«Bitte löschen Sie meine Daten.» Im CRM lässt sich der Kontakt schnell entfernen. Doch dieselbe Anfrage kann noch im Postfach, im Chatprotokoll, in einer Aufgabenliste und im Suchindex liegen. Ein Löschplan für ein Schweizer KMU beginnt deshalb mit der Frage, wo welche Daten für welchen Zweck verwendet werden. Ein verschwundener Kontakteintrag beweist noch keine abgeschlossene Löschung.
Gleichzeitig ist sofortiges Entfernen jedes Dokuments nicht immer die richtige Antwort. Für einzelne Belege können Aufbewahrungspflichten oder andere berechtigte Gründe bestehen. Diese Fälle brauchen eine dokumentierte Prüfung. Der betriebliche Ablauf muss zwischen löschen, eingeschränkt aufbewahren und weiterhin benötigter Verarbeitung unterscheiden. Eine einzige Frist für alle Kundendaten ist dafür keine brauchbare Grundlage.
Ein Verzeichnis nach Zweck statt nach Software
Starten Sie mit Datenarten: Kontakt für eine offene Anfrage, Gespräch zur Bearbeitung, Rechnung als Geschäftsbeleg, technische Protokolle zur Fehleranalyse. Notieren Sie Zweck, verantwortliche Person und verwendete Systeme. «Alles im CRM» reicht nicht, wenn ein Automatisierungsdienst Kopien erzeugt oder Nachrichten an eine weitere Plattform weiterleitet.
Gehen Sie einen typischen Eingang durch. Ein Formular erzeugt eine E-Mail, eine CRM-Aufgabe und möglicherweise eine Chat-Zusammenfassung. Welche Kennung verbindet diese Einträge? Welche Kopien sind wirklich nötig? Wenn niemand diese Fragen beantworten kann, wird jeder Löschauftrag zu einer Suche nach Dateinamen. Ein einfaches Verzeichnis mit stabilen Kennungen ist oft der sinnvollste erste Arbeitsschritt.
Fristen brauchen eine Begründung
Die Informationen des EDÖB zu Betroffenenrechten erläutern Löschung, wenn Daten für den ursprünglichen Zweck nicht mehr gebraucht werden, sowie mögliche entgegenstehende Gründe. Daraus folgt kein einheitlicher Zeitraum für jedes Kundendokument. Prüfen Sie den jeweiligen Zweck und die einschlägigen Pflichten.
Für Ihr Verzeichnis ist eine Regel wie «nach Abschluss der Anfrage und Ablauf der definierten Prüfperiode» brauchbarer als ein willkürliches Datum. Halten Sie fest, wer die Regel fachlich bestätigt und wann sie überprüft wird. Bei Geschäftsbelegen holen Sie die einschlägige Aufbewahrungsregel aus Ihrer Buchhaltungs- und Rechtsprüfung. Übertragen Sie sie nicht ungeprüft auf Chatverläufe, Marketingkontakte oder technische Logs.
Eine kleine Tabelle als Ausgangspunkt
| Datenart | Auslöser zur Prüfung | Nachweis |
|---|---|---|
| Offene Anfrage | Erledigt oder abgebrochen. | Status und zuständige Person. |
| Gesprächskopie | Bearbeitungszweck entfällt. | Betroffene Systeme und ausgeführte Schritte. |
| Geschäftsbeleg | Anwendbare Aufbewahrungsregel. | Dokumentierte Pflicht und Zugriffsbeschränkung. |
| Technisches Log | Definierte Diagnoseperiode endet. | Ablaufregel und Kontrolle ihrer Ausführung. |
Die Tabelle ist ein Arbeitsmuster, keine allgemeine gesetzliche Fristentabelle. Ergänzen Sie konkrete Regeln für Ihren Betrieb. Wenn eine Datenart mehreren Zwecken dient, unterscheiden Sie diese. Eine Rechnungsadresse kann für einen Beleg erforderlich sein, ohne dass dieselbe Person weiter Werbenachrichten erhalten muss.
Ein Löschauftrag mit nachvollziehbaren Schritten
Nehmen Sie die Anfrage an, prüfen Sie die erforderliche Identität und ordnen Sie die betroffenen Datensätze zu. Fordern Sie dafür nur angemessene Nachweise. Eine allgemeine E-Mail-Adresse allein kann mehrdeutig sein; eine vollständige Ausweiskopie kann wiederum unnötig viel Material erzeugen. Legen Sie den Prüfweg für Ihren konkreten Zugriff fest.
Danach wird je System entschieden und ausgeführt. Ein Datensatz kann gelöscht werden, ein anderer wegen eines bestätigten Aufbewahrungsgrundes eingeschränkt bleiben. Dokumentieren Sie Grund, Umfang und Verantwortlichen. Eine Antwort an die Person muss die tatsächlich erledigten Schritte beschreiben. «Alles gelöscht» ist ungeeignet, wenn ein Archiv oder ein externer Dienst noch ungeprüft ist.
Was ein Wissenschatbot zusätzlich verändert
Der EDÖB erläutert für KI-Anwendungen, dass Zweckbindung und Verhältnismässigkeit auch dort gelten. Wenn Kundendokumente in eine Wissenssuche aufgenommen werden, reicht das Löschen der Originaldatei allein möglicherweise nicht. Der Index kann Textabschnitte, Metadaten und Verweise enthalten. Der Ablauf sollte diese Einträge über stabile Dokumentkennungen finden und entfernen oder neu aufbauen. Prüfen Sie anschliessend, ob eine Suche das entfernte Material noch liefert.
