Aufbewahrungs- & Sorgfaltspflichten im Umgang mit digitalen Informationen (Information Lifecycle Management)

Transkript

1 Aufbewahrungs- & Sorgfaltspflichten im Umgang mit digitalen Informationen (Information Lifecycle Management) Lukas Fässler Rechtsanwalt & Informatikexperte 6300 Zug Fachhochschule Nordwestschweiz I I I I I I I II IIII III IIII IIIIII III IIIII IIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIII Lukas Fässler Rechtsanwalt Zug 2008

2 Inhaltsübersicht Von den Informationen = ILM-Modell Von gesetzlichen Grundlagen = Regulierung Von Standards & Normen = Selbstregulierung Von der Verantwortung = Sorgfaltspflichten Von der Verletzung der Sorgfalt = Haftung Von der Umsetzung = ILM-Projekte Zusammenfassung

3 Teil 1 Von den Informationen ILM Modell

4 Gerichtsentscheid Betreff: [INFOLAW-L] OVG Lüneburg: Beweiswert von s OVG Lüneburg vom , Az. 2 PA 108/05 ist nur mit Signatur beweiskräftig Eine ausländische Antragstellerin begehrte die Zulassung zu einer deutschen Hochschule. Dies wurde ihr verweigert, da sie nicht das ausländische Äquivalent zu einer Hochschulreife nachweisen habe können. Gegen diese Abweisung erhob die verhinderte Studentin Beschwerde vor dem Verwaltungsgericht. Das Internationale Büro der Universität habe ihr in einer zugesichert, dass sie die Hochschulreife besitze. Wegen dieser Bestätigung müsse sie nunmehr zum Studium zugelassen werden. Das Oberverwaltungsgericht wies die Beschwerde letztlich ab. Die könne nicht als Zusicherung der Zulassung zum Hochschulstudium gewertet werden. Wenn das Büro diese mit dem notwendigen Rechtsbindungswillen versenden wollte, hätte diese mit der Signatur versehen werden müssen. Ohne diesen Schutz sei die Mail nicht sicher genug, um als Beweis in einem gerichtlichen Verfahren gelten zu können.

5 Information Lifecycle Management (ILM) 1 Information Lifecycle Management ist der gesetzeskonforme nach internationalen Standards ausgerichtete ordnungsgemässe beweistaugliche rechtzeitig reproduzierbare angemessene risikobezogene Umgang mit allen geschäftsrelevanten Informationen

6 Lebenszyklus von Dokumenten Quelle: Churer Schriften zur Informationswissenschaft, Schrift 11: Stand von Records Management in der chemisch-pharmazeutischen Branche; Chur 2006

7 Information Lifecycle Management (ILM) 2 Erfassen Bearbeiten Verwalten Speichern Archivieren weitergeben vernichten von geschäftsrelevanten Informationen in jeder Form papierbasierend digitalisiert (elektronische Dokumente, Datenbanken, Audio, Video, Foto, Voice etc.)

8

9 unter Publikationen suchen

10

11

12

13

14 Thesen aus Studie HTW Chur 2006

15 Teil 2 Von gesetzlichen Grundlagen Regulierung

16 Obligationenrecht (OR) Obligationenrecht Art OR Vo über die Führung und Aufbewahrung der Geschäftsbücher vom GeBüV Erlaubnis zur elektronischen Führung und Aufbewahrung von Geschäftsbüchern Buchungsbelege Geschäftskorrespondenzen

17 Beweiskraft Art. 957 Abs. 4 OR Elektronisch oder in vergleichbarer Weise aufbewahrte Geschäftsbücher, Buchungsbelege und Geschäftskorrespondenzen haben die gleiche Beweiskraft wie solche, die ohne Hilfsmittel lesbar sind. Art. 110 Abs. 5 StGB Urkunden sind Schriften, die bestimmt und geeignet sind, oder Zeichen, die bestimmt sind, eine Tatsache von rechtlicher Bedeutung zu beweisen. Die Aufzeichnung auf Bild- und Datenträgern steht der Schriftform gleich, sofern sie demselben Zweck dient. Digitale Aufzeichnungen werden zu Urkunden!!

