Digitalisierung und Rechtssicherheit Aktueller Stand, Entwicklung, Fallbeispiele und Situation Schweiz Dr. iur. Peter K. Neuenschwander und Dr. iur. Bruno Wildhaber Managing Partner KRM 1 www.informationgovernance.ch Informationen verstehen - nutzen - optimieren - beherrschen Das Kompetenzzentrum Records Management (KRM) ist 2002 aus den Arbeiten an der Revision der handelsrechtlichen Aufbewahrungspflichten (Art. 957 ff OR) und der Geschäftsbücherverordnung («GeBüV») hervorgegange. Es vermittelt Know-how und berät Kunden im Umgang mit Information. Beratung zu Information Governance und anverwandten Themen ist unsere Kernkompetenz. Wir bieten ein umfassendes Beratungsangebot zu Information Governance, Records Management, Elektronischer Archivierung 2 1!
Agenda Grundlagen : Information Governance Merksätze Aufgaben des VR Rechtliche Grundlagen: GeBüV und co. KRM Body of Knowledge & Zertifizierung Aktueller Stand der Rechtsnormen Fallbeispiele und Diskussion 3 Keine Digitalisierung ohne Information Governance! Beschreibt die Verfahren, Organisation und Technologien welche benötigt werden, um Informationen während ihres gesamten Lebenszyklus (Nutzen, Erfassen, Klassieren, Speichern, Löschen) in Übereinstimmung mit den strategischen Vorgaben des Unternehmens und den externen und internen Vorschriften aktiv zu bewirtschaften. Information Governance umfasst Teilbereiche des Information Managements, der IT-Governance und des Risk Managements. 4 2!
06.04.16! Video: https://youtu.be/dzfwpep_hs0!! Der WG Kühlschrank Blog:! http://informationgovernance.ch/der-wg-kuehlsc hrank-blog-staffel-1-folge-1-die-vergiftung/! 5 en n, rn t e a D kan ich r e n pe w e (s )! t r h r Nu nic sie de/ r ht je e v rsc n r an e k h e b 6 3!
5 wichtige Merksätze zur Digitalisierung 1. Digitalisierung MUSS bei der Erfassung beginnen und den Daten-Lebenszyklus berücksichtigen 2. Fast alle Daten im Unternehmen können elektronisch gehalten und archiviert werden 3. Die meisten rechtlichen Vorbehalte gegen die Digitalisierung sind NICHT begründet 4. Hybride Archivierung (Elektronisch & Papier) ist ein Luxus, den man sich nicht leisten sollte 5. Digitalisierung ist Change Management = Veränderung, wie die Organisation arbeitet Faustregel: Die Umsetzung jeder dieser Regeln reduziert die Kosten und erhöht die Chancen auf eine Wertsteigerung Gesetzliche Grundlagen: Pflicht des VR Information Governance ist Teil der Corporate Governance Die wichtigsten Aufgaben des CH-Verwaltungsrats sind (OR 716ff. OR): Normative Funktion: Erstellen der notwendigen Vorgaben für die Unternehmensführung Erstellen von Strategische Vorgaben für die Entwicklung des Unternehmens, inkl. Einstufung der Rolle von Daten/Information Kontrolle und Überwachungstätigkeiten, inkl. Risiko Management Entwicklung der personellen Ressourcen und Teamentwicklung Kommunikation Der VR muss sich aus zwei Perspektiven um Information kümmern: Externe Sicht: Nutzung von Informationen zur Steuerung des Unternehmens Interne Sicht: Effiziente Nutzung von Information zur Wahrnehmung der Aufgabe als VR Einhaltung der Gesetze und Regulative Gewinnerzielung 9 4!
Privates & Öffentliches Recht Gerichte Verfahrensrecht Haftungsrecht Spezialgesetze Archivierungsgesetz OR Obligationenrecht Kaufm. Buchführung Privat- Wirtschaft Öffentliche Verwaltung Organisationsgesetz MWST Mehrwertsteuergesetz DSG Datenschutzgesetz Informationsschutz Öffentlichkeitsgesetz Rechtlicher Kontext e-business Verträge Steuerrecht Beweismittel im Prozess Urkundenschutz (Strafrecht) Elektronische Aufbewahrung Datenschutz Digitale Signatur, Zertifizierung e-government Vollstreckung 5!
