Phase 4 — Löschen und Zugriff

E-1 hält die Kette echter Fehler beide Köpfe

Verschwinden die Messdaten eines Exponats, bevor sie verdichtet werden?

Wird ein Exponat endgültig gelöscht, nimmt es seine Besuchs- und Wiedergabeereignisse mit — so steht es im festgeschriebenen Teil des Löschkonzepts. Verdichtet werden diese Ereignisse aber erst nach 90 Tagen. Für alles, was jünger ist, entsteht kein Tageszähler: Die Daten sind ersatzlos weg. Das bricht genau die Zusage, mit der das Konzept an anderer Stelle begründet, warum die Zähler die Löschung überleben sollen — „sonst wäre die Auswertung eines vergangenen Zeitraums nicht mehr rekonstruierbar".

A — vor dem Löschen verdichten Empfehlung Die Kaskade verdichtet die Ereignisse des Exponats, bevor sie sie löscht. Die Auswertung eines vergangenen Zeitraums bleibt vollständig. Ein zusätzlicher Schritt in der Löschkaskade, der laufen muss, bevor gelöscht wird — und der fehlschlagen kann. B — die Zusage aufgeben Auswertungen der letzten 90 Tage verlieren gelöschte Exponate. Ehrlicher als eine Zusage, die nicht gilt. Eine Monatsauswertung ändert sich rückwirkend, sobald jemand ein Exponat löscht — genau das, wovor ADR-011 warnt. Später entscheiden

Warum A

Der Widerspruch steht innerhalb des bereits festgeschriebenen Teils, nicht zwischen Vorschlag und Vertrag — er muss so oder so aufgelöst werden. Weg A hält die Zusage, die schon getroffen wurde; Weg B nimmt sie sichtbar zurück. Was nicht geht, ist beides stehen zu lassen.

Phasen-Review zu P4-1 am 28.08., beide Köpfe unabhängig, beide als echter Fehler · docs/loeschkonzept.md:39 gegen :174 · nachgeprüft am Code

E-2 hält die Kette Widerspruch

Muss eine abgebrochene Löschkaskade wieder aufgenommen werden können?

Eine Löschung räumt mehrere Datenarten nacheinander weg. Bricht sie in der Mitte ab — etwa weil das Speicherobjekt nicht erreichbar ist —, steht das Exponat noch da, aber halb geleert. Das Konzept sagt für Aufräumläufe „läuft am nächsten Tag erneut". Für eine Löschung, die eine Handlung ist und keinen täglichen Lauf hat, gibt es diesen nächsten Tag nicht.

Codex

Risiko, mittel. Die festgelegte Reihenfolge sei „richtig herum" und erhalte den Anker: Das Exponat bleibt bis zuletzt stehen, ein Wiederholungslauf findet es also. Es fehle allein die Zusage für Idempotenz und Wiederaufnahmepunkt.

Gemini

Echter Fehler, hoch. Es gebe keinen Zwischenzustand („wird gelöscht") und keinen Idempotenzschlüssel — ein späterer Lauf könne eine angefangene Löschung gar nicht als solche erkennen.

A — Zwischenzustand und Wiederaufnahme zusagen Empfehlung Ein Datensatz in Löschung trägt das sichtbar; ein Wiederholungslauf erkennt und beendet ihn. Die Kaskade wird idempotent. Ein Zustandsfeld mehr und ein Lauf, den es noch nicht gibt. Beides muss gebaut werden, bevor die erste Löschung produktiv läuft. B — auf die Reihenfolge vertrauen Die Reihenfolge allein genügt: Solange das Exponat zuletzt stirbt, findet ein erneuter Versuch es wieder. Wenn Codex sich irrt, bleibt ein halb geleertes Exponat unbemerkt im Bestand — und niemand sucht danach, weil nichts es meldet. Später entscheiden

Warum A

Beide Köpfe sehen dieselbe Lücke und bewerten nur verschieden, ob die Reihenfolge sie schon schliesst. Damit ist die Stelle nicht eindeutig, und der Lauf hat sie nach der Projektregel konservativ als echten Fehler geführt. Weg A macht aus einer Vermutung über die Reihenfolge eine geprüfte Zusage; er kostet ein Feld und einen Lauf, die eine Löschkaskade ohnehin braucht.

