Minenfeld -Archivierung

Transkript

1 Minenfeld -Archivierung Minenfeld -Archivierung Rechtssicherer Umgang mit s Als die IT noch EDV hieß, bestand ihr Zweck im Wesentlichen darin, Arbeitsabläufe zu beschleunigen oder zu vereinfachen. Heute ist sie ein integraler Bestandteil eines jeden Geschäftsprozesses geworden. Das gilt auch für die Kommunikation: Als Medium Nr. 1 ist die aus der Unternehmenskommunikation nicht mehr wegzudenken. Alle Unternehmen sind demnach von einer funktionierenden, sicheren und vertraulichen IT abhängig geworden. Doch die elektronische Kommunikation bietet nicht nur Geschwindigkeit und Bequemlichkeit, sie hat auch ihre Schattenseiten. Das fängt bei der zweifelhaften Vertraulichkeit einer Standard- an, geht über Manipulation und Missbrauch von s bis hin zu erheblichen Verstößen gegen gesetzliche und vertragliche Pflichten und Fristen. 1 1

2 Dabei ist es eigentlich ganz einfach: Ein bestehendes Medium (Schneckenpost) wurde durch ein neues Medium ( ) nahezu ersetzt. Ergo gelten die gleichen Pflichten und Fristen aus Handels- und Steuerrecht, Datenschutz-, Arbeits- und Finanzrecht, aus abgeschlossenen Verträgen und unzählige weitere, teils branchenspezifische Auflagen. Zusätzlich setzen Datenschutz- und Kommunikationsrecht dem Umgang und der Speicherung, also Archivierung von s enge Grenzen. Die tägliche Beratungspraxis zeigt, dass in diesem Bereich insbesondere bei kleinen und mittleren Unternehmen noch deutlicher Verbesserungsbedarf besteht. Unglücklicherweise gelten für KMU jedoch dieselben rechtlichen Aufbewahrungspflichten und -fristen wie für Großkonzerne. Sie sind auch denselben Gefahren ausgesetzt. Es gilt also für KMU, den Inhalt der (elektronischen) Korrespondenz richtig einzuordnen, die Auflagen des Gesetzgebers wie der Vertragspartner zu berücksichtigen und das eigene -Management darauf abzustellen, insbesondere um die Beweiskraft sicherzustellen. Dann können sämtliche Vorteile der elektronischen Kommunikation sicher, vertraulich und effizient in Anspruch genommen werden, während das Unternehmen sich wieder wichtigeren Dingen zuwendet: dem eigenen Geschäft. befindet, für die gesetzliche bzw. vertragliche Bestimmungen eingehalten werden müssen ( Compliance ) oder bestimmte Anforderungen an die Sicherstellung der Beweiskraft einer Standard- bestehen. Die Anzahl von sensiblen und unbedenklichen s und das Spam- Aufkommen bestimmen Größe und Umfang des Projekts -Archivierung. Denn ob ein einzelnes Notebook oder ein riesiges Rechenzentrum die IT im Unternehmen steuert es herrscht das gleiche Prinzip, nur der Aufwand verändert sich. 2. Privatnutzung von s Ein weiterer wichtiger Aspekt des Projekts -Archivierung ist die Privatnutzung von s durch die Mitarbeiter/innen. Bei einem Einzelunternehmen mag dieses Problem zu vernachlässigen sein, sobald aber Angestellte die betriebliche -Einrichtung nutzen, ist Vorsicht geboten. Nach einem BGH-Urteil ist es strengstens verboten, die private -Korrespondenz von Angestellten zu lesen. Sie darf auch nicht ohne Weiteres archiviert oder gelöscht werden. 1. Einführung von -Archivierung im Unternehmen Um zu wissen, was evtl. verändert oder angepasst werden muss, sollte bekannt sein, aus welchen Bestandteilen sich der -Traffic im Unternehmen derzeit zusammensetzt. Dazu sollten wenn nötig die Protokolle des -Servers ausgelesen oder über einen bestimmten Zeitraum Erhebungen darüber durchgeführt werden, was und wie viel über versandt und empfangen wird. So lässt sich feststellen, ob sich rechtlich relevante Korrespondenz darunter Tipp: IT-Sicherheit Machen Sie sich auch über das Thema Sicherheit Gedanken. Es muss in Erfahrung gebracht werden, wie viel und welche Korrespondenz vertrauliche Inhalte enthält. Eine Standard- hat den Vertraulichkeitsstatus einer Postkarte. Das Mitlesen oder Verfälschen ist da die Übertragung ungesichert über das Internet erfolgt jederzeit möglich, wie auch die Medien jüngst wieder berichteten. Werden vorwiegend sensible Daten verarbeitet, muss zwingend eine verschlüsselte Übertragung in das Archiv implementiert werden. 2 3

