Löschfristen für Chatprotokolle richtig festlegen

Die Frage nach der Löschfrist für Chatprotokolle wird meistens falsch gestellt. Sie lautet nicht: Wie lange dürfen wir die Gespräche behalten? Sie lautet: Wofür brauchen wir sie noch? Die Verordnung nennt für Chatverläufe keine Zahl, und das ist kein Versäumnis, sondern die Systematik. Wer eine Frist aus dem Bauch setzt, hat die Arbeit nur verschoben, denn im Streitfall muss der Verantwortliche seine Zahl begründen und nicht die Aufsicht sie widerlegen. Dieser Beitrag zeigt, wie eine belastbare Frist entsteht: aus dem Zweck, aus dem Ende der Erforderlichkeit und aus einer Begründung, die in das Verzeichnis der Verarbeitungstätigkeiten passt. Dazu kommt der Unterschied zwischen Löschen und Anonymisieren, die Sonderrolle der Qualitätssicherung und die Frage, wann ein Chat wirklich unter die handelsrechtliche Aufbewahrung fällt.

Grafik vergrößern

Beschriftungen der Abbildung

• Grund für die Aufbewahrung
• Laufzeit ab dem Ereignis
• Laufendes Gespräch
• Sitzung und Wiederaufnahme
• Tage
• Offener Vorgang
• bis zum Abschluss und Nachlauf
• Wochen
• Qualitätsstichprobe
• eigener Zweck, eigene Frist
• Monate
• Verteidigung von Ansprüchen
• Verjährung, § 195 BGB
• 3 Jahre
• Handelsbrief im Chat
• § 257 Abs. 4 HGB
• 6 Jahre
• Anonyme Kennzahlen
• kein Personenbezug mehr
• ohne Frist
• Gesprächsende
• 30 Tage
• 90 Tage
• 6 Monate
• 3 Jahre
• 6 Jahre

Löschfristen für Chatprotokolle

Warum im Gesetz keine Zahl steht

Der Grundsatz der Speicherbegrenzung verlangt, dass personenbezogene Daten in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist (Art. 5 Abs. 1 lit. e DSGVO). Damit ist die Frist keine Eigenschaft der Daten, sondern eine Folge des Zwecks. Verändert sich der Zweck, verändert sich die Frist. Fällt der Zweck weg, fällt die Erlaubnis weg. Der Verantwortliche ist für die Einhaltung dieses Grundsatzes verantwortlich und muss sie nachweisen können (Art. 5 Abs. 2 DSGVO). Nachweisen heißt hier: aufschreiben, warum genau diese Dauer erforderlich ist.

Zwei weitere Vorschriften machen aus dem Grundsatz eine Pflicht mit Papierform. Zum Zeitpunkt der Erhebung ist der betroffenen Person die Dauer mitzuteilen, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer (Art. 13 Abs. 2 lit. a DSGVO). Und das Verzeichnis der Verarbeitungstätigkeiten enthält, wenn möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien (Art. 30 Abs. 1 lit. f DSGVO). Beide Stellen erlauben ein Kriterium statt einer Zahl, wenn sich die Dauer im Voraus nicht bestimmen lässt. Ein Kriterium ist etwa: bis zum Abschluss des Vorgangs zuzüglich einer festgelegten Nachlaufzeit. Kein Kriterium ist: nach Bedarf.

Was in einem Chatprotokoll wirklich steckt

Bevor eine Frist bestimmt werden kann, muss klar sein, worüber gesprochen wird. Ein Chatprotokoll ist selten eine Datei mit Nachrichten. In der Praxis hängen an einem Gespräch mehrere Ablagen, die technisch getrennt sind und deshalb auch getrennt gelöscht werden müssen. Wer nur die Nachrichtentabelle im Blick hat, löscht die Hälfte nicht mit. Die folgende Aufstellung hilft, den Bestand einmal vollständig aufzuschreiben.

