Bei der Aufbewahrung von E-Mails müssen zahlreiche gesetzliche Vorgaben beachtet werden. Vor allem braucht es eine Strategie, wie die elektronischen Nachrichten gespeichert werden sollen. Von Heinrich Straub
Warum muss ein Unternehmen überhaupt E-Mails archivieren? Die Aufbewahrungspflicht für Geschäftsbriefe ergibt sich vor allem aus dem Handels- und Steuerrecht, wonach Angebote, Aufträge und Rechnungen bis zu zehn Jahre lang aufbewahrt werden müssen. Hinzu kommt, dass das Bundesfinanzministerium die Gesetze hinsichtlich der Archivierung durch die Grundsätze ordnungsgemäßer Speicherbuchführung (GoS), die Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme (GoBS) und die Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen (GDPdU) konkretisiert hat. Zudem existierten Sondernormen für spezielle Berufe.
Eine Besonderheit gibt es bei der elektronischen Rechnung per E-Mail, denn der Unternehmer hat nur dann das Recht zum Vorsteuerabzug, wenn sie mit einer elektronischen Signatur nach dem Signaturgesetz versehen ist. Nur dann ist die Echtheit des Absenders und des Inhalts gewährleistet. Wichtig bei der Aufbewahrung: Da Originalnachricht und angehängte Dateien überprüfbar sein müssen, sind auch der Signaturprüfschlüssel und das Zertifikat zu speichern. Ist die Nachricht zusätzlich geschützt, müssen zusätzlich die ver- und entschlüsselte Rechnung sowie der Dekodierungscode aufbewahrt werden. Dies hat erhebliche Auswirkungen auf die Archivierung der Dokumente.
Werden relevante Unterlagen jedoch nicht ordnungsgemäß aufbewahrt, kann dies erhebliche wirtschaftliche Nachteile für das Unternehmen haben. Denn kann die Finanzbehörde in einem solchen Fall die Besteuerungsgrundlage nicht korrekt ermitteln, hat sie das Recht, zu schätzen. Für den dadurch entstandenen Schaden haftet die Geschäftsleitung persönlich, da sie für das Risikomanagement verantwortlich ist. So liegt also die Beweislast bei ihr, alles für die Archivierung der Daten getan zu haben.
Grenzen der Datensicherung
Wie muss ein E-Mail-Archiv aussehen, um den gesetzlichen Forderungen gerecht zu werden? In den GoBS ist
geregelt, dass elektronische Dokumente mit den Geschäftsbriefen inhaltlich übereinstimmen, unveränderbar und
fälschungssicher gespeichert sowie jederzeit lesbar gemacht werden müssen. Außerdem müssen der
Archivierungsprozess transparent und die E-Mail-Kommunikation über den gesamten Zeitraum der Aufbewahrung
rückzuverfolgen sein.
Da bisher nur wenige Unternehmen auf eine vollautomatisierte Ablage setzen, ist es gängige Praxis, sich auf reine Backup-Systeme zu verlassen, um E-Mails zu speichern. In Anbetracht der Anforderungen wird aber deutlich, dass eine einfache Datensicherung nur die zweitbeste Lösung darstellt – besser ist eine revisionssichere EDV-Anwendung.
Was und wie archivieren?
Um im Unternehmen die E-Mail-Ablage umzusetzen, steht zu Beginn eine ausführliche Analyse: Wie viele Anwender
nutzen E-Mails? Hat das Unternehmen eine Strategie zur Spam-Abwehr? Und sind private E-Mails grundsätzlich
verboten? Denn nur wenn sichergestellt ist, dass ausschließlich betriebliche Nachrichten auf dem Mail-Server
liegen, kann mit der Archivierung begonnen werden.
Am Anfang des Projektes sollte die Unternehmensleitung den Datenschutzbeauftragten, führende Mitarbeiter aus der Personal-, IT- und Finanzabteilung sowie Rechts- und IT-Berater einbinden, um deren Forderungen zu berücksichtigen. Weiter ist festzulegen, welche E-Mails überhaupt in die Ablage einbezogen werden. In der Praxis hat sich gezeigt, dass es weniger effektiv ist, die nicht zu archivierenden E-Mails zu definieren, als der Ansatz, ausnahmslos alle E-Mails zu speichern. Jedoch sollte die Lösung die Möglichkeit bieten, bestimmte Postfächer auszunehmen. Für das Medium schreibt der Gesetzgeber keine besondere Technik vor – erforderlich ist vielmehr ein System, das den Anforderungen der GoBS Rechnung trägt.
Wenn das Verfahren zur Zufriedenheit umgesetzt wurde, sollte der Ablauf der Archivierung – vom Empfang elektronischer Unterlagen, deren Speicherung und bis zur Wiederherstellung – möglichst exakt beschrieben werden. Eine solche Dokumentation dient auch als Nachweis, bei der Planung des Archivs nach bestem Wissen gehandelt zu haben.
Die Mengen elektronisch gespeicherter Daten stellen die IT-Verantwortlichen vor besondere Herausforderungen. Mit einem Archiv, das die revisionssichere Speicherung aller geschäftsrelevanten E-Mails sicherstellt, erfüllen die Unternehmen nicht nur die gesetzlichen Anforderungen und beugen Rechtsstreitigkeiten vor, sondern sie leisten einen wichtigen Beitrag zu mehr Transparenz und besserem Wissensmanagement.