Phasen-Review zu P4-1 am 28.08. · docs/loeschkonzept.md:57-60 und :193-201 · Klassen-Dissens, nach R-45 mit der strengeren Lesart geführt

P4-2a hält die Kette Zuschnitt

Welche Rollen hat das System wirklich — und ist der Distributor eine davon?

Der Aufgabentext von P4-2 nennt fünf Rollen: Besucher, Kurator, Mandantenadmin, Distributor, Superadmin. Der Review hat zwei davon als Zuschnittfehler zurückgewiesen. „Besucher" ist keine Rolle, sondern eine Zugangsart: Ein Besucher meldet sich nie an, er scannt einen Code. Und „Distributor" ist als handelnde Person nirgends belegt — in 151 Altsystem-Routen gibt es keinen einzigen Anmeldeweg dafür; er existiert als Datensatz, dem ein Museum zugeordnet ist.

A — drei Rollen plus zwei Zugangsarten Empfehlung Rollen sind Kurator, Mandantenadmin, Superadmin. Besucher und Distributor werden ausdrücklich als Nicht-Rollen geführt — mit Begründung, damit sie nicht zurückkehren. Der Aufgabentext von P4-2 wird korrigiert, bevor die Kette weiterläuft. B — Distributor als Rolle bauen Distributoren bekommen einen eigenen Zugang und sehen ihre Museen. Ein ganzer Anmeldeweg, ein Rechtebündel und mindestens ein Bildschirm, für die es keine Quelle gibt — und die niemand bestellt hat. Später entscheiden

Warum A

Was nicht belegt ist, kommt nicht in den Vertrag — das ist die Regel, gegen die dieses Projekt viermal verstossen hat. Der Distributor kann später eine Rolle werden; ihn jetzt zu bauen hiesse, einen Zugangsweg zu erfinden und ihn danach absichern zu müssen. Falls du ihn brauchst, ist das eine eigene Kette mit eigener Quelle.

Vor-Bau-Review zu P4-2 am 28.08. · specs/platform-admin/actors.md:34-41,81-87 („als Datensatz belegt, nicht als Akteur") · Rollennamen aus specs/curator/actors.md:18-22

R-79 hält P5-1 Rechte

Wer darf endgültig löschen — was im Archiv liegt, und einen ganzen Mandanten?

Das Archiv zeigt „Endgültig löschen" als Zeilenaktion und als Sammelaktion — im Entwurf ohne jede Rollenangabe. Das Altsystem verlangt dafür admin. Für die Löschung eines ganzen Mandanten zeigen beide Quellen ausschliesslich das Plattform-Panel. Die Frage ist, ob das so bleibt: Darf der Mandantenadmin sein eigenes Museum löschen?

A — Archiv beim Mandantenadmin, Mandant beim Betreiber Empfehlung Wer ein Museum verwaltet, darf darin endgültig löschen. Das Museum selbst löscht nur der Plattformbetreiber. Ein Museum, das gehen will, braucht den Betreiber — das ist eine Bremse und ein Anruf. B — beides beim Plattformbetreiber Jede endgültige Löschung geht über den Betreiber. Jedes versehentlich archivierte Exponat, das wirklich weg soll, wird zum Supportfall. C — beides beim Mandantenadmin Ein Museum ist Herr seiner Daten, bis hin zum eigenen Konto. Eine einzige Fehlbedienung löscht ein ganzes Museum. Die Schonfrist aus R-78 wäre dann die einzige Sicherung. Später entscheiden

Warum A

Die Trennung folgt dem Schaden: Ein endgültig gelöschtes Exponat ist ein Verlust, ein gelöschtes Museum ist der Verlust aller Exponate samt Zugängen. Das Altsystem trennt bereits so, und der Entwurf widerspricht dem nicht — er schweigt nur.

