DSGVO, Cloud Act & CRM: Digitale-Souveränität im CRM-Kontext als Compliance-Herausforderung

Eine strukturelle Abhängigkeit, die manchmal zu wenig Beachtung findet – mit Fokus auf die Datensouveränität

Wichtiger Hinweis: Dieser Artikel ersetzt keine anwaltliche Beratung.

Wenn man von Digitaler Souveränität spricht, besteht diese nach allgemeiner Definition aus vier zentralen Dimensionen. Der technischen Souveränität, der Operativen- bzw. Betriebssouveränität, der Datensouveränität und der Rechtlichen Souveränität. Konkret bedeutet das, die eigene Kontrolle über jede Dimension und damit auch die Unabhängigkeit von Herstellern und Dienstleistern. Dieser Artikel befasst sich primär mit dem Thema der Datensouveränität im Kontext von CRM.

Wenn ich Ausschreibungen für CRM-Systeme beobachte, fällt ein Muster auf: Microsoft Dynamics und Salesforce dominieren den Markt faktisch, beide bieten ihre Lösungen nur als SaaS an. MS Dynamics dominiert in Österreich gefühlt stärker als Salesforce, vor allem im öffentlichen Bereich aber auch in der Privatwirtschaft. Europäische Alternativen tauchen, wenn überhaupt, am Rand auf. Das ist kein Vorwurf an die beiden Marktführer, sondern eine Bestandsaufnahme.

Die eigentliche Frage lautet: Ist diese Marktkonzentration ein Problem, und wenn ja, für wen und warum? Sie wird es spätestens dann, wenn man die rechtliche Konfliktlage betrachtet, in der sich europäische Unternehmen und Behörden bewegen. Zum einen verpflichtet die DSGVO zu strengem Datenschutz, während der US Cloud Act amerikanischen Behörden Zugriffsmöglichkeiten eröffnet, die sich nicht einfach vertraglich wegverhandeln lassen. Zum anderen ist man durch das SaaS-Modell auch nicht Besitzer oder Betreiber der Software und Hardware. Ein denkbares Risiko, SaaS-Dienste könnten von heute auf morgen durch den Hersteller einfach deaktiviert werden. Das dies bei amerikanischen Konzernen rechtlich durch die US Regierung durchgesetzt werden kann, haben wir spätestens im Juni 2026 bei der Abschaltung des neuen Anthropic Modells Fable/Mythos gesehen. Digitale Souveränität sieht also anders aus, und dieses Spannungsfeld ist strukturell, nicht situativ.

Wenn du ein CRM einführen oder wechseln möchtest, ohne blind in eine strategische Abhängigkeit zu laufen, gibt es also einige Themen zu beachten bzw. Vorkehrungen zu treffen. Es geht nicht um Panikmache und nicht um Technologie-Romantik. Es geht um einen klaren Blick auf die Risiken und um einen fundierten Entscheidungsrahmen für CRM-Compliance, mit dem du die nächste Ausschreibung oder Entscheidung souveräner angehst.

Rechtsrahmen I – DSGVO: Was CRM-Systeme datenschutzrechtlich leisten müssen

Laptop mit CRM-Dashboard, umgeben von Datenschutz-Symbolen wie Schlössern und Dokumenten.

CRM-Systeme verarbeiten umfangreiche personenbezogene Daten – DSGVO-Compliance beginnt bei der Systemauswahl.

Welche Daten im CRM unter die DSGVO fallen

Ein CRM ist im Kern eine Sammlung personenbezogener Daten. Kundenkontakte, Ansprechpartner, Vertriebshistorie, E-Mail-Verläufe, Telefonnotizen, Angebotsdaten und vieles mehr: All das fällt unter die DSGVO, sobald sich daraus eine natürliche Person identifizieren lässt. Die DSGVO setzt dabei strenge Regeln für die Erfassung, Verarbeitung und Speicherung personenbezogener Daten von EU-Bürgern [3]. Sie ist das praktische Paradebeispiel für Datenschutz: Daten unterliegen den Gesetzen des Raums, in dem sie verarbeitet werden [3].

Das ist für jeden, der ein CRM-System einsetzt, relevanter, als es zunächst klingt. Vertriebsdaten als Beispiel enthalten oft sensible Informationen über Verhandlungspositionen, Bonität, Entscheidungsstrukturen beim Kunden. Diese Datensouveränität verantwortlich zu gestalten, ist nicht optional, sondern Teil der CRM-Compliance.

