Odoo & DSGVO: was Betreiber wirklich beachten müssen

Kurz vorweg - wer bei Odoo für den Datenschutz verantwortlich ist

Die wichtigste Weiche zuerst: Bei Odoo bist du der Verantwortliche im Sinne der DSGVO, nicht dein Hoster. Verantwortlicher (Controller, Art. 4 Nr. 7 DSGVO) ist das Unternehmen, das über Zweck und Mittel der Verarbeitung entscheidet - also das, das Odoo für seine Kunden-, Mitarbeiter- und Rechnungsdaten nutzt. Der Hoster, der diese Daten in deinem Auftrag speichert und verarbeitet, ist Auftragsverarbeiter (Processor, Art. 4 Nr. 8). erpdock ist Auftragsverarbeiter - du bleibst Herr der Daten.

Diese Trennung ist kein Formalkram, sondern der Grund, warum es “DSGVO-konformes Odoo” als fertigen Software-Haken nicht gibt. Konformität entsteht aus dem Zusammenspiel: Du legst Zwecke, Löschfristen und Prozesse fest, der Hoster liefert die technische Basis und den Vertrag dazu. Wer dir eine “100% DSGVO-konforme” Instanz per Klick verkauft, verkennt genau diese Rollen-Aufteilung.

Keine Rechtsberatung. Dieser Artikel ordnet die Betreiber-Pflichten praktisch ein. Rechtlich verbindlich beurteilt deinen Fall nur dein Datenschutzbeauftragter oder ein Anwalt - im Zweifel zieh ihn früh dazu. Rechtsgrundlage ist die DSGVO (Verordnung (EU) 2016/679), in Österreich ergänzt durch das DSG.

Welche personenbezogenen Daten in Odoo stecken

Kern-Aussage: Odoo ist voll mit personenbezogenen Daten - meist mehr, als der Betreiber auf dem Schirm hat. Fast jedes Standard-Modul verarbeitet Daten von natürlichen Personen, und genau diese Breite wird oft unterschätzt.

Konkret betroffen sind unter anderem:

Kontakte / CRM - Kunden, Leads, Ansprechpartner mit Namen, Mail, Telefon, Historie.
Mitarbeiterdaten - HR- und Payroll-Module mit teils sensiblen Angaben.
E-Mail-Verkehr und Logs - ein- und ausgehende Nachrichten, Zustell-Protokolle.
Rechnungs- und Zahlungsdaten - Namen, Adressen, Bankverbindungen.
Website-Besucher und Formulare - alles, was über den Odoo-Website-Builder reinkommt.
Support-Tickets - Anliegen, die Rückschlüsse auf Personen zulassen.

Bevor du über Verträge und Maßnahmen nachdenkst, brauchst du also den Überblick, welche dieser Daten in deiner Instanz tatsächlich anfallen. Das ist die Grundlage für alles Weitere - vom Verzeichnis der Verarbeitungstätigkeiten bis zum Löschkonzept.

Der AVV - warum du ohne ihn nicht starten darfst (Art. 28)

Definition zuerst: Der Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO ist der Vertrag zwischen dir als Verantwortlichem und dem Hoster als Auftragsverarbeiter. Sobald ein Dienstleister personenbezogene Daten in deinem Auftrag verarbeitet - und das tut jeder Odoo-Hoster - ist dieser Vertrag gesetzlich verpflichtend. Ohne ihn verarbeitest du rechtswidrig, egal wie gut die Technik ist.

Was ein AVV nach Art. 28 regeln muss:

Weisungsbindung - der Auftragsverarbeiter handelt nur auf deine dokumentierten Weisungen.
Vertraulichkeit - die eingesetzten Personen sind zur Verschwiegenheit verpflichtet.
TOMs - die technischen und organisatorischen Maßnahmen (dazu gleich mehr).
Subprozessoren - welche weiteren Dienstleister eingebunden sind und wie.
Löschung / Rückgabe - was mit den Daten nach Vertragsende passiert.
Audit-Recht - dein Recht, die Einhaltung zu überprüfen.

