CRM Software Deutschland.
Hauptsitz, Hosting und Zugriff sauber getrennt.
CRM Software (Customer-Relationship-Management) mit Hauptsitz oder Hosting in Deutschland wird im DACH Mittelstand vor allem dort gesucht, wo Kundendaten, Angebote und Vertragshistorien datenschutzkonform geführt werden müssen. Diese Seite trennt fünf Fragen, die im Alltag oft vermischt werden: Wo sitzt der Anbieter, wo steht das Rechenzentrum, wer betreibt es, wer kann aus Drittstaaten zugreifen und welcher Vertrag regelt das. Dazu kommt ein Auszug aus 9 Anbietern, ohne Wertung und alphabetisch sortiert.
Zur Anbieter Tabelle ↓Zuletzt geprüft am 10.10.2026.
Deutsch ist nicht gleich
deutsch.
Wer CRM Software aus Deutschland sucht, meint meist eines von fünf Dingen: Der Anbieter hat seinen Hauptsitz in Deutschland, die Daten liegen in einem deutschen Rechenzentrum, ein deutsches Unternehmen betreibt dieses Rechenzentrum, das System unterliegt keinem Zugriff aus Drittstaaten oder der Vertrag folgt deutschem Recht. Diese fünf Eigenschaften treffen nicht automatisch zusammen. Laut Bitkom Cloud-Report 2026 (Stand Juni 2026) sagen 98 % der Unternehmen mit Cloud-Bezug, dass das Herkunftsland des Anbieters bei der Auswahl eine Rolle spielt. Für eine belastbare Entscheidung lohnt es sich, jede Ebene einzeln zu klären und im Vertrag festzuhalten.
Ohne Trennung der Ebenen
- Aus „Server in Frankfurt“ wird im Vertrieb schnell „DSGVO-konform“, obwohl Standort, Betreiber und Zugriffsrechte drei verschiedene Fragen sind.
- Der Hauptsitz des Anbieters wird mit dem Standort der Daten gleichgesetzt, obwohl eine deutsche GmbH Daten bei einem Betreiber in einem anderen Land ablegen kann.
- Ein Anbieter mit US-Muttergesellschaft wird pauschal ausgeschlossen, ohne zu prüfen, welche Region, welche Support-Zugriffe und welche Unterauftragsverarbeiter tatsächlich vertraglich gelten.
- Die Auftragsverarbeitung wird als Formular abgehakt. Unterauftragsverarbeiter, Löschfristen und Rückgabe der Daten nach Vertragsende bleiben offen.
- Beim Wechsel zeigt sich erst nach Jahren, dass der Datenexport nur Teile der Historie enthält oder zusätzlich kostet.
Mit Trennung der Ebenen
- Sie dokumentieren je Anbieter fünf Antworten: Hauptsitz, Rechenzentrumsstandort, Betreiber, Zugriff durch Drittstaaten und Vertragsgrundlage. Das passt auf eine Seite und lässt sich vergleichen.
- Sie prüfen die Auftragsverarbeitung nach Art. 28 DSGVO (Verordnung (EU) 2016/679) mit Liste der Unterauftragsverarbeiter, Standorten und Löschkonzept.
- Sie klären Drittlandübermittlungen nach Art. 44 ff. DSGVO einzeln: Angemessenheitsbeschluss, Standarddatenschutzklauseln oder keine Übermittlung.
- Sie verlangen Nachweise statt Siegel: Prüfberichte, Zertifikate mit Geltungsbereich und Datum, Exportformate und Ausstiegsregeln.
- Sie planen Einführung und ERP-Anbindung realistisch: 2 bis 8 Wochen für ein einfaches Cloud-CRM, 2 bis 4 Monate im Mittelstand mit ERP-Anbindung (Erfahrungswerte von Find-Your-Software, Stand Oktober 2026).
Quellen: Bitkom Cloud-Report 2026, Verordnung (EU) 2016/679 auf EUR-Lex, Stand Oktober 2026. Hintergrund zur Cloud-Abhängigkeit: Digitale Souveränität und Cloud.
Auszug: CRM-Anbieter mit Sitz oder Hosting in
Deutschland oder der EU.
