Aufbewahrung (Gallring)¶

System-Administration → Betrieb & Überwachung → Aufbewahrung (Gallring) überwacht die Löschfristen aller Formulare. Hier siehst du, was gelöscht wurde, gibst fällige Löschungen frei und sperrst einzelne Datensätze.

Die Frist selbst gehört zum Formular und wird im Formular-Editor eingestellt, siehe Aufbewahrung und Löschfristen.

Wer den Bereich sieht¶

Administratoren und alle mit dem Recht Aufbewahrung (Gallring) verwalten (RETENTION_MANAGE). Das Recht ist für Datenschutz- und Archivbeauftragte gedacht. Es gibt keinen Zugang zum Formular-Editor und ist nicht gleichwertig mit Administrator: Ausgeführt werden nur die Skripte, die ein Formular-Designer hinterlegt hat.

Der tägliche Lauf¶

Ein Hintergrunddienst prüft einmal am Tag alle Formulare mit Aufbewahrungsfrist. Die Uhrzeit stellst du oben auf der Seite ein (Vorgabe 02:30, in der Zeitzone aus den System-Einstellungen). War der Server zu der Zeit aus, holt er den Lauf nach dem Hochfahren nach.

Je fälligem Datensatz gilt diese Reihenfolge:

Gesperrt → bleibt, ohne Protokolleintrag.
Zurückgestellt und das Datum noch nicht erreicht → bleibt.
Freigabe verlangt und noch nicht freigegeben → wird vorgelegt (einmal protokolliert) und bleibt.
Sonst: Die Regel des Formulars wird ausgeführt und protokolliert.

Jeder Datensatz läuft für sich. Scheitert einer, steht ein Fehler im Protokoll, der Datensatz bleibt unverändert, und der nächste Lauf versucht es erneut. Je Formular und Lauf werden höchstens so viele Datensätze verarbeitet, wie unter je Lauf höchstens eingestellt ist (Vorgabe 500). Der Rest folgt am nächsten Tag.

Jetzt ausführen startet einen Lauf sofort. Der Dienst ist bewusst kein Job im Zeitplaner: Dort ließe er sich versehentlich löschen, und die Löschpflicht wäre unbemerkt abgeschaltet.

Reiter¶

Protokoll¶

Jede Löschung, Anonymisierung, Vorlage, Freigabe, Sperre und jeder Fehler steht hier, neueste zuerst. Die Filter oben grenzen nach Ergebnis ein, das Feld rechts daneben nach Formular. Ein Klick zeigt die Einzelheiten:

Angabe	Bedeutung
Regel, Rechtsgrundlage	so, wie sie zum Zeitpunkt der Ausführung im Formular stand
Fristbeginn, Aufbewahrt bis	Startdatum und letzter Aufbewahrungstag
Anlagen	Anzahl und Größe der mitgelöschten Dateianlagen
Ausgeführt von / Freigegeben von	`system` für den Zeitplan, sonst der Name
Referenz	z. B. die Ablage im Langzeitarchiv, gesetzt vom Skript

Das Protokoll enthält keine Inhalte der Datensätze, also keine Feldwerte und keine Dateinamen. Sonst stünden die gelöschten personenbezogenen Daten im Nachweis ihrer Löschung wieder da.

Kette prüfen rechnet die Prüfsummen nach. Jeder Eintrag trägt einen SHA-256 über seinen Inhalt und den Vorgänger. Wird ein Eintrag nachträglich geändert oder entfernt, nennt die Prüfung die Stelle. CSV lädt das (gefilterte) Protokoll für die Ablage herunter.

Protokoll aufbewahren legt fest, wie lange Einträge bleiben (Vorgabe 10 Jahre, 0 = nie löschen). Werden alte Einträge entfernt, beginnt die Prüfkette beim ältesten verbliebenen Eintrag. Das ist kein Bruch.

Freigabe¶

Datensätze aus Formularen mit Vor der Ausführung freigeben lassen. Anhaken und Freigeben: Der nächste tägliche Lauf führt aus. Freigeben und sofort ausführen startet den Lauf gleich für die betroffenen Formulare. Zurückstellen und Sperren nehmen einen Datensatz aus der Liste.

Regeln & Vorschau¶

Alle Formulare mit Aufbewahrungsregel. Läuft eine Regel nicht, steht der Grund in Rot darunter, etwa ein fehlendes Datumsfeld oder ein fehlendes Skript.

Vorschau zeigt, was ein Lauf heute täte: je Datensatz Fristbeginn, Fristende und Zustand. Dabei wird nichts geändert und nichts protokolliert. Vor dem ersten Scharfschalten einer Regel ist das der wichtigste Knopf.

Sperren¶

Eine Sperre (Legal Hold) hält einen Datensatz zurück, unabhängig von seiner Frist, zum Beispiel während eines Rechtsstreits, einer Betriebsprüfung oder einer Archivbewertung. Zurückstellen wirkt nur bis zu einem Datum. Aufheben stellt die normale Frist wieder her. Setzen und Aufheben stehen mit Namen und Grund im Protokoll. Der Grund sollte deshalb keine personenbezogenen Angaben enthalten.

Auch anonymisierte Datensätze stehen hier (als Anonymisiert). Hebt man die Marke auf, prüft der nächste Lauf den Datensatz erneut.

Läufe¶

Die letzten Läufe mit Auslöser, Status und Zählern.

Gut zu wissen¶

Was nicht mitgelöscht wird: bereits verschickte E-Mails im E-Mail-Ausgang (sie laufen dort nach ihrer eigenen Frist aus), Dateien, die Skripte selbst in die Datei-Ablage geschrieben haben, und Datensicherungen.
Freigabe und Sperre hängen am Datensatz. Wird ein Datensatz von Hand gelöscht, verschwinden auch sie. Seine Protokolleinträge bleiben.
Ein Formular ohne gespeicherte Datensätze (Speicher-Modus „memory“) hat nichts zu löschen.