Löschkonzept

Fassung 1.2 · Stand 12.09.2026 · Aufbau in Anlehnung an DIN 66398

Der Grundsatz in einem Satz. Zetaro vernichtet nichts, was noch gebraucht wird — es entzieht es der Verwendung. Wo ein Löschverlangen auf eine Aufbewahrungspflicht trifft, gewinnt nicht das eine gegen das andere: der Beleg bleibt liegen, wird aber aus jeder Ansicht, jeder Summe und jeder Auswertung genommen, bis die Frist abgelaufen ist. Erst dann fällt er.

1. Wozu dieses Dokument da ist

Zetaro speichert Unterlagen, die zwei gegenläufigen Regeln unterliegen. Eine Handwerkerrechnung muss acht Jahre aufbewahrt werden (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB — seit dem Vierten Bürokratieentlastungsgesetz, zuvor zehn). Dieselbe Rechnung nennt womöglich den Namen einer Mieterin, und die kann deren Löschung verlangen (Art. 17 DSGVO). Beides gleichzeitig zu erfüllen geht nicht durch Nachdenken im Einzelfall — es braucht eine Regel, die vorher feststeht.

Dieses Dokument legt sie fest. Es beschreibt, welche Daten wie lange bleiben, ab wann die Frist läuft, wer das auslöst und was im Konfliktfall gilt. Es richtet sich an drei Leserinnen und Leser: an Vermieterinnen und Vermieter, die wissen wollen, was mit ihren Unterlagen geschieht; an betroffene Personen, die ein Löschverlangen stellen; und an eine Aufsichtsbehörde, die den Nachweis sehen will.

2. Wer wofür zuständig ist

Rolle	Wer	Wofür
Verantwortlicher	die Vermieterin / der Vermieter	entscheidet über Zweck und Dauer der Verarbeitung von Mieter- und Betriebsdaten; erfüllt Löschverlangen; trägt die eigenen steuerlichen Aufbewahrungspflichten
Auftragsverarbeiter	Zetaro (Arslan Akbulat)	stellt die Funktionen bereit, mit denen sich diese Entscheidungen umsetzen lassen; löscht auf Weisung; löscht von sich aus nichts
Verantwortlicher für Kontodaten	Zetaro	eigene Vertrags-, Abrechnungs- und Zugangsdaten der Nutzerinnen und Nutzer

Die Rollenverteilung ist im Auftragsverarbeitungsvertrag geregelt. Wichtig für das Verständnis dieses Konzepts: Zetaro löscht keine Kundendaten aus eigenem Antrieb. Alle Regelfristen unten beschreiben, wann eine Löschung möglich wird und wann sie spätestens erfolgt — nicht einen automatischen Kehraus.

3. Der Grundsatz: einschränken statt vernichten

Art. 17 Abs. 3 lit. b DSGVO nimmt Daten vom Löschanspruch aus, deren Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist. Art. 18 Abs. 1 lit. b und Abs. 2 DSGVO sagen, was stattdessen zu geschehen hat: die Verarbeitung wird eingeschränkt. Die Daten werden nur noch aufbewahrt, nicht mehr benutzt.

Genau das ist in Zetaro der Papierkorb. Ein Beleg, der dort liegt,

erscheint in keiner Dokumentenliste,
zählt in keiner Steuerübersicht und in keiner CSV-Ausgabe mit,
steht in keiner Vorgangssumme,
lässt sich keinem Vorgang mehr zuordnen,
bleibt aber vorhanden und unverändert — mit derselben Prüfsumme wie am Tag der Ablage.

Damit ist die Einschränkung nach Art. 18 DSGVO technisch umgesetzt, ohne dass die Aufbewahrungspflicht verletzt wird. Der Papierkorb ist in Zetaro kein Warteraum vor dem Reißwolf, sondern der Regelzustand für alles, was nicht mehr gebraucht, aber noch nicht losgelassen werden darf.

4. Löschklassen

Eine Löschklasse besteht aus zwei Angaben: dem Startzeitpunkt, ab dem gerechnet wird, und der Regelfrist, die von da an läuft. Daten mit gleichem Paar gehören in dieselbe Klasse.

