-Archivierung: Revisionssicher ist nicht gleich rechtskonform!

Transkript

1 44 STRATEGIE -Archivierung: Revisionssicher ist nicht gleich rechtskonform! Von der Pflicht zur Kür oder warum die technische Einführung einer -Archivierung heute zwingend geboten, aber nur die halbe Miete ist. Seit 2002 sind Unternehmen im Rahmen der digitalen Steuerprüfung der Finanzbehörden zur veränderungssicheren Archivierung von steuerlich relevanten s verpflichtet. Tatsächlich haben viele Unternehmen trotz drohender Sanktionen noch keine Lösung zur -Archivierung eingeführt. Die Zeit drängt also. Aber wer sich bei der Einführung einer -Archivierungslösung auf die Umsetzung der geforderten revisionssicheren Ablage beschränkt, der läuft Gefahr, eine zwar revisionssichere, aber nicht rechtskonforme -Archivierung zu betreiben. Von RA Jörg Ripper Die Kommunikation über hat die früher übliche Korrespondenz per Brief oder Fax weitgehend abgelöst und wird dies noch weiter tun. Hatten sich über die Jahre in den Unternehmen für den Briefverkehr entsprechende Prozesse zur Ablage und Archivierung etabliert und ist den Mitarbeitern hier die gesetzliche Pflicht zur Aufbewahrung der sogenannten Handelsbriefe, also der handels- und steuerlich relevanten Unterlagen, gut bekannt, so scheint sich dieses Bewusstsein nicht auf die Kommunikation per zu übertragen. Noch heute löschen Mitarbeiter, um dem aufgrund bestehender Größenbeschränkungen drohenden Überlauf Ihrer - Accounts zu entgehen, einfach vollständig regelmäßig alle paar Wochen die ältesten in ihrem -Postfach eingegangenen s. Mit dem guten Gefühl, damit wieder Speicherplatz im eigenen Postfach geschaffen zu haben, wird dabei gar nicht darüber nachgedacht, ob bei dieser Aktion auch für das Unternehmen relevante s für immer gelöscht wurden. Tatsächlich gelten aber, genau wie für die in Papierform versandten oder erhaltenen Handelsbriefe, auch für die elektronische Kommunikation per handels- und steuerrechtliche Aufbewahrungspflichten. Und ein Verstoß gegen diese kann gleichsam mit entsprechenden Sanktionen belegt werden. Eine endgültige Vernichtung der s sollte da gut überlegt sein. Unternehmen sind verpflichtet, auch für die -Kommunikation eine Archivierungslösung einzuführen, die den bestehenden gesetzlichen Anforderungen genügt und eine revisionssichere Archivierung gewährleistet. Nichts liegt da näher, als nun zügig eine der auf dem Markt angebotenen Lösungen zur revisionssicheren Archivierung des -Verkehrs einzuführen. Aber so unüberlegt sollte an die Aufgabe nicht herangegangen werden. Die Einführung einer Archivierungslösung für die -Korrespondenz im Unternehmen steht im Spannungsverhältnis zu anderen Rechtsvorschriften. Paradebeispiel ist der Konflikt mit dem Telekommunikationsgesetz (TKG) und dem Datenschutz. So ist es in den meisten Unternehmen heute üblich, da das -System eine einfache und schnelle Kommunikation ermöglicht, dass Mitarbeiter auch ihre private Korrespondenz über das firmeneigene -System abwickeln. Gerade wenn die Erreichbarkeit gewährleistet sein soll, geben Mitarbeiter die ihnen vom Arbeitgeber zugewiesene -Adresse auch im privaten Bereich an. Ein Beispiel: Eltern schulpflichtiger Kinder bekommen heute in der Regel auch eine Liste der Kontaktdaten der Eltern der Mitschüler. Ein Blick zeigt: Die Mehrheit der angegebenen -Adressen sind» Unternehmen sind verpflichtet, für