Zum Inhalt

ADR-017: Tenant-Offboarding und operative Datenlöschung

Stand: 08.08.2026 13:40 Branch: main Status: Akzeptiert

Datum, Uhrzeit Version Änderung Autor
08.08.2026 13:40 1.0 V1-Offboarding mit 30 Tagen Exportzugang und operativer Löschung spätestens nach 90 Tagen festgelegt Codex

Kontext

Nach dem Ende eines Tenant-Vertrags müssen der Zugang gesperrt, die Rückgabe operativer Daten ermöglicht und nicht mehr erforderliche Daten kontrolliert gelöscht oder irreversibel anonymisiert werden. Vertrags-, Audit- und Löschungsnachweise unterliegen eigenen Aufbewahrungsfristen.

Die 90-Tage-Frist ist eine fachlich und vertraglich festgelegte Höchstfrist von DiveLogix360. Sie ist keine allgemeine gesetzliche Aufbewahrungsfrist. Gesetzliche Pflichten und dokumentierte Aufbewahrungssperren bleiben vorbehalten.

Entscheidung für V1

  1. Zum wirksamen Vertragsende wechselt der Tenant in den fachlichen Status offboarding_export.
  2. Reguläre Anmeldung, Änderungen, Einladungen, Hintergrundverarbeitung und produktive Schnittstellen werden sofort gesperrt. Bestehende Sitzungen und Token werden widerrufen.
  3. Für 30 Kalendertage erhält ausschliesslich ein verifizierter Tenant-Admin einen eingeschränkten Exportzugang. Andere Benutzer bleiben gesperrt.
  4. Der Export wird als ZIP-Paket mit maschinenlesbaren CSV- und JSON-Daten, zugehörigen Dateien und einem Integritätsmanifest bereitgestellt. Erstellung und Download werden protokolliert; der einzelne Downloadlink ist zeitlich befristet und widerrufbar.
  5. Nach Ablauf der 30 Tage endet jeder Tenant-Zugang. Bis längstens Tag 90 bleiben operative Daten zugriffsbeschränkt und dürfen nur für Support, Streitklärung oder eine genehmigte Wiederaufnahme verwendet werden.
  6. Spätestens 90 Kalendertage nach Vertragsende werden operative Tenant-, Profil-, Onboarding- und Kontodaten gelöscht oder irreversibel anonymisiert, soweit keine speziellere Aufbewahrungsfrist oder ein dokumentierter legal_hold gilt.
  7. Eine Reaktivierung ist nur vor der irreversiblen Löschung, nach administrativer Prüfung und mit gültiger Vertragsgrundlage möglich. Sie reaktiviert den bestehenden Datensatz und erzeugt keinen neuen Tenant.
  8. Globale E-Mail-Adressen bleiben während Sperrung und Offboarding reserviert. Eine Freigabe nach irreversibler Löschung erfolgt ausschliesslich über einen kontrollierten administrativen Prozess gemäss ADR-011.
  9. Vertragsnachweise, Audit-, Sicherheits- und Löschungsprotokolle werden nicht pauschal mit den operativen Daten gelöscht, sondern nach der zentralen Fristenmatrix behandelt.
  10. Gelöschte Primärdaten laufen innerhalb von höchstens 35 Tagen aus rollierenden Backups aus und dürfen bei einer Wiederherstellung nicht unkontrolliert reaktiviert werden.

Benachrichtigungen

  • Der Tenant erhält vor Vertragsende eine Bestätigung mit Enddatum, Exportfrist und Löschzeitpunkt.
  • Erinnerungen erfolgen sieben Tage vor Ende des Exportzugangs und unmittelbar nach dessen Ablauf.
  • Nach erfolgreichem Löschlauf erhält der Vertragspartner eine minimierte Löschbestätigung ohne gelöschte Inhaltsdaten.
  • Fehlgeschlagene Exporte oder Löschläufe werden an Operations eskaliert und im Löschungsprotokoll nachgeführt.

Technische Konsequenzen

  • Das bestehende Prisma-Enum TenantStatus bildet offboarding_export und retention_only noch nicht ab und muss erweitert oder durch ein separates Lifecycle-Modell ergänzt werden.
  • Statuswechsel benötigen Enddatum, Exportfrist, Löschfrist, Grund, ausführende Person und Zeitpunkte.
  • Ein tenantweiter Sperrmechanismus muss Anmeldung, Token, Schreibzugriffe, Jobs und Integrationen erfassen.
  • Exporterzeugung, kurzlebige Downloadlinks, Zugriffskontrolle, Integritätsmanifest und Auditierung sind umzusetzen.
  • Ein täglicher, wiederholbarer Löschlauf muss Fristen, legal_hold, Providerdaten, Objektspeicher und Backup-Auslaufen kontrollieren.
  • OpenAPI, Backend, Berechtigungstests, End-to-End-Tests und Wiederherstellungstests sind anzupassen.

Verknüpfte Regeln