Der entscheidende Unterschied zu den großen SaaS-Plattformen liegt in der Betriebs- und Eigentumsfrage. Bei einem klassischen Cloud-CRM mietet ein Unternehmen den Zugang zu einer fremden Plattform und legt seine Kundendaten in deren Rechenzentren ab. Bei EspoCRM als Self-Hosting-Lösung läuft die Software auf einem Server der eigenen Wahl – im eigenen Rechenzentrum, bei einem deutschen Hoster oder in einer europäischen Cloud. Das Unternehmen besitzt den Quellcode-Zugang, kontrolliert die Datenbank und entscheidet selbst über Updates, Backups und Erweiterungen. Genau diese Kontrolle ist im DACH-Mittelstand ein zunehmend wichtiges Argument.
Drei Eigenschaften definieren EspoCRM:
Anders als bei kommerziellen SaaS-Plattformen ist bei EspoCRM die Quelloffenheit kein Randaspekt, sondern das Fundament des Modells. Der Community-Kern steht kostenlos zum Download bereit, darf auf beliebig vielen Servern installiert und – im Rahmen der GPL – angepasst werden. Für Unternehmen bedeutet das eine deutlich andere Ausgangslage als bei einem gemieteten Cloud-Dienst: Es gibt keine erzwungene Nutzerstaffelung im Kern, keine Abhängigkeit von der Preispolitik eines einzelnen Anbieters und keinen fremden Zugriff auf die Datenbank. Wer die interne Kompetenz oder einen verlässlichen Partner hat, kann EspoCRM praktisch unbegrenzt betreiben.
Für den deutschen Mittelstand ist diese Philosophie relevant, weil viele Unternehmen bei Kundendaten zunehmend Wert auf Unabhängigkeit und Kontrolle legen. Die Sorge vor steigenden Cloud-Mietkosten, vor Datenabflüssen in Drittländer und vor der Abhängigkeit von einem einzigen US-Anbieter treibt die Suche nach souveränen Alternativen. EspoCRM ist eine dieser Alternativen – kein Allheilmittel, aber ein ernstzunehmender Kandidat für Organisationen, die Datenhoheit ernst nehmen.
Viele CRM-Systeme versuchen, alles gleichzeitig zu sein: Marketing-Automatisierung, Callcenter, Projektmanagement, Buchhaltung und Support in einem einzigen, mächtigen Paket. EspoCRM geht einen anderen Weg. Der Kern konzentriert sich auf das, was ein CRM ausmacht: Kontakte und Firmen sauber verwalten, Verkaufschancen durch eine Pipeline führen, Aktivitäten und Kommunikation dokumentieren und aus alledem verlässliche Auswertungen ziehen. Zusätzliche Fähigkeiten werden über Erweiterungen ergänzt, statt sie dem Kern aufzubürden.
Dieser fokussierte Ansatz ist zugleich Stärke und Grenze. Die Stärke: Ein schlankes, verständliches System, das schnell einsatzbereit ist und dessen Datenmodell man durchschaut. Die Grenze: Wer eine sofort einsatzfertige Marketing-Maschine mit Landingpages, Lead-Scoring und breitem Kampagnen-Werkzeug erwartet, wird an EspoCRM zunächst mehr konfigurieren und ergänzen müssen als bei einer spezialisierten Marketing-Plattform. Es ist wichtig, diese Erwartung von Anfang an richtig zu setzen.
Der wichtigste Entscheidungspunkt bei EspoCRM ist nicht eine Editionsstufe, sondern das Betriebsmodell. Im Self-Hosting lädt ein Unternehmen den quelloffenen Kern herunter und installiert ihn auf einem eigenen Server oder bei einem Hoster seiner Wahl. Damit fallen keine Lizenzgebühren für den Kern an, das Unternehmen besitzt die volle Kontrolle über Daten, Updates und Erweiterungen – trägt aber auch die Verantwortung für Betrieb, Sicherheit und Wartung. Dieser Weg passt zu Organisationen mit interner IT-Kompetenz oder einem verlässlichen Betriebspartner.
Die EspoCRM-Cloud dreht dieses Verhältnis um: Der Anbieter betreibt die Software, kümmert sich um Server, Updates und Sicherheit, und das Unternehmen zahlt üblicherweise ein nutzungsabhängiges Abonnement. Der Betriebsaufwand sinkt drastisch, dafür gibt man einen Teil der Kontrolle ab und bindet sich an den Anbieter. Wichtig für die DSGVO-Betrachtung ist hier die Frage, in welcher Region die Cloud-Instanz betrieben wird – ein Punkt, den man vor Vertragsabschluss beim Anbieter klären sollte und den wir in Kapitel 09 vertiefen.
