Was gebaut ist
Löschen scheint einfach, bis ein Wert in der Quelle, in der Ontologie, in Kopien, in Indizes und in Sicherungen steht. Das geplante System behandelt Löschen deshalb wie jede Handlung mit Wirkung: mit einer Regel, die sagt, wann und was, mit einer Freigabe, mit einer Ausführung in allen Speichern, die es kennt, und mit einem Nachweis, der den gelöschten Wert nicht enthält.
Im System · FORGE · ARGUS
- Eine Version außerhalb, eine Quelle innerhalb von einer Grenze.
- Der Weg nach innen führt durch jede Grenze.
- Neben der Quelle steht eine Frist für die Aufbewahrung.
Anlässe und Regeln
Begriff · Beziehung
Eine benannte Verbindung zwischen Objekten, etwa: Objekt A gehört zu Objekt B. Die Verbindung braucht selbst einen Quellenbezug.
Gelöscht wird aus vier Gründen: Eine Aufbewahrungsfrist endet, der Zweck der Verarbeitung ist entfallen, eine Einwilligung wird widerrufen oder eine betroffene Person verlangt es nach Artikel 17 der DSGVO. Jeder Anlass löst dieselbe Handlung aus, mit einer Löschregel je Objekttyp: welche Felder und Beziehungen, nach welcher Frist, auf wessen Verantwortung und mit welchen Ausnahmen.
Ausnahmen sind Aufbewahrungspflichten aus dem Handels- und Steuerrecht oder laufende Verfahren. Sie stehen als Daten an der Regel und gehen der Löschung voran: Was aufbewahrt werden muss, wird nicht gelöscht, sondern eingeschränkt und nach Ablauf der Pflicht gelöscht. Die Fristen legt die Organisation in ihrem Löschkonzept fest, wie es etwa DIN 66398 beschreibt; das System führt sie aus.
Wo gelöscht werden muss
Begriff · Nachweis
Der signierte Datensatz einer Prüfung: Handlung, Zustand, Regeln, Ergebnis und Voraussetzungen, mit Prüfwert, Signatur und Zeitstempel. Er lässt sich ohne Zugang zum System nachrechnen.
Die Quelle ist führend, also beginnt die Löschung dort: als Handlung, die über die Schnittstelle der Quelle zurückgeschrieben wird. Danach folgen die Ontologie mit Eigenschaften und Beziehungen, die Rohzone, Zweige und Szenarien, Zwischenspeicher, Suchindizes, Berichte und Exporte. Jeder dieser Speicher ist in einem Verzeichnis der Speicher geführt, gegen das der Nachweis abgeglichen wird.
Die Rohzone ist nur anhängend und lässt keine einzelne Zeile verschwinden. Personenbezogene Felder liegen darin deshalb unter einem Schlüssel je Person oder Datensatz, und die Löschung vernichtet diesen Schlüssel. Dasselbe gilt für Sicherungen, die man nicht Zeile für Zeile bearbeiten kann: Der Wert bleibt in ihnen liegen, ist aber nicht mehr lesbar. Wird eine Sicherung zurückgespielt, wendet das System das Löschprotokoll danach erneut an.
Vom Vorschlag zum Nachweis
Begriff · Ontologie
Die gemeinsame Beschreibung einer Organisation: Objekttypen mit Eigenschaften, Beziehungen, Regeln und Handlungen, als Daten mit Version, Herkunft und Recht.
Eine Löschung beginnt als Plan auf einem Zweig. Der Plan nennt, was entfällt, auch die Folgen: Beziehungen, die ins Leere zeigen würden, und Aggregate, die einen Wert enthielten. Eine berechtigte Person gibt die Löschung frei, ein signiertes Ja für genau diese Liste von Objekten. Dann wird ausgeführt, Speicher für Speicher, mit Bestätigung je Schritt.
Zum Schluss prüft ein Abgleich, dass die Löschung gewirkt hat: Eine Suche nach den gelöschten Kennungen findet in Ontologie und Indizes nichts mehr, und die Schlüssel sind nicht mehr abrufbar. Ein Schritt, dessen Ergebnis unklar ist, gilt als nicht erledigt und wird abgeglichen, bevor er wiederholt wird.
Der Nachweis ohne den Wert
Der Nachweis enthält die Löschregel mit Version, den Anlass, den Umfang als Kennungen, die Zeit, die ausführende Identität, die Freigabe und das Ergebnis je Speicher, dazu einen SHA-256-Prüfwert über die Liste der Kennungen und eine Signatur. Er enthält keine gelöschten Werte, auch keine Prüfwerte davon, denn der Prüfwert eines kurzen, erratbaren Werts lässt sich zurückrechnen.
Auch der Nachweis ist ein Datensatz mit Aufbewahrung. Er bleibt so lange, wie die Organisation ihre Pflicht zum Nachweis hat, und enthält nichts, was die Löschung unterlaufen würde.
Abgeleitete Werte
Ein Wert, der aus einem gelöschten entstand, trägt dessen Markierung und wird neu berechnet, wenn er noch Personenbezug hat. Statistiken ohne Personenbezug können bleiben, wenn sie nachweislich anonym sind. Dafür ist die Hürde hoch: Erwägungsgrund 26 der DSGVO verlangt, dass auch mit allen vernünftigerweise einsetzbaren Mitteln niemand mehr identifiziert werden kann. Im Zweifel wird neu berechnet.
Vorgesehen ist, dass Daten der Organisation nicht zum Training von Sprachmodellen dienen. Vektorindizes und Zwischenspeicher dagegen sind Kopien und werden mit gelöscht.
Schema
loeschregel: <objekttyp>
version: <nummer>
anlass: frist | zweck_entfallen | widerruf | antrag
frist: <dauer>
ausnahme: aufbewahrungspflicht | verfahren
felder: [<eigenschaft>, <beziehung>]
speicher: [quelle, ontologie, rohzone, index, zwischenspeicher, sicherung_ueber_schluessel]
freigabe: erforderlich
nachweis: kennungen_und_pruefwert_ohne_werteGrenze
- Grenze
- Löschen in Quellen Dritter und in Sicherungen hängt von deren Technik ab, und ein Nachweis gilt nur für die Speicher, die das System kennt. Vollständigkeit lässt sich nicht beweisen, nur gegen das Verzeichnis der Speicher abgleichen. Das Verfahren ist geplant und nicht gebaut.
Fragen
- Warum wird nicht jeder Wert einfach überschrieben?
- In der Rohzone und in Sicherungen ist das nicht vorgesehen oder nicht möglich. Dort wird der Schlüssel vernichtet, mit dem der Wert lesbar war.
- Was geschieht mit Daten, für die eine Aufbewahrungspflicht gilt?
- Sie werden nicht gelöscht, sondern eingeschränkt und nach Ablauf der Pflicht gelöscht. Die Ausnahme steht als Angabe an der Löschregel.
Quellen
- Verordnung (EU) 2016/679 (DSGVO)Amtlicher Text. Artikel 5 Absatz 1 Buchstabe e, Artikel 17 und Erwägungsgrund 26.
- NIST SP 800-88 Rev. 1: Guidelines for Media SanitizationNIST. Löschen auf Datenträgern; für die Löschung über Schlüsselvernichtung sinngemäß.