Erhoben in P4-2 am 28.08. · Archiv.dc.html ohne Rollenangabe · research/2026-08-26_altsystem-inventur.md:216

R-78 hält P5-1 Löschen

Gibt es eine Schonfrist, bevor ein gesperrter Mandant wirklich gelöscht wird?

Ein Mandant kann den Zustand closed bekommen. Ob danach sofort gelöscht wird oder erst nach einer Frist, ist offen. Das Altsystem kennt keine Frist — dort löscht der Aufruf sofort und vollständig. Der Vorschlag im Löschkonzept lautet 30 Tage.

A — 30 Tage Schonfrist Empfehlung Zwischen „geschlossen" und dem Vollzug liegen 30 Tage. Ein Irrtum ist umkehrbar, ein Museum lässt sich zurückholen. Dieselben Daten bleiben 30 Tage länger liegen — gegenüber jemandem, der die Löschung verlangt hat, ist das erklärungsbedürftig. B — sofort löschen Geschlossen heisst weg. Keine Frist, keine Wiederherstellung. Eine Fehlbedienung im Plattform-Panel vernichtet ein Museum ohne Rückweg — und die Sicherungskopie ist dann die einzige Rettung (siehe R-77). Später entscheiden

Warum A

Die Schonfrist schützt vor genau dem Fall, der am teuersten ist und am ehesten passiert: der versehentlichen Löschung. Sie ist ausserdem der Ort, an dem eine Löschanfrage sauber beantwortet werden kann — „gelöscht am, vollzogen am". Die 30 Tage sind ein Vorschlag; eine andere Zahl ist genauso gut, solange sie eine ist.

P4-1, Vorschlag V-7 · Altsystem: DELETE /tenants/:id löscht sofort

R-74 Löschen Personenbezug

Wird eine Mitgliedschaft hart gelöscht oder weich?

Wenn jemand aus einem Museum ausscheidet: Verschwindet der Datensatz, oder bekommt er nur eine Markierung „gelöscht"? Das Altsystem löscht weich und behält dabei Name und Kennung. Das Änderungsprotokoll führt den Urheber ohnehin getrennt als Wert — die Zuordnung „wer hat das damals angelegt" geht also nicht verloren, wenn die Mitgliedschaft verschwindet.

A — hart löschen Empfehlung Der Datensatz ist weg. Nach einer Löschanfrage bleibt kein Name im Bestand. Wer nachsehen will, wer früher Mitglied war, findet es nur noch im Änderungsprotokoll — und das hat seine eigene Frist. B — weich löschen wie bisher Der Datensatz bleibt mit einer Markierung. Die Mitgliederliste kann Ehemalige zeigen. Name und Kennung einer Person bleiben unbefristet im Bestand — nach einer Löschanfrage genau das, was nicht bleiben soll. Später entscheiden

Warum A

Weich löschen heisst, personenbezogene Daten zu behalten und die Löschung nur zu behaupten. Das Argument dagegen — „wir verlieren die Urheberschaft" — trägt hier nicht, weil das Protokoll sie als eigenen Wert führt und nicht als Verweis.

P4-1, Vorschlag V-6 · Altsystem: tenant.repository.ts:182-184

R-75 Löschen Zielkonflikt

Wie lange bleibt das Änderungsprotokoll — und was steht darin nach einer Löschung?

Das Protokoll hält fest, wer wann was geändert hat. Es soll jede Fachlöschung überleben, sonst ist es kein Nachweis. Es trägt aber eine Nutzerkennung, also einen Personenbezug. Beides zugleich geht nur, wenn die Kennung irgendwann durch einen Ersatzwert ersetzt wird — die Frage ist wann.

