Belastbare Löschung: Wie Sie personenbezogene Daten vernichten und den Nachweis behalten

Belastbare Löschung bedeutet, Daten so zu vernichten, dass Sie es im Nachhinein begründen können. Die Daten werden nach einem festgelegten Zeitplan entfernt, und Sie können trotzdem noch zeigen, was sie waren, warum sie für die Löschung infrage kamen, wann die Löschung stattfand und dass nichts, was unter einem Legal Hold stand, mit erfasst wurde.

Jeder kann eine Datei löschen. Das Problem: Sobald sie weg ist, ist meist auch der Nachweis weg, dass Sie korrekt mit ihr umgegangen sind. Belastbare Löschung löst das, indem sie den Nachweis festhält, bevor die Daten verschwinden.

Warum Löschen und Vergessen scheitert

Löschen und Vergessen scheitert, weil die Löschung selbst eine Compliance-Handlung ist und die Rechenschaftspflicht aus Artikel 5 Abs. 2 Sie verpflichtet nachzuweisen, dass Sie sie korrekt durchgeführt haben. Ist die Datei weg, bleibt Ihnen nichts, womit Sie das beweisen könnten. Löschen ist kein optionales Aufräumen: Die DSGVO drängt Sie, personenbezogene Daten zu löschen, sobald ihr Zweck erfüllt ist, und Artikel 5 Abs. 1 lit. e macht eine zu lange Aufbewahrung zu einem Verstoß.

Genau das ist die Falle. Lautet Ihr Prozess “Datei löschen und weitermachen”, haben Sie die Löschpflicht erfüllt und die Rechenschaftspflicht verfehlt. Wenn sich ein ehemaliger Mitarbeiter bei einer Aufsichtsbehörde beschwert oder ein Prüfer Stichproben aus Ihrer Aufbewahrungspraxis zieht, lautet die Frage nicht “Sind die Daten weg?”. Sie lautet: “Zeigen Sie mir, dass Sie das Richtige gelöscht haben, rechtzeitig, und alles behalten haben, was Sie aufbewahren mussten.” Löschen und Vergessen hat darauf keine Antwort.

Die zwei Arten, wie Löschung schiefgeht

Zu viel löschen. Sie arbeiten eine Aufbewahrungsfrist ab und erfassen dabei einen Datensatz, der wegen eines laufenden Streitfalls unter einem Legal Hold stand. Daten zu vernichten, die Sie aufbewahren mussten, ist Beweisvereitelung. Ein belastbarer Prozess prüft vor jeder Vernichtung sämtliche Holds und blockiert die Vernichtung, wenn einer aktiv ist. Der Hold selbst wird auf der Speicherschicht durchgesetzt.

Ohne Nachweis löschen. Sie löschen korrekt, halten es aber nirgends fest. Zwei Jahre später können Sie nicht zeigen, welche Kategorien Sie gelöscht haben, was Sie aufbewahrt haben oder warum. In der Praxis sieht das genauso aus, als hätten Sie nie gelöscht, weil Sie es nicht belegen können. Rechenschaft, die Sie nicht belegen können, ist Rechenschaft, die Sie nicht haben.

Belastbare Löschung ist die Disziplin, die beides vermeidet.

Was belastbare Löschung voraussetzt

Fünf Dinge müssen vor, während und nach der Vernichtung gegeben sein:

Ein Auslöser, den Sie begründen können. Die Löschung folgt einem Aufbewahrungsplan oder einem gültigen Löschantrag nach Artikel 17, nicht einer Ad-hoc-Entscheidung. Der Grund wird festgehalten.
Eine Legal-Hold-Prüfung. Bevor etwas vernichtet wird, bestätigt der Prozess, dass der Datensatz keiner Pflicht zur Beweissicherung unterliegt. Unterliegt er einer, wird die Vernichtung blockiert und diese Blockade protokolliert.
Eine abgegrenzte Entscheidung. Sie halten genau fest, was vernichtet und was aufbewahrt wird, je Kategorie, mit der Rechtsgrundlage für alles, was bleibt.
Die Vernichtung selbst. Die Daten werden jeder weiteren Nutzung entzogen, auch in Backups, nach einem festgelegten Zeitplan, und nicht mit dem Versprechen einer sofortigen Löschung, die die Backups nie erreicht.
Ein Zertifikat über den Vorgang. Ein datierter Nachweis, der all das festhält und die Daten überdauert, die er beschreibt.

