So gelingt DSGVO-Konforme Datenarchitektur in Dynamics 365

In einer Zeit, in der Datenschutz nicht nur gesetzliche Pflicht, sondern auch geschäftskritischer Vertrauensfaktor ist, rückt die DSGVO-konforme Gestaltung von CRM-Systemen wie Microsoft Dynamics 365 in den Fokus vieler Unternehmen. Insbesondere die Speicherung und Verarbeitung personenbezogener Daten in Sales, Marketing und Customer Service bringt komplexe Anforderungen mit sich. Dynamics 365 bietet dafür eine leistungsstarke technische Basis – aber nur durch gezielte Architekturentscheidungen, klare Prozesse und gezielte Konfiguration wird daraus ein datenschutzkonformes System.

Disclaimer: Das ist keine Rechtsberatung.

Grundprinzipien der DSGVO – und was sie in einem CRM bedeuten

Rechtmäßigkeit, Verarbeitung nach Treu & Glauben

Jede Verarbeitung personenbezogener Daten benötigt eine eindeutige rechtliche Grundlage. Im CRM-Kontext sind das meist Einwilligungen, vertragliche Pflichten oder berechtigtes Interesse. Diese Grundlage sollte im Datenmodell abbildbar und dokumentierbar sein. Im Alltag zeigt sich das z. B. darin, dass Vertriebsmitarbeitende nur dann bestimmte Daten sehen oder bearbeiten können, wenn der Zweck eindeutig hinterlegt und die rechtliche Grundlage nachvollziehbar ist.

Transparenz

Betroffene müssen jederzeit nachvollziehen können, welche Daten zu welchem Zweck verarbeitet werden. Das lässt sich z. B. durch Hinweise auf Datenschutzrichtlinien direkt im CRM-Formular umsetzen – z. B. im Footer von Lead- oder Kontaktformularen. Transparente Prozesse stärken das Vertrauen und reduzieren Beschwerden.

Zweckbindung & Datenminimierung

CRM-Systeme neigen zu "Datensammelwut" – genau hier ist Vorsicht geboten. Nur wirklich notwendige Felder sollten in Formularen enthalten sein, und jede neue Entität muss einer klaren Zweckbeschreibung unterliegen. Die Minimierung der Datenerhebung ist einer der effektivsten Hebel für DSGVO-Compliance.

Richtigkeit & Aktualität

Kunden haben das Recht auf Berichtigung ihrer Daten. Dynamics 365 unterstützt dies z. B. über Portale oder durch manuelle Prüfprozesse, etwa über Workflows zur Datenvalidierung. Eine regelmäßige Datenpflege ist Pflicht – nicht nur aus Gründen der Datenqualität, sondern auch für die DSGVO. Im Alltag bedeutet das zum Beispiel, dass ein Kunde bei einem falsch geschriebenen Namen direkt über das Kundenportal eine Korrektur anstoßen kann, die nach interner Prüfung automatisch ins CRM übernommen wird.

Speicherbegrenzung

Nicht alle Daten müssen oder dürfen ewig gespeichert bleiben. Für jede Entität sollte es ein definiertes Aufbewahrungskonzept geben, das sich durch Automatisierung mit Bulk-Delete-Jobs oder Retention Policies technisch umsetzen lässt. Im Alltag bedeutet das etwa, dass Altanfragen im Support oder veraltete Marketing-Leads nach einem festgelegten Zeitraum automatisch entfernt oder archiviert werden – so bleiben die Systeme schlank, aktuell und DSGVO-konform.

Integrität / Vertraulichkeit

Hier greift das Rollenmodell von Dynamics 365 – ergänzt durch Verschlüsselung und Data Loss Prevention. Ziel ist ein System, das sicherstellt, dass nur Berechtigte Zugriff auf sensible Inhalte erhalten. Eine rollenbasierte Zugriffskontrolle ist dabei das Fundament. In der Praxis bedeutet das z. B., dass Mitarbeiter aus dem Vertrieb keine Support-Tickets mit Gesundheitsdaten einsehen können – selbst wenn sie Zugriff auf denselben Kontakt haben. Die Rollen definieren also nicht nur, wer was sieht, sondern schützen aktiv vor ungewollter Einsicht oder Manipulation sensibler Informationen.