Auftragsverarbeitung und Drittlandtransfer

Setzt du ein Cloud-CRM ein, verarbeitet der Anbieter Daten in deinem Auftrag. Damit ist ein Auftragsverarbeitungsvertrag (AVV) Pflicht. Er regelt, was der Anbieter mit den Daten tun darf und welche technischen und organisatorischen Maßnahmen er garantiert.

Heikel wird es beim Drittlandtransfer nach Art. 44 ff. DSGVO. Eine Übermittlung in Länder außerhalb der EU, etwa in die USA, ist nur unter bestimmten Bedingungen zulässig. Das Schrems-II-Urteil hat hier tiefe Spuren hinterlassen: Es invalidierte das EU-US Privacy Shield und verursachte erhebliche Herausforderungen für transatlantische Datenübertragungen [4]. Der Nachfolger, das EU-US Data Privacy Framework, schafft formale Grundlagen, ändert aber nichts an den strukturellen Überwachungsmöglichkeiten, die das eigentliche Problem bilden. Verstöße gegen die DSGVO können mit Bußgeldern bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes geahndet werden [6]. CRM-Compliance ist damit auch ein wirtschaftliches Thema.

Rechtsrahmen II – US Cloud Act: Die unsichtbare Zugriffsmöglichkeit

Digitale Europakarte mit Serverknoten, von der eine abstrakte Hand von außen auf Daten zugreift.

Extraterritoriale Reichweite: Der US Cloud Act greift unabhängig vom physischen Serverstandort auf Daten zu.

Was der Cloud Act US-Behörden erlaubt

Der US CLOUD Act (Clarifying Lawful Overseas Use of Data Act) wurde im März 2018 verabschiedet [7]. Er gibt US-Strafverfolgungsbehörden das Recht, von amerikanischen Unternehmen die Herausgabe elektronischer Daten zu verlangen, und zwar unabhängig vom physischen Speicherort dieser Daten [5][7]. Statt einen Server als physische Einheit zu betrachten, die dem Recht ihres Standorts unterliegt, verpflichtet das Gesetz alle US-Unternehmen gegenüber US-Behörden, unabhängig von ihrem Standort [7].

Betroffen sind genau die Dienste, die im CRM-Umfeld dominieren: Cloud-Speicher, E-Mail-Dienste, Collaboration-Tools und SaaS-Anwendungen wie Salesforce, Microsoft Dynamics oder ServiceNow [6]. Der entscheidende Mechanismus ist die Jurisdiktion über den Anbieter, nicht über den Standort der Daten. Der Cloud Act verlagert die Zuständigkeit von der Frage, wo die Daten liegen, hin zu der Frage, wer sie kontrolliert [8].

Warum der Cloud Act auch in Europa gespeicherte Daten betrifft

Genau hier entsteht der Konflikt. Der Cloud Act gilt extraterritorial: Der Serverstandort bietet keinen rechtlichen Schutz, entscheidend ist die Eigentümerschaft des Providers [5]. Microsoft hat in Gerichtsunterlagen bestätigt, dass das Unternehmen gezwungen werden kann, Daten aus EU-Rechenzentren an US-Behörden herauszugeben [5]. Dass selbst US-Hyperscaler inzwischen eigene „souveräne" EU-Lösungen vermarkten, ist letztlich ein Eingeständnis, dass bisherige, lediglich EU-gehostete Services dem US-Recht unterliegen [5][8].

Der direkte Widerspruch zur DSGVO ist offensichtlich. Art. 48 DSGVO verbietet ausdrücklich, auf Datenzugriffe nicht-europäischer Behörden zu reagieren, sofern diese nicht auf einem ratifizierten Abkommen beruhen [5][8]. Für EU-Unternehmen, die US-Cloud-Anbieter nutzen, entsteht damit ein echtes Dilemma: Die Befolgung des einen Gesetzes kann den Bruch des anderen bedeuten [8]. Dieser Konflikt zwischen DSGVO und Cloud Act bleibt trotz diplomatischer Bemühungen ungelöst [7].

Praktisch heißt das: Als europäisches Unternehmen kannst du deinen US-Anbieter vertraglich nicht von seinen US-Rechtspflichten entbinden. Du lagerst, wie es eine Analyse treffend formuliert, deine DSGVO-Compliance an eine ausländische Regierung aus [5]. Erschwerend kommt hinzu, dass Anbieter ihre Kunden bei einer Cloud-Act-Anfrage oft nicht informieren dürfen [5][7]. Genau diese fehlende Transparenz untergräbt die DSGVO-Prinzipien der Zweckbindung und Datenminimierung [6]. Digitale Souveränität wird so von einer abstrakten Idee zur konkreten Compliance-Frage.

