Archivierung von Daten und E-Mails auf WORM (DSGVO)

Archivierung von Daten

Bei einer Archivierung werden Daten kopiert oder verschoben, aber nicht um primär Speicherplatz frei zu bekommen, sondern um diese Dateien anders bzw. woanders zu verwalten. Dabei wird bzw. muss zwischen einer firmeninternen und einer gesetzeskonformen Archivierung unterschieden werden.
Eine firmeninterne Archivierung wird zum Beispiel für die Aufbewahrung von abgeschlossenen Projekten verwendet. Die Vorgaben zur Archivierung macht in diesem Fall alleine das Unternehmen, also ob die Daten veränderbar sein dürfen oder nicht und wie lange alles aufbewahrt wird.

Beispiel aus der Praxis: In einer Werbeagentur wurde ein Kundenprojekt vollständig abgeschlossen, eine große Menge an Daten wurde dabei erzeugt. Jetzt ist die Frage, braucht man die Daten noch, braucht man alles oder nur die Ergebnisse? Da sind zum Beispiel Foto- und Filmmaterial in hoher Auflösung und viele nicht genutzte Filmsequenzen enthalten. Das nimmt viel Platz auf teurem Speicher weg. Aber einfach löschen? Meistens nicht praktikabel, denn in genau diesem Moment kommt der Kunde und möchte ein zweites Projekt starten und Sie haben nicht einmal mehr die Logos ... Keine Lösung! Also die Daten auf kostengünstige Medien verschieben, ähnlich dem HSM, aber in diesem Fall eher logisch zusammengefasst. Eine Lösung, gerade für große Datenmengen (Foto- und Filmmaterial), bietet LTFS auf LTO Medien. Die Daten können zum Beispiel ohne eine spezielle Archivierungssoftware auf LTO Medien geschrieben werden, dann noch eine Kopie auf ein zweites Band (Sicherheit geht vor) und die Daten auf den Festplatten können weg. Kommt der Kunde in einem Jahr wieder, einfach das Band mounten, die Daten kopieren und schon kann es wieder losgehen.

Gesetzeskonforme Archivierung

Am einfachsten ist die gesetzeskonforme Archivierung bei Buchhaltungsdaten zu verstehen. Die Buchungsdaten, sowie Rechnungen, Belege und Lieferscheine müssen 10 Jahre aufbewahrt werden. Aber warum nicht bei einer Datensicherung einfach die Sperrfrist auf 10 Jahre erhöhen? Vom Gesetz her wird gefordert, dass diese Daten (auch schon bevor sie archiviert sind) nicht verändert werden dürfen. Und bei einem Backup gibt es dafür keinen Schutz, ich restore eine Rechnung, verändere sie und sichere sie dann wieder. Dies merkt keiner. Und bei einer rechtlich einwandfreien Archivierung darf dies nicht möglich sein. Eine Veränderung der ursprünglichen Daten muss verhindert werden, bzw. muss dokumentiert werden. Also zum Beispiel über verschiedene Versionen einer Datei.

Am einfachsten ist eine Archivierung auf eine CDROM oder DVD (natürlich nicht RW CD oder RW DVD), die Daten können nur einmal geschrieben werden. Aber "so richtig" gesetzeskonform ist das noch nicht. Wenn die Daten auf eine Festplatte kopiert werden und dann auf der Festplatte verändert und später auf eine andere CDROM geschrieben werden, so wird das kaum nachvollziehbar sein. Datum und Beschriftung der CDROM kann ja jederzeit geändert oder die CD ausgetauscht werden.

Um das ganze Verfahren jetzt gesetzeskonform zu bekommen, benötigt man eine Software, die sämtliche Daten verwaltet und dokumentiert. Ist diese Software gesetzeskonform und bleiben die Daten unter der Verwaltung dieser Software, so ist die Datenhaltung (Archivierung) dann gesetzeskonform.

