Kundenmagazin der REISSWOLF Deutschland GmbH REISSWOLFAKTEN Restdaten auf Kopierer-Festplatten Hohes Potenzial für große Schäden Sonderausgabe Wer kopiert, verliert so könnte man etwas salopp beschreiben, was das ARD-Magazin Plusminus kürzlich festgestellt und ausgestrahlt hat. Die Festplatten gebrauchter Kopiergeräte, so die Redaktion, sind wahre Fundgruben für persönliche, mitunter hochsensible, auf jeden Fall aber schützenswerte Daten. Ob Kontoauszüge, Strafbefehle, Gesundheitsgutachten, Personalakten, Mahnbescheide, Versicherungspolicen was auf einem Kopierer einmal vervielfältigt und nicht fach- und sachgerecht von der Festplatte gelöscht wurde, bekommt der Neubesitzer eines Geräts frei Haus mitgeliefert. Datenschutz: Fehlanzeige. Der Cyberkriminalität sind Tür und Tor geöffnet. Wie führte Plusminus den Datenskandal seinem Millionenpublikum vor Augen? Über die Auktionsplattform ebay kaufte die Redaktion mehrere gebrauchte Kopiergeräte in der Preisklasse von 500 bis 1000 Euro. Mit einer im Internet kostenlos herunterladbaren Software wurden die Festplatten der Geräte ausgelesen. Und dann begann das große Staunen. Auf jedem der Geräte fanden die Redakteure sensible Daten. In einem Fall Scheidungsunterlagen, Medikamentenlisten und die kompletten Steuerunterlagen eines Jahres insgesamt an die 10.000 einzelne Dokumente, kopiert von einem Steuerberatungsbüro. Im anderen Fall waren es rund 5.000 Dokumente, darunter Vernehmungsprotokolle, Strafbefehle und Mahnverfahren, vervielfältigt und damit für die Nachwelt gesichert von einer Rechtsanwaltskanzlei. Anwälte, Steuerberater und Ärzte stehen besonders im Fokus dieser Problematik. Denn als so genannte Berufsgeheimnisträger verstoßen sie gegebenenfalls gegen ihre Verschwiegenheitspflicht und riskieren strafrechtliche Konsequenzen, vielleicht sogar den Verlust der Zulassung. Umso mehr erstaunt es, wie ahnungslos sich gerade diese Berufsgruppen zeigen. Im Feldversuch von Plusminus wurden 200 Ärzte, Anwälte und Steuerberater befragt. Die Ergebnisse der Befragung machen Angst: Die Hälfte hatte keine Ahnung, ob ihr Kopierer eine Festplatte hat. Ein Viertel war überzeugt davon, dass sich in ihrem Gerät kein Speichermedium befand. Und nur ein Viertel der Befragten war sich der Gefahr bewusst. Die so genannte verantwortliche Stelle, so die Bonner Rechtsanwältin Dr. Andrea Vetter in unserem Interview auf Seite 3, ist das Unternehmen, das den Kopierer nutzt. Also nicht etwa die Leasingfirma oder gar der Hersteller des Geräts, sondern der einzelne Rechtsanwalt, der Steuerberater, der Arzt oder Apotheker. Deren Verpflichtung auf das Datenschutzgesetz muss der Staat überwachen, und zwar durch seine jeweiligen Landesdatenschutzbeauftragten. Sie sollen, so sagt es der Gesetzestext, stichprobenweise und ohne Anlass kontrollieren. In der Praxis allerdings passiert das so gut wie nie denn die personelle Ausstattung der Behörden lässt das gar nicht zu. In Rheinland-Pfalz beispielsweise kommen auf einen einzigen Beamten rund 10.000 Unternehmen, in Bayern sind es >
