Salesforce und DSGVO: Compliance-Leitfaden 2026

In einem Satz. Salesforce liefert die vertraglichen Bausteine — AV-Vertrag als Bestandteil des Rahmenvertrags, EU-Regionen, veröffentlichte Subprozessorliste, umfangreiche Zertifizierungen —, aber die entscheidenden Weichen stellt der Verantwortliche selbst: Region, Berechtigungsmodell, Löschlogik und die Behandlung der zahlreichen Zusatzdienste, die nicht unter denselben Vertrag fallen.

Salesforce ist selten „ein System". In den meisten deutschen Installationen laufen Sales Cloud, Service Cloud, Marketing Cloud, ein Data Cloud- oder Analytics-Modul und eine Handvoll AppExchange-Erweiterungen nebeneinander — jeweils mit eigenen Datenflüssen und teils mit eigenen Vertragsdokumenten. Wer die Datenschutzbewertung auf „Salesforce" schreibt statt auf die tatsächlich genutzten Dienste, bewertet etwas, das es so nicht gibt. Dieser Leitfaden beschreibt, was ein deutscher Verantwortlicher prüfen, entscheiden und dokumentieren muss. Alle Anbieterangaben haben den Stand Juli 2026; prüfen Sie sie vor Verwendung in Ihrer Dokumentation in Salesforce’ aktueller Rechts- und Compliance-Dokumentation nach — die Angaben ändern sich, und ein Verzeichnis, das auf einer drei Jahre alten Anbieterbroschüre beruht, ist in einer Prüfung wertlos.

Wichtige Punkte

• Der AV-Vertrag ist Bestandteil des Rahmenvertrags (MSA) und wird in der Regel nicht gesondert unterzeichnet — die geltende Fassung müssen Sie trotzdem archivieren.
• Salesforce bietet europäische Betriebsregionen an; welche Region Ihre Organisation nutzt, steht nicht im Vertrag, sondern in Ihrer Instanz.
• Zusatz- und Beta-Dienste sowie AppExchange-Apps fallen häufig nicht unter denselben Vertrag. Das ist der häufigste blinde Fleck.
• Der Konzern verfügt über umfangreiche Zertifizierungen; deren Geltungsbereich müssen Sie gegen die von Ihnen genutzten Dienste abgleichen.
• Eine DSFA wird nicht durch das CRM ausgelöst, sondern durch Scoring, Marketing-Profilbildung und die Zusammenführung in einer Data Cloud.

1. Welche personenbezogenen Daten Salesforce verarbeitet

Im Standardobjekt „Kontakt" stehen Name, geschäftliche Anschrift, E-Mail, Telefon, Position und Zuordnung zu einem Account. Interessanter sind die Objekte darum herum: Aktivitäten (jeder Anruf, jede E-Mail, jeder Termin mit Datum und Notiz), Opportunities mit Umsatzprognosen, Cases mit dem gesamten Supportverlauf, Chatter-Beiträge, Kampagnenzugehörigkeiten und — sobald Marketing Cloud im Spiel ist — Öffnungs-, Klick- und Website-Verhalten natürlicher Personen. In der Service Cloud kommen bei bestimmten Branchen Freitextfelder hinzu, in denen regelmäßig Angaben landen, die als besondere Kategorien einzuordnen sind: Gesundheitsangaben bei Versicherungsfällen, Angaben zur wirtschaftlichen Lage bei Zahlungsstörungen.

Betroffene sind Kunden, Interessenten, Ansprechpartner bei Geschäftspartnern, Endverbraucher und — über Chatter, Aktivitäten und Berichte — auch die eigenen Beschäftigten, deren Vertriebsleistung im System messbar wird. Dieser letzte Punkt wird in Deutschland regelmäßig unterschätzt: Ein Vertriebs-Dashboard, das die Aktivitäten einzelner Mitarbeiter auswertet, ist eine Leistungskontrolle und berührt die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG.