Rechenschaftspflicht

Unternehmen müssen jederzeit nachweisen können, dass sie DSGVO-konform arbeiten. Dynamics 365 unterstützt das durch Audit-Trails, Monitoring und zentrale Compliance-Tools, die das gesamte Systemverhalten nachvollziehbar machen. Im Alltag zeigt sich das z. B. bei internen oder externen Audits, bei denen detaillierte Protokolle aller Benutzeraktionen oder Datenzugriffe vorgelegt werden können – automatisiert, vollständig und jederzeit abrufbar.

DSGVO Datenmodell-Design: Minimierung & Zweckbindung richtig umsetzen

Das Datenmodell ist das Rückgrat jedes CRM-Systems – und zugleich ein Ort, an dem sich DSGVO-Grundsätze besonders effizient verankern lassen. Schon bei der Planung neuer Entitäten oder Felder sollte geprüft werden, ob deren Erhebung notwendig und der Zweck legitim ist. Nicht benötigte Felder sollten konsequent entfernt oder deaktiviert werden.

Dynamics 365 ermöglicht es, Felder mit Business Rules zu steuern, Pflichtfelder zu definieren oder Eingaben kontextabhängig zu gestalten. Auch Field Security Profiles lassen sich nutzen, um besonders sensible Felder nur bestimmten Benutzergruppen zugänglich zu machen. Best-Practice ist es, das Datenmodell regelmäßig zu überprüfen und überflüssige Felder zu bereinigen, um das Risiko unnötiger Datenverarbeitung zu minimieren.

Einwilligungs- & Präferenzmanagement mit Customer Insights – Journeys

Einwilligungen sind die wohl häufigste rechtliche Grundlage im Marketing – und damit ein zentrales Thema im CRM. Mit Customer Insights – Journeys (ehemals Dynamics 365 Marketing) lassen sich Einwilligungen und Kommunikationspräferenzen zentral erfassen, verwalten und dokumentieren. Über das integrierte Consent Center können Nutzer kanal- und zweckspezifische Einwilligungen geben oder widerrufen.

Die Kombination aus "Purposes" und "Topics" erlaubt eine granulare Abbildung von Einwilligungen, z. B. für Newsletter, Eventeinladungen oder personalisierte Angebote. Durch sogenannte Double-Opt-In-Journeys wird sichergestellt, dass Einwilligungen valide sind und dokumentiert bleiben. Häufige Fehler entstehen, wenn alte Felder wie "DoNotEmail" nicht korrekt mit den neuen Consent-Objekten synchronisiert werden – hier ist saubere Migration wichtig.

Aufbewahrungs- & Löschkonzepte

Ein sauber definiertes Löschkonzept ist essenziell, um Speicherbegrenzung umzusetzen. Dabei ist zu unterscheiden zwischen gesetzlich vorgeschriebenen Aufbewahrungsfristen (z. B. HGB, AO) und operativen Anforderungen aus Vertrieb oder Kundenservice. Dynamics 365 bietet mehrere technische Wege, um Löschprozesse umzusetzen.

Zum einen können regelmäßig geplante Bulk-Delete-Jobs genutzt werden, etwa um Leads ohne Aktivitäten nach 6 Monaten zu löschen. Alternativ ermöglichen Retention Policies im Compliance Center ein regelbasiertes Vorgehen mit optionaler Archivierung. In sensiblen Bereichen empfiehlt sich ein zweistufiger Prozess: Erst Archivierung, dann Löschung nach Prüfung. Wichtig: Auch gelöschte Daten sollten im Audit nachvollziehbar bleiben.

DSGVO-konforme Datenarchitektur: Verschlüsselung & Schlüsselverwaltung

Dynamics 365 verschlüsselt standardmäßig alle Daten sowohl im Ruhezustand (TDE – Transparent Data Encryption) als auch bei der Übertragung (TLS 1.2). Für besonders schützenswerte Datenbestände kann zusätzlich Customer-Managed Keys (CMK) eingesetzt werden – dabei verwaltet der Kunde seine eigenen Verschlüsselungsschlüssel in Azure Key Vault.