• Der Nachrichtenverlauf selbst, mit Zeitstempeln und der Zuordnung zu Besucher und Assistent
• Die Sitzungskennung sowie das, was das Fenster auf dem Endgerät ablegt
• Technische Verbindungsdaten wie IP-Adresse, Browserangaben und der Seitenpfad, von dem aus geschrieben wurde
• Kontaktdaten, die im Gespräch übergeben wurden, oft zusätzlich als Datensatz im Anfragen- oder Ticketsystem
• Werkzeugaufrufe des Assistenten und deren Ergebnisse, etwa eine abgefragte Bestellnummer oder ein Kontostand
• Anhänge und hochgeladene Bilder, die häufig in einem eigenen Ablagesystem liegen
• Bewertungen, Daumen und Freitextrückmeldungen zu einzelnen Antworten
• Auswertungsbestände, in die der Verlauf für Kennzahlen und Fehlersuche kopiert wurde

Personenbezogen ist dabei mehr, als man auf den ersten Blick vermutet. Erfasst sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO). Ein Gespräch ohne Namen kann über die Bestellnummer, die Kundennummer oder schlicht über den geschilderten Sachverhalt einer Person zugeordnet werden. Hinzu kommt das Freitextproblem: Besucher schreiben Dinge in ein Chatfenster, die niemand abgefragt hat, darunter Angaben über Gesundheit oder eine Mitgliedschaft. Solche Angaben gehören zu den besonderen Kategorien, deren Verarbeitung nach Art. 9 Abs. 1 DSGVO grundsätzlich untersagt ist. Für die Löschplanung heißt das: Der Freitext ist das Feld mit dem höchsten Risiko und verdient die kürzeste Frist. Wie Sie den Umgang mit hochgeladenen Inhalten sauber regeln, beschreibt der Beitrag zum Bild-Upload im Chat.

Zwecke trennen, dann Stufen bauen

Personenbezogene Daten müssen für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden (Art. 5 Abs. 1 lit. b DSGVO). Aus dieser Zweckbindung folgt die Stufung. Das Führen des Gesprächs ist ein anderer Zweck als das Bearbeiten eines Anliegens, und beide sind etwas anderes als das Prüfen der Antwortqualität. Jeder dieser Zwecke hat ein eigenes Ende, und dieses Ende ist meistens ein Ereignis und kein Datum. Der praktische Effekt dieser Stufung ist erheblich: Der weit überwiegende Teil aller Gespräche endet auf der ersten oder zweiten Stufe, also bei der Frage nach der Lieferzeit oder beim Produktvergleich, und wird nach wenigen Wochen von niemandem mehr gebraucht. Nur der kleine Rest, in dem ein Vorgang, ein Angebot oder eine Beschwerde steckt, wandert überhaupt auf eine höhere Stufe. Wer diese Trennung in der Technik abbildet, statt sie nur in einem Dokument zu behaupten, hat den größten Teil der Löschfrage gelöst. Die folgende Tabelle zeigt die Stufen, die sich in Projekten bewährt haben.

Anonymisieren ist etwas anderes als löschen

Viele Betreiber wollen ihre Gespräche nicht verlieren, weil darin steht, was Kunden wirklich fragen. Dafür gibt es einen sauberen Weg, und er heißt nicht Aufbewahren, sondern Anonymisieren. Erwägungsgrund 26 der Verordnung stellt klar, dass die Grundsätze des Datenschutzes nicht für anonyme Informationen gelten, also für Informationen, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen, sowie für personenbezogene Daten, die in einer Weise anonymisiert worden sind, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann. Wer den Personenbezug wirklich entfernt, verlässt den Anwendungsbereich und darf das Ergebnis behalten.

Der Haken steckt im Wort wirklich. Pseudonymisierung ist die Verarbeitung in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können (Art. 4 Nr. 5 DSGVO). Genau diese zusätzlichen Informationen gibt es aber noch, sonst wäre es keine Pseudonymisierung. Ein Verlauf, in dem der Name durch eine Nummer ersetzt wurde, während die Zuordnungstabelle daneben liegt, ist weiterhin personenbezogen und läuft unter der alten Frist weiter. Dasselbe gilt für einen Freitext, aus dem nur die E-Mail-Adresse entfernt wurde, während die geschilderte Vorgeschichte stehen bleibt.

