Deutschland und Österreich, einen Weg, ihr nach Art. 21 Abs. 2 und 3 DSGVO zu widersprechen.
• Nur im CRM löschen. Führen Shop und CRM dasselbe Feld, muss die Löschung beide Seiten erreichen; sonst lebt der Datensatz beim nächsten Import wieder auf.
• Ohne Vertrag mit dem CRM-Anbieter übertragen. Verarbeitet der Anbieter im Auftrag, braucht er einen Vertrag nach Art. 28 Abs. 3 DSGVO; in der Schweiz regelt Art. 9 DSG die Auftragsbearbeitung. Fragen zu Standort und Unterauftragsverarbeitern behandelt Datenschutz bei der Shopsystem-Auswahl.

So gehen Sie vor

1. Listen Sie je CRM-Feld den Zweck auf; Felder ohne Zweck streichen Sie vor dem ersten Import.
2. Prüfen Sie für jedes Feld, ob sein Zweck mit dem Erhebungszweck vereinbar ist (Art. 5 Abs. 1 Buchst. b und Art. 6 Abs. 4 DSGVO; in der Schweiz Art. 6 Abs. 3 DSG).
3. Tragen Sie für Buchungsbelege die Frist des Landes ein, prüfen Sie, ob die Angabe in einem aufzubewahrenden Geschäftsbrief oder in einer sonstigen steuerlich bedeutsamen Unterlage steht, und setzen Sie für die übrigen Felder ein Löschdatum (Art. 5 Abs. 1 Buchst. e DSGVO; in der Schweiz Art. 6 Abs. 4 DSG).
4. Regeln Sie Vertrag und Löschung bei Vertragsende mit dem Anbieter (Art. 28 Abs. 3 DSGVO; in der Schweiz Art. 9 DSG).
5. Gleichen Sie nach dem ersten Import Anzahl und Kundennummern zwischen Shop und CRM ab (Datensynchronisation).
6. Halten Sie den Weg für Auskunft und Löschung bereit (Auskunft und Löschung im Shop).