Warum ist Löschen in gewachsenen Landschaften so schwierig?
Eine Kundin kommt im Kernsystem vor, im Schadens- oder Fallsystem, in der Buchhaltung, im CRM und im Archiv. Die Systeme stammen von verschiedenen Herstellern, manche sind Jahrzehnte alt, und die Daten hängen voneinander ab: Ein Vertrag verweist auf eine Person, eine Zahlung auf einen Vertrag.
Löscht jedes System für sich, entstehen Lücken und Widersprüche. Manche Systeme haben eigene Gründe, Daten länger zu behalten. Und ohne Rückmeldung weiss am Ende niemand, ob die Daten wirklich überall weg sind. Eine manuelle Löschung pro System ist teuer und kaum belegbar.
Was muss eine Löschsteuerung leisten?
| Anforderung | Warum |
|---|---|
| Richtige Reihenfolge | Abhängige Daten werden zuerst gelöscht; nirgends bleibt ein Verweis auf bereits gelöschte Daten zurück. |
| Einwände | Eine Anwendung kann widersprechen, weil sie die Daten noch braucht. |
| Löschsperren | Ein Legal Hold hält Löschungen für einzelne Fälle an, etwa bei einem Rechtsstreit. |
| Freigaben | Wo das Risiko es verlangt, gibt eine berechtigte Person die Löschung frei, bevor gelöscht wird. |
| Rückmeldung | Jede Anwendung bestätigt, was sie gelöscht hat. |
| Überwachung | Bleibt eine Rückmeldung aus, wird gewarnt. |
| Protokoll | Ein Nachweis pro Löschlauf für Revision und Aufsicht. |
Zentral steuern, dezentral löschen
Jede Anwendung kennt ihre Datenstruktur und ihre Fachlogik am besten. Deshalb sollte sie selbst löschen – über ihre vorhandenen Löschfunktionen. Die zentrale Steuerung greift nicht in die Datenbanken ein, sondern gibt vor, was wann gelöscht wird, prüft und sammelt die Rückmeldungen.
Angebunden werden die Anwendungen über eine offene Schnittstelle, zum Beispiel REST, oder über Nachrichten, etwa mit Azure Service Bus. So lassen sich Anwendungen Schritt für Schritt anbinden, ohne alles auf einmal umzustellen.
Löschen, anonymisieren oder archivieren?
Nicht jede Anwendung soll gleich reagieren. Je nach Datenart und Pflicht wird gelöscht, anonymisiert – etwa wenn Daten für Statistiken gebraucht werden – oder archiviert, wenn eine Aufbewahrungspflicht noch läuft. Eine gute Steuerung lässt das pro Anwendung festlegen und hält fest, was jeweils geschehen ist.
Aus der Praxis
Bei Pax, der Schweizer Vorsorgeversicherung mit Sitz in Basel, löscht Espresso Data Privacy seit 2024 automatisiert über SAP- und Nicht-SAP-Systeme hinweg – mit Löschketten, die die Abhängigkeiten zwischen Anwendungen und Geschäftsobjekten berücksichtigen.