• Der Freitext wird nicht nur maskiert, sondern verworfen oder auf eine Kategorie reduziert
• Kein Schlüssel und keine Zuordnungstabelle bleiben liegen, mit denen sich der Bezug wiederherstellen ließe
• Die verbleibenden Merkmale sind nicht so selten, dass sie in Kombination erneut auf eine Person zeigen
• Verbindungsdaten wie IP-Adresse und Gerätekennung fallen mit, nicht erst im zweiten Schritt
• Der Vorgang ist beschrieben, wiederholbar und läuft als Programm, nicht als Handgriff
• Das Ergebnis wird stichprobenweise gegengelesen, bevor der Rohbestand gelöscht wird

Protokolle für die Qualitätssicherung

Ein Assistent wird nicht dadurch besser, dass er läuft, sondern dadurch, dass jemand seine Antworten liest. Dieses Lesen ist ein eigener Zweck und braucht eine eigene Grundlage. In Betracht kommt das berechtigte Interesse, sofern nicht die Interessen oder Grundrechte der betroffenen Person überwiegen (Art. 6 Abs. 1 lit. f DSGVO); wird der Verlauf für einen anderen Zweck weiterverarbeitet als den, für den er erhoben wurde, sind unter anderem die Verbindung zwischen den Zwecken, der Zusammenhang der Erhebung, die Art der Daten und das Vorhandensein geeigneter Garantien zu berücksichtigen (Art. 6 Abs. 4 DSGVO). In der Umsetzung entscheidet dann die Menge: Eine Stichprobe, gezogen nach einer festen Regel und nach der Auswertung gelöscht, ist etwas völlig anderes als ein dauerhafter Zweitbestand aller Verläufe. Sinnvoll ist außerdem, das Prüfergebnis vom Prüfgegenstand zu trennen. Was aus der Durchsicht folgt, ist eine Notiz über eine fehlende Antwort in der Wissensbasis, nicht der Verlauf selbst, wie der Beitrag zur Auswertung von Chats im Einzelnen zeigt.

• Eine feste Ziehungsregel für die Stichprobe, nicht die Durchsicht des Gesamtbestands
• Eine eigene, kurze Frist für den Prüfbestand, unabhängig von der Frist im Betrieb
• Ein benannter Kreis von Personen mit Zugriff, protokolliert und regelmäßig überprüft
• Die Trennung von Betriebs- und Auswertungsbestand, damit eine Löschung beide erreicht
• Die Ableitung als Ergebnis: eine Lücke in der Wissensbasis, keine Kopie des Gesprächs
• Eine kurze schriftliche Abwägung, die vor dem ersten Lesen entsteht und nicht danach

Was das Handelsrecht verlangt und was nicht

An dieser Stelle kommt regelmäßig der Einwand, Chatverläufe seien Geschäftsbriefe und müssten deshalb sechs Jahre aufbewahrt werden. Der Blick in die Vorschrift lohnt sich. Jeder Kaufmann ist verpflichtet, unter anderem die empfangenen Handelsbriefe und Wiedergaben der abgesendeten Handelsbriefe geordnet aufzubewahren (§ 257 Abs. 1 Nr. 2 und 3 HGB). Entscheidend ist der Absatz danach, der den Begriff eng führt.

Damit ist die Frage entschieden, aber anders, als die Sorge es nahelegt. Eine Auskunft über Öffnungszeiten betrifft kein Handelsgeschäft. Ein Produktvergleich ohne Anfrage betrifft keines. Ein Gespräch dagegen, in dem ein konkretes Angebot abgegeben, eine Bestellung aufgenommen oder eine Reklamation abgewickelt wird, betrifft sehr wohl eines. Für diese Unterlagen gilt eine Aufbewahrung von sechs Jahren (§ 257 Abs. 4 HGB), beginnend mit dem Schluss des Kalenderjahres, in dem der Handelsbrief empfangen oder abgesendet worden ist (§ 257 Abs. 5 HGB). Das Steuerrecht führt eine gleichlaufende Pflicht für empfangene und abgesandte Handels- und Geschäftsbriefe (§ 147 Abs. 1 Nr. 2 und 3 AO) mit derselben Dauer von sechs Jahren (§ 147 Abs. 3 AO).

• Der Assistent gibt ein konkretes Angebot mit Menge, Ausführung und Lieferzeit ab
• Eine Bestellung wird im Gespräch aufgenommen oder dort bestätigt
• Eine Reklamation oder Rückabwicklung wird im Chat verhandelt und abgeschlossen
• Im Gespräch wird eine Gutschrift, ein Nachlass oder eine Kulanz zugesagt, die später verbucht wird
• Der Verlauf ist der einzige Ort, an dem eine getroffene Vereinbarung dokumentiert ist

