Vorlage an JC · DSGVO#01 · Register #2241 · 20.09.2026

Löschen — welche Form?

Du hast beide Formen schon benutzt, und beide heißen „löschen“: am 02.09. hart gelöscht (DELETE, weg), am 05.09. umkehrbar markiert (processing_state='source_lost', das harte Löschen stand auskommentiert daneben). Deshalb frage ich dich nicht „löschen ja oder nein“, sondern: welche der beiden Formen — und soll daraus eine Hausregel werden, statt jedes Mal neu entschieden zu werden.

Anlass: JE-182 „Alle Tests sollten gelöscht werden“Bestand gemessen: BESTAND#01, Register #2216SQL liegt bereit: 05_SCHEMA/PROPOSED_dsgvo01_testbelege_aufraeumen.sqlNichts ausgeführt

Empfehlung zuerst

Meine Empfehlung, in drei Sätzen

① Hausregel: „löschen“ heißt bei uns künftig umkehrbar markieren — der Beleg verschwindet aus Listen und Auswertungen, die Datei bleibt liegen, der Weg zurück ist ein Handgriff.

② Endgültig löschen nur auf dein ausdrückliches Wort, Stück für Stück, und nur wenn nichts daran hängt.

③ Für den aktuellen Fall: die neun sauberen Probe-Uploads endgültig löschen, #8426 nicht anfassen — er ist kein Test.

Warum

Ein Fall, der beinahe passiert wäre: #8426

#8426 trägt den Betreff „test 22“. Darin stecken 115 Zeilen echter Kreditkartenauszug von C3, Konto …7764, echte Umsätze (OpenAI, Adobe), März 2026. Er stand auf der Löschliste.

Eine Löschregel, die auf Betreffzeilen schaut, ist genau dort blind, wo sie am teuersten ist: Ein echter Kontoauszug, gelöscht, weil jemand „test 22“ in die Betreffzeile geschrieben hat, hinterlässt keine Lücke, die jemand sucht. Niemand vermisst ihn, bis der Steuerberater fragt.

Gefunden hat ihn BESTAND#01 beim Nachmessen (#2216) — nicht die Regel, sondern der Mensch.

Zum Abhaken

Deine Entscheidungen — fünf Fragen

Nr	Was ist darin	Konkrete Frage	Empfehlung
1	Die Hausform. Heute bedeutet „löschen“ je nach Tag etwas anderes. Eine Löschung ohne Rückweg ist eine andere Entscheidung als eine mit — und keiner der beiden Fälle hat dich gefragt, welche du meinst.	Soll „löschen“ bei uns künftig umkehrbar markieren heißen, und endgültiges Löschen nur auf dein ausdrückliches Wort?	Ja. Umkehrbar als Standard. Das Wort „endgültig“ muss man dann aussprechen — und genau das ist der Sinn.
2	Die neun Probe-Uploads. Gemessen: 0 Textstücke im KI-Gedächtnis, 0 Buchungen, 0 Verträge, 0 Fahrtenbuch-Zeilen. Es hängt nichts daran.	Endgültig löschen — also Datenbankzeile und Datei im Speicher?	Ja, endgültig. Bei echten Probe-Uploads ist das der Zweck. Ich drucke vorher die Liste mit den Speicherorten, sonst ist die Datei danach nicht mehr auffindbar.
3	#8426, der echte Kontoauszug mit dem Betreff „test 22“.	Aus der Liste nehmen und stattdessen richtig einsortieren (C3, Kreditkarte …7764)?	Ja, herausnehmen. Löschen wäre hier ein Verlust, kein Aufräumen. Den Betreff lassen wir stehen, er ist die Spur.
4	Zehn oder vierzehn. Du hast zehn genannt. Die Test-Markierung in der Datenbank kennt 14 von 888 Belegen.	Gelten genau deine zehn, oder sollen alle 14 markierten weg?	Deine zehn gelten. Ich lege dir die restlichen vier mit Name, Datum und Firma daneben; du hakst sie mit einem Blick ab. Ein Fund der Markierung ist eine Frage an dich, kein elfter Löschvorgang.
5	Die Datei im Speicher. Sie hängt an keiner Verknüpfung. Wer nur die Datenbankzeile löscht, lässt die Datei zurück — ohne Herkunft, ohne Firma — und löscht zugleich den einzigen Hinweis darauf, wo sie liegt.	Soll bei jeder endgültigen Löschung die Datei zwingend mitgehen, mit gedruckter Liste vorher und Gegenprobe danach?	Ja, zwingend. Andernfalls entsteht bei jedem Aufräumen ein herrenloser Rest, den später niemand mehr zuordnen kann.

