Aufbewahrungs- und Löschfristen
Version: 1.0 Gültig ab: 2026-10-09 Anbieter: Paul Bengart, Keplerstraße 4A, 39104 Magdeburg, Deutschland Bezug: Diese Richtlinie ist Anlage zum Auftragsverarbeitungsvertrag und Bestandteil der Allgemeinen Geschäftsbedingungen nach § 10. Sie ergänzt die Datenschutzerklärung und die Wechsel- und Exit-Richtlinie.
1. Grundsätze
(1) Für Umfrageantworten, Designs, Medien und Analyseergebnisse ist der Anbieter Auftragsverarbeiter; der Kunde bestimmt als Verantwortlicher über Aufbewahrung und Löschung. Für Konto-, Vertrags- und Sicherheitsdaten sowie für die Nutzungsstatistik der Anwendung (kontobezogene Nutzungsdaten, höchstens 90 Tage) und die Freigabe der Verbindung mit Google Sheets ist der Anbieter selbst Verantwortlicher. Tabellen, die der Anbieter auf Weisung des Kunden in dessen Google Drive anlegt, löscht der Anbieter nicht; sie bleiben unter der Kontrolle des Kunden bei Google, und die Fristen dieser Richtlinie gelten für sie nicht.
(2) Umfrageantworten werden während des Vertrags nicht automatisch gelöscht. Vollständige und unvollständige Antworten werden gleich behandelt. Sie bleiben gespeichert, bis der Kunde sie löscht, das Projekt löscht, das Konto löscht oder der Vertrag endet.
(3) Der Kunde kann einzelne Antworten, ganze Projekte und sein Konto jederzeit in der Plattform löschen. Gelöschte Antworten und Projekte sind sofort aus Auswertungen und Exporten ausgeschlossen und für die in Abschnitt 2 genannte Schonfrist wiederherstellbar.
(4) Nach Vertragsende richtet sich die Löschung nach der Wechsel- und Exit-Richtlinie: 30 Kalendertage Abrufzeitraum, danach Löschung spätestens innerhalb von 30 Tagen.
(5) Gesetzliche Aufbewahrungspflichten, insbesondere nach der Abgabenordnung, gehen den Fristen dieser Richtlinie vor, soweit sie die betroffenen Daten erfassen.
(6) Ein Legal Hold (Aufbewahrung wegen eines Rechtsstreits, eines behördlichen Verfahrens oder einer Sicherungsanordnung) erfasst nur die tatsächlich betroffenen Daten und endet, sobald der Grund entfällt. Der Kunde wird informiert, soweit dies rechtlich zulässig ist. Der Export einer Kopie an den Kunden bleibt möglich, soweit keine Anordnung entgegensteht.
(7) Die Datenbank wird über die Point-in-time-Recovery des Datenbankanbieters gesichert (höchstens 10 Tage), der Anwendungsserver einschließlich der Projektdateien beim Hosting-Anbieter (höchstens 14 Tage). Zusätzlich erstellt der Anbieter eigene Sicherungen der Datenbank und der Projektdateien; sie werden auf dem Anwendungsserver höchstens 30 Tage aufbewahrt; Kopien auf einem verschlüsselten externen Datenträger werden bei jeder neuen Kopie ersetzt und spätestens nach 45 Tagen gelöscht. Gelöschte Daten können daher höchstens 45 Tage in Sicherungen verbleiben. Nach einer Wiederherstellung werden dokumentierte Löschungen erneut vollzogen. Das gilt auch für die Löschung der Nutzungsdaten eines Kontos nach einem Widerspruch im Profil.
(8) Fristen sind Kalendertage. Der Beginn jeder Frist ergibt sich aus Abschnitt 2.
