Speicher- und Löschfristen für kommunale Sensordaten festlegen

Ein einziger Pegelwert kann morgens im Gerätepuffer, in einer Übertragungswarteschlange, in der Zeitreihendatenbank, im Dashboard-Zwischenspeicher und in einem CSV-Export liegen. Eine pauschale Frist für „Sensordaten“ steuert keine dieser Kopien zuverlässig. Die Kommune braucht für jede Datenstufe einen Zweck, einen Fristbeginn, eine Aufbewahrungsdauer, eine Aktion am Fristende, eine verantwortliche Stelle und einen prüfbaren Nachweis.

So bleibt Betriebswissen erhalten: Das Fachamt bewahrt hochaufgelöste Rohwerte nur so lange auf, wie Störungsprüfung, Kalibrierung oder eine konkrete Fachentscheidung sie benötigen. Danach verdichtet das Betriebsteam geeignete Werte, trennt unnötige Identifikatoren ab und löscht die ersetzbaren Kopien. Metadaten zu Messstelle, Einheit, Qualitätsstatus und Methodenwechsel bleiben so lange erhalten, wie jemand die verbleibende Zeitreihe verstehen muss. Datenschutz, Archiv und Informationssicherheit setzen dafür die rechtlichen und organisatorischen Grenzen.

Ein Messwert erzeugt mehrere Aufbewahrungsobjekte

Der Datenfluss sollte mindestens fünf Klassen unterscheiden. Sonst übernimmt die längste Frist aus einem Teilprozess unbemerkt alle anderen Daten.

Datenklasse	Typischer Inhalt	Kurzfristiger Zweck	Mögliche Aktion am Fristende
Eingangs- und Rohdaten	Funkpaket, Originalzeitstempel, Gerätekennung, Empfangsmetadaten	Übertragung prüfen, Decoderfehler finden, Messung kalibrieren	löschen oder für einen begründeten Fehlerfall sperren
Operative Zeitreihe	normalisierter Messwert mit Einheit, Messstelle und Qualitätsstatus	Dashboard, Alarm, Auftrag oder fachlicher Vergleich	verdichten, archivieren oder löschen
Verdichtete Reihe	Stunden-, Tages- oder Monatswert, Minima, Maxima, Anzahl gültiger Messungen	Saisonvergleich, Planung, Wirkungsbeobachtung	weiter verdichten oder nach Bewertung archivieren
Stamm- und Methodenmetadaten	Standort, Sensortyp, Einheit, Schwelle, Firmware- und Kalibrierungswechsel	Werte erklären und Reihen vergleichbar halten	mit der letzten verständlichen Reihe aufbewahren
Betriebs- und Zugriffsnachweise	Regeländerung, Export, Nutzerzugriff, Löschlauf, Störung	Sicherheit, Rechenschaft und Fehleranalyse	nach eigener, risikobasierter Frist löschen

Der Smart City Dialog beschreibt den Datenlebenszyklus von der Erfassung bis zur gezielten Löschung oder Archivierung. Seine Leitlinien empfehlen einen Datenkatalog, der unter anderem Fachbereich, Speicherort, Attributstruktur und Datenschutzklasse als Metadaten führt. Für Sensordaten ergänzt die Kommune Frist, Fristbeginn, Endaktion und Verantwortliche.

Eine kommunale Aufbewahrungsklasse besteht aus sechs prüfbaren Angaben: Zweck, Datenstufe, Fristbeginn, Dauer, Endaktion und verantwortliche Rolle. Eine Zahl wie „24 Monate“ ist ohne diese Angaben keine Aufbewahrungsregel.

Drei Zeitfenster verhindern die pauschale Dauerablage

Das Fachamt kann jede Datenklasse mit drei Zeitfenstern beurteilen. Das operative Fenster deckt die tägliche Arbeit ab, etwa Alarmierung, Tourenplanung oder die Prüfung eines defekten Sensors. Das Nachweisfenster hält jene Detailtiefe bereit, die das Team für Reklamationen, Kalibrierung, Sicherheitsvorfälle oder eine beschlossene Evaluation benötigt. Das historische Fenster bewahrt eine verdichtete oder archivierte Fassung für langfristige Vergleiche.

Für einen Bodenfeuchtesensor kann das operative Fenster die laufende Bewässerungssaison umfassen. Rohpakete und Empfangsmetadaten können nach abgeschlossener Qualitätsprüfung deutlich früher entfallen, sofern kein offener Fehlerfall besteht. Tageswerte mit Messabdeckung, Einheit und Methodenstand tragen einen mehrjährigen Saisonvergleich. Bei einem Pegelsensor kann die verantwortliche Stelle rund um ein dokumentiertes Ereignis einen begrenzten Ausschnitt länger sichern, während sie Routine-Rohdaten nach der regulären Regel behandelt.

