Müssen personenbezogene Daten sofort aus allen Backups gelöscht werden?

Nicht immer. Zunächst ist zu klären, ob Artikel 17 eine Löschung verlangt und ob eine seiner Ausnahmen greift. Aktive und sicher bearbeitbare Kopien sind ohne unangemessene Verzögerung einzubeziehen. Bei integritätsgeschützten Wiederherstellungssätzen können echte Isolation, belegtes Auslaufen und eine verbindliche erneute Löschung nach jeder Wiederherstellung die angemessene technische Umsetzung bilden.

Nimmt die DSGVO Backups generell vom Recht auf Löschung aus?

Nein. Die DSGVO kennt keine allgemeine Ausnahme für eine Datei, nur weil sie als Backup bezeichnet wird. Maßgeblich sind Funktion und Änderbarkeit der Kopie, die Rechtsgrundlage der weiteren Speicherung und die Ausnahmen des Artikels 17. Ein gewöhnliches Replikat oder durchsuchbares Archiv kann aktiv sein, obwohl das Technikteam dafür den Begriff Sicherung verwendet.

Welche Gründe lösen das Recht auf Löschung aus?

Artikel 17 erfasst unter anderem nicht mehr erforderliche Daten, einen wirksamen Widerruf ohne andere Rechtsgrundlage, einen erfolgreichen Widerspruch, unrechtmäßige Verarbeitung und eine rechtliche Löschungspflicht. Hinzu kommen bestimmte Daten, die im Zusammenhang mit Diensten der Informationsgesellschaft für ein Kind erhoben wurden. Jeder Grund benötigt einen eigenen, zum konkreten Verarbeitungszweck passenden Nachweis.

Kann eine gesetzliche Aufbewahrungspflicht die Löschung ausschließen?

Sie kann die weitere Speicherung nur für die Daten rechtfertigen, die zur Erfüllung der konkreten Pflicht erforderlich sind. Das Unternehmen sollte die tatsächliche unionsrechtliche oder mitgliedstaatliche Vorschrift, betroffene Felder, Umfang und Entscheidungsverantwortlichen festhalten. Eine einheitliche EU-weite Aufbewahrungsfrist, die automatisch den gesamten Datensatz und alle seine Kopien schützt, gibt es nicht.

Reicht die automatische Backup-Rotation als Löschverfahren aus?

Nicht für sich allein. Der Rotationsplan muss mit dem einzelnen Antrag, einem benannten Sicherungssatz, einem belegten Ablaufereignis und einer Wiederherstellungsanweisung verbunden sein. Eine geplante Überschreibung beweist noch keine ausgeführte Löschung. Lange Intervalle benötigen eine evidenzbasierte Bewertung; der EDSA-Bericht gibt dafür keine allgemeingültige maximale Dauer vor.

Was geschieht nach der Wiederherstellung mit bereits gelöschten Daten?

Die wiederhergestellte Umgebung bleibt isoliert, bis das Löschregister ausgewertet wurde. Positive Treffer werden erneut gelöscht; eng begrenzte Aufbewahrungsausnahmen werden getrennt behandelt. Anschließend sind nachgelagerte Replikate, Caches und Exporte zu kontrollieren. Erst nach dokumentiertem Ergebnis und Bestätigung durch Antrags- sowie Wiederherstellungsverantwortlichen darf die Umgebung in den gewöhnlichen Betrieb wechseln.

Müssen personenbezogene Daten aus Backups gelöscht werden?

Beide pauschalen Antworten sind falsch. Nicht jedes Wiederherstellungsmedium muss stets sofort verändert werden, aber Backups sind auch nicht automatisch von der DSGVO ausgenommen. Zuerst ist zu entscheiden, ob Artikel 17 eine Löschung verlangt. Danach werden alle Kopien klassifiziert, einschlägige Maßnahmen ohne unangemessene Verzögerung durchgeführt und eine spätere Wiedereinführung der Daten verhindert ¹^,3.