EspoCRM positioniert sich bewusst nicht als direkter Konkurrent der großen, marketinggetriebenen SaaS-Plattformen. Sein Platz im Markt ist der eines schlanken, quelloffenen, souveränen CRM für Organisationen, die Kontrolle und Unabhängigkeit höher gewichten als ein maximales, sofort einsatzfertiges Funktionsspektrum. Der Anspruch lautet nicht „mehr Funktionen als alle anderen“, sondern „ein solides, anpassbares CRM, das man selbst besitzt“.
Diese Positionierung erklärt, warum EspoCRM im DACH-Raum an Aufmerksamkeit gewinnt: Die Diskussion um digitale Souveränität, um die Abhängigkeit von US-Cloud-Anbietern und um die DSGVO-Konformität internationaler Dienste spielt EspoCRM strukturell in die Hände. Es ist kein Massenprodukt für jeden Anwendungsfall, sondern eine überzeugende Wahl für ein klar umrissenes Profil – und in diesem Profil ein sehr starker Kandidat.
Das Herzstück von EspoCRM ist sein anpassbares Datenmodell. Standardmäßig arbeitet das System mit den üblichen CRM-Objekten: Kontakte (Einzelpersonen), Firmen (Accounts), Leads (Interessenten), Verkaufschancen (Opportunities), Aktivitäten wie Aufgaben, Anrufe und Termine sowie Fälle für den Support. Der entscheidende Vorteil: Diese Objekte lassen sich über den Administrationsbereich um eigene Felder ergänzen, und es können sogar völlig neue, eigene Objekttypen angelegt werden – etwa „Projekte“, „Verträge“ oder „Maschinen“, je nach Branche.
Diese Fähigkeit, das Datenmodell an die eigene Geschäftslogik anzupassen, hebt EspoCRM über ein reines Kontakt-Tool hinaus. Ein Handwerksbetrieb kann Wartungsverträge abbilden, ein Bildungsanbieter Kurse und Teilnehmer, ein Maschinenbauer Anlagen samt Servicehistorie – alles innerhalb desselben CRM, ohne den Quellcode zu berühren. In der Praxis ist genau diese Modellierbarkeit einer der Gründe, warum EspoCRM in sehr unterschiedlichen Branchen funktioniert.
Auf dem Datenmodell setzen die klassischen CRM-Fähigkeiten auf. Der Vertrieb arbeitet mit einer visuellen Pipeline, in der Verkaufschancen durch definierbare Phasen wandern, mit Umsatzprognosen und einer nachvollziehbaren Deal-Historie. Die Kommunikation läuft über eine integrierte E-Mail-Funktion, die Nachrichten am Kontakt dokumentiert, sowie über einen gemeinsamen Kalender und Aktivitätenströme, die zeigen, was mit einem Kunden zuletzt geschehen ist.
Für die Auswertung bringt EspoCRM ein Berichts- und Dashboard-System mit. Anwender bauen sich Listen-, Zusammenfassungs- und Diagramm-Berichte, legen sie auf Dashboards ab und behalten so Pipeline, Aktivitäten und Kennzahlen im Blick. Ergänzend sorgen ein rollenbasiertes Berechtigungssystem für die kontrollierte Sichtbarkeit von Daten und Funktionen für Import und Export für die Beweglichkeit der Daten. Dieser Kern reicht für viele Mittelständler bereits vollständig aus.
Über den reinen Vertrieb hinaus deckt EspoCRM auch Service-Szenarien ab. Mit den Fall-Objekten (Cases) lassen sich Support-Anfragen erfassen und bearbeiten, eine Wissensdatenbank kann intern wie extern Wissen bereitstellen, und über ein optionales Portal erhalten Kunden oder Partner einen eingeschränkten, kontrollierten Zugang – etwa um Tickets einzureichen oder ihren Status einzusehen. Damit lässt sich der Kreis von der ersten Anbahnung bis zur Bestandskundenbetreuung schließen.
Für den DACH-Einsatz relevant ist außerdem die Mehrsprachigkeit: EspoCRM steht in zahlreichen Sprachen zur Verfügung, darunter Deutsch, sodass die Oberfläche für Anwender in ihrer Muttersprache bereitstehen kann. In Verbindung mit dem anpassbaren Datenmodell und den Automatisierungsmöglichkeiten ergibt sich ein CRM, das trotz schlanker Grundausrichtung einen breiten Anwendungsbereich abdeckt – vom klassischen B2B-Vertrieb bis zur strukturierten Kundenbetreuung.
