CRM-Daten in Odoo und die DSGVO

Wer für CRM-Daten verantwortlich ist

Über Zwecke und Mittel der Verarbeitung entscheidet nach Art. 4 Nr. 7 DSGVO der Verantwortliche; für die Daten Ihrer eigenen Odoo-Datenbank sind das in der Regel Sie, und wer die Daten im Auftrag eines anderen führt, ist Auftragsverarbeiter nach Art. 4 Nr. 8 DSGVO. Die Verordnung gilt seit dem 25. Mai 2018 (Art. 99 Abs. 2 DSGVO). Der GDPR-Leitfaden von Odoo, der kein Versionsdatum trägt, trennt die Rollen: In der Odoo Cloud (Odoo Online, Odoo.sh und weitere Enterprise-Dienste) bleibt der Kunde Verantwortlicher und Odoo S.A. ist Auftragsverarbeiter; für eigene Infrastruktur nennt der Leitfaden in der Zeile On-Premise keine Rolle von Odoo S.A.

Die DSGVO verlangt mit einem Auftragsverarbeiter einen Vertrag zu Gegenstand, Dauer, Art und Zweck der Verarbeitung und zu den Pflichten (Art. 28 Abs. 3 DSGVO); weitere Unterauftragnehmer brauchen eine vorherige Genehmigung (Art. 28 Abs. 2 DSGVO). Nach dem Leitfaden sind die Datenschutzklauseln Teil des Enterprise-Abonnementvertrags; prüfen Sie die Fassung für Ihren Vertrag und die Hosting-Region, siehe Hosting-Optionen für Odoo. Für die Region Europa nennt die Datenschutzerklärung von Odoo Produktionsstandorte in Frankreich und Belgien und Sicherungen in Frankreich, den Niederlanden und Schweden. Die auf die EU begrenzten Sicherungen gelten der Fußnote ihrer Tabelle zufolge für neue Kunden mit Odoo 19.0 oder neuer; andere EU-gehostete Kunden haben bis zum Abschluss der Umstellung, für den die Erklärung das Ziel viertes Quartal 2026 nennt, weiterhin eine zusätzliche Sicherung in Kanada, das die Tabelle mit dem Zeichen für Staaten mit Angemessenheitsbeschluss führt. Gelöschte personenbezogene Daten können nach derselben Erklärung bis zu zwölf Monate in den Sicherungen verbleiben, bis sie automatisch zerstört werden; Odoo verpflichtet sich, diese Sicherungskopien zu keinem anderen Zweck zu nutzen als zur Erhaltung der Integrität seiner Sicherungen, es sei denn, Sie oder das Gesetz verlangen eine Nutzung. Die EU-Standardvertragsklauseln nennt die Erklärung für Zugriffe von Mitarbeitern ausländischer Tochtergesellschaften; für weitere Drittlandübermittlungen prüfen Sie die Grundlage gesondert.

Welche Rechtsgrundlage ein Lead tragen muss

Jede Verarbeitung braucht einen festgelegten Zweck und eine Rechtsgrundlage (Art. 5 Abs. 1 Buchst. b, Art. 6 Abs. 1 DSGVO). Für eine Anfrage aus dem Kontaktformular kommt die Vertragsanbahnung in Betracht (Buchst. b), für eine Werbeanmeldung die Einwilligung (Buchst. a), für Bestandskundenpflege und Kaltakquise die Interessenabwägung (Buchst. f). Diese Einordnung hängt von Zweck, Quelle und betroffener Person ab; halten Sie sie je Quelle schriftlich fest und lassen Sie sie prüfen (redaktionelle Empfehlung).

Eine Einwilligung müssen Sie nachweisen können (Art. 7 Abs. 1 DSGVO); der Widerruf ist jederzeit möglich (Art. 7 Abs. 3 DSGVO). Für elektronische Post zu Werbezwecken verlangt zusätzlich Art. 13 Abs. 1 der Richtlinie 2002/58/EG eine vorherige Einwilligung; Absatz 1 gilt nach Art. 13 Abs. 5 für Teilnehmer, die natürliche Personen sind, während die Mitgliedstaaten für andere Teilnehmer nur einen angemessenen Schutz ihrer berechtigten Interessen sicherstellen. Die Ausnahme für eigene ähnliche Produkte setzt elektronische Kontaktdaten aus einem Verkauf sowie eine gebührenfreie, problemlose Ablehnung bei der Erhebung und bei jeder Nachricht voraus (Art. 13 Abs. 2). Die Umsetzung in Odoo beschreibt Newsletter mit Odoo.