2 REISSWOLFAKTEN > sogar 40.000. Stefan Brink, der Datenschutzbeauftragte von Rheinland-Pfalz, nennt die im TV- Beitrag diagnostizierte Situation eine mittlere Katastrophe und sieht ein hohes Potenzial für große Schäden. Fachleute wie Werner Lehnhoff, Geschäftsführer der Kölner DiGiTEXX Gesellschaft für digitale Bürosysteme mbh, die bundesweit rund 9.500 Systeme betreut, wissen schon seit Jahren um das Problem. Für uns war es nur eine Frage der Zeit, wann diese Bombe hochgeht. Im Interview erläutert Lehnhoff, welche Absicherungen sein Unternehmen anbietet und wie man sich als in der Verantwortung stehendes Unternehmen verhalten sollte. Natürlich beziehen auch die Datenschutzexperten von REISSWOLF in dieser Frage klare Position. Wenn ich als Unternehmen sichergehen will, dass meine Daten nicht missbräuchlich verwendet werden, wenn der Kopierer nicht mehr im Einsatz ist, dann muss ich die Festplatte datenschutzgerecht vernichten lassen, so Thomas Sander, Geschäftsführer von REISSWOLF Deutschland. Den kompletten TV-Beitrag hat die ARD in ihrer Mediathek hinterlegt: http://www.ardmediathek.de/tv Werner Lehnhoff bietet Sicherheit in drei Stufen Wenn was passiert, werden Schuldige gesucht RW Fakten (RWF): Ihnen als Fachmann ist die Schwachstelle Festplatte bei Kopiergeräten bekannt, oder? Werner Lehnhoff (WL): Ja, natürlich. Als Anfang 1995 die Mobiltelefonen. Diese sind ebenso auslesbar, sogar während des Gebrauchs. Wenn dann was passiert, werden Schuldige gesucht. Jetzt sollen es die Anbieter von Kopiergeräten sein. erfolgt bei uns eine elektronische Reinigung, bevor die Geräte in die neue Vermarktung gehen. Oder die Geräte sind am Ende ihres Lebenszyklus` angekommen, dann zerlegen wir sie und übergeben ersten Digital-Kopierer aufkamen, RWF: Was machen Sie mit Gerä- REISSWOLF die Festplatte wurde ein Datensatz noch ten, deren Vertrag ausgelaufen ist? zur Vernichtung. Deren mechani- im Zwischenspeicher abgelegt WL: Entweder werden die Kopierer sche Zerstörung wird uns dann und mit der Ausgabe der Kopie gelöscht. Technisch höher anschlussvermietet, dann per Zertifikat dokumentiert. RWF: Kann sich Ihr Kunde entwickelte Geräte speichern auch durch DiGiTEXX ge- die Daten seitdem. gen den Missbrauch seiner Diese Daten auszulesen, Daten schützen? bedarf es einiger krimineller Energie, wobei ich das Thema nicht verharmlosen will. Multifunktionssysteme der neuesten Generation sollten deshalb nach Ablauf WL: Kann er. Wir bieten ein so genanntes Service Level Agreement in drei Stufen an. Stufe 1 ist die einfache Löschung der Festplatte, in Stufe 2 ver- der Leasingzeit auf die schlüsseln wir zusätzlich Werkseinstellungen zurückgesetzt die Speichersprache, so und die Festplatte gelöscht werden. RWF: Wie erklären Sie sich, dass so viele Unternehmen Werner Lehnhoff ist Geschäftsführer der DiGiTEXX dass die Wiederherstellung der Daten erschwert wird. Aber auch das bietet keinen hundertprozentigen Schutz. so unwissend Gesellschaft für digitale Bürosysteme mbh in Köln. Das Den hat man nur in Stufe sind? Unternehmen besteht seit 18 Jahren und betreut mit 50 3. Dann wird die Festplatte WL: So lange nichts Mitarbeitern rund 9.500 Kopier- und Drucksysteme in fachgerecht zerstört, und passiert, herrscht große NRW sowie mit Unterstützung der Computer Compass der Kunde erhält die entsprechende Sorglosigkeit. Denken Sie an unseren Umgang mit Gruppe in ganz Deutschland. Bescheinigung von REISSWOLF.
