Lösch- und Aufbewahrungskonzept

Zweck

Dieses Konzept beschreibt die Grundsätze für Aufbewahrung, Sperrung, Löschung und technische Bereinigung personenbezogener Daten innerhalb des Virtuellen Bürger-Schreibtischs und der angeschlossenen Schuldnerberatungsfunktionen.

Es ergänzt die zentralen technischen und organisatorischen Maßnahmen von Sentinel System sowie die produktspezifischen TOMs.

Grundprinzip ist:

Aufbewahrungsdauer und Löschung richten sich nach Zweck, Vertragsverhältnis, gesetzlichen Pflichten und erforderlichen Sicherheits- beziehungsweise Nachweisinteressen.

Unterschiedliche Arten von Löschen

Für Sentinel werden vier Zustände ausdrücklich unterschieden.

Fachliche Löschung

Ein Objekt steht dem Bürger beziehungsweise der Beratungsstelle nicht mehr zur Verfügung und wird aus dem aktiven Fachbestand entfernt.

Zugriffsentzug

Die Daten bleiben technisch vorhanden, ein bestimmter Benutzer oder Empfänger darf aber nicht mehr darauf zugreifen. Der Widerruf einer Beratungsfreigabe ist zunächst kein Löschen des Bürgerdokuments.

Technische Löschung

Das Objekt wird aus dem produktiven Datenspeicher entfernt.

Backup-Rotation

Bereits vorhandene Sicherungskopien werden nicht zwingend synchron mit dem Produktivbestand verändert. Gelöschte Produktivdaten verschwinden entsprechend der jeweiligen Aufbewahrungsfrist zeitversetzt aus Sicherungssystemen.

Es wird deshalb nicht behauptet, dass Daten in derselben Sekunde aus sämtlichen Sicherungskopien verschwinden.

Grundsätze

Für die Löschung gelten insbesondere:

• Zweckbindung: Daten werden nicht länger als für ihren Zweck erforderlich gespeichert.
• Datenminimierung: Nicht benötigte Daten werden nicht vorsorglich unbegrenzt aufbewahrt.
• Mandantentrennung: Eine Löschung in einem Bürgerkonto darf keine Daten eines anderen Kontos beeinträchtigen.
• Nachvollziehbarkeit: Sicherheitsrelevante Löschvorgänge können protokolliert werden.
• Backupsicherheit: Eine Löschung im Produktivsystem führt nicht zur nachträglichen Manipulation unveränderter Sicherungskopien.
• Gesetzliche Pflichten: Gesetzlich erforderliche Aufbewahrung hat Vorrang vor einer vertraglichen Löschfrist, soweit sie tatsächlich einschlägig ist.

Löschmatrix

Die Arbeitsmatrix unterscheidet Ereignis, Behandlung im Produktivsystem, Backup und Umsetzungsstatus.

Offene Fristen bleiben bewusst offen, bis die tatsächlichen technischen Jobs und gesetzlichen Anforderungen festgelegt wurden.

Löschung durch den Bürger

Der Bürger soll im Rahmen der angebotenen Funktionen eigene Inhalte löschen können.

Eine Löschung darf dabei nicht nur die Darstellung im Browser entfernen.

Serverseitig muss der betreffende Datensatz beziehungsweise das betreffende Dokument dem Löschprozess zugeführt werden.

Bei miteinander verknüpften Objekten ist zu prüfen, ob abhängige Daten ebenfalls gelöscht werden müssen oder aus Gründen der Datenintegrität lediglich die Verbindung entfernt wird.

Dokumentlöschung und Verfahrenslinie

Wenn ein Bürger ein Dokument löscht, dürfen daraus nicht unbemerkt vollständige Dokumentinhalte in der Verfahrenslinie dauerhaft weiterleben.

Unterschieden werden:

• Originaldokument
• OCR-/Extraktionsdaten
• Dokumentmetadaten
• Verknüpfungen
• Verfahrenslinien-Eintrag
• KI-Auswertung

Beim Löschen eines Dokuments muss festgelegt werden, welche davon ebenfalls gelöscht werden und welche Informationen gegebenenfalls aus zwingenden Integritäts- oder Nachweisgründen erhalten bleiben.

Die Oberfläche darf einen verbleibenden Verfahrenslinien-Eintrag nicht so darstellen, als existiere das gelöschte Original weiterhin.

Beratungsfreigabe ist keine Datenübertragung des gesamten Kontos

Wird eine Beratungsfreigabe widerrufen, wird nicht das zugrunde liegende Bürgerdokument gelöscht.

Bereits heruntergeladene Daten

Ein späterer Widerruf kann keine Datei von einem fremden Computer oder Fachsystem technisch zurückholen.

