CRM: Datenschutzrechtliche Herausforderungen
Dr. Alesch Staehelin
Alesch Staehelin ist Rechtsanwalt in Zürich und als Partner der Kanzlei Uto Legal in den Bereichen «Data, IT/IP & Media» tätig: Er berät in Fragen des Datenschutzes, der IT-Sicherheit, der digitalen Transformation, der neuen Technologien (KI, IoT, VR, AR usw.), der sozialen Medien, des E-Commerce, von ESG, des Urheber-, Unterhaltungs- und Medienrechts, des Marken-, Designund Patentrechts (inkl. Know-how-Schutz) sowie des Wettbewerbsrechts, er entwirft, prüft und verhandelt Verträge aller Art (insbesondere in komplexen, zeitkritischen und grenzüberschreitenden Tech-Deals), er vermittelt in strittigen Projekten, und er führt Gerichts- und Schiedsverfahren. Zuvor leitete Alesch Staehelin seine eigene Kanzlei, und er war über ein Jahrzehnt Partner in einer anderen schweizerischen Anwaltskanzlei sowie Senior Corporate Counsel in diversen Managementfunktionen bei IBM.
Passende Arbeitshilfen
Rechtlicher Rahmen: Das DSG als Kernreferenz
Seit dem 1. September 2023 gilt das totalrevidierte DSG zusammen mit der revidierten Datenschutzverordnung (DSV). Das DSG findet Anwendung auf Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden (Art. 3 Abs. 1 DSG). CRM-Betreiber sind in der Regel Verantwortliche im Sinn von Art. 5 lit. j DSG, weil sie über Zweck und Mittel der Bearbeitung entscheiden. Der CRM-Anbieter ist – sofern er Daten ausschliesslich weisungsgebunden im Auftrag bearbeitet – Auftragsbearbeiter nach Art. 5 lit. k DSG.
Parallel bleibt die EU-Datenschutz-Grundverordnung (DSGVO) relevant, wenn ein Schweizer Unternehmen Waren oder Dienstleistungen an Personen in der EU anbietet oder deren Verhalten in der EU beobachtet (Art. 3 Abs. 2 DSGVO). In der Praxis bedeutet dies: Viele Schweizer CRM-Anwendungen unterstehen einem doppelten Regime.
Bearbeitungsgrundsätze: Was ins CRM darf – und was nicht
Art. 6 DSG statuiert die klassischen Grundsätze. Für das CRM heisst das konkret: Zweckbindung verlangt, dass ein im Vertrieb erhobener Datensatz nicht ohne Weiteres für Bonitätsprüfungen oder arbeitgeberseitige Auswertungen genutzt werden darf. Verhältnismässigkeit verbietet das «Daten-auf-Vorrat»-Sammeln: Felder wie Geburtsdatum, Familienstand oder Hobbies gehören nur dann ins CRM, wenn sie für den Bearbeitungszweck erforderlich sind. Richtigkeit verpflichtet zu Prozessen für Datenaktualisierung und -berichtigung (Art. 32 Abs. 1 DSG).
Besonders schützenswerte Personendaten (Art. 5 lit. c DSG) – etwa Gesundheitsdaten, biometrische oder genetische Daten – verlangen eine erhöhte Rechtfertigung und strengere TOM. Im CRM-Kontext stellt sich dies häufig bei Branchen wie Versicherungen, Spitälern oder Fitness-Dienstleistern.
Neu und häufig unterschätzt ist das Profiling mit hohem Risiko (Art. 5 lit. g DSG): Lead-Scoring, Customer-Lifetime-Value-Berechnungen oder KI-basierte Next-Best-Action-Empfehlungen können darunterfallen. Die Einwilligung muss in diesen Fällen ausdrücklich erfolgen (Art. 6 Abs. 7 lit. b DSG).
Informationspflicht und Betroffenenrechte
Nach Art. 19 DSG ist die betroffene Person bei der Beschaffung zu informieren – nicht erst bei besonders schützenswerten Daten, wie noch unter dem alten Recht. Inhaltlich verlangt Art. 19 Abs. 2 DSG mindestens die Identität des Verantwortlichen, den Bearbeitungszweck und allfällige Empfänger. Bei Auslandstransfers sind zusätzlich der Empfängerstaat und die Garantien anzugeben (Art. 19 Abs. 4 DSG).