Die Tabelle ist ein Auszug von 9 Anbietern, keine vollständige Marktübersicht. Auswahlprinzip: alphabetische Reihenfolge, keine Wertung und keine bezahlte Platzierung. Vertreten sind Anbieter mit Hauptsitz in Deutschland, ein Anbieter mit Konzernsitz in Norwegen und zwei Anbieter mit US-Muttergesellschaft, die für Kunden aus Europa eine EU-Region anbieten. Der Auszug zeigt damit bewusst, dass Hauptsitz und Hosting zwei verschiedene Angaben sind. Preise stammen von den Herstellerseiten mit Stand Oktober 2026, sonst steht dort „auf Anfrage“. Das vollständige Angebot finden Sie im CRM-Anbieter-Überblick und im Katalog.
| Anbieter | Segment | Preis ab | Hauptsitz | Hosting laut Herstellerangabe | ERP-Anbindung | Profil |
|---|---|---|---|---|---|---|
| CAS genesisWorldCRM und xRM, CAS Software AG | Mittelstand | auf Anfrage | Karlsruhe, Deutschland | ≈ Cloud-Betrieb und lokaler Betrieb. Standort des Rechenzentrums beim Hersteller erfragen | ≈ Schnittstellen in der Demo prüfen | Zum Profil → |
| CentralStationCRMEinfaches Team-CRM, 42he GmbH | KMU | auf Anfrage | Köln, Deutschland | ≈ Verarbeitung laut Auftragsverarbeitungsvertrag in der EU bzw. im EWR. Genannte Unterauftragnehmer sitzen in Deutschland: Core-Backbone, Hetzner und Telekom, teils nur für Backups (CentralStationCRM AVV) | ≈ Schnittstellen in der Demo prüfen | Zum Profil → |
| cobra CRMCRM mit Cloud und On-Premises, cobra GmbH | Mittelstand | ab 36 € je Nutzer/Mo | Konstanz, Deutschland | ≈ Cloud-Tarife mit Hosting und Support in Deutschland. Konkreter Rechenzentrumsstandort nicht benannt | ≈ Schnittstellen in der Demo prüfen | Zum Profil → |
| combit CRMCRM mit On-Premises und Private Cloud, combit GmbH | KMU | Private Cloud ab 350 €/Mo inkl. 5 Nutzer, zzgl. MwSt. | Konstanz, Deutschland | ✓ Private Cloud in Hüllhorst (NRW), Betreiber WORTMANN AG (TERRA Cloud). Alternativ On-Premises | ≈ Anbindung an Warenwirtschaft über Schnittstellen, Umfang in der Demo prüfen | Zum Profil → |
| HubSpot CRMAll-in-One-Plattform, HubSpot, Inc. | Mittelstand | Free, Starter 7 € (befristet), Professional 90 € je Lizenz/Mo | Cambridge, Massachusetts, USA | ≈ Hosting-Region EU oder USA bei kostenpflichtigem Abo wählbar. Zugriff aus anderen Standorten für Support möglich (Hosting-Richtlinie vom 18.09.2024) | ≈ Anbindung über Marktplatz und Schnittstellen, in der Demo prüfen | Zum Profil → |
| Salesforce Sales CloudEnterprise-Plattform, Salesforce, Inc. | Enterprise | ab 25 € (Starter Suite), Enterprise Editionen ab 195 € je Nutzer/Mo | San Francisco, Kalifornien, USA | ≈ Hyperforce EU Operating Zone: Kundendaten und Support in der Region EU und Schweiz (Herstellerseite) | ≈ Anbindung über Plattform und Partner, in der Demo prüfen | Zum Profil → |
| SuperOffice CRMCRM für Vertrieb und Service, SuperOffice GmbH | Mittelstand | ab 45 € je Nutzer/Mo | Dortmund, Deutschland (deutsche GmbH, Konzernsitz Oslo) | ≈ Europäische Datenresidenz laut Preisseite. Konkreter Standort in der Demo prüfen | ≈ Schnittstellen in der Demo prüfen | Zum Profil → |
| TecArt CRMCRM mit Public Cloud, Private Cloud und On-Premises, TecArt GmbH | Mittelstand | auf Anfrage | Erfurt, Deutschland | ≈ Betriebsmodelle Public Cloud, Private Cloud, On-Premises. Laut Trust Center ausschließlich zertifizierte Rechenzentren deutscher Firmen (TecArt Trust Center), Betreiber in der Demo erfragen | ≈ Schnittstellen in der Demo prüfen | Zum Profil → |
| weclappCloud-ERP mit integriertem CRM, weclapp GmbH | Mittelstand | CRM ab 68 € je Nutzer/Mo, nur mit ERP Dienstleistung oder ERP Handel buchbar | Kitzingen, Deutschland | ✓ mehrere Rechenzentren ausschließlich in Deutschland, Rechenzentrum in Frankfurt am Main ISO-27001-zertifiziert | ✓ ERP-Pakete im eigenen Portfolio, CRM und Warenwirtschaft in einem System | Zum Profil → |
Auszug, alphabetisch, ohne Wertung. Preise laut Herstellerseiten, Stand Oktober 2026 (Steuerausweis je Anbieter prüfen): cobra, combit, HubSpot, Salesforce, SuperOffice, weclapp. Hosting laut Herstellerseiten: HubSpot Hosting-Richtlinie, Salesforce Operating Zone, combit Private Cloud, weclapp Sicherheit. Ein ✓ bedeutet: Herstellerangabe liegt vor. Ein ≈ bedeutet: Angabe teilweise vorhanden oder in der Demo zu prüfen. Eine Herstellerangabe ersetzt weder die vertragliche Prüfung noch die rechtliche Bewertung eines Drittstaatenzugriffs.
