DSGVO-konformes CRM mit Serverstandort Deutschland
„DSGVO-konform“ ist kein amtliches Siegel, sondern eine Aussage des Anbieters über sich selbst. Ob Sie ein CRM datenschutzgerecht einsetzen, hängt an vier Punkten: einem Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, dem Speicherort, den Unterauftragsverarbeitern mit möglichen Übermittlungen in Drittländer nach Art. 44 ff. DSGVO sowie an Löschung und Export Ihrer Daten.
Ausschließlich in Deutschland speichern laut eigenen Angaben CentralStationCRM, weclapp (Frankfurt am Main) und meetergo (Nürnberg). HubSpot, Pipedrive, monday CRM und Zoho bieten Rechenzentren in der EU, nennen aber Übermittlungen oder Zugriffe außerhalb der EU. Ein Serverstandort in Deutschland ist rechtlich keine Pflicht, er vereinfacht aber die Prüfung. Dieser Beitrag ist keine Rechtsberatung.
Dieser Vergleich wird von der meetergo GmbH herausgegeben. meetergo bietet selbst ein CRM an und ist hier als Anbieter enthalten. Die Angaben zu allen Anbietern stammen von deren offiziellen Websites (Stand 9. November 2026). Wir haben keine Langzeittests durchgeführt; „Empfehlung“ ist eine redaktionelle Einschätzung für den genannten Einsatzzweck. So entsteht diese Übersicht.
Was die DSGVO für ein CRM verlangt
Wenn Sie ein CRM in der Cloud nutzen, sind Sie in der Regel der Verantwortliche: Sie entscheiden über Zwecke und Mittel der Verarbeitung Ihrer Kundendaten. Der Anbieter verarbeitet die Daten in Ihrem Auftrag und ist damit Auftragsverarbeiter (Art. 4 Nr. 7 und 8 DSGVO).
Art. 28 DSGVO, Auftragsverarbeiter. Sie dürfen nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten (Abs. 1). Die Verarbeitung braucht einen Vertrag, der unter anderem Gegenstand, Dauer, Art und Zweck der Verarbeitung festlegt (Abs. 3). Er ist schriftlich abzufassen, ein elektronisches Format genügt (Abs. 9). Der Vertrag muss auch vorsehen, dass der Anbieter nach Ende der Leistung alle Daten nach Ihrer Wahl löscht oder zurückgibt (Abs. 3 lit. g). Weitere Auftragsverarbeiter darf der Anbieter nur mit Ihrer vorherigen gesonderten oder allgemeinen schriftlichen Genehmigung einsetzen. Bei einer allgemeinen Genehmigung muss er Sie über Änderungen informieren, damit Sie widersprechen können (Abs. 2).
Art. 44 ff. DSGVO, Übermittlung in Drittländer. Daten dürfen nur unter den Bedingungen des Kapitels V in ein Drittland übermittelt werden, das gilt auch für Weiterübermittlungen (Art. 44). Grundlage kann ein Angemessenheitsbeschluss der EU-Kommission sein (Art. 45) oder geeignete Garantien wie Standarddatenschutzklauseln der Kommission (Art. 46). Art. 49 regelt Ausnahmen für bestimmte Fälle.
Data Privacy Framework. Mit dem Durchführungsbeschluss (EU) 2023/1795 vom 10. Juli 2023 hat die Kommission festgestellt, dass die USA ein angemessenes Schutzniveau gewährleisten, aber nur für Organisationen auf der vom U.S. Department of Commerce geführten „Data Privacy Framework List“ (Art. 1). Die Kommission überwacht die Anwendung fortlaufend (Art. 3). Für Empfänger, die nicht auf der Liste stehen, braucht es eine andere Grundlage, etwa die Standardvertragsklauseln aus dem Durchführungsbeschluss (EU) 2021/914.
Löschen und Export. Betroffene Personen haben ein Recht auf Löschung (Art. 17) und unter bestimmten Voraussetzungen auf Datenübertragbarkeit in einem strukturierten, gängigen und maschinenlesbaren Format (Art. 20). Ihr CRM sollte es Ihnen ermöglichen, solche Anfragen zu erfüllen: einen Kontakt vollständig zu löschen und seine Daten zu exportieren.
