Aufbewahrungsfristen für Kundensupport-Chats festlegen

Warum eine unbegrenzte Chat-Historie ein Risiko ist

Ein Kundensupport-Chat kann Kontaktdaten, Kontokontext, Beschwerdeverläufe, Zahlungs- oder Liefernachweise, Screenshots, Dokumente und von Mitarbeitenden intern ergänzte Informationen enthalten. Jeden Datensatz für immer aufzubewahren, ist selten ein vertretbarer betrieblicher Standard.

Nach dem Grundsatz der Speicherbegrenzung der DSGVO sollten personenbezogene Daten, die eine Identifizierung ermöglichen, nicht länger aufbewahrt werden, als es für die Zwecke ihrer Verarbeitung erforderlich ist. Die praktische Frage lautet nicht, ob ein vollständiger Verlauf eines Tages nützlich sein könnte. Sie lautet, ob ein festgelegter Zweck weiterhin eine bestimmte Datenkategorie erfordert.

Eine unbegrenzte Aufbewahrung vergrößert außerdem die Menge der Datensätze, die versehentlichem Zugriff, Offenlegung, Verlust oder Veränderung ausgesetzt sind. Sie kann die Erfüllung von Auskunfts- und Löschanfragen erschweren, Untersuchungen verkomplizieren und Supportteams dazu zwingen, veralteten Kontext zu durchsuchen.

• Verwenden Sie „falls wir es brauchen“ nicht als Aufbewahrungszweck.
• Legen Sie eine Standardfrist, ein Ereignis zum Start der Frist, einen Prüfpunkt und eine Entsorgungsmaßnahme fest.
• Ermöglichen Sie eine frühere Löschung, wenn die Daten nicht mehr benötigt werden.
• Behandeln Sie eine rechtmäßige, dokumentierte Ausnahme als Ausnahme – nicht als Grund, den gesamten Posteingang aufzubewahren.

Inventarisieren Sie die Daten eines Supportgesprächs, bevor Sie eine Frist festlegen

Eine einzelne Ansicht des Posteingangs ist nicht eine einzige Datenkategorie. Erfassen Sie, wo jedes Element vorhanden ist, wer darauf zugreifen kann, wofür es verwendet wird und ob es einen separaten Export, Anhangsspeicher, ein Backup oder ein Berichtssystem gibt. Dieses Inventar ist die Grundlage einer Aufbewahrungsrichtlinie für Kundensupport-Chats.

webchat.vip bietet einen gemeinsamen Posteingang für WebChat- und WhatsApp-Konversationen, operative Analysen, Gesprächsprotokolle, Bewertungen und exportierbare Berichte. Teams können außerdem Mitarbeitende, Abteilungen, Routing, Zeitpläne, Service Levels, Vorlagen und Tags nutzen. Diese operativen Objekte können unterschiedliche Zwecke und Entsorgungswege haben und sollten daher nicht automatisch dieselbe Frist wie ein Gespräch erhalten.

Kundendateien erfordern besondere Aufmerksamkeit. webchat.vip speichert Dateien in einem isolierten Apification-Cloud-Unterkonto für jeden Omnichannel-Service. Ihre Verantwortlichen für Plattform, Sicherheit und Aufzeichnungen sollten dennoch Zugriff, Kopien, Backup-Behandlung, Löschmöglichkeiten und Zuständigkeiten für diesen Speicherpfad erfassen.

• Aktive Gesprächstranskripte und Nachrichtenmetadaten
• Interne Notizen, Zuweisungen, Routing-Verlauf und Service-Level-Ereignisse
• Von Kundinnen und Kunden hochgeladene Anhänge sowie vom Unternehmen gesendete Dateien
• Tags, Kategorien, Bewertungen und Aufzeichnungen der Qualitätsprüfung
• Für Fallbearbeitung, Audits oder Analysen heruntergeladene Exporte
• Aggregierte Berichte und Analyseergebnisse
• Backups, Archive und verbundene Systeme, die Kopien enthalten können

Weisen Sie einen Zweck zu, bevor Sie eine Aufbewahrungsfrist wählen

Die Aufbewahrung richtet sich nach dem Zweck. Halten Sie für jede Zeile des Plans den konkreten betrieblichen oder rechtlichen Zweck, den Datenverantwortlichen, das geschäftliche Ereignis, das die Aufbewahrungsfrist startet, die Standardfrist und das genehmigte Ergebnis nach Ablauf dieser Frist fest.

Häufige Zwecke sind die Kontinuität einer offenen Serviceanfrage, die Bearbeitung einer Beschwerde oder eines Rechtsstreits, die Untersuchung eines vermuteten Betrugsfalls oder Sicherheitsvorfalls, die Erfüllung einer rechtlichen Verpflichtung und die Erstellung von Berichten zur Serviceverbesserung. Ein Berichtszweck kann häufig mit aggregierten oder wirksam anonymisierten Informationen statt mit identifizierbaren Transkripten erfüllt werden.