2. Der AV-Vertrag nach Art. 28 DSGVO

Salesforce stellt einen Data Processing Addendum bereit, der über die öffentliche Vertragsdokumentation abrufbar ist und als Bestandteil des Rahmenvertrags einbezogen wird. Für die meisten Kunden ist er selbstvollziehend; eine gesonderte Unterschrift ist nicht erforderlich, aber Sie sollten die geltende Fassung mit Abrufdatum als PDF ablegen. Wenn Ihr Vertrag über einen Reseller läuft, prüfen Sie zusätzlich, wer Ihr Vertragspartner ist und ob die Auftragsverarbeitungskette lückenlos abgebildet ist — das ist bei indirektem Bezug der klassische Bruch. Die inhaltlichen Anforderungen an einen solchen Vertrag stehen in unserem Beitrag zur Auftragsverarbeitung nach DSGVO.

Der Vertrag deckt die Pflichtinhalte des Art. 28 Abs. 3 ab: Weisungsbindung, Vertraulichkeit, Sicherheitsmaßnahmen mit Verweis auf ein technisches Anhangsdokument, Unterstützung bei Betroffenenrechten und Folgenabschätzungen, Löschung oder Rückgabe nach Vertragsende sowie Prüfrechte, die auf Berichte Dritter und Fragebögen beschränkt sind. Zwei Punkte verdienen die genauere Lektüre. Erstens: Der Geltungsbereich. Der Vertrag gilt typischerweise für die „Services" im Sinne des Rahmenvertrags — Zusatzangebote, Vorschaufunktionen, Beta-Programme und Marketplace-Anwendungen sind häufig ausgenommen oder unterliegen eigenen Bedingungen. Zweitens: die Subunternehmerklausel, die mit einer allgemeinen Vorabgenehmigung und einem Widerspruchsrecht arbeitet. Lesen Sie nach, welche Ankündigungsfrist gilt und welche Rechtsfolge ein Widerspruch hat — in aller Regel ein Kündigungsrecht, kein Veto.

3. Hosting und Drittlandtransfer (Stand: Juli 2026)

Salesforce hat seine Plattform in den vergangenen Jahren auf eine Public-Cloud-Architektur umgestellt, in der Kunden eine Betriebsregion wählen; europäische Regionen einschließlich Deutschland gehören dazu. Welche Region Ihre Organisation tatsächlich nutzt, ist eine Tatsachenfrage, die Sie über Ihren Account-Kontakt schriftlich klären und mit Datum dokumentieren sollten — sie ergibt sich weder aus dem Vertrag noch aus der Rechnung.

Auch eine europäische Region beendet den Drittlandbezug nicht. Salesforce ist ein US-Konzern mit weltweiter Supportorganisation; administrativer Zugriff aus Drittländern ist Teil des Betriebsmodells und muss als Übermittlung nach Kapitel V behandelt werden. Vertraglich stützt sich Salesforce auf die Standardvertragsklauseln; der Konzern verweist zusätzlich auf verbindliche interne Datenschutzvorschriften (Binding Corporate Rules) und auf eine Zertifizierung unter dem EU-US Data Privacy Framework. Übernehmen Sie keine dieser Angaben ungeprüft: Sehen Sie im aktuellen Vertragstext nach, welche Grundlage für Ihren Vertrag maßgeblich ist, und prüfen Sie eine DPF-Zertifizierung auf der offiziellen Liste mit Datum. Für die Akte gehören dorthin: Betriebsregion, maßgebliche Transfergrundlage, Prüfdatum und eine Transfer-Folgenabschätzung, die den Zugriff aus Drittländern und die ergänzenden Maßnahmen bewertet. Den methodischen Rahmen liefert unser Beitrag zur internationalen Datenübermittlung, die Besonderheiten von US-Anbietern der Beitrag DSGVO und US-Unternehmen.

