DSGVO in Odoo umsetzen: Verzeichnis, Auskunft, Löschung

Was die DSGVO in Odoo verlangt

Personenbezogene Daten sind alle Angaben, die sich auf eine identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO). Verantwortlicher ist, wer über die Zwecke und Mittel der Verarbeitung entscheidet (Art. 4 Nr. 7 DSGVO). Bei Odoo Online und Odoo.sh trennt der GDPR-Leitfaden von Odoo die Rollen: Der Kunde bleibt Verantwortlicher, Odoo S.A. ist Auftragsverarbeiter; für eine eigene Installation nennt der Leitfaden keine Rolle von Odoo S.A.

Derselbe Leitfaden nennt die Grenze: Die Nutzung von Odoo für die Geschäftsabwicklung reicht für die Konformität nicht aus, weil die Verordnung das ganze Unternehmen betrifft. Odoo bringt Rollen, Rechte und Kontrollen mit; die Dokumentation Ihrer Prozesse und die Beurteilung jedes Verarbeitungsvorgangs bleiben bei Ihnen. Die Verordnung ist seit dem 25. Mai 2018 anzuwenden (Art. 99 Abs. 2 DSGVO).

Für wen die Pflichten gelten

Betroffen ist jede Instanz mit personenbezogenen Daten: Kundenkontakte, Beschäftigte, Bewerbungen, Leads und Website-Besuche. Kein Personenbezug besteht bei einer reinen Sammel- oder Funktionsadresse ohne Bezug zu einem Menschen; der GDPR-Leitfaden stellt ihr eine Adresse mit Namensträger gegenüber, die personenbezogen ist. Deutschland wendet die DSGVO mit dem Bundesdatenschutzgesetz (BDSG) an; was in Österreich und der Schweiz zusätzlich gilt, steht unter Datenschutz in Österreich und der Schweiz.

Die Ausnahme für Unternehmen mit weniger als 250 Mitarbeitern greift nach Art. 30 Abs. 5 DSGVO nur, wenn die Verarbeitung kein Risiko für die Rechte und Freiheiten birgt, nur gelegentlich erfolgt und keine besonderen Datenkategorien nach Art. 9 Abs. 1 oder Daten über strafrechtliche Verurteilungen nach Art. 10 einschließt. Nach dem Kurzpapier Nr. 1 der Datenschutzkonferenz (Stand 17. Dezember 2018) ist die regelmäßige Verarbeitung von Kunden- oder Beschäftigtendaten nicht nur gelegentlich und fällt damit nicht unter die Ausnahme; dasselbe Kurzpapier hält fest, dass das Erstellen eines Verzeichnisses deshalb vielfach geboten sein wird.

In Deutschland kommt § 38 Abs. 1 BDSG hinzu: Wer in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, muss eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten benennen; unabhängig von der Personenzahl gilt das bei Verarbeitungen mit Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und bei geschäftsmäßiger Verarbeitung für Übermittlung, anonymisierte Übermittlung oder Markt- und Meinungsforschung. Der Kontakt des Datenschutzbeauftragten gehört in das Verzeichnis (Art. 30 Abs. 1 Buchst. a DSGVO).

Welche Pflicht welche Odoo-Funktion stützt

Die Tabelle ordnet die Pflichten den Funktionen zu, die die Dokumentation 19.0 und 20.0 oder der GDPR-Leitfaden belegen, und nennt die Grenze jeder Zuordnung.

