CodamAIDocs
Themafertig

Aufbewahrung, Legal Hold und Löschung

Wie lange CRMS ein endgültiges Dokument aufbewahrt, wie ein Legal Hold das Löschen blockiert, wie gelöscht wird und welche Rollen was dürfen.

Ausprägungen
Aufbewahrung läuftAufbewahrung beendetLegal Hold gesetztLöschung durch den AufbewahrungslaufLöschung auf Antrag (DSGVO Art. 17)

Worum es geht

Ein endgültiges Dokument bleibt so lange, wie das Gesetz es verlangt, und nicht länger. Diese Dauer heißt Aufbewahrung. Während sie läuft, kann niemand das Dokument löschen. Danach löscht CRMS es von selbst.

Ein Legal Hold hält ein Dokument zusätzlich fest, zum Beispiel weil ein Rechtsstreit läuft. Solange er gilt, wird nichts gelöscht, auch nicht nach Ende der Aufbewahrung.

Die Aufbewahrungsdauer

  • Sie steht in CODAMAI_CRMS_DOCUMENT_RETENTION als ISO-8601-Zeitraum, zum Beispiel P10Y für zehn Jahre oder P6Y6M.
  • Es gibt keinen Standardwert. Solange Dokumentrevisionen an sind, startet CRMS ohne sie nicht. Wie lange Unterlagen aufbewahrt werden, ist eine rechtliche Pflicht des Betreibers (GoBD, HGB, GMP …). Ein geratener Wert löscht zu früh oder hält personenbezogene Daten zu lange.
  • Beim Speichern rechnet CRMS retainUntil = Speicherzeit (UTC) + Dauer und schreibt das Ergebnis fest in die Revision. Mit demselben Datum sperrt es das Objekt im Speicher.

Der Lebenslauf einer Revision

stateDiagram-v2
  [*] --> Aufbewahrt: FINAL gespeichert
  Aufbewahrt --> Festgehalten: Legal Hold gesetzt
  Festgehalten --> Aufbewahrt: Legal Hold aufgehoben
  Aufbewahrt --> Löschbar: retainUntil erreicht
  Festgehalten --> Festgehalten: retainUntil erreicht
  Löschbar --> Festgehalten: Legal Hold gesetzt
  Löschbar --> Grabstein: gelöscht
  Grabstein --> [*]
  • Er gilt für die ganze Kette: alle Revisionen, die noch Bytes haben, und auch jede Revision, die gespeichert wird, solange er gilt.
  • Er wird in der Kette als Eintrag LEGAL_HOLD_SET festgehalten und im Speicher als S3-Legal-Hold auf jedes Objekt gesetzt.
  • Setzen und Aufheben verlangen einen Grund als Schlüssel, zum Beispiel litigation-hold und litigation-ended.
Anfrage
POST /crms/documents/7c1e…/legal-hold
{ "reason": "litigation-hold" }
Antwort
204 No Content

Die Revision in der Adresse wählt nur die Kette. Der Hold gilt danach für alle ihre Revisionen. Aufheben geht mit POST /crms/documents/{revision}/legal-hold/release und ebenfalls einem Grund.

FallAntwort
Hold setzen, obwohl schon einer gilt409 document-legal-hold-active
Hold aufheben, obwohl keiner gilt409 document-legal-hold-inactive

Wann gelöscht werden kann

Revision schon gelöscht?Legal Hold auf der Kette?retainUntil erreicht?Was passiert beim Löschen
ja––410 document-erased
neinja–409 document-legal-hold-active
neinneinnein409 document-retention-active
neinneinjaBytes gelöscht, Schlüssel vernichtet, Grabstein bleibt

Vor Ende der Aufbewahrung gibt es keinen Weg zum Löschen. Würde CRMS es versuchen, lehnte der Speicher es ab (document-locked).

Was beim Löschen passiert

  1. 1
    CRMS
    prüft Legal Hold und Aufbewahrung, wie in der Tabelle oben
  2. 2
    CRMS→Dateispeicher
    löscht genau die Version des Objekts
  3. 3
    CRMS→Datenbank
    vernichtet den Dokumentschlüssel. Seine Zeile bleibt als Grabstein, das Journal bekommt document-key-destroyed
  4. 4
    CRMS→Datenbank
    hängt einen Eintrag ERASED mit Benutzer und Grund an die Kette und schreibt document-erased ins Journal
    Ergebnis: Lesen antwortet ab jetzt 410 document-erased. Die Kette prüft weiter als intakt

Die verschlüsselte Payload liegt in der Datenbank. Sie wird mit demselben Schlüssel unlesbar. Dieses Löschen durch Vernichten des Schlüssels nennt man Crypto-Shredding.

Zwei Wege zum Löschen

Wer löscht

Wann: der Normalfall, die Aufbewahrung ist abgelaufen

  1. 1
    CRMS
    geht alle CODAMAI_CRMS_RETENTION_INTERVAL (Standard PT24H) die Arbeitsliste durch, erst im System, dann in jedem Mandanten
  2. 2
    CRMS
    löscht jede fällige Revision, Benutzer crms-retention, Grund retention-expired
  3. 3
    CRMS
    lässt Revisionen unter Legal Hold auf der Liste, der nächste Lauf versucht es wieder
    Ergebnis: Fällige Revisionen sind Grabsteine

Wann: jemand verlangt die Löschung, zum Beispiel nach DSGVO Art. 17, und keine Aufbewahrungspflicht steht mehr entgegen

  1. 1
    Client→CRMS
    schickt POST /crms/documents/{revision}/erase mit {"reason": "data-subject-request"}
  2. 2
    CRMS
    prüft Rolle, Legal Hold und Aufbewahrung wie oben
  3. 3
    CRMS→Client
    antwortet 204
    Ergebnis: Die Revision ist ein Grabstein, der Antragsteller steht als Benutzer in der Kette

Der Aufbewahrungslauf läuft wie der Ankerlauf in jeder Instanz mit CODAMAI_CRMS_SCHEDULING_ENABLED=true und erreicht alle Mandanten, die CIAS kennt, auch gesperrte und geschlossene.

Wer was darf

AufrufRolle (Standard)Variable
Legal Hold setzen und aufhebencrms-document-custodianCODAMAI_CRMS_REST_DOCUMENT_ROLES_HOLD
Löschencrms-document-eraserCODAMAI_CRMS_REST_DOCUMENT_ROLES_ERASE

Fehlt die Rolle, antwortet CRMS 403 document-access-denied, bevor es überhaupt nach dem Dokument sucht. Eine Ablehnung verrät also nicht, ob es das Dokument gibt. Die ganze Rollenliste steht unter Rollen.

Fallen

Weiter

Suchen