Die Frage lautet nicht, ob gelöscht wird. Sie lautet: Wo überall liegt eine Eingabe 24 Stunden später noch? Wer sie stellt, bekommt in der Regel eine Antwort über das Hauptsystem – und Schweigen über sieben weitere Orte.
Warum das hier schwerer ist als sonst
Bei einem Ablagesystem ist der Bestand sichtbar: Dateien in Ordnern, Datensätze in Tabellen. Bei einer KI-Anwendung entsteht aus einer Eingabe eine Reihe von Ablegern, von denen die meisten niemand bewusst angelegt hat. Sie sind Nebenprodukte der Verarbeitung – und Nebenprodukte stehen nicht im Konzept.
Die acht Orte
| Wo | Was dort liegt | Wonach sich die Frist richtet |
|---|---|---|
| Eingabe und Ausgabe | Der Text selbst | Zweck der Verarbeitung – bei einem Assistenzdienst meist die Dauer der Anfrage |
| Gesprächsverlauf | Alle bisherigen Beiträge, weil sie erneut mitgeschickt werden | Der einzige Bestand, der eine echte Aufbewahrung erzwingt |
| Zwischenspeicher der Berechnung | Aus der Eingabe abgeleitete Werte im KV-Cache | Dauer der Anfrage – außer er wird zwischen Anfragen wiederverwendet |
| Suchindex | Abschnitte und ihre Einbettungen | Lebensdauer des Ursprungsdokuments |
| Betriebsprotokolle | Metadaten – und im Fehlerfall mehr | Störungsanalyse, meist kurz |
| Fehlerberichte | Ausnahmestapel mit Kontext, also im Zweifel die Eingabe | Behebung des Fehlers; häufig bei einem Dritten |
| Sicherungskopien | Alles, was zum Zeitpunkt der Sicherung da war | Aufbewahrungszyklus der Sicherung |
| Ausleitungen | Auswertungen, Berichte, Testdatensätze, Tickets | Der Zweck, für den sie erzeugt wurden – und den kennt oft nur eine Person |
Der neunte Ort, an dem Löschen nicht geht
Ist eine Eingabe in einen Trainingslauf eingegangen, lässt sich ihr Beitrag aus den Gewichten nicht mehr entfernen. Man kann neu trainieren – das ist etwas anderes als löschen, und niemand tut es wegen eines einzelnen Löschverlangens.
Daraus folgt die einzige Zusage, die sich in diesem Punkt dauerhaft halten lässt: keine Verwendung von Kundeneingaben zum Training. Sie ist keine Höflichkeit, sondern die Voraussetzung dafür, dass Art. 17 DSGVO überhaupt erfüllbar bleibt.
Was das Recht verlangt
Drei Vorschriften, die zusammenwirken: Die Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO verlangt eine Form, die eine Identifizierung nur so lange erlaubt, wie es der Zweck erfordert – sie wirkt von selbst, ohne dass jemand etwas verlangt. Art. 17 gibt der betroffenen Person zusätzlich ein Recht auf Löschung. Und Art. 28 Abs. 3 lit. g verlangt vom Auftragsverarbeiter Löschung oder Rückgabe nach Abschluss der Leistung, nach Wahl des Verantwortlichen.
Die Fristen selbst gehören ins Verarbeitungsverzeichnis, soweit möglich. „Soweit möglich“ ist dabei kein Freibrief – bei einer Verarbeitung, die man selbst gestaltet, ist es fast immer möglich.
Die Sicherungskopie, und wie man ehrlich damit umgeht
Der Punkt, an dem jedes Löschkonzept ins Stocken gerät: Eine Sicherung, aus der gezielt einzelne Datensätze entfernt werden, ist keine Sicherung mehr. Der übliche und vertretbare Umgang besteht aus drei Aussagen, die im Konzept stehen sollten:
- Sicherungen haben einen eigenen Aufbewahrungszyklus Mit einer benannten Dauer, nach der sie überschrieben werden. Damit ist auch für die Sicherung eine Frist gesetzt.
- Aus Sicherungen wird nicht ausgelesen Sie dienen der Wiederherstellung und keinem anderen Zweck. Das ist eine organisatorische Zusage, die man treffen und kontrollieren kann.
- Nach einer Wiederherstellung wird die Löschung nachgezogen Wer eine Sicherung einspielt, holt gelöschte Daten zurück – und muss die Löschungen aus der Zwischenzeit erneut ausführen. Diesen Schritt aufzuschreiben, ist der eigentliche Inhalt der Regelung.
Was ein brauchbares Konzept enthält
Für jeden der acht Orte vier Angaben, mehr nicht: Was liegt dort, wie lange, wer löscht, und woran erkennt man, dass es geschehen ist. Die vierte Spalte ist die, die am häufigsten fehlt und die den Unterschied zwischen einem Konzept und einer Absicht macht.
Eine Löschung, die jemand anstoßen muss, findet in der Praxis unregelmäßig statt. Eine, die von selbst läuft – Rotation, Ablaufdatum, Aufbewahrungsregel –, findet statt. Der Unterschied ist größer als jede Diskussion über die richtige Frist.
Deshalb ist die brauchbarste Frage an einen Anbieter nicht „wie lange speichern Sie“, sondern „wodurch verschwindet es“.
Der Prüfvorgang, der eine Stunde dauert
Nehmen Sie einen echten Vorgang, verarbeiten Sie ihn, warten Sie 24 Stunden und suchen Sie ihn dann – im Hauptsystem, im Index, in den Protokollen, in der Fehlerverfolgung, in den Ausleitungen. Was Sie finden, ist Ihr tatsächliches Löschkonzept; was im Dokument steht, ist die Absicht.
Bei uns entsteht der zweite Bestand gar nicht erst, weil kein Gesprächsverlauf geführt wird – die Begründung dafür steht im Beitrag Warum unser KI-Dienst kein Gedächtnis bekommt. Das ist keine Lösung für jeden: Wer den Verlauf braucht, muss ihn führen und dann auch löschen können.