die -Kommunikation eine gesetzeskonforme Archivierungslösung einzuführen. «firmeneigene und nicht private Mail-Adressen. Neben der Einladung zum nächsten Schul-Grillfest werden über diese Mailing- Listen dann auch vertrauliche Mitteilungen kommuniziert, die sicherlich nur die jeweiligen Empfänger und nicht einen weiteren Verteilerkreis erreichen sollte. Wird bei auch privater Nutzung des -Systems nun einfach eine -Archivierung eingeführt, so landen im Zweifel auch diese privaten s im neuen, revisionssicheren Archivierungssystem und sind damit WuM

2 erst einmal unwiderruflich gespeichert und in der Regel dann einem Zugriff sonstiger Dritter ausgesetzt. Ohne entsprechende vorbereitende Regelungen ist ein Konflikt sowohl mit dem auch für s geltenden Briefgeheimnis als auch mit dem Datenschutz kaum zu vermeiden. Die gesetzliche Pflicht zur -Archivierung besteht seit 2002 Die zwingende Pflicht zur Einführung einer -Archivierung ergibt sich aus verschiedenen Gesetzen und Vorschriften. Als Kernvorschriften sind hier sicherlich die handels- und steuerrechtlichen Regelungen der Abgabenordung ( 140ff AO) und des Handelsgesetzbuchs ( 238, 257 HGB) zu nennen. Diese werden konkretisiert durch verschiedene Schreiben des Bundesfinanzministeriums, wie etwa den Grundsätzen zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen (GDPdU) oder den Grundsätzen ordnungsgemäßer DV-gestützter Buchführungssysteme. Tatsächlich haben danach die Finanzbehörden bereits seit dem 1. Januar 2002 das Recht, eine digitale Steuerprüfung durchzuführen und im Rahmen einer Außenprüfung Einsicht in die entsprechenden digitalen Archive der geschäftsrelevanten s zu nehmen und diese auch maschinell auszuwerten. Das Recht auf Datenzugriff kann dabei nach Wahl der Finanzbehörde auf drei Arten ausgeübt werden. Zum einen können die Finanzbehörden direkt mit einem Nur-Lesezugriff, der die Auswertung der Daten umfasst, in das entsprechende System Einsicht nehmen. Zum anderen kann verlangt werden, dass die archivierten Daten und damit die s nach den Vorgaben der Finanzbehörde ausgewertet werden und dann für den Nur-Lesezugriff bereitgestellt werden. Als dritten Weg können die Finanzbehörden aber auch verlangen, dass ihnen die gespeicherten Daten auf» Bereits seit dem 1. Januar 2002 haben die Finanzbehörden das Recht, eine digitale Steuerprüfung durchzuführen. «einem maschinell verwertbaren Datenträger zur Auswertung überlassen werden. Eine Pflicht zur Einführung einer Lösung zur Archivierung der unternehmensrelevanten -Korrespondenz ergibt sich aber auch aus der allgemeinen Pflicht der jeweiligen Geschäftsleitung, bestehende Risiken im Unternehmen zu analysieren und diesen durch geeignete Maßnahmen vorzubeugen. Gemäß den im Aktiengesetz ( 91, 93 AktG) und GmbH-Gesetz ( 43 GmbHG) statuierten Grundsätzen für ein aktives Risikomanagement im Unternehmen muss aufgrund der gestiegenen -Abhängigkeit für den Bereich der -Korrespondenz sichergestellt werden, dass die sich aus der Nutzung des Mediums ergebenden Risiken weitestgehend minimiert werden. Hierzu gehört zum einen, die Verfügbarkeit der -Systeme sicherzustellen, und zum anderen, auch die Abwehr von über s eingeschleppten Viren zu organisieren. Ruft man sich die Mitarbeiter in Erinnerung, die alle paar Wochen ihr -Postfach aufräumen, gehört hierzu aber auch, eine sichere Archivierung der unternehmensrelevanten s zu gewährleisten. Nur so kann erreicht werden, dass für das Unternehmen wichtige s nicht versehentlich gelöscht werden oder einfach nicht mehr auf- WuM