Sensibilität, Zugriffsbedarf und weniger eingriffsintensive Alternativen sollten die Entscheidung beeinflussen. Beispielsweise kann ein Anhang mit sensiblen Nachweisen eine kürzere Standardfrist, stärker eingeschränkten Zugriff und einen separaten Prüfprozess erfordern als ein wenig sensibles Tag, das für das Routing verwendet wird.

• Erforderlichkeit: Welche Entscheidung, Dienstleistung oder Verpflichtung erfordert diese Daten?
• Sensibilität: Kann die Kategorie sensible, finanzielle, identitätsbezogene oder sicherheitsrelevante Informationen enthalten?
• Zugriff: Welche Rollen müssen die Daten tatsächlich einsehen können und wie lange?
• Alternativen: Kann eine kurze Fallzusammenfassung, ein aggregierter Bericht oder eine wirksame Anonymisierung den Zweck erfüllen?
• Kopien: Existiert derselbe Inhalt im Posteingang, Dateispeicher, Export oder Backup?
• Prüfung: Wer darf eine Verlängerung genehmigen und welche Nachweise müssen dokumentiert werden?

Erstellen Sie eine Aufbewahrungsmatrix statt einer einzigen Regel für den gesamten Posteingang

Die genauen Fristen muss Ihre Organisation anhand ihrer Zwecke, des anwendbaren Rechts, vertraglicher Pflichten und der Risikobewertung festlegen. Übernehmen Sie keine allgemeine Zahl in jede Zeile. Die Anforderungen an die Dokumentation nach der DSGVO und die Leitlinien des ICO unterstützen es, Kategorien, Verwendungen und vorgesehene Aufbewahrungsfristen getrennt zu dokumentieren.

Nutzen Sie die folgende Vorlage als Entscheidungsinstrument. Ersetzen Sie die Angaben in Klammern durch genehmigte interne Entscheidungen. Eine für Datenschutz oder Aufzeichnungen verantwortliche Person sollte den Plan prüfen, bevor er operativ wird.

• Transkripte — Zweck: Lösung und Kontinuität für einen Supportfall. Auslöser: Fallschließung oder letzter wesentlicher Kundenkontakt. Standardfrist: [genehmigte Frist]. Maßnahme am Ende: löschen oder nur eine erforderliche Fallzusammenfassung aufbewahren. Verantwortlich: Support Operations.
• Interne Notizen — Zweck: Übergabe, Qualitätssicherung oder Beschwerdebearbeitung. Auslöser: Erstellung der Notiz oder Fallschließung. Standardfrist: [genehmigte Frist, häufig separat bewertet]. Maßnahme am Ende: zusammen mit dem zugehörigen Fall löschen, sofern keine dokumentierte Ausnahme gilt. Verantwortlich: Support Operations.
• Anhänge — Zweck: Überprüfung oder Lösung der konkreten Anfrage. Auslöser: Eingang, Abschluss der Überprüfung oder Fallschließung. Standardfrist: [genehmigte Frist]. Maßnahme am Ende: gemäß Entsorgungsverfahren aus dem Dateispeicher und zugehörigen Kopien löschen. Verantwortlich: Fallverantwortliche Person unter Aufsicht der Sicherheit.
• Tags und Routing-Daten — Zweck: Routing, Messung oder Verwaltung einer Serviceinteraktion. Auslöser: Fallschließung. Standardfrist: [genehmigte Frist]. Maßnahme am Ende: löschen oder, wo möglich, aggregieren. Verantwortlich: Support Operations.
• Bewertungen und Qualitätsaufzeichnungen — Zweck: Überprüfung und Verbesserung der Servicequalität. Auslöser: Abschluss der Bewertung oder Prüfung. Standardfrist: [genehmigte Frist]. Maßnahme am Ende: Identifikatoren löschen oder gegebenenfalls ein aggregiertes Ergebnis verwenden. Verantwortlich: Qualitätsverantwortliche Person.
• Exporte — Zweck: festgelegte Analyse, Audit oder Fallbearbeitung. Auslöser: Erstellung des Exports. Standardfrist: [kurze genehmigte Frist]. Maßnahme am Ende: am Zielort löschen und Abschluss dokumentieren. Verantwortlich: Anfordernde Person des Exports und Systemverantwortliche Person.
• Aggregierte Berichte — Zweck: Trendanalyse und operative Berichterstattung. Auslöser: Berichtserstellung. Standardfrist: [genehmigte Frist]. Maßnahme am Ende: nur aufbewahren, wenn das Ergebnis nicht vernünftigerweise identifizierbar ist; andernfalls eine festgelegte Frist anwenden. Verantwortlich: Analyseverantwortliche Person.