Die erste Automatisierungsebene sind Workflows: konfigurierbare Regeln nach dem Muster „Wenn etwas geschieht, dann tue etwas“. Ausgelöst werden sie durch Ereignisse im CRM – etwa das Anlegen eines neuen Leads, die Änderung einer Verkaufsphase oder das Erreichen eines Datums. Als Reaktion kann das System Felder aktualisieren, Aufgaben erstellen, Benachrichtigungen oder E-Mails versenden oder Datensätze weiterverarbeiten. All das lässt sich ohne Programmierung über die Oberfläche einrichten.
In der Praxis nehmen solche Workflows dem Team wiederkehrende Handarbeit ab. Ein neuer Lead wird automatisch dem richtigen Vertriebsmitarbeiter zugewiesen, eine überfällige Aufgabe erzeugt eine Erinnerung, eine gewonnene Verkaufschance stößt eine interne Benachrichtigung an. Diese kleinen, verlässlichen Automatismen sind es, die den Alltag spürbar entlasten und dafür sorgen, dass keine Anfrage und keine Nachfassaktion untergeht. Für viele Mittelständler ist das bereits der entscheidende Effizienzhebel.
Die zweite, anspruchsvollere Ebene ist die Geschäftsprozess-Modellierung (BPM), die über die kostenpflichtige Erweiterung (Advanced Pack) bereitsteht. Statt einzelner Wenn-dann-Regeln lassen sich hier ganze Prozessabläufe visuell als Flussdiagramm modellieren – mit Verzweigungen, Bedingungen, parallelen Zweigen, Benutzeraufgaben und automatischen Schritten. Die Modellierung orientiert sich an der etablierten BPMN-Notation, die in vielen Organisationen ohnehin für Prozessbeschreibungen genutzt wird.
Der Unterschied zu einfachen Workflows ist bedeutend: Ein Genehmigungsprozess mit mehreren Freigabestufen, ein mehrstufiger Onboarding-Ablauf für neue Kunden oder ein strukturierter Angebots- und Vertragsprozess lassen sich als durchgängiger, nachvollziehbarer Prozess abbilden – inklusive der Punkte, an denen ein Mensch eingreifen muss. Damit wird EspoCRM vom reinen Datenspeicher zum aktiven Prozess-Werkzeug, das Abläufe steuert und dokumentiert.
Bei der Einordnung von Automatisierung ist Ehrlichkeit wichtig. EspoCRMs Stärke liegt in der regelbasierten und prozessorientierten Automatisierung – also in verlässlichen, nachvollziehbaren Abläufen, die genau das tun, was man definiert hat. Das ist ein anderer Ansatz als die stark beworbenen KI-Assistenten großer SaaS-Plattformen, die etwa Texte generieren oder Vorhersagen treffen. EspoCRM lässt sich über seine offene Schnittstelle durchaus mit externen KI-Diensten verbinden, doch die Palette sofort eingebauter KI-Funktionen ist bewusst schlanker als bei den Marketing-Riesen.
Für die meisten mittelständischen Anwendungsfälle ist das kein Nachteil, sondern passt zur Philosophie: Verlässliche Automatisierung von Routineabläufen schafft im Tagesgeschäft oft mehr Wert als spektakuläre, aber schwer kalkulierbare KI-Funktionen. Wer eine bestimmte KI-Fähigkeit zwingend braucht, sollte konkret prüfen, ob sie über eine Erweiterung oder eine eigene Integration abbildbar ist – und den aktuellen Stand beim Anbieter erfragen, da sich das Funktionsspektrum weiterentwickelt.
EspoCRM bringt eine Reihe von Anbindungen bereits mit oder stellt sie über offizielle Konnektoren bereit. Dazu gehören die E-Mail-Integration über die Standardprotokolle IMAP und SMTP, sodass Postfächer angebunden und Nachrichten am Kontakt dokumentiert werden können, sowie die Kalender-Synchronisation über offene Standards. Für die Telefonie existieren Konnektoren zu gängigen VoIP-Diensten, die Anrufe direkt aus dem CRM ermöglichen und protokollieren.