REISSWOLFAKTEN 3 Datenschutz-Expertin Dr. Andrea Vetter Ein alltägliches Problem RW Fakten (RWF): Wie beurteilen Sie das Ausmaß des jetzt aufgedeckten Festplattenskandals? Dr. Andrea Vetter (AV): Es dürfte sich um ein nahezu alltägliches RWF: Wie kann ich mich als Unternehmen sinnvoll vor dem Datenmissbrauch schützen, solange das Gerät noch in Betrieb ist? AV: Denkbar ist die Wahl eines Problem handeln. Als Datenschutzbeauftragte Geräts, das die Daten verschlüsselt mache ich oft die Erfahrung, dass sich viele Unternehmen dieses Risikos gar nicht bewusst sind. RWF: Welche Folgen kann es haben, wenn Daten von meinem aktuell genutzten oder ausrangierten Kopierer in die falschen Hände geraten? AV: Betriebs- und Geschäftsgeheimnisse können in die Hände Dritter gelangen. Bei dem Verlust spezieller Datenarten, etwa Finanzoder Gesundheitsdaten, müssen zudem gegebenenfalls Aufsichtsbehörden und Betroffene benachrichtigt werden. Bußgelder von bis zu 300.000 Euro können verhängt werden. Imageschäden sind vorprogrammiert. RWF: Mit welchen Konsequenzen auch strafrechtlicher Natur muss man im Fall von Datenmissbrauch rechnen? AV: Insbesondere Berufsgeheimnisträger, abspeichert. Der Zugriff auf das Gerät sollte nur mittels technischer Vorkehrungen, etwa Kartenleser oder PIN, möglich sein. Auch der Umgang mit Fehlkopien sollte geregelt werden idealerweise befindet sich in der Nähe des Kopiergeräts ein Schredder. Ich empfehle meinen Mandanten eine Richtlinie zum Umgang mit Multifunktionsgeräten. RWF Fakten: Welche Vorkehrungen muss ich treffen, wenn ein Gerät verkauft wird oder der Leasingvertrag ausläuft? AV: Von einem einfachen Löschen über die Bedienoberfläche rate ich ab, da dabei oft die Daten dennoch auf dem Datenträger verbleiben. Die sicherste Löschung ist die Vernichtung der Festplatte durch einen fachkundigen Dienstleiser. Eine Alternative ist das mehrfache Überschreiben der Festplatte. zum Beispiel Ärzte und Rechtsanwälte, verstoßen dadurch gegen ihre Verschwiegenheitspflicht. Dies kann mit Geld- und sogar Freiheitsstrafe sanktioniert werden. Darüber hinaus ist die Palette der potenziellen Haftungsnormen sehr breit. Liebe Freunde der Marke REISSWOLF, es ist schon erstaunlich, wie sorglos im Geschäftsverkehr mit sensiblen Daten umgegangen wird. Sicherlich: Es braucht eine gewisse kriminelle Energie, um die Festplatte eines gebrauchten Kopiergeräts auszuspionieren. Andererseits: Wo ein Angebot, da entsteht auch ein Markt. Gelegenheit macht eben Diebe. Damit Datendiebstahl in der Kriminalitätsstatistik nicht immer weiter nach oben rückt, ist Vorsicht an allen Fronten geboten. Beim Vorgang des Kopierens heißt das: Dokumente schützen, Zugang zum Gerät erschweren und intelligentere Löschfunktionalitäten zum Einsatz bringen. Denn sobald ein Gerät in neuen Besitz übergeht, gibt es zur datenschutzgemäßen Löschung oder Vernichtung der Festplatte keine Alternative. Vernichten können Sie übrigens auch Akten und Daten, die vom Gesetzgeber her nicht mehr aufbewahrt werden müssen. Welche das sind, zeigt Ihnen unser Beileger mit den aktuellen Fristen. Ich bedanke mich bei unseren Kunden und den Freunden und Geschäftspartnern unserer REISSWOLF Betriebe. Ihnen allen wünsche ich ein erfolgreiches Jahr 2016. Mit herzlichen Grüßen Thomas Sander Geschäftsführer REISSWOLF Deutschland GmbH
