Warum fepli manche Daten nicht löscht
fepli speichert personenbezogene Daten von Familien. Der Datenschutz verlangt, sie zu löschen, sobald sie nicht mehr gebraucht werden. Belege dagegen müssen nach dem Steuerrecht aufbewahrt werden. Wer weiß, wie fepli beides verbindet, versteht, was nach einer Löschung bleibt.
Löschen nach Frist
Personenbezogene Daten sollen nur so lange bleiben, wie sie gebraucht werden. Super-Admins legen dafür eine Aufbewahrungsfrist fest. Ist sie abgelaufen, merkt fepli die Teilnehmer:innen zur Löschung vor oder löscht sie nachts selbst, je nach Einstellung.
Ist keine Frist eingetragen, gelten zwei Jahre nach der letzten Saison. So ist eine Familie, die einen Sommer aussetzt, im nächsten noch da. Diese Standardfrist merkt nur vor: Sie verschickt keine Hinweis-Mail und löscht nichts von selbst. Sonst würde fepli Familien anschreiben oder löschen, ohne dass jemand eine Frist gewählt hat.
Die Vormerkung ist der vorsichtigere Weg. Jemand prüft die Liste und bestätigt den Löschlauf. Das Protokoll hält fest, wer wann was gelöscht hat.
Auf Wunsch erhalten Familien vorher eine Hinweis-Mail. Wer sich danach wieder anmeldet, startet die Frist neu. So verschwindet niemand, der das Programm noch nutzt.
Kopien versendeter E-Mails und SMS haben eine eigene Frist, ohne Eintrag zwei Jahre ab dem Versand. So lässt sich eine Zustellung noch klären, wenn eine Familie Monate später nachfragt. Auch diese Standardfrist löscht nichts von selbst; nachts gelöscht wird erst mit einer eingetragenen Frist. Unterhaltungen am Vorgang und das Versandprotokoll bleiben dabei.
Das Versandprotokoll hält ohne Texte fest, wer wann welche Nachricht erhalten hat. Daran erkennen die nächtlichen Läufe, ob eine Erinnerung oder Liste schon verschickt ist; fehlte der Eintrag, schickten sie sie erneut. Einträge zu laufenden Angeboten und Saisons bleiben deshalb über die Frist hinaus, ebenso Einträge zu Nachrichten im Postausgang. Ohne eigene Frist gelten drei Jahre, ein Jahr länger als für die Kopien, damit der Nachweis des Versands seinen Text überdauert; nachts gelöscht wird auch hier erst mit einer eingetragenen Frist.
Warum Anmeldungen und Belege bleiben
Hat eine Familie bezahlt, gibt es einen Beleg. Belege müssen nach Steuer- und Handelsrecht jahrelang unverändert bleiben, ohne eigene Einstellung sind es acht Jahre. Ihre Positionen verweisen auf Anmeldungen mit Angebot und Beitrag. Deshalb löscht fepli mit einer Person nie ihre Anmeldungen.
fepli pseudonymisiert sie: Eine Anmeldung verliert den Bezug zur Teilnehmer:in sowie ihre Antworten, Dateien und Kommentare. Bei einer Anmeldung ohne Konto fällt auch die Anschrift weg. Angebot, Status, Beitrag und Alter bleiben, damit Belege, Plätze und Statistik weiter stimmen. Die Rechnungsangaben auf dem Beleg selbst bleiben wegen der Aufbewahrungspflicht erhalten.
Das Pseudonym hält die Anmeldungen einer gelöschten Person zusammen, damit die Statistik einer Saison Kinder zählen kann. Ist unter Pseudonyme entfernen nach eine Frist eingetragen, entfernt fepli es so viele Jahre nach dem Ende der Saison. Die Anmeldungen bleiben dann erhalten, gehören aber niemandem mehr. Ab Werk ist das abgeschaltet, weil die Statistik dieser Saisons danach keine einzelnen Kinder mehr zählt.
Nach Ablauf der Aufbewahrungsfrist entfernt ein Lauf unter Betroffenenrechte Name, Anschrift und E-Mail-Adresse von den Belegen. Betrag, Nummer und Positionen bleiben, denn Buchhaltung und Statistik greifen auf sie zu, und in der Nummernfolge soll keine Lücke entstehen. Den Lauf startet ein Super-Admin; nachts läuft er nicht.
