6 Die DSGVO-Anforderungen an die Datenspeicherung betreffen nahezu jedes Unternehmen, das personenbezogene Daten in der EU verarbeitet, und werden dennoch oft missverstanden. Viele Teams behandeln die DSGVO als juristische Checkliste und konzentrieren sich auf Richtlinien, Einwilligungstexte und Dokumentation. In der Praxis entscheidet sich die Compliance jedoch viel tiefer im Stack – dort, wo Daten systemübergreifend gespeichert, kopiert, geschützt und gelöscht werden. Wer die Speicherpflichten der DSGVO verstehen will, muss verstehen, wie sich Daten im großen Maßstab verhalten. Aufbewahrungsgrenzen, Löschrechte, Prüfbarkeit und Sicherheitskontrollen sind keine abstrakten Prinzipien; ob sie durchgesetzt oder verletzt werden, entscheidet die Speicherarchitektur. Deshalb stoßen klassische Speichermodelle unter der DSGVO an ihre Grenzen, und deshalb ist Objektspeicher zur Grundlage für konforme Datenumgebungen geworden. Was sind die DSGVO-Anforderungen an die Datenspeicherung im Überblick? Die DSGVO legt keine bestimmten Speichertechnologien oder -architekturen fest. Stattdessen definiert sie Grundsätze, die direkt bestimmen, wie personenbezogene Daten während ihres gesamten Lebenszyklus gespeichert und verwaltet werden müssen. Im Überblick verlangt die DSGVO, dass personenbezogene Daten: sicher gespeichert und vor unbefugtem Zugriff geschützt sind nur so lange aufbewahrt werden, wie ein berechtigter Zweck besteht bei Bedarf abgerufen, berichtigt oder gelöscht werden können nachvollziehbar sind, damit Unternehmen die Compliance nachweisen können Diese Anforderungen gelten unabhängig davon, ob Daten On-Premises, in der Cloud oder in hybriden Umgebungen gespeichert sind. Die Verordnung ist technologieneutral, doch die operative Last liegt eindeutig bei den IT- und Speicherteams. Warum die DSGVO-Anforderungen an die Datenspeicherung über die rechtliche Compliance hinaus wichtig sind In vielen Unternehmen werden die Speicherpflichten der DSGVO erst bei Audits, Vorfällen oder Anfragen betroffener Personen sichtbar. Zu diesem Zeitpunkt lassen sich Schwächen der Speicherarchitektur nur schwer und mit hohen Kosten beheben. Passen DSGVO-Anforderungen und Speichersysteme schlecht zusammen, führt das zu: der Unfähigkeit, personenbezogene Daten zuverlässig zu löschen übermäßiger Datenaufbewahrung „für alle Fälle“ höherer Gefährdung bei Sicherheitsverletzungen hohem operativem Aufwand für Audits und Berichte Mit wachsenden Datenmengen steigen diese Risiken. Speicherentscheidungen wirken sich daher direkt auf das regulatorische Risiko, die Sicherheitslage und die langfristige Kostenkontrolle aus. Die DSGVO gilt für den gesamten Datenlebenszyklus, nicht nur für den Primärspeicher Ein verbreiteter Irrtum ist, dass die DSGVO-Anforderungen an die Datenspeicherung nur für aktive oder primäre Datensätze gelten. In der Praxis gilt die DSGVO gleichermaßen für: Backups und Snapshots Replikate und Disaster-Recovery-Kopien Archive und Systeme zur Langzeitaufbewahrung Analyseplattformen und nachgelagerte Verarbeitungssysteme Existieren personenbezogene Daten irgendwo in der Umgebung, fallen sie in den Anwendungsbereich. Genau hier scheitern viele Compliance-Strategien: Daten verteilen sich über Systeme, die nie dafür ausgelegt waren, Aufbewahrung, Löschung oder Prüfbarkeit konsistent durchzusetzen. Warum die DSGVO-Anforderungen an die Datenspeicherung ein Speicherproblem sind Die DSGVO definiert Grundsätze dafür, wie personenbezogene Daten während ihres gesamten Lebenszyklus zu behandeln sind. Mehrere dieser Grundsätze betreffen direkt die Speichersysteme, nicht nur die Geschäftsprozesse. In kleinem Maßstab verlassen sich Unternehmen oft auf manuelle Kontrollen und Löschungen nach Bedarf. Im Unternehmensmaßstab scheitert dieser Ansatz. Daten verteilen sich auf Primärspeicher, Backups, Archive, Replikate und Analyseplattformen. Sobald sie sich verteilt haben, wird eine konsistente Aufbewahrung und Löschung äußerst schwierig. Das Ergebnis ist eine