3 Um nicht später in eine Kosten- und Compliance-Falle zu laufen, sollten folgende Punkte bekannt sein: > > Ist die Privatnutzung von (Internet, Telefon und Telefax) erlaubt? > > Ist sie verboten, das Verbot selbst wird aber nicht kontrolliert? > > Ist sie verboten, und werden stichprobenhafte Kontrollen durchgeführt? Ist die Privatnutzung erlaubt oder verboten, ohne dass das Verbot kontrolliert wird, greift die rechtliche Institution der betrieblichen Übung. Gewährt ein Unternehmen seinen Mitarbeiter/innen bestimmte Leistungen oder Vergünstigungen regelmäßig, kann daraus ein Rechtsanspruch für die Arbeitnehmer/innen begründet werden. Die ursprünglich freiwilligen Leistungen wandeln sich zu verpflichtenden, denen sich der Arbeitgeber nicht mehr einseitig entziehen kann. So auch bei der Bereitstellung der privaten -Nutzung. Will ein Unternehmen jetzt seine (geschäftlichen) s revisionssicher archivieren, ist das bei erlaubter oder geduldeter Privatnutzung sehr schwierig umzusetzen. Der Betrieb eines Archivs mit privaten Inhalten des Personals wird regelmäßig als illegal eingestuft. Zusätzliche Maßnahmen und Regelungen werden in diesem Fall erforderlich. Eine juristisch haltbare Lösung, die den Betriebsfrieden schont, besteht darin, neben dem Verbot von privater -Nutzung zugleich eine Alternative zur Verfügung zu stellen. Jeder private -Account ist auch über das Internet zu erreichen. Ein gangbarer Weg besteht darin, die Privatnutzung der betrieblichen -Einrichtungen (z.b. Outlook) zu verbieten, zugleich jedoch den Einsatz von Web-Mailern zu erlauben. Die Arbeiternehmer/innen behalten ihre Vergünstigung des Privat-Mailings, der Arbeitgeber hält sein -System sauber. Allerdings sollte dieses Verbot regelmäßig kontrolliert werden, damit die Mitarbeiter nicht zum früheren Status Quo zurückkehren. 3. Zwischenfrage - wir haben ein Backup, wozu brauchen wir ein Archiv? Oft gehört, aber dadurch leider nicht richtiger. Es gibt drei Gründe für ein Archiv: 1 Ein Backup beinhaltet stets nur eine Kopie, ein Archiv dagegen das Original, welches im Streitfall die größere Beweiskraft besitzt. 2 In einem Backup-String kann keine einzelne gesucht oder extrahiert werden. Stets muss die komplette Sicherung, in der sich die vermutlich befindet, zurückgespielt, also ein Recovery durchgeführt und die fragliche manuell gefunden werden. Ein Archiv beinhaltet im Gegensatz dazu einen Index, über welchen jede wie in einer Suchmaschine mit Begriffen oder zeitlichen Einschränkungen einfach gefunden werden kann. Ziel ist es also, eine bestimmte schnell wiederzufinden. 3 Durch das Wiederaufspielen des Backups können aktuelle Daten von älteren überschrieben werden. Im Zweifel ist das Original also für immer weg. Wird das Unternehmen einer Prüfung unterzogen, z.b. durch die Datenschutz-Aufsichtsbehörden oder Finanzbehörden, können Archive Prüfern schnell einen eng umrissenen - also begrenzten - Einblick in den -Verkehr gewähren. 4. Die Aufbewahrungsfristen Werden Rechtsgeschäfte eingeleitet, durchgeführt und abgewickelt, greifen auch bei die gesetzlichen Aufbewahrungsfristen. Also müssen in einem ersten Schritt die Auflagen des (Steuer-)Gesetzgebers beachtet werden. Die Aufbewahrungspflichten für Papierdokumente (Rechnungen, Inventarlisten, Buchungsbelege etc.) gelten auch für elektronische Dokumente. Den eigentlichen Unterschied macht die Technologie : Ein Stück Papier inklusive Stempel und Unterschrift zu 4 5

