Das Recht auf Vergessen

1) Was ist das „Recht auf Vergessen“ und wann gilt es?

Right to Erasure - das Recht der betroffenen Person, die Löschung ihrer personenbezogenen Daten zu verlangen. In der EU verankert in der DSGVO Art. 17; Analoga existieren in einer Reihe von Rechtsordnungen (Löschung durch CCPA/CPRA, LGPD usw.).

• Die Daten werden für die Zwecke, für die sie erhoben wurden, nicht mehr benötigt.
• Die Verarbeitung beruht auf einer Einwilligung und die betroffene Person hat diese widerrufen.
• Die betroffene Person widerspricht der Verarbeitung (keine überwiegende Rechtsgrundlage).
• Die Daten wurden unrechtmäßig verarbeitet oder müssen der gesetzlichen Pflicht zur Löschung nachkommen.
• Die Daten werden von dem Kind erhoben, wenn es Dienste der Informationsgesellschaft anbietet (besondere Grundlage).

2) Ausnahmen: wenn Sie nicht löschen können (oder nicht alle)

• Rechtliche Pflichten (z.B. AML/KYC, Steuerbuchhaltung, Buchhaltungsunterlagen).
• Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Gerichts-/Anspruchsstreitigkeiten).
• Die Freiheiten des Ausdruckes der Meinungen/Rechte auf die Informationen, der öffentlichen Interessen auf dem Gebiet des Gesundheitswesens, der wissenschaftlichen/historischen/statistischen Ziele mit den gehörigen Garantien.

In der Praxis handelt iGaming/Fintech am häufigsten nach AML/KYC (≥5 Jahre nach dem Ende der Beziehung). In solchen Fällen werden die Daten für andere Zwecke gesperrt, aber nicht vor Ablauf der Frist gelöscht.

3) Löschung vs Deaktivierung vs Anonymisierung

Löschung - unwiederbringliche Vernichtung personenbezogener Daten.
Anonymisierung - irreversibler Ausschluss der Verbindung mit der Person; Daten können in Aggregate Analytics/ML ohne IDs verbleiben.
Deaktivierung (Schließung des Kontos) - Deaktivierung des Zugriffs/der Funktionen, die Daten bleiben bis zum Ablauf der Fristen/Ausnahmen.

Empfehlung: Hybride Anwendung - maximale Entfernung + Anonymisierung für Produktanalysen, wo angemessen.

4) DSR-Löschprozess: von der Anfrage bis zur Bestätigung

1. Empfang der Anfrage über die verfügbaren Kanäle (Webformular, E-Mail, Profil).
2. Überprüfung des Antragstellers (die Höhe der Überprüfung hängt vom Risiko/der Empfindlichkeit ab).
3. Überprüfung von Ausnahmen (AML/Steuern/Streitigkeiten, aktive Chargeback/Betrugsermittlungen).
4. Einteilung der Reichweite: vollständiges Profil/spezifische Kategorien/Marketing.
5. Mark-for-Deletion + Starten von Deletion Orchestrator (siehe § 7).
6. Benachrichtigung von Anbietern/Dritten (Verarbeiter/Auftragnehmer) und Erfassung von Rückmeldungen.
7. Bestätigung an das Subjekt: Was gelöscht, was anonymisiert, was durch Ausnahmen gesperrt ist, Fristen durch Backups.
8. Logging: WORM-Log der Löschnachweise.

SLA (Benchmark): Antwort innerhalb von 30 Tagen (kann um weitere 60 mit Benachrichtigung und Begründung verlängert werden).