Auf Seite der Betroffenen stehen das Auskunftsrecht (Art. 25 DSG) und neu das Recht auf Datenherausgabe bzw. -übertragung (Art. 28 DSG). CRM-Verantwortliche sollten sicherstellen, dass Auskunftsgesuche innert 30 Tagen (Art. 25 Abs. 7 DSG i.V.m. Art. 18 DSV) vollständig beantwortet werden können – einschliesslich Daten in Freitextfeldern, E-Mail-Historien und Notizen.
Seminar-Empfehlungen
Auftragsbearbeitung: Der ADV als Pflichtdokument
Art. 9 DSG erlaubt die Übertragung der Bearbeitung an einen Auftragsbearbeiter nur, wenn die Daten so bearbeitet werden, wie es der Verantwortliche selbst dürfte, und keine gesetzliche oder vertragliche Geheimhaltungspflicht entgegensteht. Der EDÖB hält fest, dass der Verantwortliche den Auftragsbearbeiter sorgfältig auszuwählen, zu instruieren und zu überwachen hat – analog zur Geschäftsherrenhaftung nach Art. 55 Obligationenrecht (OR).
In der Praxis bedeutet das: Ein ADV mit dem CRM-Anbieter (Salesforce, Microsoft Dynamics, HubSpot, SAP, Zoho, bexio, cobra u.a.) ist zwingend. Er muss regeln: Gegenstand und Dauer, Kategorien von Daten und Betroffenen, Weisungsrecht, TOM, Unterauftragsbearbeiter, Unterstützung bei Betroffenenrechten, Meldung von Datensicherheitsverletzungen, Löschung nach Vertragsende und Audit-Rechte. Unterauftragsbearbeiter – etwa Hyperscaler als Hosting-Anbieter – dürfen nur mit vorgängiger Genehmigung beigezogen werden (Art. 9 Abs. 3 DSG).
Datenexport ins Ausland: Die sensibelste Baustelle
Zahlreiche CRM-Lösungen werden aus der Cloud bezogen, und der Datenfluss endet regelmässig in den USA oder weiteren Drittstaaten. Nach Art. 16 DSG ist ein Transfer nur zulässig, wenn der Empfängerstaat einen angemessenen Schutz gewährleistet. Die Liste der Staaten mit angemessenem Datenschutz findet sich in Anhang 1 DSV. Für die USA anerkennt der Bundesrat seit September 2024 das «Swiss-U.S. Data Privacy Framework» (DPF) für zertifizierte Unternehmen als Garantie.
Fehlt ein Angemessenheitsbeschluss, sind geeignete Garantien nach Art. 16 Abs. 2 DSG erforderlich – typischerweise Standarddatenschutzklauseln (SCC/MCC), die dem EDÖB mitzuteilen sind, oder verbindliche unternehmensinterne Datenschutzvorschriften (BCR). Zusätzlich empfiehlt sich ein Transfer Impact Assessment (TIA) nach dem Vorbild der Schrems-II-Rechtsprechung des Gerichtshofs der Europäischen Union (EuGH, Urteil C-311/18 vom 16. Juli 2020 «Schrems II»), auf die auch der EDÖB Bezug nimmt.
Risiken und Empfehlungen
Typische Risiken im CRM-Umfeld sind unklare oder fehlende Rechtsgrundlagen, unzureichende Sicherheitsmassnahmen, unkontrollierte Datenübermittlungen ins Ausland sowie das Fehlen von Datenschutz-Folgenabschätzungen bei risikoreichen Bearbeitungen wie Profiling.
Empfehlenswert sind daher folgende Massnahmen:
Datenschutz frühzeitig in Systemarchitektur und Geschäftsprozesse integrieren;
Standardisierte Verträge und Compliance-Prozesse etablieren;
Leitfäden und Empfehlungen der Aufsichtsbehörden als Orientierung nutzen;
Bei Unsicherheiten rechtliche oder datenschutzfachliche Beratung einholen.
Ein gut implementiertes Datenschutzkonzept ist nicht nur eine rechtliche Notwendigkeit, sondern auch ein Wettbewerbsvorteil, da es Vertrauen schafft und langfristige Kundenbeziehungen stärkt.