Der Widerruf beendet den weiteren Zugriff über Sentinel. Bereits rechtmäßig an einen Empfänger übermittelte oder von ihm heruntergeladene Daten unterliegen anschließend dessen eigenen datenschutzrechtlichen Pflichten.

Das gilt insbesondere für Beratungsstellen, Behörden und sonstige Empfänger.

Ende einer Beratung

Das Ende einer Schuldnerberatung führt nicht automatisch zur Löschung des gesamten Bürgerkontos.

Stattdessen können getrennt beendet werden:

Der persönliche Bürger-Schreibtisch kann unabhängig davon weiterbestehen.

Löschen eines Bürgerkontos

Bei vollständiger Kontolöschung müssen mindestens geprüft beziehungsweise entfernt werden:

• Account
• Profileinstellungen
• Dokumente
• Dokumentmetadaten
• Vorgänge
• Verfahrenslinien
• Fristen
• private Notizen
• Gruppenmitgliedschaften
• Freigaben
• Beraterverknüpfungen
• Passkeys
• Recovery-Daten
• aktive Sessions
• KI-Ergebnisse
• personenbezogene Rechercheaufträge
• noch vorhandene Exportpakete

Gesetzlich erforderliche Abrechnungs- oder Nachweisdaten werden getrennt vom aktiven Bürgerkonto aufbewahrt.

Authentisierungsdaten

Sessions

Bei Logout, Kontosperre, sicherheitsrelevanter Passwortänderung, erfolgreicher Recovery oder Benutzerentfernung werden die jeweils vorgesehenen Sitzungen widerrufen.

Passkeys

Passkeys können einzeln beziehungsweise vollständig widerrufen werden. Bei Kontolöschung werden die zugehörigen aktiven Credentials entfernt beziehungsweise dauerhaft ungültig gemacht.

Recovery-Codes

Ein verwendeter Recovery-Code kann nicht erneut eingesetzt werden. Neu erzeugte Recovery-Codes ersetzen beziehungsweise invalidieren die vorherige Serie entsprechend der Implementierung.

Gruppen und Freigaben

Wird ein Mitglied entfernt, werden dessen Gruppenzugehörigkeiten, direkte Rechte, Sessions, Passkeys beziehungsweise entsprechende Zugriffsmittel und Freigaben nach dem dokumentierten Lebenszyklus bereinigt beziehungsweise widerrufen.

Das Entfernen eines Mitglieds darf nicht lediglich dessen Menüeintrag ausblenden.

Exporte

Exportpakete, insbesondere Beratungs-ZIPs, sind keine dauerhaften Primärspeicher.

Für temporär serverseitig erzeugte Exporte wird als technischer Arbeitswert eine kurze automatische Lebensdauer von 24 Stunden vorgeschlagen.

Danach soll das serverseitige Exportartefakt automatisch gelöscht werden. Der Export kann bei fortbestehender Berechtigung erneut erzeugt werden.

KI-Daten

Sentinel-seitige KI-Ergebnisse

Gespeicherte KI-Auswertungen werden mit dem zugehörigen Objekt beziehungsweise Vorgang verbunden und entsprechend dessen Löschlebenszyklus behandelt.

Externe KI-Anbieter

Sentinel kann eine Löschung nur entsprechend den technischen und vertraglichen Möglichkeiten des jeweiligen Anbieters gewährleisten.

Vor produktiver Aktivierung jedes externen KI-Dienstes werden übertragene Daten, Eingabespeicherung, Speicherdauer, Trainingsnutzung, Verarbeitungsort und Löschmöglichkeiten dokumentiert.

Kommunikationsdaten

Kommunikationsdaten können anderen gesetzlichen und praktischen Anforderungen unterliegen als normale Dokumente.

Zu unterscheiden sind beispielsweise:

• Entwurf
• gesendete Nachricht
• empfangene Nachricht
• Versandnachweis
• Zustellinformation
• technisches Transportprotokoll

Ein Versandnachweis kann länger benötigt werden als eine temporäre Versanddatei. Hierfür werden kanalabhängige Fristen festgelegt.

eBO-Kommunikation

Für eBO-/EGVP-bezogene Kommunikation können Nachweise über Versand, Empfänger, Zeitpunkt und Zustellstatus fachlich relevant sein.

Diese werden deshalb nicht automatisch mit kurzfristigen technischen Logs gleichgesetzt.

Zertifikatsgeheimnisse werden nur so lange gespeichert, wie sie für die entsprechende Funktion erforderlich und vom Nutzer hinterlegt sind.

