Datenschutz & Datensicherheit
Ob Daten technisch gelöscht, weiter aufbewahrt oder weiterhin zugreifbar sind, lässt sich nur systembezogen untersuchen. Produktionsdatenbank, Backups, Caches, Suchindizes, Logs und externe Dienste können unterschiedliche Lebenszyklen besitzen. Eine technische Prüfung rekonstruiert diese Zustände, ohne daraus automatisch eine rechtliche Zulässigkeitsbewertung abzuleiten.
Kurzantwort
Geprüft werden Datenorte, Löschpfade, Aufbewahrungsmechanismen, Rollen und tatsächliche Zugriffsmöglichkeiten. Dabei wird zwischen aktiven Daten, Backups, technischen Sicherungen, Logs und abgeleiteten Daten unterschieden. Die Auswahl rechtlich zulässiger Fristen bleibt von der technischen Feststellung getrennt.
Vom Prüfgegenstand zur dokumentierten technischen Schlussfolgerung
1. Datenorte und Lebenszyklus erfassen
Ein Löschvorgang betrifft häufig mehrere Systeme. Ein Datensatz kann in der Primärdatenbank entfernt sein, aber noch in Backups, Caches, Suchindizes, Data-Warehouse-Systemen oder Logs vorkommen.
Deshalb wird zunächst der technische Datenfluss rekonstruiert. Für jeden relevanten Speicherort werden Zweck, Aktualisierungslogik, Löschmechanismus und bekannte Aufbewahrungsdauer dokumentiert.
Die technische Prüfung unterscheidet dabei zwischen produktiv verfügbaren Daten und nicht unmittelbar zugänglichen Sicherungen. Diese Zustände haben unterschiedliche technische Risiken und Wiederherstellungsmöglichkeiten.
2. Löschmechanismen verifizieren
Eine Oberfläche mit der Schaltfläche „Löschen“ belegt nicht, dass alle Daten technisch entfernt werden. Nach Möglichkeit wird geprüft, welche Datenbankoperationen, API-Aufrufe oder Hintergrundjobs ausgelöst werden.
Soft Delete, Tombstones oder Statusfelder können fachlich sinnvoll sein, bedeuten aber technisch keine physische Entfernung. Dies wird als konkreter Systemzustand beschrieben.
Bei verteilten Systemen ist zudem zu prüfen, ob Löschereignisse alle abhängigen Dienste erreichen und wie mit Fehlern oder verzögerter Synchronisation umgegangen wird.
3. Aufbewahrung und Wiederherstellung
Backups dienen der Wiederherstellung und können deshalb andere Löschzyklen besitzen als aktive Systeme. Technisch relevant sind Backup-Frequenz, Retention, Zugriffsschutz und der Prozess, mit dem zurückgespielte Daten wieder in aktuelle Löschzustände überführt werden.
Auch Logs und Auditdaten besitzen eigene Retention. Eine Begutachtung kann feststellen, welche Regeln technisch konfiguriert sind und welche Daten tatsächlich vorhanden sind.
Ob eine konkrete Frist rechtlich erforderlich oder zulässig ist, wird nicht durch die technische Konfiguration selbst entschieden.
4. Rollen und tatsächliche Zugriffe
Rollenmodelle, Gruppen, Policies und Berechtigungslisten zeigen die konfigurierte Zugriffsebene. Zusätzlich kann geprüft werden, ob privilegierte Konten, Service Accounts oder indirekte Schnittstellen Zugriff ermöglichen.
NIST SP 800-53 ordnet Access Control sowie Identification and Authentication als eigene Kontrollfamilien ein. Für den Einzelfall ist jedoch die tatsächlich implementierte Konfiguration maßgeblich.
Ein dokumentiertes Rollenmodell ist daher Ausgangspunkt, nicht Endpunkt der technischen Prüfung. Konfiguration, Vererbung und effektive Berechtigungen sollten soweit möglich gegengeprüft werden.
5. Technische Befunde und rechtliche Grenze
Die DSGVO nennt unter anderem Speicherbegrenzung sowie Integrität und Vertraulichkeit als Grundsätze und verlangt ein dem Risiko angemessenes Schutzniveau. Eine technische Begutachtung kann Umsetzungen, Restbestände und Zugriffswege dokumentieren.
Ob eine konkrete Verarbeitung, Frist oder Berechtigung rechtmäßig ist, erfordert zusätzlich die rechtliche und organisatorische Einordnung. Deshalb wird im Gutachten zwischen „technisch vorhanden“, „technisch entfernt“, „weiter technisch zugreifbar“ und einer rechtlichen Bewertung getrennt.
Diese Trennung verhindert sowohl eine Scheinkonformität aufgrund vorhandener Technik als auch eine unzulässige Rechtsfolgerung aus einem isolierten technischen Befund.
