Zum Inhalt

DiveLogix360 – Speicher- und Aufbewahrungsfristen

Stand: 09.08.2026 13:04 Branch: main Status: Fachlich freigegeben

Datum, Uhrzeit Version Änderung Autor
09.08.2026 13:04 1.2 RF-03 als vorläufige DACH-Vertragsnachweisfrist präzisiert und juristisches Prüfbriefing verknüpft Codex
08.08.2026 13:40 1.1 30-tägigen Exportzugang und operative Höchstfrist von 90 Tagen mit ADR-017 verbindlich ausgestaltet Codex
08.08.2026 11:57 1.0 Verbindliche V1-Fristen für UC00-Daten, Protokolle, Token, Vertragsnachweise, E-Mail-Nachweise und Backups festgelegt Codex

Zweck: Verbindliche V1-Matrix für Speicherung, Sperrung, Anonymisierung und Löschung der in UC00 verarbeiteten Daten.
Rechtsvorbehalt: Die Fristen sind eine fachliche Produktentscheidung auf Grundlage von Speicherbegrenzung, Sicherheitsinteressen und länderübergreifenden Nachweisanforderungen. RF-03 ist keine Behauptung einer in allen DACH-Ländern identischen gesetzlichen Mindestfrist. Konkrete gesetzliche Pflichten und die Vertragsvorlage müssen vor Produktivbetrieb anhand des juristischen Prüfbriefings für Deutschland, Schweiz und Österreich bestätigt werden.
Begriffe: Aufbewahrung bedeutet eine zweckgebundene, zugriffsbeschränkte weitere Speicherung. Löschung bedeutet die irreversible Entfernung aus dem aktiven System; Daten in rollierenden Backups laufen anschliessend nach der Backupfrist aus.

1. Verbindliche Grundregeln

  • Jede Frist besitzt einen eindeutigen Startzeitpunkt. Fristen beginnen mit dem auslösenden Ereignis, sofern für gesetzlich relevante Unterlagen nicht ausdrücklich das Ende des Kalender- oder Geschäftsjahres massgeblich ist.
  • Ein aktiver Rechtsstreit, eine behördliche Anordnung oder eine dokumentierte gesetzliche Pflicht kann die planmässige Löschung als legal_hold aussetzen. Der Zugriff bleibt gesperrt und der Grund wird mindestens jährlich geprüft.
  • Die längere Frist einer anderen Datenkategorie darf nicht pauschal auf den gesamten Datensatz übertragen werden. Vertragsnachweise werden deshalb von Konto-, Profil- und Sicherheitsdaten getrennt.
  • Nach Fristablauf löscht ein kontrollierter, wiederholbarer Prozess die Daten oder anonymisiert sie irreversibel. Erfolg, Fehler und Aufbewahrungssperren werden minimiert protokolliert.
  • Provider dürfen keine längeren Standardfristen verwenden. Kürzere technisch mögliche Fristen werden bevorzugt und im Providerregister nachgewiesen.

