Löschkonzept

Anbieter: Jasmann Werk 52, Inhaber Muhammad Saeed, Elberfelder Str. 72, 42553 Velbert (Einzelunternehmen).

Grundsätze

1. Zeichnungen stehen unter der Geheimhaltung des Kunden. Sie bleiben nur so lange, wie der Kunde es festlegt – je Betrieb, für einzelne seiner Kunden auch kürzer, bis hin zur Null-Retention. Bei Null-Retention gilt das auch für die Kopie der Zeichnung im erzeugten Bericht.
2. Berichte sind Nachweise. Erzeugte Erstmusterprüfberichte löscht kein Automatismus; der Kunde braucht sie für Audit und Requalifikation. Bei Null-Retention bleibt der Bericht ohne die gestempelte Zeichnung.
3. Gelöscht heißt vom Datenträger entfernt. Nicht nur ausgeblendet. Was als Nachweis stehen bleibt (siehe unten), enthält keinen Inhalt der Datei.
4. Jede Löschung ist nachvollziehbar – im Änderungsprotokoll des Betriebs, mit Grund, Dateiklasse und Zeitpunkt, nie mit dem Inhalt.
5. Aufbewahrungspflichten gehen vor. Dateien sicherheitsrelevanter Teile (D/TLD) und Rechnungen löscht weder eine Frist noch die Null-Retention.

Dateiklassen

Jede Datei gehört zu genau einer Klasse. Die Klasse bestimmt, welche Regel gilt.

Die Aufbewahrungsfrist

• Je Betrieb stellt die Administration die Frist in der Anwendung ein (Einstellungen): 30, 90 oder 365 Tage oder unbegrenzt (Vorgabe: unbegrenzt).
• Je Kunde kann die Administration die Frist in den Kundendaten verkürzen (30, 90 oder 365 Tage) – etwa, weil die Geheimhaltungsvereinbarung eines OEM es verlangt. Eine Kundenfrist verlängert nie: Es gilt immer die kürzeste Frist unter Betrieb und Kunden, zu deren Prüfungen eine Datei gehört.
• Die Frist beginnt mit dem Hochladen der Datei und gilt für alle Dateien, auch für schon hochgeladene. Wer die Frist verkürzt, dessen ältere Zeichnungen werden beim nächsten Löschlauf entfernt; die Anwendung sagt das vor dem Speichern. Wer sie verlängert, rettet damit auch Dateien, die sonst bald fällig wären.
• Ein Löschlauf prüft stündlich, welche Dateien fällig sind, und entfernt sie vom Datenträger.
• Eine Frist von null Tagen gibt es in der Anwendung nicht: Sie löschte die Zeichnung, bevor sie gelesen ist. Wer nichts aufbewahren will, wählt die Null-Retention.

Null-Retention

Die Null-Retention schaltet die Administration für den ganzen Betrieb (Einstellungen) oder nur für einzelne Kunden (Kundendaten) ein.

Wann: sobald eine Erstmusterprüfung abgeschlossen ist, also

1. alle Merkmale im Zeichnungsprüfer (S4) geprüft sind und
2. der Bericht vollständig ausgegeben ist (eine Ausgabe der Art »vollständig«; ein Entwurf zählt nicht).

Der stündliche Löschlauf holt nach, was beim unmittelbaren Löschen nicht erledigt wurde – auch bei Prüfungen, die schon abgeschlossen waren, als die Null-Retention eingeschaltet wurde.

Grundsatz: Die gestempelte Zeichnung geht im ausgelieferten Bericht an den Kunden; unsere Kopie folgt der Null-Retention und wird nicht aufbewahrt.

Was verschwindet – und wann:

Warum die kurze Frist für die Kopie: Der Kunde muss den kompletten Bericht bekommen, bevor sie verschwindet – oft lädt er das Paket erst nach der Ausgabe herunter oder versendet es später. Mit dem Versand ist der Bericht ausgeliefert; die 7 Tage sind die Obergrenze für den, der das Paket selbst herunterlädt und ins Portal seines Kunden lädt. Die 10 Minuten nach dem Versand lassen einen Download fertig werden, der mit dem Vermerk begann. Bis dahin zeigt die Anwendung bei den Dokumenten und beim Versand: »Wegen Null-Retention wird die gestempelte Zeichnung am … gelöscht – jetzt herunterladen«, mit dem Paket zum Herunterladen.

