Recht auf Vergessenwerden — und warum fast kein Backup-Anbieter wirklich löscht

Die rechtliche Lage: was «Vergessenwerden» wirklich heisst

Art. 17 der europäischen Datenschutz-Grundverordnung (DSGVO) regelt das «Recht auf Löschung» — umgangssprachlich das Recht auf Vergessenwerden. Eine betroffene Person kann verlangen, dass ihre Personendaten gelöscht werden, wenn die Speicherung nicht mehr nötig ist, die Einwilligung zurückgezogen wurde oder die Verarbeitung unrechtmässig war. Wer Daten von EU-Bürgern verarbeitet — also fast jedes Schweizer KMU mit EU-Kundschaft — ist unmittelbar betroffen.

Mit dem revidierten Schweizer Datenschutzgesetz (revDSG), seit dem 1. September 2023 in Kraft, gibt es ein vergleichbares Recht in der Schweiz: Art. 32 Abs. 2 revDSG räumt betroffenen Personen das Recht ein, die Löschung ihrer Personendaten zu verlangen, ausser die Bearbeitung ist gesetzlich vorgeschrieben oder durch ein überwiegendes Interesse gerechtfertigt.

Das kleine, aber entscheidende Detail steht im Wortlaut beider Gesetze: Die Löschung muss ohne unverhältnismässigen Aufwand erfolgen — und sie muss vollständig sein. Eine Datei, die aus dem Livesystem entfernt, aber in einem Backup-Stand von vor zwei Jahren noch vorhanden ist, ist nicht gelöscht im Sinne des Gesetzes. Sie ist nur ausgeblendet.

Das Backup-Problem: Ihr Schutzschild wird zur Falle

Hier liegt der Kern des Dilemmas. Eine ordentliche Backup-Lösung bewahrt nicht nur die aktuelle Version Ihrer Daten auf, sondern die gesamte Historie: tägliche, wöchentliche, monatliche und oft jahrelange Stände. Eine Kundenakte, die im März 2023 erfasst und im Mai 2026 gelöscht werden soll, existiert in der Regel in jedem einzelnen Backup-Stand dazwischen — das sind schnell einige hundert Versionen.

Diese Historie ist eigentlich Ihr Schutz: Sie schützt vor Ransomware, vor versehentlichem Löschen, vor Hardware-Ausfällen. Das ist der Sinn der Versionierung. Doch genau dieser Schutz wird zum Problem, wenn eine bestimmte Datei weg muss. Sie können nicht einfach eine Datei aus der Historie herausziehen, ohne die Stände drumherum zu beschädigen — jedenfalls nicht mit den Werkzeugen, die die meisten Anbieter zur Verfügung stellen.

Warum fast kein Anbieter das kann

Die technische Ursache ist trivial, die Konsequenz massiv. Moderne Backup-Systeme arbeiten inkrementell: Jeder neue Snapshot speichert nur die Veränderungen zum vorherigen. Die Daten-Blöcke werden über viele Stände hinweg geteilt (Deduplikation), um Speicherplatz zu sparen. Dieser Ansatz ist effizient — aber er macht granulare Löschung ausserordentlich aufwendig.

Um eine einzelne Datei aus einem einzigen älteren Snapshot zu entfernen, müsste das System den gesamten Stand neu schreiben, samt aller Folgestände, die sich auf die veränderten Blöcke beziehen. Bei hunderten Snapshots und einer verflochtenen Deduplikations-Struktur ist das ein massiver Eingriff in die Integrität der Backup-Kette. Deshalb bieten die meisten Anbieter stattdessen an:

• Ganzen Snapshot löschen. Der gesamte Backup-Stand eines bestimmten Tages verschwindet — samt aller anderen Dateien, die darin enthalten sind. Eine Lösung, die oft schlimmer ist als das Problem.
• Gesamtes Konto löschen. Backblaze, Carbonite, IDrive und viele andere sagen offen: «Konto löschen, dann ist alles weg.» Das ist die einzige Option, die sie anbieten. Eine einzelne Datei aus der Historie entfernen? Geht nicht.
• Gar nichts. Manche Anbieter bestätigen zwar die Löschung im Livesystem, erwähnen die Backups aber mit keinem Wort. Die Datei überlebt — und der Verantwortliche trägt das Risiko, ohne es zu wissen.

Die Lösung: granulare, revisionssichere Datei-Löschung

Hier setzt Archiv3 an. Statt zwischen «alles löschen» und «nichts löschen» wählen zu müssen, durchsucht Archiv3 alle Sicherungspunkte nach der Zieldatei und entfernt sie aus jedem einzelnen Stand — chirurgisch präzise. Alle anderen Dateien bleiben in jedem Stand unverändert erhalten. Anschliessend verifiziert das System eigenständig, dass die Datei wirklich nirgends mehr existiert, und protokolliert den gesamten Vorgang manipulationssicher.

Wie es funktioniert — in vier Schritten

1. Datei identifizieren. Sie geben einen Dateinamen oder ein Suchmuster ein — etwa kunde_schneider.pdf oder /dossiers/mueller/*. Archiv3 scannt sämtliche Sicherungspunkte und zeigt transparent, in wievielen Ständen die Datei vorkommt, mit Zeitraum und Datenmenge.
2. Master-Key eingeben. Ein normales Login reicht nicht. Sie müssen Ihren Master-Key (Repo-Passwort) manuell eingeben — er wird nie automatisch gelesen. Das verhindert, dass jemand mit temporärem Zugriff auf Ihre App-Session löschen kann.
3. Bestätigen. Sie sehen exakt, was gelöscht wird — welche Datei, in wievielen Ständen, welchen Zeitraums — und bestätigen ausdrücklich. Kein Auto-Löschen, kein Default-Yes.
4. Ausführen und verifizieren. Archiv3 schreibt jeden betroffenen Stand neu — ohne die Zieldatei — und prüft danach selbstständig, ob die Datei wirklich in keinem Stand mehr auftaucht. Erst dann gilt der Vorgang als erfolgreich.