Bei erpdock liegt der unterschriftsfertige Auftragsverarbeitungsvertrag als Muster bereit, sodass du ihn nicht selbst aufsetzen musst. AVV-Muster, TOM-Katalog und Subprozessoren-Liste findest du gebündelt im Datenschutz-Center - das ist der Startpunkt, bevor die erste echte Instanz produktiv geht.

TOMs - die technischen Maßnahmen (Art. 32)

Kern-Aussage: TOMs sind die technisch-organisatorischen Maßnahmen nach Art. 32 DSGVO, die ein dem Risiko angemessenes Schutzniveau sicherstellen. Wichtig für die ehrliche Einordnung: Manche TOMs liefert der Hoster, andere bleiben deine Aufgabe als Betreiber. Ein Hoster kann die Infrastruktur absichern - ob du in Odoo saubere Zugriffsrechte pflegst, kann er nicht für dich entscheiden.

Die folgende Tabelle trennt genau das:

Maßnahme	Zweck	Wer verantwortet
Zugriffskontrolle / Rollen	nur Befugte sehen Daten	Betreiber (in Odoo)
Verschlüsselung	Schutz bei Übertragung/Speicherung	Hoster + Betreiber
Mandantentrennung	Instanzen sauber isoliert	Hoster
Backup / Wiederherstellung	Verfügbarkeit nach Ausfall	Hoster
Pseudonymisierung	Datenminimierung wo sinnvoll	Betreiber
Regelmäßige Überprüfung	Maßnahmen bleiben wirksam	beide

Ein paar dieser Punkte deckt erpdock infrastrukturseitig ab: Jede Odoo-Instanz läuft in einer eigenen Datenbank und ist strikt von den anderen getrennt, Backup und Wiederherstellung sind als automatische Disaster-Recovery eingebaut, und der Mail-Versand läuft mit SPF/DKIM/DMARC über ein EU-Versandsystem. Die organisatorische Seite - wer in Odoo welche Rechte hat, welche Daten pseudonymisiert werden - gehört dagegen zu deinen Betreiber-Pflichten. Art. 32 verlangt ausdrücklich die regelmäßige Überprüfung; TOMs sind kein Einmal-Setup.

Betroffenenrechte in Odoo umsetzen

Kern-Aussage: Die DSGVO gibt Betroffenen mehrere Rechte, und du als Verantwortlicher musst Prozesse haben, um sie in Odoo praktisch zu erfüllen. Der Hoster unterstützt technisch - steuern und beantworten musst du die Anfragen selbst.

Welche Rechte betreffen Odoo-Daten praktisch? Am häufigsten relevant sind Auskunft (Art. 15), Berichtigung (Art. 16), Löschung / “Recht auf Vergessenwerden” (Art. 17), Einschränkung (Art. 18) und Datenübertragbarkeit (Art. 20).

Wie setzt du Auskunft nach Art. 15 um? Du musst zusammentragen können, welche Daten zu einer Person in Odoo liegen - über CRM, Rechnungen, Mail-Verlauf und Tickets hinweg. Praktisch heißt das: wissen, wo die Person überall auftaucht, und das exportieren können.

Wer löscht bei Art. 17 - du oder der Hoster? Du steuerst die Löschung, der Hoster unterstützt technisch (etwa beim Ausrollen aus Backups nach Ablauf der Aufbewahrung). Das Löschkonzept - welche Datenart wann gelöscht wird - ist deine Pflicht als Verantwortlicher, nicht die des Hosters.

Was bedeutet Datenübertragbarkeit nach Art. 20? Betroffene können ihre Daten in einem gängigen, maschinenlesbaren Format verlangen. Odoo bietet Exportfunktionen; du brauchst den Prozess, der daraus eine saubere, vollständige Auskunft macht.

Serverstandort & Drittlandtransfer - der DACH-Deal-Blocker

Kern-Aussage: Wo deine Odoo-Daten physisch liegen, entscheidet über einen der härtesten DSGVO-Punkte - den Drittlandtransfer. Für viele DACH-Unternehmen ist genau das der Deal-Blocker im Einkauf oder Audit.