4 manipulieren, setzt eine wesentlich höhere kriminelle Energie voraus, elektronische Dokumente dagegen sind mit ein paar Mausklicks geändert. Eine kann in den meisten Mail-Programmen einfach editiert werden. Es können sowohl Texte als auch Anhänge gelöscht und neue hinzugefügt werden, ohne dass die Änderung bei einem Ausdruck oder pdf-druck sichtbar wird. Deshalb verbessert das Ausdrucken einer die Beweiskraft im Streitfall nicht. Auch eine auf der Festplatte gespeicherte kann jederzeit editiert werden. Für eine rechtssichere Archivierung gibt es nur einen soliden Weg: die gesetzlichen Auflagen nachweisbar zu erfüllen. Dazu gehören drei wesentliche Anforderungen: 1 Die Integrität muss gewährleistet sein (d.h. die relevanten Dokumente müssen vollständig und unverfälscht bleiben). 2 Die Aufbewahrungs- und Löschfristen müssen eingehalten werden. Da es unterschiedliche Fristen gibt, reicht ein Archiv mit nur einer pauschalen Retention-Period von z.b. 10 Jahren nicht aus. 3 Die Unveränderbarkeit der archivierten Dokumente muss sichergestellt werden. Zur Veranschaulichung kann das Handels- und Steuerrecht herangezogen werden. Die Buchhaltung (bzw. Finance & Controlling) ist hier im Unternehmen die erste Anlaufstelle und kann Auskunft darüber geben, welche Dokumente (in Papierform) auf welche Weise und wie lange aufbewahrt werden müssen. Werden diese Dokumente per übermittelt (Angebote, Rechnungen, Lieferscheine, Bestellungen Mahnungen, Inventarlisten etc.) gilt z.b. 147 AO bzw. analog 257 HGB somit auch für s. Je nach Branche und Geschäftsfeld kommen weitere Vorschriften hinzu, z.b. Produkthaftung, Nachweispflichten in Forschung und Entwicklung oder spezielle Vorschriften für Finanzdienstleistungen. Hier können externe Experten helfen, die jeweiligen Auflagen zu sammeln, die zu befolgenden Aufbewahrungspflichten und -fristen zusammenzustellen und daraus ein erstes Anforderungsprofil zu entwickeln: 1 Was muss aufbewahrt werden? 2 Was darf aufbewahrt werden? 3 Was muss nicht aufbewahrt werden? (z.b. Spam) 4 Was darf nicht aufbewahrt werden? (private s, Bewerbungsunterlagen) 5. Die Löschfristen Neben den gesetzlichen und vertraglichen Archivierungspflichten existieren auch von Gesetzes wegen Löschfristen, so z.b. im Datenschutzrecht. Dort ist die Erhebung, Verarbeitung und Nutzung von personenbezogenen Daten eng an ihren Zweck gebunden. Nicht nur muss grundsätzlich eine Rechtsgrundlage oder eine Einwilligung der Betroffenen vorliegen, wenn die Daten gespeichert werden sollen. Ist der Zweck erloschen, sind die Daten auch gleichermaßen zu vernichten, wenn nicht andere Gesetze eine Aufbewahrung verlangen. In diesem Zusammenhang wird die Bewerbung per zur nächsten Herausforderung. So lange das Bewerbungsverfahren läuft, ist die Aufbewahrung der Bewerbungsunterlagen gestattet, da sie dem Zweck der Beurteilung und gegebenenfalls als Grundlage für Vertragsverhandlungen dient. Kommt es z.b. zu einer Absage, erlöscht der Zweck, die ist mit allen Anhängen zu löschen. Wurde nun ein Billig-Archiv eingesetzt, das alle Daten für 10 Jahre wegschreibt, wird es doppelt kritisch: 6 7