Drei Betriebsmodelle im Vergleich,
ohne Rangfolge.
Aus dem Auszug stehen drei Anbieter stellvertretend für drei typische Konstellationen. Die Auswahl ist keine Empfehlung, sondern zeigt, wie unterschiedlich die Antworten auf die fünf Ebenen ausfallen können. Alle Angaben stammen von den Herstellerseiten und tragen den Stand Oktober 2026.
weclapp
Cloud-ERP mit CRM, Kitzingen
weclapp nennt als Firmensitz Kitzingen und schreibt auf der Preisseite, die Daten würden in mehreren Rechenzentren ausschließlich in Deutschland gespeichert. Die Sicherheitsseite nennt ein ISO-27001-zertifiziertes Rechenzentrum in Frankfurt am Main und führt weclapp selbst ebenfalls als ISO-27001-zertifiziert. Das Modell verbindet CRM und Warenwirtschaft, was die ERP-Anbindung vereinfacht, aber die Systemwahl für beide Bereiche zugleich festlegt.
- Hauptsitz und Hosting laut Hersteller in Deutschland
- CRM-Einzellizenz ab 68 € je Nutzer und Monat, nur mit ERP Dienstleistung oder ERP Handel buchbar, ERP-Pakete ab 39 €, Stand Oktober 2026
- Zu klären: Betreiber des Rechenzentrums, Gesellschafterstruktur, Unterauftragsverarbeiter
CRM ab 68 € je Nutzer/Mo, Stand Oktober 2026
combit CRM
CRM mit Private Cloud oder On-Premises, Konstanz
combit nennt Konstanz als Sitz von Entwicklung und Support. Die Private Cloud läuft laut Hersteller auf dedizierten Servern in Hüllhorst, betrieben von der WORTMANN AG unter dem Dienst TERRA Cloud. Alternativ lässt sich das System lokal oder bei einem Anbieter der Wahl betreiben. Der Hersteller gibt an, weder combit noch WORTMANN hätten US-Beteiligung (Quelle: combit Private Cloud, Stand Oktober 2026). Das ist eine Herstellerangabe, die rechtliche Einordnung gehört in Ihre Datenschutzprüfung.
- Private Cloud ab 350 € je Monat inkl. 5 Nutzer, einmalig 300 € Einrichtung, zzgl. MwSt.
- Mindestlaufzeit 12 Monate, danach monatlich kündbar. Datenexport nach Kündigung kann laut Hersteller Servicegebühren auslösen
- Zu klären: Exportformat, Umfang der Historie, Kosten beim Ausstieg
Private Cloud ab 350 €/Mo (5 Nutzer), Stand Oktober 2026
HubSpot CRM
All-in-One-Plattform, Cambridge (USA)
HubSpot, Inc. hat den Sitz in den USA. Laut Hosting-Richtlinie (letzte Änderung 18. September 2024) wählen zahlende Kunden bei der Anmeldung zwischen den Regionen EU und USA. Support, Sicherheitsuntersuchungen und Produktentwicklung können auf Accounts zugreifen, Nutzungsdaten werden in die USA übertragen und mehrere Unterauftragsverarbeiter verarbeiten Daten in den USA. Die Richtlinie weist ausdrücklich keine Garantie aus, dass das Regionalhosting Ihre Anforderungen an den Aufbewahrungsort erfüllt.
- Sales Hub: Free 0 €, Starter 7 € (befristet), Professional 90 €, Enterprise 175 € je Lizenz und Monat, Stand Oktober 2026
- Zu klären: DPF-Zertifizierung, Standarddatenschutzklauseln, Liste der Unterauftragsverarbeiter, Support-Zugriffe
- Stärke: breiter Funktionsumfang und schneller Einstieg, Eignung hängt von Ihrer Risikobewertung ab
Professional 90 € je Lizenz/Mo, Stand Oktober 2026
Quellen: weclapp Preise, weclapp Sicherheit, combit Private Cloud, combit Editionen, HubSpot Hosting-Richtlinie, HubSpot Preise, Stand Oktober 2026.
Sechs CRM-Funktionen,
die Ihre Datenschutzprüfung berühren.