3 46 STRATEGIE findbar sind und so eigene Ansprüche des Unternehmens nicht mehr durchgesetzt oder unberechtigte fremde Ansprüche nicht mehr abgewehrt werden können. Wie dieses Beispiel zeigt, wird sich eine rechtskonforme -Archivierung inhaltlich nicht nur auf die Archivierung der steuerlich relevanten s beziehen. Sanktionen bei nicht gesetzeskonformer -Archivierung Werden die steuerrechtlichen Pflichten zur ordnungsgemäßen Archivierung von s nicht befolgt, liegt eine Verletzung der Buchführungspflichten vor. Als Folge können Bußgelder oder Zwangsmittel verhängt werden. Seit Ende 2008 kann des Weiteren ein Verzögerungsgeld in Höhe von bis Euro verhängt werden. Ausdrücklich wird in den Fragen und Antworten zum Verzögerungsgeld durch das Bundesfinanzministerium angegeben, dass dieses festgesetzt werden kann, wenn das Unternehmen den gesetzlichen Anspruch auf den digitalen Datenzugriff nicht, nicht zeitnah oder nicht in vollem Umfang einräumt. Vor diesem Hintergrund kann nur geraten werden, selbst wenn bisher keine Fälle bekannt sind, in denen wegen nicht gewährtem digitalem Datenzugriff eine entsprechende Sanktion verhängt wurde, nicht weiter mit der Einführung einer - Archivierungslösung abzuwarten. Denn eine gesetzeskonforme Archivierung kann nicht rückwirkend sichergestellt werden. Wer also heute eine Archivierungslösung einführt, kann nur für die zukünftige -Korrespondenz eine revisionssichere Ablage erreichen. Dies bedeutet aber auch, dass wer jetzt mit der Archivierung beginnt, erstmals bei einer Außenprüfung ab dem Jahr 2014 für einen prüfungsrelevanten Zeitraum von drei zusammenhängenden Jahren den Finanzbehörden ein vollständiges ordnungsgemäßes -Archiv für den digitalen Zugriff vorweisen kann. Wer die Einführung eines -Archivsystems nun noch weiter hinausschiebt, riskiert damit, in Zukunft tatsächlich wegen der späten Einführung mit einem Bußgeld oder Verzögerungsgeld belegt zu werden. Neben drohenden Bußgeldern sind die Finanzbehörden aber auch berechtigt, aufgrund nicht vorhandener auswertbarer -Archive die Steuerschuld des Steuerpflichtigen zu schätzen. Eine Veranlagung erfolgt dann auf Basis dieser Schätzung. In der Regel ist zu erwarten, dass diese zugunsten der Finanzbehörden entsprechend höher ausfällt. Treffen die vorgenannten Sanktionen in der Regel das Unternehmen, ist eine persönliche Haftung der Mitglieder der Geschäftsleitung für Verstöße gegen die Archivierungspflichten nicht ausgeschlossen. Wer als Geschäftsführer oder Vorstand die Einführung weiter hinausschiebt oder nicht rechtskonform umsetzt, riskiert, persönlich auf Schadenersatz in Anspruch genommen zu werden. Denn wie bereits ausgeführt, obliegt es den Geschäftsführern beziehungsweise Vorständen im Rahmen ihrer Pflicht zum Risikomanagement, geeignete Maßnahmen zu ergreifen, um Schaden von der Gesellschaft abzuwenden. Entsteht dem Unternehmen wegen der nicht rechtskonformen oder» Entsteht wegen mangelhafter - Archivierung Schaden, kann der betroffene Geschäftsführer in Regress genommen werden. «mangelhaften -Archivierung ein Schaden, etwa weil die Steuerschuld deshalb geschätzt wird und zum Nachteil des Unternehmens höher ausfällt, so kann der betroffene Geschäftsführer oder Vorstand durch das Unternehmen in Regress genommen werden. Gleiches gilt, wenn ein Anspruch der Gesellschaft nicht