2. Fristenmatrix für UC00

ID Datenkategorie Verbindliche V1-Frist Fristbeginn Aktion nach Frist Begründung
RF-01 Unvollständige Tenant-Vorbereitung, Geschäftskontakt und Vertragsentwurf ohne Abschluss 90 Tage Letzte fachliche Aktivität oder Ablauf des Vertragstokens Datensatz und Entwurf löschen; minimierter Löschhinweis nach RF-16 Vertragsanbahnung und Datenminimierung
RF-02 Abgelehnter Vertragsvorgang einschliesslich hochgeladener, nicht akzeptierter PDF-Kopie 90 Tage Ablehnung oder endgültiger Abbruch PDF und operative Metadaten löschen; Sicherheitsereignisse separat nach RF-11 Klärungs- und Einspruchszeitraum ohne dauerhafte Archivierung
RF-03 Akzeptierter, ersetzter oder beendeter Auftragsverarbeitungsvertrag (AVV), Parteiensnapshot, PDF, Hash, Version und Abschlussnachweis Vorläufig 10 Jahre Ende des Kalenderjahres, in dem das Vertragsverhältnis endet Löschen, sofern kein legal_hold besteht Einheitliche konservative DACH-Vertragsnachweisfrist; keine identische gesetzliche Mindestfrist; juristisch zu bestätigen
RF-04 Vertragskontakt- und Unterzeichnerdaten innerhalb des unveränderlichen Vertragsnachweises Wie RF-03 Wie RF-03 Mit Vertragsnachweis löschen Bestandteil des Abschluss- und Vertretungsnachweises
RF-05 Aktive Tenant-, Schulprofil- und Onboarding-Daten Dauer des Vertragsverhältnisses Vertragsbeginn Nach Vertragsende gemäss Offboarding sperren; operative Daten spätestens nach 90 Tagen löschen oder anonymisieren, sofern keine andere Kategorie greift Leistungserbringung; Details in UC00-07-04
RF-06 Aktives Benutzerkonto, Rollen-, 2FA- und Kontostammdaten Dauer der Kontoberechtigung Kontoaktivierung Bei Deaktivierung sofort sperren und Geheimnisse widerrufen; Stammdaten spätestens nach 90 Tagen löschen oder anonymisieren, sofern kein Vertrag-/Auditnachweis betroffen ist Kontobetrieb und kurzer Reaktivierungszeitraum
RF-07 Einladungstoken-Hash und Vertragstoken-Hash Gültigkeit plus 30 Tage Ablauf, Verwendung oder Widerruf, je nachdem was zuerst eintritt Hash löschen; Ereignis ohne Token nach RF-11 oder RF-12 weiterführen Wiederverwendungserkennung und Missbrauchsklärung
RF-08 Refresh-Token-Hash Bis Ablauf oder Widerruf plus 30 Tage Ablauf oder Widerruf Hash und tokenbezogene Metadaten löschen Begrenzte Wiederverwendungserkennung
RF-09 Recovery-Code-Hash Bis Verwendung, Ersetzung oder 2FA-Reset plus 30 Tage Verwendung, Ersetzung oder Reset Hash löschen; minimiertes Ereignis nach RF-11 Einmaligkeit und Missbrauchsklärung
RF-10 Temporäre 2FA-Sitzung Höchstens 10 Minuten; fehlerhafte oder verbrauchte Sitzung höchstens 24 Stunden gesperrt Erstellung beziehungsweise Verbrauch Vollständig löschen Kurzlebiger technischer Übergangszweck
RF-11 Authentifizierungs- und plattformweite Sicherheitsprotokolle 6 Monate Ereigniszeitpunkt Löschen oder irreversibel aggregieren; vollständige IP-Adresse nach 30 Tagen kürzen oder löschen Missbrauchserkennung und Sicherheitsanalyse
RF-12 Allgemeine Audit-Protokolle für fachliche und administrative Änderungen 3 Jahre Ereigniszeitpunkt Löschen oder irreversibel anonymisieren Rechenschaft, Fehler- und Anspruchsklärung
RF-13 Vertragsrelevante Audit- und Zugriffsnachweise Wie RF-03 Ende des Kalenderjahres des Vertragsendes Mit Vertragsnachweis löschen Integritäts- und Zugriffsnachweis zum Vertrag
RF-14 Access-Protokolle ohne Vertragsbezug, insbesondere sensible Lese-, Export- und Supportzugriffe 1 Jahr Zugriffszeitpunkt Löschen oder irreversibel anonymisieren Sicherheitskontrolle bei begrenztem Personenbezug
RF-15 Technische Systemprotokolle 30 Tage; sicherheitsrelevante Auszüge nach RF-11 Ereigniszeitpunkt Löschen oder irreversibel aggregieren Betrieb und Fehleranalyse
RF-16 Minimierte Lösch- und Anonymisierungsnachweise 3 Jahre Ausführung des Vorgangs Löschen Rechenschaft ohne gelöschte Inhaltsdaten; kein pauschaler Zehnjahreszeitraum
RF-17 Minimierte E-Mail-Versandnachweise 90 Tage Versandabschluss oder endgültiger Fehler Löschen oder irreversibel aggregieren Zustell- und Fehlerklärung
RF-18 Nachrichteninhalt beim E-Mail-Provider Höchstens 7 Tage, bevorzugt keine persistente Speicherung Versandannahme Löschen Providerzustellung bei strikter Minimierung
RF-19 Produktive Point-in-Time-Recovery-Daten 7 Tage rollierend Erzeugung Automatisch überschreiben/löschen Kurzfristige Wiederherstellung bei RPO ≤ 1 Stunde
RF-20 Verschlüsselte Datenbank- und Objekt-Backups 35 Tage rollierend Backuperstellung Automatisch und nachweisbar löschen Wiederherstellung und ausreichende Fehlerentdeckung
RF-21 Fehlgeschlagene oder quarantänisierte Uploads Höchstens 24 Stunden Upload oder Scanfehler Datei vollständig löschen; minimiertes Ereignis nach RF-11/RF-15 Kein fachlicher Speicherzweck
RF-22 Test- und Demo-Tenant mit ausschliesslich synthetischen Daten Laufzeit plus 30 Tage; spätestens nach 90 Tagen Inaktivität Testende oder letzte Aktivität Tenant und Daten vollständig löschen Umgebungsbereinigung; Produktivdaten bleiben unzulässig