Kurzantwort Müssen personenbezogene Daten aus Backups gelöscht werden? Das hängt von der rechtlichen Entscheidung und der Funktion jeder Kopie ab. Aktive oder sicher bearbeitbare Kopien sind zu löschen. Integritätsgeschützte Wiederherstellungssätze können isoliert bis zum belegten Auslaufen bestehen bleiben, wenn ein Register die erneute Löschung nach jeder Wiederherstellung verbindlich auslöst ¹^,3.

Zuletzt aktualisiert: 24. September 2026

Die Bezeichnung „Backup“ entscheidet nichts

Eine Kopie ist nach ihrer Funktion zu beurteilen, nicht nach dem Ordnernamen. Ein laufendes Replikat, eine sicher bearbeitbare Momentaufnahme und ein gegen Veränderungen geschützter Wiederherstellungssatz benötigen unterschiedliche Maßnahmen. Zuvor stehen jedoch Löschgrund und Ausnahme fest; die technischen Eigenschaften kommen erst im zweiten Schritt ³.

Kopienart	Angemessene Maßnahme	Erforderlicher Nachweis
Aktives System oder gewöhnliches Replikat	Daten löschen oder wirksam beschränken und das Ergebnis prüfen.	Felder, Vorgang und Ergebnis der Kontrolle.
Sicher bearbeitbares Backup	Kontrolliert ändern, ohne die Nutzbarkeit der Sicherung zu beschädigen.	Satzkennung, Methode, Ergebnis und Integritätsprüfung.
Integritätsgeschützter Wiederherstellungssatz	Vom Normalbetrieb isolieren, Ablauf und Wiederherstellungskontrolle festlegen.	Isolation, Frist, Anweisung und spätere Verifikation.
Ausnahme nach Artikel 17	Nur den eng erforderlichen Umfang aufbewahren.	Konkrete Grundlage, Felder, Zeitraum und Entscheidungsverantwortlicher.

Ein gewöhnliches Replikat, in dem ein Kundendatensatz abgefragt oder erneut in Produktion eingesetzt werden kann, bleibt aktiv. Daran ändert die Bezeichnung als Backup nichts. Bei einem unveränderbaren Wiederherstellungssatz kann dagegen der gezielte Eingriff die Verlässlichkeit der gesamten Sicherung beeinträchtigen. Integrität beseitigt die Pflicht nicht, beeinflusst aber deren sichere technische Umsetzung.

Der Antragsverantwortliche muss die rechtliche Entscheidung in benannte Kopien übersetzen: Welche Systeme sind aktiv, welcher Sicherungssatz ist sicher bearbeitbar und welcher bleibt wegen seiner Integrität isoliert? Der Wiederherstellungsverantwortliche bestätigt für jeden Satz Eigentümer, Ablaufereignis und Handlung vor der Betriebsfreigabe. Ein gemeinsames Register übergibt die Entscheidung zwischen beiden Rollen und führt das Prüfergebnis zurück. Fehlt diese Rückkopplung, können gelöschte Daten zurückkehren, obwohl jedes Team seinen isolierten Arbeitsschritt korrekt ausgeführt hat.

Die Klassifizierung muss sich am tatsächlichen Zugriff beweisen. Kann der Kundendienst einen Datensatz im „Archiv“ öffnen, eine Adresse übernehmen und im Tagesgeschäft verwenden, ist diese Kopie nicht isoliert; würde hingegen jede Einzeländerung die Verifikation eines gesamten Mediums ungültig machen, sollte der Eintrag den konkreten Integritätsmechanismus nennen und nicht bloß die Einschätzung eines Systemadministrators wiederholen.

Der Löschgrund nach Artikel 17 muss feststehen

Der Antrag einer Person ist noch keine vollständige Löschentscheidung. Die Identität wird verhältnismäßig bestätigt, der Umfang bestimmt und die Systeme werden mit passenden Identifikatoren durchsucht. Anschließend ist jeder mögliche Grund gesondert zu prüfen, weil ein beendeter Zweck einen anderen Nachweis verlangt als der Widerruf einer Einwilligung ³. Artikel 17 nennt insbesondere:

Die Daten sind für die Zwecke ihrer Erhebung oder sonstigen Verarbeitung nicht mehr notwendig.
Die Person widerruft ihre Einwilligung und es fehlt an einer anderen Rechtsgrundlage.
Ein Widerspruch ist erfolgreich oder richtet sich gegen Direktwerbung.
Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.
Eine Löschung ist zur Erfüllung einer unionsrechtlichen oder mitgliedstaatlichen Rechtspflicht erforderlich.
Die Daten wurden im Zusammenhang mit Diensten der Informationsgesellschaft gemäß Artikel 8 Absatz 1 erhoben.