Noch einen Schritt weiter geht Double Key Encryption, etwa für besonders sensible Dokumente, die über SharePoint oder Outlook integriert sind. Dabei werden Daten mit zwei voneinander unabhängigen Schlüsseln verschlüsselt – einer davon liegt beim Kunden. Der Einsatz dieser Funktionen ist technisch anspruchsvoll, bietet aber höchste Sicherheit und ist gerade in regulierten Branchen ein starkes Argument für Microsoft.

Pseudonymisierung & Anonymisierung

Nicht immer dürfen personenbezogene Daten im Klartext verarbeitet werden – vor allem nicht in Testsystemen oder bei ausgelagerten Dienstleistern. Die Pseudonymisierung ersetzt direkt identifizierende Merkmale wie Name oder E-Mail durch Ersatzwerte, z. B. Hashes.

Mit Azure Purview lassen sich sensible Felder automatisch erkennen und klassifizieren. In Kombination mit Power Automate können Workflows erstellt werden, die Daten pseudonymisieren und Schlüssel in einem Azure Key Vault speichern. Wichtig ist hier die Reversibilität – Anonymisierung hingegen ist endgültig und kommt z. B. bei Altbeständen zur Anwendung.

Datenklassifizierung & Sensitivitätslabels

Ein zentrales Element moderner Datenschutzarchitekturen sind sogenannte Sensitivitätslabels. Über das Microsoft Compliance Center können CRM-Daten klassifiziert und automatisiert geschützt werden. So lassen sich z. B. alle Dateien, die personenbezogene Daten enthalten, mit einem Label "Vertraulich – DSGVO" versehen.

Diese Labels lösen bei Bedarf automatisch zusätzliche Sicherheitsmaßnahmen aus – wie z. B. Verschlüsselung, DLP-Richtlinien oder eingeschränkten Zugriff. Besonders sinnvoll ist das beim Export von CRM-Daten in Office-Dokumente, etwa für Reportings oder Präsentationen. Auch Power BI-Exporte lassen sich so absichern.

Audit & Monitoring

Nachvollziehbarkeit ist ein Grundprinzip der DSGVO. Dynamics 365 stellt dafür ein umfassendes Audit-Modul bereit, das Änderungen an Datensätzen, Benutzeraktivitäten und Berechtigungen protokolliert. Zusätzlich lassen sich Aktivitäten über Microsoft Purview und Microsoft Sentinel überwachen.

Vor allem Aktionen wie Massenexporte, Exporte nach Excel oder Massenlöschungen sollten regelmäßig überwacht werden. Auch ungewöhnliche Login-Verläufe oder Gerätewechsel lassen sich mit entsprechenden Policies erkennen. Für besonders kritische Kundenprojekte empfiehlt sich ein Echtzeit-Monitoring mit Alerting über Azure.

Prozesse für Betroffenenrechte (DSAR)

Dynamics 365 bietet mehrere Wege, um Auskunfts- oder Löschanfragen DSGVO-konform zu bearbeiten. Über die Relevance Search oder benutzerdefinierte Reports lassen sich alle zu einer Person gespeicherten Daten auffinden. Anschließend können diese in geeigneten Formaten exportiert oder gelöscht werden.

Löschungen sollten dokumentiert und im DSAR-Register nachgehalten werden. Auch automatisierte Lösch-Workflows über Power Automate können hilfreich sein – etwa mit Freigabe durch einen Datenschutzbeauftragten. Wichtig: Betroffenenrechte müssen fristgerecht, vollständig und nachvollziehbar erfüllt werden.

Data Loss Prevention & Conditional Access

Ein häufiger Schwachpunkt in CRM-Systemen ist der unkontrollierte Export sensibler Daten. Microsoft bietet hier ein starkes Set an Schutzmechanismen: z. B. Conditional Access Policies, die Zugriffe nur von konformen Geräten mit aktivierter MFA erlauben. So kann etwa der Zugriff aus unsicheren Netzwerken blockiert werden.

Über Endpoint-DLP-Richtlinien lässt sich verhindern, dass CRM-Daten auf USB-Sticks kopiert oder per Screenshot abfotografiert werden. Auch für die mobile Nutzung können Schutzmechanismen wie App PIN, Copy/Paste-Sperre oder Remote Wipe aktiviert werden. Diese Maßnahmen erhöhen die Sicherheit drastisch – besonders in BYOD-Szenarien.

