Was Rexfin aufbewahrt, was gelöscht wird, und wie Löschung tatsächlich funktioniert

„Wie lange behalten Sie unsere Daten, und können Sie sie wirklich löschen, wenn wir gehen?” gehört zu den ersten Fragen jeder Sicherheitsprüfung, und sie ist berechtigt. Die meisten Anbieter beantworten sie mit einem Richtliniendokument. Rexfin antwortet mit einem Mechanismus – denn die ehrliche Version von „wir löschen das” muss auch in einem System funktionieren, das gleichzeitig einen manipulationssicheren Audit-Trail über jede jemals verifizierte Zahl führt.

Nicht alles in der Plattform ist dieselbe Art von Daten

Als Erstes hört Rexfin auf, alle gespeicherten Inhalte als einen einzigen Datenblock zu behandeln. Jedes Dokument, jede extrahierte Kennzahl, jede zwischengespeicherte Antwort und jeder Audit-Eintrag trägt eine Sensitivitätsklassifizierung, die vom zugehörigen Deal geerbt und pro Artefakt bei Bedarf verfeinert wird. Diese Klassifizierung ist keine Dekoration – sie entscheidet, welche Verarbeitungsstandorte und welche Modellanbieter überhaupt zulässig sind, um mit den Daten in Berührung zu kommen. Dieser Zusammenhang wird genauer beschrieben unter wie Rexfin steuert, welche LLM-Anbieter Ihre Daten sehen dürfen. Ein Artefakt ohne auflösbare Klassifizierung fällt standardmäßig in die restriktivste Stufe, nie in die lockerste, und das Herabstufen einer Klassifizierung erfordert eine explizite, protokollierte Aktion – niemand kann etwas stillschweigend als weniger sensibel umetikettieren.

Die Klassifizierung trennt die Daten außerdem in zwei Lebenszyklen, die für die Aufbewahrung entscheidend sind: dauerhafte Ist-Daten – die extrahierten Kennzahlen und Quellseiten, die den Beleg hinter jeder Zahl bilden – und flüchtige, abgeleitete Artefakte – zwischengespeicherte Antworten, What-if-Entwürfe, Retrieval-Indizes. Auf der ersten Kategorie beruht der eigentliche Wert des Produkts. Die zweite lässt sich jederzeit neu berechnen, und sie unbegrenzt aufzubewahren wäre ein Risiko ohne Gegenwert.

Aufbewahrungsfenster – und eine Legal-Hold-Ausnahme

Flüchtige Artefakte erhalten ein Aufbewahrungsfenster, festgelegt je Artefakttyp und je Klassifizierung – eine zwischengespeicherte Antwort der höchsten Sensitivitätsstufe kann schneller verfallen als eine weniger sensible. Ein geplanter Job löscht, was sein Fenster überschritten hat, und tut dies, ohne die dauerhaften Atome anzurühren, aus denen das Artefakt abgeleitet wurde: Verschwindet eine zwischengespeicherte Antwort, berechnet Rexfin sie beim nächsten Abruf einfach neu, statt einen Fehler zu werfen. Genau das ist die bewusste Abwägung dieses Designs – man kann die sensible Datenspur aggressiv minimieren, gerade weil die zugrunde liegenden Atome und der Verifier jederzeit reproduzieren können, was gelöscht wurde.

Ein Deal unter Legal Hold ist davon vollständig ausgenommen. Das Setzen eines Holds ist eine protokollierte, bewusste Aktion, und sobald er aktiv ist, wird in diesem Deal nichts gelöscht oder entfernt, unabhängig vom Alter, bis der Hold wieder aufgehoben wird. Dieses Sicherheitsventil verhindert, dass automatisierte Datenminimierung Beweismaterial vernichtet, das ein Rechtsstreit oder eine Aufsichtsbehörde eingefroren hat.

Einen Deal löschen – und es belegen können

Wenn ein Kunde die Plattform verlässt oder eine betroffene Person ihr Recht auf Löschung ausübt, führt Rexfin eine gezielt begrenzte Löschung durch: Jede Zeile und jede Datei, die diesem Deal zugeordnet ist – Dokumente, extrahierte Atome, Modellzellen, Exporte, zwischengespeicherte Antworten –, wird entfernt, und nichts, was einem anderen Deal gehört, wird berührt. Das Ergebnis ist nicht bloß ein „erledigt” – es ist ein signiertes Manifest, das benennt, was gelöscht wurde, von wem und auf welcher Grundlage, das der Datenschutzbeauftragte eines Kunden als Nachweis aufbewahren kann, dass die Löschung tatsächlich stattgefunden hat, statt eines Support-Tickets, das „erledigt” behauptet.

Der eigentlich schwierige Teil: Löschen aus einem Append-only-Protokoll

An dieser Stelle lohnt sich Ehrlichkeit über die Spannung, die dahintersteckt. Rexfins Antwort-Audit-Log ist bewusst append-only und manipulationssicher angelegt – genau das macht eine verifizierte Antwort Monate später noch unabhängig überprüfbar. Aber ein Append-only-Protokoll und eine Löschanfrage ziehen in entgegengesetzte Richtungen: Man kann nicht gleichzeitig jedes Urteil für immer aufbewahren und eine Löschanfrage erfüllen.

Die Lösung heißt Crypto-Erasure. Der Inhalt jedes Audit-Eintrags ist unter einem eigenen Schlüssel verschlüsselt. Um ihn zu löschen, vernichtet Rexfin diesen Schlüssel – der Chiffretext wird dauerhaft unlesbar –, während der Hash des Eintrags in der manipulationssicheren Kette verbleibt. Der veröffentlichte Wurzel-Hash lässt sich weiterhin verifizieren, und das Fehlen des Inhalts dieses Eintrags ist beweisbar, statt eine stille Lücke zu sein, die wie Manipulation aussehen würde. Löschung schreibt keine Geschichte um – sie macht eine bestimmte Nutzlast dauerhaft unwiederherstellbar, während der Beleg erhalten bleibt, dass hier etwas existierte und rechtmäßig gelöscht wurde.

Was hier nicht behauptet wird

Rexfin beansprucht an dieser Stelle keine Zertifizierung – die ehrliche Einordnung lautet, dass diese Kontrollen darauf ausgelegt sind, die Erwartungen an Speicherbegrenzung und Löschung zu erfüllen, die in GCC-Datenschutzrahmenwerken und in üblichen Offboarding-Klauseln von Unternehmen auftauchen. Aufbewahrungsfenster sind Konfiguration, kein Versprechen aus einer Präsentation, und die Abgrenzung ist bewusst eng gefasst: Eine Löschung berührt immer nur die Daten eines einzigen Mandanten, geprüft durch Tests, die zwei Deals anlegen und bestätigen, dass das Löschen des einen den anderen byteweise unverändert lässt.

Wer sehen möchte, wie das in den umfassenderen Ansatz der Plattform passt, das System selbst nach einem Ausfall oder einer fehlgeschlagenen Wiederherstellung verteidigbar zu halten, findet das unter Zuverlässigkeit und Notfallwiederherstellung. Für den vollständigen Überblick, wie Rexfin aufgebaut ist, starten Sie beim Inside-the-Rexfin-Platform-Hub.