wachsende Lücke zwischen dokumentierten DSGVO-Richtlinien und dem, was tatsächlich in der Speicherinfrastruktur geschieht. Zentrale DSGVO-Anforderungen an die Datenspeicherung, die im großen Maßstab scheitern Speicherbegrenzung und Durchsetzung der Aufbewahrung Die DSGVO verlangt, dass personenbezogene Daten nicht länger als nötig für den vorgesehenen Zweck gespeichert werden. Das klingt einfach, doch die Durchsetzung der Aufbewahrung wird in verteilten Systemen komplex. Typische Schwachstellen sind: Daten, die in mehrere Systeme mit unterschiedlichem Aufbewahrungsverhalten kopiert werden Backups, die gelöschte Daten unbegrenzt aufbewahren Archive ohne automatisierten Ablauf Die fehlende Möglichkeit, Aufbewahrung auf Ebene einzelner Objekte anzuwenden Ohne richtliniengesteuerte Aufbewahrung auf der Speicherebene können Unternehmen nicht zuverlässig nachweisen, dass Daten bei Bedarf gelöscht werden. Recht auf Löschung und konsistente Löschung Das Recht auf Löschung verpflichtet Unternehmen, personenbezogene Daten auf Anfrage zu löschen, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. In klassischen Speicherumgebungen gilt: Das Löschen einer Datei löscht nicht ihre Backups Snapshots können über die Löschung hinaus bestehen bleiben Replikate werden möglicherweise nicht zentral erfasst Nachweise für Löschungen sind unvollständig oder fehlen Die Löschung wird zu einem Prozess nach bestem Bemühen statt zu einem garantierten Ergebnis. Das schafft regulatorische Risiken, insbesondere bei Audits oder der Untersuchung von Sicherheitsverletzungen. Integrität, Vertraulichkeit und Zugriffskontrolle Die DSGVO verlangt geeignete technische und organisatorische Maßnahmen, um personenbezogene Daten vor unbefugtem Zugriff, Verlust oder Veränderung zu schützen. Herausforderungen beim Speicher sind unter anderem: Uneinheitliche Verschlüsselung über Plattformen hinweg Geringe Transparenz darüber, wer auf welche Daten zugegriffen hat Grob abgestufte Zugriffskontrollen Schwache Trennung zwischen Mandanten oder Workloads Mit wachsenden Datenmengen wird die Verwaltung von Zugriff und Sicherheit über externe Tools fehleranfällig und schwer prüfbar. Rechenschaftspflicht und Prüfbarkeit Unternehmen müssen Compliance nachweisen, nicht nur behaupten. Dafür sind erforderlich: Überprüfbare Audit-Trails Nachweise für die Durchsetzung der Aufbewahrung Belege für Zugriffskontrollen und Löschvorgänge Viele ältere Speicherplattformen wurden nicht dafür entwickelt, unveränderliche Audit-Metadaten auf Objektebene bereitzustellen. Daher stützen sich Compliance-Teams oft auf lückenhafte Protokolle und manuelle Berichte. Warum klassische Speicherarchitekturen mit der DSGVO kämpfen Datei- und Blockspeichersysteme wurden für Leistung und Verfügbarkeit entwickelt, nicht für regulatorische Governance. Ihnen fehlen native Konzepte wie Aufbewahrungsrichtlinien auf Objektebene, unveränderliche Metadaten oder Lifecycle-Automatisierung. Zu den wichtigsten Einschränkungen gehören: Aufbewahrung auf Ebene von Volumes oder Dateisystemen Löschung abhängig von Anwendungen, nicht vom Speicher Begrenzte native Audit-Funktionen Komplexe Integration mit externen Compliance-Tools Mit wachsenden Datenumgebungen verstärken sich diese Einschränkungen. Compliance wird teuer, fehleranfällig und schwer aufrechtzuerhalten. Wie Objektspeicher die DSGVO-Anforderungen an die Datenspeicherung erfüllt Objektspeicher bringt Architekturkonzepte mit, die sich direkt auf die DSGVO-Anforderungen abbilden lassen. Statt sich auf externe Prozesse zu verlassen, werden Compliance-Kontrollen direkt auf der Speicherebene durchgesetzt. Aufbewahrungs- und Lifecycle-Richtlinien auf Objektebene Objektspeicher ermöglicht es, Aufbewahrungsregeln pro Objekt anzuwenden statt pro Volume oder Dateisystem. Das ermöglicht: Zweckgebundene Durchsetzung der Aufbewahrung Automatisierten Ablauf und automatische Löschung Konsistentes Verhalten über Primär-, Replikat- und Archivkopien hinweg Die Aufbewahrung wird