5) Matrix „Basis → Lösung → Erklärung“

6) Was genau zu entfernen: Abdeckung nach Schichten

Transaktionsschicht: Profil, Kontaktdaten, Token (wo erlaubt), Zahlungs-IDs, KYC-Artefakte (wenn es keine Ausnahmen gibt).
Schichten von abgeleiteten Daten: Caches, Suchindizes, Warteschlangen, Feature Store ML, DWH, BI-Vitrinen, Berichte.
Protokolle/Traces: wo es persönliche Identifikatoren gibt - Maske/Löschung; Aggregation/Anonymisierung ist erlaubt.
Marketing/Attribution: IDs (Cookie/SDK/MAID), Post-Backs von Affiliates, Ad Audience - Cleanup und Suppression.
Profiling/Modelle: Entfernen zukünftiger Iterationen aus den Trainingsdatasets, Markieren von „Do-not-use“ im Fice-Stor.

7) Löschorchestrierung (Kaskade und Backups)

• Mark-for-Deletion → Grace (7-30 Tage) → Soft Delete (Zugriff/Kommunikation deaktivieren) → Hard Delete/Anonymize in primären Systemen → Cascade in Caches/Indizes/DWH/ML → Evidence Log.
• Backups: direktes Bearbeiten von Backups ist nicht erlaubt; die Entfernung erfolgt durch Auslaufen des Speicherfensters und das Verbot von Wiederherstellungen, die zu einer Re-Identifizierung führen. Bei der Wiederherstellung - Sanitization-Skript, um die markierten IDs wieder zu löschen.

• Idempotente Aufgaben, Retrays, Team-Deduplizierung.
• Verfolgen Sie lineage (wo Kopien und Aggregate sind).
• Ein einzelner Subject-Key für die Kaskade über alle Systeme hinweg.
• WORM-Archiv der Löschhandlungen.

8) Anbieter/Verarbeiter: Mitteilungen und Verträge

Die DPA verpflichtet die Verarbeiter: Daten auf Anweisung löschen/zurückgeben, beim DSR helfen, Löschung protokollieren, Ergebnisse mitteilen.
Register der Unterverarbeiter; Reaktionszeiten auf Löschanfragen (SLAs).
Für Werbe-/Analyseplattformen - eingeschränkte Verarbeitungsmodi, „delete/suppress“ API-Signale.

9) Kommunikationsmuster (Fragmente)

• "Wir haben Ihren Antrag auf Löschung der Daten erhalten. Um Ihre Privatsphäre zu schützen, müssen wir Ihre Identität bestätigen. Bitte machen Sie eine kurze Überprüfung durch den Link/Code"

• "Wir haben Ihre personenbezogenen Daten in den Analyseprodukten und -systemen gelöscht/anonymisiert. Gesetzlich vorgeschriebene Aufzeichnungen (z.B. AML/Steuern) sind gesperrt und für andere Zwecke bis zum Ablauf von N Jahren nicht zugänglich. Die Daten in den Backups werden nach dem Zeitplan ihrer Aufbewahrung gelöscht. Abfrage-ID: # XXXX"

• "Einen Teil der Aufzeichnungen können wir aufgrund einer gesetzlichen Aufbewahrungspflicht (AML/Steuern/Streit) nicht löschen. Diese Aufzeichnungen sind isoliert und werden nur für einen verbindlichen Zweck verwendet. Wir haben den Rest der Informationen gelöscht und die optionale Verarbeitung eingestellt"

10) Matrix „Datenkategorie → Methode → Begriff“

11) UX und Produktnuancen

Im Profil befindet sich ein übersichtlicher Button „Meine Daten löschen/Konto schließen“ mit Klärung der Folgen (Verlust von Fortschritten/Boni).
Separate Option „Marketing ablehnen“ (entspricht nicht der Löschung eines Kontos).
Status der Anfrage (in Arbeit/abgeschlossen), Fertigstellungstermin, Bewerbungskennung.
Die Löschung darf den Jahresabschluss nicht sprengen: Speichern Sie nicht-personenbezogene Aggregate.