4 STRATEGIE 47 durchgesetzt werden kann, weil die zugehörigen s wegen eines fehlenden Archivierungssystems nicht mehr auffindbar sind. Da wiederum die Aufsichtsräte die Interessen der Gesellschaft zu wahren haben, sind diese dem Grunde nach zur Verfolgung der entsprechenden Ansprüche auch verpflichtet. Was muss nun archiviert werden? Grundsätzlich sind gemäß 147 AO beziehungsweise 257 HGB die s aufzubewahren, welche handelsrechtlich beziehungsweise steuerrechtlich relevante Informationen enthalten. Explizit werden die empfangenen und abgesendeten Handels- oder» Da es sich bei s um sogenannte originär digital erstellte Unterlagen handelt, müssen diese auch digital archiviert werden. «Geschäftsbriefe genannt. Daneben werden aber auch ausdrücklich alle sonstigen Unterlagen, soweit sie für die Besteuerung von Bedeutung sind mit eingeschlossen. Tatsächlich müssen danach zur Erfüllung der steuerrechtlichen Vorgaben nur die s archiviert werden, die einen steuerlich relevanten Inhalt haben. Spannend ist daher die Frage, wo die Grenze verläuft. Die Krux ist, dass selbst das Bundesfinanzministerium in den von ihm veröffentlichten Fragen und Antworten zum Datenzugriffsrecht der Finanzverwaltung, zuletzt aktualisiert am 22. Januar 2009, ausführt, dass es keine allgemeingültige Definition für den Terminus steuerlich relevante Daten gibt und dass bei jedem Steuerpflichtigen individuell festgestellt werden muss, ob eine Unterlage beziehungsweise ein Inhalt von steuerlicher Relevanz ist. Es ist also alleine Aufgabe des Steuerpflichtigen abzugrenzen, welche s steuerlich relevant sind und welche nicht, und somit, welche s zwingend archiviert werden müssen und welche nicht. Vielfach wird dieser Unsicherheit, was nun tatsächlich zu archivieren ist, damit begegnet, dass einfach sämtliche eingehenden und ausgehenden s vom System erfasst und revisionssicher abgelegt werden. Je nachdem, in welcher Branche ein Unternehmen tätig ist, ergeben sich weitere Archivierungspflichten auch aus anderen Gesetzen und Vorschriften. Zu denken ist etwa an Banken und Versicherungen oder an Unternehmen im Gesundheitsbereich, welche verpflichtet sind, gegenüber ihren Kunden oder den Aufsichtsbehörden bestimmte Nachweise vorzuhalten. Tatsächlich besteht aber nach all diesen Vorschriften keine gesetzliche Pflicht, sämtliche eingehenden oder ausgehenden s zu archivieren. Die Pflichten im Zusammenhang mit der -Archivierung Grundsätzlich gilt, dass Buchführungsunterlagen, Jahresabschlüsse und Buchungsbelege für zehn Jahre aufbewahrt werden müssen, Handels- und Geschäftsbriefe für sechs Jahre. Es gibt zahlreiche weitere Regelungen über Aufbewahrungsfristen, auf die hier nicht näher eingegangen werden soll. Übersichten über Aufbewahrungsfristen können zum Beispiel über die jeweilige IHK bezogen werden. Da es sich bei s um sogenannte originär digital erstellte Unterlagen handelt, müssen diese auch digital archiviert werden. Es genügt nicht mehr, s nur in ausgedruckter Form oder auf Mikrofilm zu archivieren. Die digitale Archivierung der s muss dabei die maschinelle Auswertung durch die Finanzbehörden ermöglichen. Dabei lässt das Erfordernis der maschinellen Auswertbarkeit bestimmte Formate nicht zu ( ausdrücklich als nicht auswertbar genannt werden z. B. PDF- Dateien).

