Wie löscht Selly Daten nach Art. 17 DSGVO?

Was passiert, wenn Sie einen Kontakt löschen?

Selly öffnet eine Transaktion und arbeitet darin alle 40 Tabellen ab. In 26 davon löscht es die Zeilen der Person, zum Beispiel Notizen, Aufgaben, Anrufprotokolle, Termine, Dokumente, E-Mail-Anhänge und die Rechnungsdaten am Kontakt. In den übrigen 14 bleiben die Zeilen stehen, und Selly leert darin die Felder mit Personenbezug, zum Beispiel bei Deals, E-Mails, Angeboten und Buchungen. Bei Rechnungen ist das nur die interne Notiz. Weitere Tabellen hängen an gelöschten Zeilen und fallen mit weg, etwa Wortprotokolle aus Granola und hochgeladene Dateien.

Schlägt ein Schritt fehl, nimmt die Datenbank alles zurück. Ein Test baut dafür absichtlich einen Fehler mitten in die Löschung ein und prüft, dass danach nichts gelöscht ist.

Den Kontakt selbst überschreibt Selly, statt ihn zu entfernen. Vor- und Nachname werden zu „GELÖSCHT“. E-Mail, Telefon, Anschrift, Geburtstag und der Freitext zum Grund einer Sperre werden geleert, Schlagworte und eigene Felder gelöscht. Stehen bleiben die interne Kennung, die Kundennummer, die Zuordnung zur Firma und Angaben wie Status und Land. Wir nennen das deshalb entpersonalisiert, nicht anonym.

Woran sehen Sie später, dass gelöscht wurde?

In derselben Transaktion entsteht ein Löschnachweis. Er hält fest, was geschwärzt und was mit welcher Begründung aufbewahrt wurde, wer die Löschung ausgelöst hat, wann, und auf welcher Rechtsgrundlage. Den Namen der Person enthält er bewusst nicht, zugeordnet ist sie über ihre Kennung. Scheitert die Löschung, entsteht auch kein Nachweis.

Dazu kommt ein Eintrag in der Audit-Kette, der nur den Grund und die Nummer des Nachweises trägt. Über Selly lässt sich kein Eintrag der Audit-Kette ändern oder löschen, das verhindert die Datenbank selbst. Jeder Eintrag ist per SHA-256 mit dem vorigen verkettet, damit Eingriffe auffallen.

Im Nachweis zeigen „Beantragt“ und „Abgeschlossen“ beide den Zeitpunkt der Löschung. Wann der Antrag einging, steht im Antragseingang.

Woher wissen Sie, dass keine Tabelle vergessen wurde?

Ein Test fragt die Datenbank nach jeder Tabelle, die eine Spalte für den Kontakt hat. Jede davon muss die Löschung erfassen oder mit Begründung als Ausnahme führen, sonst schlägt er an. Ein zweiter Test legt eine neue Tabelle mit dieser Spalte an und beweist, dass der erste sie findet. Beide laufen bei jeder Änderung am Code gegen eine echte Datenbank. Schlägt einer an, lässt sich die Änderung nicht übernehmen.

Diese Prüfung sieht nur Tabellen mit genau dieser Spalte. Mehrere Bestände sind so schon durchgerutscht, etwa E-Mail-Anhänge, Angaben externer Unterzeichner und Vorlagen für Unterschriften. Gefunden wurden sie bei späteren Prüfungen, nicht vom Test. Diese drei erfasst die Löschung inzwischen. Freitext, in dem ein Name steht, ohne dass jemand den Kontakt verknüpft hat, findet sie nicht.

Was bleibt stehen, und warum?

Rechnungen bleiben mit Nummer, Datum, Beträgen, Firma und Empfänger stehen, nur ihre interne Notiz wird geleert. Der Text, der auf der Rechnung steht, bleibt. Bei Angeboten werden Anschrift und Notiz geleert, Positionen und Beträge bleiben. Unterschriebene Verträge bleiben, bei abgeschlossenen Vorgängen auch die Angaben, wer unterschrieben hat. Laufende Unterschriftsvorgänge schwärzt Selly nicht, sonst gingen die Unterschriften der anderen Beteiligten verloren. Die Begründungen stehen im Löschnachweis.

Beim Ausstellen hält Selly Name, Anschrift und Rechnungs-Mail des Empfängers in der Rechnung fest und speichert den Beleg als PDF, so wie er hinausging. Die Löschung ändert beides nicht, ebenso wenig das Protokoll, an welche Adresse Rechnung und Mahnungen gingen. In der Rechnungsliste, die den Namen aus dem Kontakt liest, steht danach „GELÖSCHT“. Rechnungen, die ausgestellt wurden, bevor Selly Belege speicherte, haben keine solche Kopie; dort steht nach der Löschung nur noch „GELÖSCHT“. Den gespeicherten Beleg kann über Selly niemand ändern, die Datenbank weist jede Änderung ab.

Der Eintrag im Antragseingang bleibt mit dem Namen stehen, den Ihr Team dort eingetragen hat. Er belegt, dass Sie die Frist gewahrt haben. Im Löschnachweis steht er nicht.

Bei E-Mails der Person schwärzt Selly Betreff, Adressen und Inhalt und löscht die Anhänge, auch wenn es Geschäftsbriefe sind. Das Original in Ihrem Postfach bleibt davon unberührt.