5 Zum einen besteht hier ein Gesetzesverstoß, der sehr teuer geahndet werden kann ( 43 BDSG, bis zu Euro). Weiterhin kann von den Betroffenen nachweislich verlangt werden, alle personenbezogenen Daten zu löschen ( 35 BDSG). Befindet sich nun eine (abgelehnte) Bewerbung mitsamt CV und allen Zeugnissen in einem 10-Jahres-Archiv, kann sie nicht mehr gelöscht werden. Eine Lösung für dieses Problem trotz Einsatz eines solchen Archivs besteht darin, Bewerbungen grundsätzlich nicht zu archivieren. Da professionelle Archive -Adressen aufprüfen können, kann z.b. die -Adresse personalwesen@firma.de vom Archiv ignoriert werden. Die Bewerbung wird in einem geschützten Bereich vorgehalten, bis das Bewerbungsverfahren abgeschlossen ist, dann könnte sie einfach gelöscht werden. 6. Betriebliche Nutzungsanforderungen Eine gute -Archivierung sollte über die Erfüllung gesetzlicher Anforderungen hinaus weiteren Nutzen bringen. Oftmals werden s genau dann benötigt, wenn die betreffenden Mitarbeiter/innen in Urlaub oder auf Dienstreise, auf jeden Fall nicht erreichbar sind. Ein revisionssicheres Archiv, das neben Handels- und Steuerrecht auch datenschutz- und betriebsratskompatibel ist, bietet hier exakt die benötigte Lösung. Bleibt das Archiv frei von privaten s, darf auch eine wichtige aus dem Archiv gefischt werden, auch in Abwesenheit des Adressaten, z.b. auf Basis von entsprechenden Vertretungsregelungen. Bei richtiger Herangehensweise gehören auch versehentlich oder absichtlich gelöschte s der Vergangenheit an. Somit wird nicht nur die hauseigene IT-Abteilung entlastet und die Produktivität erhalten, sondern die gesamte Dokumentationskette bleibt geschlossen. Es kann nichts mehr verlorengehen. 7. So finden Sie die richtige Archivierungssoftware Nachdem die Fragestellungen zu den rechtlichen Rahmenbedingungen und betrieblichen Nutzungsfaktoren geklärt worden sind, sollten sie unbedingt aufgeschrieben werden, idealerweise in ein Fachkonzept oder - insbesondere in größeren Unternehmen - nach DIN in ein Lastenheft. Solch ein Konzept kann je nach Unternehmensgröße und Umfang der -Nutzung aus wenigen Seiten bestehen oder aber auch ganze Ordner füllen. Es enthält die funktionalen, nichtfunktionalen und allgemeinen technischen Anforderungen an das Archiv. Funktionale Anforderungen sind z.b. eine Möglichkeit zur Volltext- Recherche im Archiv oder eine Anbindung an weitere Datenbanken. Nichtfunktionale Anforderungen sind z.b. eine Suchfunktion (s.o.) nur über den Index (aus Performance-Gründen) oder eine Migrationsmöglichkeit bei Anbieterwechsel. Tipp: Aufbewahrung von Bewerbungsunterlagen Das AGG ermöglicht allen abgelehnten Bewerber/innen, binnen zwei Monaten Einspruch gegen die Ablehnung einzulegen. Da die Beweislast, gegen das AGG nicht verstoßen zu haben, in diesem Fall beim Arbeitgeber liegt, kann das ohne Vorliegen der ursprünglichen Bewerbungsunterlagen schwierig werden. Einfache Lösung: die Bewerbung aus dem o.g. geschützten Bereich überführen in eine Umgebung, zu der beispielsweise nur die Personalleitung Zugriff hat und sie damit für eine normale Bearbeitung sperren. Nach Ablauf der zwei Monate wird sie schließlich gelöscht. Wird für diese Vorgehensweise vom Datenschutzbeauftragten noch eine Verfahrensbeschreibung angelegt, ist auch die Aufsichtsbehörde in den meisten Fällen zufrieden. 8 9