Gegenargument #1 entkräften: „Unsere Daten sind doch verschlüsselt"

Verschlüsselung ist das häufigste Argument, mit dem die Cloud-Act-Diskussion abgewiegelt wird. Und sie ist tatsächlich die wichtigste technische Maßnahme gegen Cloud-Act-Risiken [6]. Aber sie löst das Problem nur unter einer Bedingung: Es kommt darauf an, wer die Schlüssel verwaltet.

Liegt das Key Management beim Anbieter selbst, kann der Schutz ins Leere laufen. Ein Anbieter, der zur Herausgabe der Daten verpflichtet wird, kann ebenso zur Entschlüsselung oder zur Herausgabe der Schlüssel verpflichtet werden. Die rechtliche Adressatenstellung liegt beim US-Anbieter, nicht bei deinem europäischen Unternehmen. Verschlüsselung schützt dann zuverlässig gegen Angreifer von außen, aber nicht gegen den Anbieter, der den Schlüssel ohnehin hält.

Hier lohnt eine Unterscheidung der Verschlüsselungsebenen:

Verschlüsselung im Transit sichert die Übertragung.
Verschlüsselung at rest sichert die gespeicherten Daten gegen unbefugten physischen Zugriff.
Beide ändern nichts an der Schlüsselhoheit des Anbieters.

Anders sieht es bei kundenseitigem Key Management aus, etwa über Bring Your Own Key (BYOK) oder Hold Your Own Key (HYOK). Entscheidend ist, dass die Verwaltung der Verschlüsselungsschlüssel ausschließlich in der EU stattfindet [6].

Ehrlich bleiben muss man trotzdem: BYOK kann das Risiko deutlich mindern, eliminiert es aber nicht vollständig. Solange der Anbieter operativen Zugriff auf die laufende Verarbeitung hat oder Schlüssel im Klartext durch sein System laufen, bleibt eine strukturelle Restmöglichkeit. Verschlüsselung ist also ein wirksamer Baustein, aber kein Freifahrtschein. Wer sie als alleinigen Schutz verkauft, vereinfacht unzulässig.

Marktcheck: Gibt es wirklich keine europäische CRM-Alternative?

Europäische CRM-Anbieter im Überblick

Die kurze Antwort lautet: Doch, es gibt sie. Im DACH-Raum existieren Anbieter wie BSI Software, Odoo oder Pipedrive um einige Vertreter zu nennen. Diese europäischen Anbieter speichern Daten in EU-Rechenzentren. Sie unterliegen selbst damit nicht dem Cloud Act, was Datensouveränität strukturell besser absichert [6]. Und jetzt kommt das große ABER: Hosten europäische Anbieter ihre Systeme in Rechenzentren von AWS, Azure oder Google, wäre damit ein Zugriff auf die Daten über den Cloud Act erst recht wieder möglich. Eine europäische CRM-Alternative ist also eine Option, aber man muss auch hier genau hinschauen.

Warum sie im Public Sector und in Großunternehmen dennoch oft wenig Chancen haben

Trotz besserer Ausgangslage setzen sich europäische Anbieter in CRM Auswahlverfahren selten durch, und dafür gibt es nachvollziehbare Gründe. Funktional bestehen teils sehr große Lücken gegenüber Salesforce und MS Dynamics, insbesondere bei der Integrationstiefe, bei eingebauten KI-Funktionen und bei der Skalierbarkeit für Behörden oder Großunternehmen mit komplexen, internationalen Prozessen. Das Ökosystem an Partnern, Beratern und vorgefertigten Schnittstellen ist bei den Marktführern um ein Vielfaches größer. Wer sich fragt, ob ein KI-gestützter CRM-Eigenbau als dritter Weg infrage kommt, wird schnell auf ähnliche Skalierungs- und Compliance-Grenzen stoßen.

Dazu kommen strukturelle Hürden, die nichts mit der Produktqualität zu tun haben: geringere Bekanntheit, fehlende Enterprise-Referenzen und kleinere Vertriebsorganisationen. In einer Welt, in der „nobody gets fired for buying the market leader" zur unausgesprochenen Regel wird, haben kleinere Anbieter es schwer.

