Löschkonzept — was wann verschwindet
Die vierte Frage in jedem Vergabegespräch, nach Standort, AVV und Sicherheit: Wann sind Daten wirklich weg — und woher wisst ihr das? Dieses Konzept ist aus dem Code abgeleitet, nicht aus Erinnerung. Stand: 14. August 2026, Entwurf wie der AVV.
Die drei Auslöser
Es gibt genau drei Gründe, aus denen bei uns Daten verschwinden — mehr braucht es nicht, und jeder weitere wäre eine Stelle, die man vergessen kann:
- Die Person löscht ihr Konto. Alles, was daran hängt, geht sofort und unwiderruflich (Art. 17 DSGVO).
- Die Person löscht einen Gegenstand — Whiteboard, Kanban-Board, Ablauf, Karte. Sofort weg, keine Papierkorb-Phase.
- Eine Frist läuft ab. Ein Aufräumlauf entfernt, was seine Zeit hinter sich hat (unten).
Es gibt keinen Papierkorb und keine „soft deletes". Das ist eine Entscheidung, keine Nachlässigkeit: Ein Papierkorb, der 30 Tage aufhebt, ist eine Verarbeitung nach dem Löschverlangen. Sofort ist einfacher — und ehrlicher gegenüber dem, was auf dem Knopf steht.
Konto-Löschung im Einzelnen
Ausgelöst im Konto mit ausdrücklicher Bestätigung, serverseitig geprüft. Direkt daneben steht „Alles mitnehmen" — der Vollexport als ZIP in offenen Formaten (Art. 20), bevor gelöscht wird. Die Löschung räumt Konto, Sitzungen, Abläufe samt Versionen, Whiteboards, Vorlagen, Käufe-Zuordnungen und KI-Zählwerk ab.
Was die Löschung ausdrücklich nicht erreicht — und warum. Diese vier Punkte gehören in jede Antwort auf ein Löschverlangen; sie wegzulassen wäre bequemer und falsch:
- Rechnungen und Zahlungsbelege beim Zahlungsdienstleister — steuerliche Aufbewahrung (§ 147 AO, § 257 HGB), zehn Jahre.
- Sicherungen — eine Sicherung, die man punktuell bearbeitet, ist keine. Sie rollieren aus (unten).
- Inhalte, die andere weiterverwendet haben — wer eine geteilte Vorlage kopiert hat, hat eine eigene Kopie, und die gehört ihm.
- Prüfspur-Einträge in fremden Räumen — bleiben 365 Tage stehen, verlieren aber sofort den Namen (unten).
Fristen, die von allein laufen
- Sitzungen und Anmeldelinks: mit Ablauf bzw. sofort nach Gebrauch.
- Prüfspur: 365 Tage, täglicher Aufräumlauf.
- Sicherungen: rollierend — 14 Tage täglich, 6 Monate monatlich.
Ehrliche Lücke: Für inaktive Konten gibt es keine automatische Frist. Ein Konto, das drei Jahre niemand anfasst, bleibt bestehen. Bei einem Werkzeug, das man zweimal im Jahr für einen Workshop aufmacht, halten wir das für vertretbar — aber es ist eine Entscheidung, keine Selbstverständlichkeit. Verlangt ein Auftraggeber eine Frist, bauen wir sie und tragen sie hier ein.
Der Sonderfall: die Prüfspur
Die Prüfspur hält fest, wer wann was gelöscht hat. Sie ist der einzige Ort, an dem eine Konto-Löschung nicht alles entfernt — mit Absicht: Einträge im eigenen Raum gehen mit; Einträge in fremden Räumen bleiben stehen, verlieren aber den Namen. Aus „Anna hat die Karte gelöscht" wird „Gelöschtes Konto hat die Karte gelöscht".
Der Grund in einem Satz: Sonst wäre das Löschen des eigenen Kontos der zuverlässigste Weg, eine fremde Tafel leerzuräumen und unsichtbar zu bleiben. Was bleibt, ist die Tatsache ohne die Person (Art. 6 Abs. 1 lit. f i. V. m. Art. 32 Abs. 1 lit. b). Nach 365 Tagen ist auch das weg. Die Spur ist nicht änderbar — es gibt keine Funktion, die einen einzelnen Eintrag ändert oder entfernt, auch nicht für uns; ein automatischer Test hält das fest.
Wenn jemand eine Löschung verlangt
Damit im Ernstfall niemand improvisiert: Erst die Identität prüfen (die Anfrage muss von der Adresse kommen, die am Konto hängt — sonst ist die Löschung selbst der Angriff). Dann, wenn möglich, selbst löschen lassen: Konto → „Konto unwiderruflich löschen", mit Hinweis auf den Export davor. Ist die Person nicht unsere Nutzerin, sondern Teilnehmende eines fremden Seminars, sind wir Auftragsverarbeiter — dann leiten wir an die Veranstalterin weiter statt selbst zu löschen. Antwort mit dem, was bleibt und warum, innerhalb eines Monats (Art. 12 Abs. 3).
Zum Weiterlesen
Der AVV · TOMs · Datenschutzerklärung · Souveränität im Überblick