Es gibt keine gesetzlich vorgeschriebene Anzahl an Monaten, für die Klickdaten aufbewahrt werden dürfen. Artikel 5(1)(e) der GDPR verlangt, dass personenbezogene Daten nicht länger in identifizierbarer Form aufbewahrt werden, als es für den Zweck erforderlich ist, und überlässt die Frist dir selbst, wie der Text unmissverständlich klarmacht. Was eine Aufsichtsbehörde prüft, ist nicht die von dir gewählte Zahl, sondern ob du sie im Sinne der Rechenschaftspflicht aus Artikel 5(2) erklären kannst.
Das ist einfacher, als es klingt, weil Klickdaten nicht ein einziges Ding sind. Sie kommen als Rohanfrage an, werden zu einem Event, aus dem der Großteil des identifizierenden Materials entfernt wurde, und enden als Zählwert, der niemanden identifiziert. Jede dieser Formen verdient ein eigenes Zeitfenster, und sie voneinander zu trennen ist der größte Teil der Arbeit. Für die weiter gefassten Pflichten rund um einen Shortener ist GDPR für URL-Shortener der Cornerstone, unter dem dieser Beitrag steht.
Warum die Frage keine einzige Antwort hat
Speicherbegrenzung ist ein Prinzip, kein Zeitplan. Drei Faktoren entscheiden über die Frist, und alle drei liegen in deiner Hand.
An erster Stelle steht der Zweck. Daten, die zur Berichterstattung über eine Kampagne erhoben wurden, sind erforderlich, bis über die Kampagne berichtet und sie mit ihrer Vorgängerin verglichen wurde - das ist für viele Teams höchstens ein Jahr und für manche drei Monate. Daten, die zur Erkennung von Missbrauch eines Redirects erhoben wurden, sind so lange erforderlich, wie eine Ermittlung plausibel noch beginnen könnte, was in der Regel deutlich kürzer ist.
An zweiter Stelle steht die Rechtsgrundlage. Analytics, die auf berechtigtem Interesse laufen, müssen eine Interessenabwägung bestehen, und ein langes Aufbewahrungsfenster macht diese Prüfung schwerer zu bestehen. Alles, was auf Einwilligung erhoben wurde, muss verschwinden, sobald die Einwilligung widerrufen wird - unverzüglich, und ohne dass stillschweigend eine andere Rechtsgrundlage an ihre Stelle tritt.
Drittens: Pflichten, die in die andere Richtung ziehen. Steuervorschriften, vertragliche Verpflichtungen gegenüber einem Kunden, ein laufender Rechtsstreit oder eine behördliche Anordnung können dich alle dazu zwingen, etwas länger aufzubewahren, als es die Datenminimierung nahelegen würde. Das ist legitim, und es ist zugleich spezifisch - solche Gründe gehören als benannte Ausnahmen ins Verzeichnis, nicht als allgemeiner Grund, alles zu behalten.
Drei Stufen, drei Zeitfenster
Die praktische Struktur, die ein Audit übersteht, trennt Klickdaten danach, wie identifizierend sie sind.
| Stufe | Was sie enthält | Typisches Zeitfenster | Warum |
|---|---|---|---|
| Rohdaten-Request-Log | vollständige IP, User-Agent, Header, Zeitstempel | Tage | nur operatives Debugging und Missbrauchserkennung |
| Klick-Event | gekürztes Netzwerkpräfix, Land, Gerät, Kampagne | rund 12 Monate | Reporting und Jahresvergleich |
| Aggregat | Zählwerte nach Tag, Link, Land, Referrer | unbegrenzt | anonym, keine personenbezogenen Daten mehr |
Die mittlere Stufe ist die, bei der die meisten Teams unbemerkt zu lange aufbewahren, meist weil das Reporting-Tool standardmäßig alles behält und niemand das geändert hat. Zwölf bis vierzehn Monate sind das Fenster, das dir erlaubt, diesen September mit dem letzten zu vergleichen, und danach aufhört. Wenn dein Reporting tatsächlich drei Jahre an zeilenweisen Detaildaten braucht, ist das eine Entscheidung, die du schriftlich festhalten und begründen solltest, statt sie einem Konfigurationsversehen zu überlassen.
Die oberste Stufe ist die, über die die meisten Teams zu wenig nachdenken. Eine vollständige IP-Adresse in einem Request-Log ist personenbezogene Daten, und ein Log, das ein Jahr lang aufbewahrt wird, weil niemand eine Rotation eingerichtet hat, ist ein Jahr Risiko, das für nichts erkauft wurde. Sie schon bei der Erhebung zu kürzen, bevor das Event geschrieben wird, entfernt das Problem an der Quelle. Was in Short-Link-Analytics wirklich zu messen lohnt behandelt, welche Kennzahlen diese Kürzung überstehen - und die Antwort ist: fast alle.