Das eigentliche Rückgrat der Integration ist jedoch die offene REST-API. Über sie lässt sich EspoCRM programmatisch mit nahezu jedem anderen System verbinden – vom ERP über den Webshop bis zur branchenspezifischen Fachanwendung. Weil der Quellcode offen ist und die API gut dokumentiert, sind auch tiefe, individuelle Anbindungen machbar. Für den Mittelstand bedeutet das: Selbst wenn es keine fertige Integration gibt, ist eine Anbindung mit entsprechendem Entwicklungsaufwand in aller Regel realisierbar.
Ein besonders praktischer Weg, EspoCRM ohne eigene Programmierung mit anderen Diensten zu verknüpfen, führt über Automatisierungsplattformen wie n8n, Make oder vergleichbare Werkzeuge. Sie fungieren als Brücke: Auf der einen Seite sprechen sie mit der EspoCRM-API, auf der anderen mit hunderten weiterer Anwendungen. So lassen sich Datenflüsse zwischen EspoCRM und Buchhaltung, Newsletter-Versand, Formular-Diensten oder Projektwerkzeugen einrichten, ohne für jede Verbindung eigenen Code zu schreiben.
Gerade das quelloffene, self-hostbare n8n harmoniert konzeptionell gut mit EspoCRM: Beide lassen sich im eigenen Haus betreiben, sodass Datenflüsse die eigene Infrastruktur nicht verlassen müssen. Für Organisationen mit hohem Anspruch an Datenhoheit ist diese Kombination attraktiv – sie erlaubt umfangreiche Automatisierung über Systemgrenzen hinweg, ohne die Kontrolle über die Daten an einen externen Dienst abzugeben.
Das Ökosystem von EspoCRM unterscheidet sich strukturell von dem großer SaaS-Anbieter. Statt eines riesigen, kuratierten App-Marktplatzes mit tausenden Ein-Klick-Integrationen gibt es einen überschaubaren Bestand offizieller Erweiterungen, eine aktive Community mit frei verfügbaren Modulen und Anleitungen sowie die offene API als universellen Anknüpfungspunkt. Das ist zugleich Stärke und Grenze: mehr Freiheit und Unabhängigkeit, aber auch mehr Eigenverantwortung bei der Auswahl und Pflege von Integrationen.
In der Praxis heißt das, dass die Integrationsstrategie bei EspoCRM etwas mehr Planung erfordert als das reine Durchklicken eines Marktplatzes. Die gute Nachricht: Weil alles auf offenen Standards und einer offenen Schnittstelle beruht, gibt es selten eine unüberwindbare technische Barriere. Die entscheidende Frage ist meist nicht „geht das?“, sondern „mit welchem Aufwand und von wem umgesetzt?“ – eine Frage, die man vor der Einführung sauber klären sollte.
Die grundlegende Trennlinie verläuft zwischen dem quelloffenen, self-hostbaren Ansatz von EspoCRM und dem Miet-Modell der großen SaaS-Plattformen. Ein SaaS-CRM ist bequem: Der Anbieter kümmert sich um Betrieb, Updates und Sicherheit, das Unternehmen loggt sich ein und legt los. Diese Bequemlichkeit hat einen Preis – laufende Abokosten, die mit Nutzern und Kontakten skalieren, sowie die Tatsache, dass die eigenen Kundendaten in fremden Rechenzentren liegen und man von der Preispolitik und den Entscheidungen eines einzelnen Anbieters abhängig ist.
EspoCRM im Self-Hosting dreht dieses Verhältnis um: volle Kontrolle über Daten und System, keine Lizenzgebühr für den Kern, keine erzwungene Nutzerstaffelung – im Tausch gegen die Verantwortung für den eigenen Betrieb. Die Faustregel aus unseren Projekten: Wer Datenhoheit, Unabhängigkeit und langfristig planbare Kosten priorisiert und den Betrieb tragen kann, gewinnt mit EspoCRM. Wer maximale Bequemlichkeit, sofort einsatzfertige Marketing-Tiefe und null Betriebsaufwand will, ist mit einem etablierten SaaS-CRM oft besser bedient.
Innerhalb der Open-Source-Welt ist SuiteCRM der bekannteste Vergleichspunkt. Beide sind quelloffen und self-hostbar, doch sie verfolgen unterschiedliche Philosophien. SuiteCRM ist aus dem älteren SugarCRM hervorgegangen und bringt einen sehr umfangreichen Funktionsumfang mit – breit, mächtig, aber auch schwerer und in Teilen älter in der Anmutung. EspoCRM setzt dagegen auf einen modernen, schlanken Kern mit klarer, aufgeräumter Oberfläche und guter Performance.
