Ist Telegram DSGVO-konform? Ein Leitfaden für CRM-Betreiber zu Daten, Aufbewahrung und EU-Recht

Wenn dein Team Kundengespräche auf Telegram führt und auch nur einer dieser Kunden in der Europäischen Union lebt, bist du nach der Datenschutz-Grundverordnung ein Verantwortlicher. Die Tatsache, dass Telegram ein Messenger und kein CRM ist, ändert die Einstufung nicht. Jeder Kontaktname, jede Telefonnummer, jedes Chatprotokoll und jeder Tag, den du speicherst, ist personenbezogenes Datum, und der geltende Rechtsrahmen ist derselbe, mit dem sich deine E-Mail-Marketing-Plattform seit 2018 befasst.

Hier erstarren die meisten Betreiber. Die Verordnung ist lang, die Aufsichtsbehörden sind unvertraut, und die öffentliche Orientierung ist für Branchen mit eigenen Rechtsabteilungen geschrieben. Die praktische Frage — „was muss ich anders machen, wenn ich ein persönliches Telegram-Konto innerhalb eines Workspace nutze?" — hat im öffentlichen Internet im Grunde keine eigene Antwort. Dieser Artikel ist diese Antwort, geschrieben für Gründer, Support-Leiter und Revenue-Ops, nicht für Juristen. Nichts davon ist Rechtsberatung, aber es ist die operative Haltung, die wir bei DSGVO-geprüften Teams, die auf Entergram laufen, als wirksam erlebt haben.

Maßgebliche Referenzen durchgehend: die Verordnung selbst findet sich auf GDPR.eu, offizielle Leitlinien des Europäischen Datenschutzausschusses behandeln Graubereiche, und NIST SP 800-53 ist der Standard, den die meisten Sicherheitsteams für die Kontroll-Zuordnung verwenden. Wenn ein Prüfer dich um Quellen bittet, zitiere diese drei.

Die DSGVO verlangt, dass jede Verarbeitungstätigkeit — das Speichern eines Kontakts, das Versenden eines Broadcasts, das Taggen eines Chats — auf einer von sechs Rechtsgrundlagen beruht. Für die Telegram-CRM-Nutzung sind drei davon relevant: Einwilligung, Vertrag und berechtigte Interessen.

Einwilligung ist die sauberste Grundlage für Broadcasts und Marketing. Sie muss „freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich" sein, was bedeutet, dass der /start-Button deines Bots keine Einwilligung ist, das Opt-in in deinem Anmeldeformular hingegen schon. Ein Tag am Chat — wir verwenden „consent-marketing-JJJJ-MM-TT" — erfasst die Grundlage mit einem Zeitstempel, sodass du in einer Prüfung den Moment des Opt-ins vorlegen kannst.

Vertrag deckt die Gespräche ab, die du mit bestehenden Kunden über den von ihnen bezahlten Dienst führst. Ein Support-Chat über ein Abonnement erfordert keine separate Einwilligung. Du erfüllst den Vertrag; die Verarbeitung ist dafür erforderlich. Das ist die Grundlage, die die meisten Ticketing- und Customer-Success-Abläufe abdeckt.

Berechtigte Interessen sind die am meisten missverstandene Grundlage. Sie decken Akquise, interne Analytik und Betrugsprävention ab — Dinge, die du als notwendig für den Betrieb des Geschäfts rechtfertigen kannst, sofern die betroffene Person die Verarbeitung vernünftigerweise erwarten würde. Du musst dennoch dein Interesse gegen die Rechte der Person abwägen, die Abwägung dokumentieren und jeden Widerspruch respektieren. Einen Chat mit „outreach-lead-source-web" zu taggen und ihn neunzig Tage lang zur Pipeline-Verfolgung zu speichern, ist ein klassischer Fall berechtigten Interesses; denselben Chat fünf Jahre zu speichern, weil „er nützlich sein könnte", ist es nicht.