3. Reihenfolge bei Deaktivierung und Vertragsende

  1. Konten und Sitzungen werden sofort gesperrt; aktive Token und Geheimnisse werden widerrufen.
  2. Für 30 Kalendertage erhält ausschliesslich ein verifizierter Tenant-Admin einen eingeschränkten Exportzugang; reguläre Nutzung und alle anderen Benutzer bleiben gesperrt.
  3. Spätestens nach 90 Tagen werden Konto-, Profil- und Onboarding-Daten gelöscht oder irreversibel anonymisiert, soweit keine spezifische Aufbewahrungskategorie oder ein legal_hold greift.
  4. Vertragsnachweise und unmittelbar zugehörige Auditdaten verbleiben getrennt und gesperrt nach RF-03/RF-13.
  5. Gelöschte Primärdaten laufen innerhalb von höchstens 35 Tagen aus rollierenden Backups aus und werden nicht selektiv in den Produktivbestand zurückgespielt.

Der konkrete Export, die Benachrichtigung, die Reaktivierung und die Behandlung reservierter globaler E-Mail-Adressen sind in ADR-017 festgelegt. Die 90 Tage sind eine fachlich-vertragliche Höchstfrist und keine allgemeine gesetzliche Aufbewahrungsfrist.

4. Technische Umsetzung und Kontrolle

  • Jede aufbewahrungsrelevante Entität erhält, soweit erforderlich, retentionClass, retainUntil, retentionReason und optional legalHoldUntil oder eine gleichwertige zentral berechnete Regel.
  • Ein täglicher Retention-Job ermittelt fällige Datensätze, verarbeitet abhängige SQL-Daten und Objekte gemeinsam und ist idempotent.
  • Fehlgeschlagene Löschungen lösen einen Alarm aus und werden erneut versucht. Manuelle Fristverlängerungen ohne freigegebenen Grund sind unzulässig.
  • Monatlich wird ein Löschlauf fachlich und technisch stichprobenartig geprüft; quartalsweise wird das Zusammenspiel mit Providerlöschung und Backups nachgewiesen.
  • Statistische Kennzahlen dürfen nach Fristablauf nur weiterbestehen, wenn eine Reidentifikation vernünftigerweise ausgeschlossen ist.

5. Rechtsquellen und Prüfgrundlage

Die länderbezogenen handels- und steuerrechtlichen Quellen begründen nicht automatisch die Speicherung jeder UC00-Datenkategorie. Vor Produktivbetrieb ist insbesondere zu bestätigen, welche Vertragsunterlagen DiveLogix360 selbst in welcher Rolle aufbewahren muss. Die geplante Schweizer Unternehmensform, Dokumentkategorien und konkreten Freigabefragen sind im juristischen Prüfbriefing zusammengeführt.