18 Strafgesetz Sonderbestimmungen 1 Strafbestimmungen 1

19 Strafgesetz Sonderbestimmungen 2 Strafbestimmungen 2

20 Geschäftskorrespondenz Art. 957 OR / Art. 1 ff GeBüV Geschäftskorrespondenzen Begriff weit gefasst beinhaltet alle Informationen, welche für eine Unternehmung / Amtsstelle von rechtlicher Relevanz sein können Recht und Pflichten begründet, verändert oder aufgehoben werden Externe gegenüber Bürger / intern bezogen auf die Mitarbeiter auch automatisch generierte Informationen aus Maschinen (Bestätigungs s aus e-shops)

21 Objekte des ILM SPEICHERN AUFBEWAHREN ARCHIVIEREN im aktiven Lebenszyklus (vorarchivisch): Speichern zu Beweiszwecken -> Beweistauglichkeit (Prozessverfahren) -> Authentizität -> Identität Aufbewahrung gemäss gesetzlichen Auflagen -> Aufbewahrungsfristen Im passiven Lebenszyklus (archivisch): Langzeitarchivierung (vorab historische Zwecke Überlieferungsbildung wissenschaftliche Auswertungen)

22 Informationsträger Zur Aufbewahrung von Schriftgut sind zwei Arten von Informationsträger zulässig Art. 9 GeBüV Unveränderbare Informationsträger (Papier, Bildträger & Datenträger wie WORM = Write once Read many) Veränderbare Informationsträger, wenn a. technische Verfahren zur Anwendung kommen, welche die Integrität der gespeicherten Informationen gewährleisten (digitale Signaturverfahren) b. Zeitpunkt der Speicherung unverfälschbar nachweisbar ist (Zeitstempel) c. die im Zeitpunkt der Speicherung bestehenden Vorschriften über den Einsatz der betreffenden technischen Verfahren (technischer Verfahrensprozessnachweis) eingehalten werden, d. Abläufe & Verfahren zu deren Einsatz festgelegt & dokumentiert (organisatorische Dokumentationsprozessnachweis) sind sowie die entsprechenden Hilfsinformationen (Protokolle Log Files) ebenfalls aufbewahrt werden.

23 Ordnungsmässigkeit Art. 4 GeBüV Ordnungsgemässe Aufbewahrung Organisation, Zuständigkeiten, Abläufe & Verfahren sowie Infrastrukturen sind in aktualisierten Arbeitsanweisungen zu dokumentieren und gleichlange aufzubewahren, wie die Geschäftsbücher, die danach geführt werden (Dokumentationspflicht / Aufbewahrungspflicht). Verfügbarkeit innert angemessener Frist. Personal sowie Geräte oder Hilfsmittel sind verfügbar zu halten (Verfügbarkeitspflicht). Auch ohne Hilfsmittel lesbar zu machen (Reproduzierbarkeitspflicht).

24 Grundprinzipien der Aufbewahrung Neu umschreibt die GeBüV auch einige Grundsätze der ordnungsgemässen Aufbewahrung: Integrität & Authentizität (Echtheit & Unverfälschbarkeit) Art. 3 Feststellung von Aenderungen im Nachhinein Art. 3 allg. Sorgfaltspflichten (Schutz vor schädlichen Einwirkungen) Art. 5 Verfügbarkeit innert angemessener Frist Art. 6 Trennung archivierter von aktuellen Informationen Art. 7 Verantwortung für archivierte Informationen festlegen Art. 7 Informationen systematisch inventarisieren Art. 8 Zugriffe & Zutritte sind aufzuzeichnen Art. 8 Sicherstellung jederzeitiger Lesbarkeit der Daten Art. 10 Anforderungen an die Migration von Daten Art. 10

25 Organisation Art. 7 GeBüV Organisation: Archivierte Informationen von aktuellen getreffen zu halten & so zu kennzeichnen, dass eine Unterscheidung möglich ist. Informationen sind systematisch zu inventarisieren & vor unbefugtem Zugriff zu schützen. Zugriffe & Zutritte sind aufzuzeichnen. Aufzeichnungen unterliegen der gleichen Aufbewahrungspflicht wie Datenträger Art. 963 OR... Bei elektronisch aufbewahrten Geschäftsbüchern, Buchungsbelegen oder Geschäftskorrespondenz kann das Gericht anordnen, dass: Sie so vorgelegt werden, dass sie ohne Hilfsmittel gelesen werden können oder Die Mittel zur Verfügung gestellt werden, mit denen sie lesbar gemacht werden können.