Geben Sie Anhängen einen eigenen Sicherheits- und Löschworkflow

Dateien sind nicht einfach lange Chatnachrichten. Ein von Kundinnen oder Kunden hochgeladenes Bild, PDF oder eine Tabellenkalkulation kann andere Datenschutz-, Malware- und Zugriffsrisiken schaffen und möglicherweise deutlich kürzer nützlich sein als das umgebende Transkript.

Stimmen Sie die Kontrollen für die Dateiverarbeitung mit den zuständigen Plattform- und Sicherheitsverantwortlichen ab. Die OWASP-Leitlinien für Datei-Uploads heben getrennte Speicherung, Berechtigungen nach dem Least-Privilege-Prinzip, Autorisierung von Uploads, generierte Dateinamen, Validierung von Typ und Inhalt, Größenbeschränkungen sowie, soweit verfügbar, Anti-Malware- oder Sandbox-Prüfungen hervor. Gehen Sie nicht ohne Prüfung davon aus, dass jede Kontrolle aktiviert oder verfügbar ist.

Legen Sie fest, wer entscheidet, dass ein Anhang nicht mehr erforderlich ist. Die Person, die einen Fall schließt, kann das Ereignis erkennen, aber eine Systemverantwortliche Person sollte die zuverlässige Umsetzung über Dateispeicher, Exporte und Backups hinweg verantworten.

• Beschränken Sie Upload-Berechtigungen auf die Nutzer und Workflows, die sie benötigen.
• Weisen Sie Kundinnen und Kunden darauf hin, keine unnötigen sensiblen Informationen zu senden, wenn eine Alternative besteht.
• Dokumentieren Sie, ob Malware- oder Sandbox-Prüfungen verfügbar sind, wer Warnmeldungen prüft und wie verdächtige Dateien isoliert werden.
• Vermeiden Sie es, Anhänge in nicht verwaltete lokale Ordner oder nicht genehmigte Kollaborationsbereiche herunterzuladen.
• Testen Sie, ob eine Löschanfrage sowohl den Anhangsspeicher als auch die Gesprächsansicht erreicht.
• Leiten Sie vermutete Malware, versehentliche Offenlegungen oder unbefugten Dateizugriff unverzüglich an den Prozess für Sicherheitsvorfälle weiter; überlassen Sie es Mitarbeitenden im direkten Kundenkontakt nicht, allein über die Eindämmung zu entscheiden.

Verwechseln Sie Löschung, Anonymisierung, Einschränkung und Archivierung nicht

Diese Begriffe beschreiben unterschiedliche Ergebnisse und sollten separate Felder in Ihrem Plan sein. Das Schließen, Ausblenden oder Archivieren eines Gesprächs ist keine Löschung. Offline-Daten bleiben eine Verarbeitung personenbezogener Daten und benötigen weiterhin eine begründete Aufbewahrungsfrist, Sicherheitskontrollen und eine angemessene Bearbeitung von Betroffenenanfragen.

Die Löschung entfernt Daten gemäß dem festgelegten Entsorgungsprozess der Organisation. Falls eine sofortige physische Löschung nicht in jeder Ebene technisch möglich ist, legen Sie fest, wie die Daten der Nutzung entzogen werden und wie die Löschung in Backups gehandhabt wird. Die sichere Entsorgung sollte der Sensibilität der Informationen und dem Speichermedium entsprechen.

Eine wirksame Anonymisierung kann längerfristige Analysen unterstützen, muss aber eine Identifizierung tatsächlich verhindern. Pseudonymisierung allein beendet die Pflichten zur Speicherbegrenzung nicht. Auch die Einschränkung ist etwas anderes: Nach Artikel 18 DSGVO dürfen eingeschränkte Daten grundsätzlich gespeichert werden, während die weitere Verarbeitung auf bestimmte Umstände begrenzt ist.

• Löschung: Inhalte und anwendbare Kopien nach dem dokumentierten Verfahren entsorgen.
• Wirksame Anonymisierung: Nur ein Ergebnis aufbewahren, das nach Prüfung des Re-Identifikationsrisikos nicht mehr identifizierbar ist.
• Einschränkung: Den Datensatz mit Verarbeitungsbeschränkungen aufbewahren, während eine festgelegte Angelegenheit geklärt wird.
• Archiv: Daten an einen anderen Ort verschieben; alle Datenschutz-, Sicherheits- und Aufbewahrungspflichten bleiben bestehen.
• Backup-Behandlung: Backup-Zyklen, Schutzmaßnahmen bei Wiederherstellungen und den Zeitpunkt dokumentieren, zu dem gelöschte Daten entfernt oder der Nutzung entzogen werden.