Übermittlungen personenbezogener Daten in Nicht-EU-Länder (Drittländer) sind nach Kapitel V (Art. 44 ff.) nur auf einer eigenen Rechtsgrundlage zulässig. Für die USA gilt seit dem EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795 der EU-Kommission vom 10.07.2023) eine Sonderlage: Übermittlungen an US-Organisationen, die auf der DPF-Liste des US-Handelsministeriums stehen, sind damit gedeckt - Standardvertragsklauseln brauchst du dafür nicht. Der Beschluss gilt aber ausdrücklich nur für gelistete Organisationen, und die Zertifizierung muss jährlich erneuert werden. Steht dein Anbieter oder einer seiner Subprozessoren nicht auf der Liste, bleibt es beim Weg über Art. 46: Standardvertragsklauseln plus eigene, dokumentierte Prüfung des Schutzniveaus im Zielland - der EuGH verlangt im Schrems-II-Urteil (C-311/18, 2020, Rn. 134) genau diese Prüfung “in jedem Einzelfall”. Endgültig gesichert ist diese Grundlage nicht: Das EuG hat die Klage gegen den Beschluss zwar abgewiesen (T-553/23, 03.09.2025), das Rechtsmittel liegt aber beim EuGH (C-703/25 P). Und im Juni 2026 hat der US-Supreme-Court den Kündigungsschutz der FTC-Kommissare gekippt - die Unabhängigkeit genau der Behörde, mit der die EU-Kommission die Aufsicht über die zertifizierten Unternehmen begründet. Der DPF gilt weiter, aber du baust auf eine Grundlage, deren Bestand du nicht steuerst.

An der US-Zugriffslage ändert der DPF nichts. Der CLOUD Act (18 U.S.C. § 2713) verpflichtet erfasste US-Anbieter, Daten herauszugeben, die sie “within such provider’s possession, custody, or control” haben - und zwar “regardless of whether such communication, record, or other information is located within or outside of the United States”. Der Speicherort ist für diese Pflicht also unerheblich; ein Rechenzentrum in Europa allein hebt sie nicht auf. Aus EU-Sicht kommt hinzu, dass ein solcher Herausgabebeschluss für sich genommen keine taugliche Rechtsgrundlage ist: Art. 48 DSGVO lässt Entscheidungen von Drittstaats-Behörden nur gelten, wenn sie auf einer internationalen Übereinkunft - etwa einem Rechtshilfeabkommen - beruhen. Ein Anbieter, der beiden Rechtsordnungen unterliegt, sitzt damit im Pflichtenkonflikt. Ob und wann eine europäische Tochter eines US-Konzerns erfasst ist, ist eine Frage des Einzelfalls - schon diese Klärung ist Aufwand, den du dir sparen kannst. Die Reichweite des US-Rechts ist nämlich nicht grenzenlos - das US-Justizministerium selbst hält im CLOUD-Act-White-Paper (April 2019) fest: “But neither is U.S. jurisdiction unlimited.” Ein Anbieter ohne Anknüpfung an die USA ist gar nicht erst Adressat.

Die einfachste Lösung ist, das Problem gar nicht erst zu haben: EU- beziehungsweise AT-Hosting vermeidet den Drittlandtransfer grundsätzlich. Bei erpdock liegen alle Kundendaten in Rechenzentren in Wien, Österreich - kein Transfer in Drittländer. Der Speicher (eigener S3-Speicher in Wien) und die übrige Infrastruktur bleiben in der EU. Wenn deine aktuelle Instanz noch bei einem Nicht-EU-Anbieter läuft, ist der Umzug auf einen EU-Serverstandort der direkte Weg raus aus der Schrems-II-Frage. Wie du Datenhoheit als Ganzes aufsetzt - Standort, Edition, Exit-Fähigkeit -, vertieft der Leitfaden Odoo DSGVO-konform betreiben.