2. Fristentabelle
| Datenkategorie | Beginn | Aktive Aufbewahrung | Schonfrist | Endgültige Löschung | Nachlauf in Backups | Ausnahmen |
|---|---|---|---|---|---|---|
| Umfrageantworten (vollständig und unvollständig) | Eingang der Antwort | bis zur Löschung durch den Kunden, zur Projekt- oder Kontolöschung oder zum Vertragsende; keine automatische Löschung | keine (siehe „vom Kunden gelöschte Antworten“) | nach Vertragsende gemäß Exit-Richtlinie: 30 Tage Abruf, danach spätestens binnen 30 Tagen | höchstens 45 Tage | Legal Hold; gesetzliche Aufbewahrungspflicht; Weisung des Kunden auf frühere Löschung |
| Vom Kunden gelöschte Antworten | Löschung in der Plattform | keine; die Antwort ist sofort aus Auswertungen und Exporten ausgeschlossen | im Papierkorb des Projekts wiederherstellbar, bis der Kunde sie dort endgültig löscht oder den Papierkorb leert; keine automatische Löschung aus dem Papierkorb; importierte Antworten: keine | sobald der Kunde sie im Papierkorb löscht oder den Papierkorb leert, sonst wie Umfrageantworten; importierte Antworten sofort | höchstens 45 Tage | Legal Hold |
| Projektdaten (Survey-Flow, Konfiguration, Designs, Medien) und gespeicherte Analyseergebnisse (HB-Läufe, Latent Class, TasteNet, Simulationen) | Erstellung | bis zur Projekt- oder Kontolöschung oder zum Vertragsende | vom Kunden gelöschte Projekte mindestens 30 Tage wiederherstellbar | danach endgültige Löschung, spätestens nach 60 Tagen; nach Vertragsende gemäß Exit-Richtlinie | höchstens 45 Tage | Legal Hold; gesetzliche Aufbewahrungspflicht |
| Generierte Download-Dateien (vom Kunden angeforderte Exporte, Pakete, Berichte) | Erzeugung | 30 Tage | keine | nach 30 Tagen | höchstens 45 Tage | keine; gespeicherte Analyseergebnisse fallen unter Projektdaten |
| Konto (Löschung durch den Kunden) | Löschantrag | Konto sofort deaktiviert, Projekte pausiert; ein laufendes Abonnement wird vorher bei Polar zum Ende des Abrechnungszeitraums gekündigt | 30 Tage mit Widerrufsmöglichkeit; bei gewählter Sofortlöschung keine | nach Ablauf der Schonfrist unverzüglich, spätestens innerhalb von 30 Tagen; bei Sofortlöschung spätestens 30 Tage nach dem Antrag; dabei bittet der Anbieter Polar, den Kunden zu löschen und die Kundendaten zu pseudonymisieren, soweit Polar das technisch vorsieht (Mitteilung nach Art. 19 DSGVO) | höchstens 45 Tage | Legal Hold; gesetzliche Aufbewahrungspflicht; laufender Rechtsstreit; Vertragsnachweise, pseudonymisierte Audit-Ereignisse, pseudonymisierte Bestelldaten aus Polar und das Löschprotokoll nach den dafür geltenden Zeilen |
| Inaktive kostenlose Accounts | letzte Nutzung (Anmeldung, Projekt- oder Umfrageaktivität) | ohne feste Frist; der Anbieter kann kostenlose Accounts, die seit mindestens 6 Monaten nicht genutzt wurden, mit einer Frist von 30 Tagen per E-Mail kündigen | Kündigungsfrist von 30 Tagen; meldet sich der Kunde innerhalb der Frist an, entfällt die Kündigung; vor Ablauf kann der Kunde seine Daten exportieren | nach Ablauf der Frist wird der Account gelöscht, spätestens innerhalb von 30 Tagen | höchstens 45 Tage | bezahlter Vertrag; Legal Hold; laufender Rechtsstreit; gesetzliche Aufbewahrungspflicht |
| Vertragsnachweise (angenommene Versionen von AGB, AVV und Datenschutzerklärung, Zeitpunkt, Einstufung als Verbraucher oder Unternehmer) | Ende des Kalenderjahres, in dem der Vertrag endete | Vertragslaufzeit und danach bis 3 Jahre nach Ende des Kalenderjahres, in dem der Vertrag endete (§§ 195, 199 BGB) | keine | nach Ablauf der 3 Jahre beim jährlichen Löschtermin im Januar | höchstens 45 Tage | bei Rechtsstreit bis zu dessen Abschluss |