4 REISSWOLFAKTEN Highend-Technologie für sichere Datenvernichtung So vernichtet REISSWOLF Ihre Festplatte Gleich, ob PC, USB-Stick oder eben die Festplatte eines Kopiergeräts am Ende ihrer Lebenszeit müssen elektronische Datenträger mit personenbezogenen Daten vernichtet werden. So verlangt es das Bundesdatenschutzgesetz (BDSG), und die DIN 66399 regelt, wie die Vernichtung der Datenträger zu erfolgen hat. Demnach muss die Festplatte so behandelt werden, dass die Wiederherstellung der ursprünglich enthaltenen Daten hochgradig unwahrscheinlich bzw. praktisch ausgeschlossen ist. Und zwar weder durch Zusammensetzen þ des Datenträgers aus Papier, noch durch die Rekonstruktion zusammenhängender Daten auf Festplatten, so Thomas Sander, Geschäftsführer von REISSWOLF Deutschland. Um den unerlaubten Zugriff auf sensible Daten zu vermeiden, reichen herkömmliche Methoden etwa einfache Lösch-Software oder auch physikalische Hilfen nicht aus. Insbesondere dann nicht, wenn es sich um Daten mit einem sehr hohen Schutzbedarf handelt: Zeugenschutzprogramme etwa, geheime und streng geheime Unterlagen des Bundes und der Länder oder eben hoch sensible Daten aus der Forschung und Entwicklung von Wirtschaftsunternehmen. Die Einteilung in eine der drei Schutzklassen ist ebenso in der DIN 66399 festgeschrieben wie die Sicherheitsstufe, in der die Datenträger zu vernichten sind. Sie reichen von Datenschutz-Quick-Check 1 bis 7 je höher die Sicherheitsstufe, desto kleiner die Partikel, die beim Schreddern des Datenträgers entstehen. Bei elektronischen oder magnetischen Datenträgern kann übrigens dann eine niedrigere Sicherheitsstufe gewählt werden, wenn die Datenträger zuvor gelöscht oder überschrieben wurden. REISSWOLF vertraut in jedem seiner insgesamt 17 Betriebe in Deutschland auf hochleistungsfähige Zerkleinerungsanlagen, die bis zu 50 Kilogramm Datenträger in der Stunde vernichten können. Einmal durch den Schredder geschickt, bleiben von der Festplatte nur winzige Partikel. Solche Highend-Technologie hat ihren Preis: Allein ein Messer für eine solche Anlage kostet bis zu 20.000 Euro. Wie ist es in Ihrem Unternehmen um die Sicherheit der Daten bestellt? Besteht Handlungsbedarf? Können Sie Aufgaben und Verantwortlichkeiten sinnvoll outsourcen? Unser Quick-Check hilft. Anzahl der Multifunktionsgeräte (MFG) im Einsatz 1 2-5 mehr als 5 Die Daten-Problematik bei integrierten Festplatten ist mir bekannt Die Geräte in unserem Haus werden betreut durch Mich/uns selbst Externe Dienstleister In unserem Unternehmen gibt es eine Richtlinie zum Umgang mit den MFG Wir haben mit unserem Dienstleister eine Vereinbarung über die Löschung der Festplatte getroffen Wir bewerten das Thema Datenschutz jetzt intern oder mit unserm Dienstleister neu Wir wünschen ein Beratungsgespräch mit REISSWOLF Wenn Sie mögen: Scannen Sie den ausgefüllten Quick-Check ein und mailen Sie ihn an Ihren Ansprechpartner bei REISSWOLF. Impressum Herausgeber: REISSWOLF Deutschland GmbH, Normannenweg 28, 20537 Hamburg Verantwortlich: Thomas Sander, Tel. 040 2530424-0 Redaktion und Grafik: K1 Gesellschaft für Kommunikation mbh, Köln Druck: Broermann Offset-Druck GmbH, Troisdorf-Spich REISSWOLF, Nachdruck unter Angabe der Quelle gestattet Fotos: kallejipp/photocase.de; reisswolf; privat
