Retention, Löschung und Datenminimierung

bmi.gv.at: Speicherfristen und Löschtrigger nachweisbar steuern

Retention-/Deletion-Readiness 8/100; 1/10 Kontrollpunkt(e) erfüllt, 9 Lücke(n) oder Betreiber-Nachweise offen.

Automatisch aus öffentlicher Website-Evidenz und SaferPage-Artefakten abgeleitete Retention-/Deletion-Readiness. Interne Systeme, Backups, gesetzliche Aufbewahrung und tatsächliche Löschläufe muss der Betreiber fachlich ergänzen.

8 Retention aufbauen
JSON CSV Runbook MD Execution JSON Execution CSV DSAR RoPA/Data Map Data Discovery Vendor Nachweise
8Score 10Checks 0Risiken 4Fristen 4Schritte 0Cookies 0Vendoren

Retention Schedule

Welche Datenkategorien wann gelöscht, gesperrt oder aufbewahrt werden

Runbook exportieren
Cookies, LocalStorage und SessionStorage Marketing/IT · Browser-/Cookie-Inventar

Session bis 13 Monate je Zweck prüfen

Ablauf, Widerruf, Zweckende, technische Bereinigung
Kontakt-, Newsletter- und Formularangaben Fachbereich/Datenschutz · Formular- und Datenartenanalyse

Zweckende plus notwendige Nachweis-/Verjährungsfrist

Anfrage erledigt, Abmeldung, Zweckende, Löschanfrage
Drittanbieter-, Tracking- und Supportdaten Vendor Owner/Legal · Vendor Register / Data Map

Nach Anbieterzweck, AVV/DPA und Transferprüfung

Vendor-Offboarding, Zweckende, DSAR-Löschung, Vertragsende
Security-, Consent- und Audit-Nachweise Compliance/IT · Audit Receipt / Evidence Pack

Nachweispflicht und Sicherheitsbedarf fachlich festlegen

Fristablauf, Zweckende, Archivierung oder Rechtsgrund entfällt

Löschworkflow

Von Anfrage bis Nachweis ohne offene Lücken

Identifizieren Tag 0-3 · Datenschutz/Support

Datenart, Zweck, Systeme, Anbieter und Rechtsgrundlage bestimmen.

DSAR-Ticket, RoPA/Data Map, Vendor Register.
Legal Hold & Aufbewahrung Tag 3-7 · Legal/Fachbereich

Gesetzliche Aufbewahrung, Verjaehrung, Betrugspraevention und Sperrung statt Löschung prüfen.

Hold-Entscheidung, Rechtsgrund, Sperrvermerk.
Löschung / Sperrung Tag 7-21 · IT/Vendor Owner

System- und Vendor-Aufgaben ausführen, Backups/Archive nach Retention-Regel behandeln.

Löschlauf, Vendor-Bestätigung, technische Logs.
Nachweis & Antwort bis Tag 30 · Datenschutz/Compliance

Negativsuche, Ausnahmen und Abschlussantwort dokumentieren.

Deletion-Log, Abschlussnotiz, Antwortkopie.
Retention Matrix aufbauen · Datenschutz/Legal

Datenkategorie, Zweck, Rechtsgrundlage, Speicherfrist, Löschtrigger, Owner.

Deletion Log Betreiber-Nachweis · Compliance/IT

Ticket, Suchlauf, Lösch-/Sperraktion, Ausnahmen, Vendor-Antworten, Abschluss.

Vendor-Löschbestätigung nicht einschlägig · Vendor Owner/Legal

AVV/DPA-Klausel, Löschbestätigung, Subprozessor-Rückmeldung, Backup-Frist.

Backup-/Archiv-Regel Betreiber-Nachweis · IT/Legal

Backup-Retention, Restore-Sperre, Legal Hold, endgültige Löschung nach Fristablauf.

Deletion Execution

Löschjobs, Preflight-Gates, Vendor-Tasks und Backup-Regeln ausführen

Execution exportieren
6Jobs 5Preflight 3Vendor 3automatisierbar
Cookies, LocalStorage und SessionStorage suppression_and_expiry · Marketing/IT · api_or_script_possible

Suchwerte aus DSAR-/System-of-Record-Scope laden · Treffer und Negativsuche im Manifest speichern

Suchmanifest, Job-ID, Status, gelöschte/gesperrte Datensaetze, Ausnahmen, Abschlusszeitpunkt.
Kontakt-, Newsletter- und Formularangaben standard_delete_or_anonymize · Fachbereich/Datenschutz · api_or_script_possible

Suchwerte aus DSAR-/System-of-Record-Scope laden · Treffer und Negativsuche im Manifest speichern

Suchmanifest, Job-ID, Status, gelöschte/gesperrte Datensaetze, Ausnahmen, Abschlusszeitpunkt.
Drittanbieter-, Tracking- und Supportdaten vendor_task · Vendor Owner/Legal · manual_or_policy_control

