Kommen Sie wieder raus? Export, Übertragbarkeit und endgültige Löschung

Jede ernsthafte Anbieterprüfung endet mit zwei Fragen — und sie werden fast immer in der falschen Reihenfolge gestellt: zuletzt statt zuerst. Kann ich meine Daten exportieren und jederzeit gehen? Und kann ich alles endgültig löschen und das auch belegen? Wenn jemand fragt, liegen meist vier Jahre Einsendungen in der Plattform, drei Teams hängen daran, und die ehrliche Antwort ist teuer geworden.

Zwei verschiedene Fragen, die ständig vermischt werden

«Datenübertragbarkeit» meint in einer Beschaffungssitzung meist «können wir wegmigrieren». Darum geht es beim gesetzlichen Recht nicht — und die Vermischung führt zu Diskussionen, die niemand gewinnt.

Die praktische Folge: Verlangt eine teilnehmende Person ihre Daten, ist das Ihre Pflicht, und Sie erfüllen sie mit dem Export der Plattform. Eine Anbieterin, die eine einzelne Einsendung nicht in einem übertragbaren Format liefern kann, hat Ihnen ein Compliance-Problem übergeben, für das Sie geradestehen. Und Ihr eigener Ausstieg — worum es in der Sitzung eigentlich geht — gehört in den Vertrag, denn das Schweizer Recht liefert ihn nicht. Art. 28 Abs. 3 lit. h DSGVO verlangt immerhin von einer EU-Auftragsverarbeiterin, nach Wahl der Verantwortlichen am Ende der Leistung alles zu löschen oder zurückzugeben; Art. 9 nDSG kennt keine solche Klauselliste — genau deshalb muss sie in Ihre Vereinbarung. Siehe brauchen Sie einen Auftragsverarbeitungsvertrag für Ihr Formular-Tool.

Was ein brauchbarer Export tatsächlich enthält

«Wir unterstützen CSV-Export» ist keine Antwort, sondern ein Format. Die Frage ist, was den Weg hin und zurück übersteht.

Fünf Dinge, die eine Migration selten überleben

1. Die Formularlogik. Bedingte Verzweigungen, Validierungen, Punktevergabe und Berechnungen sind herstellerspezifisch und praktisch nie exportierbar. Planen Sie den Neuaufbau jedes Formulars ein — das ist der wahre Wechselpreis, nicht der Datenumzug.
2. Anhänge, aus dem genannten Grund.
3. Unterschriften. Erfasst als Bild oder Vektordaten in einem proprietären Feld. Sie können als Bild, als Textplatzhalter oder gar nicht exportiert werden. Ist die Unterschrift der rechtlich interessante Teil, prüfen Sie es, bevor es darauf ankommt.
4. Metadaten und Zeitstempel. Eingangs- und Lesezeit, Tags, interne Notizen, Status. Viele Exporte nehmen die Antworten mit und lassen alles weg, was Ihr Team darum herum aufgebaut hat — also oft genau das, was den Datensatz brauchbar machte.
5. Die Kontinuität des Links. Die öffentliche URL eines Formulars gehört der alten Anbieterin. Jeder gedruckte QR-Code, jeder Link in einem unterzeichneten Vertrag, jedes Lesezeichen im Intranet einer Partnerin zeigt dorthin. Planen Sie ein Weiterleitungsfenster — oder das Nachdrucken.

Einen Datensatz löschen heisst nicht die Daten löschen

Beim Löschen klafft die Lücke zwischen dem, was ein Produkt zeigt, und dem, was es tut, am weitesten. Beim Klick auf Löschen kann einiges oder alles davon geschehen — und es ist völlig legitim, die Anbieterin zu fragen, was:

• Die Zeile wird als versteckt markiert und bleibt in der Datenbank. Verbreitet, selten offengelegt — und der Grund, weshalb «Soft Delete» in jeden Anbieterfragebogen gehört.
• Die Datenbankzeile geht, die Datei bleibt. Der klassische Waisenfall: Die Einsendung verschwindet aus dem Posteingang, während ihre Anhänge unbefristet im Objektspeicher liegen — von nichts referenziert und von niemandem gelöscht.
• Beides geht, aber Backups behalten eine Kopie für die Backup-Aufbewahrungsdauer. Das ist normal und vertretbar — muss aber gesagt werden, mit der Frist, und gekoppelt an die Regel, dass Wiederherstellungen die Löschungen erneut anwenden.
• Kopien, welche die Plattform verlassen haben, bleiben unangetastet: Exporte auf Laptops, Benachrichtigungsmails mit Antworten, ein Data-Warehouse-Abgleich, eine CRM-Integration, ein Support-Ticket mit Screenshot.
• Abgeleitete Daten bleiben — Suchindizes, Summenstatistiken, Audit-Einträge. Manches soll bleiben: Ein Audit-Log, das sich durch Löschen des protokollierten Vorgangs verändern lässt, ist keines.