Was tut Selly beim Löschen nicht?

1. Keine Löschung in Sicherungen. Aus Sicherungen der Datenbank löscht Selly keine einzelnen Personen. Wird eine Sicherung eingespielt, die vor der Löschung entstand, ist die Person wieder da, bis die Löschung erneut vollzogen ist.
2. Keine Löschung bei anderen Diensten. In Ihrem Postfach bei Google, Microsoft oder einem anderen Anbieter löscht Selly nichts, weder empfangene noch gesendete Mails. Dasselbe gilt für Granola und für Gesprächsdaten bei Ihrem Telefonanbieter. Die Kopien dort löschen Sie selbst.
3. Keine Mitteilung an Empfänger. Art. 19 DSGVO verlangt, dass Sie eine Löschung den Empfängern mitteilen, denen Sie die Daten offengelegt haben. Dafür hat Selly keine Funktion.
4. Keine Sperre und keine Fristlöschung. Rechnungen und Angebote, die stehen bleiben, sperrt Selly nicht automatisch nach Art. 18 DSGVO. Wer Rechnungen lesen darf, sieht sie weiter. Nach Ablauf der Aufbewahrungsfrist löscht Selly sie nicht von selbst.
5. Keine Suche im Freitext. Steht der Name nur im Text einer Notiz zu einem anderen Kontakt, bleibt er dort stehen.
6. Nicht alles in der Oberfläche. Den Löschnachweis als PDF, die Einschränkung der Verarbeitung und die Verknüpfung eines Antrags mit dem Kontakt gibt es heute nur über die Programmierschnittstelle.

Wer darf löschen?

Aus dem Kontaktprofil löscht nur, wer das Recht „DSGVO-Löschung“ hat. Die Admin-Rolle eines neuen Zugangs enthält es. Die übrigen mitgelieferten Rollen und die Vorgaben im Rollen-Editor enthalten es nicht, dort vergeben Sie es bewusst. Im Verwaltungsbereich sind Löschung und Auskunft Admins vorbehalten. Beides wirkt nur im eigenen Unternehmen: Wer die Kennung eines Kontakts aus einem anderen Unternehmen eingibt, bekommt „nicht gefunden“.

Wie funktionieren Auskunft und Einschränkung?

Die Auskunft nach Art. 15 und 20 DSGVO gibt Selly je Kontakt als JSON-Datei zum Herunterladen aus. Auch jede Auskunft steht danach in der Audit-Kette. Ein Test sorgt dafür, dass jede Tabelle, die die Löschung erfasst oder aufbewahrt, auch in der Auskunft vorkommt. Dateien nennt die Auskunft mit Name, Typ und Größe, ohne Inhalt. Wortprotokolle aus Granola fehlen, weil darin andere Menschen sprechen.

Statt zu löschen, können Sie die Verarbeitung einschränken (Art. 18 und 21 DSGVO). Ein eingeschränkter Kontakt fällt aus der Empfängerauswahl und dem Versand von Kampagnen, aus der Anwahl im Lead-Ordner und aus E-Mails, die Automationen verschicken. Andere Automationsschritte laufen weiter, auch Webhooks an fremde Dienste.

Anträge von Betroffenen führt Selly mit Eingang und Fälligkeit. Die Frist rechnet Selly als Kalendermonat nach deutscher Zeit: Ein Antrag vom 15. März ist am 15. April fällig, einer vom 31. Januar am letzten Tag im Februar. Fällt der letzte Tag auf ein Wochenende oder einen Feiertag, schiebt Selly ihn nicht nach hinten, das Datum liegt dann eher zu früh als zu spät. Es steht ab Eingang fest.

Ist Selly damit DSGVO-konform?

Diese Frage kann niemand seriös mit Ja beantworten, auch wir nicht. Konform ist eine Verarbeitung, nicht ein Produkt. Ob Sie löschen müssen, was Sie aufbewahren und wen Sie informieren, entscheiden Sie als Verantwortlicher. Selly gibt Ihnen dafür Werkzeuge, und diese Seite sagt, wo sie aufhören.

Wo steht das?

1. DSGVO: Art. 17 mit den Ausnahmen in Abs. 3, Art. 18 zur Einschränkung, Art. 19 zur Mitteilung an Empfänger, Art. 12 Abs. 3 zur Monatsfrist, Art. 15 und 20 zu Auskunft und Übertragbarkeit, Art. 5 Abs. 2 zur Nachweispflicht.
2. § 257 HGB: Aufbewahrung von Handelsbriefen und Buchungsbelegen, sechs, acht oder zehn Jahre.
3. § 147 AO: Aufbewahrungsfristen im Steuerrecht.
4. § 14b UStG: Doppel jeder ausgestellten Rechnung, acht Jahre.
5. § 35 BDSG: wann die Einschränkung an die Stelle der Löschung tritt.

Das ist keine Rechtsberatung. Welche Fristen für Ihre Unterlagen gelten und ob Sie löschen oder einschränken müssen, klären Sie mit Ihrer Datenschutz- oder Steuerberatung.

Wollen Sie eine Löschung sehen?

Fragen zur Löschung beantworten wir in der Vorführung am laufenden System.