Beachten Sie auch Zwischenspeicher und bereits vorbereitete Antworten. Ein alter Ausschnitt darf nicht aus einem Cache wieder erscheinen, obwohl seine Quelle gelöscht wurde. Trennen Sie Wissensmaterial für allgemeine Antworten von personenbezogenen Vorgängen, soweit Ihr Anwendungsfall das erlaubt. Weniger unnötige Kopien machen spätere Löschungen einfacher und reduzieren die Zahl der Stellen, die überprüft werden müssen.
Sicherungen und Wiederherstellung
Sicherungen brauchen eine eigene dokumentierte Behandlung. Prüfen Sie mit dem jeweiligen Dienst, welche Löschmöglichkeiten bestehen und wann gesicherte Bestände auslaufen. Eine aktive Löschung sollte nach einer späteren Wiederherstellung nicht unbemerkt rückgängig werden. Dafür kann ein minimales Löschverzeichnis mit geeigneten Kennungen erforderlich sein; auch dieses wird mit begrenztem Zweck und Zugriff geführt.
Testen Sie den Wiederherstellungsfall mit erfundenen Daten. Löschen Sie einen Testkontakt, stellen Sie einen früheren Teststand wieder her und prüfen Sie den anschliessenden Abgleich. Das ist ein vorgeschlagenes Prüfverfahren, kein Bericht über einen Kundenfall. Es zeigt, ob Ihre Regel auch nach einem Betriebsproblem Bestand hat.
Lieferanten müssen Teil des Ablaufs sein
Notieren Sie, welche Dienstleister Daten erhalten und wie ein Auftrag bei ihnen ausgeführt wird. Ein geschlossener lokaler Kontakt löscht nicht automatisch eine Kopie im Supportdienst. Fragen Sie nach Ausführung, Rückmeldung und Umgang mit Sicherungen. Wenn eine automatische Schnittstelle fehlt, braucht der manuelle Schritt einen Verantwortlichen und eine überprüfbare Bestätigung.
Prüfen Sie ausserdem wiederkehrende Importe. Ein nächtlicher Abgleich aus einem alten Tabellenblatt kann einen gerade entfernten Marketingkontakt neu anlegen. Der Löschweg muss deshalb den Ursprung und die nächste Synchronisation berücksichtigen. Sonst ist die Entfernung technisch erfolgreich und am nächsten Morgen trotzdem wirkungslos.
Was Sie monatlich kontrollieren können
Kontrollieren Sie abgelaufene Bestände, offene Aufträge und fehlende Rückmeldungen. Wählen Sie zusätzlich einen erfundenen Testdatensatz, dessen Weg Sie durch alle Systeme verfolgen. Damit prüfen Sie den Prozess, ohne echte Kundendaten für einen unnötigen Test zu verteilen. Speichern Sie nur die Nachweise, die für diese Kontrolle gebraucht werden.
Der Status muss auch ohne Datenkopie verständlich sein
Die Person, die den Auftrag bearbeitet, sollte offene Schritte erkennen können, ohne die zu löschenden Inhalte erneut in eine Tabelle zu kopieren. Nach Ihrem konkreten Bedarf können eine begrenzte Referenz, das beteiligte System und der Bearbeitungsstand genügen. Legen Sie auch fest, wann diese Nachweise nicht mehr gebraucht und entfernt werden. Das Verzeichnis darf nicht unbemerkt zu einer zweiten vollständigen Kundendatei werden.
Wenn sich zwei Konten dieselbe Kontaktadresse teilen, braucht die Zuordnung besondere Aufmerksamkeit. Prüfen Sie, welcher Vorgang betroffen ist und welche Verbindung tatsächlich bestätigt wurde. Eine pauschale Suche nach derselben E-Mail-Adresse kann sonst fremde oder weiterhin benötigte Einträge treffen. Verwenden Sie für den Test mehrere erfundene Kontakte mit gemeinsamen Merkmalen. Der Ablauf sollte entweder den richtigen Umfang bestimmen oder eine begründete Rückfrage auslösen. Dokumentieren Sie die Ausnahme so, dass der nächste Bearbeiter sie ebenfalls erkennt.
Der Beitrag zum Datenschutz beim Telefonassistenten ergänzt die vorgelagerte Gestaltung. Für Prozessautomatisierung bringen Sie Datenarten, beteiligte Systeme und Ihre heutigen Löschschritte mit. Daraus lässt sich ein ausführbarer Plan erstellen, der Ausnahmen sichtbar behandelt und seinen Abschluss tatsächlich nachweist.
Für Schweizer Zahlungsbelege lohnt sich eine getrennte Prüfung. Der Beitrag zu automatischer Verarbeitung von QR-Rechnungen unterscheidet eingelesene Daten, Duplikatkontrolle und tatsächliche Zahlungsfreigabe.
FAQ
Gilt dieselbe Aufbewahrungsfrist für alle Kundendaten?
Nein. Zweck und einschlägige Pflichten müssen je Datenart geprüft werden. Die Regel für einen Geschäftsbeleg lässt sich nicht automatisch auf Marketingkontakte oder Diagnoseprotokolle übertragen.
Muss der Löschplan auch den Suchindex berücksichtigen?
Wenn personenbezogenes Material dort verarbeitet wird, gehört der Index zum Prüfbereich. Entfernen Sie betroffene Ausschnitte und Metadaten über geeignete Kennungen und prüfen Sie anschliessend die Suche sowie relevante Caches.
Wie wird verhindert, dass gelöschte Daten wieder auftauchen?
Berücksichtigen Sie Wiederherstellung und wiederkehrende Importe. Ein begrenztes Verzeichnis bereits ausgeführter Löschungen kann beim Abgleich helfen. Auch dessen Zweck, Zugriff und Aufbewahrung müssen definiert sein.