Aggregation ist die Aufbewahrungsstrategie
Der wirkungsvollste Schritt ist nicht, ein kürzeres Zeitfenster zu wählen. Er besteht darin, die Dinge so einzurichten, dass das, was du für immer behältst, keine personenbezogenen Daten mehr sind.
Rolle Klick-Events zu Zählwerten nach Tag, Link, Land, Referrer und Geräteklasse zusammen, und lösche dann die Zeilen, aus denen sie stammen. Was übrig bleibt, beantwortet fast jede Frage, die ein Marketing-Team stellt: wie die Kampagne performt hat, welche Region reagiert hat, ob sich der Mobile-Anteil verschoben hat. Was es nicht beantworten kann, ist irgendetwas über eine einzelne Person - und genau das ist der Punkt.
Zwei Warnungen. Anonymisierung muss unumkehrbar sein - wer eine Zuordnungstabelle behält, aus der sich die Zeilen rekonstruieren ließen, hat nur pseudonymisiert statt anonymisiert, und die Daten bleiben im Anwendungsbereich. Und kleine Gruppen verraten Einzelpersonen: Ein Link, der an fünf Personen geschickt und minutengenau gezählt wird, ist für jeden re-identifizierbar, der diese fünf kennt. Aggregiere auf einer Granularität, die Gruppen groß hält, und unterdrücke Zellen, die unter einen Schwellenwert fallen.
Das einmal richtig einzurichten schlägt es, es jährlich neu aufzurollen. Elidos Link-Analytics kürzt die Adresse, bevor das Event gespeichert wird, und berichtet auf Basis des Aggregats, sodass sich die Aufbewahrungsentscheidung nur noch auf die mittlere Stufe bezieht.
Was eine Löschanfrage tatsächlich erreicht
Artikel 17 gibt einer betroffenen Person das Recht auf Löschung, und die ehrliche Antwort bei gut konzipierten Klickdaten lautet oft: Es gibt nichts zu löschen.
Wenn ein Event nur ein gekürztes Netzwerkpräfix, ein Land, eine Geräteklasse und eine Kampagne trägt, kann keine Operation auf deiner Seite es mit der anfragenden Person verknüpfen. Sag das, erkläre das Design, und die Anfrage ist erledigt. Aufsichtsbehörden stehen dieser Antwort nicht feindselig gegenüber, wenn die Architektur sie stützt.
Die Antwort ändert sich in dem Moment, in dem Klicks an eine Person gebunden werden. Ein Shortener, der protokolliert, welcher Kontakt welchen Link geöffnet hat, oder ein CRM, das Klick-Events auf einen Datensatz schreibt, hält personenbezogene Daten mit einem Namen daran, und eine Löschanfrage erreicht sie alle. Das ist eine legitime Arbeitsweise; sie verschiebt die Pflicht nur. Wenn du Klicks in ein CRM weiterleitest, gehört die Aufbewahrungsentscheidung beiden Systemen, und dasjenige mit dem längeren Fenster bestimmt die tatsächliche Antwort. Wie Link-Klicks in eine CRM-Timeline weitergeleitet werden zeigt, was diese Integration tatsächlich schreibt.
Es schriftlich festhalten, damit es ein Audit übersteht
Ein Aufbewahrungsplan, der nur im Kopf einer Person existiert, ist keine Kontrolle. Vier Artefakte machen ihn real.
- Das Verarbeitungsverzeichnis. Artikel 30 verlangt Aufbewahrungsfristen pro Datenkategorie. Fülle die Spalte mit den drei oben genannten Stufen statt mit einer einzigen Zahl, denn eine einzige Zahl für alle Klickdaten ist entweder falsch für die Rohdaten-Logs oder falsch für die Aggregate.
- Ein Löschmechanismus, auf den du verweisen kannst. Ein konfiguriertes Ablaufdatum am Analytics-Store, mit sichtbarer Einstellung, schlägt eine dokumentierte Absicht. Wenn die Löschung ein geplanter Job ist, bewahre dessen Ausführungshistorie auf.
- Backups, ausdrücklich benannt. Halte fest, wie lange Backup-Generationen leben und was bei einer Wiederherstellung passiert. Die veröffentlichten Leitlinien des EDPB sind der Referenzpunkt dafür, wie Aufsichtsbehörden diese Fragen über die Mitgliedstaaten hinweg einordnen.
- Abgleich mit deinen Auftragsverarbeitungsverträgen. Wenn die vertragliche Aufbewahrungsfrist deines Shorteners länger ist als deine Richtlinie, gewinnt in der Praxis der Vertrag. Lies das DPA, bevor du die Richtlinie schreibst, nicht danach.
Ein Punkt, den man leicht vergisst: Exporte. Eine CSV, die in eine Tabellenkalkulation gezogen wird, ein Warehouse-Sync, ein Dashboard-Tool mit eigenem Cache. Jede Kopie trägt die Aufbewahrungspflicht mit sich, und keine von ihnen respektiert das weiter oben konfigurierte Ablaufdatum. Benenne sie im Plan, oder akzeptiere, dass der Plan nur einen Teil der Realität beschreibt.