| Audit- und Sicherheitsereignisse (Anmeldungen, Änderungen, Exporte, Sicherheitsvorfälle) | Ende des Kalenderjahres des Ereignisses | 3 Jahre (§§ 195, 199 BGB); IP-Adressen werden 90 Tage nach dem Ereignis automatisch gekürzt (IPv4 auf /24, IPv6 auf /48); bei Kontolöschung werden direkte Kontobezeichner pseudonymisiert | keine | nach Ablauf der 3 Jahre | höchstens 45 Tage | Legal Hold |
| Nutzungsstatistik der Anwendung (Rohereignisse mit Kontokennung: Zeitpunkt, Funktion oder Seite, Fragetyp, Auswertungsfamilie, Task-Typ, Exportformat oder Reiter, Antwortzeit; ohne Inhalte, Antworten, Projektkennung, IP-Adresse und Geräteangaben) | Ereignis | 90 Tage; Auswertungen lesen nur Ereignisse der letzten 90 Tage | keine | durch einen nächtlichen Lauf, sobald ein Ereignis älter als 90 Tage ist; bei Widerspruch über den Schalter im Profil sofort für alle Ereignisse des Kontos | höchstens 45 Tage; nach einer Wiederherstellung werden Löschungen nach Widerspruch erneut vollzogen | keine; aggregierte Kennzahlen werden nicht dauerhaft gespeichert, sondern bei Abruf aus den Rohereignissen der letzten 90 Tage berechnet |
| Angabe "How did you hear about us?" am Konto (freiwillig) | Anlage des Kontos | 90 Tage | keine | durch einen nächtlichen Lauf nach 90 Tagen; bei Widerspruch über den Schalter im Profil sofort | höchstens 45 Tage | Summe je Antwort ohne Kontobezug, keine feste Frist |
| Tagessummen der Website und der Registrierung (je Tag und grobem Wert, ohne Besucher- oder Kontobezug) | Tag der Zählung | keine feste Frist, weil ohne Personenbezug | keine | keine automatische Löschung | höchstens 45 Tage | diese Zeile beschreibt die Summen selbst |
| Anwendungslogs | Protokolleintrag | höchstens 14 Tage (tägliche Rotation) | keine | spätestens nach 14 Tagen | höchstens 45 Tage | keine |
| Fehlerberichte (fehlgeschlagene Vorgänge, zur Fehlerbehebung) | Entstehung | 90 Tage | keine | automatisch nach 90 Tagen | höchstens 45 Tage | Legal Hold |
| Container-Logs | Protokolleintrag | größenbasiert rotiert, höchstens 30 MB je Dienst; keine feste Altersgrenze | keine | mit der Rotation | höchstens 45 Tage | keine |
| Provider-Logs (Netcup, Ubicloud, coolLabs, do.de) | Protokolleintrag beim Dienstleister | nach den Fristen des jeweiligen Dienstleisters | keine | durch den Dienstleister | nach den Regeln des Dienstleisters | Sicherheits- und Rechtspflichten des Dienstleisters |
| Kontaktanfragen (Kontaktformular, E-Mail) | Eingang | bis zur Erledigung, höchstens 15 Monate | keine | nach Erledigung, spätestens nach 15 Monaten | keiner; Postfach beim E-Mail-Dienstleister, nicht in der Anwendungsdatenbank | Anfragen mit Vertragsbezug: nach den Fristen für rechtliche Anfragen; Legal Hold |
| Rechtliche Anfragen (DSA-Meldungen, Kündigungen, Widerrufe, Datenschutzanfragen) | Ende des Kalenderjahres des Eingangs | 3 Jahre | keine | nach Ablauf der 3 Jahre beim jährlichen Löschtermin im Januar | höchstens 45 Tage | Legal Hold |
