Compliance ist bei RecordTailor kein Modul, das jemand nachträglich aufgesetzt hat — es ist die Architektur. Jede Aktion (Upload, Klassifikation, Freigabe, Signatur, Löschung, Agenten-Aktion) wird als Event kryptografisch in eine Hash-Chain verkettet. Aufbewahrungs- und Löschregeln liegen als Policies-as-Code neben dem Code und sind versioniert. Legal Hold friert Bestände ein. Ein Court-Bundle-Export packt Dokumente, Verlauf und Hash-Manifest in ein Paket, das ein Prüfer eigenständig verifizieren kann.
Jedes Event bekommt einen SHA-256-Hash, der den Hash des Vorgänger-Events enthält. Wer nachträglich einen Eintrag ändert oder löscht, kippt die gesamte Kette — sichtbar per CLI-Verifikation, ohne Vertrauen in unsere Datenbank. Wir nennen das bewusst „manipulationssichtbar“, nicht „manipulationssicher“: nichts, was in einer Datenbank liegt, ist absolut unveränderbar; aber jede Änderung wird sofort sichtbar.
Aufbewahrungsfristen und Löschregeln liegen als versionierte Policies im Repository — nicht als GUI-Klickstrecke, in der niemand mehr weiß, wer welches Häkchen gesetzt hat. Der Compliance-Agent bewertet Bestände gegen diese Policies und meldet Ausreißer. Retention-Enforcement (nightly Worker, der Löschkandidaten in die Approval-Inbox stellt und nach Zwei-Augen-Freigabe vollzieht) ist in Vorbereitung — heute meldet der Agent, der Vollzug ist manuell.
Ein Bestand unter Legal Hold ist gegen jede Löschung eingefroren — auch gegen die regelbasierte Retention. Legal-Hold-Sätze sind selbst versioniert und tragen einen Grund (Prüfung, Prozess, Untersuchung). Wird der Hold aufgehoben, greift die Retention wieder.
Ein „right to be forgotten“-Antrag pseudonymisiert nicht nur die Datei, sondern erasiert die Personendaten aus den KI-Extraktionen, den Vektor-Embeddings und den Antwort-Caches. Sonst könnte der RAG-Chat Wochen später den Namen aus dem Modell reproduzieren, obwohl das Original „gelöscht“ ist. Der Erase-Job dokumentiert, welche Stores berührt wurden.
Ein Export bündelt Dokumente, Ereignishistorie und Hash-Manifest zu einem Paket, das ein Prüfer außerhalb Ihres Netzes eigenständig verifiziert. Die Kette Signatur → Zertifikat → CA → Root bleibt nachvollziehbar; für qualifiziert signierte Bestände bleibt die PAdES-B-LTA-Verifizierbarkeit unabhängig von RecordTailor erhalten.
Die Architektur folgt den GoBD-Anforderungen (Unveränderbarkeit sichtbar per Hash-Chain, Nachvollziehbarkeit über Audit-Log, Ordnung über Policies-as-Code). Ein IDW-PS-880-Testat und eine ISO-27001-Zertifizierung sind Roadmap-Themen, aber heute nicht ausgestellt — wir schreiben das offen, um niemanden zu täuschen.
Wir nutzen das Wort nur mit Zusatz: revisionssichere Ablage nach GoBD-Kriterien mit manipulationssichtbarer, kryptografisch verketteter Protokollierung. Ein absolutes Sicherheitsversprechen im Sinne eines Zertifikats geben wir erst, wenn das Testat vorliegt.
Bei einem Erase wird der personenbezogene Content aus allen Versionen pseudonymisiert — die Ereignis-Historie bleibt (weil sie Hashes speichert, keine Klarnamen), aber der Klarname im Content ist weg. Die Hash-Chain kippt dadurch nicht, weil sie über Event-Hashes verkettet ist, nicht über Content-Hashes.
Heute meldet der Compliance-Agent Kandidaten, der Vollzug ist manuell (zwei Augen). Ein nightly Enforcement-Worker, der nach Zwei-Augen-Freigabe automatisch löscht und den Legal Hold respektiert, ist in Vorbereitung.
30 Minuten. Sie schicken ein anonymisiertes Beispiel — wir zeigen live, was RecordTailor damit macht.
Demo anfragen
RecordTailor