Speicherort und Übermittlungen laut Anbieter
Alle Angaben sind Selbstauskünfte der Anbieter auf ihren Websites und in ihren Vertragsunterlagen, Stand 9. November 2026. Wir haben sie nicht technisch geprüft.
| Anbieter | Speicherort laut Anbieter | Übermittlungen und Unterauftragsverarbeiter laut Anbieter | Vertrag |
|---|---|---|---|
| meetergo | Server in Nürnberg (Hetzner, Falkenstein und Nürnberg); Speicherung ausschließlich in Europa | Liste nennt Stripe für die Abrechnung des Abonnements und Twilio für SMS (nur bei Nutzung), jeweils mit Weiterübermittlung in die USA auf Basis von SCC und DPF; beim KI-Telefonassistenten Telnyx (US-Vertragspartner) und optional wählbare US-Stimmen | AVV; Unterauftragsverarbeiter-Liste ist Bestandteil |
| HubSpot | AWS, u. a. EU (Deutschland); Zuweisung bei der Registrierung nach IP-Standort, Wechsel nur mit Starter-, Professional- oder Enterprise-Abo | Unterauftragsverarbeiter können Daten auch außerhalb des Hosting-Standorts verarbeiten; DPA nennt DPF und Standardvertragsklauseln | Data Processing Agreement |
| CentralStationCRM | Deutschland | laut AVV Verarbeitung ausschließlich in EU bzw. EWR, Drittland nur mit vorheriger Zustimmung; gelistete Unterauftragsverarbeiter mit deutscher Anschrift | AVV online abrufbar |
| weclapp | Frankfurt am Main; laut Preisseite ausschließlich Deutschland | laut AVV grundsätzlich in Mitgliedstaaten der EU bzw. des EWR | AVV nach Art. 28 DSGVO (Stand April 2024) |
| Zoho CRM | USA oder EU, je nach gewähltem Rechenzentrum | bei EU-Rechenzentrum in bestimmten Fällen Support-Zugriff aus Indien | Data Processing Addendum |
| Pipedrive | AWS in Europa und den USA, u. a. Frankfurt und Dublin; EU-Region für EU-Kunden | laut DPA Übermittlung außerhalb des EWR möglich, über SCC und DPF | Data Processing Addendum als Teil der Nutzungsbedingungen |
| monday CRM | Region EU (Deutschland) wählbar | strikte Datenresidenz nur für Enterprise-Konten; sonst können Unterauftragsverarbeiter Teile außerhalb der Region hosten; SCC laut DPA | Data Processing Addendum |
| Salesflare | Google Cloud in Belgien (St. Ghislain) | in den von uns geprüften Quellen keine Angabe | in den von uns geprüften Quellen keine Angabe |
SCC = Standardvertragsklauseln, DPF = EU-U.S. Data Privacy Framework, DPA = englisch für Auftragsverarbeitungsvertrag. Begriffe erklärt das Glossar.
Selbstauskünfte richtig lesen
Viele Anbieter werben mit Datenschutz. Diese Angaben sind Aussagen über sich selbst. Prüfen Sie dahinter die Verträge, nicht das Etikett.
„DSGVO-konform“
Zoho nennt eine DSGVO-konforme Datenschutzrichtlinie, Pipedrive GDPR-Konformität, meetergo zeigt ein „DSGVO Compliant“-Abzeichen im Seitenfuß. Ob Ihr Einsatz rechtmäßig ist, hängt an Ihrem Zweck, Ihrem AVV und den Übermittlungen, nicht am Etikett.
ISO 27001, SOC 2
Zoho nennt ISO 27001, 27017, 27018 und SOC 2 Typ II, Pipedrive SOC 2, SOC 3, ISO/IEC 27001 und ISO 27701. Solche Nachweise betreffen die Informationssicherheit. Sie ersetzen weder AVV noch eine Grundlage für Drittlandübermittlungen.
So prüfen Sie ein CRM vor dem Vertrag
AVV abschließen und lesen
Laden Sie den Auftragsverarbeitungsvertrag herunter oder schließen Sie ihn im Konto ab. Prüfen Sie, ob er die Punkte aus Art. 28 Abs. 3 DSGVO enthält, besonders die Löschung oder Rückgabe am Vertragsende. Fragen Sie nach, ob der AVV auch im kostenlosen Tarif gilt.
Unterauftragsverarbeiter-Liste lesen
Der Serverstandort sagt nur, wo die Hauptdatenbank liegt. Wer verarbeitet welche Daten, wo und auf welcher Grundlage? Achten Sie auf Formulierungen wie „Weiterübermittlung“ oder „Support-Zugriff“. Steht dort eine US-Gesellschaft, prüfen Sie, ob sie auf der Data Privacy Framework List steht oder ob Standardvertragsklauseln vereinbart sind.
Region beim Anlegen prüfen
Bei manchen Anbietern entscheidet die Registrierung über den Standort. HubSpot weist das Rechenzentrum anhand der IP-Geolokalisierung zu; ein späterer Wechsel ist nur mit einem bezahlten Abo möglich. Prüfen Sie den Standort direkt nach dem Anlegen des Kontos.