Klasse	Daten	Startzeitpunkt	Regelfrist	Grundlage
L1	Buchungsbelege: Rechnungen	Ende des Kalenderjahrs, in dem der Beleg entstanden ist	8 Jahre — vorher nicht löschbar	§ 147 Abs. 3 Satz 1 Nr. 2 AO, § 257 Abs. 4 HGB, § 14b Abs. 1 UStG
L1b	Empfangene Handels- und Geschäftsbriefe: Verträge, Lieferscheine, Auftragsbestätigungen	Ende des Kalenderjahrs, in dem der Beleg entstanden ist	6 Jahre — vorher nicht löschbar	§ 147 Abs. 3 Satz 1 Nr. 3 AO, § 257 Abs. 4 HGB
L2	Sonstige Dokumente ohne Aufbewahrungspflicht: Fotos, Schriftwechsel, Notizen	Ablage in Zetaro	30 Tage Korrekturfenster, danach jederzeit löschbar	Zweckbindung, Art. 5 Abs. 1 lit. e DSGVO
L3	Mieteranliegen samt Fotos und Statusverlauf	Erledigung des Anliegens	ab sofort in den Papierkorb; endgültige Löschung auf Wunsch jederzeit	Zweckbindung; Art. 17 DSGVO
L4	Handwerker-Anfragen und der Nachrichtenverlauf dazu	Abschluss oder Deaktivierung der Anfrage	fällt mit dem Vorgang, zu dem sie gehört	Zweckbindung
L5	Vorgänge (Reparaturen, Gewährleistung, Sonstiges)	Abschluss des Vorgangs	in den Papierkorb jederzeit; endgültige Löschung löst die Belegzuordnung und wird deshalb mit Ansage bestätigt	Zweckbindung
L6	Änderungsprotokoll (Ablage, Änderung, Löschung von Belegen, Vorgängen, Anliegen)	Eintrag	fällt ausschließlich mit dem Konto — einzelne Einträge lassen sich nicht entfernen	Nachvollziehbarkeit (GoBD); Art. 5 Abs. 2 DSGVO
L7	Versandprotokoll: Empfängeradresse, Betreff, Zeitpunkt	Versand	12 Monate	Missbrauchsabwehr, Art. 6 Abs. 1 lit. f DSGVO
L8	Empfangsprotokoll des Posteingangs: Absender, Betreff, Ergebnis	Eingang	12 Monate	Nachvollziehbarkeit des Eingangs; Art. 6 Abs. 1 lit. f DSGVO
L9	Konto- und Profildaten der Vermieterin / des Vermieters, einschließlich der Anmeldedaten (Passwort-Hash, zweiter Faktor, Wiederherstellungscodes)	Schließen des Kontos durch die Nutzerin / den Nutzer	sofort, in einer Transaktion	Art. 17 Abs. 1 lit. a DSGVO
L10	Abrechnungsdaten zum Abonnement (bei Stripe)	Ende des Kalenderjahrs der Rechnung	8 Jahre	§ 147 Abs. 3 Satz 1 Nr. 2 AO, § 257 Abs. 4 HGB — eigene Pflicht von Zetaro
L13	Mietverhältnisse und Mieterdaten (Name, E-Mail, Telefon, Vertragsdaten) samt allem, was daran hängt: Mietkonto (Mietänderungen, erfasste Zahlungseingänge, Zahlungserinnerungen), Nebenkostenabrechnungen, Kautionsabrechnung und die beiden Übergabeprotokolle	Ende des Mietverhältnisses	3 Jahre	Regelverjährung, § 195 BGB
L14	Kündigungs- und Widerrufserklärungen (Name, E-Mail, Vertrag, Erklärung)	Eingang der Erklärung	3 Jahre	Regelverjährung, § 195 BGB; Nachweis nach § 312k Abs. 4 BGB
L15	Anfragen von Mietinteressenten (Name, Kontakt, Verfahrensstand)	Abschluss der Vergabe — Zusage oder Absage	6 Monate	§ 21 Abs. 5 AGG; Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO
L11	Zugangsschlüssel der kontolosen Kanäle (Mieter, Betriebe)	Deaktivierung durch den Vermieter oder Wegfall des Vorgangs	sofort wirkungslos; die Zeile fällt mit dem Vorgang	Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO

Klasse L12 — Warteliste: Zweck entfallen, Klasse abgeschlossen. Bis zum 02.08.2026 konnten sich Interessenten auf zetaro.de für den Start vormerken lassen. Mit dem Start entfiel der Zweck der Speicherung (Art. 5 Abs. 1 lit. b DSGVO), womit die Adressen nach Art. 17 Abs. 1 lit. a DSGVO zu löschen waren. Am 04.08.2026 umgesetzt: die Tabelle nimmt seither nichts mehr entgegen und ist geleert. Sie steht leer und ohne Zugriffsregel weiter im Schema — nicht als Speicher, sondern damit nachvollziehbar bleibt, dass es sie gab.