26 Überprüfung & Datenmigration Art. 10 GeBüV Überprüfung: Informationsträger sind regelmässig auf ihre Integrität und Lesbarkeit zu prüfen (Prüfungsprozess definieren, Nachweisdokumente aufbewahren) Daten können in andere Formate oder auf andere Informationsträger übertragen werden (Datenmigration), wenn sichergestellt ist, dass: Die Vollständigkeit und Richtigkeit der Informationen gewährleistet bleibt, Die Verfügbarkeit und Lesbarkeit den gesetzlichen Anforderungen weiterhin genügen, Die Übertragung von Daten von einem Informationsträger auf einen andern ist zu protokollieren. Das Protokoll ist zusammen mit den Informationen aufzubewahren (Migrationsprozess dokumentieren; Migrationsprotokolle aufbewahren).

27 Prozessgrundsatz Du kannst zwar Recht haben, aber den Prozess musst Du gewinnen Art. 8 ZGB hat derjenige das Vorhandensein einer behaupteten Tatsache zu beweisen, der aus ihr Rechte ableitet (Beweislast) Prozessverlust wegen Beweislosigkeit/Beweisuntauglichkeit Beweiskraft, Relevanz, Richtigkeit & Originalkonformität bestritten Richter mit Ermessen & freier Beweiswürdigung Parteien kämpfen um Argumentationskette bezüglich Zulassung oder Verwerfung eines Beweismittels (Urkunde; elektronische Dokumente) Beweis des ersten Anscheins bezüglich Authentizität - Integrität - Identität

28 Spezialgesetze - Produktehaftpflicht Beweislastumkehr

29 Spezialgesetze - Mehrwertsteuer Art. 43 Beweiskraft 1 Elektronisch oder in vergleichbarer Weise übermittelte und aufbewahrte Daten und Informationen, die für den Vorsteuerabzug, die Steuererhebung oder den Steuerbezug relevant sind, haben die gleiche Beweiskraft wie Daten und Informationen, die ohne Hilfsmittel lesbar sind, sofern folgende Voraussetzungen erfüllt sind: a. Nachweis des Ursprungs; b. Nachweis der Integrität; c. Nichtabstreitbarkeit von Versand und Empfang.

30 Spezialgesetze - Mehrwertsteuer Verordnung des EFD über elektronisch übermittelte Daten und Informationen (ELDI-V) Gilt seit elektronischer Rechnungsverkehr ermöglichen, rein elektronische Belege für Vorsteuerabzug etc. zulassen Ausführlich, scharfe Bestimmungen zur Übermittlung und Aufbewahrung qualifizierte digitale Signatur als Anforderungen, damit elektronische Daten als Belege anerkannt werden Anforderungsdefinitionen an IT-Systeme und Datenverarbeitung (inkl. Archivsysteme) Verfügbarkeit der Daten Prüfbarkeit von Daten und Vorfällen gewährleisten Zugangskontrollen erlauben Protokollierung der Transaktionen / Unveränderbarkeit gespeicherter Daten

31 Spezialgesetze - Spielbankenrecht Art. 30 Dokumentationspflicht 1 Die Spielbank hat Protokolle zu führen, die Rückschlüsse auf den internen Geldfluss sowie auf Handlungen an Spieltischen, Glücksspielautomaten und Jackpotsystemen und Eingriffe in diese zulassen. Art. 34 Aufbewahrungsdauer Die Protokolle nach den Artikeln 30 und 31 sind fünf Jahre an einem sicheren Ort aufzubewahren, soweit andere Bundesgesetze keine längeren Fristen vorsehen. Die Kommission kann für einzelne Protokolle die Frist verkürzen oder bis auf zehn Jahre verlängern.

