Datenschutz by Design #

Ein unveränderliches, append-only Datenmodell und das „Recht auf Löschung" der DSGVO scheinen sich zu widersprechen. Prexfo löst diesen Widerspruch technisch elegant — und macht Datenschutz zum eingebauten Merkmal, nicht zur nachträglichen Reparatur.

Die Herausforderung #

Artikel 17 DSGVO gibt Betroffenen das Recht, die Löschung ihrer personenbezogenen Daten zu verlangen. Ein System, das per Design nichts physisch löscht, wirkt zunächst unvereinbar damit.

Zwei Beobachtungen entschärfen den Konflikt:

  1. Die DSGVO verlangt nicht das physische Überschreiben von Festplattenblöcken. Sie verlangt, dass die Daten für niemanden mehr zugänglich und die Person nicht mehr identifizierbar ist.
  2. Artikel 17 Abs. 3 kennt Ausnahmen: Gesetzliche Aufbewahrungspflichten (HGB, AO) für Verträge und Abrechnungen überwiegen das Löschrecht — in der Immobilienverwaltung der Regelfall.

Crypto-Shredding als Lösung #

Statt Daten physisch zu löschen, macht Prexfo sie kryptographisch dauerhaft unbrauchbar:

  1. Jede Entität mit sensiblen Daten (z. B. eine Person unter PERSONEN/) wird mit einem eigenen, starken Schlüssel (AES-256) verschlüsselt.
  2. Die Schlüssel liegen getrennt von den Daten in einem sicheren Key-Management- System (KMS).
  3. Bei einem gültigen Löschantrag wird nicht die unveränderliche Datei angefasst, sondern der zugehörige Schlüssel unwiederbringlich zerstört.

Ohne Schlüssel sind die verschlüsselten Daten nur noch eine nutzlose Zufallsfolge — mit heutiger Technik nicht wiederherstellbar.

Rechtlich belastbar. Daten, deren Schlüssel unwiederbringlich zerstört wurde, gelten nicht mehr als personenbezogen im Sinne der DSGVO — die Person ist nicht mehr identifizierbar. Die verschlüsselte Datei darf im Archiv verbleiben und ist faktisch gelöscht.

Mehrschichtig gedacht #

Crypto-Shredding regelt die endgültige Löschung. Für den täglichen Austausch kommen weitere Techniken dazu:

  • Anonymisierung & Pseudonymisierung — vor dem Export lassen sich Identifikatoren irreversibel entfernen oder durch reversible Tokens ersetzen. Schickt eine Verwaltung Daten zur Bonitätsprüfung an eine Bank, können die Namen der übrigen Mieter anonymisiert werden, während der Antragsteller pseudonymisiert bleibt.
  • Zugriffskontrolle durch Design — es gibt keine offene API. Wer Daten teilen will, erstellt bewusst einen zweckgebundenen Export. Das erzwingt eine Entscheidung, welche Daten an wen gehen — unkontrollierter Vollzugriff ist ausgeschlossen.

Standardisierter Rahmen #

Für den Austausch zwischen Verantwortlichem (Verwaltung) und Auftragsverarbeiter (z. B. Bank) ist eine standardisierte AVV-Vorlage vorgesehen: klare Rollen, definierter Zweck und Umfang, verpflichtende technische und organisatorische Maßnahmen (Verschlüsselung, Crypto-Shredding, Anonymisierung). Das senkt den rechtlichen Aufwand für alle Beteiligten.

Kein Ersatz für rechtliche Prüfung. Diese Seite beschreibt das Datenschutzkonzept von Prexfo. Die konkrete Umsetzung im eigenen Betrieb ist im Einzelfall mit den zuständigen Datenschutz- und Rechtsberatern zu klären.