Lösch- und Aufbewahrungskonzept für Centrivo
Freigabehinweis
Dieses Konzept ist vor Freigabe mit den tatsächlichen Datenbanken, Dateispeichern, Protokollen, E-Mail-Postfächern, Sicherungen und Dienstleistern abzugleichen. Fristen sind je Datenkategorie und Rolle von Tim Nottelmann, handelnd unter IT Solution Nottelmann als Verantwortlichem beziehungsweise Auftragsverarbeiter zu prüfen. Gesetzliche Pflichten, dokumentierte Rechtsstreitigkeiten und Weisungen des Geschäftskunden können im Einzelfall vorgehen.
1. Grundsätze
Personenbezogene Daten werden nur so lange gespeichert, wie Zweck, Vertrag, dokumentierte Weisung, gesetzliche Aufbewahrung oder Anspruchsverfolgung dies erfordern. Löschung bedeutet je nach System sichere Entfernung oder irreversible Anonymisierung. Bei gesetzlichen Aufbewahrungspflichten tritt an die Stelle der Löschung eine Zugriffssperre und Zweckbindung. Jede Ausnahme benötigt Rechtsgrund, Verantwortlichen, Ablaufdatum und regelmäßige Überprüfung.
2. Website-, Kontakt- und Nutzungsanfragen
Nicht zum Vertrag führende Anfragen werden regulär spätestens nach 180 Tagen gelöscht oder anonymisiert, sofern keine weitere Kommunikation, Einwilligung, gesetzliche Pflicht oder Anspruchslage besteht. Bei Vertragsschluss werden erforderliche Anfragebestandteile der Vertragsakte zugeordnet; nicht erforderliche Freitexte und technische Metadaten werden getrennt bereinigt. Marketingdaten folgen dem Widerruf und dem Sperrlistenprozess.
3. Nutzerkonten, Berechtigungen und Sitzungen
Sitzungen und kurzlebige Sicherheits-Tokens werden bei Ablauf, Widerruf oder Zweckfortfall gelöscht. Nutzerkonten werden nach Ausscheiden unverzüglich gesperrt und nach Ablauf notwendiger Nachweis- oder Übergabefristen anonymisiert oder gelöscht. Zuordenbare Handlungen können unter einer neutralen Kennung erhalten bleiben, soweit Integritäts-, Nachweis- oder Aufbewahrungszwecke dies erfordern.
4. Sicherheits- und Betriebsprotokolle
Reguläre Sicherheitsprotokolle werden 7 Tage vorgehalten und anschließend automatisiert gelöscht oder aggregiert. Für einen konkreten Sicherheitsvorfall erforderliche Auszüge dürfen isoliert, zugriffsbeschränkt und mit dokumentiertem Löschtermin länger gesichert werden. Debug-Protokolle und produktive Fehlerausgaben dürfen keine Passwörter, Tokens, vollständigen Inhalte oder unnötigen personenbezogenen Daten enthalten.
5. Vertrags-, Erklärungs- und Kommunikationsnachweise
Angebote, Annahmen, Vertragsfassungen, Änderungen, Verlängerungen, Kündigungen, zugehörige Prüfsummen und geschäftliche Korrespondenz werden während der Vertragslaufzeit und anschließend regulär 6 Jahre gespeichert. Vor der verbindlichen Festlegung ist zu prüfen, welche Nachweise als Handels- oder Geschäftsbriefe, Buchungsbelege oder sonstige steuerrelevante Unterlagen sechs, acht oder zehn Jahre aufzubewahren sind und wann die jeweilige Frist beginnt. Laufende Ansprüche, Prüfungen oder Rechtsstreitigkeiten können eine dokumentierte Sperrung verlängern.
6. Rechnungs-, Zahlungs- und Buchhaltungsdaten
Aufbewahrung und Unveränderbarkeit richten sich nach der konkreten Dokumentart und den anwendbaren steuer- und handelsrechtlichen Vorgaben. Buchungsbelege werden regelmäßig acht Jahre, Bücher, Abschlüsse und bestimmte Organisationsunterlagen regelmäßig zehn Jahre und Handels-/Geschäftsbriefe regelmäßig sechs Jahre aufbewahrt; abweichende oder fortwirkende steuerliche Fristen sind im Einzelfall zu berücksichtigen. Löschläufe dürfen diese Daten vor Fristablauf nicht entfernen.
7. Produktivdaten nach Vertragsende
Nach Vertragsende erhält der Geschäftskunde eine Exportmöglichkeit für 30 Tage, soweit vertraglich vorgesehen. Nach Ablauf werden löschbare Auftragsdaten aus Produktivsystemen entfernt oder anonymisiert. Gesetzlich aufzubewahrende eigene Geschäfts- und Nachweisdaten werden logisch getrennt gesperrt. Der Abschluss wird protokolliert und auf angemessene Anfrage bestätigt.
8. Backups und Wiederherstellung
Backups werden in einem regulären Zyklus von höchstens 30 Tagen überschrieben. Eine selektive Löschung innerhalb unveränderlicher Sicherungen ist regelmäßig nicht möglich; gelöschte Daten dürfen bei Restore nicht wieder in den aktiven Bestand übernommen werden oder müssen anschließend erneut gelöscht werden. Abweichende Langzeit- oder Incident-Sicherungen benötigen dokumentierten Zweck, Zugriffsbeschränkung und Löschtermin.