In der Praxis läuft die Wahl oft auf eine Frage des Charakters hinaus: SuiteCRM kann attraktiv sein, wenn ein sehr breites Funktionsspektrum von Haus aus gewünscht ist und man die höhere Komplexität in Kauf nimmt. EspoCRM überzeugt, wenn Schlankheit, Geschwindigkeit, eine moderne Bedienoberfläche und ein leicht durchschaubares Datenmodell im Vordergrund stehen und man Zusatzfunktionen lieber gezielt ergänzt. Beide sind seriöse Optionen für den souveränen Betrieb – die Entscheidung hängt vom gewünschten Verhältnis zwischen Funktionsbreite und Leichtgewichtigkeit ab.
EspoCRM ist eine klassische Web-Anwendung auf Basis weit verbreiteter, quelloffener Technik: PHP als Programmiersprache, eine MySQL- oder MariaDB-Datenbank und ein üblicher Webserver. Diese Bausteine sind in praktisch jedem Hosting-Umfeld verfügbar, weshalb die Anforderungen an den Server moderat und die Betriebskosten überschaubar bleiben. Betreiben lässt sich EspoCRM auf einem eigenen Server im Haus, auf einem gemieteten Server bei einem deutschen oder europäischen Hoster oder in einer europäischen Cloud-Umgebung – die Wahl des Ortes ist frei und für die Datenhoheit entscheidend.
Die eigentliche Installation ist für erfahrene IT-Kräfte unkompliziert und gut dokumentiert; für einen besonders einfachen Start stehen zudem vorkonfigurierte Container-Abbilder bereit. Nach der Installation folgt die inhaltliche Einrichtung: Datenmodell anpassen, Felder und eigene Objekte anlegen, Rollen und Berechtigungen definieren, E-Mail und Kalender anbinden. Dieser Konfigurationsschritt ist es, der den Unterschied zwischen einem generischen und einem passgenauen CRM ausmacht – und in dem sich der Aufwand einer sorgfältigen Einführung auszahlt.
Der wichtigste konzeptionelle Unterschied zum SaaS-Modell ist, dass der laufende Betrieb in der eigenen Verantwortung liegt. Das umfasst regelmäßige Updates der Software, um Funktionsverbesserungen und vor allem Sicherheits-Korrekturen einzuspielen, verlässliche Backups von Datenbank und Dateien, die Absicherung des Servers gegen unbefugten Zugriff (etwa durch Verschlüsselung, Firewall und sorgfältige Rechtevergabe) sowie die Überwachung der Verfügbarkeit. Diese Aufgaben sind nicht exotisch, aber sie müssen jemand verlässlich übernehmen.
Genau hier liegt die entscheidende Weichenstellung: Entweder ein Unternehmen verfügt über die interne IT-Kompetenz, um diese Daueraufgaben zu tragen, oder es beauftragt einen verlässlichen Partner für Betrieb und Wartung, oder es wählt bewusst die gehostete EspoCRM-Cloud, um den Betriebsaufwand abzugeben. Alle drei Wege sind legitim – entscheidend ist, die Frage vor der Einführung ehrlich zu beantworten, statt den Wartungsaufwand zu unterschätzen. Ein selbst gehostetes System, das niemand pflegt, wird über die Zeit zum Sicherheitsrisiko.
Eine erfolgreiche EspoCRM-Einführung folgt einem klaren Muster. Am Anfang steht die Analyse der Prozesse und Anforderungen, gefolgt von der Entscheidung über das Betriebsmodell. Danach werden Installation und Datenmodell eingerichtet, bestehende Daten sauber migriert, die Automatisierung aufgesetzt und die Anwender geschult. Erst dann folgt der breite Rollout mit einem geregelten laufenden Betrieb.
Aus unserer Erfahrung passt EspoCRM besonders gut zu Mittelständlern, die Datenhoheit und Herstellerunabhängigkeit hoch gewichten, zu Organisationen mit interner IT-Kompetenz oder verlässlichem Betriebspartner, zu Unternehmen mit branchenindividuellen Anforderungen, die ein anpassbares Datenmodell brauchen, und zu wachsenden Teams, für die planbare Kosten ohne Nutzerstaffelung im Kern attraktiv sind. Diese Profile holen den vollen Wert der Quelloffenheit und des Self-Hostings ab.
