.svg)
Dieser Post ist eine Zusammefassung für Datenschutzbeauftragte und alle, die Antworten zu DSGVO in Pipedrive brauchen.
Die wesentlichen Punkte in Bezug auf DSGVO in Pipedrive:
DSGVO-Konformität: Der Serverstandort für EU Kunden ist in der EU. Für Kunden aus Deutschland werden Daten in Frankfurt gehostet.
Auftragsverarbeitungsvertrag: Pipedrive bietet diesen an und kann ihn bei Bedarf unterzeichnen.
Sicherheit: Technische Maßnahmen wie 2FA, Zugriffskontrollen und Verschlüsselung sind vorhanden.
Berufsgeheimnis: Die Datenverarbeitung erfolgt auf Servern in der EU, um mögliche Verstöße gegen das Berufsgeheimnis zu vermeiden. Dafür sollte auf die Nutzung von Features wie KI erst mal abgesehen werden, weil es noch keine Anbieter gibt, die in der EU ihre Angebote hosten.
Pipedrive als Datenverarbeiter und Datenverantwortlicher
Pipedrive ist im Kontext der DSGVO der Datenverarbeiter gemäß Kundenanweisungen und ist damit der Datenverantwortliche.
Die Zusatzvereinbarung zur Datenvereinbarung (DPA) ist verfügbar hier.
Alle EU-Kunden haben eine vertragliche Beziehung zu Pipedrive’s EU-Einheit mit Sitz in Estland. Daten, die in Pipedrive gespeichert werden, werden in der EU (Frankfurt, Stockholm, Dublin) gehostet bzw. in DSGVO-konformen Regionen verarbeitet. Eine Liste der Subverarbeiter ist hier. Die Liste ist eine gute Checkliste, um einzelne Features abzuklopfen. Auf alles, was nicht in der EU gehostet wird, kann verzichtet werden, da die damit verbundenen Features optional sind.
Pipedrive-Nutzer sind für die konkrete Nutzung und Einhaltung der DSGVO verantwortlich, z.B. wenn's um Datenaustausch per Email geht oder Daten auf der Website erhoben werden.
Technische und organisatorische Maßnahmen
Hohe Sicherheitsstandards werden mit ISO/IEC 27001 und SOC 2/3 Zertifizierungen nachgewiesen. Eine vollständige Beschreibung ist im Artikel Datenschutz und Sicherheit bei Pipedrive.
Daten werden verschlüsselt übertragen (TLS) und gespeichert (AES-256).
Zugang wird überwacht, wozu Pipedrive regelmäßige Monitoring-Übersichten an Admins versendet. Es werden regelmäßige interne und externe Audits durchgeführt, um Datenschutzstandards einzuhalten.
Nutzerprofile können mit unterschiedlichen Zugriffsrechten ausgestattet werden, so dass sensible Daten nicht für alle sichtbar oder änderbar sind.
DSGVO-konforme Nutzung von Pipedrive-Funktionen
Einige Richtlinien müssen von Nutzern selbst eingehalten werden, da sie von der Nutzungsart von Pipedrive abhängen. Je nach dem, ob bestimmte Features gebraucht werden. Im speziellen geht es um optionale Nutzung von Webformularen, E-Mail- und Webbesucher-Tracking, als auch Nutzung von AI Tools.
Einwilligungserklärung in Webformularen
Webformulare von Pipedrive können Einwilligungserklärungen erhalten. Wie es realisiert wird, ist im Artikel DSGVO-Konforme Webformulare in Pipedrive beschrieben. Da alle Formularabsendungen in Pipedrive protokoliert werden, kann die Zustimmung jederzeit nachgewiesen werden.
Email Tracking
Email-Tracking ist optional und kann jedes mal beim Versenden eingestellt werden. Tracking erfordert grundsätzlich die Einwilligung des Empfängers. Diese wird in der Regel separat eingeholt, wonach die Nutzung von Tracking erlaubt ist. Zusätzlich kann das Feature im Datenschutzhinweis auf der Website erwähnt werden.
Der Umgang mit E-Mail-Tracking ist ausführlich im Artikel DSGVO-konformes E-Mail-Tracking beschrieben.
Tracking von Webbesuchern
Ein seltener benutztes, optionales Feature ist das Webtracking. Pipedrive bietet eine Option, Webbesucher per HTML-Code auf der Website zu tracken. Diese Methode muss vom Nutzer auf der Website integriert werden, bevor sie benutzt werden kann.
Wie das Feature benutzt werden kann, ist im Artikel Webbesucher beschrieben.
Wichtig: es werden nicht konkrete Besucher, sondern mögliche Unternehmen getrackt. Um mögliche Ansprechpartner aus dem Unternehmen zu finden, kann ein anderes Feature namens Prospector verwendet werden. Prospector scannt Pipedrive's Unternehmensdatenbanken ab nach möglichen Kontaktpersonen im Unternehmen. Sowohl Prospector als auch Webtracking sind bezahlte, optionale Features von Pipedrive.
AI Tools
Seit 2024 hat Pipedrive eine Reihe von AI Tools eingebaut, die alle optional sind. Da die Datenschutzbestimmungen hierzu noch nicht vollständig geklärt sind, ist es ratsam, die Features ausgeschaltet zu lassen.
AI Features können für das gesamte Unternehmen abgeschaltet bzw. nur zum Teil aktiviert werden.
Rechte der betroffenen Personen
Vollständige Beschreibung von Datenschutzrechten ist im Artikel Datenschutzhinweis beschrieben. In Stichpunkten gilt:
- Auskunftsrecht: Nutzer können personenbezogene Daten anfordern und exportieren.
- Recht auf Berichtigung: Korrektur oder Aktualisierung gespeicherter Daten ist möglich.
- Recht auf Löschung („Recht auf Vergessenwerden“): Möglichkeit zur Löschung personenbezogener Daten auf Anfrage.
- Datenübertragbarkeit: Export personenbezogener Daten im maschinenlesbaren Format.
- Widerspruchsrecht: Nutzer können Einwilligungen widerrufen und Datenverarbeitung einschränken.
Fazit
Durch die proaktive Umsetzung der DSGVO-Richtlinien bietet Pipedrive seinen Nutzern eine sichere Plattform für das Kundenbeziehungsmanagement. Pipedrive wird erfolgreich von Anwaltskanzleien und Steuerberatern eingesetzt, die besonders strenge Anforderungen an Datenschutz erfüllen müssen. Pipedrive selbst ist bemüht, sämtliche europäischen Richtlinien einzuhalten und ist sehr transparent diesbezüglich.
Bei weiteren Fragen kann Data Privacy Office von pipedrive angeschrieben werden: dpo@pipedrive.com.