Hintergrund

Was dahinter steckt, ohne dass du nachschlagen musst

Drei Sperren hängen an Belegen: Fahrtenbuch, Buchungen und Verträge. Hängt eines davon dran, bricht die Reihe mitten drin ab — und danach weiß niemand mehr, was schon geschehen ist. Deshalb prüfe ich das vorher, nicht unterwegs.
Es gibt keinen Papierkorb, keine Wiederherstellung im Speicher und kein Backup. Was endgültig gelöscht wird, ist weg. Für Testobjekte ist genau das gewollt; für alles andere ist es eine offene Flanke, die in den Workshop gehört.
Das KI-Gedächtnis räumt sich mit: Textstücke eines gelöschten Belegs verschwinden automatisch — aber nur, wenn über die Datenbank gelöscht wird, nicht wenn jemand nur die Datei entfernt.

Lern-Box · „NO ACTION“ klingt harmlos, ist es aber nicht Eine Verknüpfung zwischen zwei Tabellen kann sagen, was beim Löschen passieren soll. RESTRICT heißt „ich blockiere“. NO ACTION klingt nach „mir egal“ — blockiert aber genauso. Zwei der drei Sperren oben tragen diesen irreführenden Namen. Ein Name, der das Gegenteil nahelegt, ist gefährlicher als gar keiner, weil niemand nachsieht.

Lern-Box · Der Objektschlüssel Jede hochgeladene Datei liegt in einem Speicher-Eimer unter einem Schlüssel — so etwas wie ihre Adresse. Diese Adresse steht nur in der Datenbankzeile des Belegs. Löscht man die Zeile, ist die Datei noch da, aber ihre Adresse kennt niemand mehr. Deshalb: erst Liste drucken, dann löschen.

Danach

Was passiert, sobald du antwortest

Ich trage deine Antwort als Hausregel ins Sicherheits-Konzept ein (§7a), damit sie nicht bei jedem Fall neu verhandelt wird.
Die SQL liegt fertig als PROPOSED_dsgvo01_testbelege_aufraeumen.sql: erst Liste drucken, dann Sperren prüfen, dann — je nach deiner Antwort — markieren oder löschen, dann Gegenprobe. Jeder Schritt bis zur Wahl ist eine reine Abfrage; geschrieben wird nichts.
Ausführen tust du, wie bei jeder SQL. BESTAND#01 begleitet den Lauf und meldet die Gegenprobe: keine Textstücke mehr, keine Dateien mehr, genau so viele Belege weniger wie beschlossen.

Wo das im Haus steht

Sicherheit §7a — Personen löschen: dort stehen die Lösch-Stufen, die Fristen und der Satz „Zeile weg heißt nicht Datei weg“. Deine Antwort auf Frage 1 wird dort zur Hausregel.
Sicherheit §7 — Lebenszyklus: die drei Stufen ① KI vergisst · ② Papierkorb · ③ endgültig. Stufe ② ist bis heute nur Modell, nicht gebaut — das ist der Grund, warum Frage 1 überhaupt offen ist.
Dokumentmanagement: die Ablage, aus der die Belege kommen.