Aufbewahrung als gehärtete State-Machine — nicht als Speicher-Einstellung.
Drei strikte Tiers. Öffentliche Labs hinterlassen nichts auf einem Server. Workspace-Daten liegen in verschlüsselten, pro-Org partitionierten Tabellen mit konfigurierbarem Lifecycle. Compliance-Datensätze sind WORM, von UPDATE und DELETE blockiert — für alle, uns eingeschlossen.
Warum Aufbewahrung ein rechtliches Schlachtfeld ist, keine Einstellung
In der DACH-Region und dem weiteren europäischen Enterprise-Markt ist Datenaufbewahrung das Fundament von DSGVO, NIS2 und GoBD. Die meisten SaaS-Tools werfen Dateien in einen Cloud-Bucket und vergessen sie. Lojycal partitioniert jedes Byte über drei strikte Tiers, jeder mit eigener Physik — und jeder einem Auditor beweisbar.
Die 3-Tier-Aufbewahrungs-Architektur
┌─────────────────────────────────────────────────────────────────────────┐
│ LOJYCAL DATEN-AUFBEWAHRUNGS-MASCHINE │
└─────────────────────────────────────────────────────────────────────────┘
│
┌───────────────────────────┼───────────────────────────┐
▼ ▼ ▼
[ 1. PUBLIC EPHEMERAL ] [ 2. WORKSPACE ACTIVE ] [ 3. WORM COMPLIANCE ]
- Nur Browser-Speicher - Verschlüsselt im Ruhe - Read-Only
- Keine Server-Persistenz - Konfig. Lifecycle - Strikte Statutfristen
- In-Memory-Purge bei Urteil - Per-Org RLS Partitionen - Update/Delete hart blockiert
Tier 1 · Public Ephemeral
Keine server-seitige Persistenz
Öffentliche, nicht-authentifizierte Tools — der AI Spreadsheet Analyzer, das anonyme Contract Review Lab — parsen Dateien vollständig im Browser-Speicher. Die Rohzeilen werden nie in eine Lojycal-Datenbank geschrieben. Wenn das Urteil rendert, werden In-Memory-Puffer freigegeben und nur aggregierte Zahlen bleiben auf dem Bildschirm.
• AI Subscription Analyzer: CSV / XLSX im Browser geparst; Rohzeilen sofort nach Urteil verworfen.
• Anonymes Contract Review Lab: Vertragstext nur im Client-State.
• Keine Zeile in eine Lojycal-Tabelle ohne authentifizierten Org-Kontext eingefügt.
Tier 2 · Workspace Active
Verschlüsselt im Ruhezustand · pro Org partitioniert · konfigurierbarer Lifecycle
Innerhalb des authentifizierten Workspace werden Kundendaten in einer verwalteten Postgres-Datenbank mit Verschlüsselung im Ruhezustand gespeichert (von der Plattform bereitgestellt). Jede Mandanten-Tabelle ist nach organization_id partitioniert und durch Per-Org-RLS (is_org_member / has_org_role) gegated, mit AAL2-Erzwingung wo force_mfa gesetzt ist.
• Per-Org-RLS auf jeder Kunden-Tabelle — keine mandantenübergreifenden Lesezugriffe.
• AAL2-Gate via has_required_mfa_for_org erzwungen, wenn force_mfa in org_settings.preferences gesetzt ist.
• Geheimnis-Spalten (Tokens, Wiederherstellungscodes, Vendor-Credentials) sind auf Privilegienebene REVOKE-geschützt, nicht nur via RLS.
Abgeschlossene Compliance-Aktionen, Asset-Beendigungsdatensätze und finanzielle Kosten-Eindämmungsereignisse committen in Write-Once-Read-Many-Tabellen, geschützt durch den worm_block_mutation Trigger. UPDATE und DELETE sind für alle blockiert — auch für Plattform-Admins. Wenn ein Auditor um Nachweise bittet, ist der Datensatz kryptografisch unversehrt und nicht fälschbar.
• audit_log · evidence_pack_signatures · jira_impact_assessments — alles WORM.
• Evidence Packs mit Per-Org-HMAC-Schlüsseln signiert — nicht abstreitbar beim Export.
Abgestimmt auf DSGVO-, NIS2- und GoBD-Nachweispflichten
Lojycal ist darauf ausgelegt, die Nachweis- und Aufbewahrungspflichten zu unterstützen, denen europäische Mittelstands- und Enterprise-Käufer unterliegen. Die Plattform ist kein Ersatz für Rechtsberatung — Aufbewahrungsfristen für regulierte Datensätze bleiben Verantwortung des Kunden — aber die Architektur ist so gebaut, dass Auditor-Fragen eine maschinelle Antwort haben, nicht ein Policy-PDF.
DSGVO: Per-Org-Partitionierung, konfigurierbarer Lifecycle, Löschkaskade bei Ablauf wo implementiert.
NIS2: WORM-Incident-Archiv, signierte Evidence Packs, audit_log für jede privilegierte Aktion.
GoBD: unveränderliche Finanz- und Compliance-Settlement-Trails in WORM-Tabellen, von UPDATE / DELETE blockiert.
Evidence Packs: Per-Org-HMAC-Signaturschlüssel, jeder Export in evidence_pack_signatures geloggt.
Zugriffsprüfungen und Break-Glass: Dual-Control, Funktionstrennung, auto-ablaufende Sessions.
Secret-Hygiene auf Privilegienebene (REVOKE), nicht nur RLS — Clients können Tokens oder Wiederherstellungscodes nicht lesen.
Haftungsausschluss: Lojycal erbringt keine Rechtsberatung. Kunden bleiben verantwortlich für die Bestimmung der statutarischen Aufbewahrungsfristen, die für ihre Datensätze gelten, und für die entsprechende Konfiguration des Workspace-Lifecycles.
Aufbewahrung, die Sie beweisen können. Nicht Aufbewahrung, von der Sie hoffen, dass sie hält.