Was bleibt:

• die geprüften Merkmale und die Messwerte in der Datenbank;
• von jedem ausgegebenen Bericht der Bericht ohne Zeichnung: dasselbe PDF, in dem jede Seite der gestempelten Zeichnung durch ein Blatt gleicher Größe ersetzt ist, das sagt, was dort stand und wann die Kopie gelöscht wurde. Seitenzahlen, Anlagenverzeichnis und Änderungsprotokoll stimmen weiter; Bilder und Schriften der Zeichnung werden nicht übernommen. Er entsteht, bevor das Gesamt-PDF gelöscht wird. Ließe sich ein Gesamt-PDF einmal nicht verarbeiten, geht die Null-Retention vor: Es wird trotzdem gelöscht, und es bleibt nur das Excel;
• die Formblätter ohne Zeichnungsbild: das Excel jeder Fassung (Messergebnisse bzw. das ausgefüllte Formblatt des Kunden);
• die Anlagen (Werkstoffzeugnisse, Messprotokolle …), die der Kunde selbst hochgeladen hat.

Danach sagt die Anwendung an jeder Stelle, die das Paket braucht, in einem Satz, dass es wegen Null-Retention nicht mehr vorliegt und was bleibt; ein Versand dieser Fassung per E-Mail ist nicht mehr möglich. Für ein neues Paket lädt der Betrieb dieselbe Zeichnung wieder hoch (siehe unten) und gibt den Bericht neu aus; die neue Fassung hat wieder ihr Paket und ihre eigene Frist.

Geteilte Zeichnung: Eine neue Vorlagestufe oder Requalifikation (Klon) teilt die Zeichnung ihres Vorgängers. Sie wird erst gelöscht, wenn jede Prüfung, zu der sie gehört, abgeschlossen ist und Null-Retention verlangt.

Wenn die Zeichnung noch einmal gebraucht wird – etwa für eine neue Fassung nach einer Rückfrage des Kunden oder für ein neues Paket –, lädt der Betrieb im Zeichnungsprüfer oder bei den Dokumenten dieselbe Datei wieder hoch; die Anwendung prüft über die Prüfsumme, dass es dieselbe ist. Mit der nächsten vollständigen Ausgabe wird sie wieder gelöscht, die Kopie im neuen Paket nach deren Frist. Bis dahin sagt die Anwendung an jeder Stelle, die das Original braucht, in einem Satz, dass und warum es fehlt.

Sicherheitsrelevante Teile (D/TLD)

Ist ein Teil als sicherheitsrelevant markiert (etwa »D« oder »D/TLD« nach Werknorm des Herstellers), sind alle Dateien seiner Erstmusterprüfungen vom automatischen Löschen ausgenommen – von der Aufbewahrungsfrist und von der Null-Retention, auch wenn für den Betrieb oder den Kunden eine kürzere Regel gilt. Hintergrund sind die langen Archivierungspflichten für solche Merkmale; vorgesehen sind 15 Jahre. Die Markierung setzt der Kunde je Teil; sie wird protokolliert. Hebt er sie auf, gilt wieder die übliche Regel.

Weitere Daten und ihre Fristen

Was nach dem Löschen einer Datei stehen bleibt

Die Zeile einer gelöschten Datei bleibt als Nachweis in der Datenbank: Dateiname, Größe, Prüfsumme, Klasse und Zeitpunkt der Löschung; der Grund (Frist oder Null-Retention) steht im Änderungsprotokoll. Der Inhalt ist entfernt. So kann ein Auditor sehen, dass eine Zeichnung zu einem Bericht gehörte und wann sie gelöscht wurde, ohne sie noch lesen zu können. Wer auch den Dateinamen nicht stehen lassen möchte, benennt die Datei vor dem Hochladen neutral.

Einzelne Berichte

Einen einzelnen Bericht oder eine einzelne Datei kann der Betrieb in der Anwendung nicht selbst löschen. Auf Weisung in Textform löscht der Anbieter sie von Hand. Eine entfernte Anlage verschwindet aus dem nächsten Bericht; ihre Datei bleibt verschlüsselt in der Ablage, bis der Betrieb gelöscht wird.