32 Gesetzgeberverweis Richter wird Verantwortung (Sorgfaltspflicht & Verschulden) und Haftung (Schadenersatzpflicht) der Führungskräfte (VR & GL) in Bezug auf die gesamte Schriftgutverwaltung nach solchen Regelwerken beurteilen.

33 Teil 4 Von der Verantwortung = Sorgfaltspflichten

34 Zivilrechtliche Verantwortung VR & GL Organisationsverantwortung als unübertragbare und unentziehbare Aufgabe des Verwaltungsrates (Art. 716a Abs. 1 und 2 OR) Complianceverantwortung des VR Unternehmensverantwortung des VR Verantwortung für Personalauswahl des VR Führungsverantwortung des VR (Art. 716a Abs. 1 OR) (Art. 716a Abs. 1 OR) (Art. 716a Abs. 4 OR) (Art. 716a Abs. 5 OR) Aufgaben kann man delegieren, Verantwortung NIE

35 Sorgfaltspflichten 2 Die Chefs sind verantwortlich: a) Cura in eligendo = Sorgfalt in der Auswahl b) Cura in instruendo = Sorgfalt in der Anleitung c) Cura in custodiendo = Sorgfalt in der Aufsicht Oder: K Kommandieren K K Kontrollieren Korrigieren

36 Risikobeurteilung 1 Welches RISIKO in zivilrechtlicher Hinsicht läuft Ihre Unternehmung Ihre Geschäftsleitung / Verwaltungsrat (Art. 754 OR) wenn sie die Einwände der Gegenpartei im Zivilprozess Beweiskraft, Relevanz, Richtigkeit & Originalkonformität nicht durch authentische & identische Dokumente originalkonforme Reproduzierbarkeit zeitgerechte Bereitstellung nachgewiesene Prozesse beseitigen kann?

37 Risikobeurteilung 2 Welches RISIKO in strafrechtlicher Hinsicht läuft Ihre Unternehmung (Art. 100 quater StGB) Ihre Geschäftsleitung / Verwaltungsrat, wenn sie die Aufbewahrungspflichten (Aufbewahren Geschäftsbücher Art. 325 Abs. 2 StGB) Nachweispflichten (ordnungsgemässe Führung Art. 325 Abs. 1 StGB) nicht erfüllen kann?

38 Corporate Governance OECD-Grundsätze der Corporate Governance 2004 (Nachfolger 1999) In der Schweiz wurden die OECD-Grundsätze 1999 durch SWX Swiss Exchange Richtlinie betr. Informationen zur Corporate Governance RLCG (Transparenzrichtlinie) umgesetzt. economiesuisse swiss code of best practice for corporate governance September

39

40

41 Auswirkungen für VR & GL Der Verwaltungsrat und die Geschäftsleitung müssen bezüglich Umgang mit Informationen dafür sorgen, dass das Unternehmen über: 1. ein angepasstes Risiko-Management (auch bezüglich Schriftgutverwaltung) verfügt. 2. eine dafür geeignete Organisation (Aufbau- und Ablauforganisation) aufgebaut ist. 3. eine kontinuierliche Verbesserung der geeigneten Organisation (ILM- System) verfügt 4. regelmässig Bericht erstattet wird über Stand (Ist-Analyse) Entwicklungen (SOLL-Ziele) Handlungsbedarf (Differenzanalyse) Anträge (Massnahmenplan)

42 Kontinuierliche Verbesserung Act K RM-System ISO Plan K OMMANDIEREN K ONTROLLIEREN Check Do K ORRIGIEREN Kontinuierliche Verbesserung (754 OR) Haftung: Sorgfaltpflicht -> (Grobe Fahrlässigkeit) Leichte Fahrlässigkeit Nutzen: Prämienreduktion Betriebshaftpflichtversicherung/VR-Versicherung

43 Teil 5 Von der Verletzung der Verantwortung Haftung

44 Zivilrechtliche Verantwortung VR & GL (2) Art. 754 III. Haftung für Verwaltung, Geschäftsführung und Liquidation 1 Die Mitglieder des Verwaltungsrates und alle mit der Geschäftsführung oder mit der Liquidation befassten Personen sind sowohl der Gesellschaft als den einzelnen Aktionären und Gesellschaftsgläubigern für den Schaden verantwortlich, den sie durch absichtliche oder fahrlässige Verletzung ihrer Pflichten verursachen. 2 Wer die Erfüllung einer Aufgabe befugterweise einem anderen Organ überträgt, haftet für den von diesem verursachten Schaden, sofern er nicht nachweist, dass er bei der Auswahl, Unterrichtung und Überwachung die nach den Umständen gebotene Sorgfalt angewendet hat.