Bei „nicht mehr notwendig“ sollte der Eintrag den beendeten Zweck und die dazugehörigen Systeme nennen. Nach einem Widerruf ist zu prüfen, ob eine andere Rechtsgrundlage gerade den betroffenen Zweck trägt und nicht lediglich einen anderen Teil des Profils. Beim Widerspruch müssen Art und Prüfergebnis feststehen. Ein einzelner Antrag wird so nicht zu einem unbegründeten Befehl, wahllos alles zu löschen.

Die Suche darf frühere Identifikatoren nicht übersehen. Eine Person kann E-Mail-Adresse, Kundennummer oder Namen geändert haben, während ein älterer Sicherungssatz noch den früheren Wert enthält. Das Register kann die minimal erforderlichen verknüpften Suchmerkmale aufnehmen, ohne dadurch eine neue umfassende Personendatei zu erzeugen. Weniger reicht hier oft nicht.

Auch der Antragsumfang ist aufzuteilen. Die Schließung eines Shop-Kontos muss einen auf konkreter Rechtsgrundlage aufbewahrten Abrechnungsbeleg nicht erfassen, kann aber ein unabhängiges Empfehlungsprofil sehr wohl betreffen; jeder Suchtreffer führt daher zu „löschen“, „eng begrenzte Ausnahme“ oder „kein Treffer“, jeweils mit einer kurzen Begründung, die zum benannten Zweck passt.

Das Ergebnis der Suche ist ein Kopieninventar. Es umfasst Produktion, durchsuchbare Archive, gewöhnliche Replikate, Arbeitsauszüge, Caches und benannte Wiederherstellungssätze. Das Inventar verbindet jede Kopie mit Funktion, Eigentümer und Maßnahme. Ohne diese Zuordnung lässt sich weder vollständige Löschung noch begrenzte Aufbewahrung nachweisen ³.

Ausnahmen schützen nur den notwendigen Umfang

Artikel 17 enthält Ausnahmen, doch keine davon ist ein pauschaler Datenbankstatus. Zu beurteilen sind der konkrete Aufbewahrungszweck und der dafür erforderliche Datenumfang ³. Die Kategorien betreffen Meinungsäußerung und Information, Rechtspflicht oder öffentliche Aufgabe, öffentliches Gesundheitsinteresse, Archivierung, Forschung oder Statistik nach Artikel 89 sowie Rechtsansprüche.

Mögliche Ausnahme	Nachweis des Umfangs	Ergebnis
Meinungsäußerung und Information	Beschreibung der kollidierenden Rechte und des benötigten Materials	Nur den für den geschützten Zweck erforderlichen Umfang behalten.
Rechtspflicht oder öffentliche Aufgabe	Maßgebliche Vorschrift, Daten, Zeitraum und Verantwortlicher	Nur die von der tatsächlichen Regel erfassten Felder behalten.
Öffentliches Gesundheitsinteresse	Konkrete Grundlage und von den DSGVO-Bedingungen erfasster Zweck	Zugang und weitere Nutzung auf diesen Zweck begrenzen.
Archivierung, Forschung oder Statistik nach Artikel 89	Ernsthafte Beeinträchtigung des Zwecks und vorhandene Garantien	Nur notwendiges Material mit Schutzmaßnahmen behalten.
Rechtsansprüche	Anspruch, Beweisumfang, Verantwortlicher und Prüftermin	Daten absondern und bis zum begründeten Ende beschränken.