Pflicht	Odoo-Funktion	Grenze
Verzeichnis der Verarbeitungstätigkeiten (Art. 30 Abs. 1, 3 und 4)	Keine eigene App; Angaben zu Datenbankstruktur und Sicherheit bündelt das technische Menü in den Einstellungen, das Datenbankadministratoren im Entwicklermodus erreichen	Das Verzeichnis führen Sie außerhalb von Odoo; die geöffneten Quellen beschreiben dafür keine Funktion
Auskunft und Kopie (Art. 15 Abs. 1 und 3)	Kundenportal für Vertragsdokumente, Aktion Export ab der Listenansicht als CSV- oder Excel-Datei	Der Export enthält nur die ausgewählten Felder; Daten ohne Kontaktbezug suchen Sie gesondert
Berichtigung (Art. 16, Art. 5 Abs. 1 Buchst. d)	Kontakt bearbeiten, Selbstbedienung im Portal, Aktionen Zusammenführen für Dubletten	Das Zusammenführen ist nicht umkehrbar
Löschung (Art. 17)	Kontakt löschen; Datenbereinigung ▸ Recycling-Regeln mit dem Ziel Löschen	Solange ein Geschäftsdokument auf den Kontakt verweist, sperrt Odoo die Löschung; Archivieren ist keine Löschung; Aufbewahrungspflichten bleiben (Art. 17 Abs. 3 Buchst. b)
Einschränkung der Verarbeitung (Art. 18)	Archivieren als Hilfsmittel	In den geöffneten Quellen ist keine Funktion beschrieben, die Art. 18 Abs. 2 vollständig abbildet
Speicherdauer begrenzen (Art. 5 Abs. 1 Buchst. e)	Recycling-Regel mit Modell, Filter, Zeitfeld, Delta und Einheit	Die Regel läuft einmal täglich oder auf manuellen Start; ein Wiederherstellen gelöschter Datensätze beschreibt die Dokumentation nicht
Sicherheit der Verarbeitung (Art. 32 Abs. 1)	Rollen und Gruppen, Datensatzregeln, gruppenbeschränkte Felder, Zwei-Faktor-Anmeldung (Community-Modul auth_totp)	Die Pflege bei Rollen- und Aufgabenwechsel bleibt Ihre Aufgabe; bei eigener Installation tragen Sie die Maßnahmen selbst
Nachweis der Einhaltung (Art. 5 Abs. 2)	Datenschutzprotokolle des Moduls privacy_lookup in Odoo Community 19.0 und 20.0	Protokolliert werden ausgeführte Aktionen wie Archivieren oder Löschen, nicht die bloße Suche; für Enterprise, Odoo Online und Odoo.sh belegen die geöffneten Quellen die Protokolle nicht
Meldung von Datenpannen (Art. 33 Abs. 1 und 2)	In den geöffneten Quellen ist dafür keine Funktion beschrieben	Der Verantwortliche meldet der Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Kenntnis, außer wenn die Verletzung voraussichtlich kein Risiko für die Rechte und Freiheiten birgt; ein Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich; den Ablauf legen Sie außerhalb von Odoo fest

Wie Sie das Verzeichnis nach Art. 30 führen

Das Verzeichnis enthält den Namen und die Kontaktdaten des Verantwortlichen und eines etwaigen Datenschutzbeauftragten, die Zwecke, die Kategorien betroffener Personen und personenbezogener Daten, die Empfängerkategorien, Übermittlungen in Drittländer, wenn möglich die Löschfristen und eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (Art. 30 Abs. 1 Buchst. a bis g DSGVO). Es ist schriftlich oder elektronisch zu führen (Abs. 3) und der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen (Abs. 4).

Nach dem Kurzpapier Nr. 1 der Datenschutzkonferenz sieht die DSGVO keine Einsichtnahme durch Dritte und keine Meldung an die Aufsichtsbehörde mehr vor; das Verzeichnis wird in der Praxis aus einzelnen Verfahrensbeschreibungen zusammengesetzt, und die Beschreibung der Maßnahmen nach Art. 32 soll so konkret sein, dass eine Aufsichtsbehörde damit eine erste Rechtmäßigkeitsprüfung vornehmen kann. Es ist ein Baustein der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO; Einwilligungen und das Ergebnis einer Datenschutz-Folgenabschätzung dokumentieren Sie zusätzlich.

In Odoo finden Sie die Bausteine, nicht das Ergebnis: die Liste der installierten Apps, die Felder des Kontaktmodells und, im Entwicklermodus, das technische Menü in den Einstellungen mit Angaben zu Datenbankstruktur und Sicherheit. Zweck, Zugriff und Löschfrist notieren Sie je Verarbeitung selbst und prüfen die Einträge nach jedem Versionswechsel gegen die dann installierten Apps.