45 Strafrechtliche Verantwortung (2) Art. 100 quater Strafbarkeit 1 Wird in einem Unternehmen in Ausübung geschäftlicher Verrichtung im Rahmen des Unternehmenszwecks ein Verbrechen oder Vergehen begangen und kann diese Tat wegen mangelhafter Organisation des Unternehmens keiner bestimmten natürlichen Person zugerechnet werden, so wird das Verbrechen oder Vergehen dem Unternehmen zugerechnet. In diesem Fall wird das Unternehmen mit Busse bis zu 5 Millionen Franken bestraft. 3 Das Gericht bemisst die Busse insbesondere nach der Schwere der Tat und der Schwere des Organisationsmangels und des angerichteten Schadens sowie nach der wirtschaftlichen Leistungsfähigkeit des Unternehmens.

46 Teil 6 Von der Umsetzung ILM-Projekte

47 Umsetzung in ILM-Projekten (3)

48 PLAN SCHUTZ VOR SCHADEN SCHUTZ MITARBEITENDE DO AUFBEWAHRUNG Umsetzung im ILM-Projekt (1) EINHALTUNG GESETZ/VERTRAG ACT (GL-THEMATIK) ERSTELLUNG WIRTSCHAFTLICH. RESSOURCEN RM- POLICY VERNICHTUNG ANGEMESSENHEIT RISIKOBEZOGEN SICHERUNG TÄTIGKEIT Beweistauglich CHECK (Audit intern/extern) LIFE - CYCLE POLICY Kontinuierliche Verbesserung

49 Umsetzung in ILM-Projekten - Analyse Musterunternehmung ILM - Policy Geschäftsrelevante Informationen Leistungsbereiche Risiko - Landkarte Compliance - Landkarte Gesetzes - Landkarte Informations - Landkarte Applikations - Landkarte Prozess - Landkarte Leistungsbereiche

50 Geschäftsrelevanz - Filter

51 Applikations-Risikolandkarte

52 Teil 7 Zusammenfassung

53 Nutzen Information Lifecycle Management-System dient Ordnungsmässigkeit Risikominimierung Beweissicherung Reproduzierbarkeit Erfüllung der Sorgfaltspflichten (Aufbewahrungspflichten) Haftungsreduktion Ist CHEFSACHE, nicht CIO-Problem IT kann & soll technische & organisatorische Dienstleistungen (Hardware, Software, EDV-Dienstleistungen) für gesetzeskonforme Aufbewahrung bieten Prozess- und Datenanalysen, Organisationskonzepte für Informationsbearbeitung Gesetzeskonforme Speicherungs- und Ablagekonzepte, Sicherungs- und Archivierungs-Software, Reproduktion von Informationen (on demand) Standard-Handbuch für Einführung von ILM Ohne Projektmässiges Vorgehen sind Sie verloren

54 Records Manager - Ausbildung Certified e-comtrust Records Manager Daten gemäss Broschüre Lerninhalte: Grundlagen des Aktenmanagements Begriffsdefinitionen und Systemabgrenzung Gesetzliche Grundlagen Digitale Zertifikate und Signaturen Strategien, Prozesse und Verfahren Pflichtenheft, Evaluation, Einführung, Betrieb Anforderungen der ISO-Norm Revisionssichere Archivierung

55 Unterlagen zum Lehrgang

56 ISBN BPX Edition, Rheinfelden 2006 Bezugsquelle: Lukas Fässler, Artherstrasse 23a, 6300 Zug

57 Bestellung Booklet

58 Kontaktadresse und weitere Unterlagen