Die DSGVO legt keine feste Aufbewahrungsfrist fest. Sie verlangt, dass personenbezogene Daten nicht länger aufbewahrt werden, als es für den Zweck, zu dem sie erhoben wurden, erforderlich ist. Die operative Übersetzung lautet: Definiere den Zweck, definiere die Frist, halte sie schriftlich fest und lösche nach Plan.

Arbeitsstandards, die sich für ein B2B-Telegram-CRM gut prüfen lassen: aktive Kundenchats für die Dauer des Vertrags plus ein Jahr (um Gewährleistungs- und Steuerpflichten abzudecken), abgeschlossene Lead-Chats zwölf Monate, Marketing-Einwilligungs-Chats so lange die Einwilligung aktiv ist, Spam-/Missbrauchs-Chats dreißig Tage. Das sind Ausgangspunkte — deine eigene Aufsichtsbehörde und Branche können andere Fristen verlangen, besonders in Finanzen, Gesundheit und Bildung.

Die praktische Anforderung ist, dass du tatsächlich löschen kannst. Entergram stellt Datenexport und Datenlöschung auf Workspace-Ebene und auf Ebene einzelner Chats bereit. Jeder Nachrichteninhalt ist Ende-zu-Ende-verschlüsselt und nur auf Telegrams Servern gespeichert — Entergram sieht niemals den Nachrichten-Klartext — sodass die CRM-Ebene, die wir löschen, Metadaten, Tags, Notizen und strukturierte Felder sind. Das Verschlüsselungsdesign ist der Grund, warum wir starke Löschzusagen machen können: Es gibt keine Zweitkopie des Gesprächs, die vergessen werden müsste. Unsere Sicherheitsseite legt das im Detail dar.

Nach Artikel 15 der Verordnung kann jede betroffene Person dich fragen, welche personenbezogenen Daten du über sie speicherst. Du hast einen Monat Zeit zu antworten. Das Ersuchen zu ignorieren ist eine der billigsten Arten, sich ein Bußgeld einzuhandeln. Gut zu antworten ist eine Frage des Wissens, aus welchen Systemen du ziehen musst.

Für ein Telegram-CRM bedeutet das: die Chat-Metadaten des Kontakts, alle angewandten Tags, alle Werte benutzerdefinierter Spalten, alle internen Kommentare, die gesamte Ticket-Historie, alle Broadcasts, die sie erhalten haben, und alle Analytik-Ereignisse, die mit ihrem Chat verknüpft sind. Der CSV-Export von Entergram deckt jedes einzelne davon ab. Richte den Filter auf die Chat-ID der betroffenen Person, exportiere, prüfe auf alles, was Dritte offenlegen würde, und sende. Wir haben Teams beobachtet, die mit diesem Workflow vollständige Auskunftsantworten in unter zwanzig Minuten erledigen.

Das Gegenstück zur Löschung (Artikel 17, Recht auf Vergessenwerden) ist eine einzige Aktion in Entergram: den Chat aus dem Workspace löschen. Der Telegram-Nachrichtenverlauf auf dem Gerät selbst ist davon getrennt, geregelt durch Telegrams eigene Datenschutzerklärung, und die betroffene Person kann ihre eigene Seite in der Telegram-App löschen. Versprich nicht zu löschen, was du nicht kontrollierst.

Wenn du ein Team bist, das Entergram zur Verwaltung von Kundengesprächen nutzt, bist du der Verantwortliche und Entergram ist ein Auftragsverarbeiter. Diese Beziehung wird durch einen Auftragsverarbeitungsvertrag (AVV) geregelt — du solltest einen unterschrieben in den Akten haben, bevor du einen einzigen EU-Kontakt im Workspace speicherst. Unserer ist auf Anfrage verfügbar; die meisten konkurrierenden Telegram-Tools bieten überhaupt keinen an, was an sich schon ein Compliance-Signal ist.