Löschnachweis — was eine Prüfstelle wirklich verlangt

Weder das nDSG noch die DSGVO verlangen für jeden gelöschten Datensatz ein Zertifikat. Verlangt wird der Sache nach, dass Sie die Regel und ihren Vollzug nachweisen können. In der Schweiz läuft der Löschanspruch über Art. 32 nDSG und die Persönlichkeitsschutzbestimmungen des Zivilgesetzbuchs statt über einen eigenen Artikel «Recht auf Vergessenwerden» — praktisch erwartet wird dasselbe wie unter Art. 17 DSGVO. Vier Dinge sollten vorzeigbar sein:

1. Die Regel, schriftlich, je Datenkategorie: wie lange Einsendungen bleiben, was am Ende geschieht, wer entscheidet.
2. Der Mechanismus — automatisiert, wo möglich. Eine Löschregel, die eine Person ausführt, wenn sie daran denkt, ist im ersten hektischen Monat gescheitert.
3. Ein Nachweis, dass sie lief: Datum, Umfang, Anzahl Datensätze, auslösende Stelle. Nicht der gelöschte Inhalt — das wäre widersinnig.
4. Die Bestätigung der Anbieterin für die Löschung am Vertragsende, mit Datum. Schriftlich verlangen; eine Anbieterin, die das nicht bestätigt, hat Ihnen etwas Wichtiges gesagt.

Eine Nuance gehört richtig gestellt: Audit-Spuren und Löschprotokolle sollen die Löschung überleben. «Einsendung 4f2a wurde am 12. März von A. Müller gelöscht» aufzubewahren, ist kein Löschversäumnis, sondern der Beleg dafür, dass gelöscht wurde. Nicht überleben darf der Inhalt.

Wo Verschlüsselung hilft — und wo sie in beide Richtungen schneidet

Ende-zu-Ende-Verschlüsselung verändert beide Hälften dieses Beitrags, und nicht nur in eine Richtung. Beim Löschen ist sie ein echter Vorteil: Hielt die Anbieterin ohnehin nur Geheimtext und verliess der Schlüssel nie Ihre Seite, sind Restkopien in einem Backup für die Anbieterin wertlos. Das entbindet Sie nicht vom Löschen, verändert aber das Risiko einer noch nicht erreichten Kopie erheblich.

Beim Export erzwingt sie eine Entwurfsfrage, der die Branche meist ausweicht: Kann der Server die Daten nicht lesen, muss der Export nach lokaler Entschlüsselung im Browser entstehen. Das ist mehr Entwicklungsarbeit — und der Grund, weshalb manche «verschlüsselte» Plattform für den Export stillschweigend serverseitig entschlüsselt, was zeigt, was ihre Verschlüsselung tatsächlich ist. Und der ehrliche Preis: Bei echter Ende-zu-Ende-Verschlüsselung bedeutet ein verlorener Schlüssel verlorene Daten. Das ist kein Lock-in, aber ein reales Betriebsrisiko — die Antwort darauf ist Disziplin bei der Schlüsselverwahrung, nicht ein schwächeres Produkt.

Wie Schweizerform beides handhabt

Gleiches Prinzip wie in dieser ganzen Reihe: Wir veröffentlichen es, weil wir es von anderen verlangen.