Die vier wichtigsten Punkte auf einen Blick
1. Rechtmässigkeit und Transparenz: Jede Bearbeitung im CRM muss den Grundsätzen von Art. 6 DSG (Rechtmässigkeit, Treu und Glauben, Verhältnismässigkeit, Zweckbindung, Richtigkeit) genügen. Die Informationspflicht nach Art. 19 DSG ist typischerweise über die Datenschutzerklärung abzubilden.
2. Auftragsbearbeitung vertraglich absichern: Beim Einsatz eines CRM-Anbieters (SaaS, Cloud) ist zwingend ein Auftragsbearbeitungsvertrag (ADV/AVV) nach Art. 9 DSG abzuschliessen. Unterauftragsbearbeiter benötigen die vorgängige Genehmigung.
3. Auslandstransfer absichern: Werden Daten ausserhalb der Schweiz bearbeitet (z.B. Anbieter mit Sitz oder Infrastruktur in den USA), sind Art. 16 ff. DSG einzuhalten – Angemessenheitsbeschluss, SCC/MCC oder Ausnahme nach Art. 17 DSG, ergänzt durch ein Transfer Impact Assessment.
4. Technische und organisatorische Massnahmen (TOM): Datensicherheit (Art. 8 DSG), Privacy by Design/Default (Art. 7 DSG), Bearbeitungsverzeichnis (Art. 12 DSG) und Meldung von Datensicherheitsverletzungen an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB; Art. 24 DSG) sind operativ zu verankern.
Praxistipps und Checkliste für CRM-Projekte
Vor dem Rollout: Bearbeitungsverzeichnis nach Art. 12 DSG für das CRM anlegen; Datenkategorien, Zwecke, Aufbewahrungsfristen, Empfänger, Auslandstransfers dokumentieren.
Vor der Auswahl des Anbieters: Due Diligence zu Sitz, Hosting-Standorten, Unterauftragsbearbeitern und Zertifizierungen (ISO 27001, ISO 27701, SOC 2). Vertragsprüfung: ADV nach Art. 9 DSG, SCC/MCC, TIA.
Während des Betriebs: Rollen- und Berechtigungskonzept, Zwei-Faktor-Authentifizierung, Protokollierung kritischer Zugriffe (Art. 4 DSV), Schulung der Mitarbeitenden, Löschkonzept mit klaren Fristen.
Bei Incidents: Interner Meldeweg innert 24 Stunden; Prüfung der Meldepflicht an den EDÖB nach Art. 24 DSG («so rasch als möglich»); Dokumentation jeder Verletzung.
Bei hohem Risiko (z.B. Profiling, KI-Auswertungen, Gesundheitsdaten): Datenschutz-Folgenabschätzung (DSFA) nach Art. 22 DSG; ggf. Konsultation EDÖB nach Art. 23 DSG.
Musterformulierungen
Einwilligung Marketing-Newsletter (Art. 6 Abs. 6 DSG): «Ich willige ein, dass die [Firma X AG] meine E-Mail-Adresse und meine Interaktionen mit Newslettern im CRM-System bearbeitet, um mir personalisierte Informationen zu Produkten und Dienstleistungen zuzustellen. Ich kann diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.»
Klausel Auftragsbearbeitung (Rahmenvertrag): «Der Anbieter bearbeitet Personendaten ausschliesslich auf dokumentierte Weisung des Kunden und im Rahmen des Vertrags. Unterauftragsbearbeiter dürfen nur nach vorgängiger schriftlicher Genehmigung beigezogen werden. Der Anbieter meldet dem Kunden jede Verletzung der Datensicherheit unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnisnahme.»
Informationshinweis CRM (Auszug Datenschutzerklärung): «Zur Pflege der Kundenbeziehung bearbeiten wir Ihre Kontakt- und Transaktionsdaten in einem CRM-System. Die Daten werden [in der Schweiz / in der EU / in den USA] bearbeitet. Rechtsgrundlage ist Art. 31 Abs. 2 lit. a DSG (Vertragserfüllung) sowie unser berechtigtes Interesse an einer effizienten Kundenbetreuung.»