| Bestelldaten aus Polar (Bestell- und Rechnungsnummer, Anlass, Status, Angabe, ob bezahlt ist, Beträge mit Währung, Zeitpunkte von Bestellung und Zahlung, Kennungen von Kunde, Abonnement, Checkout und Produkt, E-Mail-Adresse, Konto- und Workspace-Bezug) | Ende des Kalenderjahres der letzten Änderung der Bestellung (bei Polar), ersatzweise der Bestellung | 3 Jahre (Verjährungsfrist, §§ 195, 199 BGB); bei Kontolöschung werden E-Mail-Adresse, Konto- und Workspace-Bezug sowie die Polar-Kennungen von Kunde, Abonnement und Checkout entfernt; Bestell- und Rechnungsnummer, Tarif, Beträge, Status und Zeitpunkte bleiben (pseudonymisiert, nicht anonymisiert, weil sie über Polar zuordenbar sind) | keine | automatisch durch einen täglichen Lauf, sobald die 3 Jahre abgelaufen sind; ältere Bestellungen werden beim Abgleich mit Polar nicht neu übernommen | höchstens 45 Tage | Legal Hold; laufender Rechtsstreit. Die Kontolöschung verändert keine bereits vom Anbieter heruntergeladenen Exporte und erfasst keine Bestellungen, die mit einer früheren E-Mail-Adresse und einer anderen Polar-Kundenkennung aufgegeben und nie einem Konto zugeordnet wurden |
| Ergebnisse des Abgleichs mit Polar (Zeitpunkt, Zähler, Befunde mit Konto-, Workspace- und Abonnementkennungen, Tarif- und Statusangaben; keine E-Mail-Adressen) | Beginn des Abgleichslaufs | 90 Tage; bei Kontolöschung werden die Befunde zu diesem Konto sofort entfernt | keine | automatisch durch den täglichen Lauf nach 90 Tagen | höchstens 45 Tage | keine |
| Freigabe für Google Sheets (Kennung und E-Mail-Adresse des Google-Kontos, erteilte Berechtigungen, verschlüsseltes Aktualisierungstoken; Zugriffstoken werden nicht gespeichert) | Verbinden des Google-Kontos | bis der Nutzer Google Sheets im Profil trennt oder ein anderes Google-Konto verbindet, bis zu einem Sicherheitsereignis (Passwortänderung, Zurücksetzen des Passworts, "Sign out everywhere") oder bis zur Kontolöschung | keine | sofort mit dem Ereignis; das Token geht in den Widerrufsauftrag an Google über | höchstens 45 Tage | keine |
| Verbindungsdaten je Projekt (Google Sheets: Kennungen der Tabelle und ihrer Blätter, Variante, Status, Zeitpunkte der letzten Aktualisierung und des letzten Versuchs, Fehlercodes ohne Inhalte, Zeitpunkt und Textfassung der Bestätigung) | Einrichten der Verbindung | bis der Nutzer die Verbindung mit "Stop updating" beendet, das Projekt gelöscht oder das Konto endgültig gelöscht wird; nach dem Ende der Freigabe bleibt die Verbindung pausiert erhalten | keine | mit dem jeweiligen Ereignis | höchstens 45 Tage | keine |
| Widerrufsauftrag an Google (verschlüsseltes Aktualisierungstoken, Zahl der Versuche, Fehlercode) | Ende der Freigabe | bis Google den Widerruf bestätigt oder eine erneute Freigabe desselben Google-Kontos die bisherige Freigabe ersetzt | keine | automatisch danach; wird dasselbe Google-Konto erneut verbunden, werden offene Aufträge für dieses Google-Konto verworfen, weil die neue Freigabe das alte Token ersetzt | höchstens 45 Tage | keine |
| Tabelle im Google Drive des Kunden (Verbindung mit Google Sheets) | Anlegen durch den Anbieter auf Weisung des Kunden | beim Kunden nach dessen Entscheidung | entfällt | keine Löschung durch den Anbieter, auch nicht bei Beenden der Verbindung, Projekt- oder Kontolöschung | entfällt | die Tabelle unterliegt den Bedingungen des Google-Kontos des Kunden |
| Löschprotokoll der Kontolöschung (numerische Kennung des gelöschten Kontos, mit einem geheimen Schlüssel gebildeter Hash der E-Mail-Adresse, Zeitpunkte, Stand und Ausführender der Löschung, Kennungen gelöschter Projekte; bis zur erfolgreichen Löschung bei Polar zusätzlich die Polar-Kundenkennung) | Kontolöschung | ohne feste Frist, keine automatische Löschung; das Protokoll dient der Wiederaufnahme und dem Nachweis der Löschung und verhindert, dass später aus Polar übernommene Bestellungen eines gelöschten Kontos wieder mit Kontokennung oder E-Mail-Adresse gespeichert werden; die Polar-Kundenkennung wird nach erfolgreicher Löschung bei Polar entfernt | keine | keine automatische Löschung | höchstens 45 Tage | Wird eine abgebrochene Löschung zurückgenommen, zählt ihr Protokolleintrag für diesen Abgleich nicht |
