Datenschutzerklärung für Zoho CRM

Warum ist Zoho CRM datenschutzrechtlich relevant?

Unternehmen, die Zoho CRM verwenden, erheben darüber personenbezogene Daten. Denn: Über die Software sammeln und speichern sie zum Beispiel Daten wie

• E-Mail-Adressen,
• Telefonnummern,
• Adressen und
• IP-Adressen

ihrer Kunden. Das kann beispielsweise über eine Kontaktanfrage oder eine Newsletter-Anmeldung erfolgen. Zoho CRM verarbeitet und speichert diese Daten unter anderem auf Servern in Europa, Indien und den USA. Unternehmen müssen daher besondere Pflichten aus der Datenschutz-Grundverordnung (DSGVO) und dem Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) beachten.

Zoho CRM datenschutzkonform verwenden

Damit Unternehmen Zoho CRM datenschutzkonform verwenden, müssen sie diese Anforderungen erfüllen:

User-Einwilligung in Cookies einholen

Zoho CRM verwendet Cookies, damit Unternehmen Klicks und Conversion auswerten können. Dabei ist unklar, welche Daten die Software erhebt, speichert und verarbeitet. Daher ist ebenfalls unklar, ob Unternehmen dafür eine Einwilligung der User benötigen. Um auf der rechtlich sicheren Seite zu stehen, sollten sie das Einverständnis der Nutzer in die Datenerhebung einholen. Rechtlich wasserdicht geht das mit einem Cookie Consent Tool.

Vertrag zur Auftragsverarbeitung abschließen

Ein Vertrag zur Auftragsverarbeitung (AV-Vertrag) regelt die Rechte und Pflichten, die Unternehmen haben, wenn sie Kundendaten an einen Dritten zur weisungsgebundenen Verarbeitung weitergeben. Unternehmen müssen diesen Vertrag mit dem betreffenden Dritten – in diesem Fall Zoho CRM – schließen. Der Vertrag sollte dabei erklären,

• welche Userdaten Zoho CRM verarbeitet und speichert,
• wie lange der Anbieter die Daten speichert,
• warum Zoho CRM die Daten speichert und
• welche sonstigen Rechte und Pflichten die Verantwortlichen haben.

Datenschutzerklärung anpassen

Unternehmen erheben über Zoho CRM personenbezogene Daten und geben diese an den Anbieter weiter. Sie müssen User in ihrer Datenschutzerklärung darauf aufmerksam machen. Damit sich Nutzer informieren können, was genau mit ihren Daten bei Zoho CRM passiert, sollten Unternehmen zudem auf die Datenschutzbestimmungen und Nutzungsbedingungen des Anbieters verweisen.

Und: Unternehmen müssen in ihrer Datenschutzerklärung erwähnen, dass sie mit Zoho CRM einen AV-Vertrag geschlossen haben. Dabei sollten sie ausführen,

• warum sie personenbezogene Daten erheben
• wie lange sie diese speichern wollen,
• welche Rechtsgrundlage ihnen das ermöglicht (Art. 6 Abs. 1 lit. a DSGVO) und
• dass Kunden der Datenverarbeitung jederzeit widersprechen können.

Standardvertragsklauseln prüfen

Zoho CRM verschickt auf Grundlage von EU-Standardvertragsklauseln personenbezogene Daten in Drittländer außerhalb der EU, unter anderem in den USA und nach Indien. Der Anbieter gibt dabei Garantien, dass in den Drittländern ein angemessenes Datenschutzniveau herrscht. Unternehmen müssen die Standardvertragsklauseln prüfen und abschließen. Darüber hinaus müssen sie das Risiko der Datenweitergabe in die Drittländer überprüfen und dokumentieren. Dazu sollten Unternehmen offenlegen,

• welche Daten sie an Zoho CRM weitergeben,
• welche Rechtsvorschriften in den Drittländern wie der USA und Indien gelten und
• ob Zoho CRM selbst Schritte unternimmt, um die über das Tool erhobenen Daten zu schützen.

Rechtsprechung zu Zoho CRM

Für Zoho CRM ist diese Rechtsprechung relevant:

Europäischer Gerichtshof zum Privacy Shield

Im Juli 2020 kam der EuGH zu dem Schluss: Der Privacy Shield ist unwirksam. Unternehmen können diesen nicht mehr als rechtliche Basis nutzen, um datenschutzkonform Daten in Drittländer wie die USA zu versenden (Az. C-311/18).

Datenschutzbehörde Hamburg zum AV-Vertrag

Die Datenschutzbehörde Hamburg hat ein Bußgeld gegen ein Versandunternehmen in Höhe von 5.000 Euro zuzüglich Gebühren von 250 Euro ausgesprochen. Das Unternehmen hatte personenbezogene Daten an einen Dienstleister weitergegeben, ohne mit diesem einen AV-Vertrag zu schließen. Das verstößt gegen die Vorgaben der DSGVO. Per Gesetz sind dabei Strafen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes möglich.

Datenschutzbehörde Baden-Württemberg zum AV-Vertrag

Der VfB Stuttgart musste im März 2021 ein Bußgeld in Höhe von 300.000 Euro bezahlen. Denn: Er hatte Mitgliederdaten an Dienstleister weitergegeben, ohne dafür einen AV-Vertrag zu schließen. Das rief die Datenschutzbehörde Baden-Württemberg auf den Plan. Sie kam zu dem Schluss: Der Verein hatte gegen die DSGVO verstoßen. Die Behörde sprach daher die Strafe aus.

Europäischer Gerichtshof zur Verwendung von Cookies

Tracking Cookies benötigen stets die Einwilligung der Webseitenbesucher. Dabei spielt es keine Rolle, ob die Cookies personenbezogene Daten erheben oder nicht. Das stellte der Europäische Gerichtshof (EuGH) in einem Urteil vom Oktober 2019 fest (Az. C-673/17).

Bundesgerichtshof zur Verwendung von Cookies

Der Bundesgerichtshof (BGH) kam im Mai 2020 zu dem gleichen Ergebnis wie der EuGH: Tracking Cookies sind jederzeit einwilligungsbedürftig. Zugleich stellten die Richter fest, dass Unternehmen das Einverständnis der User nur mit einer nicht-vormarkierten Checkbox einholen können. Das bedeutet: Nur ein Opt-In der Nutzer holt eine rechtssichere Einwilligung ein (I ZR 7/16).