Insbesondere Artikel 17 Absatz 3 Buchstabe b schafft keine abstrakte „gesetzliche Aufbewahrung“. Das Unternehmen muss die tatsächliche Vorschrift des Unionsrechts oder des Rechts eines Mitgliedstaats, die betroffenen Daten und den Entscheidungsverantwortlichen nennen. Eine erfundene EU-weit einheitliche Aufbewahrungsdauer für Rechnungen, Beschäftigtendaten oder andere national geregelte Unterlagen wäre nicht belastbar.

Verlangt eine Vorschrift die Aufbewahrung eines Abrechnungsbelegs, schützt dies nicht automatisch das gesamte Marketingprofil. Die Ausnahme ist in Felder und Kopien zu übersetzen. Ein Teil kann gelöscht werden, während ein eng begrenzter Satz getrennt und zugriffsbeschränkt bleibt. Diese Trennung ist das Ergebnis der rechtlichen Prüfung, keine technische Umgehung ³. Der nächste Prüftermin sollte an das Ende des tatsächlichen Bedarfs anknüpfen, damit eine einmal festgehaltene Ausnahme nicht unbegrenzt weiterläuft. Endet etwa ein Rechtsstreit früher, meldet der Anspruchsverantwortliche dies an den Löschprozess zurück.

Aktive Kopien warten nicht auf die Rotation

Produktion, durchsuchbares Archiv, gewöhnliches Replikat, Cache oder Arbeitsauszug können aktive Kopien sein. Ihr Etikett ändert das nicht, wenn die Daten weiterhin im normalen Geschäft verwendet werden. Für jede Kopie sind die betroffenen Felder festzulegen, Löschung oder begründete Beschränkung auszuführen, Abwesenheit zu prüfen und Empfänger angemessen einzubeziehen.

„Ohne unangemessene Verzögerung“ ist keine erfundene, für jede Technik gleiche Frist ³. Priorität und Ablauf hängen von Löschgrund, Risiko, Systemzahl und realen Abhängigkeiten ab. Ein offener Schritt braucht trotzdem einen Verantwortlichen und einen Kontrolltermin. Ein Betriebsplan darf die Rechtspflicht nicht in eine unbegrenzte Warteschlange verwandeln.

Ein kompakter Abschlussdatensatz enthält Antragskennung, System, Felder und Suchmerkmale, angewandte Maßnahme, Zeitpunkt, Ausführenden, Verifikation und Empfängerbehandlung. Ein teilweises oder fehlgeschlagenes Ergebnis bleibt offen. Der Status „erledigt“ wird erst dann wahr, wenn neben der Aktion auch ihre Kontrolle dokumentiert ist.

Die Verifikation sollte dieselbe Suchlogik wie das Kopieninventar verwenden, darf sich aber nicht auf die Meldung „erfolgreich“ eines Werkzeugs verlassen. Eine Stichprobe verknüpfter Kennungen zeigt, ob Daten wirklich entfernt oder lediglich in der Oberfläche verborgen wurden. Läuft die Löschung asynchron, bleibt der Vorgang bis zur Ausführungsbestätigung im Zielsystem offen. Eine Warteschlange ist kein Abschluss.

Integrität braucht eine verbindliche Wiederherstellungskontrolle

Die Änderung einer einzelnen Datei kann die Integrität eines Wiederherstellungssatzes beeinträchtigen. Der EDSA-Bericht erkennt diese praktische Schwierigkeit und beschreibt als Reaktion die Verfolgung von Anträgen mit erneuter Anwendung nach einer Wiederherstellung ¹. Daraus folgt keine Erlaubnis, die enthaltenen Daten bis zur Rotation gewöhnlich zu nutzen.

Registerfeld	Zu dokumentierender Inhalt
Antragskennung	Minimale interne Kennung, die die Entscheidung ohne unnötige Daten verbindet.
Abgleichsmerkmale	Felder, die den Datensatz nach einer Wiederherstellung sicher erkennen lassen.
Sicherungssatz	Eindeutige Bezeichnung, umfasste Systeme und Erstellungsdatum.
Integritätsentscheidung	Warum eine sichere Änderung möglich ist oder den Satz beeinträchtigen würde.
Kontrolle der Normalnutzung	Isolation, Berechtigungen und Verbot der ungeprüften Produktionsanbindung.
Ablaufereignis	Konkretes Datum oder Rotationsereignis samt Ausführungsnachweis.
Wiederherstellungsmaßnahme	Schritte für erneuten Abgleich, Löschung und Behandlung von Ausnahmen.
Verifikation	Ergebnis, Zeitpunkt, Ausführender und Bestätigungen beider Verantwortlicher.