Grenzüberschreitende Datenübermittlung & SCCs

Trotz EU-Datenregion bleibt der internationale Support oder Betrieb von Microsoft teilweise grenzüberschreitend. Daher greift Microsoft auf die Standardvertragsklauseln (Standard Contractual Clauses – SCCs) der EU zurück, um ein angemessenes Datenschutzniveau zu gewährleisten.

Mit der neuen EU Data Boundary-Initiative will Microsoft mittelfristig sicherstellen, dass sämtliche Kundendaten in der EU verbleiben. Dennoch müssen Kunden heute noch Transfer Impact Assessments (TIAs) durchführen – insbesondere bei Projekten mit globalem Support. Dynamics 365 ist auf solche Anforderungen vorbereitet, die Verträge enthalten alle relevanten Klauseln bereits automatisch.

Technische & organisatorische Maßnahmen (TOM) im Überblick

Technische Maßnahmen liefert Microsoft mit Dynamics 365, Azure und Power Platform „out of the box“ – dazu zählen etwa Verschlüsselung, Audit, Rollenmodell oder Secure Development Lifecycle. Organisatorische Maßnahmen liegen in der Verantwortung des Unternehmens.

Hierzu zählen z. B. Berechtigungskonzepte, Schulungen, regelmäßige Rezertifizierungen, ein Datenschutzmanagement-System (DSMS) und die klare Zuordnung von Verantwortlichkeiten. Die Kombination beider Aspekte ist entscheidend, denn TOM sind nur wirksam, wenn sie auch gelebt werden. Im Alltag spüren Unternehmen das z. B. bei Onboardings oder Rollenanpassungen – nur wenn klare Zuständigkeiten, Schulungen und Berechtigungskontrollen zusammenspielen, bleibt das System dauerhaft DSGVO-konform und sicher.

Dokumentations- & Nachweispflichten

Bei Audits oder Beschwerden muss ein Unternehmen seine Datenschutzmaßnahmen nachweisen können. Hierzu gehören insbesondere das Verzeichnis der Verarbeitungstätigkeiten (VVT), ein aktuelles Löschkonzept, ggf. eine Datenschutzfolgenabschätzung (DSFA), das DSAR-Register und Audit-Protokolle.

Microsoft stellt mit dem Compliance Manager ein zentrales Werkzeug zur Verfügung, um Maßnahmen zu dokumentieren, zu bewerten und zu priorisieren. Ein internes Datenschutz-Review sollte mindestens jährlich erfolgen – am besten in Kombination mit einem Gap-Assessment.

DSGVO-konforme Datenarchitektur in D365: Fazit & Handlungsempfehlungen

Dynamics 365 bietet starke technische Grundlagen, um Datenschutz in der Praxis umzusetzen – doch entscheidend ist die richtige Architektur, klare Prozesse und gelebte Verantwortung. Wer frühzeitig das Datenmodell aufräumt, Einwilligungen sauber erfasst, Löschprozesse automatisiert und den Zugriff absichert, ist auf einem guten Weg.

Unsere Empfehlung: Beginnen Sie mit den Quick Wins – wie der Konfiguration von Consent Management, der Einführung von Lösch-Jobs und der Aktivierung von Audit Logs. Nutzen Sie die vorhandenen Features konsequent – viele davon sind bereits in der Lizenz enthalten. Datenschutz ist kein Projekt, sondern ein kontinuierlicher Prozess.

Über die Aliru GmbH

Die Aliru GmbH ist Microsoft-Partner und fokussiert sich seit Jahren auf die sichere Einführung und Optimierung von Dynamics 365-Plattformen. Unser Spezialgebiet: Datenschutz-Blueprints, die Technik (Azure, Power Platform) und Recht (DSGVO, BDSG neu) pragmatisch verbinden. Wir begleiten Sie von der Gap-Analyse über das Löschkonzept bis hin zum Auditor-Workshop – damit Ihr CRM nicht nur performant, sondern auch voll compliant läuft.

Disclaimer: Das ist keine Rechtsberatung.