Richtlinie zur Datenaufbewahrung

Gültig ab 14. August 2026. Bestandteil der Datenschutzerklärung und des Auftragsverarbeitungsvertrags von CommonLynk.

1. Grundsatz

Wir speichern personenbezogene Daten nur so lange, wie es für die Zwecke, zu denen sie erhoben wurden, erforderlich ist und wie es das anwendbare Recht vorschreibt. Für unterschiedliche Daten gelten unterschiedliche Aufbewahrungsfristen, die nachstehend aufgeführt sind. Diese Richtlinie steht im Einklang mit den maßgeblichen Datenschutzregelwerken, einschließlich des Grundsatzes der Speicherbegrenzung der DSGVO, sowie mit den Datenschutzgesetzen, die auf Ihre Nutzung der Plattform anwendbar sind.

2. Lebenszyklus des Kontos (Arbeitsbereiche der Organisationen)

Ein Abonnement und der zugehörige Arbeitsbereich durchlaufen festgelegte Phasen:

Aktiv

Auslöser: Abonnement bezahlt/laufend
Was mit den Daten geschieht: Uneingeschränkter Zugriff; Daten werden regulär verarbeitet.

Kulanzfrist

Auslöser: Zahlung bleibt aus
Was mit den Daten geschieht: Eine begrenzte Kulanzfrist (Zielwert: 30 Tage), in der Regel mit reinem Lesezugriff; die Daten bleiben gespeichert; eine Verlängerung stellt den Zugriff wieder her.

Ruhend

Auslöser: Die Kulanzfrist endet ohne Verlängerung
Was mit den Daten geschieht: Der Arbeitsbereich wird für einen weiteren Zeitraum gesperrt (Zielwert: 6 Monate); die Daten bleiben gespeichert, sind jedoch nicht zugänglich; eine Reaktivierung nach Zahlung stellt sie wieder her.

Löschung

Auslöser: Der Ruhezeitraum endet
Was mit den Daten geschieht: Der Arbeitsbereich und seine Daten werden nach vorheriger Benachrichtigung zur endgültigen Löschung vorgemerkt, es sei denn, die Organisation hat sie exportiert oder es besteht eine gesetzliche Aufbewahrungspflicht (Legal Hold).

Zu Beginn der Kulanzfrist erstellen wir automatisch eine abschließende, vollständige und herunterladbare Kopie des Arbeitsbereichs (ein „Offboarding-Paket“) und halten sie während der gesamten Kulanzfrist und des Ruhezeitraums für die Organisation zum Herunterladen bereit – damit die Organisation ihre Daten vor jeder Löschung abrufen kann. Die endgültigen Fristen werden in den Nutzungsbedingungen bestätigt; soweit erforderlich, benachrichtigen wir vor der endgültigen Löschung.

3. Daten der Organisation (Daten zu Begünstigten)

Daten über die Einzelpersonen, Haushalte und Einrichtungen, die eine Organisation erfasst und betreut (jeweils „Begünstigte“ (Beneficiary)), sowie deren operative Daten unterliegen der Kontrolle der Organisation. Die Organisation entscheidet, was erhoben wird und wie lange es aufbewahrt wird, und kann Datensätze während der aktiven Phase jederzeit berichtigen oder löschen. Bei Vertragsbeendigung werden die Daten der Organisation gemäß dem Auftragsverarbeitungsvertrag gelöscht oder zurückgegeben. Wir bewahren Daten der Organisation nicht länger auf als für die Dauer des oben beschriebenen Lebenszyklus zuzüglich etwaiger gesetzlich vorgeschriebener Fristen.