Daten herausbekommen

• CSV-Export gibt es in jedem Tarif, auch im kostenlosen. UTF-8 mit Byte Order Mark und RFC-4180-Quoting, damit Umlaute und Akzente in Excel korrekt erscheinen statt als Zeichensalat.
• Excel, PDF und ZIP sind Formate der bezahlten Tarife. Das sagen wir lieber offen, als es zu verschleiern: Das Format, das Anhänge mitnimmt, liegt in den bezahlten Stufen — CSV, das immer funktioniert, nicht.
• Das ZIP-Archiv enthält die echten Bytes: eine Tabelle mit den Antworten plus einen Ordner files/ je Einsendung mit den ursprünglichen Dateinamen, Unterschriftsbildern, optionalem AES-256-Passwort auf dem Archiv und einer Fehlerdatei, die aufführt, was nicht entschlüsselt werden konnte, statt still zu scheitern.
• Entschlüsselt wird in Ihrem Browser. Der Server liefert Geheimtext und verpackte Schlüssel; Ihr Browser entschlüsselt, formatiert die Datei und speichert sie. Der einzige Klartext, der je existiert, ist die Datei, die Sie bewusst gespeichert haben — und genau damit beginnen Ihre eigenen Aufbewahrungspflichten für diese Kopie.

Daten gelöscht bekommen

• Die Kontolöschung ist eine harte Löschung der Datenbankzeilen und der verschlüsselten Objekte im Schweizer Speicher — kein Flag und nicht nur Zeilen.
• Keine Waisen, keine Fehllöschungen. Die zu entfernenden Objekte werden über ihren gespeicherten Pfad in derselben Datenbanktransaktion vorgemerkt, welche die Zeilen löscht. Eine Bereinigung kann also nur Daten treffen, deren Zeilen bereits weg sind, und es können keine Bytes zurückbleiben. Was ein Absturz oder eine Speicherstörung verpasst, bleibt in der Warteschlange und wird von einem Sweeper abgearbeitet, der im Produktivbetrieb automatisch läuft.
• Die Daten anderer sind vor Ihrem Löschknopf geschützt. Besitzen Sie einen Workspace mit weiteren Mitgliedern, wird die Löschung verweigert, bis Sie ihn übertragen oder entfernen; Formulare, die Sie im Workspace einer anderen Person erstellt haben, werden deren Eigentümerin zugeordnet statt mit Ihrem Konto vernichtet.
• Audit-Einträge überleben — ohne Sie. Aufzeichnungen vergangener Handlungen bleiben, mit entfernter Akteurs-ID und einer E-Mail-Momentaufnahme: Der Beleg bleibt, das Konto nicht.
• Der ehrliche Vorbehalt: Die Löschung erfolgt sofort und ist unumkehrbar; wir können ein gelöschtes Konto und seine Einsendungen danach nicht wiederherstellen. Exportieren Sie vorher, wenn Sie die Daten je wollen könnten. Und weil Antworten auf Ihren Tresorschlüssel verschlüsselt sind, macht dessen Verlust die Daten unlesbar — der Wiederherstellungsweg existiert, aber er liegt in Ihrer Disziplin, nicht in unserer Datenbank.

Bewusst nicht behaupten wir hier eine Backup-Aufbewahrungsdauer, denn eine Zahl, die wir nicht veröffentlicht haben, ist kein Versprechen, auf das Sie sich stützen sollten. Fragen Sie uns — und jede Anbieterin — schriftlich, und sichern Sie die Antwort mit Datum. Genau diesen Massstab verlangt dieser Beitrag von uns.

Machen Sie den Ausstiegstest, bevor Sie ihn brauchen

Eine Plattform, die Sie nicht verlassen können, haben Sie nicht gewählt. Sie wählen sie weiterhin, jeden Monat, ohne gefragt zu werden.

Fazit

Die Übertragbarkeit gehört Ihren Teilnehmenden; Ihr Ausstieg gehört Ihrem Vertrag und dem, was der Export-Knopf wirklich produziert. «Löschen» hat vier Bedeutungen, und Anbieterinnen sagen selten, welche sie anbieten. Beide Fragen sind billig zu beantworten, solange es gut läuft, und teuer, wenn nicht — machen Sie den Ausstiegstest also jetzt, in einer Stunde, an einem echten Formular.

Der tiefere Punkt: Lock-in ist selten eine Klausel, sondern eine Anhäufung. Anhänge, die nur hinter einer angemeldeten URL existieren; Formulare, deren Logik niemand dokumentiert hat; Links auf Material, das Sie nicht zurückrufen können; Antwortinhalte, verstreut über Postfächer. Nichts davon wurde entschieden. Alles davon ist der Grund, weshalb Organisationen bei Werkzeugen bleiben, denen sie längst nicht mehr trauen — ein Muster, das nach den versteckten Kosten «kostenloser» Formular-Tools vertraut sein dürfte.