Wen Sie wann informieren müssen

Bei der Person selbst erhobene Daten verlangen zum Zeitpunkt der Erhebung Informationen zu Zweck und Rechtsgrundlage (Art. 13 Abs. 1 Buchst. c DSGVO), bei berechtigtem Interesse zusätzlich zu diesem Interesse (Buchst. d). Für Formulare auf der Website gehört die Datenschutzerklärung dazu; was für Cookies gilt, steht unter Datenschutz auf der Odoo-Website. Daten aus fremder Quelle fallen unter Art. 14 DSGVO mit eigener Frist: innerhalb einer angemessenen Frist nach Erhebung, längstens eines Monats; sollen sie zur Kommunikation mit der Person dienen, spätestens zur ersten Mitteilung an sie, und ist eine Offenlegung an einen anderen Empfänger beabsichtigt, spätestens zur ersten Offenlegung (Art. 14 Abs. 3 Buchst. a bis c); Absatz 5 nennt Ausnahmen, etwa wenn die Information unmöglich oder unverhältnismäßig aufwendig wäre. Das betrifft die Lead-Gewinnung, bei der die Dokumentation selbst auf die EU-Vorschriften verweist; die Wege solcher Datensätze zeigt Leads in Odoo erfassen.

Welche Pflicht welche Odoo-Funktion stützt

Die Tabelle ordnet die Pflichten den Funktionen zu, die die Dokumentation 19.0/20.0 oder der Community-Quellcode belegt.

Pflicht nach DSGVO	Odoo-Funktion	Was Sie prüfen
Zweck, Rechtsgrundlage und Information (Art. 5 Abs. 1 Buchst. a und b, Art. 6, Art. 13, Art. 14 Abs. 3, Art. 30 Abs. 1)	Felder Quelle, Mittel und Kampagne am Lead, Tags und Notizen am Kontakt; Formulare des Website-Baukastens, Mailinglisten-Anmeldung, Seite mit der Datenschutzerklärung	Je Quelle eintragen; jeden Erfassungspunkt prüfen; bei Fremddaten gilt Art. 14
Auskunft und Kopie (Art. 15)	Smart-Buttons am Kontakt, Kundenportal, Aktion ▸ Export als CSV- oder Excel-Datei	Unverzüglich, spätestens einen Monat ab Eingang (Art. 12 Abs. 3); der Export enthält nur gewählte Felder
Datenübertragbarkeit (Art. 20)	Aktion ▸ Export als CSV- oder Excel-Datei	Gilt nur für Daten, die die Person bereitgestellt hat, bei Einwilligung oder Vertrag als Grundlage und automatisierter Verarbeitung; Format strukturiert, gängig und maschinenlesbar (Art. 20 Abs. 1)
Berichtigung (Art. 16, Art. 5 Abs. 1 Buchst. d)	Kontakt bearbeiten, Selbstbedienung im Portal, Dubletten über Kontakte ▸ Aktion ▸ Zusammenführen	Das Zusammenführen ist nicht umkehrbar; Master-Datensatz vorher festlegen
Löschung (Art. 17)	Kontakt löschen oder anonymisieren; Archivieren erhält den Datensatz und ist keine Löschung; laut GDPR-Leitfaden blockiert Odoo die Löschung bei verknüpften Geschäftsdokumenten	Aufbewahrungspflichten und Art. 17 Abs. 3 Buchst. b prüfen; anonymisieren nur, wenn kein Grund für das Behalten personenbezogener Daten bleibt; Archivieren nur, solange eine Rechtsgrundlage bleibt
Widerspruch gegen Werbung (Art. 21 Abs. 2 und 3)	Sperrliste (Blacklist) der E-Mail-Marketing-App, Abmeldelink im Footer, Vorlieben-Seite der Mailingliste	Die Sperrliste wirkt je E-Mail-Adresse und stoppt Marketing-Mails, nicht Transaktionsmails; weitere Adressen und andere Kanäle gesondert prüfen
Einschränkung der Verarbeitung (Art. 18)	Archivieren und Sperrliste als Hilfsmittel; in den geöffneten Quellen ist dafür keine Funktion beschrieben, die Art. 18 Abs. 2 vollständig abbildet	Nach Art. 18 Abs. 2 dürfen eingeschränkte Daten außer zur Speicherung nur mit Einwilligung, zur Geltendmachung von Rechtsansprüchen, zum Schutz der Rechte anderer oder aus wichtigem öffentlichen Interesse verarbeitet werden
Speicherdauer begrenzen (Art. 5 Abs. 1 Buchst. e)	Datenbereinigung ▸ Datensätze recyceln: Recycling-Regel mit Modell, Filter, Zeitfeld, Delta und Ziel Archivieren oder Löschen	Zeitfeld passend wählen; die Aktion Löschen ist endgültig
Datenschutz durch Technikgestaltung und Sicherheit (Art. 25, Art. 32)	Benutzergruppen und Datensatzregeln je Rolle; Passwort-Hashing, OAuth oder LDAP nach dem GDPR-Leitfaden	Berechtigungen bei jedem Rollenwechsel prüfen; Zugriff nur auf Weisung (Art. 32 Abs. 4), siehe Datensatzregeln in Odoo
Verzeichnis und Nachweis (Art. 5 Abs. 2, Art. 30)	Datenschutzprotokolle (Privacy Logs) des Moduls privacy_lookup in Odoo Community 19.0 und 20.0, mit Datum, anonymisiertem Namen, bearbeitender Person und Ausführungsdetails	Protokolliert werden ausgeführte Aktionen wie Archivieren oder Löschen, nicht die bloße Suche; für Enterprise, Odoo Online und Odoo.sh belegen die geöffneten Quellen die Protokolle nicht; das Verzeichnis der Verarbeitungstätigkeiten bleibt Ihre Aufgabe, Art. 30 Abs. 5 prüfen
Datenpanne melden (Art. 33 Abs. 1 und 2)	In den geöffneten Quellen ist dafür keine Funktion beschrieben	Unverzüglich und möglichst binnen 72 Stunden nach Kenntnis an die Aufsichtsbehörde, es sei denn, die Verletzung birgt voraussichtlich kein Risiko; Auftragsverarbeiter melden dem Verantwortlichen unverzüglich; den Ablauf außerhalb von Odoo festlegen