Weniger gut passt EspoCRM zu Unternehmen, die eine schlüsselfertige, wartungsfreie Lösung ohne jeden Betriebsaufwand suchen – hier ist ein etabliertes SaaS-CRM oft einfacher; zu Organisationen mit sehr hohem Bedarf an sofort einsatzfertiger Marketing-Automatisierung und Lead-Scoring, wo spezialisierte Marketing-Plattformen tiefer sind; und zu Häusern ohne jede IT-Ressource, die auch keinen Partner beauftragen wollen und die Betriebsverantwortung scheuen. Diese ehrliche Eingrenzung ist Teil jeder seriösen Beratung.
In der Praxis sehen wir einen wiederkehrenden Pfad. Unternehmen, die aus Datenschutz- oder Kostengründen von einem SaaS-CRM wegwollen oder erstmals ein professionelles CRM einführen, starten mit dem freien Kern und einem klar umrissenen Anwendungsfall – meist der Vertriebs-Pipeline oder dem Kontaktmanagement. Sie modellieren ihr Datenmodell, migrieren die Bestandsdaten und schulen ein erstes Team, um schnell einen produktiven Kern zu etablieren.
Mit zunehmender Reife wächst das System organisch: weitere Objekte für branchenspezifische Anforderungen, komplexere Automatisierung bis hin zu BPM-Prozessen, Anbindung weiterer Fachsysteme und – wo sinnvoll – kostenpflichtige Erweiterungen für gezielte Zusatzfunktionen. Weil der Kern quelloffen ist und keine Nutzerstaffelung erzwingt, skaliert dieser Ausbau wirtschaftlich vorhersehbar. Der begrenzende Faktor ist selten die Lizenz, sondern die verfügbare Kompetenz für Betrieb und Weiterentwicklung.
Die wichtigste Erkenntnis zur Wirtschaftlichkeit ist, dass „kostenloser Kern“ nicht „kostenlos“ bedeutet. Beim Self-Hosting entfällt zwar die Lizenzgebühr für den Kern, doch es entstehen andere Kosten: für den Server, für den laufenden Betrieb (Updates, Backups, Sicherheit) und gegebenenfalls für kostenpflichtige Erweiterungen und die einmalige Einführung mit Datenmigration und Schulung. Die Total Cost of Ownership setzt sich also aus Infrastruktur, Betriebsaufwand und Einführung zusammen – die Lizenz ist nur ein Baustein.
Der entscheidende wirtschaftliche Unterschied zu einem SaaS-CRM liegt in der Skalierung. Bei vielen Cloud-CRM steigen die Kosten mit jedem zusätzlichen Nutzer oder Kontakt – bei EspoCRM im Self-Hosting bleibt der Kern lizenzkostenfrei, unabhängig von der Nutzerzahl. Für wachsende Teams kann sich das über die Jahre erheblich auswirken: Der anfängliche Einführungs- und Betriebsaufwand amortisiert sich, während bei einem SaaS-CRM die laufende Rechnung mit dem Wachstum weiter steigt. Ob und ab wann sich das lohnt, hängt vom konkreten Fall ab und sollte über mehrere Jahre durchgerechnet werden.
Der stärkste datenschutzrechtliche Trumpf von EspoCRM ist die Möglichkeit, die Kundendaten vollständig im eigenen Haus oder bei einem deutschen beziehungsweise europäischen Hoster zu halten. Damit verlassen die personenbezogenen Daten die EU nicht, es gibt keinen Drittlandtransfer in die USA und keinen fremden Zugriff durch einen internationalen Cloud-Konzern. Für viele der schwierigsten Fragen, die sich bei US-basierten SaaS-Diensten stellen – Drittlandtransfer, Zugriffsrechte nach ausländischem Recht, Restrisiko –, entfällt die Grundlage schlicht, weil die Daten die eigene Kontrolle nie verlassen.
Wichtig ist eine differenzierte Betrachtung. Der DSGVO-Vorteil gilt in seiner vollen Ausprägung für das Self-Hosting in der EU. Wer stattdessen die gehostete EspoCRM-Cloud nutzt, sollte die Betriebsregion und die Vertragsbedingungen prüfen, denn dann gelten die üblichen Fragen an einen Auftragsverarbeiter. Und auch beim Self-Hosting entbindet die Datenhoheit nicht von den übrigen Pflichten: technische und organisatorische Maßnahmen, Berechtigungskonzept, Verzeichnis der Verarbeitungstätigkeiten und die Abbildung der Betroffenenrechte bleiben Aufgabe des Unternehmens.