Zu L14. Wer kündigt, gibt seinen Namen und seine Adresse an, ohne dass er dafür angemeldet sein muss — die Schaltfläche nach § 312k BGB darf gerade nicht hinter dem Login liegen. Diese Erklärungen sind deshalb personenbezogene Daten von Menschen, die mit Zetaro gerade nichts mehr zu tun haben wollen. Sie bleiben trotzdem drei Jahre liegen, und zwar aus einem Grund, der beiden Seiten dient: Zetaro muss belegen können, dass es den Eingang bestätigt und die Kündigung umgesetzt hat, und der Kündigende muss belegen können, dass er sie abgegeben hat. Eine sofort gelöschte Kündigung schützt niemanden — sie nimmt dem Kündigenden den Nachweis. Nicht gespeichert wird die IP-Adresse. Ein Rate-Limit je IP wäre naheliegend gewesen; es hätte eine weitere personenbezogene Spalte bedeutet. Stattdessen begrenzen zwei Zähler (je Adresse und insgesamt).

Zu L15 — und was Zetaro über Interessenten gar nicht erst erhebt. Wer sich auf ein Inserat meldet, hinterlässt Daten, ohne je Kunde zu werden. Zetaro speichert davon Name, einen Kontaktweg, die Quelle der Anfrage, einen gewünschten Einzugstermin, einen Besichtigungstermin, den Verfahrensstand und eine freie Notiz — mehr nicht. Ausdrücklich keine Selbstauskunft, kein Einkommen, keine SCHUFA-Auskunft, keine Haushaltsgröße, kein Familienstand. Solche Angaben sind vor einer ernsthaften Vertragsanbahnung nicht erforderlich (Art. 5 Abs. 1 lit. c DSGVO), und Merkmale nach §§ 19, 21 AGG dürfen für die Auswahl ohnehin keine Rolle spielen — eine Software, die Felder dafür anbietet, erzeugt Beweismittel gegen ihren eigenen Nutzer. Sechs Monate, weil ein Benachteiligter seinen Anspruch nach § 21 Abs. 5 AGG binnen zwei Monaten geltend machen muss; die sechs decken diese Frist mit Puffer ab. Kein Papierkorb und kein Eintrag im Protokoll: das Protokoll überlebt den Datensatz, den es dokumentiert — der Name eines abgelehnten Bewerbers stünde dann für immer darin und würde genau die Löschpflicht unterlaufen. Gelöscht wird hart, in der Anwendung mit einem Klick und mit Nennung aller betroffenen Namen.

Zu L13. Drei Jahre, weil so lange gegenseitige Ansprüche aus dem Mietverhältnis verjähren — Nebenkostennachforderung, Schadensersatz, Kautionsrückzahlung. Vorher zu löschen hieße, sich selbst die Grundlage zu nehmen. Das Übergabeprotokoll steht bewusst unter derselben Frist, nicht unter den sechs Monaten des § 548 BGB: diese sechs Monate sind die Verjährung der Ersatzansprüche des Vermieters, nicht die Lebensdauer des Beweispapiers. Es dient auch der Mietpartei — als Nachweis, dass ein Mangel schon bei Einzug bestand — und wird für die Kautionsabrechnung gebraucht, die typischerweise später kommt. L1 bleibt daneben bestehen: eine Rechnung, in der ein Mietername steht, unterliegt weiter der achtjährigen Aufbewahrungspflicht nach L1, ein Mietvertrag der sechsjährigen nach L1b. Die drei Jahre betreffen den strukturierten Datensatz, nicht den Beleg.

Was hier ausdrücklich NICHT geregelt ist: ruhende Konten. Ein Konto, das jahrelang nicht benutzt wird, löscht Zetaro derzeit nicht von selbst — es gibt keinen Lauf dafür, und diese Erklärung behauptet auch keinen. Der Grund ist eine Abwägung und keine Nachlässigkeit: In einem Konto liegen Belege mit gesetzlicher Aufbewahrungspflicht, und ein automatischer Lauf, der sie nach Untätigkeit entfernt, richtete mehr Schaden an als das Aufbewahren. Sobald es dafür eine belastbare Regel gibt, steht sie hier als eigene Klasse — bis dahin ist die Löschung die Entscheidung der Nutzerin oder des Nutzers, jederzeit und mit einem Klick.