Das Register sollte nur Merkmale enthalten, die für den späteren Abgleich erforderlich sind. Zugriff erhalten die mit Löschanträgen und Wiederherstellungen befassten Personen, nicht das gesamte Technikteam. Echte Isolation bedeutet, dass der Satz weder durchsucht noch an die Produktion angeschlossen wird, bevor ein kontrolliertes Wiederherstellungsereignis beginnt.

Auch das Auslaufen braucht einen Nachweis. Der Rotationsplan beschreibt die Zukunft; ein Ausführungsprotokoll belegt, dass ein alter Satz tatsächlich nicht mehr besteht. Enthalten neue Sicherungen die bereits bereinigte Datenlage, sollte das Register zwischen alten Sätzen mit Wiederherstellungsanweisung und neuen Sätzen ohne Treffer unterscheiden ¹.

Ein Technologiewechsel darf diese Kette nicht abschneiden. Bei der Migration in ein neues Sicherungsdepot werden Satzkennungen, Zugriffsbeschränkungen und offene Wiederherstellungsanweisungen mitgeführt. Vergibt der neue Anbieter andere Namen, hält das Register die Zuordnung zwischen alter und neuer Identität fest. Sonst verliert ein rechtlich offener Antrag sein technisches Ziel, obwohl die Daten weiterhin vorhanden sind.

Zusätzlich sind die Zugriffsrechte regelmäßig zu prüfen. Eine isolierte Kopie ist nicht mehr isoliert, sobald ein Analysezugang oder ein Indexierungsdienst sie wie normale Daten durchsuchen kann; die Kontrolle muss daher neben Wiederherstellungsoperatoren auch automatische Scanner, Datenkataloge und Testprozesse erfassen, selbst wenn kein Mitarbeiter den Satz bewusst geöffnet hat.

Automatisches Auslaufen ist noch kein Verfahren

Bei der koordinierten Maßnahme meldete die Hälfte der antwortenden Aufsichtsbehörden Bedenken gegenüber einem ausschließlich zeitgesteuerten Löschansatz. Genannt wurden unter anderem die schwache Verbindung zum einzelnen Antrag und unzureichende Kontrollen. Diese Angabe betrifft die antwortenden Behörden; sie ist keine Aussage darüber, wie verbreitet die Praxis unter allen Verantwortlichen ist ¹^,2.

Ein antragsbezogener Ablauf verbindet den Grund nach Artikel 17, die Ausnahmeprüfung, Maßnahmen in aktiven Kopien, benannte Wiederherstellungssätze, Integritätsentscheidung, Ablaufereignis und Wiederherstellungsanweisung. Jeder Schritt besitzt einen Verantwortlichen. Andernfalls kann die Automatisierung einen Datenträger entfernen, ohne dass jemand belegen kann, welcher Antrag erfasst war und ob alle Kopien berücksichtigt wurden.

Lange Rotationsintervalle benötigen eine evidenzbasierte Bewertung. Maßgeblich sind Isolation, Möglichkeit einer früheren sicheren Bearbeitung, Wahrscheinlichkeit einer Wiederherstellung, Risiken für die Person und verfügbare Schutzmaßnahmen. Der EDSA-Bericht setzt keine allgemeingültige Höchstdauer für Backups. Ein Unternehmen darf daher eine eigene Abwägung nicht durch eine dem Bericht zugeschriebene Zahl ersetzen.

Geplantes und nachgewiesenes Auslaufen sind verschiedene Zustände. Bis das System die tatsächliche Ausführung und ihr Ergebnis protokolliert, bleibt der Schritt offen. Das ist besonders wichtig, wenn eine Rotation fehlschlägt, ein Medium für eine technische Untersuchung zurückgehalten oder der Speicheranbieter gewechselt wird. Jede Abweichung erhält einen neuen Termin, einen Verantwortlichen und eine Bewertung der Folgen für die Person. Ein Alarm ohne erledigte Reaktion beweist nichts.