Jede CRM-Funktion verarbeitet personenbezogene Daten auf eine eigene Weise. Prüfen Sie deshalb nicht nur das System als Ganzes, sondern die Funktionen, die Sie tatsächlich einsetzen. Laut Eurostat nutzten 2025 etwa 25 % der kleinen und 65 % der großen Unternehmen in der EU CRM-Software (Eurostat, Mai 2026). Mit der Unternehmensgröße steigen Datenmenge und Zahl der beteiligten Funktionen, und damit der Prüfaufwand.
Kontaktdaten mit Nachweis der Rechtsgrundlage
Das CRM sollte je Kontakt festhalten, auf welcher Grundlage Daten verarbeitet werden und wann eine Einwilligung erteilt wurde.
- Feld für Rechtsgrundlage und Einwilligungsdatum nach Art. 6 und 7 DSGVO
- Herkunft der Daten je Datensatz nachvollziehbar
- Stand der Prüfung: Oktober 2026
Löschkonzept statt manuellem Aufräumen
Löschpflichten nach Art. 17 DSGVO und Aufbewahrungspflichten stehen im CRM nebeneinander. Handelsbriefe sind nach § 257 HGB 6 Jahre aufzubewahren (gesetze-im-internet.de, Stand Oktober 2026).
- Löschregeln je Datensatzart statt pauschalem Löschen
- Sperren statt Löschen bei Aufbewahrungsfristen
- Löschung auch in Sicherungen und Unterauftragsverarbeitern klären
Zugriff nach Aufgabe, nicht nach Bequemlichkeit
Technische und organisatorische Maßnahmen nach Art. 32 DSGVO beginnen im CRM mit einem Rollenmodell, das Vertrieb, Service und Geschäftsführung trennt.
- Rollen bis auf Feldebene konfigurierbar
- Zuordnung von Teams und Regionen als Rollenmerkmal
- Tarifgrenzen für Rollenmodelle vor Vertragsabschluss prüfen
Nachvollziehbarkeit von Zugriffen und Änderungen
Wer hat wann einen Datensatz gelesen, geändert oder exportiert? Die Antwort brauchen Sie bei Auskunftsersuchen und bei Vorfällen.
- Audit-Log mit Aufbewahrungsdauer in Monaten festlegen
- Je nach Tarif ist die Protokollierung eingeschränkt, prüfen Sie dies im Angebot
- Export des Protokolls für Prüfer klären
Zusatzdienste mit eigenen Unterauftragsverarbeitern
Sobald das CRM E-Mails versendet oder Telefonie anbindet, kommen Dienstleister hinzu. Die HubSpot-Hosting-Richtlinie (Stand 18.09.2024) nennt beispielhaft mehrere Unterauftragsverarbeiter mit Verarbeitung in den USA.
- Liste der Unterauftragsverarbeiter je Zusatzdienst anfordern
- Standort der Verarbeitung je Dienst dokumentieren
- Abmeldung und Double-Opt-in im Prozess abbilden
Assistenten nur mit geklärtem Verarbeitungsort
Zusammenfassungen, Textvorschläge und Prognosen verarbeiten Kundendaten häufig bei weiteren Dienstleistern. Klären Sie, ob KI-Funktionen abschaltbar sind.
- Verarbeitungsort und Dienstleister je KI-Funktion benennen lassen
- Trainingsnutzung der Kundendaten vertraglich ausschließen lassen
- Datenschutz-Folgenabschätzung prüfen, wenn Profile gebildet werden
Quellen: Eurostat, E-Business-Anwendungen 2025, Handelsgesetzbuch § 257, DSGVO auf EUR-Lex, Stand Oktober 2026.
Vier Integrationsfragen,
die Sie vor dem Vertrag klären.
Ein deutsches CRM, das nicht mit dem ERP spricht, erzeugt doppelte Pflege und neue Datenschutzfragen, weil Kundendaten in zwei Systemen liegen. Planen Sie die Integration als Teil der Anbieterauswahl, nicht als Projekt danach. Für Mittelstandsprojekte mit ERP-Anbindung setzen wir 2 bis 4 Monate an (Erfahrungswerte von Find-Your-Software, Stand Oktober 2026), für ein einfaches Cloud-CRM 2 bis 8 Wochen.
Wer führt welche Stammdaten?