Sicherungen

• Täglich um 02:30 Uhr eine vollständige, mit age verschlüsselte Sicherung von Datenbank und Dateiablage.
• Auf dem Server 14 Tage; alte Stände werden erst nach einer gelungenen neuen Sicherung gelöscht. Eine gelöschte Datei ist damit spätestens nach 14 Tagen auch aus den Sicherungen auf dem Server verschwunden.
• Der Anbieter holt die Sicherungen verschlüsselt auf seinen Arbeitsrechner in Deutschland. Dort gilt dieselbe Frist: höchstens 14 Tage, danach löscht das Abholskript den Stand selbst; weitere Kopien (etwa auf einer externen Platte) folgen derselben Regel. Zugriff auf die Sicherungen hat nur der Inhaber; der Schlüssel zum Entschlüsseln liegt nicht auf dem Server.
• Nach dem Löschen eines Betriebs oder einer Datei stecken deren Daten daher noch bis zu 14 Tage in verschlüsselten Sicherungen; danach sind sie überschrieben.
• Eine Sicherung wird nur zur Wiederherstellung geöffnet, nie, um einzelne Daten daraus zu lesen. Wird eine Sicherung zurückgespielt, wiederholt der Anbieter jede Löschung eines ganzen Betriebs, die seit dem Stand der Sicherung geschah; Fristen und Null-Retention wendet der Löschlauf in der ersten Stunde von selbst wieder an.

Ende des Vertrags: Löschen eines ganzen Betriebs

• Bis zum Vertragsende kann der Kunde jederzeit alle Berichte als PDF, Excel und ZIP herunterladen (bei Null-Retention nach Ablauf der kurzen Frist den Bericht ohne Zeichnung und das Excel).
• Nach Vertragsende bleiben die Daten Frist für die Herausgabe – vom Betreiber festzulegen (A15) zur Herausgabe bereit. Danach löscht der Anbieter den Betrieb mit einem eigenen Befehl der Betreiberkonsole. Er zeigt zuerst in einem Trockenlauf, was gelöscht würde (Zugänge, Prüfungen, Zeichnungen, Dateien und ihr Umfang), und löscht erst nach einer ausdrücklichen Bestätigung.
• Gelöscht werden alle Datenbankzeilen des Betriebs – Zugänge, Kunden, Teile, Prüfungen, Merkmale, Messwerte, Berichte, Schnittstellenschlüssel, Einladungen, Abonnement und das Änderungsprotokoll – sowie alle Dateien seiner Ablage.
• Krypto-Löschung: Die Dateien des Betriebs sind mit seinem eigenen Datenschlüssel verschlüsselt. Dieser Schlüssel wird ersetzt und steht danach nirgends mehr in der Datenbank; eine Datei des Betriebs, die irgendwo übrig bliebe, lässt sich ohne ihn nicht lesen.
• Was bleibt – gesetzliche Aufbewahrungspflicht: die Rechnungen, die der Anbieter dem Betrieb gestellt hat, unverändert und samt PDF und XRechnung (§ 147 AO, § 14b UStG). Sie werden mit einem neuen Schlüssel neu verschlüsselt, der nur noch sie öffnet. Name und Anschrift des Betriebs stehen, wie gesetzlich verlangt, in den Rechnungen selbst; in den übrigen Daten sind sie entfernt. Ein Zugang, der eine Rechnung ausgelöst hat, bleibt als leere Hülle ohne Namen, E-Mail-Adresse und Kennwort stehen, weil die unveränderliche Rechnung auf ihn verweist. Der Betrieb selbst bleibt als leere Hülle mit seiner Kennung und dem Vermerk »gelöscht«.
• Löschnachweis: An die Stelle des Änderungsprotokolls tritt ein einziger Eintrag: Datum, Kennung, was gelöscht wurde (Zählungen), welche Rechnungen bleiben, und Länge und Prüfsumme der gelöschten Protokollkette. Der Anbieter erhält denselben Nachweis auf dem Bildschirm und bestätigt dem Kunden die Löschung damit in Textform.
• Sicherungen: Der Datenschlüssel des Betriebs steht verpackt in der Datenbank und damit in jeder Sicherung, zusammen mit den Dateien. Sicherungen von vor dem Löschtag enthalten die Daten deshalb noch, bis sie ablaufen (14 Tage auf dem Server; Kopien beim Anbieter siehe oben). Die Krypto-Löschung wirkt auf den laufenden Bestand und alle späteren Sicherungen, nicht rückwirkend auf ältere.
• Nach Ablauf der gesetzlichen Frist löscht der Anbieter auch die Rechnungen und die Hülle des Betriebs (Handgriff, siehe offene Punkte).

Übersicht der offenen Punkte