12) Metriken und Kontrolle

Deletion SLA: Median/95. Perzentil von der Anfrage bis zur Fertigstellung.
Cascade Completion Rate: Der Anteil der Systeme, bei denen die Kaskade ≤SLA abgeschlossen ist.
Backups Window Compliance: Einhaltung der Speicherfenster von Backups.
Legal Hold Review Rate: Aktualität der Revision von Holds.
DSR Rejection Rate (aus Gründen): Fehlerquote mit Begründung.
Evidence Completeness: Anteil der Fälle mit einem vollständigen Paket von Artefakten.
Suppression Effectiveness: Keine Marketinganfragen nach dem Löschen.

13) Checklisten (operativ)

Vor Prozessbeginn

• Identitätsprüfung durchgeführt.
• Ausnahmen geprüft (AML/Steuern/Streitigkeiten).
• Abdeckung definiert (vollständig/teilweise).
• Eintrag in Evidence Log erstellt.

Ausführung

• Mark-for-Deletion und Grace sind gesetzt.
• Hard Delete/Anonymize in der Transaktionsebene ausgeführt.
• Kaskade in Caches/Indizes/DWH/ML gestartet.
• Benachrichtigungen an Verarbeiter/Lieferanten gesendet.
• Suppressionsliste aktualisiert.

Fertigstellung

• Bestätigung an Benutzer mit Details.
• RoPA/Retention-Matrix bei Bedarf aktualisiert.
• Post-Check-Berichte: SLAs/Fehler/Wiederholungen.

14) Rollen und Verantwortung (RACI)

Support/Privacy Ops: Entgegennahme von Anfragen, Verifizierung, Kommunikation.
DSB/Legal: Bewertung von Gründen/Ausnahmen, legal hold.
Sicherheit/CISO: Zugriffsprüfung, WORM-Protokolle, Backups.
Data Engineering: Löschorchester, Lineage, Kaskaden.
Marketing/CRM: Suppression, Kommunikationsstopp.
Finanzen/Compliance: Kontrolle der Berichts-/AML-Verantwortlichkeiten.

15) Umsetzungsfahrplan (6 Schritte)

1. Richtlinien und Register: Privacy Policy (Abschnitt über das Recht auf Löschung), RoPA, Retention Matrix aktualisieren.
2. Orchestrator: ein einzelner Subject-Key, Kaskaden, Idempotency, Evidence Log (WORM).
3. Anbieter: DPA-Anforderungen, 'delete/suppress' Kanäle, SLA.
4. UX: verständlicher Löschantrag, Status, Briefvorlagen.
5. Backups: Speicherfenster, Verbot nicht autorisierter Wiederherstellungen, Sanierungsskripte.
6. Messung: SLA, Cascade, Evidence, Suppression Dashboard; vierteljährliche Prüfungen.

16) Unterschiede nach Jurisdiktionen (kurz)

DSGVO: weites Löschrecht + klare Ausnahmen; Antwortfrist 1 Monat.
CCPA/CPRA: Recht auf Löschung von Verbrauchern; obligatorische Ausnahmen (Sicherheit/Wartung/Fehler/rechtliche Verpflichtungen); GPC-Buchhaltung für Opt-Out von „Sale/Share“ sowie Mechanismen zur Löschung von Daten, die nicht unter die Ausnahmen fallen.
LGPD: Löschung bei Zielerreichung/Ablauf/Widerruf der Einwilligung; Ausnahmen und „Sperren“ sind im Sinne der DSGVO ähnlich.

Summe

Das Recht auf Vergessenwerden ist kein „Knopf“, sondern ein End-to-End-Prozess: rechtliche Bewertung von Gründen und Ausnahmen → Verifizierung → Kaskadierung und/oder Anonymisierung in allen Schichten → Verwaltung von Backups und Anbietern → Nachweisbarkeit und Metriken. Durch die Integration dieser Kontur in die Architektur und den Betrieb erfüllen Sie die Anforderungen der Regulierungsbehörden, reduzieren die Risikooberfläche und erhalten das Vertrauen der Benutzer - ohne das Geschäft und die Produktqualität zu beeinträchtigen.