Wie Sie Auskunft nach Art. 15 erteilen

Die betroffene Person kann eine Bestätigung und Auskunft über Zwecke, Datenkategorien, Empfänger, geplante Speicherdauer, ihre weiteren Rechte, die Herkunft der Daten und eine automatisierte Entscheidungsfindung verlangen (Art. 15 Abs. 1 Buchst. a bis h DSGVO). Eine Kopie ist unentgeltlich, für weitere Kopien darf der Verantwortliche ein Entgelt auf Grundlage der Verwaltungskosten verlangen (Abs. 3); bei einem elektronischen Antrag sind die Informationen in einem gängigen elektronischen Format bereitzustellen, sofern die Person nichts anderes wünscht.

In Odoo beginnt die Zusammenstellung am Kontakt: Die Smart-Buttons führen zu Angeboten, Aufträgen, Rechnungen und Tickets dieser Person. Für eine Datei markieren Sie die Datensätze in der Listenansicht und öffnen Aktion ▸ Export. Der Dialog zeigt die auswählbaren Felder; in Odoo 19.0 blendet ein Häkchen auf die aktualisierbaren Felder ein, in Odoo 20.0 stehen links die verfügbaren Felder und rechts die Spalten der Datei. Exportiert wird nur, was Sie auswählen. Der GDPR-Leitfaden verweist zusätzlich auf das Kundenportal und darauf, Daten ohne Kontaktbezug gesondert über Name oder E-Mail-Adresse zu suchen, etwa Anmeldungen zu Veranstaltungen oder Leads.

In Odoo Community 19.0 und 20.0 können Administratoren die Aktion Privacy Lookup starten; sie sucht Referenzen in Kontakten, Benutzern und weiteren Modellen mit gespeicherten E-Mail-Feldern. Für Enterprise, Odoo Online und Odoo.sh belegen die geöffneten Quellen diese Funktion nicht; die Einzelheiten stehen unter CRM-Daten in Odoo und die DSGVO.

Wie Sie nach Art. 17 löschen und was daran hindert

Gelöscht werden muss, wenn die Daten für den Zweck nicht mehr nötig sind, wenn die Einwilligung widerrufen wird und keine andere Rechtsgrundlage für die Verarbeitung besteht, wenn ein Widerspruch durchgreift, wenn die Verarbeitung unrechtmäßig war, wenn eine rechtliche Pflicht es verlangt oder wenn die Daten in Bezug auf angebotene Dienste der Informationsgesellschaft nach Art. 8 Abs. 1 DSGVO erhoben wurden (Art. 17 Abs. 1 Buchst. a bis f). Die Pflicht entfällt nach Art. 17 Abs. 3, hier Buchst. b, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist; in Deutschland sind das die Aufbewahrungsfristen aus Handels- und Steuerrecht.

Odoo setzt diese Abwägung technisch um: Nach dem GDPR-Leitfaden bricht das System die Löschung ab, solange ein Geschäftsdokument wie Rechnung, Lieferung oder Forumsbeitrag auf den Kontakt zeigt. Bleibt kein Grund für die personenbezogenen Angaben, ersetzen Sie Name, Anschrift und E-Mail-Adresse oder ordnen die Belege einem neutralen Kontakt zu. Archivieren ist keine Löschung: Archivierte Kontakte bleiben über den Filter Archiviert auffindbar.

Für planmäßiges Aufräumen gibt es die Recycling-Regeln unter Datenbereinigung ▸ Datensätze recyceln. Eine Regel braucht das Modell, optional einen Filter, ein Zeitfeld mit Delta und Einheit sowie das Ziel Archivieren oder Löschen; bei Löschen entscheiden Sie, ob archivierte Datensätze einbezogen werden. Regeln laufen standardmäßig einmal täglich, lassen sich aber jederzeit manuell starten. Das Basismodul data_recycle nennt die Dokumentation für Community; Dublettenprüfung und Feldbereinigung derselben App führt sie nur für Enterprise. Nach der Datenschutzerklärung mit Geltungsbeginn 24. September 2026 bleiben in der Odoo Cloud auch gelöschte Daten bis zu zwölf Monate in Sicherungen und werden dort anschließend automatisch zerstört; Odoo nutzt diese Kopien nur zur Erhaltung der Integrität seiner Sicherungen, außer Sie oder das Gesetz verlangen eine Nutzung. Fristen für Belege stehen unter Aufbewahrung in Odoo: Belege und Fristen in Deutschland.