Beilage zum Kundenmagazin der REISSWOLF Deutschland GmbH REISSWOL FAKTEN Stand: Januar 2016 Aufbewahrungsfristen von A-Z Das Handelsgesetzbuch (HGB) verpflichtet Kaufleute zur Aufbewahrung von Geschäftsunterlagen ( 238, 257, 261 HGB). Aus steuerlichen Gründen haben alle Unternehmen der gewerblichen Wirtschaft die Aufbewahrungsvorschriften nach 147 Abgabenordnung (AO) zu erfüllen. Neben den o. g. Vorschriften finden sich weitere unterschiedliche Regelungen zu den Aufbewahrungsfristen in diversen Gesetzen und Verordnungen so z. B.: Produkthaftungsgesetz (ProdHaftG) Steuerrecht (EStG, KStG, GewStG) Zivilrecht (BGB, ZPO) Aktiengesetz (AktG) Banken- und Versicherungsgesetz Beamtenrecht Röntgenverordnung (RöV) Verordnung über Entsorgungsfachbetriebe (EfbV) Strahlenschutzverordnung (StrlSchV) An-, Ab- und Ummeldungen der AOK und 6 2009 Ersatzkassen Angebotsunterlagen, die nicht zum Auftrag geführt 0 haben Angebotsunterlagen, die zum Auftrag geführt haben 6 2009 Anlagevermögen Anlageverzeichnisse Anträge auf Arbeitnehmersparzulage 6 2009 Anwesenheitslisten (z. B. Stempelkarten), soweit für Lohnbuchhaltung erforderlich Bankauszüge, Bankbelege Beitragsabrechnungen zur Sozialversicherung Belastungsanzeigen (intern und extern) Belege, Sammelbelege, Beleglisten, soweit Buchungsunterlagen Bestell- und Auftragsunterlagen 6 2009 Beteiligungsunterlagen Betriebsabrechnungsbögen Betriebskostenabrechnungen Betriebstagebücher (EfbV) 5 2010 Bewirtungsunterlagen Bilanzen Bilanzen und Bilanzanlagen Buchungsanweisungen Bürgschaftsinformationen (nach Vertragsende) 6 2009 Die handels- und steuerrechtlichen Vorschriften zur Aufzeichnung von Geschäftsvorfällen und zur Aufbewahrung von Schriftgut stimmen nur zum Teil überein. Aus steuerlichen Gründen sind sämtliche Geschäftsunterlagen und sonstige Unterlagen (wie z.b. DV-Datenträger und Mikrofilme) aufzubewahren, die für die Besteuerung von Bedeutung sind. Die handelsrechtlichen Vorschriften haben damit für die betriebliche Praxis nicht die Bedeutung, wie sie den steuerrechtlichen Aufbewahrungsvorschriften zukommt. Im Folgenden werden daher vornehmlich die steuerrechtlichen Aufbewahrungsfristen dargestellt. Darüber hinaus ist zu beachten, dass die Aufbewahrungsfrist gem. der Abgabenordnung ( 147) mit dem Schluss des Kalenderjahres beginnt, in dem der Jahresabschluss aufgestellt worden ist. Daraus ergibt sich, dass die Aufbewahrungsfrist aller zum Jahresabschluss gehörenden Unterlagen ebenfalls mit dem Schluss des Kalenderjahres beginnt, in dem der Jahresabschluss erstellt wurde. Darlehensunterlagen Dateien (soweit Verfahrensdokumentationen) ( 47 AO) Dauerauftragsunterlagen 6 2009 Debitorenbuchhaltung Depotbücher, Depotauszüge und Depot- bestätigungen Doppelbesteuerungsunterlagen 6 2009 EDV-Unterlagen, soweit zum Verständnis der Buchführung erforderlich (z. B. Ablaufdiagramme, Blockdiagramme und ähnliche Organisationsbeschreibungen) Effektenkassenquittungen, Effektenempfangsbescheinigungen (soweit Buchungsbelege), Effekten- buch Einheitswertunterlagen E-Mails mit steuerrelevantem Inhalt Essenmarkenabrechnungen Fahrtkostenerstattungsunterlagen Frachtbriefe Freistempelabrechnungen Gebäude- und Grundstücksunterlagen (Bauakten, Baupläne, Schätzungen, Genehmigungen, Abrechnungen über Anschaffungs- oder Herstellungskosten), soweit Inventar Gehaltslisten Geschäftsberichte