6 Allgemeine technische Anforderungen beinhalten z.b. Vorgaben zum Betrieb in der eigenen IT-Umgebung oder Vorgaben vonseiten des -Providers. Diese Dokumentation dient als Grundlage für die Auswahl geeigneter Anbieter am Markt. Die Aufgabe dieser Anbieter besteht darin, das Gegenstück zu diesen Anforderungen - das technische Konzept oder Pflichtenheft - zu verfassen. Wenn das Fachkonzept (oder Lastenheft) die Anforderungen formuliert, erklärt das technische Konzept (oder das Pflichtenheft), wie sie erfüllt werden können. Die Vorteile einer solchen Vorgehensweise liegen auf der Hand: > > Es wird sichergestellt, dass die Anforderungen sowohl von der rechtlichen Seite als auch aus den Prozessen heraus exakt formuliert sind. Es gerät nichts in Vergessenheit. > > Während der Beschaffung / Ausschreibung können die möglichen Anbieter sehr viel besser selektiert und Angebote besser verglichen werden. > > Zudem wird bei der späteren Implementierung das Projekt- Controlling dadurch ebenfalls optimiert, da jederzeit geprüft werden kann, ob und wie die versprochenen Funktionen umgesetzt werden. Das Ganze hat nicht nur einen rein monetären Aspekt, sondern auch einen juristischen: egal welche Lösung eingesetzt wird, die juristische Verantwortung für den Betrieb verbleibt stets beim Auftraggeber. Weil das so ist, eignet sich nicht jede Lösung für jedes Unternehmen. Es kann durchaus wirtschaftlicher sein, eine Online-Archivierung (Mieten von Postfächern) dem Kauf einer Inhouse-Lösung vorzuziehen, sofern beide alle Anforderungen erfüllen würden. Mit dieser Vorgehensweise erhält das Unternehmen exakt die - Archivierung, die zum Unternehmen, zur Unternehmenskultur, den Geschäftsprozessen und den geltenden gesetzlichen Rahmenbedingungen passt. Nur so wird das investierte Kapital sich auch recht schnell amortisieren bzw. seinen exakten Zweck erfüllen. Auch wenn diese Vorgehensweise etwas komplexer anmutet als einfach drauflos zu kaufen, ist sie mittel- bis langfristig die einzige Lösung, wenn alle Aspekte berücksichtigt werden und keine (juristischen wie wirtschaftlichen) Lücken verbleiben sollen. Die hier vorgeschlagenen Aufgabenstellungen hören sich komplexer an, als sie sind. Es ist richtig, dass das Zusammenspiel der juristischen und betrieblichen Faktoren etwas diffizil ist, weshalb es zusammen mit einem Spezialisten angegangen werden sollte. Aber am Ende des Tages unterstützt der gesamte Bereich der -Kommunikation das Geschäft optimal, da die Korrespondenz endlich (rechts-)sicher und effizient abgewickelt wird. Über den Autor Download aller BIEG-Leitfäden unter IT-Revisor und externer Datenschutzbeauftragter Frank Giebel ist seit rund zwanzig Jahren in der IT-Branche tätig. Als Inhaber von 3rd Mind Business Consulting bietet er seinen Kunden herstellerneutrale Beratung und Funktionsübernahme. Stand: Juli 2013 Frank Giebel 3rd Mind Business Consulting e.k

7 Minenfeld -Archivierung Unternehmen sind von einer funktionierenden, sicheren und vertraulichen IT abhängig geworden. Der Manipulation und dem Missbrauch von s muss vorgebeugt, gesetzliche und vertragliche Fristen und Pflichten müssen eingehalten werden. Unser Leitfaden nimmt Sie auf dem Weg zu einem (rechts-)sicheren -Archivierungssystem an der Hand. Impressum Herausgeber BIEG Hessen c/o IHK Frankfurt am Main Börsenplatz Frankfurt am Main Telefon 069 / Telefax 069 / info@bieg-hessen.de Das BIEG Hessen ist eine GbR und wird vertreten durch die Gesellschafter IHK Frankfurt am Main, IHK Hanau-Gelnhausen-Schlüchtern, IHK Fulda und IHK Offenbach am Main. Träger des BIEG Hessen Industrie- und Handelskammern: Frankfurt am Main Fulda Hanau-Gelnhausen-Schlüchtern Offenbach am Main 12 Verantwortlich für den Inhalt Detlev Osterloh, Geschäftsführer, BIEG Hessen, IHK Frankfurt am Main Druck Daab Druck & Werbe GmbH, Reinheim Layout und Titelbild Birgit Dürr HERAUSGEBER BIEG Hessen c/o IHK Frankfurt am Main Börsenplatz Frankfurt am Main Telefon Telefax info@bieg-hessen.de