Wie Sie die Verarbeitung nach Art. 32 absichern

Art. 32 Abs. 1 DSGVO verlangt geeignete technische und organisatorische Maßnahmen für ein dem Risiko angemessenes Schutzniveau, unter anderem Pseudonymisierung und Verschlüsselung, die dauerhafte Sicherung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, die rasche Wiederherstellung nach einem Zwischenfall und ein Verfahren zur regelmäßigen Überprüfung der Maßnahmen. Unterstellte Personen dürfen personenbezogene Daten nur auf Anweisung verarbeiten (Art. 32 Abs. 4 DSGVO).

In Odoo steuern Sie den Zugriff über Rollen und Gruppen, verengen ihn mit Datensatzregeln in Odoo und blenden einzelne Felder für Gruppen aus; welche Wege es gibt, zeigt Vertrauliche Kontakte in Odoo. Die privaten Angaben am Mitarbeiter beschreibt der GDPR-Leitfaden als nur für die Personalgruppe sichtbar und nennt für ihre Speicherung einen Wechsel mit Version 17 vom privaten Kontakt zum Mitarbeiterdatensatz. Für die Anmeldung nennt der GDPR-Leitfaden Passwort-Hashing sowie OAuth 2.0 oder LDAP als externe Verfahren; das Community-Modul auth_totp ergänzt eine Zwei-Faktor-Anmeldung mit zeitbasierten Einmalpasswörtern, wie die Branches 19.0 und 20.0 zeigen. Wege dazu stehen unter Zwei-Faktor-Anmeldung und SSO; für Abgänge siehe Zugänge beim Austritt. Bei eigener Installation tragen Sie die Maßnahmen selbst und ergänzen Server absichern und eine Backup-Strategie; in der Odoo Cloud beschreibt die Datenschutzerklärung die Maßnahmen des Anbieters, und welche Rolle wer trägt, steht unter Odoo-Hosting und DSGVO.

Was bei einem Verstoß droht

Die Aufsichtsbehörde kann Geldbußen verhängen, die wirksam, verhältnismäßig und abschreckend sein müssen (Art. 83 Abs. 1 DSGVO). Für Verstöße gegen die Pflichten aus Art. 25 bis 39 DSGVO, zu denen das Verzeichnis nach Art. 30 und die Sicherheit nach Art. 32 gehören, reicht der Rahmen bis 10 Mio. EUR oder 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs; für Verstöße gegen die Grundsätze nach Art. 5, 6, 7 und 9 und gegen die Betroffenenrechte nach Art. 12 bis 22, also auch Auskunft und Löschung, bis 20 Mio. EUR oder 4 %. Der Umsatzmaßstab gilt nur im Fall eines Unternehmens, und es gilt jeweils der höhere Betrag (Art. 83 Abs. 4 Buchst. a, Abs. 5 Buchst. a und b DSGVO). Das Kurzpapier Nr. 1 der Datenschutzkonferenz ordnet ein fehlendes oder unvollständiges Verzeichnis dem Rahmen des Art. 83 Abs. 4 Buchst. a DSGVO zu.

Checkliste für Ihren Betrieb

1. Notieren Sie je Verarbeitung Zweck, Rechtsgrundlage, Datenkategorien, Empfänger, Löschfrist und Maßnahmen und führen Sie das Verzeichnis außerhalb von Odoo.
2. Prüfen Sie die Ausnahme des Art. 30 Abs. 5 DSGVO, die nur gelegentliche Verarbeitung ohne Risiko und ohne besondere Datenkategorien nach Art. 9 Abs. 1 oder Art. 10 DSGVO voraussetzt, und benennen Sie ab der Schwelle des § 38 Abs. 1 BDSG eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten.
3. Legen Sie für Anträge Betroffener einen Ablauf mit Eingangsdatum, Monatsfrist, Kontakt, Smart-Buttons und Export fest.
4. Testen Sie Recycling-Regeln in einer Testdatenbank, bevor eine Regel scharf läuft.
5. Trennen Sie Löschen, Anonymisieren und Archivieren in Ihrer Anweisung und halten Sie die Aufbewahrungspflichten je Dokumentenart fest.
6. Prüfen Sie Gruppen, Datensatzregeln und Feldrechte bei jedem Rollenwechsel, nach jedem Austritt und nach jedem Versionswechsel.