4. Subprozessoren

Salesforce veröffentlicht eine Übersicht der Subunternehmer je Produktlinie — das ist wichtig, weil sich die Liste für Sales Cloud, Marketing Cloud und Slack unterscheidet. Ziehen Sie also die Liste für die von Ihnen genutzten Dienste, nicht die erstbeste. Abonnieren Sie die Änderungsbenachrichtigung und legen Sie intern fest, wer sie liest und bewertet: Ein neuer Subunternehmer in einem Drittland löst eine erneute Transferbewertung aus, und die Widerspruchsfrist verstreicht schnell. Wer die Verknüpfung von AV-Vertrag, Subprozessorliste und Verzeichniseintrag über mehrere Dutzend Dienstleister hinweg pflegen muss, stößt mit Tabellen an eine Grenze — dafür gibt es Datenschutzplattformen wie Legiscope, deren Funktionsumfang unser DSGVO-Software-Vergleich einordnet.

5. Sicherheit und Zertifizierungen

Salesforce veröffentlicht ein Compliance-Portal, über das Kunden Prüfberichte und Zertifikate abrufen können; genannt werden dort nach Anbieterangaben unter anderem ISO-27001-Zertifizierungen sowie SOC-Berichte (Stand Juli 2026). Für deutsche Verantwortliche ist zusätzlich relevant, ob und für welche Dienste ein Testat nach dem BSI-Kriterienkatalog C5 vorliegt — das ist im öffentlichen Sektor und bei regulierten Branchen oft eine Vergabevoraussetzung. Prüfen Sie das im Compliance-Portal und achten Sie dabei auf den Geltungsbereich: Ein Testat, das Ihre genutzte Produktlinie nicht abdeckt, hilft nicht. Die Verantwortung für die von Ihnen konfigurierbaren Maßnahmen — Berechtigungen, Mehrfaktor-Anmeldung, Protokollierung — bleibt in jedem Fall bei Ihnen und ist an Art. 32 DSGVO zu messen.

6. Konfigurations-Checkliste

1. Betriebsregion klären und dokumentieren. Schriftliche Bestätigung einholen, mit Datum ablegen.
2. Berechtigungsmodell auf Datenminimierung prüfen. Profile, Rollen und Freigaberegeln so setzen, dass niemand mehr sieht als nötig — „Alles ansehen/ändern" ist ein Administratorrecht, kein Vertriebsrecht.
3. Mehrfaktor-Anmeldung erzwingen und Anmeldungen auf vertrauenswürdige Netze beziehungsweise Zeitfenster begrenzen, wo es betrieblich vertretbar ist.
4. Ereignisprotokollierung aktivieren und die Aufbewahrung der Protokolle festlegen — ohne Protokoll ist eine Datenpanne nicht rekonstruierbar.
5. AppExchange-Anwendungen inventarisieren. Jede installierte App ist ein eigener Empfänger und braucht eine eigene vertragliche Grundlage; nicht genutzte Pakete deinstallieren.
6. Feldhistorie und Freitextfelder begrenzen. Wo Sachbearbeiter frei schreiben können, entstehen unbeabsichtigt besondere Kategorien; schriftliche Anweisung und Stichproben.
7. Löschregeln definieren. Salesforce löscht nichts von selbst, und der Papierkorb ist keine Löschung. Fristen je Objekt festlegen und technisch umsetzen — Systematik im Löschkonzept.
8. Sandbox- und Testumgebungen maskieren. Produktionsdaten in Testinstanzen sind ein klassischer Prüfungsfund.
9. Marketing-Einwilligungen abbilden. Rechtsgrundlage je Kontakt als Feld führen und Abmeldungen systemübergreifend wirken lassen; Muster im Beitrag Einwilligung DSGVO Muster.
10. Berichte und Dashboards über Mitarbeiterleistung vor Einführung mit dem Betriebsrat abstimmen.
11. Datenexporte einschränken. Wer darf Berichte als CSV herunterladen? In vielen Organisationen: zu viele.