5. Der Konfliktfall

Verlangt eine betroffene Person die Löschung ihrer Daten, wird in dieser Reihenfolge geprüft:

Fällt der Datensatz unter L1 oder L1b? Also: ist er ein Beleg im steuerlichen Sinn, und ist die Frist seit Ende des Entstehungsjahrs noch nicht abgelaufen — acht Jahre bei Rechnungen, sechs bei Verträgen, Lieferscheinen und Auftragsbestätigungen? Dann gilt Art. 17 Abs. 3 lit. b DSGVO — keine Löschung. Stattdessen: Einschränkung der Verarbeitung, indem der Beleg in den Papierkorb wandert. Die betroffene Person wird über Grund und Enddatum unterrichtet. Das Enddatum steht fest und lässt sich nennen.
Ist die Person nur beiläufig genannt? Steht ihr Name allein im Fließtext eines Anliegens oder einer Nachricht, ohne dass der Datensatz selbst aufbewahrungspflichtig ist, wird der Datensatz gelöscht — nicht bloß geschwärzt.
Sonst: Löschung nach Klasse L2 bis L5, ohne weitere Prüfung.

Der zweite Fall ist der häufige. Ein Mieteranliegen mit Name und Telefonnummer unterliegt keiner Aufbewahrungspflicht — es kann jederzeit vollständig verschwinden. Der erste Fall trifft fast nur Rechnungen, und dort ist die betroffene Person meist der ausstellende Betrieb, nicht die Mieterin.

Warum nicht geschwärzt wird. Einen Namen aus einer abgelegten Rechnung zu entfernen hieße, die Datei zu verändern. Damit wäre die Prüfsumme hinfällig und der Beleg als unveränderter Nachweis wertlos — genau das, wofür ihn die Aufbewahrungspflicht verlangt. Zetaro ändert abgelegte Originaldateien deshalb unter keinen Umständen. Entweder der Beleg bleibt ganz, oder er fällt ganz.

6. Wie es technisch durchgesetzt wird

Regel	Umsetzung
Kein hartes Löschen als Normalfall	Alle Löschungen in der Oberfläche setzen ein Datum in der Spalte `deleted_at`. Der Datensatz bleibt; nur die Ansichten filtern ihn weg.
Belegdateien löscht nur der Server	Die Speicherregel lässt eine Datei nur entfernen, wenn kein Dokumenteintrag mehr auf sie zeigt — auch nicht aus dem Papierkorb heraus. Das endgültige Löschen läuft ausschließlich über eine Server-Funktion.
Fristprüfung vor dem endgültigen Löschen	Die Server-Funktion rechnet die Frist aus Belegart und Entstehungsjahr aus. Ist sie nicht abgelaufen, wird abgelehnt — mit Klartext und dem Datum, ab dem es geht.
Belege sind nach der Ablage unveränderbar	Dateiname, Speicherort, Größe, Eingangsart, Ablagezeitpunkt und Prüfsumme sind auf Datenbankebene für den Client schreibgeschützt.
Das Protokoll schreibt die Datenbank	Trigger auf Dokumenten, Vorgängen und Anliegen. Der Client hat nur Leserecht: Einträge lassen sich weder erzeugen noch ändern noch löschen.
Kontolöschung in einem Zug	Eine einzige Transaktion räumt Daten und Protokoll gemeinsam ab. Das Protokoll darf nur zusammen mit dem fallen, was es dokumentiert — gezieltes Wegputzen einzelner Spuren ist damit ausgeschlossen.
Reihenfolge bei der Kontolöschung	Erst die Datenbankzeilen, dann die Dateien. Umgekehrt scheitert der Vorgang an der eigenen Schutzregel.

7. Löschung des gesamten Kontos

Die Nutzerin oder der Nutzer kann in den Einstellungen zwischen zwei Wegen wählen. Beide laufen in einem Zug und lassen nichts halb geleert zurück.