- Festlegen, ob Kunden-, Artikel- und Preisstammdaten im ERP oder im CRM geführt werden
- Eine integrierte Lösung wie weclapp mit CRM und ERP in einem System vermeidet Schnittstellen, bindet aber beide Bereiche an einen Anbieter, Stand Oktober 2026
- Bei getrennten Systemen: Schnittstellenart (Standard-Connector, API, Middleware) und Betriebsort der Middleware klären
- Siehe auch ERP und CRM im Unterschied
Synchronisation ohne Schattenkopien
- Prüfen, welche Postfächer synchronisiert werden und ob private Mails ausgeschlossen sind
- Betriebsrat und Datenschutzbeauftragte früh einbinden
- Wo liegt der Synchronisationsdienst, im CRM-Rechenzentrum oder bei einem Dritten
Rechnungs- und Vertragsdaten im Blick
- Welche Rechnungsdaten dürfen im CRM sichtbar sein, nach Rollen getrennt
- Aufbewahrung der Belege bleibt im führenden System, das CRM zeigt nur Verweise
- Vertragsphase mit dem Selection Portal vorbereiten: Softwarevertrag prüfen
API und Datenexport als Ausstiegsplan
- Dokumentierte API mit Mengenlimits je Tarif prüfen
- Exportformate (CSV, JSON) mit Beziehungen zwischen Datensätzen testen
- Kosten und Fristen für den Export nach Kündigung schriftlich festhalten
Einführungsdauern sind Erfahrungswerte von Find-Your-Software, Stand Oktober 2026. Weitere Hintergründe: Vertriebssoftware im Überblick.
Acht Prüfpunkte für CRM Software
mit Deutschland-Bezug.
Die folgenden Punkte gelten für jeden Anbieter, unabhängig vom Hauptsitz. Diese Seite ist eine Orientierung und keine Rechtsberatung. Die Bewertung im Einzelfall gehört zu Ihrer Datenschutzbeauftragten oder Ihrem Datenschutzbeauftragten oder zu einer Fachkanzlei.
Wo sitzt die Vertragsgesellschaft?
Der Hauptsitz sagt, welchem Recht die Vertragsgesellschaft unterliegt und wer Ihr Ansprechpartner ist. Er sagt nichts über den Speicherort der Daten.
- Vertragspartner laut Impressum und Handelsregister benennen
- Muttergesellschaft und Konzernstruktur erfragen
- Beispiel Stand Oktober 2026: weclapp, Kitzingen. HubSpot, Inc., Cambridge (USA)
Wo liegen die Daten tatsächlich?
Der Standort umfasst Primärsystem, Replikation und Sicherungen. Laut HubSpot-Richtlinie (Stand 18.09.2024) werden Daten zur Notfallwiederherstellung in weitere Rechenzentren derselben Region repliziert.
- Land und Region für Produktion, Replikation und Backup einzeln erfragen
- Zusagen zum Standort im Vertrag statt nur auf der Webseite
- Wechsel des Standorts nur mit Ankündigung und Widerspruchsrecht
Wer betreibt die Infrastruktur?
Ein deutscher Anbieter kann bei einem Betreiber hosten, der selbst Teil eines internationalen Konzerns ist. combit benennt die WORTMANN AG als Betreiber der Private Cloud, Stand Oktober 2026.
- Name des Betreibers und Zertifikate des Rechenzentrums erfragen
- Liste der Unterauftragsverarbeiter mit Land und Aufgabe
- Frist und Verfahren bei Änderungen der Liste
CLOUD Act und vergleichbare Gesetze
Der US CLOUD Act wurde im März 2018 erlassen (US-Justizministerium). Nach 18 U.S.C. § 2713 erfasst der CLOUD Act Daten im Besitz, im Gewahrsam oder unter der Kontrolle eines Anbieters, unabhängig vom Speicherort. Unsere Einordnung: Maßgeblich ist daher, welchem Recht ein Anbieter unterliegt, nicht allein, wo die Server stehen. Ein Serverstandort in Deutschland ist ein Anfang, aber kein Beweis für Souveränität. Diese Seite behauptet nicht, dass ein Hosting-Standort einen Drittstaatenzugriff rechtlich ausschließt.
- Prüfen, ob Anbieter oder Betreiber einem Drittstaatenrecht unterliegen
- Herstellerangaben zur Eigentümerstruktur als Angabe behandeln, nicht als Rechtsgutachten
- Mehr dazu: Der EU Cloud Act für den Mittelstand
Vertrag nach Art. 28 DSGVO
Verarbeitet der Anbieter Daten in Ihrem Auftrag, braucht es einen Vertrag nach Art. 28 DSGVO. Er regelt Weisungen, Vertraulichkeit, Unterauftragsverarbeiter, Unterstützung bei Betroffenenrechten sowie Rückgabe oder Löschung nach Vertragsende.