Rechtsquellen für die Aufzeichnung und Aufbewahrung von Geschäftsunterlagen Zivilrecht Buchführungs- und Aufbewahrungsvorschriften Art. 957 OR bzw. Art. 961 und 962 OR Geschäftsbücherverordnung (GeBüV) und Art. 52 ff HaREGV Steuerrecht Buchführungs- und Nachweispflichten im Steuerrecht Weitere öffentlich rechtliche Bestimmungen BGA, VBGA, GEVER Aufzeichnungs- und Aufbewahrungspflichten im Gesundheitsrecht, Sozialversicherungsrecht nach AHVG, KVV, UVG, UVV, im Produkthaftpflichtrecht, Umweltschutzgesetz, Giftverordnung etc. OR 957 Art.957a) B. Buchführung 1 Die Buchführung bildet die Grundlage der Rechnungslegung. Sie erfasst diejenigen Geschäftsvorfälle und Sachverhalte, die für die Darstellung der Vermögens-, Finanzierungs- und Ertragslage des Unternehmens (wirtschaftliche Lage) notwendig sind. 2 Sie folgt den Grundsätzen ordnungsmässiger Buchführung. Namentlich sind zu beachten: 1. die vollständige, wahrheitsgetreue und systematische Erfassung der Geschäftsvorfälle und Sachverhalte; 2. der Belegnachweis für die einzelnen Buchungsvorgänge; 3. die Klarheit; 4. die Zweckmässigkeit mit Blick auf die Art und Grösse des Unternehmens; 5. die Nachprüfbarkeit. 3 Als Buchungsbeleg gelten alle schriftlichen Aufzeichnungen auf Papier oder in elektronischer oder vergleichbarer Form, die notwendig sind, um den einer Buchung zugrunde liegenden Geschäftsvorfall oder Sachverhalt nachvollziehen zu können. 4 Die Buchführung erfolgt in der Landeswährung oder in der für die Geschäftstätigkeit wesentlichen Währung. 5 Sie erfolgt in einer der Landessprachen oder in Englisch. Sie kann schriftlich, elektronisch oder in vergleichbarer Weise geführt werden 6!
OR 958 Art.958f) E. Führung und Aufbewahrung der Geschäftsbücher 1 Die Geschäftsbücher und die Buchungsbelege sowie der Geschäftsbericht und der Revisionsbericht sind während zehn Jahren aufzubewahren. Die Aufbewahrungsfrist beginnt mit dem Ablauf des Geschäftsjahres. 2 Der Geschäftsbericht und der Revisionsbericht sind schriftlich und unterzeichnet aufzubewahren. 3 Die Geschäftsbücher und die Buchungsbelege können auf Papier, elektronisch oder in vergleichbarer Weise aufbewahrt werden, soweit dadurch die Übereinstimmung mit den zugrunde liegenden Geschäftsvorfällen und Sachverhalten gewährleistet ist und wenn sie jederzeit wieder lesbar gemacht werden können. 4 Der Bundesrat erlässt die Vorschriften über die zu führenden Geschäftsbücher, die Grundsätze zu deren Führung und Aufbewahrung sowie über die verwendbaren Informationsträger. Regelungsumfang der Geschäftsbücherverordnung (GeBüV) Zu führende Bücher Allgemeine Grundsätze Grundsätze ordnungsgemässer Aufbewahrung Informationsträger Schlussbestimmungen Geschäftsbücherverordnung GeBüV SR 221.431 àhttps://www.admin.ch/ch/d/sr/c221_431.html! 7!
Merksatz Art. 958f Abs. 3 OR: Die Geschäftsbücher und die Buchungsbelege können auf Papier, elektronisch oder in vergleichbarer Weise aufbewahrt werden, soweit dadurch die Übereinstimmung mit den zugrunde liegenden Geschäftsvorfällen und Sachverhalten gewährleistet ist und wenn sie jederzeit wieder lesbar gemacht werden können. Wegfall der Aufbewahrungspflicht von Geschäftskorrespondenz seit 1.1.13 Es gibt für 90% der CH- Unternehmen keinen Grund, Unterlagen physisch aufzubewahren! Vorbehältlich Speziabestimmungen und gesetzlich geregelter Ausnahmen, macht ca. 2-10% des Gesamtvolumens aus.! 16 Zu führende Bücher Hauptbuch Konten Sachlogische Gliederung sämtlicher verbuchter Geschäftsvorfälle Journal Chronologische Erfassung sämtlicher verbuchter Geschäftsvorfälle Hilfsbücher Zusätzliche Angaben zur Feststellung der Vermögenslage, der Schuld- und Forderungsverhältnisse sowie der Betriebsergebnisse, z.b.: Lohnbuchhaltung Debitoren-/Kreditorenbuchhaltung Inventar Warenbestände Betriebsbuchhaltung 8!