5 48 STRATEGIE Konfliktfelder für eine rechtskonforme -Archivierung Besteht eine -Policy im Unternehmen, die eine ordnungsgemäße Archivierung erlaubt? Sind die Konflikte mit den Vorgaben zur Privatnutzung gelöst? Sind die Konflikte mit den Datenschutzvorgaben gelöst? Bestehen andere Spezialvorschriften, die beachtet werden müssen? Bestehen schuldrechtliche Verpflichtungen (z. B. Geheimhaltungsvereinbarungen mit Löschpflichten), die einer Archivierung entgegenstehen? Ist der Betriebsrat einbezogen worden? Nach den GoBS (Grundsätze ordnungsgemäßer DV-gestützter Buchführungssysteme) gilt, dass die s geordnet archiviert werden müssen, sodass bei der digitalen Prüfung durch die Finanzbehörden auf bestimmte Geschäftsvorfälle gezielt zugegriffen werden kann. Die archivierten Daten müssen auf Anforderung innerhalb angemessener Frist verfügbar und lesbar gemacht werden und zwar in einer Art und Weise, dass sich ein sachverständiger Dritter innerhalb angemessener Zeit zurechtfindet und sich einen Überblick verschaffen kann. Die vorgenommene Archivierung ist dabei durch eine Verfahrensdokumentation nachvollziehbar und verständlich zu machen. In der Verfahrensdokumentation sind die bestehenden Arbeitsanweisungen für die Anwender des Archivierungssystems aufzunehmen. Notwendig ist damit, dass durch das Unternehmen vor der Einführung festgelegt wird, welcher Mitarbeiter welche s, weil steuerlich relevant oder sonst relevant für das Unternehmen, wo und wie geordnet zu archivieren hat. Von der Pflicht zur Kür was vor Einführung der - Archivierung beachtet und erledigt werden muss Mit der technischen Einführung einer Archivierungslösung können die gesetzlichen Anforderungen an ein funktionierendes Archivierungsverfahren erfüllt und auch wie gefordert gegenüber den Finanzbehörden nachgewiesen werden. Die mit der Software bereitgestellte Dokumentation sollte diese Aufgabe erfüllen. Auch wird mit der Einführung der Lösung die originäre Anforderung an eine veränderungssichere Speicherung bei gleichzeitiger Möglichkeit, die ursprünglichen Inhalte später wieder zutreffend wiederzugeben, umgesetzt. Aber mit der technischen Einführung der Archivierungslösung ist noch keine Entscheidung getroffen, welche s aufgrund bestehender allgemeiner und spezieller gesetzlicher Vorgaben archiviert werden müssen und welche sonstigen unternehmensrelevanten s zu archivieren sind. Weiter muss festgelegt werden, wie und durch welche Mitarbeiter die geforderte geordnete Ablage zu erfolgen hat, damit nicht nur seitens der Finanzbehörden gezielt auf die Mails bestimmter Geschäftsvorfälle zurückgegriffen werden kann. All dies ist in eine Verfahrensanweisung für die Mitarbeiter aufzunehmen, welche ja auch als Teil der den Finanzbehörden zur Verfügung zu stellenden Verfahrensanweisung gefordert ist. Hat man diese Entscheidungen getroffen, ist zusätzlich und parallel zu prüfen, ob Konflikte mit anderen Gesetzen bestehen, die erst gelöst werden müssen, bevor die Archivierungslösung eingeführt werden kann. Konflikte können im Bereich des Datenschutzes und des Fernmeldegeheimnisses bestehen. Stellt ein Unternehmen sein -System auch zur privaten Nutzung zur Verfügung, gleich ob ausdrücklich oder nur offensichtlich geduldet, so wird vielfach angenommen, dass das Unternehmen damit Anbieter von Telekommunikationsdiensten ist und damit das Fernmeldegeheimnis gilt. Ein Zugriff auf beziehungsweise eine Archivierung der s ist damit nicht mehr ohne Weiteres möglich, denn ein Verstoß gegen das Fernmeldegeheimnis ist strafbar. Und der Strafverfolgung ist dabei nicht das Unternehmen, sondern sind auch die verantwortlichen Personen ausgesetzt. Besteht bereits eine -Policy im