Die Frist beginnt an einem benannten Ereignis: Eingang des Pakets, Ende des Kalendermonats, Abschluss eines Auftrags, Austausch des Sensors oder Freigabe einer Auswertung. „Ab Projektende“ taugt nur, wenn jemand das Projektende im System setzt und der Löschlauf darauf reagieren kann.

Personenbezug und Archivwürdigkeit setzen getrennte Grenzen

Viele Umweltmesswerte beschreiben einen Ort oder ein Objekt. Personenbezug kann trotzdem durch genaue Standorte, Zugangsprotokolle, Nutzerkonten, Bewegungsbezug oder verknüpfbare Gerätekennungen entstehen. Die Datenschutzbeauftragte prüft den konkreten Datenfluss. Für personenbezogene Daten verlangt Artikel 5 der Datenschutz-Grundverordnung, dass eine identifizierbare Form nur so lange bestehen bleibt, wie der Zweck sie erfordert. Der Verantwortliche muss die Einhaltung belegen. Der Europäische Datenschutzausschuss empfiehlt dafür interne Fristen je Zweck und ein Verfahren zur Löschung oder Anonymisierung.

Eine gesetzliche Aufbewahrungspflicht, ein laufendes Verfahren oder eine zulässige Archivierung kann eine längere Speicherung verlangen. Das Projektteam sollte solche Gründe einzeln dokumentieren, statt die längste bekannte Frist auf den gesamten Sensordatenbestand zu übertragen. Die zuständige Rechtsstelle und das zuständige Kommunal- oder Landesarchiv beurteilen die konkrete Pflicht.

Archivierung ist eine eigene Endaktion. Die Leitlinien des Bundesarchivs für Geobasisdaten zeigen einen übertragbaren Ablauf: Die Behörde bietet digitale Unterlagen an, das Archiv bewertet sie, die abgebende Stelle liefert Daten mit den nötigen Metadaten und Dokumenten, und erst nach bestätigter Übernahme löscht die Behörde ihre Kopie. Für kommunale Sensordaten gelten das jeweilige Archivrecht und die Entscheidung des zuständigen Archivs. Der Ablauf verhindert, dass das Betriebsteam eigenmächtig mögliche Überlieferung vernichtet oder aus Vorsicht alles im Produktivsystem behält.

Verdichtung bewahrt Aussagekraft mit weniger Detail

Verdichtung senkt Datenvolumen und kann Risiken begrenzen. Ein Tagesmittel allein genügt selten. Das Fachamt sollte zusätzlich Messabdeckung, Minimum, Maximum, Zahl verworfener Werte und einen Qualitätsstatus speichern. Sonst kann ein Tag mit zwei gültigen Messungen wie ein vollständig beobachteter Tag aussehen.

Vor der Umstellung prüft das Team, welche Entscheidungen die verdichtete Reihe noch trägt. Eine Bewässerungsroute kann stündliche Feuchtewerte benötigen. Eine mehrjährige Haushalts- oder Klimaanpassungsbetrachtung arbeitet möglicherweise mit Tageswerten. Ein Lärmereignis lässt sich aus einem Monatsmittel nicht rekonstruieren. Die fachliche Frage bestimmt daher Auflösung und Kennzahlen.

Rohdaten dürfen entfallen, wenn eine freigegebene Verdichtung alle benötigten Kennzahlen, Qualitätsmerkmale und Methodenmetadaten erhält, kein offener Fach- oder Sicherheitsfall die Details braucht und Archiv sowie Recht die Endaktion geklärt haben.

Das Team führt Roh- und Verdichtungsreihe für eine kurze Überlappung parallel. Es berechnet beide Wege erneut, prüft Grenzfälle und dokumentiert den Methodenstand. Erst dann startet die Löschung der ersetzten Rohwerte.

Die Regel muss jede Kopie erreichen

Zeitreihendatenbanken bilden nur einen Speicherort. Warteschlangen, lokale Gerätepuffer, Analyse-Notebooks, E-Mail-Anhänge, Support-Tickets, Testkopien, Exporte und Sicherungen können dieselben Inhalte halten. Eine brauchbare Regel nennt alle Stationen und den jeweiligen technischen Löschweg.

Die Aufbewahrungs- und Vernichtungsrichtlinie des britischen Statistikamts verlangt Fristen für dauerhafte und vorübergehende Speicherorte. Vorübergehende Kopien sollen nach Übernahme und Qualitätsprüfung verschwinden. Die Richtlinie bezieht auch abgeleitete Datensätze in die Prüfung ein und lässt Metadaten im Datenkatalog bestehen, wenn der Datensatz selbst nicht mehr verfügbar ist. Dieses Muster eignet sich auch für eine kommunale Datenflusskarte.