Security- und Audit-Logs

Die Aufbewahrung soll ausreichend Historie bieten, um Angriffe, unberechtigte Zugriffe, Freigabeänderungen, Recovery-Vorgänge und Sicherheitsvorfälle untersuchen zu können, aber nicht unbegrenzt erfolgen.

• normale technische Logs: 30 Tage als Arbeitswert
• sicherheitsrelevante Auditdaten: 180 Tage als Arbeitswert
• besondere nachweispflichtige Vorgänge: gegebenenfalls länger

Backups

Produktiv gelöschte Daten können entsprechend der Borg-Retention noch Bestandteil verschlüsselter Sicherungskopien sein.

Sicherungskopien werden nicht als Archiv zur weiteren regulären Verarbeitung verwendet.

Die technische Retention umfasst sieben tägliche, vier wöchentliche und sechs monatliche Archive.

Ein vollständiger Datencheck und eine Testextraktion konsistenter JSON- und SQLite-Stores wurden erfolgreich durchgeführt.

Bei einer Wiederherstellung eines älteren Backups muss verhindert werden, dass bereits gelöschte oder widerrufene Daten unbeabsichtigt wieder produktiv verfügbar werden.

Demo- und Testdaten

Für Präsentationsumgebungen sollen grundsätzlich künstliche beziehungsweise hierfür freigegebene Testdaten verwendet werden.

Das Bayern-Demokonto besitzt einen kontrollierten Resetmechanismus.

Vor einem Reset werden Demo-Stores gesichert, bestehende Sitzungen beendet und neue Zugangsdaten erzeugt.

Demo-Sicherungen dürfen nicht unbegrenzt anwachsen und erhalten eine kurze Rotation.

Ende eines kommunalen Piloten

Nach Pilotende läuft ein kontrollierter Abschluss:

1. Keine neuen Pilotzugriffe.
2. Sitzungen und Pilotberechtigungen widerrufen.
3. Beratungsfreigaben prüfen.
4. Erforderliche Datenexporte bereitstellen.
5. Auftraggeber bestätigt Übernahme beziehungsweise Abschluss.
6. Pilotdaten entsprechend vereinbarter Frist löschen.
7. Backup-Rotation läuft aus.
8. Abschluss wird dokumentiert.

Gesetzliche Aufbewahrungspflichten

Nicht sämtliche Daten dürfen bei Vertragsende automatisch vernichtet werden.

Insbesondere geschäftliche und steuerrechtlich relevante Unterlagen können gesetzlichen Aufbewahrungspflichten unterliegen.

Diese Daten werden vom aktiven Bürgerkonto beziehungsweise Fachsystem getrennt behandelt.

Eine gesetzliche Aufbewahrungsfrist wird nicht pauschal auf sämtliche Bürgerdokumente angewendet, nur weil zwischen Sentinel und dem Nutzer ein Vertragsverhältnis bestand.

Sperrung statt Löschung

Ist eine Löschung aufgrund gesetzlicher Verpflichtungen oder eines konkret bestehenden Nachweisinteresses vorübergehend nicht zulässig, kann eine Einschränkung der Verarbeitung erfolgen.

Die Daten dürfen dann nicht weiterhin wie aktive Fachdaten genutzt werden.

Löschprotokoll

Ein Löschvorgang kann selbst einen minimalen Nachweis erzeugen.

Der Löschbeleg enthält nicht den gelöschten Dokumentinhalt erneut.

Backup-Wiederherstellung

Nach Wiederherstellung eines Sicherungsstandes müssen insbesondere geprüft werden:

• inzwischen gelöschte Konten
• widerrufene Freigaben
• gesperrte Benutzer
• widerrufene Passkeys
• ungültige Sessions
• entfernte Gruppenmitglieder
• inzwischen gelöschte Exportartefakte

Ein Restore darf keinen dauerhaft aufgehobenen Zugriff unbeabsichtigt wieder aktivieren.

Empfohlene erste technische Fristen

Die folgenden Werte bilden eine Arbeitskonfiguration und werden erst nach Prüfung gegen Jobs, Backup-Konfiguration, Logs und gesetzliche Anforderungen produktiv veröffentlicht.

Pilot-Sonderregel

Offene technische Verifikation

Vor einer endgültigen Fassung sind die tatsächlichen Werte und Verfahren zu ermitteln für:

• Log-Rotation
• temporäre Exportablage
• Communication-Aufbewahrung
• Support-/Ticketdaten
• KI-Anbieterretention
• Abrechnungsdaten
• physische Entfernung gelöschter Dateien
• Post-Restore-Reconciliation
• zusätzliche immutable/offsite Backupkopie

Damit kann das Löschkonzept gegen die technische Implementierung geprüft werden.