- Vertrag vor Produktivstart unterschreiben, nicht erst mit der ersten Rechnung
- Technische und organisatorische Maßnahmen als Anlage mit Stand und Version
- Rückgabe oder Löschung der Daten nach Vertragsende mit Frist
Art. 44 ff. DSGVO und Data Privacy Framework
Eine Übermittlung in ein Drittland braucht eine Grundlage nach Art. 44 ff. DSGVO. Für zertifizierte US-Unternehmen gilt der Angemessenheitsbeschluss (EU) 2023/1795 vom 10. Juli 2023. Das Gericht der EU wies die Klage T-553/23 am 3. September 2025 ab, eine Berufung (C-703/25 P) ist anhängig, Stand Oktober 2026. Neu seit Juni 2026: Der US Supreme Court entschied am 29. Juni 2026 in der Sache Trump v. Slaughter, dass der US-Präsident Kommissare der FTC frei entlassen darf (Quelle: Faegre Drinker). noyb forderte die EU-Kommission am 30. Juni 2026 zu einem geordneten Ausstieg aus dem Framework auf. Der Europäische Datenschutzausschuss bat die Kommission mit Schreiben vom 31. Juli 2026, die Folgen für den Beschluss zu prüfen (Quelle: IAPP). Der Beschluss bleibt bis auf Weiteres in Kraft.
- Zertifizierung des Anbieters im Data Privacy Framework prüfen
- Alternativ Standarddatenschutzklauseln nach Art. 46 DSGVO und Transfer-Folgenabschätzung
- Fallback-Plan, falls der Beschluss entfällt
Zertifikat mit Geltungsbereich lesen
Der BSI-Kriterienkatalog C5 definiert Mindestanforderungen an die Informationssicherheit von Cloud-Diensten. Wirtschaftsprüfer können die Erfüllung testieren, das BSI wertet die Berichte nicht aus. Kunden sollten den Prüfbericht anfordern und selbst auswerten (BSI, Stand Oktober 2026). Ein C5-Testat ist nicht bei jedem CRM-Anbieter vorhanden.
- Prüfbericht samt Geltungsbereich, Zeitraum und Prüfer anfordern
- ISO/IEC 27001 und C5 sind verschiedene Nachweise, beides nicht gleichsetzen
- Siehe BSI C5, C3A und ES3 einfach erklärt
Wechselfähigkeit von Anfang an prüfen
Die Frage nach dem Ausstieg gehört in die Auswahl, nicht in die Kündigung. combit weist beispielsweise darauf hin, dass der Datenexport nach Kündigung eine Servicegebühr auslösen kann (Stand Oktober 2026).
- Exportumfang: Kontakte, Aktivitäten, Anhänge, Verknüpfungen, Protokolle
- Frist für Bereitstellung und Löschung nach Vertragsende
- Probe-Export vor Vertragsabschluss mit Beispieldaten verlangen
Quellen: US-Justizministerium zum CLOUD Act, Durchführungsbeschluss (EU) 2023/1795 auf EUR-Lex, BSI Kriterienkatalog C5, Gericht der EU, Verfahren T-553/23 auf EUR-Lex, 18 U.S.C. § 2713, IAPP zum Schreiben des Datenschutzausschusses, Faegre Drinker zu Trump v. Slaughter. Stand Oktober 2026. Keine Rechtsberatung.
Einführungsdauer und Lizenzspannen
nach Größenklasse.
Einführungsdauern sind Erfahrungswerte von Find-Your-Software (Stand Oktober 2026) und stimmen mit den CRM-Seiten CRM Software, CRM-Software-Vergleich und Was kostet ein CRM wirklich überein. Die Datenmigration (1 bis 4 Wochen) ist in diesen Zeiten enthalten, die Einarbeitung des Teams kommt mit 2 bis 3 Monaten hinzu. Ein Hosting in Deutschland verlängert die Einführung nicht pauschal, wohl aber die Vertragsprüfung.