Die vorhersagende Bewertung der Gewinnwahrscheinlichkeit ist laut Dokumentation 20.0 im CRM immer aktiv; beruht sie auf Art. 6 Abs. 1 Buchst. f DSGVO, gilt das Widerspruchsrecht nach Art. 21 Abs. 1 DSGVO.

Auskunft, Löschung und Widerspruch in der Praxis

Die Rechte stehen in Art. 15 bis 22 DSGVO. Die Abwicklung:

1. Eingang, Identität und Frist notieren: unverzüglich, spätestens einen Monat nach Eingang; eine Verlängerung um höchstens zwei Monate nur bei Komplexität oder einer Vielzahl von Anträgen und mit Begründung, die binnen des ersten Monats zugeht (Art. 12 Abs. 3 DSGVO).
2. Kontakt öffnen und die Smart-Buttons zu Angeboten, Aufträgen, Rechnungen und Tickets durchsehen; für eine Kopie die Datensätze markieren und Aktion ▸ Export wählen.
3. In Odoo Community 19.0 und 20.0 als Administrator die Aktion Privacy Lookup starten: Sie durchsucht Kontakte und Benutzer samt deren Direktnachrichten und geht weitere Modelle durch, die bestimmte gespeicherte E-Mail-Felder tragen; nur innerhalb dieser Prüfung sucht sie zusätzlich über das Namensfeld. Felder, die auf einen Kontakt verweisen, kommen hinzu.
4. In Odoo Community 19.0 und 20.0 je Treffer entscheiden: Löschen mit Rückfrage (nicht umkehrbar) oder Archivieren. Archivieren ist keine Löschung; die Daten bleiben über den Filter Archiviert auffindbar.
5. Widerspruch gegen Werbung über Abmeldelink und Sperrliste umsetzen (Art. 21 Abs. 2 und 3 DSGVO) und prüfen, ob andere Zwecke die Daten weiter tragen.
6. Verweist ein Geschäftsdokument auf den Kontakt, ersetzen Sie Name, E-Mail und Adresse durch neutrale Angaben, wenn keine Aufbewahrungspflicht entgegensteht und kein anderer Grund für das Behalten personenbezogener Daten bleibt.
7. In Odoo Community 19.0 und 20.0 entsteht ein Eintrag in den Datenschutzprotokollen, wenn Sie die Nachschau durch Archivieren oder Löschen abschließen; die reine Suche schreibt keinen Eintrag. Der Eintrag dient dem Nachweis nach Art. 5 Abs. 2 DSGVO.