| Buchhaltungsunterlagen des Anbieters | Ende des Kalenderjahres der Entstehung (§ 147 Abs. 4 AO) | Buchungsbelege und Rechnungen 8 Jahre; Bücher und Aufzeichnungen (etwa Einnahmenüberschussrechnung) 10 Jahre; sonstige für die Besteuerung bedeutsame Unterlagen 6 Jahre (§ 147 Abs. 3 AO) | keine | nach Ablauf der gesetzlichen Frist beim jährlichen Löschtermin im Januar | im Buchhaltungssystem des Anbieters | Rechnungen an Kunden stellt Polar als Verkäufer nach eigenen Fristen aus |
| Sicherungen (Point-in-time-Recovery der Datenbank, Sicherung des Anwendungsservers beim Hosting-Anbieter, eigene Sicherungen des Anbieters) | Erstellung der Sicherung | Point-in-time-Recovery höchstens 10 Tage; Sicherung des Anwendungsservers beim Hosting-Anbieter höchstens 14 Tage; eigene Sicherungen auf dem Anwendungsserver höchstens 30 Tage; verschlüsselte externe Kopien werden bei jeder neuen Kopie ersetzt, spätestens nach 45 Tagen gelöscht | keine | mit Ablauf der jeweiligen Frist durch Löschen oder Überschreiben | entfällt | keine Nutzung zur Wiederherstellung einzelner gelöschter Kundendaten; nach einer Wiederherstellung werden dokumentierte Löschungen erneut vollzogen |
3. Kundenweisungen und kürzere Fristen
(1) Der Kunde setzt kürzere Fristen zuerst selbst um: durch Löschung einzelner Antworten, ganzer Projekte oder des Kontos in der Plattform. Diese Löschungen wirken sofort auf Auswertungen und Exporte und werden nach Ablauf der Schonfrist endgültig.
(2) Darüber hinaus kann der Kunde dem Anbieter in Textform an info@choicery.ai oder privacy@choicery.ai Weisungen zur Aufbewahrung oder Löschung erteilen, etwa die Löschung eines Projekts nach Studienende oder die Löschung bestimmter Datenkategorien. Der Anbieter führt sie ohne unangemessene Verzögerung aus.
(3) Eine projektbezogene automatische Löschfrist kann in der Plattform nicht eingestellt werden. Kürzere Fristen setzt der Kunde durch eigene Löschung oder durch Weisung nach Abs. 2 um.
(4) Weisungen können gesetzliche Aufbewahrungspflichten und einen Legal Hold nicht aufheben. In diesem Fall informiert der Anbieter den Kunden über Umfang und Grund der weiteren Aufbewahrung.
(5) Anfragen von Umfrageteilnehmern zu ihren Rechten richten sich an den Kunden als Verantwortlichen. Der Anbieter leitet solche Anfragen unverzüglich weiter und unterstützt den Kunden nach dem Auftragsverarbeitungsvertrag.
4. Verhältnis zur Exit-Richtlinie und zum Auftragsverarbeitungsvertrag
(1) Mit Vertragsende geht die Wechsel- und Exit-Richtlinie dieser Richtlinie vor. Sie regelt Abrufzeitraum und Löschung nach Vertragsende.
(2) Diese Richtlinie konkretisiert die Löschung und Rückgabe nach Art. 28 Abs. 3 lit. g DSGVO und ist Anlage des Auftragsverarbeitungsvertrags. Für Umfrageantworten, Designs, Medien und Analyseergebnisse gehen Weisungen des Kunden den Fristen dieser Richtlinie vor, soweit keine gesetzliche Pflicht oder ein Legal Hold entgegensteht.
(3) Für Konto-, Vertrags-, Sicherheits- und Buchungsdaten gelten die Fristen dieser Richtlinie unmittelbar. Die Einzelheiten der Verarbeitung stehen in der Datenschutzerklärung.
(4) Bei Widersprüchen gilt die Rangfolge nach § 1 der AGB.
5. Änderungen dieser Richtlinie
(1) Änderungen dieser Richtlinie kündigt der Anbieter nach § 17 der AGB an.