Die EDSA-Zahlen beschreiben die Maßnahme, nicht den Markt

An der koordinierten Maßnahme beteiligten sich 32 Aufsichtsbehörden. Neun führten förmliche Untersuchungen durch, 23 betrieben Tatsachenermittlung; kontaktiert wurden 7.943 Verantwortliche, von denen 764 antworteten ¹. Diese Zahlen beschreiben Aufbau und Material der Maßnahme. Sie sind keine repräsentative Stichprobe für die Häufigkeit einzelner Fehler bei allen Unternehmen.

Die Ergebnisse zeigten wiederkehrende Lücken bei Verfahren, Zeitplänen und dem unbegründeten Ausschluss bestimmter Systeme oder Kopien ¹^,2. Die praktische Folgerung besteht nicht darin, eine fremde Häufigkeit auf das eigene Unternehmen zu übertragen. Geprüft werden sollte vielmehr, ob der eigene Ablauf dieselben Kontrollpunkte besitzt und jeder Punkt einen Nachweis für einen bestimmten Antrag liefert.

Eine kleine Organisation braucht dafür keine umfangreiche Plattform. Ein Antragsdatensatz, ein Kopienregister und ein knapper Wiederherstellungsleitfaden können genügen, wenn sie eine durchgehende Kette bilden. Die rechtliche Entscheidung muss zur technischen Maßnahme führen; deren Prüfergebnis muss zum Antragsverantwortlichen zurückkehren. Die Anzahl der Werkzeuge ersetzt diese Verbindung nicht.

Auch ein minimales System braucht einen gemeinsamen Schlüssel. Dieselbe Kennung sollte in Entscheidung, Inventar aktiver Kopien, Sicherungssatzregister und Probenprotokoll erscheinen, sodass ein Verantwortlicher den Weg vom Antrag zum Ergebnis ohne Erraten technischer Namen nachvollziehen kann; verwenden Tabelle und Leitfaden unterschiedliche Kennungen, wird gerade die Einfachheit der Werkzeuge zur Ursache eines verlorenen Nachweises.

Eine Wiederherstellungsprobe schützt vor stiller Umkehr

Die wiederhergestellte Umgebung bleibt isoliert, bis die Löschkontrolle bestätigt ist. Eine Probe soll zeigen, dass das Team einen positiven Treffer findet, eine eng begrenzte Ausnahme respektiert und einen echten Nichttreffer korrekt erkennt. Acht Schritte schaffen einen wiederholbaren Ablauf:

Bestimmen Sie Momentaufnahme, betroffene Systeme und genauen Zeitpunkt des Wiederherstellungspunkts.
Beschränken Sie den Zugriff und verhindern Sie jede Verbindung der Umgebung mit der normalen Produktion.
Fragen Sie das Löschregister nach Anträgen ab, die Datum und Umfang der gewählten Sicherung betreffen.
Wenden Sie die Löschung bei allen bestätigten Treffern erneut an.
Trennen Sie aufgrund einer Ausnahme aufbewahrte Daten und begrenzen Sie sie auf den dokumentierten Umfang.
Prüfen Sie nachgelagerte Replikate, Caches, Warteschlangen und während der Probe erzeugte Exporte.
Dokumentieren Sie Treffer, Nichttreffer, Maßnahmen, Fehler und Ergebnisse der erneuten Kontrolle.
Geben Sie die Umgebung erst nach Bestätigung durch Antrags- und Wiederherstellungsverantwortlichen frei.