Dieser Befund ist nicht europäisch-romantisch zu verklären. Die Hauptgefahren beim Verfolgen digitaler Souveränität liegen genau in technologischen und wirtschaftlichen Hürden, etwa den hohen Kosten unabhängiger Infrastruktur [3]. Gleichzeitig gewinnt das Thema politisch an Gewicht. Die EU-Kommissionspräsidentin hat digitale Souveränität ins Zentrum der EU-Agenda 2025 gerückt [1], und schon 2021 forderten mehrere europäische Regierungschefs gemeinsam mehr digitale Souveränität, um kritische Infrastrukturen zu schützen [4]. Die Diskussion verschiebt sich also, auch wenn der Markt heute klar von US-Anbietern geprägt ist. Mein Rat: weder das falsche Versprechen „einfach wechseln" noch das Totschlagargument „geht sowieso nicht". Beides hilft bei der Entscheidung nicht weiter.

Gegenargument #2 entkräften: „Es gibt eh keine Alternative – also warum darüber nachdenken?"

Selbst wenn ein vollständiger Wechsel in deinem Fall unrealistisch ist, folgt daraus nicht, dass du das Thema ignorieren darfst. Das Bewusstsein für das Risiko ist selbst eine Compliance-Pflicht. Art. 32 DSGVO verlangt eine Risikoanalyse und angemessene Schutzmaßnahmen. Wer das Cloud-Act-Risiko nicht einmal bewertet hat, erfüllt diese Pflicht nicht.

Hinzu kommt der strategische Aspekt: Vendor-Lock-in. Eine tiefe Abhängigkeit von einem einzigen US-Anbieter schränkt deine zukünftigen Handlungsoptionen ein, nicht nur rechtlich, sondern auch kommerziell. Steigen die Lizenzkosten oder ändern sich die Vertragsbedingungen, fehlt dir der Hebel, wenn ein Wechsel technisch kaum machbar ist.

Daraus ergeben sich konkrete Mindestanforderungen, unabhängig davon, für welchen Anbieter du dich entscheidest:

Exit-Strategien und Datenportabilität gehören vertraglich festgehalten: Wie bekommst du deine Daten in welchem Format heraus, und in welcher Frist? Kannst du deine Daten regelmäßig selbst sichern auf eigener Hardware?
Welche Schutzklauseln sind verhandelbar, etwa Standard Contractual Clauses, Transparenzzusagen oder Benachrichtigungspflichten, soweit rechtlich zulässig?

Dieser bewusste Umgang ist auch deshalb klug, weil sich das Umfeld verändert. Die transatlantischen Spannungen über Tech-Regulierung haben sich seit 2025 verschärft, bis hin zu Zolldrohungen gegen Länder mit Digitalregulierung [1]. Ein Handelsverhältnis im Volumen von 1,5 Billionen Dollar steht durch diese Konflikte unter Druck [1]. Wer heute auf Datensouveränität schaut, reagiert nicht auf eine Modeerscheinung, sondern auf eine sich verschärfende Gemengelage.

Praktischer Entscheidungsrahmen für Entscheider: CRM-Compliance unter Souveränitätsgesichtspunkten

Aus der Analyse lässt sich ein pragmatischer Entscheidungsrahmen ableiten. Er ersetzt keine Rechtsberatung, strukturiert aber die Diskussion in Ausschreibung und Vendor-Auswahl.

Schritt 1: Datenkategorien im CRM inventarisieren

Beginne mit der Frage, welche Daten überhaupt im CRM liegen. Einfache Kontaktdaten sind anders zu bewerten als sensible Vertriebsinformationen oder gar besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Je sensibler die Daten, desto höher die Anforderungen an die CRM-Compliance. Gerade wenn das CRM auch für KI-gestützte Lead-Generierung genutzt wird, wächst das Datenvolumen und damit die Relevanz dieser Inventarisierung erheblich.

Schritt 2: Risikotoleranz definieren

Lege die Risikotoleranz deines Unternehmens fest. Sie hängt von Branche, regulatorischem Umfeld und Kundensensibilität ab. Ein Anbieter im öffentlichen Sektor oder im Gesundheitswesen bewegt sich anders als ein mittelständischer Maschinenbauer mit unkritischen Kontaktdaten.

Schritt 3: Technische und vertragliche Schutzmaßnahmen prüfen

Prüfe, welche technischen Maßnahmen realistisch verfügbar sind:

BYOK mit EU-seitigem Schlüsselmanagement [6]
Pseudonymisierung sensibler Felder
On-Premise-Option

Vertraglich gehören AVV, Standard Contractual Clauses, Transparenzberichte und klare Löschfristen auf den Tisch. Achte darauf, dass Zertifizierungen wie ISO 27001, EU Cloud Code of Conduct oder BSI C5 zwar hohe technische Standards belegen, aber die rechtliche Prüfung von Drittlandtransfers nicht ersetzen [6]. Für Unternehmen, die zudem KI-Agenten im CRM einsetzen wollen, gilt: Jede KI-Funktion, die auf Kundendaten zugreift, erhöht die Datenschutzrelevanz und sollte in die Risikoanalyse einbezogen werden.