| Größenklasse | Beispiele aus dem Auszug | Einführungsdauer | Datenschutz-Aufwand | Lizenz laut Herstellerseite |
|---|---|---|---|---|
| Einfaches Cloud-CRMkleines Team, Standardprozesse | CentralStationCRM, combit CRM (Private Cloud), cobra CRM | 2 bis 8 Wochen | Auftragsverarbeitung, Exportprobe, Rollenmodell | cobra ab 36 € je Nutzer/Mo, combit Private Cloud ab 350 €/Mo für 5 Nutzer, Stand Oktober 2026 |
| Mittelstand mit ERP-AnbindungVertrieb, Service, Warenwirtschaft | weclapp, CAS genesisWorld, TecArt CRM, SuperOffice CRM | 2 bis 4 Monate | zusätzlich Schnittstellen, Unterauftragsverarbeiter, Löschkonzept | weclapp CRM ab 68 € (nur mit ERP Dienstleistung oder ERP Handel buchbar), SuperOffice ab 45 € je Nutzer/Mo, Stand Oktober 2026. CAS und TecArt auf Anfrage |
| Enterprisemehrere Gesellschaften und Länder | Salesforce Sales Cloud, HubSpot Enterprise | 6 bis 12 Monate | zusätzlich Transfer-Folgenabschätzung, Konzernvorgaben, Prüfbericht | Salesforce ab 25 € (Starter Suite), Enterprise Editionen ab 195 €, HubSpot Enterprise 175 € je Nutzer/Mo, Stand Oktober 2026 |
Einführungsdauern: Erfahrungswerte von Find-Your-Software, Stand Oktober 2026, ohne Garantie. Lizenzpreise: Herstellerseiten (cobra, combit, weclapp, SuperOffice, Salesforce, HubSpot). Weitere Kostenfaktoren: CRM Preise.
In sechs Schritten zur
belastbaren CRM-Entscheidung.
Eine Shortlist von 3 bis 5 Anbietern genügt für die meisten Mittelstandsprojekte (Erfahrungswerte von Find-Your-Software, Stand Oktober 2026). Die folgenden Schritte verbinden Anforderungen und Datenschutzprüfung.
Anforderungen und Datenarten festhalten
Listen Sie Prozesse, Nutzergruppen und die Datenarten auf, die das CRM verarbeitet. Ohne diese Liste lassen sich Auftragsverarbeitung und Löschkonzept nicht prüfen. Das Selection Portal unterstützt dabei mit dem Anforderungsmanagement.
Ebenen als Muss-Kriterien festlegen
Entscheiden Sie, ob ein deutscher Hauptsitz, ein deutscher Rechenzentrumsstandort oder beides gefordert ist. Halten Sie fest, welche Drittlandübermittlungen Sie ausschließen und welche Sie mit Garantien akzeptieren.
Longlist und Shortlist bilden
Starten Sie mit 5 bis 8 Anbietern und reduzieren Sie auf 3 bis 5. Der CRM-Anbieter-Überblick und das Ranking im Selection Portal helfen bei der Begründung, ohne Bewertungen Dritter.
Fragenkatalog zu Hosting und Vertrag versenden
Senden Sie allen Anbietern dieselben Fragen: Standort je Datenart, Betreiber, Unterauftragsverarbeiter, Zugriff aus Drittstaaten, Zertifikate, Exportformate, Kündigungsfristen. Antworten schriftlich anfordern.
Demo mit eigenen Daten und Exportprobe
Lassen Sie typische Prozesse mit Beispieldaten ohne Personenbezug vorführen und einen Export durchführen. Prüfen Sie die ERP-Anbindung an Ihrem tatsächlichen System, nicht an einem Standardfall.
Vertrag und Auftragsverarbeitung abschließen
Verhandeln Sie Auftragsverarbeitungsvertrag, Service Levels und Ausstiegsregeln gemeinsam. Der Weg dorthin ist beschrieben unter Softwarevertrag prüfen.
Häufige Fragen
direkt beantwortet.
Was bedeutet CRM Software aus Deutschland genau?
Der Begriff ist nicht geschützt und kann fünf verschiedene Dinge meinen: Hauptsitz des Anbieters in Deutschland, Rechenzentrum in Deutschland, Betrieb durch ein deutsches Unternehmen, Vertrag nach deutschem Recht oder fehlender Zugriff aus Drittstaaten. Diese Eigenschaften können getrennt vorliegen. Fordern Sie deshalb für jeden Anbieter fünf schriftliche Antworten an. Im Auszug dieser Seite (Stand Oktober 2026) haben sechs von neun Anbietern ihren Hauptsitz in Deutschland, aber nur die Herstellerangaben zum Hosting entscheiden über den tatsächlichen Datenstandort.
Reicht ein Rechenzentrum in Deutschland für die DSGVO-Konformität?
Nein, der Standort allein genügt nicht. Die DSGVO verlangt unter anderem einen Auftragsverarbeitungsvertrag nach Art. 28, geeignete technische und organisatorische Maßnahmen nach Art. 32 und eine Grundlage für jede Drittlandsübermittlung nach Art. 44 ff. Ein deutscher Standort vereinfacht die Prüfung, ersetzt sie aber nicht. Auch Support-Zugriffe aus anderen Ländern und Unterauftragsverarbeiter gehören in die Bewertung. Die Prüfung im Einzelfall übernimmt Ihre Datenschutzbeauftragte oder Ihr Datenschutzbeauftragter (Verordnung (EU) 2016/679, Stand Oktober 2026).