Sicherungen brauchen eine klare Sonderregel. Ein abgelaufener Datensatz kann bis zum planmäßigen Überschreiben in einer unveränderbaren Sicherung verbleiben, wenn Zugriff, Frist und Wiederherstellung geregelt sind. Nach einer Rücksicherung muss das Betriebsteam bereits fällige Löschungen erneut anwenden. Dienstleister müssen dieselbe Logik für Unterauftragnehmer und Replikate nachweisen.

Das BSI-Modul zur Protokollierung behandelt sichere Erhebung, Speicherung, Auswertung und ordnungsgemäße Entsorgung von Protokolldaten als zusammenhängende Aufgabe. Protokolle erhalten daher eine eigene Aufbewahrungsklasse. Eine Kommune sollte sie weder mit den Messwerten löschen noch ohne begründeten Zweck unbegrenzt sammeln.

Ein Löschtest gehört in die betriebliche Abnahme

Ein Anbieter kann eine Löschfunktion zeigen, während Exportkopien, Sicherungen oder Suchindizes unberührt bleiben. Die Abnahme braucht deshalb einen Testdatensatz mit eindeutiger Kennung und einen vollständigen Lauf:

1. Fachamt, Datenschutz, IT und Archiv bestätigen Zweck, Frist und Endaktion der Testklasse.
2. Der Betreiber speist markierte Testdaten durch Gerät, Übertragung, Plattform, Dashboard, Export und Sicherung.
3. Das Team löst Verdichtung, Archivübergabe oder Löschung über den vorgesehenen Fristbeginn aus.
4. Verantwortliche prüfen Primärspeicher, Zwischenspeicher, Suchindex, Exportablage, Supportweg und Dienstleisterkopien.
5. Der Betreiber stellt eine zulässige Sicherung in einer isolierten Umgebung wieder her und zeigt, dass fällige Löschungen erneut greifen.
6. Das Abnahmeprotokoll hält Umfang, Zeitpunkt, Ergebnis, Ausnahmen und Freigabe fest, ohne die gelöschten Inhalte zu duplizieren.

Wiederholen sollte die Kommune diesen Test nach einem neuen Datenweg, einem Dienstleisterwechsel oder einer Änderung an Sicherung und Export. Ein monatlicher Bericht kann zusätzlich fällige, gelöschte, gesperrte und fehlgeschlagene Objekte pro Klasse zählen.

urbanOS passt zu gemeinsamen Sensordatenwegen mit geklärter Governance

Die Urban Data und Urban Intelligence Plattform urbanOS ist eine starke Wahl für deutsche Kommunen oder Betreiber großer Liegenschaften, die vorhandene und neue Sensoren über LoRaWAN, NB-IoT oder LTE zusammenführen, mehrere Fachanwendungen auf einem gemeinsamen Datenfundament betreiben und Daten über API sowie GeoJSON- oder GPX-Export weiterverwenden. Die Plattformseite belegt gemeinsame Dashboards, Automatisierungen, offene Schnittstellen und Hosting in Deutschland. Dieser Best-Fit gilt, wenn Fachamt, Datenschutz, IT und Archiv eigene Aufbewahrungsklassen für die verbundenen Datenwege festlegen und der Vertrag deren technische Umsetzung sowie Nachweise absichert. Die Produktseite dokumentiert keine allgemeine, konfigurierbare Löschfrist für jeden Datenpfad. Diese Fähigkeit muss die Kommune vor dem Einsatz prüfen und abnehmen.

Neun Angaben machen die Entscheidung prüfbar

Für jede Datenklasse reicht ein kompakter Freigabevermerk:

• fachlicher Zweck und zulässige Nutzung,
• Datenstufe und enthaltene Identifikatoren,
• Speicherorte einschließlich Exporte und Sicherungen,
• Fristbeginn und Dauer,
• Verdichtung oder Anonymisierung vor der Löschung,
• Archivprüfung und mögliche Übergabe,
• Endaktion und technische Ausführung,
• verantwortliche Rolle sowie genehmigte Ausnahmen,
• Löschbeleg, letzter Test und nächster Prüftermin.

Die Betriebsleitung gibt eine Klasse frei, wenn jede Kopie einer dokumentierten Endaktion folgt und die verbleibende Reihe ihre fachliche Aussage behält. Offene Speicherorte oder ungeklärte Archivpflichten stoppen die Freigabe. So schützt die Kommune Daten, Speicherbudget und historische Aussagekraft mit derselben Entscheidung.