Der AVV verpflichtet uns auf eine konkrete Liste von Pflichten: Verarbeitung nur nach deinen dokumentierten Weisungen, Wahrung der Vertraulichkeit, Umsetzung geeigneter technischer und organisatorischer Maßnahmen, Unterstützung bei Auskunfts- und Meldepflichten bei Datenpannen und Transparenz über Unterauftragsverarbeiter. Jeder Punkt auf dieser Liste lässt sich einem konkreten Bestandteil der Entergram-Architektur zuordnen — verschlüsselte Sitzungen, dedizierte IPs pro Konto, verschlüsselter Tresor für Zugangsdaten, serverseitige Audit-Logs und dokumentierte Unterauftragsverarbeiter für Hosting und E-Mail.

Nach Schrems II erfordert die Übermittlung personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums zusätzliche Garantien, üblicherweise Standardvertragsklauseln plus eine Folgenabschätzung der Übermittlung. Für die Telegram-CRM-Nutzung lautet die praktische Frage: Wo werden deine Workspace-Daten und Sitzungsdateien gehostet?

Entergram betreibt EU-gehostete Infrastruktur für Workspaces mit EU-Ansässigen. Wenn du ein EU-ansässiges Team bist oder EU-Kunden hast, kannst du EU-only-Datenresidenz für deinen Workspace anfordern, und wir richten dich vom ersten Tag an in der EU-Region ein. Die Sitzungsdateien selbst — der verschlüsselte Zustand, der es Entergram ermöglicht, dein Telegram-Konto zu verbinden — sind mit AES-256-GCM verschlüsselt und werden in der EU-Region gespeichert, wenn der Workspace EU-bezogen ist. Die Übermittlungsleitlinien des EDSA sind die primäre Referenz, falls dein Sicherheitsteam fragt.

Wenn ein Prüfer für eine ISO-27001- oder SOC-2-Bereitschaftskontrolle erscheint, sind die Telegram-CRM-Fragen immer dieselben fünf. Wer kann einen bestimmten Chat sehen? Wie werden Sitzungs-Zugangsdaten geschützt? Wie werden Passwörter gespeichert? Was passiert, wenn ein Teammitglied geht? Wie erkennt ihr unbefugten Zugriff?

Die kurzen Antworten bei Entergram: Die Datenschutzgrenze des Workspace bedeutet, dass jeder Nutzer nur Chats von Konten sieht, die er persönlich verbunden hat, selbst innerhalb eines geteilten Workspace. Sitzungsdateien sind im Ruhezustand mit AES-256-GCM verschlüsselt, mit Schlüsseln, die vom Support nicht wiederherstellbar sind. Die Authentifizierung nutzt Standard-OAuth mit unterstützter 2FA. Das Off-Boarding ist eine einzige Workspace-Aktion, die Plätze und Sitzungszugriff widerruft. Audit-Logs erfassen jede Platz-Aktion, jeden Broadcast, Export und jede Löschung und werden gemäß deiner konfigurierten Frist aufbewahrt.

Dieser Kontrollsatz deckt sich mit der Mehrheit der Anforderungen der NIST-SP-800-53-Moderate-Baseline. Wenn dein Prüfer eine Tabelle zur Kontroll-Zuordnung wünscht, erstellt unser Sicherheitsteam eine unter NDA.

„Ist eure Nutzung von Telegram DSGVO-konform?" Ja, wenn du eine Rechtsgrundlage pro Verarbeitungstätigkeit hast, einen dokumentierten Aufbewahrungsplan, einen AVV mit deinem CRM-Anbieter, einen Auskunftsprozess, den du in unter einem Monat ausführen kannst, EU-Datenresidenz für EU-Betroffene und eine Workspace-Architektur, die Zugriffsgrenzen durchsetzt. Das ist die echte Antwort. Entergram ist so gestaltet, dass jeder dieser Bausteine Infrastruktur ist, kein Feature, das du selbst zusammensetzen musst — weshalb regulierte Teams, die Broadcasts, Ticketing und Vertrieb über persönliche Telegram-Konten betreiben, das tun können, ohne dass ihre Rechtsabteilung eine Krise bekommt.