Warum jede Löschung gleich verläuft
Eine Person lässt sich an fünf Stellen löschen: auf der Website durch die Familie selbst, unter Konten oder Teilnehmer:innen, in der Akte der Betroffenenrechte, über die API und im Löschlauf. Alle Wege löschen dieselben Daten. So bleibt von einer Person dasselbe übrig, gleich wer sie löscht, und Belege und Statistik stimmen danach.
Anmeldungen für Angebote, die noch bevorstehen, setzt fepli zuerst auf abgemeldet. Die Plätze gehen dann an die Warteliste wie nach jeder Abmeldung; sonst hielte eine gelöschte Person Plätze fest. Erst danach werden die Anmeldungen pseudonymisiert und Konto und Teilnehmer:innen gelöscht, mit Kontaktdaten, Anschriften, Passkeys, Einwilligungen und E-Mails.
Für die Zahllast gelten dabei die Regeln der Abmeldung durch die Familie. In der kostenfreien Zeit und bei einer Sofortstornierung entfällt sie. Nach der Frist Kostenfrei bis vor Beginn bleibt sie, ebenso dort, wo Nach der Frist gar nicht mehr oder Nicht nach Anmeldeschluss die Abmeldung sperren. Sonst wäre das Löschen des Kontos ein Weg, einem Beitrag zu entgehen.
Bezahlte Beiträge, deren Zahllast entfällt, zahlt fepli nicht selbst zurück. Jeder Löschdialog nennt sie deshalb vorher, und danach stehen die Anmeldungen unter Erstattung fällig, bis das Team erstattet hat.
Ein Beitrag, der nach der Löschung noch offen wäre, ließe sich niemandem mehr in Rechnung stellen, denn die Anmeldung gehört dann zu keinem Konto mehr. Deshalb löscht eine Familie ihr Konto erst, wenn sie bezahlt hat. Bis dahin zeigt die Website ihr die offenen Beiträge.
Das Team entscheidet selbst. Seine Löschdialoge nennen offene Beiträge vorher, damit es sie abrechnen oder die Zahllast entfernen kann; löschen kann es trotzdem. Auch Löschungen über die API und im Löschlauf warten nicht auf offene Beiträge.
Jede Löschung steht im Protokoll der Betroffenenrechte, mit dem Weg, auf dem sie ausgelöst wurde. Das Protokoll behält die Kennung der Person, ihren Namen entfernt es auch aus früheren Einträgen. Sonst bliebe das Protokoll das Letzte, was die Person noch erkennbar macht.
Löschen oder einschränken?
Wer die Verarbeitung einschränkt, löscht nichts. Die Daten bleiben gespeichert, aber fepli bezieht sie weder in Verlosungen noch in Rundmails oder Löschläufe ein. Das passt, solange eine Person die Richtigkeit ihrer Daten bestreitet oder die Löschung ablehnt und die Aufbewahrung verlangt.
Eine Einschränkung bedeutet deshalb oft, dass die Person ihre Daten behalten will. fepli sperrt dann jede Löschung außer der Löschung über eine Anfrage unter Betroffenenrechte. Auch auf der Website kann die Familie ihr Konto dann nicht selbst löschen; sie muss sich an das Team wenden.
Die Einschränkung einer Teilnehmer:in sperrt auch das Löschen ihres Kontos, denn das Konto nähme sie beim Löschen mit. Die Einschränkung eines Kontos sperrt das Löschen seiner Teilnehmer:innen, so wie sie auch bei Verlosung und Nachrücken für sie gilt.
Warum der Weg über die Betroffenenrechte führt
Das Protokoll verzeichnet jede Löschung, doch erst die Akte der Betroffenenrechte verbindet sie mit einer Anfrage. Dort sind die Identität geprüft und die Frist sichtbar, und der Protokolleintrag verweist auf die Vorgangsnummer. Die Anfrage behält den Namen als Nachweis, das Protokoll nur die Kennung.
Die Akte zeigt außerdem vorher, was mit den Daten jeder Kategorie geschieht. Sie ist der einzige Weg, der eine eingeschränkte Verarbeitung übergeht, weil nur hier eine geprüfte Anfrage der Person vorliegt. Verlangt eine Person die Löschung ihrer Daten, führt der Weg deshalb über ihre Anfrage.