Verwalten Sie Ausnahmen mit einem kontrollierten Sperrvermerkverfahren

Eine Standardaufbewahrungsfrist kann für einen bestimmten Datensatz ausgesetzt oder verlängert werden, wenn eine klare Erforderlichkeit besteht, etwa bei einem aktiven Rechtsstreit, Rechtsanspruch, einer rechtlichen Verpflichtung, Betrugsprüfung, Sicherheitsuntersuchung oder ungelösten Kundenanfrage. Die Ausnahme muss eng begrenzt, nachgewiesen und überprüft sein.

Führen Sie ein Register für Sperrvermerke, statt sich auf das Gedächtnis von Mitarbeitenden oder ein Tag ohne Governance zu verlassen. Das Register sollte Umfang und Grund des Sperrvermerks, die genehmigende Person, die betroffenen Systeme und Kategorien, Zugriffsbeschränkungen, Prüftermin und Freigabeentscheidung enthalten. Bewahren Sie nur die für die angegebene Angelegenheit erforderlichen Datensätze auf.

Kundenanfragen auf Löschung oder Einschränkung benötigen einen menschlichen Prüfpfad. Lassen Sie keinen automatisierten Workflow eine Löschung zusagen, wenn eine gültige rechtliche Ausnahme, eine aktive Einschränkung oder eine ungeklärte Identitätsprüfung die Antwort beeinflussen könnte. Datenschutz- oder Rechtsverantwortliche sollten strittige Fälle entscheiden und die jeweils anwendbare Antwort geben.

• Sperrvermerk eröffnen: Fallkennung, Zweck, Umfang, Befugnis und Startdatum.
• Zugriff begrenzen: Beschränken Sie das mit Sperrvermerk versehene Material auf autorisierte Rollen.
• Prüfung: Legen Sie einen datierten Prüftermin fest, keinen unbefristeten Sperrvermerk.
• Freigabe: Entfernen Sie den Sperrvermerk unverzüglich, wenn der Bedarf endet, und führen Sie den Datensatz wieder dem Entsorgungsworkflow zu.
• Eskalation: Leiten Sie Rechtsansprüche, behördliche Anforderungen, Sicherheitsvorfälle und strittige Betroffenenanfragen gemäß den Vorfall- und Aufzeichnungsverfahren der Organisation an Recht, Datenschutz oder Sicherheit weiter.

Operative Kontrollen, die den Plan wirksam machen

Eine Richtlinie ist unwirksam, wenn übliche Umgehungslösungen unverwaltete Kopien erzeugen. Aufbewahrung sollte eine gemeinsame Betriebsverantwortung sein: Support Operations verantwortet Fallprozesse; Datenschutz oder Records Management verantwortet die Grundlage der Richtlinie und die Bearbeitung von Betroffenenrechten; Sicherheit verantwortet Zugriffs- und Vorfallkontrollen; technische Verantwortliche prüfen Systemkonfiguration und Entsorgungsverhalten.

Verwenden Sie Zugriffsrechte nach dem Least-Privilege-Prinzip für Posteingänge, Abteilungen, Dateien, Exporte und administrative Funktionen. Prüfen Sie Zugriffe, wenn Personen ihre Rolle wechseln. Führen Sie auditierbare Verwaltungsaufzeichnungen, vermeiden Sie jedoch unnötige Kopien von Kundeninhalten in der Auditspur.

webchat.vip kann Mitarbeitende, Abteilungen, Routing, Zeitpläne, Service Levels, Vorlagen und Tags organisieren. Nutzen Sie diese Organisationsfunktionen, um weitreichende Zugriffe zu verringern, bestätigen Sie jedoch die in Ihrem eingesetzten Service verfügbaren konkreten Funktionen für Aufbewahrung, Export, Löschung, Dateispeicherung und Audit, bevor Sie sie als Kontrollen darstellen.

• Benennen Sie für jede Aufbewahrungszeile eine geschäftliche und eine technische verantwortliche Person.
• Konfigurieren Sie einen geplanten Prüf- oder Löschworkflow, sofern die validierte Plattformfunktion dies unterstützt.
• Führen Sie einen Nachweis zur Löschverifizierung mit Regelversion, Kategorie, Ausführungsdatum, System- oder Speicherumfang, Ergebnis und Ausnahmeverweis – nicht mit kopierten Kundeninhalten.
• Testen Sie eine Stichprobe abgeschlossener Löschungen, einschließlich Dateien, Exporte und anwendbarer Backups.
• Gleichen Sie Einträge im Sperrvermerkregister vor jedem Lauf mit geplanten Löschjobs ab.
• Prüfen Sie privilegierte Zugriffe und Exportberechtigungen in einem festgelegten Turnus.
• Schulen Sie Mitarbeitende darin, sensible Dateien, Betroffenenanfragen, rechtliche Mitteilungen und Sicherheitsbedenken zu erkennen und anschließend zu eskalieren, statt zu improvisieren.