Ein zweiter Hebel für Datenhoheit ist die Edition: Die Community Edition als Datenhoheits-Argument läuft ohne Cloud-Bindung an Odoo SA, du behältst also volle Kontrolle über Betrieb und Datenfluss. DSGVO-pflichtig sind beide Editionen gleichermaßen - aber CE gibt dir mehr Kontrolle in die Hand.

Subprozessoren, Datenpanne, Verzeichnis - die Pflichten daneben

Kern-Aussage: Neben AVV und TOMs gibt es drei Pflichten, die im Alltag gern untergehen - Subprozessoren offenlegen, Datenpannen melden, das Verarbeitungsverzeichnis führen. Sie treffen teils dich, teils den Hoster.

Subprozessoren (Art. 28 Abs. 2/4). Jeder weitere Dienstleister, den der Hoster einbindet - etwa für Backup-Storage oder Mail-Versand - ist ein Subprozessor und muss offengelegt und vertraglich sauber eingebunden sein. Du hast Anspruch darauf zu wissen, wer das ist. Bei erpdock findest du die Liste im Datenschutz-Center.

Datenpanne (Art. 33/34). Bei einer Verletzung des Schutzes personenbezogener Daten gilt eine Meldepflicht an die Aufsichtsbehörde binnen 72 Stunden; bei hohem Risiko sind zusätzlich die Betroffenen zu informieren. Der Hoster muss dich unverzüglich informieren, wenn ihm eine Panne auffällt - melden an die Behörde musst als Verantwortlicher aber du.

Verzeichnis von Verarbeitungstätigkeiten (Art. 30). Du musst dokumentieren, welche personenbezogenen Daten du in Odoo zu welchem Zweck verarbeitest. Dieses Verzeichnis ist deine Pflicht als Verantwortlicher - der Hoster liefert dir dafür Bausteine (etwa TOM-Katalog und Subprozessoren-Liste), führen musst du es selbst.

FAQ

Ist Odoo automatisch DSGVO-konform? Nein. Die Software liefert Bausteine; konform wird erst der Betrieb - durch AVV, TOMs, saubere Prozesse und die Wahl des Serverstandorts. “DSGVO-konform” ist ein gemeinsamer Prozess von Verantwortlichem und Auftragsverarbeiter, kein Software-Haken.

Brauche ich einen AVV mit meinem Odoo-Hoster? Ja. Art. 28 DSGVO verlangt ihn zwingend, sobald ein Dienstleister personenbezogene Daten in deinem Auftrag verarbeitet. Ohne AVV ist der Betrieb rechtswidrig.

Wo liegen meine Odoo-Daten, und darf das außerhalb der EU sein? Außerhalb der EU darf es, wenn eine Rechtsgrundlage aus Kapitel V trägt. Für US-Anbieter auf der DPF-Liste (EU-US Data Privacy Framework, Durchführungsbeschluss (EU) 2023/1795 vom 10.07.2023) ist die Übermittlung gedeckt; für alle anderen brauchst du Standardvertragsklauseln plus eigene Prüfung im Einzelfall (Schrems II, EuGH C-311/18). Endgültig geklärt ist der Beschluss aber nicht - das Rechtsmittel dagegen liegt beim EuGH (C-703/25 P). Unabhängig davon greift der CLOUD Act (18 U.S.C. § 2713) bei erfassten US-Anbietern - er verpflichtet sie zur Herausgabe, egal wo die Daten liegen. Ein europäischer Anbieter mit EU- oder AT-Standort erspart dir diese Prüfkette komplett. Bei erpdock liegen alle Daten in Wien, Österreich.

Wer löscht Kundendaten auf Anfrage - ich oder der Hoster? Der Verantwortliche (du) steuert die Löschung, der Hoster unterstützt technisch. Das Löschkonzept nach Art. 17 ist deine Pflicht.

Ist Community Edition datenschutzfreundlicher als Enterprise? Beide Editionen unterliegen der DSGVO gleichermaßen. Die Community Edition gibt dir aber mehr Kontrolle, weil sie ohne Cloud-Bindung an Odoo SA läuft.