Aufbewahrung und Löschung: Wie lange Chats bleiben sollten

In den meisten WhatsApp-CRM-Konten wurde noch nie etwas gelöscht. Drei Jahre Chats, Telefonnummern und Bestelldetails liegen neben den Anfragen von heute Morgen — Speicher ist billig, und niemand will die später wichtige Nachricht weggeworfen haben. Der Reflex fühlt sich sicher an; datenschutzrechtlich ist das Gegenteil der Fall, und es gehört zu den Entscheidungen, auf die der ausführliche Leitfaden zu Datenschutz und Compliance auf WhatsApp immer wieder zurückkommt.

Das Folgende ist operative Orientierung, keine Rechtsberatung: Welche Fristen Ihr Unternehmen konkret binden, hängt von Branche und Land ab — klären Sie die Details mit Ihrem eigenen Rechtsbeistand, bevor Sie ein Konzept festschreiben.

Alte Daten sind ein Risiko, kein Vermögenswert

Fragen Sie sich, wofür die Konversationen von vor zwei Jahren eigentlich da sind. In den meisten Postfächern öffnet niemand einen Thread, der älter als achtzehn Monate ist — höchstens versehentlich. Trotzdem muss jeder davon abgesichert, auf Anfrage herausgegeben und im Ernstfall als kompromittiert behandelt werden. Ein Vorfall über sechs Monate Daten ist eine schlechte Woche; sechs Jahre sind eine andere Größenordnung. Daten, die Sie nicht haben, können nicht abfließen.

Jede Frist braucht einen Zweck

Die brauchbare Regel ist einfach: Sie bewahren personenbezogene Daten so lange auf, wie Sie sie für den Erhebungszweck brauchen — danach kommen sie weg. Damit wird aus einer unbeantwortbaren Frage — wie lange sollen Chats bleiben? — eine Reihe beantwortbarer. Warum haben wir das noch? Welche Entscheidung würden wir damit treffen? Wann läuft dieser Grund ab? Ein Thread über eine Lieferung existiert, um die Lieferung zu klären; endet die Rückgabefrist, ist der Grund weg.

Der Zweck entscheidet auch über Daten, die Sie nie wirklich gebraucht haben. Eine Nummer aus einer einmaligen Angebotsanfrage wird nicht dadurch zum Marketingverteiler, dass sie im CRM liegt. DSGVO und WhatsApp Business: Was wirklich gilt arbeitet die Rechtsgrundlagen dahinter auf; praktisch braucht eine neue Nutzung alter Daten meist eine eigene Rechtfertigung.

Löschpflichten treffen auf Aufbewahrungspflichten

Andere Regeln verlangen, dass Sie etwas behalten. Rechnungen und Buchhaltungsunterlagen fallen unter Steuer- und Handelsrecht, das in der Regel eine feste Aufbewahrungsdauer vorschreibt — die Zahl unterscheidet sich je nach Land, also schlagen Sie Ihre nach, statt eine aus einem Artikel zu übernehmen. Garantiebedingungen, Verjährungsfristen und laufende Streitfälle sprechen ebenfalls für längere Aufbewahrung. Ein Freibrief, alles zu behalten, ist das nicht: Meist muss der Transaktionsnachweis überleben, der Chat drumherum nicht.

Ein Konzept, das Sie wirklich einhalten

Ein Löschkonzept für ein zehnköpfiges Unternehmen passt auf eine Seite. Listen Sie die Datenkategorien auf, geben Sie jeder eine Frist, benennen Sie eine verantwortliche Person und legen Sie fest, was am Ende passiert — löschen oder anonymisieren. Vier begründbare Kategorien schlagen eine Matrix, die niemand pflegt.

1. Support-Konversationen ohne Transaktion — eine kurze Frist in Monaten.
2. Konversationen zu einer Bestellung — solange Rückgabe-, Garantie- oder Streitfenster laufen.
3. Rechnungen und Buchhaltung — für die vorgeschriebene Dauer, im Buchhaltungssystem statt im Posteingang.
4. Einwilligungsnachweise für Marketing — solange die Einwilligung gilt, plus genug, um sie zu belegen.
5. Einmalige Anfragen und Bewerberdaten — die kürzeste Frist von allen.

“

Die sichersten Daten sind die, die Sie nicht mehr haben. Jedes zusätzliche Jahr ist ein weiteres Jahr, in dem jemand anderes sie für Sie verlieren kann.

— be digital ai Team

Löschung automatisieren, denn niemand denkt daran

Ein Konzept, das auf Erinnerung beruht, ist kein Konzept. Was Sie entscheiden, sollte als Regel im System laufen: Konversationen dieses Typs, seit dieser Zeit geschlossen, werden automatisch gelöscht oder anonymisiert. Anonymisieren ist die bessere Voreinstellung für alles, was Sie weiter auswerten wollen — Name, Nummer und Inhalt entfernen, die Information behalten, dass ein Versandticket in vier Stunden gelöst wurde. Die Auswertung überlebt, die personenbezogenen Daten nicht.

Wenn ein Löschwunsch mitten im Gespräch kommt

Irgendwann verlangt jemand die Löschung seiner Daten, während eine Bestellung noch offen ist. Prüfen Sie zuerst, dass Sie wirklich mit der betroffenen Person sprechen — eine Nachricht von der hinterlegten Nummer genügt meist, aber nehmen Sie eine Löschanweisung nie von Dritten entgegen. Trennen Sie dann, was bleiben muss, von dem, was gehen kann: Die Rechnung bleibt meist wegen der Aufbewahrungspflicht, Chatverlauf und Marketingkontakt gehen. Sagen Sie klar, was gelöscht wurde, was bleibt und warum; dokumentieren Sie Anfrage und Datum.

Exporte und Backups: hier scheitert Löschung leise

Sie können eine Konversation sauber löschen und trotzdem drei Kopien davon haben. Jemand hat im Frühjahr eine Kontaktliste exportiert, sie liegt im Downloads-Ordner. Ein Backup von vor der Löschung liegt in der Cloud. Ein Screenshot ging in einen Gruppenchat. Fristen bedeuten nur etwas, wenn sie die Kopien erfassen. Kundendaten im gemeinsamen Posteingang schützen behandelt die Zugriffsseite; für die Aufbewahrung gilt: Jeder Export braucht Grund, Verantwortliche und Enddatum.

Mit einer Kategorie anfangen

Schreiben Sie nicht zuerst das vollständige Konzept. Nehmen Sie die Kategorie, von der Sie am meisten haben — meist geschlossene Support-Konversationen ohne Bestellung —, legen Sie eine begründbare Frist fest und schalten Sie die automatische Löschung ein. Einen Monat beobachten, dann die nächste ergänzen. Nach einem Quartal passt das Konzept zum tatsächlichen Geschäft.