Auch in diesen Fällen gilt die Pflicht dem Vorgang und nicht dem Fenster. Aufzubewahren ist der Teil, der das Handelsgeschäft betrifft, also das Angebot, die Bestätigung, die Abwicklung. Der praktische Weg ist deshalb die Ausleitung: Der maßgebliche Teil wandert als Dokument in das Fach- oder Dokumentensystem, das ohnehin für Geschäftsunterlagen zuständig ist, und der Chatbestand folgt danach wieder seiner kurzen Frist. Wer stattdessen den gesamten Verlauf sechs Jahre liegen lässt, damit ein Fall abgedeckt ist, verarbeitet den ganzen Rest ohne Grundlage. Eine Aufbewahrungspflicht ist kein Aufbewahrungsrecht für alles, was daneben steht: Art. 17 Abs. 3 lit. b DSGVO trägt nur, soweit eine rechtliche Verpflichtung tatsächlich besteht.

Neben der Aufbewahrung steht die Verjährung, und sie ist der zweite Grund, aus dem ein Verlauf länger bleiben darf. Die regelmäßige Verjährungsfrist beträgt drei Jahre (§ 195 BGB) und beginnt mit dem Schluss des Jahres, in dem der Anspruch entstanden ist und der Gläubiger von den anspruchsbegründenden Umständen Kenntnis erlangt hat (§ 199 Abs. 1 BGB). Das Recht auf Löschung besteht nicht, soweit die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist (Art. 17 Abs. 3 lit. e DSGVO). Warum das gerade bei einem Assistenten praktisch wird, zeigt der Beitrag zur Haftung für Aussagen des Assistenten: Steht eine Zusage im Raum, ist der Verlauf der einzige Beleg dafür, was tatsächlich gesagt wurde.

Das Löschkonzept: Klassen, Ereignisse, Nachweis

Ein Löschkonzept ist kein Aufsatz, sondern eine Tabelle mit wenigen Spalten. Sie führt jede Datenart auf, nennt ihren Zweck, den Startzeitpunkt, die Regelfrist und die Stelle, an der gelöscht wird. Der Wert liegt nicht in der Länge, sondern darin, dass jede Zeile beantwortbar ist. Wenn eine Zeile keinen Zweck hat, gehört die Datenart nicht in den Bestand. Wenn eine Zeile keinen Startzeitpunkt hat, wird sie nie gelöscht. Wenn eine Zeile keine Umsetzungsstelle hat, ist die Frist eine Absichtserklärung.

• Alle Ablagen benennen, die zu einem Gespräch gehören, vom Fenster bis zum Auswertungsbestand
• Je Ablage Zweck und Rechtsgrundlage eintragen, in einem Satz und ohne Sammelbegriffe
• Den Startzeitpunkt als Ereignis festlegen, das ein Programm erkennen kann
• Die Regelfrist ableiten und in zwei Sätzen begründen, damit die Begründung später vorliegt
• Die Ausnahmen benennen und festlegen, wer sie setzt, wo sie stehen und wann sie enden
• Den Löschlauf automatisieren und sein Protokoll aufbewahren, ohne die gelöschten Inhalte
• Sicherungen und Auftragsverarbeiter einbeziehen, samt der Frage, wie eine Wiederherstellung den Löschstand nachzieht
• Einmal im Jahr gegenlesen, ob die Fristen noch zu den tatsächlichen Abläufen passen

Zwei Stellen werden dabei fast immer vergessen. Die erste ist die Sicherung. Eine Datensicherung lässt sich in der Regel nicht punktuell ändern, ohne ihre Prüfbarkeit zu verlieren; der übliche Weg ist deshalb, dass Sicherungen nach ihrer eigenen, kurzen Frist auslaufen und dass eine Wiederherstellung den zwischenzeitlichen Löschstand nachzieht. Dieser Ablauf gehört aufgeschrieben, sonst kehren gelöschte Gespräche nach einem Zwischenfall zurück. Die zweite Stelle ist der Auftragsverarbeiter: Er löscht oder gibt nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten nach Wahl des Verantwortlichen zurück und löscht vorhandene Kopien (Art. 28 Abs. 3 lit. g DSGVO). Wer seine Verträge daraufhin liest, findet dort oft eine Frist, die niemand mit der eigenen abgeglichen hat. Wo die Daten überhaupt liegen, ist unter Datenschutz und Hosting beschrieben.