A — drei Jahre, danach Kennung ersetzen Empfehlung Das Protokoll bleibt vollständig lesbar; nach drei Jahren steht statt der Person ein Ersatzwert. Der Nachweis überlebt, der Personenbezug nicht. Ein jährlicher Lauf, der sich selbst protokolliert. Und: Nach drei Jahren ist nicht mehr feststellbar, wer eine Änderung gemacht hat. B — unbefristet mit Kennung Das Protokoll bleibt vollständig, für immer. Eine Nutzerkennung ohne Ende ist ein personenbezogenes Datum ohne Löschfrist — der Punkt, an dem eine Löschanfrage nicht mehr beantwortbar ist. C — mit der Fachlöschung mitgehen Kein Sonderweg: Was gelöscht wird, verschwindet samt Protokoll. Dann ist es kein Nachweis mehr. Wer prüfen will, was vor der Löschung geschah, findet nichts. Später entscheiden

Warum A

Das ist der schwierigste Punkt des ganzen Löschkonzepts, und keine der drei Antworten ist bequem. Weg A ist der einzige, der beide Pflichten erfüllt statt eine davon aufzugeben. Die drei Jahre sind geraten — sie stammen aus keiner Rechtsberatung, und die Zahl ist der Teil, den du am ehesten ändern solltest.

P4-1, Vorschlag V-15 — im Dokument selbst als „der schwierigste Punkt" geführt · packages/contract/src/protokoll.ts

R-76 Löschen Rechtspflicht

Überleben Kosten- und Nutzungssätze die Löschung eines Mandanten?

Wird ein Museum gelöscht, sollen alle seine Daten gehen — das ist die Zusage. Für die Abrechnungssätze schlägt das Konzept eine Ausnahme vor: zehn Jahre Aufbewahrung, auch über die Löschung hinaus, abgeleitet aus den handelsrechtlichen Aufbewahrungspflichten. Ohne sie fehlt nach einer Löschung die Grundlage jeder Rechnung, die schon gestellt wurde.

A — ja, ohne Nutzerkennung Empfehlung Die Sätze bleiben zehn Jahre, tragen aber keine Person mehr — nur Mandant, Zeitraum, Menge, Betrag. Eine ausdrückliche, benannte Ausnahme von „vollständige Kaskade". Sie muss in jeder Auskunft gegenüber dem Museum stehen. B — nein, alles geht mit Die Kaskade bleibt vollständig und ohne Ausnahme. Nach der Löschung gibt es keine Grundlage mehr für bereits gestellte Rechnungen — und keine für eine Prüfung. Später entscheiden

Warum A

Die Aufbewahrung ist keine Bequemlichkeit, sondern folgt aus einer Pflicht, die unabhängig von der Löschzusage besteht. Was sie erträglich macht, ist der zweite Teil: kein Personenbezug in dem, was bleibt. Das ist keine Rechtsberatung — die Frist stammt aus einer Ableitung im Dokument, nicht von einem Anwalt.

P4-1, Vorschlag V-11 · abgeleitet aus § 147 AO / § 257 HGB, im Dokument als Ableitung gekennzeichnet

R-77 Löschen Betrieb

Was gilt für Sicherungskopien — eine Löschung erreicht sie nicht?

Wird ein Datensatz im laufenden Betrieb gelöscht, bleibt er in den Sicherungen bestehen, bis diese auslaufen. Das ist normal und lässt sich nicht sinnvoll umgehen: In einer Sicherung einzeln zu löschen macht sie unbrauchbar. Die Frage ist, was stattdessen zugesagt wird.

A — Frist dokumentieren, bei Wiederherstellung nachlöschen Empfehlung Die Sicherungsfrist steht fest und ist auskunftsfähig. Wird je etwas zurückgespielt, laufen die zwischenzeitlichen Löschungen erneut. Setzt einen Wiederherstellungsablauf voraus, den es noch nicht gibt — und einen Nachlöschlauf, der Teil davon sein muss. B — vorerst nichts zusagen Kein Satz über Sicherungen, bis es einen Wiederherstellungsablauf gibt. Eine Löschauskunft bleibt unvollständig. Bei der Hochstufung auf Produktiv fällt es ohnehin auf — dann teurer. Später entscheiden

Warum A

Weg A ist der übliche und der einzige, der ehrlich ist: Er sagt nicht, dass gelöschte Daten sofort überall weg sind, sondern wann. Der Nachlöschlauf ist billig, solange er von Anfang an Teil des Wiederherstellungsablaufs ist — nachträglich eingebaut wird er vergessen.

P4-1, offene Frage aus dem Vorschlagsteil · betrifft die Hochstufung auf Produktiv

R-72 Tour offen seit 27.08.