4. Bestimmte Datenarten (CommonLynk als Verantwortlicher)

Konto/Identität: werden für die Dauer des Kontos gespeichert; nach der Schließung gemäß dem Lebenszyklus gelöscht.
Abrechnung/Rechnungen: werden für den nach Steuer- und Handelsrecht vorgeschriebenen Zeitraum (üblicherweise mehrere Jahre) aufbewahrt, auch nach Schließung des Kontos, und anschließend gelöscht.
Zahlungsreferenzen / hochgeladene Überweisungsbelege: werden für den Zahlungsabgleich und für die gesetzlich vorgeschriebene Aufbewahrungsfrist für Finanzunterlagen aufbewahrt.
Authentifizierungs- & Sicherheitsprotokolle: werden für einen begrenzten Zeitraum zu Sicherheits- und Betrugsverhinderungszwecken aufbewahrt und anschließend gelöscht oder anonymisiert.
Support-Kommunikation: wird für einen angemessenen Zeitraum aufbewahrt, um Anfragen und Streitigkeiten zu bearbeiten.
Marketing-/Einwilligungsnachweise: werden aufbewahrt, solange die Einwilligung wirksam ist, und darüber hinaus für einen Zeitraum, um die Einwilligung nachzuweisen.

4a. Diagnose- und Fehlerberichtsdaten

Wenn auf der Plattform ein Fehler auftritt oder eine Nutzerin bzw. ein Nutzer ein Problem meldet oder einen Vorschlag macht, erfassen wir Diagnosedaten und die Meldung selbst (siehe Datenschutzerklärung Abschnitt 6 und Auftragsverarbeitungsvertrag Abschnitt 5A). Für diese gelten eigene Fristen:

Rohe Fehlerdatensätze – technische Fehlerdetails, Seitenadresse, Browser, Aktionsverlauf

Aufbewahrung: 180 Tage. Die Löschung wird derzeit von einer Administratorin bzw. einem Administrator von CommonLynk mithilfe eines integrierten Löschwerkzeugs durchgeführt; sie erfolgt noch nicht nach einem automatischen Zeitplan
Grund: Lang genug, um festzustellen, ob ein Fehler über einen Berichtszeitraum hinweg wiederkehrt; nicht länger

Fehlerzusammenfassungen – der aggregierte Datensatz eines bestimmten Fehlers mit Häufigkeiten und Daten, der keine personenbezogenen Daten enthält

Aufbewahrung: Wird aufbewahrt, solange der Fehler für die Historie der Plattform relevant ist
Grund: Er dokumentiert, was fehlerhaft war und wann es behoben wurde

Screenshots und Dateien, die einer Meldung beigefügt sind

Aufbewahrung: Werden zusammen mit der Meldung aufbewahrt, zu der sie gehören. Wir wenden auf diese Dateien derzeit keine automatische, zeitbasierte Löschung an. Sie werden jederzeit auf Anfrage sowie bei Löschung einer Meldung gelöscht; die Meldung behält einen Vermerk, dass ein Anhang existierte
Grund: Diese Dateien bergen das höchste Risiko, personenbezogene Daten von Begünstigten zu enthalten; daher arbeiten wir darauf hin, für sie eine kürzere, automatisch durchgesetzte Aufbewahrungsdauer festzulegen als für die Meldung selbst

Meldungen und die zugehörigen Nachrichtenverläufe

Aufbewahrung: Werden für die Dauer des Kontos und des Lebenszyklus gemäß Abschnitt 2 aufbewahrt
Grund: Sie dokumentieren, was angefragt und was von uns geantwortet wurde – erforderlich für Streitigkeiten, Prüfungen und die Kontinuität des Supports

Automatisierte Analysen eines Fehlers

Aufbewahrung: Werden zusammen mit der Fehlerzusammenfassung gelöscht, zu der sie gehören
Grund: Kein eigenständiger Zweck

Diese Fristen werden von Administratorinnen und Administratoren von CommonLynk mithilfe eines integrierten Löschwerkzeugs angewendet und können ausschließlich von Administratorinnen und Administratoren von CommonLynk konfiguriert werden. Sie werden noch nicht durch einen automatischen Zeitplan durchgesetzt; ihre Umstellung auf einen solchen ist geplant. Organisationen können jederzeit die vorzeitige Löschung einer bestimmten Meldung oder eines bestimmten Anhangs verlangen, und wir kommen solchen Anfragen umgehend nach.

