Wie löscht man einen Nutzer vollständig, ohne die Nachvollziehbarkeit vergangener Änderungen zu zerstören?
Das ist der Kernkonflikt hinter jeder DSGVO-Löschanfrage in einem System mit Audit-Trail. OPENpoints protokolliert jede relevante Änderung — wer hat wann welches Feld wie geändert. Dieses Protokoll ist bewusst append-only: Einträge werden nur angehängt, nie verändert oder gelöscht. Genau diese Unveränderlichkeit ist aber ein Problem, sobald ein Nutzer sein Recht auf Löschung nach Artikel 17 DSGVO ausübt.
Die Lösung liegt nicht im Löschen, sondern im Anonymisieren. Der Benutzerdatensatz selbst wird umbenannt in ein Muster wie "Gelöschter Benutzer-" gefolgt von einem gekürzten, zufälligen Kennzeichen, die E-Mail-Adresse durch eine nicht mehr zustellbare Platzhalteradresse ersetzt. Alle Audit-Log-Einträge, die zuvor auf diesen Nutzer verwiesen haben, bleiben strukturell vollständig erhalten — sie zeigen weiterhin, dass eine Änderung stattgefunden hat und wann, nur ohne dass sich daraus noch der echte Name oder die echte Adresse ableiten lässt. Der Audit-Trail bleibt lückenlos, personenbezogene Daten verschwinden trotzdem.
Zwei weitere Endpunkte setzen konkrete Betroffenenrechte um. Der eine erlaubt es jedem Nutzer, seine eigenen gespeicherten Daten als strukturierten Export anzufordern — die technische Grundlage für das Auskunftsrecht nach Artikel 15 und die Datenübertragbarkeit nach Artikel 20. Der andere nimmt Löschanträge entgegen und stößt die beschriebene Anonymisierung an, statt den Datensatz hart zu entfernen.
Nicht zuletzt gehört zur DSGVO-Umsetzung auch die Frage der Auftragsverarbeitung: Unternehmen, die OPENpoints nutzen, verarbeiten selbst personenbezogene Daten ihrer Mitarbeitenden über die Plattform. Dafür existiert ein eigenes Einverständnis auf Unternehmensebene nach Artikel 28 DSGVO, versioniert und mit Zeitstempel versehen — vergleichbar mit der Zustimmung zu Nutzungsbedingungen, nur eben für die Auftragsverarbeitungsvereinbarung.
Keiner dieser Bausteine war mit einem Prompt zu erledigen. Jeder einzelne verlangt, den Unterschied zwischen "Daten löschen" und "Daten unauffindbar machen, ohne die Systemintegrität zu beschädigen" tatsächlich zu verstehen — und diese Entscheidung an mehreren Stellen im System konsistent durchzuziehen.