Löschen und Export testen
Legen Sie einen Testkontakt mit Notiz, E-Mail und Termin an. Löschen Sie ihn und prüfen Sie, ob alle zugehörigen Einträge verschwinden. Exportieren Sie danach Ihre Kontakte als CSV. So wissen Sie, dass Sie Anfragen nach Art. 17 und 20 DSGVO erfüllen und später den Anbieter wechseln können.
Integrationen getrennt bewerten
Wenn Sie Gmail, Outlook, Zoom oder WhatsApp anbinden, fließen Daten zu diesen Diensten. meetergo führt solche Integrationspartner ausdrücklich nicht als Unterauftragsverarbeiter; es gelten Ihre eigenen Verträge mit dem Partner.
Zugriffsrechte festlegen
Legen Sie Rollen fest, bevor Sie Daten importieren. In meetergo CRM etwa lassen sich Mitglieder auf eigene und Team-Kontakte beschränken und das Löschen auf Admins und Inhaber begrenzen.
Fragen und Antworten
Muss ein CRM in Deutschland gehostet sein?
Nein. Die DSGVO schränkt Übermittlungen in Drittländer außerhalb von EU und EWR ein (Art. 44 ff.), nicht die Speicherung in einem anderen EU-Staat. Ein Standort in Deutschland oder der EU vereinfacht aber die Prüfung. Die Unterauftragsverarbeiter müssen Sie trotzdem ansehen.
Darf ich ein US-Unternehmen wie HubSpot als CRM nutzen?
Die DSGVO verbietet das nicht. Für Übermittlungen in die USA braucht es eine Grundlage nach Kapitel V, etwa das Data Privacy Framework für gelistete Empfänger oder Standardvertragsklauseln. HubSpot nennt im Data Processing Agreement beides. Ob das für Ihre Daten reicht, entscheiden Sie als Verantwortlicher.
Ist meetergo frei von US-Diensten?
Nicht vollständig. Die CRM-Daten liegen laut meetergo in Nürnberg. Die Unterauftragsverarbeiter-Liste nennt aber Stripe (Abrechnung) und Twilio (SMS) mit Weiterübermittlung in die USA, beim KI-Telefonassistenten Telnyx als US-Vertragspartner und optional wählbare US-Stimmen. Grundlage laut Liste: Standardvertragsklauseln, teils zusätzlich das DPF.
Welches CRM passt, wenn alles in Deutschland bleiben soll?
Unsere Einschätzung als Herausgeber: Für Kontakte und eine einfache Pipeline passt CentralStationCRM (Speicherung in Deutschland, Unterauftragsverarbeiter mit deutscher Anschrift). Für CRM mit Angeboten, Rechnungen und ERP passt weclapp (Frankfurt am Main). Läuft der Vertrieb über Termine und Anrufe, passt meetergo (Nürnberg); prüfen Sie dort die Liste, wenn Sie SMS oder den Telefonassistenten nutzen. Alle Anbieter im Vergleich.
Weiterlesen
Quellen
- Verordnung (EU) 2016/679 (DSGVO), EUR-Lex: Art. 4, 17, 20, 28, 44 bis 46, 49
- Durchführungsbeschluss (EU) 2023/1795, EUR-Lex: Angemessenheit, Datenschutzrahmen EU-USA
- Durchführungsbeschluss (EU) 2021/914, EUR-Lex: Standardvertragsklauseln
- EU-Kommission: EU-US data transfers
- meetergo Sicherheit
- meetergo Unterauftragsverarbeiter: aktualisiert am 6. Oktober 2026
- meetergo CRM: Rechte und Löschen
- HubSpot Datenhosting FAQ
- CentralStationCRM Sicherheit
- CentralStationCRM AVV
- weclapp Rechenzentrum
- weclapp AVV (April 2024)
- weclapp Preise
- Zoho Datenschutz-FAQ
- Zoho Datensicherheit
- Zoho Trust
- Pipedrive Unterauftragsverarbeiter
- Pipedrive DPA
- Pipedrive Datenschutz und Sicherheit
- monday Trust Center
- Salesflare Datenspeicherung
Alle Seiten abgerufen am 9. November 2026. Dieser Beitrag ist keine Rechtsberatung. Für die Bewertung Ihres konkreten Falls wenden Sie sich an Ihren Datenschutzbeauftragten oder an eine Rechtsanwältin oder einen Rechtsanwalt.
Diesen Eintrag zitieren
CRM für kleine Unternehmen. „DSGVO-konformes CRM mit Serverstandort Deutschland“. meetergo GmbH. Inhalt geprüft am 9. November 2026. https://crm-fuer-kleine-unternehmen.de/dsgvo/