„Eine Datei im Livesystem zu löschen ist einfach. Sie aus der gesamten Backup-Historie zu entfernen und das kryptografisch nachzuweisen — das ist die eigentliche Herausforderung. Und die löst kaum ein Anbieter."— Archiv3

Kryptografisch verifiziert: nicht gelöscht heisst nicht gelöscht

Nach der Ausführung prüft das System eigenständig, ob die Zieldatei tatsächlich aus jedem einzelnen Stand entfernt wurde. Erst wenn diese Verifikation erfolgreich war, wird der Vorgang als abgeschlossen markiert. Schlägt die Prüfung fehl — etwa weil ein Snapshot in Verarbeitung war und noch referenziert wurde —, wird dies klar signalisiert und nicht stillschweigend übergangen. «Erfolgreich gelöscht» heisst bei Archiv3: verifiziert gelöscht.

Manipulationssicheres Audit-Log: revisionssicher wie eine Blockchain

Jede Phase der Löschung — Anforderung, Scan, Bestätigung, Ausführung, Verifikation — wird in einem append-only Log aufgezeichnet. Jeder Eintrag enthält den SHA-256-Hash des Vorgängereintrags, wie eine Blockchain. Eine nachträgliche Veränderung ist nicht nur schwierig — sie ist mathematisch nachweisbar. Sobald ein einziges Byte in einem früheren Eintrag geändert wird, stimmen alle Folge-Hashes nicht mehr.

Für betroffene Branchen ist das entscheidend: Ein Datenschutz-Auditor, eine Aufsichtsbehörde oder ein Gericht kann die gesamte Kette eigenständig nachvollziehen und verifizieren. Wann wurde was gelöscht, von wem, in wievielen Ständen — und wurde heimlich daran manipuliert? Die Antworten stehen im Log, kryptografisch gesichert.

WORM und Löschung — kein Widerspruch

Archiv3 bewahrt Sicherungen unveränderbar auf (WORM — Write Once Read Many), gehärtet gegen Ransomware und Manipulation. Das klingt zunächst wie ein Widerspruch zu «Datei löschen». Ist es aber nicht:

• WORM schützt Ihre Daten vor Angriffen und versehentlichem Überschreiben — innerhalb der Aufbewahrungsfrist.
• Die Lösch-Funktion ist ein bewusster, authentifizierter Vorgang, der ausdrücklich vom Schlüsselinhaber ausgelöst wird — kein Angriff, keine Panik.
• Bei Object-Lock-Repos werden die Snapshot-Referenzen sofort entfernt (die Datei ist nicht mehr zugänglich). Die physische Bereinigung der noch gelockten Daten-Blocks erfolgt nach Ablauf der Lock-Frist — transparent im Audit-Log dokumentiert.

Für wen ist das relevant?

Praktisch jedes KMU, das Personendaten verarbeitet und gleichzeitig Daten aufbewahren muss — also die meisten Schweizer Betriebe. Drei Gruppen sind besonders betroffen:

• Treuhand & Buchhaltung. Mandantenakten nach Ablauf der GeBüV-Aufbewahrungsfrist sauber vernichten — nicht nur vom aktuellen Stand, sondern aus der gesamten Historie. Drei, sieben, zehn Jahre Versionen: Alles muss weg, wenn die Frist endet.
• Anwaltskanzleien. DSG- und GDPR-Auskunfts- und Löschbegehren korrekt bearbeiten. Die Mandantenakte muss wirklich weg sein — nicht nur ausgeblendet. Hier reicht die klassische «Akte vernichten»-Routine nicht mehr, solange digitale Backups existieren.
• Arztpraxen & Gesundheitsberufe. Patientendaten nach Ablauf der Aufbewahrungspflicht revisionssicher entfernen und den Vorgang gegenüber Patient und Behörde nachweisen können.

Hinzu kommt jedes KMU mit EU-Kundschaft. GDPR Art. 17 verlangt die Entfernung «ohne unverhältnismässigen Aufwand» — bei einer versionierten Backup-Historie ist das ohne granulare Löschfunktion schlicht nicht machbar. Die Sanktionen sind real: Bei DSGVO-Verstössen drohen Bussen bis zu 4 % des weltweiten Jahresumsatzes oder 20 Millionen Euro, je nachdem, welcher Wert höher ist.

Fazit: Löschen ist die neue Aufbewahrung

Das Recht auf Vergessenwerden ist keine theoretische Pflicht aus Brüssel — es ist ein konkreter Handlungsauftrag, der die Technik dahinter herausfordert. Eine Backup-Lösung, die versioniert aufbewahrt, aber keine granulare Löschung anbietet, ist ein strukturelles Compliance-Risiko: Ihre Daten sind gut geschützt, aber Sie kommen nicht mehr los, was weg muss.

Archiv3 schliesst diese Lücke als erster Schweizer Backup-Anbieter mit einer revisionssicheren, manipulationssicher protokollierten Datei-Löschung, die den gesamten Versionsverlauf erfasst — kryptografisch verifiziert, hash-verkettet dokumentiert, geprüft durch den Master-Key. So wird aus einer lästigen Pflicht ein sauberer, nachweisbarer Vorgang.

Wie die Funktion im Detail funktioniert, lesen Sie im Beitrag Revisionssichere Datei-Löschung. Was das revidierte Schweizer Datenschutzgesetz sonst noch für Ihr KMU bedeutet, klärt der Artikel revDSG & Backup.