Ein Standard, den du verteidigen kannst
Wenn du einen Ausgangspunkt brauchst: Diese Position hält stand - Rohdaten-Request-Logs werden binnen Tagen rotiert, Klick-Events rund ein Jahr aufbewahrt, damit der saisonale Vergleich funktioniert, Aggregate unbegrenzt und wirklich anonym aufbewahrt, alles auf Einwilligung Basierende bei Widerruf gelöscht, und jede Abweichung mit ihrem Grund benannt.
Überprüfe das dann einmal im Jahr anhand dessen, was das Team tatsächlich ansieht. Fast jedes Aufbewahrungsfenster, das ich gesehen habe, wurde nach dieser Überprüfung verkürzt, weil sich herausstellte, dass Reporting über dreizehn Monate hinaus etwas war, von dem Leute sagten, sie bräuchten es, aber nicht etwas, das sie tatsächlich geöffnet haben. EU-Datenresidenz für Marketing-Teams behandelt die andere Hälfte des Gesprächs: wo die Daten liegen, während du sie aufbewahrst.
Lies die Cornerstone-Serie
Dieser Beitrag gehört zum compliance cluster. GDPR für URL-Shortener ist der Cornerstone, und der SOC-2-Evidenz-Leitfaden behandelt die Audit-Artefakte, die neben einem Aufbewahrungsplan stehen.
Verwandt im Blog
Häufig gestellte Fragen
Wie lange darf ich Klick-Tracking-Daten unter der GDPR aufbewahren?
So lange, wie du es gegenüber dem Zweck rechtfertigen kannst, zu dem du sie erhoben hast, und keinen Tag länger. Artikel 5(1)(e) legt die Speicherbegrenzung als Prinzip fest, nicht als Zahl, also gibt es kein gesetzliches Maximum, auf das man verweisen könnte. Was eine Aufsichtsbehörde verlangt, ist deine schriftlich festgehaltene Begründung und der Nachweis, dass die Löschung tatsächlich nach dem von dir festgelegten Zeitplan erfolgt.
Ist eine IP-Adresse in einem Klick-Log personenbezogene Daten?
Im Regelfall ja. Eine IP-Adresse identifiziert einen Teilnehmeranschluss mithilfe von Informationen, die ein Netzbetreiber vorhält, und das genügt, um sie zu personenbezogenen Daten zu machen - auch wenn du diese Informationen selbst nie erhältst. Sie schon bei der Erhebung zu kürzen, bevor überhaupt etwas geschrieben wird, ist das, was das Feld aus dieser Kategorie herausnimmt.
Fallen aggregierte Klickzahlen unter die GDPR?
Nicht mehr, sobald sie wirklich anonym sind - das heißt, niemand kann mit vernünftigerweise einsetzbaren Mitteln eine einzelne Person daraus herauslösen. Eine tägliche Zählung der Klicks pro Land erreicht diese Schwelle mühelos. Eine minutengenaue Zählung der Klicks pro Link für einen Link, der an vier Personen geschickt wurde, erreicht sie nicht, weil die Gruppe klein genug ist, um re-identifiziert zu werden.
Welche Aufbewahrungsfrist sollte ich für Link-Analytics festlegen?
Ein vertretbarer Standard ist kurz für Rohdaten-Request-Logs, rund ein Jahr für pseudonymisierte Klick-Events, damit der Jahresvergleich noch funktioniert, und unbegrenzt für anonyme Aggregate. Passe das an deine eigenen Zwecke an: eine Legal Hold, eine vertragliche Verpflichtung oder eine Betrugsermittlung rechtfertigen alle eine längere Frist, und jeder dieser Gründe gehört ins Verzeichnis.
Deckt eine Löschanfrage auch Klickdaten ab?
Sie deckt alles ab, was mit der Person verknüpft ist. Wenn deine Klick-Events nur ein gekürztes Netzwerkpräfix und keinen Identifier tragen, gibt es nichts zu finden und nichts zu löschen, und du solltest erklären können, warum. Wenn Klicks an einen Kontaktdatensatz in einem CRM gebunden sind, ist genau diese Verknüpfung das, was eine Löschanfrage erreicht.
Müssen auch Backups gelöscht werden?
Sie müssen vom Zeitplan erfasst sein, was nicht dasselbe ist wie eine sofortige Löschung am selben Tag. Die praktikable Haltung ist, dass Backups nach einem festen Zyklus auslaufen, dass wiederhergestellte Daten vor der Nutzung erneut gefiltert werden und dass die gesamte Regelung schriftlich festgehalten ist. Schweigen zum Thema Backups ist das, was aus einer Routinefrage einen Befund macht.
Elido testen
URL einfügen, kurzer Link in Sekunden
Kein Konto nötig. Link bleibt 30 Tage aktiv. Konto erstellen, um ihn dauerhaft zu behalten.
Kostenlos, keine Anmeldung erforderlich · 2 pro Tag