9. Betroffenenrechte und Kundenweisungen
Lösch-, Berichtigungs- und Einschränkungsersuchen werden authentifiziert, in allen relevanten Systemen verfolgt und fristgerecht beantwortet. Bei Auftragsdaten entscheidet grundsätzlich der Geschäftskunde als Verantwortlicher; Tim Nottelmann, handelnd unter IT Solution Nottelmann unterstützt nach AVV und dokumentierter Weisung. Ein Konflikt mit Aufbewahrungspflichten wird begründet, die Daten werden soweit erforderlich gesperrt.
10. Technische Umsetzung und Kontrolle
Jede produktive Datenbanktabelle wird einer dokumentierten Datenklasse zugeordnet. Die interne Retention-Matrix ordnet jede Datenklasse einem Zweck, einem Aufbewahrungsauslöser, einer Aufbewahrungslogik und einem vorgesehenen Lösch- oder Sperrverfahren zu.
Automatisierte Löschläufe arbeiten nur für ausdrücklich freigegebene Datenklassen. Risikoreiche Geschäfts-, Vertrags-, Buchhaltungs- und Kundendaten dürfen nicht allein aufgrund ihres Alters pauschal gelöscht werden. Vor einer Löschung sind insbesondere Mandantenbezug, gesetzliche Aufbewahrung, Kundenweisung, Vertragsstatus und Legal Hold zu berücksichtigen.
Löschläufe müssen mandantenbezogen, reproduzierbar und soweit erforderlich mit Vorschau beziehungsweise Freigabe ausgeführt werden. Löschprotokolle dürfen keine gelöschten Klarinhalte enthalten.
11. Datenklassen
11.1 System- und Referenzdaten
Schema-, Berechtigungs- und Referenzdaten werden solange aufbewahrt, wie sie für den sicheren und nachvollziehbaren Betrieb der Plattform benötigt werden. Sie unterliegen nicht automatisch einer kundenbezogenen Löschfrist.
11.2 Sicherheits-, Zugangs- und technische Kurzzeitdaten
Passwort-Reset-Daten, vertrauenswürdige Geräte, Tokens, Wiederholschutz-, Queue-, Sitzungs- und vergleichbare Kurzzeitdaten werden nach Ablauf, Widerruf oder Zweckfortfall entfernt. Reguläre Sicherheitsprotokolle folgen der konfigurierten Frist von 7 Tagen, soweit kein dokumentierter Sicherheitsvorfall eine isolierte längere Sicherung rechtfertigt.
11.3 Mandanten-, Interessenten- und operative Kundendaten
Mandantenkonfigurationen und operative Kundendaten werden für Vertrags- und Leistungszwecke aufbewahrt. Nicht zum Vertrag führende Anfragen werden grundsätzlich nach 180 Tagen gelöscht oder anonymisiert, sofern kein fortbestehender Zweck besteht.
Soweit Centrivo als Auftragsverarbeiter handelt, richtet sich die Aufbewahrung der vom Geschäftskunden eingebrachten Inhalte grundsätzlich nach Vertrag und dokumentierter Weisung des Geschäftskunden.
11.4 Vertrags- und Geschäftsnachweise
Angebote, Verträge, Vertragsänderungen, Annahmen, Kündigungen und geschäftliche Korrespondenz werden nach ihrer konkreten rechtlichen Funktion klassifiziert. Handels- und Geschäftsbriefe werden regelmäßig sechs Jahre aufbewahrt. Soweit eine Unterlage zugleich Buchungsbeleg oder Bestandteil einer länger aufzubewahrenden Unterlage ist, gilt die längere Frist.
11.5 Rechnungs-, Zahlungs- und Buchhaltungsdaten
Buchungsbelege werden regelmäßig acht Jahre aufbewahrt. Bücher, Abschlüsse und bestimmte Organisationsunterlagen werden regelmäßig zehn Jahre aufbewahrt. Handels- und Geschäftsbriefe werden regelmäßig sechs Jahre aufbewahrt.
Lieferscheine werden nicht pauschal acht Jahre gespeichert. Soweit ein Lieferschein selbst Buchungsbeleg ist, gilt die dafür maßgebliche Frist. Ist er kein Buchungsbeleg, richtet sich seine Aufbewahrung nach den jeweils anwendbaren gesetzlichen Regeln und dem fortbestehenden Nachweiszweck.
12. Löschreihenfolge und Wirksamkeitsprüfung
Vor einer endgültigen Löschung wird in folgender Reihenfolge geprüft:
1. Besteht der ursprüngliche Verarbeitungszweck noch?
2. Besteht eine vertragliche oder dokumentierte Kundenweisung?
3. Besteht eine handels-, steuer- oder sonstige gesetzliche Aufbewahrungspflicht?
4. Besteht ein Legal Hold, laufender Rechtsstreit, Prüfungs- oder Anspruchssachverhalt?
5. Ist die vereinbarte Export- beziehungsweise Abruffrist abgelaufen?
6. Sind abhängige Datensätze und Dateien erfasst?
7. Sind Backupzyklen und Wiederherstellungsverfahren berücksichtigt?
Stichproben, Restore-Tests und regelmäßige Reviews prüfen die tatsächliche Wirksamkeit der Verfahren.
Die technische Umsetzung darf erst als vollständig verifiziert markiert werden, wenn alle relevanten Datenklassen entweder durch automatisierte Ablauf-/Löschlogik, kontrollierte Lifecycle-Prozesse oder dokumentierte gesetzliche Sperr- und Aufbewahrungsprozesse nachweisbar abgedeckt sind.