Testpfad	Erwartetes Ergebnis	Entscheidung
Kontrollierter Datensatz mit aktiver Löschmarkierung	Der Datensatz wird gefunden, erneut gelöscht und nicht weitergegeben.	Nach vollständiger Verifikation bestehen.
Kontrollierter Datensatz mit enger Ausnahme	Nur der belegte Umfang bleibt mit eingeschränktem Zugriff erhalten.	Bestehen, wenn die Grenze prüfbar ist.
Echter Pfad ohne Übereinstimmung	Das Register meldet einen echten Nichttreffer, ohne falsche Aktion auszulösen.	Nach Dokumentation bestehen.
Fehler bei Schritt, Replikat oder Freigabe	Die Umgebung bleibt isoliert und der Schritt erhält einen Fehlerverantwortlichen.	Den fehlgeschlagenen Schritt wiederholen.

Kontrollierte Testdatensätze vermeiden zusätzliches Risiko für echte Personen. Der Positivfall prüft die Ausführung der Anweisung; ein echter Nichttreffer zeigt, dass der Mechanismus nicht wahllos löscht. Scheitert ein Abschnitt, muss nicht blind alles wiederholt werden. Die Isolation bleibt bestehen, ein Verantwortlicher behebt die Ursache, und der betroffene Abschnitt einschließlich seiner abhängigen Kontrollen wird erneut ausgeführt.

Der kontrollierte Datensatz sollte in einem bekannten Satz vorkommen und ein vorab festgelegtes Ergebnis besitzen, damit die Probe eine ausgelassene Löschung erkennt. Er darf den echten Nichttrefferpfad jedoch nicht ersetzen. Der Mechanismus muss beides belegen: Er wiederholt die richtige Maßnahme zuverlässig, und er löst bei einer im Register nicht vorhandenen Person keine falsche Löschung aus.

Nach einem Fehler ist festzuhalten, welche späteren Schritte ihre Aussagekraft verloren haben. Schlägt etwa das Lesen des Registers fehl, sind nachfolgende „Nichttreffer“ ungültig; fehlt nur eine Freigabe, muss nicht zwingend die gesamte Datenwiederherstellung wiederholt werden. Wiederholt werden der fehlerhafte Schritt und alle abhängigen Kontrollen, während die Umgebung bis zu beiden Bestätigungen isoliert bleibt.

Ein Abschluss braucht rechtlichen und technischen Nachweis

Der vollständige Datensatz verbindet Löschgrund, Ausnahmen, aktive Maßnahmen, Wiederherstellungssätze, Integritätsentscheidungen, bestätigtes Auslaufen und Wiederherstellungskontrollen. Ein fehlender Beleg oder eine fehlgeschlagene Probe hält den Vorgang offen, auch wenn der Hauptdatensatz auf dem Bildschirm nicht mehr erscheint.

Der Antragsverantwortliche bestätigt den rechtlichen Umfang, der Wiederherstellungsverantwortliche die technische Ausführung. Beide Bestätigungen sind nötig, weil keine Rolle allein den gesamten Weg sieht. Das Register unterscheidet zwischen gelöschtem Umfang, eng aufbewahrtem Umfang und einer isolierten Kopie, deren kontrolliertes Auslaufen noch aussteht.

Die Mitteilung an die Person sollte diesem Zustand entsprechen, ohne unnötige Sicherheitsdetails offenzulegen. Solange wesentliche Arbeiten offen sind, darf die Organisation den Vorgang nicht als vollständig erledigt darstellen. Bleibt ein enger Umfang aufgrund einer Ausnahme erhalten, muss die Antwort diesen vom gelöschten Umfang unterscheiden und darf keine breitere weitere Nutzung nahelegen.

Schließen: Rechtsgrund, Umfang, aktive Kopien, Backups und Wiederherstellungskontrolle haben prüfbare Ergebnisse.
Halten: Ausnahme, Integrität oder Ablaufplan benötigt vor der Entscheidung weitere Nachweise.
Wieder öffnen: Wiederherstellung, neues Replikat oder fehlgeschlagene Kontrolle könnte Daten in den Normalbetrieb zurückgebracht haben.

Artikel 17 bestimmt den rechtlichen Umfang. Funktion und Integrität der Kopie bestimmen die Umsetzung. Register und Wiederherstellungsleitfaden verhindern gemeinsam, dass eine korrekt abgeschlossene Löschung bei der nächsten Störung unbemerkt rückgängig gemacht wird.