Meine Daten löschen. Es fallen: Profil, Objekte, Vorgänge, Dokumenteinträge, Mietverhältnisse, Mieteranliegen, Handwerker-Anfragen, Interessenten, Protokolle und sämtliche Dateien im Speicher. Der Zugang (E-Mail-Adresse und Passwort) bleibt bestehen, damit weitergearbeitet werden kann.
Konto endgültig schließen. Zusätzlich fällt der Zugang selbst, also der Eintrag in der Benutzerverwaltung samt E-Mail-Adresse. Eine Anmeldung ist danach nur über eine neue Registrierung möglich.

Die Trennung besteht seit dem 23.08.2026. Zuvor gab es nur den ersten Weg — die E-Mail-Adresse blieb also erhalten, obwohl der Knopf „Konto und alle Daten löschen" hieß. Da eine E-Mail-Adresse ein personenbezogenes Datum ist, war ein Löschverlangen nach Art. 17 DSGVO damit nicht vollständig erfüllt.

Ein laufendes Abonnement verhindert das endgültige Schließen. Wer keinen Zugang mehr hat, kann sein Abo nicht mehr kündigen; die Abbuchung liefe weiter. Der Vorgang wird deshalb abgewiesen, mit dem Weg zur Kündigung. Nicht mitgelöscht wird der Kundeneintrag beim Zahlungsdienstleister: dort liegen Rechnungsdaten, die nach § 147 AO aufzubewahren sind.

Vorher exportieren. Wer steuerlich aufbewahrungspflichtige Belege in Zetaro liegen hat, muss sie vor der Kontolöschung herunterladen. Die Aufbewahrungspflicht trifft die Vermieterin oder den Vermieter, nicht Zetaro — Zetaro schuldet keine Aufbewahrung über das Vertragsende hinaus und wird die Daten nach der Löschung nicht wiederherstellen können.

Sicherungskopien. Aus Sicherungen des Infrastruktur-Dienstleisters verschwinden gelöschte Daten erst mit dem Ablauf des dortigen Sicherungszyklus. Ein gezielter Eingriff in Sicherungskopien ist technisch nicht vorgesehen; er wird auch nicht geschuldet. Bis dahin sind die Daten für den laufenden Betrieb nicht mehr erreichbar.

8. Was noch nicht umgesetzt ist

Damit dieses Konzept beschreibt, was ist, und nicht, was sein soll:

Die Regelfristen L7 und L8 laufen seit dem 6. August 2026 automatisch ab. Ein nächtlicher Lauf entfernt Einträge im Versand- und Empfangsprotokoll, die älter als zwölf Monate sind. Gelöscht wird endgültig und ohne Papierkorb: es handelt sich um Protokolle, nicht um Belege, und ihr Zweck endet mit der Frist. Das Änderungsprotokoll (L9) ist davon ausdrücklich nicht betroffen — es endet erst mit dem Konto, gemeinsam mit den Daten, die es dokumentiert.
Die Regelfrist L12 ist abgelaufen und vollzogen — die Warteliste nimmt seit dem 04.08.2026 nichts mehr entgegen und ist geleert. Hier steht sie nur noch als Beleg dafür, dass eine Klasse auch enden darf.
Die Einschränkung nach Art. 18 ist nicht als solche beschriftet. Technisch tut der Papierkorb genau das Richtige, aber er heißt „Papierkorb". Für einen Beleg, der wegen einer Aufbewahrungspflicht dort liegt, wäre ein eigener Hinweis samt Enddatum die ehrlichere Anzeige.
Belege von vor dem 30.07.2026 haben keine Prüfsumme. Die Unveränderbarkeits-Kette beginnt mit diesem Datum; rückwirkend wurde nichts nachgetragen.

9. Zuständigkeit, Prüfung, Fortschreibung

Verantwortlich für dieses Konzept ist der Inhaber (Anschrift siehe Impressum). Es wird jährlich sowie anlassbezogen überprüft — bei einer Änderung der Rechtslage, bei neuen Funktionen mit Personenbezug und bei jeder Änderung der eingesetzten Dienstleister.

Löschverlangen betroffener Personen richten sich an die verantwortliche Vermieterin oder den verantwortlichen Vermieter. Erreicht ein Verlangen Zetaro unmittelbar, wird es unverzüglich weitergeleitet und nicht selbst beantwortet.

Anfragen zu diesem Konzept: kontakt@zetaro.de

Zetaro · Impressum · Datenschutz · AGB · AVV · Löschkonzept · Verträge hier kündigen · Verträge hier widerrufen