Suchwerte aus DSAR-/System-of-Record-Scope laden · Treffer und Negativsuche im Manifest speichern

Suchmanifest, Job-ID, Status, gelöschte/gesperrte Datensaetze, Ausnahmen, Abschlusszeitpunkt.
Security-, Consent- und Audit-Nachweise standard_delete_or_anonymize · Compliance/IT · api_or_script_possible

Suchwerte aus DSAR-/System-of-Record-Scope laden · Treffer und Negativsuche im Manifest speichern

Suchmanifest, Job-ID, Status, gelöschte/gesperrte Datensaetze, Ausnahmen, Abschlusszeitpunkt.
Suppression List / Re-Creation Block suppress_recreation · Marketing/IT · manual_or_policy_control

Suchwerte aus DSAR-/System-of-Record-Scope laden · Treffer und Negativsuche im Manifest speichern

Hashmethode, Zweck, Ablaufdatum, betroffene Systeme, Re-Sync-Test.
Backup und Archiv backup_rotation_policy · IT/Legal · manual_or_policy_control

Suchwerte aus DSAR-/System-of-Record-Scope laden · Treffer und Negativsuche im Manifest speichern

Backup-Frist, Restore-Prozess, Sperrvermerk, Ablaufkontrolle.

Kontrollen

Was Betreiber vor einer belastbaren Löschfreigabe schließen müssen

Speicherfristen und Löschung im Datenschutzhinweis offen · Datenschutz/Content · Gewicht 12

Der Datenschutzhinweis-Entwurf ist nicht Teil des Mini-Checks und wird nur im großen Scan geprüft.

Speicherfristen, Löschkriterien, Rechtsgrundlagen und Betroffenenrechte je Datenkategorie verständlich ergänzen.
Cookie-/Storage-Laufzeiten bewertet offen · Marketing/IT · Gewicht 12

Cookies 0, fehlende Laufzeit 0, Retention-Risiken 0, langlebige Hinweise 0.

Cookie-Laufzeiten auf Zweckbindung prüfen, unnötig lange Laufzeiten kürzen und Cookie-Erklärung aktualisieren.
Dateninventar mit Datenarten und Systemen offen · Datenschutz/IT · Gewicht 14

0 Verarbeitung(en), 0 Data-Map-Knoten, 0 Datenart(en).

Je Datenart Quelle, System, Speicherfrist, Löschtrigger und Fachbereich im RoPA/Data Map ergänzen.
Rechtsgrundlage, Zweck und Aufbewahrung verknuepft offen · Datenschutz/Legal · Gewicht 10

0 Rechtsgrundlagenzeile(n).

Retention je Zweck/Rechtsgrundlage dokumentieren: Vertrag, Einwilligung, berechtigtes Interesse, gesetzliche Aufbewahrung, Verjaehrung.
Löschanfragen mit DSAR-Workflow verbunden offen · Datenschutz/Support/IT · Gewicht 12

DSAR-Workflow nicht verfügbar.

Art.-17-Löschung, Einschränkung, Widerspruch, Vendor-Tasking und Abschlussnachweis im DSAR-Workflow verbinden.
Vendor-/Processor-Löschung und Rückgabe steuerbar offen · Legal/Vendor Owner · Gewicht 10

Vendor-Due-Diligence nicht verfügbar.

AVV/DPA, Rückgabe/Löschung, Unterauftragsverarbeiter, Backup-Fristen und Nachweis je Anbieter prüfen.
Backups, Legal Hold und Ausnahmen geregelt Betreiber-Nachweis · Legal/IT · Gewicht 8

Aus öffentlichem Scan nicht beweisbar.

Backup-Retention, gesetzliche Aufbewahrung, Legal Hold, Sperrvermerk und Löschaufschub als Betreiberregel dokumentieren.
Datenminimierung und Löschtrigger bei Formularen vorhanden · Fachbereich/Datenschutz · Gewicht 8

Formulare 0, Datenschutzkontext ja.

Formulare auf Pflichtfelder, Zweckbindung, Double-Opt-in, Löschfrist und CRM-/Support-Weitergabe prüfen.
Löschprotokoll und Integritätsnachweis offen · Compliance/IT · Gewicht 10

Prüfbeleg vorhanden, Root-Hash fehlt.

Löschläufe, Negativsuche, Ausnahmen, Vendor-Rückmeldungen und Abschluss mit Hash-/Audit-Nachweis protokollieren.
Change Trigger für Retention-Risiken offen · Datenschutz/IT · Gewicht 8

Alerts 0, Regulatory-Pflichten 0.

Neue Cookies, Formulare, Anbieter, Datenflüsse und Rechtsänderungen als Retention-Review auslösen.