6. Speicherklassen und effektive Restzugänglichkeit
Für die technische Prüfung ist es sinnvoll, Speicherklassen zu unterscheiden: produktive Primärdaten, Replikate, Caches, Suchindizes, analytische Ableitungen, Logs, Backups und externe Empfängersysteme. Eine Löschoperation kann nur einzelne Klassen erfassen, während andere noch Kopien enthalten.
Bei Backups ist zwischen aktiver Zugriffsmöglichkeit und späterer Wiederherstellbarkeit zu unterscheiden. Ein Datensatz kann aus dem Produktivsystem entfernt sein und dennoch in einem Sicherungsstand fortbestehen. Ob und wann dieser Sicherungsstand überschrieben oder aus dem Rotationszyklus entfernt wird, ist eine technisch prüfbare Frage.
Zugriffsrechte werden nicht nur aus Rollennamen abgeleitet. Gruppenmitgliedschaften, Vererbungen, Service Accounts, Break-Glass-Konten, API-Schlüssel und Cloud-IAM-Regeln können effektive Rechte erzeugen, die in einer oberflächlichen Rollenliste nicht sichtbar sind.
Was bedeutet „gelöscht“ technisch?
Der Begriff kann verschiedene Zustände meinen: aus einer Anwendung nicht mehr sichtbar, logisch markiert, aus einer Datenbankzeile entfernt, kryptografisch unzugänglich gemacht oder physisch überschrieben.
Welcher Zustand relevant ist, hängt vom Speichersystem und der Fragestellung ab. Auch Replikation, Snapshots und Backups sind zu berücksichtigen.
Die DSGVO enthält rechtliche Anforderungen etwa zu Speicherbegrenzung, Löschung und Sicherheit der Verarbeitung. Die technische Untersuchung beschreibt die tatsächliche Umsetzung; die rechtliche Subsumtion bleibt davon getrennt.
Ist die Untersuchung für diesen Themenbereich nachvollziehbar abgegrenzt?
- Sind alle technisch relevanten Speicherorte und Kopienklassen erfasst?
- Ist der konkrete Löschmechanismus je System dokumentiert?
- Ist bekannt, ob Daten in Replikaten, Indizes, Logs oder Backups fortbestehen?
- Sind Retention- und Backup-Zyklen technisch nachvollziehbar?
- Wurden effektive Rechte einschließlich Gruppen, Service Accounts und administrativer Pfade geprüft?
- Sind protokollierbare Zugriffe und Berechtigungsänderungen berücksichtigt?
- Ist der technische Befund klar von der rechtlichen Datenschutzbewertung getrennt?
Konstruiertes Beispiel
Ein Nutzerkonto wird gelöscht. In der Primärdatenbank ist der Datensatz nicht mehr vorhanden, im Suchindex bleibt er jedoch bis zum nächtlichen Rebuild sichtbar und in verschlüsselten Backups bis zum Ablauf der Retention enthalten. Der technische Befund differenziert diese Speicherorte und Zeiträume, ohne daraus allein die rechtliche Zulässigkeit abzuleiten.
Das Beispiel ist konstruiert und beschreibt kein reales Mandat.
Quellen und fachliche Grundlage
- Amtliche Primärquelle DSGVO Art. 5, insbesondere Speicherbegrenzung sowie Integrität und Vertraulichkeit. Quelle öffnen.
- Amtliche technische Leitlinie NIST SP 800-53 Rev. 5 mit Kontrollfamilien Access Control, Identification and Authentication und weiteren Sicherheitskontrollen. Quelle öffnen.
- Eigene Methodik Quellen und Methodik. Quelle öffnen.
- Amtliche technische Leitlinie BSI IT-Grundschutz OPS.1.1.5 Protokollierung zu Erhebung, Speicherung, Zugriffsschutz und ordnungsgemäßer Entsorgung von Protokolldaten. Quelle öffnen.
Weiterführende Beiträge
- Datenflüsse technisch rekonstruieren
- Technische und organisatorische Maßnahmen prüfen
- Alle Beiträge in diesem Themenbereich
Eigene Fachliteratur und Veröffentlichungen
Die folgenden eigenen Arbeiten dienen der fachlichen Vertiefung und methodischen Einordnung. Sie ersetzen keine erforderlichen Primär-, Norm-, Hersteller- oder sonstigen unabhängigen Fachquellen. Unveröffentlichte Manuskripte, Entwürfe und Lehrunterlagen werden hier bewusst nicht als öffentliche Quellen ausgewiesen.
Technische Untersuchung zum Themenbereich Datenschutz & Datensicherheit
Die konkrete Aussagekraft hängt vom Untersuchungsgegenstand, der verfügbaren Evidenz und der dokumentierten Prüfmethode ab.
IT-Compliance