deterministisch und prüfbar statt manuell und ungefähr. Unveränderlichkeit und kontrollierte Löschung Object Locking und Unveränderlichkeitsfunktionen stellen sicher, dass Daten vor Ablauf der Aufbewahrungsfrist weder gelöscht noch verändert werden können. Das ist entscheidend, wenn sich DSGVO-Pflichten mit anderen Vorschriften überschneiden, die eine Mindestaufbewahrung verlangen. Nach Ablauf der Aufbewahrung kann die Löschung automatisch erfolgen – mit einem klaren, belastbaren Lebenszyklus. Zentrale Metadaten und Audit-Trails Objektspeichersysteme pflegen umfangreiche Metadaten auf Objektebene. Das ermöglicht: Unveränderliche Protokolle von Zugriffen und Änderungen Klare Nachweise für Aufbewahrungs- und Löschereignisse Schnellere Antworten auf Audits und Anfragen betroffener Personen Prüfbarkeit wird zu einer festen Eigenschaft der Speicherplattform statt zu einem nachträglichen Zusatz. Verschlüsselung und Zugriffs-Governance im großen Maßstab Moderne Objektspeicherplattformen unterstützen: Verschlüsselung im Ruhezustand und bei der Übertragung Integration mit unternehmensweiten Identitätssystemen Fein abgestufte Zugriffskontrollen Isolation von Mandanten und Workloads Diese Fähigkeiten unterstützen die DSGVO-Anforderungen an Integrität und Vertraulichkeit direkt, ohne zusätzliche betriebliche Komplexität. DSGVO-Anforderungen an die Datenspeicherung in realen Umgebungen umsetzen Datenklassifizierung und Zuordnung von Richtlinien Compliance beginnt mit dem Wissen, welche Daten personenbezogen sind und wie sie genutzt werden. Objektspeicherplattformen ermöglichen es, Richtlinien direkt Datenkategorien zuzuordnen, und verringern so die Abhängigkeit von Logik auf Anwendungsebene. Automatisierte Durchsetzung des Lebenszyklus Sind die Richtlinien definiert, sorgt die Lifecycle-Automatisierung für eine konsistente Durchsetzung über alle Speicherebenen hinweg, einschließlich Backups und Archiven. Konsistente Löschung über alle Kopien Da Objektspeicher Replikate und Metadaten zentral verwaltet, werden Löschereignisse konsistent weitergegeben. So verschwinden typische Lücken zwischen Primärspeicher und Sekundärkopien. Nachweisbasierte Compliance Audit-Protokolle, Aufbewahrungsmetadaten und Lifecycle-Ereignisse liefern konkrete Nachweise für Compliance-Maßnahmen und vereinfachen Berichte und regulatorische Prüfungen. Der Ansatz von Scality für DSGVO-konformen Speicher Die Objektspeicherplattformen von Scality sind für große, regulierte Datenumgebungen konzipiert, in denen Compliance automatisch und konsistent durchgesetzt werden muss. Zu den wichtigsten Fähigkeiten gehören: Richtliniengesteuerte Aufbewahrung von Objekten und Lifecycle-Management Unveränderlichkeitskontrollen, abgestimmt auf regulatorische Anforderungen In die Speicherebene integrierte Verschlüsselung und Zugriffs-Governance Skalierbare Audit-Metadaten für Compliance und forensische Analysen Unterstützung für hybride, On-Premises- und souveräne Bereitstellungen Statt die DSGVO als externe Einschränkung zu behandeln, verankert Scality Compliance-Kontrollen im Kern der Speicherarchitektur. Das verringert betriebliche Risiken und ermöglicht Unternehmen zu skalieren, ohne die Governance zu verlieren. DSGVO-Compliance als Entscheidung über die Speicherarchitektur Die DSGVO-Anforderungen an die Datenspeicherung lassen sich nicht allein mit Richtliniendokumenten zuverlässig erfüllen. Sie erfordern Speicherplattformen, die Aufbewahrung, Löschung, Sicherheit und Prüfbarkeit von Grund auf durchsetzen. Da die Datenmengen weiter wachsen, steigen für Unternehmen mit veralteten Speicherarchitekturen die Compliance-Risiken und Betriebskosten. Objektspeicher bietet ein Fundament, auf dem die DSGVO-Grundsätze direkt in der Infrastruktur umgesetzt werden, statt nachträglich aufgesetzt zu werden. Wer die Speicherarchitektur an regulatorischen Anforderungen ausrichtet, kann die DSGVO-Pflichten erfüllen und zugleich Skalierbarkeit, Sicherheit und betriebliche Effizienz wahren.
