Dieses Dokument beschreibt, wie lange Stilops welche Daten aufbewahrt und wie dies durchgesetzt wird. Wo eine Frist nicht automatisch durchgesetzt wird, ist dies angegeben — eine Frist auf dem Papier, die die Software nicht kennt, ist keine Frist.
Was der Kunde selbst einstellt
| Daten | Frist | Wo durchgesetzt |
|---|---|---|
| Agent-Runs (Vorschläge, Testruns, Transkripte, Kosten) und Chatgespräche Ihrer Organisation | Die Aufbewahrungsfrist auf der Einstellungsseite Ihrer Organisation, mindestens 183 Tage. Ein niedrigerer Wert wird abgelehnt. Ein zuvor gespeicherter niedrigerer Wert gilt bei der Bereinigung als 183. | Tägliche Bereinigungsaufgabe; die Untergrenze von 183 Tagen ist im Code verankert, nicht in einer Einstellung |
Warum 183 Tage als Minimum: Der EU AI Act verlangt für Hochrisiko-Systeme eine Protokollaufbewahrung von mindestens sechs Monaten (Art. 19). Stilops gilt als beschränktes Risiko, wendet diese Untergrenze aber dennoch an — der Prüfpfad ist der Kern des Produkts.
Was Stilops fest aufbewahrt
| Daten | Frist | Grund | Wo |
|---|---|---|---|
| Gesprächstranskripte, die das KI-Programm auf dem Server speichert, um ein Gespräch fortsetzen zu können (neben den Aufgaben- und Chatdaten Ihrer Organisation) | 30 Tage nach der letzten Aktivität; in der Demo ohne Konto werden sie nicht aufbewahrt | Ein Gespräch fortsetzen können | Das KI-Programm bereinigt sie selbst |
| Demo ohne Konto: die temporäre Organisation pro Besucher, mit allem, was der Besucher eingegeben hat, der Sitzung und den Dateien | 1 Stunde (höchstens 15 Minuten später, wenn dann noch eine Aufgabe lief) | Ausprobieren ohne Konto; danach besteht kein Grund mehr | Bereinigungsaufgabe, die jede Minute läuft, auch während eines Notstopps |
| Anonyme Besucherzählung der Website (pro Tag: Pfad, verweisende Domain, Anzahl; keine personenbezogenen Daten) | 400 Tage | Erkennen, welche Kanäle Besucher bringen | Bereinigt beim Wegschreiben der Zählung |
| Ein über stilops.com geplanter Testrun (Name, E-Mail-Adresse, Büro, Bemerkung, Zeitpunkt) | 1 Jahr nach dem Termin | Den Termin einhalten und nachvollziehen, wer einen Testrun durchgeführt hat | Täglich durch das Planungstool bereinigt |
| Herkunft bei der Anmeldung (optionale Auswahl „Wie kennen Sie Stilops?“ und UTM-Labels) | Solange die Organisation besteht | Wissen, welche Kanäle Kunden bringen (berechtigtes Interesse, Datenschutzerklärung 1.4) | Verschwindet mit dem Organisationsdatensatz (Aufbewahrung nach Kündigung oder ein Löschantrag) |
| Zustimmung zu den Bedingungen und zur Datenschutzerklärung (Version, Sprache, Zeitpunkt, Text + Hash) | Solange die Organisation besteht. Auch wenn die Organisation gelöscht wurde, bleiben sie bestehen: es gibt noch keine automatische Löschung oder Frist dafür; eine Frist ist vorgeschlagen und wartet auf eine Entscheidung | Nachweis dessen, was vereinbart wurde | Append-only bei der Anmeldung erfasst; nach Löschung der Organisation bleibt der Datensatz mit einem E-Mail-Snapshot bestehen |
| Akzeptanz von Agent-Disclaimern | Ebenso: noch keine automatische Löschung nach dem Löschen der Organisation | Nachweis (AI Act Art. 50, Vertrag) | Append-only beim Anheuern eines Agents erfasst |
| Handlungen von Organisationsnutzern (wer was genehmigt hat) | Solange die Organisation besteht | Nachvollziehbarkeit | Append-only Handlungsprotokoll der Organisation; verschwindet mit der Organisation |
| Handlungen von Administratoren (Administratorprotokoll, mit E-Mail-Adresse und Organisationsname als Momentaufnahme) | Noch keine automatische Löschung: das Protokoll bleibt auch nach dem Löschen der Organisation bestehen; eine Frist ist vorgeschlagen und wartet auf eine Entscheidung | Nachvollziehbarkeit | Append-only Administratorprotokoll |
| Rechnungen und das Finanzprotokoll | Mindestens sieben Jahre nach Ablauf des Geschäftsjahres (gesetzliche Aufbewahrungspflicht, Art. 52 AWR). Danach wird eine Rechnung noch nicht automatisch gelöscht oder anonymisiert (Name, Adresse und Umsatzsteuer-Identifikationsnummer des Kunden bleiben dann bestehen); dies ist vorgeschlagen und wartet auf eine Entscheidung | Steuerlich | Jährliches Steuerarchiv pro Geschäftsjahr (Übersichten, Rechnungs-PDFs und ein Manifest mit Kontrollzahlen), automatisch auf dem Server abgelegt und, sobald diese Anbindung hergestellt ist, in das OneDrive des Eigentümers. Das Archiv wird nie automatisch gelöscht, auch nicht nach sieben Jahren. Eine endgültige Rechnung wird nie mehr geändert |