Löschanträge im laufenden Betrieb

Neben der Regellöschung steht der Einzelfall. Die betroffene Person hat das Recht, die unverzügliche Löschung zu verlangen, unter anderem dann, wenn die Daten für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig sind (Art. 17 Abs. 1 lit. a DSGVO). Die Antwort auf einen solchen Antrag ist unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang zur Verfügung zu stellen; diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist (Art. 12 Abs. 3 DSGVO). Wurden die Daten offengelegt, sind alle Empfänger über die Löschung zu unterrichten, es sei denn, dies erweist sich als unmöglich oder ist mit unverhältnismäßigem Aufwand verbunden (Art. 19 DSGVO).

Praktisch scheitert es selten am Löschen und häufig am Finden. Ein Gespräch ohne Anmeldung trägt keinen Namen, und die Person, die es geführt hat, kennt weder Sitzungskennung noch Vorgangsnummer. Die Verordnung nimmt darauf Rücksicht: Ist der Verantwortliche nicht in der Lage, die betroffene Person zu identifizieren, so ist er nicht verpflichtet, zur bloßen Einhaltung dieser Verordnung zusätzliche Informationen aufzubewahren, um die betroffene Person zu identifizieren (Art. 11 Abs. 1 DSGVO). Das ist keine Einladung zur Bequemlichkeit, sondern ein Hinweis auf die richtige Reihenfolge: Wer wenig speichert, muss wenig suchen. Für Gespräche hinter einer Anmeldung gilt das Gegenteil, wie der Beitrag zum internen Assistenten beschreibt.

• Ein Suchweg, der ein Gespräch über die im Verlauf genannte Adresse oder Vorgangsnummer findet
• Eine Prüfung der Identität, die nicht mehr Daten verlangt, als für die Zuordnung nötig sind
• Eine Einschränkung der Verarbeitung als Zwischenschritt, solange die Prüfung läuft (Art. 18 DSGVO)
• Ein Löschweg, der alle Ablagen erreicht, einschließlich Anhänge und Auswertungsbestand
• Eine Rückmeldung an die betroffene Person mit dem, was gelöscht wurde und was aus welchem Grund bleibt
• Ein Vermerk über den Vorgang selbst, der ohne die gelöschten Inhalte auskommt

Der Weg zu einer belastbaren Frist

Die Reihenfolge entscheidet über den Aufwand. Wer mit der Zahl anfängt, diskutiert danach über Gefühle. Wer mit dem Bestand anfängt, hat die Zahl am Ende in der Hand, ohne sie gesucht zu haben. Die folgenden Schritte lassen sich in wenigen Tagen abarbeiten und ergeben ein Papier, das eine Prüfung übersteht.

• Den Bestand aufnehmen: welche Ablagen es gibt und welche Felder darin stehen
• Je Ablage den Zweck bestimmen und prüfen, ob es ihn wirklich noch gibt
• Je Zweck das Ereignis benennen, mit dem die Erforderlichkeit endet
• Die Regelfrist daraus ableiten und die Begründung in zwei Sätzen danebenschreiben
• Prüfen, welche Felder vor dem Ende der Frist bereits entfernt werden können
• Entscheiden, was anonymisiert weiterlebt, und den Anonymisierungsvorgang beschreiben
• Die Ausnahmen regeln: Verjährung, Handelsbrief, offene Beschwerde, jeweils mit Enddatum
• Die Fristen in die Hinweise nach Art. 13 DSGVO und in das Verzeichnis nach Art. 30 DSGVO übernehmen
• Den Löschlauf einrichten, einmal vollständig durchspielen und das Ergebnis festhalten

Am Ende steht kein längeres Dokument, sondern ein kürzerer Bestand. Die meisten Gespräche verschwinden nach Wochen, weil sie nach Wochen niemand mehr braucht. Was bleibt, bleibt aus einem Grund, der aufgeschrieben ist, und es bleibt so lange, wie dieser Grund trägt. Das entlastet nicht nur die Aufsichtspflicht, sondern auch den Betrieb: Ein kleiner Bestand ist schneller zu durchsuchen, günstiger zu sichern und im Schadensfall weniger wert für den Angreifer. Welche Bausteine ein Assistent dafür mitbringen sollte, ist in den Funktionen beschrieben; wie sich das Zusammenspiel mit bestehenden Systemen ordnen lässt, steht unter Integration. Wo die Fristen für Gespräche, Anfragen und Protokolle im Konto getrennt eingestellt werden, beschreibt die Dokumentation.

Häufige Fragen