Datenaufbewahrung & Löschung: Was wird wann gelöscht?

Ab Tarif Basic

Kurzantwort

Notory löscht nichts still im Hintergrund. Es gibt genau drei Mechanismen, und jeder ist nachvollziehbar:

Papierkorb für Assets, Datensätze und wiederkehrende Abwesenheiten - erst wiederherstellbar, dann nach einer einstellbaren Frist endgültig entfernt.
Nutzer löschen heißt bei Notory anonymisieren (DSGVO Art. 17): die Personendaten werden überschrieben und die Anmeldung unmöglich gemacht, die Kontozeile und das Protokoll bleiben aus Integritätsgründen bestehen.
Protokoll-Aufbewahrung: Audit-Log und Journal werden nach einer einstellbaren Frist bereinigt.

Wichtig: Zeiterfassungs- und Urlaubsdaten werden NICHT gelöscht - sie unterliegen der gesetzlichen Aufbewahrungspflicht (u. a. § 16 Abs. 2 ArbZG, zwei Jahre) und einer manipulationssicheren Versiegelung. Eine je Datenklasse frei konfigurierbare Aufbewahrung ist in Vorbereitung.

Voraussetzungen

Was genau bei welcher Löschung passiert

1. Papierkorb (Assets, Datensätze, wiederkehrende Abwesenheiten)

Beim Löschen wandern diese Objekte zunächst in den Papierkorb (Soft-Delete): Sie verschwinden aus den normalen Listen, bleiben aber wiederherstellbar. Endgültig entfernt werden sie erst, wenn die Aufbewahrungsfrist des Papierkorbs abgelaufen ist (siehe Was einstellbar ist). Bei einer Frist von 0 bleiben sie liegen, bis der Papierkorb manuell geleert wird.

2. Nutzer löschen = anonymisieren (DSGVO Art. 17)

Ein Nutzer wird pseudonymisiert, nicht als Datenbankzeile entfernt. Konkret passiert Folgendes:

Überschrieben werden E-Mail (auf eine unzustellbare ...@deleted.invalid-Adresse), Benutzername, vollständiger Name (Erased user) und die Spracheinstellung.
Das Konto wird deaktiviert, das Passwort durch einen unbrauchbaren Zufallswert ersetzt - eine Anmeldung ist danach unmöglich.
Endgültig gelöscht werden die Authentifizierungs-Artefakte: 2FA-Geräte (TOTP), API-Tokens und Passwort-Zurücksetzen-Tokens.
Bewusst erhalten bleiben die (nun anonyme) Kontozeile und der Audit-Log - damit die Nachvollziehbarkeit und die Hash-Kette des Protokolls intakt bleiben; das Protokoll verweist danach auf ein anonymisiertes Subjekt.

Zu beachten: Dieser Schritt ist nicht umkehrbar. Fachdaten, die der Nutzer erstellt hat (z. B. Assets), bleiben bestehen und verweisen auf das anonymisierte Konto - so gehen weder Historie noch Inventar verloren.

3. Protokolle: Audit-Log und Journal

Audit-Log und Journal enthalten teils personenbezogene Felder (z. B. IP-Adressen). Sie werden nach der eingestellten Aufbewahrungsfrist automatisch bereinigt. Ohne gesetzte Frist bleiben sie erhalten. Die Bereinigung führt die Hash-Kette sauber weiter, sodass die Manipulationssicherheit erhalten bleibt.

4. Zeiterfassung & Urlaub - werden NICHT gelöscht

Arbeitszeit-Buchungen und Urlaubs-/Abwesenheitsdaten landen nicht im Papierkorb und werden nicht automatisch entfernt. Grund: gesetzliche Aufbewahrungspflicht (u. a. § 16 Abs. 2 ArbZG / § 17 Abs. 2 MiLoG, mindestens zwei Jahre) und die revisionssichere Monats-Versiegelung. Ihre rechtssichere Löschung nach Fristablauf übernimmt künftig die konfigurierbare Aufbewahrung.

5. Anhänge und Atteste

Dateianhänge (inkl. Art.-9-geschützter Atteste) werden zusammen mit ihrem Objekt gelöscht bzw. bereinigt und unterliegen im laufenden Betrieb denselben Zugriffsbeschränkungen wie das Objekt selbst.

Was einstellbar ist

Im Administrationsbereich (Instanz- bzw. Mandanten-Konfiguration) steuerbar:

Papierkorb an/aus und die Papierkorb-Aufbewahrung in Tagen (0 = bis manuell geleert).
Audit-Log-Aufbewahrung (Tage) und Journal-Aufbewahrung (Tage) - jeweils leer = unbegrenzt.

Fristen lassen sich jederzeit verlängern. Eine je Datenklasse getrennte Aufbewahrung mit gesetzlichen Mindest-Vorgaben ist in Vorbereitung.

Was zu beachten ist

Keine stille Hintergrund-Löschung. Jede endgültige Entfernung folgt entweder deiner Aktion (Papierkorb leeren, Nutzer anonymisieren) oder einer von dir eingestellten Frist.
Anonymisieren ist endgültig. Die überschriebenen Personendaten sind nicht wiederherstellbar.
Gesetzliche Aufbewahrung geht vor. Zeiterfassungs- und Urlaubsdaten kannst du nicht vorzeitig löschen - das schützt dich bei Prüfungen (Zoll/FKS, Gewerbeaufsicht) und Lohnstreitigkeiten.
Löhne/Gehälter verwaltet Notory nicht; Lohnkonto- und Entgeltunterlagen samt ihren Fristen liegen in der angebundenen Lohnlösung (z. B. DATEV), nicht in Notory.
Mandantentrennung. Löschungen wirken immer nur im eigenen Mandanten (durch Row-Level-Security abgesichert).

In Vorbereitung: konfigurierbare Aufbewahrung je Datenklasse

Eine Aufbewahrungs-/Lösch-Engine ist geplant (noch nicht verfügbar). Sie wird Folgendes bieten:

Fristen je Datenklasse (Arbeitszeit, Urlaub, Krankheit) - global oder pro Mandant, mit dem gesetzlichen Mindestwert als Voreinstellung und einer deutlichen Warnung, falls ein Wert die gesetzliche Mindestfrist unterschreitet.
Ein vierstufiges Modell (Aktiv → Deaktiviert → Archiviert/Gesperrt → Gelöscht/Anonymisiert) mit Löschung pro Datenklasse statt pauschal pro Nutzer.
Ein unveränderbares, versiegeltes Archiv und ein fälschungssicheres Löschprotokoll.
Einen Legal Hold, der jede Löschung bei einem laufenden Streitfall stoppt.

Weil es um rechtssichere Löschfristen geht, wird die Engine erst nach anwaltlicher/DSB-Bestätigung der Fristen scharf geschaltet. Bis dahin gilt das oben beschriebene Verhalten.