Kann ein US-Konzern Daten herausgeben müssen, obwohl sie in Frankfurt liegen?
Das ist die Kernfrage beim CLOUD Act, den die USA im März 2018 erlassen haben. Maßgeblich ist laut unserem Leitfaden, welchem Recht ein Anbieter unterliegt, nicht allein, wo seine Server stehen. Ein Serverstandort in Deutschland ist deshalb ein Anfang, aber kein Beweis für Souveränität. Ob und in welchem Umfang ein Zugriff im Einzelfall rechtlich möglich ist, müssen Sie mit Fachleuten klären. Diese Seite behauptet das Gegenteil nicht (Stand Oktober 2026, mehr zum CLOUD Act).
Brauche ich für ein CRM einen Auftragsverarbeitungsvertrag?
In der Regel ja. Verarbeitet der CRM-Anbieter personenbezogene Daten Ihrer Kunden und Interessenten in Ihrem Auftrag, verlangt Art. 28 DSGVO einen Vertrag. Er regelt Weisungsbindung, Vertraulichkeit, technische und organisatorische Maßnahmen, den Einsatz von Unterauftragsverarbeitern sowie die Rückgabe oder Löschung der Daten nach Vertragsende. Fordern Sie die Liste der Unterauftragsverarbeiter mit Ländern an und schließen Sie den Vertrag vor dem Produktivstart ab. Dokumentieren Sie auch, wer auf Ihrer Seite Weisungen erteilen darf (Verordnung (EU) 2016/679, Stand Oktober 2026).
Welche Betriebsmodelle gibt es: Public Cloud, Private Cloud, On-Premises?
Bei der Public Cloud teilen sich Kunden eine Plattform, bei der Private Cloud erhält ein Kunde eine eigene, isolierte Umgebung, bei On-Premises betreiben Sie die Software selbst. combit beschreibt seine Private Cloud mit einem dedizierten Server je Kunden in Hüllhorst, TecArt nennt alle drei Modelle (Stand Oktober 2026). Mehr Kontrolle bedeutet meist mehr eigenen Betriebsaufwand, etwa für Updates, Sicherungen, Monitoring und Notfallwiederherstellung. Die Entscheidungslogik beschreibt unsere Seite Cloud oder On-Premises.
Wie prüfe ich Datenexport und Ausstieg vor dem Kauf?
Verlangen Sie vor Vertragsabschluss einen Probe-Export mit Beispieldaten und prüfen Sie, ob Kontakte, Aktivitäten, Anhänge und Verknüpfungen vollständig enthalten sind. Klären Sie schriftlich Format, Frist, Kosten und Löschung nach Vertragsende. combit nennt beispielsweise eine Mindestlaufzeit von 12 Monaten und weist darauf hin, dass der Export nach Kündigung eine Servicegebühr auslösen kann (Stand Oktober 2026). Solche Punkte sollten Sie vor dem Kauf kennen, nicht erst bei der Kündigung. Halten Sie das Ergebnis im Auswahlprotokoll fest.
Wie lange dauert die Einführung eines CRM?
Nach den Erfahrungswerten von Find-Your-Software dauert ein einfaches Cloud-CRM 2 bis 8 Wochen, ein Mittelstandsprojekt mit ERP-Anbindung 2 bis 4 Monate und eine Enterprise-Einführung 6 bis 12 Monate (Stand Oktober 2026). Die Datenmigration mit 1 bis 4 Wochen ist enthalten, die Einarbeitung des Teams kommt mit 2 bis 3 Monaten hinzu. Ein Hosting in Deutschland verändert die technische Dauer kaum, die Vertragsprüfung zu Auftragsverarbeitung und Unterauftragsverarbeitern braucht jedoch eigene Zeit.
Was kostet CRM Software aus Deutschland?
Die Spanne ist groß und hängt von Nutzerzahl, Tarif und Betriebsmodell ab. Laut Herstellerseiten (Stand Oktober 2026) beginnt cobra bei 36 €, SuperOffice bei 45 € und weclapp CRM bei 68 € je Nutzer und Monat, combit Private Cloud bei 350 € je Monat für 5 Nutzer. CAS genesisWorld und TecArt nennen Preise auf Anfrage. Dazu kommen Einführung, Migration und Betrieb. Eine Übersicht der Kostentreiber finden Sie unter CRM Preise.
Das passende CRM mit
Deutschland-Bezug finden.
Starten Sie mit dem Matching oder sprechen Sie mit uns. Das Selection Portal von Find-Your-Software bündelt Anforderungsmanagement, IT-Systemlandschaft und direkten Anbieterkontakt, damit Hauptsitz, Hosting und Vertrag im Auswahlprozess nachvollziehbar dokumentiert sind.