Fehlt auch nur eines davon, ist die Löschung nicht mehr belastbar. Eine Vernichtung ohne Hold-Prüfung ist fahrlässig. Eine Vernichtung ohne Zertifikat ist unsichtbar.

Löschen und Vergessen vs. belastbare Löschung

Der Unterschied liegt nicht darin, ob die Daten gelöscht werden. Er liegt darin, was die Löschung überdauert.

Schritt	Löschen und Vergessen	Belastbare Löschung
Auslöser	Ad hoc, wenn es jemandem auffällt	Aufbewahrungsplan oder gültiger Löschantrag, festgehalten
Legal Hold	Nicht geprüft	Geprüft, und die Vernichtung blockiert, wenn ein Hold aktiv ist
Umfang	Die ganze Datei	Je Kategorie, mit einer Rechtsgrundlage für alles, was bleibt
Vernichtung	Löschen und weitermachen	Nach festgelegtem Zeitplan jeder Nutzung entzogen, Backups eingeschlossen
Nachweis	Keiner	Ein datiertes Zertifikat, das die Daten überdauert

Was ein Vernichtungszertifikat enthalten sollte

Ein Vernichtungszertifikat ist das Artefakt, das Sie behalten, nachdem die Daten weg sind. Es ist der Nachweis, also muss es für sich allein bestehen. Ein brauchbares Zertifikat hält fest:

Was vernichtet wurde, identifiziert, ohne die personenbezogenen Daten selbst wiederzugeben. Ein Inhalts-Hash oder eine pseudonyme Kennung leistet das gut: Sie beweist, welchen Datensatz Sie meinen, ohne ihn neu zu erzeugen.
Wann die Vernichtung beschlossen und wann sie abgeschlossen wurde, mit einem vertrauenswürdigen Zeitstempel statt eines Systemuhrwerts, den jeder bearbeiten könnte.
Warum der Datensatz infrage kam: die Aufbewahrungsregel oder der Löschgrund, der die Vernichtung ausgelöst hat.
Den Hold-Status zum damaligen Zeitpunkt, der zeigt, dass nichts, was zu sichern war, mit erfasst wurde.
Das Sicherheitsniveau, ehrlich angegeben. Ein Zertifikat, das zu viel behauptet, ist schlimmer als keines, weil es bei der ersten Nachprüfung durchfällt. Ein gutes Zertifikat sagt genau, was es bestätigt und was nicht.

Diesen letzten Punkt lassen die meisten Anbieter aus. Ein Zertifikat, das “vernichtet und verifiziert” sagt, ohne zu erklären, wie die Verifizierung funktioniert hat, ist ein Marketingartefakt, kein Beweis. Ein Zertifikat, das seine eigenen Grenzen benennt, ist eines, auf das sich ein Prüfer tatsächlich verlassen kann.

Wie sich das zu Aufbewahrung und Löschung verhält

Belastbare Löschung ist die Ausführungsschicht unter zwei Dingen, die Sie ohnehin tun müssen. Ihr HR-Aufbewahrungsplan legt fest, wann Daten gelöscht werden dürfen. Das Recht auf Löschung erzeugt Löschungen auf Anfrage zwischen diesen geplanten Terminen. Belastbare Löschung ist die Art, wie beides tatsächlich geschieht, ohne eine Lücke in der Rechenschaft zu reißen. Der Legal-Hold-Mechanismus, der beides übersteuert, wird auf der Speicherschicht durchgesetzt.

Das Prinzip hinter einem Legal Evidence Pack gilt auch hier: Der Nachweis muss im Moment des Ereignisses festgehalten werden und für jemanden verifizierbar sein, der nicht beteiligt war.

Wie SealDoc belastbare Löschung unterstützt

SealDoc speichert einen SHA-256-Hash jedes Dokuments und zeichnet jedes Ereignis in seinem Lebenszyklus in einem hash-verketteten Audit-Trail auf, sodass jede spätere Änderung erkennbar ist und die Reihenfolge der Ereignisse nicht unbemerkt umgeschrieben werden kann. Die API von SealDoc verweigert das Löschen eines Dokuments innerhalb seiner Aufbewahrungsfrist. Sobald die Frist es zulässt, wird eine Löschung auf Anfrage im selben Audit-Trail protokolliert.

Alles läuft auf EU-Infrastruktur, ohne US-Hyperscaler im Datenpfad, sodass der Audit-Trail nicht selbst zu einem Datentransferproblem wird.