5. Sicherungen

CommonLynk unterhält zwei Sicherungsebenen. Beide werden über verschlüsselte Verbindungen (TLS) übertragen. Die Verschlüsselung ruhender Daten unterscheidet sich zwischen den beiden Ebenen und wird nachstehend getrennt beschrieben:

Sicherungen des Arbeitsbereichs – die Organisation kann innerhalb der Plattform vollständige Kopien ihres eigenen Arbeitsbereichs (Tabellen, CSV, ursprünglich hochgeladene Dateien sowie eine technische Datenbankkopie) erstellen, planen und herunterladen. Automatische Kopien werden nach dem Großvater-Vater-Sohn-Prinzip rotiert aufbewahrt – die jeweils letzten 7 täglichen, 4 wöchentlichen und 6 monatlichen Kopien – und anschließend automatisch bereinigt; von bedarfsweise erstellten Kopien werden die jeweils letzten wenigen aufbewahrt. Die Aufbewahrungsanzahlen werden automatisch überprüft, sodass Kopien weder vorzeitig verloren gehen noch unbegrenzt angesammelt werden. Jedes dieser Pakete wird im Ruhezustand mit AES-256 verschlüsselt, und zwar mit einem Schlüssel, der dem Sicherungssubsystem vorbehalten und vom Schlüssel für die Live-Daten getrennt ist.
Infrastruktursicherungen – Datenbank-Snapshots der gesamten Plattform auf Serverebene, die jede Nacht erstellt und in einem kurzen Zyklus (derzeit 7 Tage) zur Notfallwiederherstellung rotiert werden. Sie werden über TLS übertragen und in einem zugriffskontrollierten Objektspeicher aufbewahrt. CommonLynk wendet auf diese Ebene derzeit keine eigene Verschlüsselung an, und der Speicheranbieter bietet für sie keine Verschlüsselung ruhender Daten an. Die Einführung einer Verschlüsselung für diese Ebene ist geplant.

Aus dem Live-System gelöschte Daten verbleiben in Sicherungskopien nur so lange, bis diese Kopien aus der Rotation ausscheiden; danach werden sie überschrieben. Werden die Datensätze einer betroffenen Person gelöscht, wird diese Löschung bei jeder Wiederherstellung beachtet – eine Wiederherstellung bringt gelöschte Datensätze nicht zurück. Die Organisation kann sich zusätzlich dafür entscheiden, ihre Sicherungskopien in einem Speicher, der ihr gehört und von ihr kontrolliert wird, zu erhalten (Sicherungshinterlegung), und verfügt so über eine unabhängige Kopie außerhalb der Infrastruktur von CommonLynk. Die Aufbewahrung von Sicherungen wird auf das für die Notfallwiederherstellung und die Betriebskontinuität erforderliche Minimum beschränkt.

6. Gesetzliche Aufbewahrungspflichten (Legal Holds)

Unterliegen Daten einer rechtlichen Verpflichtung, einer Untersuchung oder einer Streitigkeit, können wir sie über die oben genannten Fristen hinaus so lange aufbewahren, wie dies erforderlich ist; danach wird die reguläre Löschung fortgesetzt.

7. Löschverfahren

Erreichen Daten das Ende ihrer Aufbewahrungsdauer, werden sie aus den Live-Systemen gelöscht und scheiden mit der Zeit aus den Sicherungen aus; Dateien werden aus dem Speicher entfernt. Ist eine vollständige Löschung nicht unmittelbar möglich, werden die Daten isoliert und geschützt, bis die Löschung möglich ist.

8. Anfragen & Kontakt

Um die Löschung von Daten zu beantragen, die wir als Verantwortlicher verarbeiten, wenden Sie sich an unsere Datenschutzbeauftragte, Yasmine Ossama – dpo@commonlynk.com. Für Daten zu Begünstigten wenden Sie sich bitte an die jeweilige Organisation (wir unterstützen als Auftragsverarbeiter).