7. Was ins Verarbeitungsverzeichnis gehört

Führen Sie getrennte Einträge je Cloud beziehungsweise Zweck: Vertrieb und Kundenbetreuung, Kundenservice, E-Mail- und Kampagnenmarketing, gegebenenfalls Analyse. Je Eintrag: Zweck, Rechtsgrundlage (Vertragserfüllung und -anbahnung, berechtigtes Interesse oder Einwilligung — die Abgrenzung erklärt unser Beitrag zum berechtigten Interesse), Datenkategorien einschließlich der Aktivitäts- und Verhaltensdaten, Betroffenenkategorien einschließlich der eigenen Beschäftigten, Empfänger mit Salesforce als Auftragsverarbeiter und den relevanten Subunternehmern, Drittlandtransfer mit Transfergrundlage und Prüfdatum, Löschfristen und Verweis auf die technischen Maßnahmen. Aufbau und Vorlage im Beitrag Verzeichnis von Verarbeitungstätigkeiten. Wenn Salesforce bei Ihnen an ein Marketing-Werkzeug oder an Slack angebunden ist, gehört diese Schnittstelle als Datenfluss in beide Einträge.

8. Wann eine DSFA nötig ist

Ein klassisches B2B-CRM mit Kontaktdaten und Aktivitätshistorie erreicht die Schwelle des Art. 35 DSGVO in der Regel nicht. Drei Konstellationen ändern das: erstens die systematische Profilbildung über Verbraucher in der Marketing Cloud einschließlich Verhaltenstracking; zweitens die Zusammenführung von Datenbeständen aus mehreren Quellen zu einem Personenprofil, wie sie Data-Cloud-Szenarien vorsehen; drittens jede Auswertung, die das Verhalten der eigenen Beschäftigten systematisch bewertet. In diesen Fällen ist die Datenschutz-Folgenabschätzung durchzuführen und gegen die Muss-Liste Ihrer Aufsichtsbehörde abzugleichen. Führt ein Scoring zu Entscheidungen ohne menschliches Zutun, tritt Art. 22 DSGVO hinzu.

FAQ

Ist Salesforce DSGVO-konform?

Diese Aussage ist über kein Produkt möglich. Salesforce stellt die Bausteine bereit — AV-Vertrag, europäische Betriebsregionen, Zertifizierungen, Lösch- und Auskunftsfunktionen. Ob Ihre Verarbeitung rechtmäßig ist, entscheidet sich an Ihrer Konfiguration, Ihrer Rechtsgrundlage und daran, dass der AV-Vertrag wirksam einbezogen und die Transferdokumentation vorhanden ist.

Muss ich mit Salesforce einen AV-Vertrag unterzeichnen?

Ein AV-Vertrag ist Pflicht; er wird üblicherweise über den Rahmenvertrag einbezogen und braucht keine separate Unterschrift. Bei Bezug über einen Reseller prüfen Sie, wer Ihr Vertragspartner ist und ob die Kette lückenlos ist.

Reicht eine EU-Region, um Transfers zu vermeiden?

Nein. Solange ein US-Konzern administrativen Zugriff und weltweiten Support unterhält, liegt ein Drittlandbezug vor. Die EU-Region ist eine ergänzende Maßnahme, die Ihre Risikobewertung verbessert, kein Ersatz für die Transfergrundlage.

Fallen AppExchange-Apps unter den Salesforce-AVV?

In der Regel nicht. Anbieter von Marketplace-Anwendungen sind eigene Auftragsverarbeiter mit eigenen Verträgen. Behandeln Sie jede installierte App wie einen neuen Dienstleister: Vertrag prüfen, Hosting klären, ins Verzeichnis aufnehmen.

Fazit

Bei Salesforce ist die Vertragsseite selten das Problem — der Konzern hat ein ausgereiftes Compliance-Programm und veröffentlicht mehr Nachweise, als die meisten Kunden auswerten. Die Fehler entstehen an anderer Stelle: eine unbekannte Betriebsregion, ein Berechtigungsmodell, das jedem alles zeigt, ein Dutzend AppExchange-Apps ohne Vertrag und Datenbestände, die nie gelöscht werden. Klären Sie Region und Transfergrundlage schriftlich, arbeiten Sie die Konfigurations-Checkliste ab, inventarisieren Sie die Erweiterungen und wiederholen Sie die Prüfung jährlich mit neuem Datum.