2 REISSWOLFAKTEN Januar 2016 Geschäftsbriefe 6 2009 Geschenknachweise Gesellschafterversammlungen/-beschlüsse, (Protokolle und sonstige Unterlagen) Gewinn- und Verlustrechnungen Grundbuch- und Journalblätter, wenn Inventare Gründungsakten der Gesellschaft Gutachten Gutschriften, Gutschriftsanzeigen Handelsbriefe 6 2009 Handelsbücher Hauptbücher Hauptversammlungen (Beschlüsse, Protokolle, sonstige Unterlagen) Inkassobücher, -karteien, -quittungen Inventare, Inventarnachweise Inventurunterlagen für Bilanzierungszwecke Jahresabschluss Jahreslohnnachweise für Berufsgenossenschaften Journale für Hauptbuch und Kontokorrent Kassenberichte Kassenbücher und -blätter Kassenzettel Kontenpläne und -änderungen Kontoauszüge Konzernabschlüsse, Konzernlageberichte Kostenträgerrechnungen Krankenhaus-Buchführungsunterlagen Kreditorenbuchhaltung Lastschriftanzeigen Lieferscheine, wenn Buchungsunterlagen Lohnkontenarten Lohnlisten Lohnsteuer-Jahresausgleichsunterlagen (für Arb./ Angest.) Mahnvorgänge 6 2009 Maschinenkarteikarten (Inventur) Mietverträge (nach Vertragsende) 6 2009 Nebenbücher Offenbarungseidanträge 6 2009 Pachtverträge (nach Vertragsende) 6 2009 Patente und Patentunterlagen nach Ablauf des 6 2009 Patents Patientenakten (Krankengeschichte) ambulant und 30 1985 stationär Pensionskassenunterlagen Personalunterlagen 6 2009 Pfändungsunterlagen Prämienunterlagen, z. B. über Versicherungsprämien, soweit Buchungsunterlagen Provisionsabrechnungen mit Unterlagen Prüfungsberichte des Abschlussprüfers Qualitätsmanagement-Unterlagen Quittungen, wenn Buchungsunterlagen Rechnungen und Rechnungsunterlagen Rechtsstreitfälle mit allen Unterlagen, Klageakten 6 2009 nach Verfahrensabschluss Reisekostenabrechnungen Repräsentationsaufwendungen (Unterlagen) Saldenbilanzen Saldenlisten Scheck- und Wechselunterlagen Schriftwechsel 6 2009 Schriftwechsel (auch innerbetrieblich) 6 2009 Sozialversicherungsunterlagen 6 2009 Spendenbescheinigungen Strahlenschutz-Anwendungen (Röntgenaufnahmen-RöV)* Strahlenschutz-Anwendungen 30 1985 (Röntgenbehandlung-RöV)* Strahlenschutzbelehrungen (RöV)* 30 1985 Strahlenschutzgesundheitsakte (RöV)* 30 1985 Strahlenschutzmessergebnisse (RöV)* 30 1985 Telefonkostennachweise Überstundenlisten Unterlagen über dubiose Forderungen, Dubiosenbücher Vermögensverzeichnis Versand- und Frachtunterlagen Versorgungsunterlagen, soweit Buchungsunterlagen VwL-Unterlagen Wareneingangs- und -ausgangsbücher Wechsel Zessionen 6 2009 Zinsabrechnungen 6 2009 Alle Angaben sind ohne Gewähr *) 28 (3) RöV : Aufzeichnungen über Röntgenbehandlungen sind 30 Jahre lang nach der letzten Behandlung aufzubewahren. Röntgenbilder und die Aufzeichnungen über Röntgenuntersuchungen sind zehn Jahre lang nach der letzten Untersuchung aufzubewahren. Die Aufzeichnungen von Röntgenuntersuchungen einer Person, die das 18. Lebensjahr noch nicht vollendet hat, sind bis zur Vollendung des 28. Lebensjahres dieser Person aufzubewahren. (...)