Aufbewahrungs- und Löschkonzept (Anlage 3 zum AVV)
Stand: 2026-08-22. Fristen, auf die sich § 6 des AVV bezieht.
Grundsatz: Kundeninhalte werden nur so lange aufbewahrt, wie der Support-Vorgang sie benötigt. Der Nachweis darüber, was der Dienst getan hat, wird länger aufbewahrt als das, was Kundinnen und Kunden geschrieben haben. Beide Fristen laufen unabhängig voneinander.
1. Fristen je Datenklasse
| Datenklasse | Inhalt | Aufbewahrung | Zweck der Frist |
|---|---|---|---|
| Nachrichteninhalte | Volltext eingehender Kundennachrichten, Metadaten der Anhänge | 90 Tage, danach gelöscht | ausreichend für Rückfragen und die Qualitätsprüfung eines Vorgangs |
| Antwortnachrichten | Volltext der im Namen des Verantwortlichen versendeten Antworten | 90 Tage | entspricht der Frist der beantworteten Nachricht |
| Prüfprotokoll | Anliegenart, Bestellreferenz, Zeitstempel, Entscheidung, Konfigurationsstand, ausgeführte Schritte — keine Nachrichteninhalte | 3 Jahre | Nachvollziehbarkeit der ausgeführten Aktionen; nach 1 Jahr pseudonymisiert (Bestellreferenz statt Kundenname) |
| Antwortentwürfe im Testbetrieb | Entwurfstext, der nirgends sonst existiert, im Prüfprotokoll | 90 Tage — dieselbe Frist wie die beantwortete Nachricht, gemeinsam mit deren Inhalt entfernt | ein Entwurf zitiert die Nachricht, die er beantwortet |
| Bestelldaten | Momentaufnahmen aus dem Shopsystem zu bereits entschiedenen Vorgängen | 7 Tage nach Entscheidung | das Shopsystem des Verantwortlichen bleibt System of Record |
| KI-Verarbeitung | Anfrage und Antwort beim Unterauftragsverarbeiter | 30 Tage in den Missbrauchserkennungs-Protokollen von Anthropic (USA) | Vorgabe des Anbieters; Anlage 1, Zeile 1 |
| E-Mail-Versand | Nachrichteninhalte in den Protokollen des Versanddienstleisters | 45 Tage (Anbieterstandard; siehe „Bekannte Grenzen“ Nr. 5) | Zustellnachweis und Fehlersuche |
| Anwendungsprotokolle | technische Protokolle, keine Nachrichteninhalte | 30 Tage | Betrieb |
| Sicherungskopien | manuelle Datenbank-Dumps, EU-Region | kein automatisierter Turnus — siehe „Bekannte Grenzen“ Nr. 1 | Wiederherstellbarkeit |
2. Wie gelöscht wird
Nachrichteninhalte werden an Ort und Stelle entfernt, nicht als Datensatz gelöscht: Betreff, Text und die entpackten Originale werden geleert, die Metadaten der Anhänge werden gelöscht, der Zeitpunkt der Löschung wird festgehalten. Der Datensatz selbst bleibt bestehen.
Das ist keine Abschwächung, sondern die Voraussetzung dafür, dass beide Fristen oben nebeneinander gelten können: das Prüfprotokoll verweist auf die Nachricht, und ein Löschen des Datensatzes würde den dreijährigen Nachweis mit entfernen, den dieselbe Tabelle zusichert. Nach 90 Tagen ist der Vorgang daher weiterhin als Vorgang nachvollziehbar — Anliegenart, Entscheidung, ausgeführte Aktion — ohne dass die Worte der Kundin oder des Kunden noch vorliegen.
Die Fristen werden durch einen wiederkehrenden Job durchgesetzt, der je Lauf protokolliert, wie viele Datensätze er bearbeitet hat.
3. Löschung auf Anfrage
Die Fristen oben sind die zeitgesteuerte Löschung. Verlangt eine betroffene Person Löschung nach Art. 17 DSGVO und leitet der Verantwortliche dies weiter (AVV § 3 Abs. 4), gilt zusätzlich:
- Identität und Inhalte werden entfernt: der Kundendatensatz wird gelöscht, Nachrichtentexte, Betreffzeilen, Absenderangaben und Empfängerangaben werden geleert, Metadaten der Anhänge werden gelöscht.
- Das Prüfprotokoll wird pseudonymisiert, nicht zerstört — und zwar sofort statt erst nach einem Jahr. Bestellreferenz, Anliegenart, Entscheidung, Konfigurationsstand und Zeitstempel bleiben; Entwurfstexte, Momentaufnahmen der Bestelldaten und interne Notizen werden entfernt. Der Eintrag dass eine Bestellung an einem Tag storniert wurde bleibt; nichts, was sagt, wer das mit welchen Worten verlangt hat.
Auskunft nach Art. 15 DSGVO wird auf demselben Weg erteilt. Die Frist ist der gesetzliche Monat.
4. Nach Vertragsende
Nach Beendigung des Hauptvertrags werden alle personenbezogenen Daten binnen 30 Tagen gelöscht oder auf Wunsch des Verantwortlichen in einem gängigen Format herausgegeben (AVV § 6). Eine längere Aufbewahrung erfolgt nur, soweit eine gesetzliche Aufbewahrungspflicht entgegensteht oder der Verantwortliche sie durch dokumentierte Weisung anordnet.
Bekannte Grenzen
Ausdrücklich benannt, weil eine unvollständige Aufzählung als Zusicherung gelesen würde — dieselbe Regel wie in Anlage 2:
- Keine automatisierten Sicherungskopien. Beim Datenbankanbieter kostenpflichtig und derzeit nicht aktiviert. Es existieren nur manuelle Dumps ohne festen Turnus; eine Wiederherstellbarkeit wird daher nicht zugesichert. Ein rollierendes Zeitfenster wird hier bewusst nicht genannt, solange keines läuft.
- Für die Absenderidentität ist keine Frist festgelegt. Der Kundendatensatz (Name und E-Mail-Adresse der absendenden Person) unterliegt keiner der Fristen aus Abschnitt 1 und wird von der zeitgesteuerten Löschung nicht erfasst. Auf Anfrage wird er nach Abschnitt 3 gelöscht. Eine Frist dafür ist offen und wird nachgetragen, sobald sie entschieden ist.
- Für Aufbewahrungsanordnungen besteht kein technischer Mechanismus. Abschnitt 4 beschreibt, wie mit einer dokumentierten Weisung umzugehen ist; sie wird organisatorisch umgesetzt, nicht durch eine Sperre im System.
- Sicherungskopien sind von der Löschung auf Anfrage nicht erfasst. Ein Dump, der vor der Anfrage erstellt wurde, enthält die Daten bis er ausläuft. Wird eine Wiederherstellung aus einer Sicherungskopie durchgeführt, wird der Verantwortliche darüber informiert.
- Der E-Mail-Dienstleister hält Nachrichteninhalte 45 Tage vor. Das ist der Standard des Anbieters (Postmark, USA, unter EU-SCCs) und gilt für eingehende wie ausgehende Nachrichten. Eine kürzere Frist bietet der Anbieter nur als kostenpflichtiges Add-on eines höheren Tarifs an; sie ist nicht gebucht. Die 90-Tage-Frist aus Abschnitt 1 bleibt davon unberührt, da 45 Tage darunter liegen. Wird die Frist verkürzt, wird diese Anlage angepasst und nach AVV § 4 Abs. 2 angekündigt.