Schritt 4: Anbieterauswahl und Ausschreibungskriterien

Die entscheidende Abwägung lautet: Wann ist eine europäische CRM-Alternative oder Open-Source Lösung trotz funktionaler Lücken eine Option? Faustregel: Je sensibler die Daten und je geringer die Risikotoleranz, desto stärker fällt Datensouveränität ins Gewicht und desto eher rechtfertigt sie Kompromisse beim Funktionsumfang. Bei unkritischen Daten und hohem Bedarf an Integrationstiefe kann ein US-Anbieter mit sauber verhandelten Schutzmaßnahmen vertretbar bleiben. Wichtig ist, dass diese Abwägung dokumentiert und bewusst getroffen wird.

Fazit: Souveränität ist kein Luxus, sondern eine Entscheidung

Dies ist natürlich kein Aufruf, amerikanische Anbieter zu boykottieren. Microsoft und Salesforce dominieren den Markt aus guten Gründen, und in vielen Konstellationen sind sie funktional die beste Wahl. Es ist aber ein klares Plädoyer für bewusstes, informiertes Entscheiden und das kalkulieren möglicher Risiken.

Wer die rechtliche Konfliktlage zwischen DSGVO und Cloud Act verstanden hat, weiß, dass Verschlüsselung allein kein vollständiger Schutz ist, kennt die realen Grenzen europäischer Alternativen und hat einen Entscheidungsrahmen in der Hand. Digitale Souveränität ist dann kein abstraktes Schlagwort mehr, sondern ein konkretes Auswahlkriterium. Vertrauen ist im Vertrieb eine harte Währung: Wer Kundendaten nachweislich souverän schützt, schafft echten Differenzierungswert. Die Frage nach digitaler Souveränität, DSGVO und CRM-Compliance wird mit der politischen Entwicklung relevanter, nicht kleiner.

Häufige Fragen

Was ist der Konflikt zwischen DSGVO und Cloud Act? Die DSGVO verpflichtet europäische Unternehmen zu strengem Datenschutz und verbietet nach Art. 48 grundsätzlich die Herausgabe von Daten an nicht-europäische Behörden ohne Rechtsgrundlage. Der US Cloud Act erlaubt US-Behörden gleichzeitig, von amerikanischen Anbietern Daten herauszuverlangen – unabhängig davon, wo diese Daten gespeichert sind. Für Unternehmen, die US-Cloud-CRMs nutzen, kann die Erfüllung des einen Gesetzes den Bruch des anderen bedeuten.

Was bedeutet CRM-Compliance im Kontext von DSGVO und Cloud Act? CRM-Compliance bedeutet, dass alle im CRM verarbeiteten personenbezogenen Daten den Anforderungen der DSGVO entsprechen: gültige Rechtsgrundlage, Auftragsverarbeitungsvertrag (AVV), Regelung für Drittlandtransfers und dokumentierte Risikoanalyse nach Art. 32 DSGVO. Beim Einsatz von US-Anbietern muss das Cloud-Act-Risiko explizit bewertet und, wenn möglich, durch technische Schutzmaßnahmen wie BYOK gemindert werden.

Schützt Verschlüsselung vor Cloud-Act-Zugriffen? Verschlüsselung ist die wichtigste technische Maßnahme, löst das Problem aber nur, wenn der Kunde die Schlüssel selbst kontrolliert (BYOK/HYOK mit EU-seitigem Schlüsselmanagement). Liegt das Key Management beim US-Anbieter, kann dieser zur Herausgabe der Schlüssel oder zur Entschlüsselung verpflichtet werden. Verschlüsselung allein ist kein ausreichender Schutz.

Gibt es europäische CRM-Alternativen zu Salesforce und Microsoft Dynamics? Ja, europäische CRM-Alternativen existieren – etwa CentralStationCRM und weclapp aus dem DACH-Raum oder Sellsy und Axonaut aus Frankreich. Sie speichern Daten in EU-Rechenzentren und unterliegen nicht dem Cloud Act. Funktionale Lücken, kleinere Partner-Ökosysteme und geringere Bekanntheit machen es ihnen jedoch schwer, sich in großen Ausschreibungen gegen die Marktführer durchzusetzen.