Unternehmen, ist zu analysieren, ob diese die private Nutzung des -Systems erlaubt und wie dies der geplanten Einführung einer -Archivierung entgegensteht. Oft muss hier nachgebessert werden. Aber auch wenn bislang keine -Policy im Unternehmen existiert, kann eine Privatnutzung geduldet worden sein und es müssen ebenfalls erst entsprechende Korrekturen über eine neue, verbindliche -Policy geschaffen werden, die dann im Einklang mit der geplanten Archivierung stehen muss. Eine Lösung für den Bereich der privaten -Nutzung kann dabei sicherlich sein, diese grundlegend und vollständig zu verbieten. Nicht immer ist dies jedoch seitens der Unternehmensleitung gewünscht und auch lässt sich dies nicht ohne Widerstand durchsetzen. Alternativen können die Vergabe spezieller privater -Accounts sein, die nicht archiviert werden, oder aber auch die Vorgabe, private s nur über die Internetportale der entsprechenden Webmail-Anbieter zu versenden. Die Vorgaben des Datenschutzes kollidieren mit der Archivierung aber auch im Bereich der Aufbewahrungsfristen. Sieht das Handels- und Steuerrecht grundsätzlich Aufbewahrungsfristen von sechs oder zehn Jahren vor, so gilt für den Datenschutz, dass WuM

6 STRATEGIE 49 personenbezogene Daten so schnell wie möglich wieder zu löschen sind. Der Datenschutz steht hier im Spannungsverhältnis zur längeren Archivierungspflicht. Patentrezepte gibt es nicht. Im Vorfeld muss also überlegt werden, ob entsprechende Fälle im betroffenen Unternehmen bestehen und wie mit dem bestehenden Spannungsverhältnis zukünftig umgegangen wird. Besteht im Unternehmen ein Betriebsrat, ist auch dieser vor Einführung einer Archivierungslösung zu informieren und einzubeziehen. Denn der Betriebsrat hat entsprechende Mitbestimmungsrechte. Werden diese nicht beachtet, kann sich die Einführung einer entsprechenden Lösung weiter verzögern, im schlimmsten Fall kann sie gar scheitern. Die geschilderten Aufgaben sind zwingend vor der Einführung einer Archivierungslösung anzugehen und das Ergebnis kann im Einzelfall auch die Entscheidung, welche Archivierungslösung überhaupt für das Unternehmen geeignet ist, beeinflussen. Hat man sich den Herausforderungen aber überlegt gestellt und die Aufgaben vor der Unterzeichnung des Vertrags über die Archivierungslösung angegangen und zielgerichtet umgesetzt, steht dem Erwerb und der Einführung einer rechtskonformen -Archivierung, die dann eine revisionssichere Archivierung in jedem Fall mit einschließt, nichts mehr im Wege. Links [1] GDPdU: und Verwaltung/Steuern/Veroeffentlichungen zu Steuerarten/ Abgabenordnung/Datenzugriff GDPdU/002,templateId=raw,property =publicationfile.pdf. [2] Fragen und Antworten zum Datenzugriffsrecht der Finanzverwaltung: Startseite/Service/ Downloads/Abt IV/009,property=publicationFile.pdf. [3] GoBS: Startseite/Service/Downloads/Abt IV/BMF Schreiben/015,templateId =raw,property=publicationfile.pdf. [4] Fragen und Antworten zum Verzögerungsgeld nach 146 Abs. 2b AO: und Verwaltung/Steuern/Veroeffentlichungen zu Steuerarten/ Betriebspruefung/001 a,property=publicationfile.pdf. [5] IHK Darmstadt, Aufbewahrung von Geschäftsunterlagen nach handelsund steuerrechtlichen Vorschriften: starthilfe/steuerinfo/unternehmenssteuern/505798/aufbewahrungvon Geschaeftsunterlagen.html. Autor Rechtsanwalt Jörg Ripper ist Partner der auf IT-Recht spezialisierten Kanzlei Rechtsanwälte BDH in Darmstadt. Internationale Tagung Wirtschaftsinformatik Februar 2011 Universität Zürich Prominente Keynote-Redner aus Wissenschaft und Praxis Wissenschaftliches Programm auf höchstem Niveau Attraktives Studentenprogramm (Firmenexkursionen und mehr) SAP University Alliances EMEA User Group Meeting Zürich Tourism