Ein Knackpunkt: Art. 9 GeBüV Art. 9 Zulässige Informationsträger 1 Zur Aufbewahrung von Unterlagen sind zulässig: unveränderbare Informationsträger, namentlich Papier, Bildträger und unveränderbare Datenträger; veränderbare Informationsträger, wenn: technische Verfahren zur Anwendung kommen, welche die Integrität der gespeicherten Informationen gewährleisten (z.b. digitale Signaturverfahren), der Zeitpunkt der Speicherung der Informationen unverfälschbar nachweisbar ist (z.b. durch «Zeitstempel»), die zum Zeitpunkt der Speicherung bestehenden weiteren Vorschriften über den Einsatz der betreffenden technischen Verfahren eingehalten werden, und die Abläufe und Verfahren zu deren Einsatz festgelegt und dokumentiert sowie die entsprechenden Hilfsinformationen (wie Protokolle und Logfiles) ebenfalls aufbewahrt werden. Grundsätze ordnungsgemässer Aufbewahrung (nach KRM) 1. Jedes Dokument verfügt über eine eindeutige Klassierung und Klassifizierung 2. Archivdokumente werden in einem speziellen Archivformat gespeichert und werden formatunabhängig indiziert 3. Dokumente müssen vollständig archiviert werden (Fachliche Integrität). 4. Jedes Dokument muss in der rechts-/letztgültigen Version archiviert werden 5. Jedes Dokument muss in derjenigen Form wiedergegeben werden können, welche den gesetzlichen Anforderungen (seiner Klassierung/ Klassifikation) entspricht (Wiedergabeauthentizität). 6. Dokumente dürfen im Archiv nicht verändert (zerstört) werden können 7. Ein Geschäftsfall muss innert nützlicher Frist nachvollziehbar sein. 8. Die Migration von Dokumenten auf ein neues Archivsystem muss ohne Informationsverlust möglich sein und kontrolliert und nachvollziehbar ablaufen.. 9. Alle relevanten Vorgänge im Archiv sind zu protokollieren 10. Archivierte Daten dürfen nur in einem kontrollierten und nachvollziehbaren Verfahren gelöscht werden. 11. Archive müssen regelmässig überprüft werden 12. Die Speicherung erfolgt nach den Grundlagen des Dokumenten Lebenszyklus. 13. Redundanzen sind nur dort zulässig, wo sie explizit gefordert werden. 14. Sicherheitsanforderungen an die Verfügbarkeit sind festzuhalten und nach Risikogesichtspunkten zu gewichten. Die Archiv-Backupstrategie ist festzulegen. 15. Die Vertraulichkeit der Archivdaten ist zu gewähren, wobei der Zugriff protokolliert sein und der Nutzerkreis den Nutzungs- und Risikoanforderungen entsprechen muss (risikobasiert). 9!
Totalrevision des Bundesgesetzes über die elektronische Signatur (ZertES) (beschlossen durch die Räte am 18.3.2016) Für die Praxis wichtig: Unternehmens-/Organisationssignatur und Zeitstempel (wurden von uns bereits 2002 gefordert) Wenn Sie sich absichern möchten... Erfüllt die Anwendung/Lösung die gesetzlichen Anforderungen? Um diese Frage zu beantworten, führen wir einen strukturierten Audit durch und erstellen einen Be richt mit Zertifikat. Dabei berücksichtigen wir natürlich nicht nur die GeBüV, sondern alle für Sie relevanten Vorgaben. Wir bestätigen die rechtskonforme Behandlung digitaler Unterlagen nach GeBüV, Datenschutz, Cloud- und IT-Recht sowie Verträgen. Prüfung und Zertifizierung von Digitalisierungslösungen! Informationsveranstaltungen Veranstaltungen: http://informationgovernance.ch/events/! 10!
Beispiel: KRM Body of Knowledge GebüV- Ordnungsmässigkeitskatalog GeBüV Checkliste Spezialgesetze Schweiz (DSG, ZertES) Verfahrensdokumentation für die Schweiz IT-Vertrags Checkliste für Themen (Cloud, Swico Verträge, Konkurse) IT-Audit für RM-Systeme Matrio-IG Methode Aufbewahrungsfristen (RM Leitfaden) RM Methode / RM Policy-Template IM/IG Strategieleitfaden E-Discovery Prozess / Readiness Assessment Aktueller Stand der Rechtsnormen (P. K. Neuenschwander) http://digital.ictswitzerland.ch/de/themen/rechtsnormen-legiferierung! 11!
06.04.16! Fallstudie(n) Fallbeispiel: CRM Cloud - Lösung Anbieter A! Kunde! The Cloud! Dienste! Validierungs SW! übergibt! Rechnungen! scannt! PDF/A Generator! Validiert. Konvertiert und signiert! Liefert aus! Verarbeitet weiter!?! Zertifizierungsinstanz! Speichert in Blockchain! Blockchain Anbieter! archiviert! 12!
06.04.16! Hilfe für den Einstieg in die Umsetzung www.informationgovernance.ch 31 Der erste deutschsprachige Leitfaden zum Thema Information Governance mit Fokus Schweiz Methoden und Checklisten zu den wichtigsten Information Governance Fragen Rechtliche Rahmenbedingungen in der Schweiz + Internationaler Ausblick LEITFADEN INFORMATION GOVERNANCE Case Studies: ediscovery ERP Datenhaltung ehealth Patientendossier ECM im Autohandel mit Checklisten, Mustern und Vorlagen Von Bruno Wildh dhaber He erausgeber: Ko ompetenzzen zenttru rum m Records Management «T The Swis wiss Info nformation Governance Com ompet pete tence C Center» t Autoren: Daniel Burgwinkel, Jürg Hagmann, Stephan Holländer, Peter K. Neuenschwander, Dieter Schmutz, Schmutz Daniel Spic Spichty icht hty ty 32 13!
06.04.16! KRM Produkte Leitfaden Information Governance Leitfaden Records Management MATRIO Methode Information Management (Digitalisierungsstrategie) www.informationgovernance.ch Kompetenzzentrum Records Management, Zollikon 2015 33 14!