| Signierter Log-Export (pro Tag eine Momentaufnahme des Append-only-Prüfpfads, mit Hash-Kette und digitaler Signatur; sensible Texte nur als Hash) | Zehn Jahre (Verjährungsfrist der Produkthaftung, Richtlinie 2024/2853 Art. 17) | Nachweis, dass der Prüfpfad nachträglich nicht geändert wurde; die Datenbank selbst wird nach 183 Tagen bereinigt | Abgeschirmtes Verzeichnis auf demselben Server, außerhalb der Anwendung, die den Export nur lesen und (wöchentlich) verifizieren, nicht ändern kann. Vorbehalt: Es gibt derzeit eine Kopie. Ein Neuaufbau des Servers löscht Verzeichnis und Schlüssel; die zweite Kopie an einem anderen Ort ist noch nicht eingerichtet (siehe das Dokument Logexport, „Wat het niet is“) |
| Organisationsdaten nach Kündigung | Bis die eigene Aufbewahrungsfrist der Organisation abgelaufen ist; danach wird die Organisation gelöscht | Recht auf Vergessenwerden gegenüber Nachweispflicht | Dieselbe tägliche Bereinigungsaufgabe, die die Uploads und Lieferungen der Organisation mitnimmt |
Was intern und kürzer ist
| Daten | Frist | Wo |
|---|---|---|
| E-Mails in den Postfächern der internen Agents von Stilops | Pro Postfach eingestellt, standardmäßig 90 Tage; ältere, bereits verarbeitete E-Mails werden archiviert | Einstellung pro Postfach; automatische Archivierung |
| Versuche für das Ratenlimit (Anmeldung, Formulare) | Kurz; die Tabelle wird periodisch bereinigt | Periodische Bereinigungsaufgabe |
| Systemprotokolle (operative Ereignisse; keine Kundeninhalte, wohl aber Organisations-IDs) | 365 Tage, einstellbar, nie kürzer als 183 Tage. Der signierte Log-Export oben bewahrt die Meldungen zehn Jahre auf | Tägliche Bereinigungsaufgabe; jede Runde hinterlässt eine Logzeile, auch bei null gelöschten Einträgen |
Was keine Frist in Tagen hat
- Backups auf dem Server selbst: Rotation gemäß der Backup-Einstellung von Stilops: eine begrenzte Anzahl vollständiger und zwischenzeitlicher Kopien (und ein Bytebudget), wobei die älteste zuerst verfällt und stets ein Minimum an Wiederherstellungspunkten bestehen bleibt.
- Offsite-Backups (Objektspeicher, OneDrive): Diese werden nicht automatisch bereinigt. Sie bleiben bestehen, bis der Eigentümer sie von Hand löscht. Es gibt noch keine Frist; diese ist eine offene Entscheidung des Eigentümers.
- Das Steuerarchiv (lokal und, falls angebunden, OneDrive): mindestens sieben Jahre, danach keine automatische Löschung; eine Frist ist eine offene Entscheidung des Eigentümers.
- Ein Backup kann Daten enthalten, die in der Live-Datenbank bereits bereinigt wurden; sie werden verschlüsselt gespeichert. Es gibt keinen gesonderten Pfad „auch aus Backups löschen“. Ein Löschantrag wird in der Live-Datenbank ausgeführt und verschwindet durch Rotation aus den lokalen Backups, aus den Offsite-Kopien jedoch erst, wenn der Eigentümer diese löscht.
Anträge betroffener Personen
Ihre Daten herunterladen (DSGVO Art. 15 und 20) können Sie selbst im Portal unter Einstellungen → Konto → Ihre Daten: eine JSON-Datei mit Ihrem Konto, Zustimmungen, Tickets und, für einen Eigentümer, den Daten der Organisation. Einen Antrag auf Löschung (Art. 17) können Sie dort ebenfalls stellen oder per E-Mail an [email protected]. Stilops bearbeitet ihn innerhalb eines Monats und erfasst jeden Antrag mit dem Datum des Eingangs, der Art, wie Ihre Identität festgestellt wurde, und dem Ergebnis.
Was gelöscht wird: das Organisationsprofil, Nutzer, Agents, Runs, Gespräche, Verknüpfungen, Wissen und Tickets, mit den Dateien der Organisation (Uploads und Lieferungen). Was bleibt: die Zustimmungen, die Rechnungen und das Administratorprotokoll (mit E-Mail-Snapshot), bis zu ihrer jeweiligen Frist oben, weil diese eine gesetzliche oder Nachweisgrundlage haben. Auch der Kundendatensatz bei Stripe bleibt bestehen, bis ein Administrator ihn von Hand löscht; das geschieht nicht automatisch. Der Antrag selbst bleibt im Antragsregister als Nachweis dafür bestehen, dass er ausgeführt wurde.