Aufbewahrung planen statt Daten anhäufen

Recycling-Regeln liegen unter Datenbereinigung ▸ Konfiguration ▸ Recycling-Regeln. Eine Regel braucht ein Modell (etwa Lead/Verkaufschance), optional einen Filter, ein Zeitfeld mit Delta und Einheit sowie das Ziel Archivieren oder Löschen; bei Löschen entscheiden Sie, ob archivierte Datensätze einbezogen werden. Die Dokumentation nennt als Beispiel eine Regel, die archivierte Leads und Verkaufschancen mit dem Verlustgrund „Zu teuer“ löscht, wenn das Feld Zuletzt aktualisiert am ein Jahr zurückliegt; Regeln laufen täglich oder auf Anstoß.

Das Recycling gehört zum Basismodul data_recycle, das die Dokumentation für Community nennt; Deduplizierung und Feldbereinigung derselben App sind Enterprise vorbehalten. Dublettenregeln ermitteln ebenfalls bei einem täglichen Lauf die Datensätze, die dieselbe Kennung tragen; zusammengeführt wird erst nach manueller Freigabe oder automatisch, sobald die Ähnlichkeit den eingestellten Schwellenwert übersteigt. Das verbessert die Richtigkeit nach Art. 5 Abs. 1 Buchst. d DSGVO, ist aber nicht umkehrbar. Den Vorschlags-Schwellenwert zeigt Odoo erst im Entwicklermodus.

Gesetzliche Aufbewahrungspflichten können eine Löschung sperren; Art. 17 Abs. 3 Buchst. b DSGVO nimmt solche Fälle aus. Notieren Sie sie mit Frist und Fundstelle, damit der nächste Recycling-Lauf sie nicht erfasst.

Was bei einem Verstoß droht

Die Aufsichtsbehörde verhängt Geldbußen, die wirksam, verhältnismäßig und abschreckend sein müssen (Art. 83 Abs. 1 DSGVO). Bei der Bemessung zählen Art, Schwere und Dauer des Verstoßes, Vorsätzlichkeit oder Fahrlässigkeit und Maßnahmen zur Minderung des Schadens (Art. 83 Abs. 2 DSGVO). Für Verstöße gegen die Grundsätze und die Einwilligungsbedingungen (Art. 5, 6, 7, 9 DSGVO) und gegen die Betroffenenrechte (Art. 12 bis 22 DSGVO) reicht der Rahmen bis 20 Mio. EUR oder 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, für Pflichten unter anderem aus Art. 25 bis 39 DSGVO bis 10 Mio. EUR oder 2 %; es gilt der höhere Betrag, und der Umsatzmaßstab gilt nur im Fall eines Unternehmens (Art. 83 Abs. 4 und 5 DSGVO). Mehrere Verstöße im selben Zusammenhang erhöhen die Summe nicht über den schwersten Betrag (Art. 83 Abs. 3 DSGVO).

Checkliste für Ihren Betrieb

1. Halten Sie für jede Lead-Quelle Zweck und Rechtsgrundlage schriftlich fest und lassen Sie beides prüfen.
2. Prüfen Sie bei Odoo Online und Odoo.sh Vertrag, Hosting-Region und Sicherungsstandorte; für die Region Europa nennt die Datenschutzerklärung Sicherungen in Frankreich, den Niederlanden und Schweden, für andere EU-gehostete Kunden als Neukunden mit Odoo 19.0 oder neuer bis zur Umstellung zusätzlich Kanada; gelöschte Daten können bis zu zwölf Monate in Sicherungen liegen, die Odoo nur zur Erhaltung ihrer Integrität nutzt, außer Sie oder das Gesetz verlangen eine Nutzung.
3. Räumen Sie die Zugriffe auf: Wer braucht Kontakte und CRM, wer nur einzelne Belege?
4. Legen Sie einen Ablauf für Anträge Betroffener fest: Eingangsdatum, Frist, Weg über Export und Nachschau und ein Protokolleintrag, wenn Sie dabei archivieren oder löschen.
5. Testen Sie eine Recycling-Regel in einer Testdatenbank, bevor sie scharf läuft, und prüfen Sie Sperrliste und Abmeldelink vor jeder Kampagne.
6. Sehen Sie den GDPR-Leitfaden und die Datenschutzerklärung bei jedem Release durch; beide sind nicht versionsgebunden.