Darf eine Tour dasselbe Exponat zweimal besuchen?

Kein Entwurf und kein Altsystemcode sagt dazu etwas. Gebaut ist die strengere Lesart: Eine Stationsliste mit derselben Exponatkennung zweimal wird abgewiesen. Der Fall, der dagegen spräche, wäre eine Rundtour, die an einem Leitobjekt beginnt und dort wieder endet.

A — nein, jedes Exponat höchstens einmal Empfehlung Bleibt wie gebaut. Die Hördauer einer Tour ist eindeutig, doppelte Einträge sind Bedienfehler. Eine Rundtour mit Anfangs- und Endpunkt am selben Objekt ist nicht abbildbar. B — ja, Wiederholung erlaubt Eine Station wird eine eigene Sache mit eigener Kennung, nicht mehr das Exponat selbst. Ein Datenmodell mehr, und die Dauerrechnung muss zählen statt zu unterscheiden. Später entscheiden

Warum A

Was nicht belegt ist, kommt nicht in den Vertrag. Weg A ist zurücknehmbar — aus „höchstens einmal" wird später „mit eigener Stationskennung"; der umgekehrte Weg ist teurer, weil dann bereits Touren mit Wiederholungen existieren.

Blockabschluss Phase 3 am 27.08., beide Köpfe zur Fehlerklasse · gebaut als Ablehnung an der Grenze plus Schranke dahinter

R-73 Ausgabe offen seit 27.08.

Was ist das Ergebnis einer Sammelausgabe, die teilweise gelingt?

Ein Druckauftrag über 200 Exponate erzeugt vermutlich ein PDF. Was gilt, wenn fünf davon fehlschlagen? Die zwei bestehenden Antwortformen decken den Fall nicht: Die eine kennt nur „Datei da" oder „Auftrag läuft", die andere führt jede Zeile einzeln, hat aber keinen Platz für einen gemeinsamen Dateiverweis.

A — Datei mit dem, was ging — plus Liste der Ausfälle Empfehlung Der Kurator bekommt 195 Karten und sieht, welche fünf fehlen. Er kann drucken und die Lücke nachholen. Die beiden Antwortformen müssen zusammengeführt werden: eine Datei und eine Zeilenliste. B — alles oder nichts Ein Fehlschlag, kein PDF. Der Auftrag scheitert und wird wiederholt. Ein einziges kaputtes Bild verhindert den Druck von 199 funktionierenden Karten. Später entscheiden

Warum A

Weg A ist die Antwort, die dem Kurator etwas übrig lässt — und er entspricht dem Grundsatz, der schon einmal gegen „195 von 200 als grüner Haken" gebaut wurde: Der Teilerfolg wird benannt, nicht verschwiegen. Weg B ist billiger zu bauen und teurer im Betrieb.

Blockabschluss Phase 3 am 27.08., beide Köpfe · ausgabeAntwort gegen sammelErgebnis

Elf Entscheidungen — fünf halten die Kette an

Die fünf, die die Kette anhalten

Verschwinden die Messdaten eines Exponats, bevor sie verdichtet werden?

Muss eine abgebrochene Löschkaskade wieder aufgenommen werden können?

Codex

Gemini

Welche Rollen hat das System wirklich — und ist der Distributor eine davon?

Wer darf endgültig löschen — was im Archiv liegt, und einen ganzen Mandanten?

Gibt es eine Schonfrist, bevor ein gesperrter Mandant wirklich gelöscht wird?

Die vier Löschfristen aus P4-1

Wird eine Mitgliedschaft hart gelöscht oder weich?

Wie lange bleibt das Änderungsprotokoll — und was steht darin nach einer Löschung?

Überleben Kosten- und Nutzungssätze die Löschung eines Mandanten?

Was gilt für Sicherungskopien — eine Löschung erreicht sie nicht?

Zwei aus dem Blockabschluss der Phase 3

Darf eine Tour dasselbe Exponat zweimal besuchen?

Was ist das Ergebnis einer Sammelausgabe, die teilweise gelingt?