SugarCRM und die DSGVO

Den wenigsten ist vermutlich bekannt, dass Datenschutz ein Grundrecht ist. Es ist in der Charta der Grundrechte der Europäischen Union im Artikel 8 Absatz 1 sowie Artikel 16 Absatz 1 verankert. Informationelle Selbstbestimmung ist in der deutschen Gesetzgebung das Recht des Einzelnen, grundsätzlich selbst über die Preisgabe und Verwendung seiner personenbezogenen Daten zu bestimmen.

Dies war einer der Erwägungsgründe, die der DSGVO zugrunde liegen. Insgesamt gab es übrigens 173.

Neben den Erwägungsgründen gibt es insgesamt sieben Grundsätze (Artikel 5 bis 11), von denen vor allem folgende drei für das Thema CRM relevant sind:

Artikel 5 – Grundsätze für die Verarbeitung personenbezogener Daten

Artikel 6 – Rechtmäßigkeit der Verarbeitung

Artikel 7 – Bedingungen für die Einwilligung

Und aus diesen Grundsätzen leiten sich dann zahlreiche Rechte ab, unter anderem:

• Informationspflicht und Recht auf Auskunft zu personenbezogenen Daten
• Berichtigung und Löschung (hierunter fällt auch das Recht auf Einschränkung der Verarbeitung)
• Widerspruchsrecht und automatisierte Entscheidungsfindung

Das könnte man alles noch weiter ausholen, aber interessanter ist sicherlich jetzt die Frage:

Vielleicht noch etwas präziser: Wie kannst du/euer Unternehmen diesen Anforderungen mithilfe von SugarCRM nachkommen?

Seit dem Sugar Spring ’18 bzw. Sugar 8 Release gibt es ein eigenes Data Privacy Module, das alle Anfragen im Zusammenhang mit der DSGVO anzeigt.

Neu ist auch die Rolle des Datenschutzbeauftragten in SugarCRM. Das heißt, eine oder mehrere Personen können beispielsweise Auskunft darüber erteilen, welche personenbezogenen Daten erfasst wurden, sie auf Wunsch berichtigen oder löschen.

Ab sofort können Felder in SugarCRM als personenbezogene Daten markiert werden. Diese können von Datenschutzbeauftragten schnell und einfach eingesehen werden und darüber hinaus wer die Daten eingegeben hat bzw. wann Änderungen stattfanden. Nachfolgend ein Screenshot wie das aussieht.

Wenn ein Kontakt die Löschung einiger oder sämtlicher personenbezogenen Daten wünscht, kann der Datenschutzbeauftragte, die entsprechenden Felder markieren, und sie werden daraufhin dauerhaft gelöscht. Falls etwa die E-Mail-Adresse gelöscht wurde, wird der Wert beim Kontakt als „dauerhaft gelöscht“ angezeigt.

Per default kann nun eingestellt werden, dass sämtliche E-Mail-Adressen, für die kein Double-Opt-in vorliegt, automatisch als „Opt-out“ gelten. Das bedeutet, dass sie erst mal nicht für Marketingaktionen wie Newsletter verwendet werden dürfen. Sobald eine Zustimmung des Kontaktes vorliegt, kann dies natürlich geändert werden.

Diese Zustimmung kann nun für alle Marketingaktionen erteilt werden oder nur für bestimmte Informationen. Also die Zustimmung zu Produkt-Updates aber nicht für den allgemeinen Newsletter. Das ziemlich gut umgesetzt.

Bislang gab es zudem auch schon ein „Do-not-call“ – Feld, auch das sollte man an der Stelle nicht unterschlagen.

Und wenn man eine Zustimmung erteilt, dann kann man diese natürlich auch widerrufen. Auch hier kann derjenige entscheiden, ob der Widerruf für alle oder nur für bestimmte Marketingmaßnahmen gilt.

Eingangs hatten wir ja von den 173 Erwägungsgründen gesprochen, die der DSGVO zugrunde liegen. #39 ist hier vielleicht auch noch interessant: „Grundsätze der Datenverarbeitung“. Hier heißt es unter Punkt 7:

„Die personenbezogenen Daten sollten für die Zwecke, zu denen sie verarbeitet werden, angemessen und erheblich sowie auf das für die Zwecke ihrer Verarbeitung notwendige Maß beschränkt sein.“

Braucht es all die Daten, die bislang erfasst werden? Stichwort Datensparsamkeit. Und in dem Zusammenhang auch Datenqualität, denn viele Daten heißt ja nicht, dass sie noch aktuell bzw. richtig sind. Für SugarCRM gibt es ein Add-on, Hint, dass beispielsweise automatisch die Unternehmensadresse hinzufügt wie auch auf Wunsch weitere Informationen, zum Beispiel Social-Media-Profile.

Sehr einfach gelöst; anders als bei anderen Tools kannst du auswählen, welche Daten du zu einem Kontakt hinzufügen willst. Das wird im Übrigen dann auch in der Übersicht der personenbezogenen Daten angezeigt, dass Hint die Quelle ist.

SugarCRM bietet seit dem jüngsten Release viele Features, um die Anforderungen der Datenschutzgrundverordnung einfach und gesetzeskonform umzusetzen. Das ist unsere Meinung. Was denkst du?

Gerne stehen wir dir für weitere Rückfragen zur Verfügung.