Halt mal, da fehlt doch was ... Reicht denn die Software und die Hardware alleine aus? Leider nicht, es fehlt die Verfahrensdokumentation. In diesem Schriftstück müssen sämtliche Wege und Verarbeitungsschritte der Daten beschrieben werden.

Ein einfaches Beispiel:
Es kommt eine Mail mit einer Rechnung als PDF zur Buchhaltung. Diese Mail landet im Postfach der Buchhaltung, wird ausgedruckt und bezahlt und dann archiviert. So wird es nicht klappen, der Ablauf muss erst einmal verändert werden. Die E-Mail mit der Rechnung kommt vom Lieferanten und wird als erstes einmal archiviert. Danach wird die Mail der Buchhaltung zugestellt. Was ist da jetzt anders? Es gibt keine Möglichkeit mehr, die Mail vor der Archivierung manuell zu bearbeiten. Im ersten Beispiel hätte man ja das PDF verändern und dann wieder im Postfach speichern können.

Aber können wir uns jetzt die Dokumentation sparen, wenn die Änderung ja nicht mehr möglich ist? Nein, auch das muss dokumentiert werden. Meist befinden sich Virenscanner ganz außen an der Infrastruktur, also vor der Archivierung. Was durchaus auch sinnvoll ist, weil sonst ja ein Virus gleich mit archiviert wird. Aber das muss dokumentiert werden. Also wie bearbeitet der Scanner die Mails und was passiert mit geblockten Mails.

Diese Dokumentation sollte immer auch von einem Rechtsanwalt und/oder Steuerprüfer des Vertrauens geprüft werden. Weil nur die Bestätigung des Herstellers der Archivierungssoftware ist nicht ausreichend. Bei Fragen wenden Sie sich an Ihren Rechtsanwalt und Steuerberater.

Wer braucht eine gesetzeskonforme Archivierung?
Jedes Unternehmen, welches Daten in elektronischer Form verwaltet, an die besondere Anforderungen vom Datenschutz, Aufbewahrung oder der Buchhaltung gestellt werden. Es sind unter anderem folgende Gesetze zu beachten: DSGVO, GDPdU und GoBD. Sowie Ausführungen im Handelsgesetzbuch, aber auch viele andere Gesetze ohne Bezug auf die Steuer.
Also kurz gesagt: Jedes Unternehmen.

Archivierung in der Praxis

Eine gesetzeskonforme Archivierung ist mit Backup-Software nicht möglich, dafür benötigen wir eine spezielle Software (oder Hardware). Einige Storage-Systeme bieten WORM Funktionen für Filesysteme an. Dort können einzelne Bereiche mit Sperrfristen belegt werden, so dass nur noch Dateien geschrieben, nicht aber verändert oder gelöscht werden können. Die Sperrfristen (pro Datei)) liegen dann zum Beispiel bei 10 Jahren und nach dieser Frist sind die Daten dann löschbar.
Aber alleine dieses Filesystem reicht nicht aus. Der gesamte Ablauf muss ja dokumentiert sein. Also bei der E-Mail muss direkt nach dem Empfang, ohne eine Möglichkeit der Manipulation, die Daten geschrieben werden. Und es muss dokumentiert werden, das etwas archiviert wurde und was es war. Erst dann darf die Mail dem Empfänger zugestellt werden. Also das Storage-System ist nur der erste Schritt.

Häufig wird bei der Archivierung auch der Begriff LTFS verwendet. LTFS (Linear Tape Filesystem) ist ein Filesystem auf einem LTO Band. Dies kann seit LTO-5 genutzt werden. Ein Treiber für Windows oder Linux bindet ein LTO Band in einem Bandlaufwerk als Filesystem ein. Dort können Dateien geschrieben und gelesen werden. Auf dem Band befindet sich ein Verzeichnis mit den Dateien und die Daten an sich.
Im ersten Blick hat dies nichts mit Archivierung zu tun. Die Daten können gelesen und geschrieben und natürlich auch verändert werden. Das ganze ohne Schutz oder Protokollierung bzw. Versionierung. Jetzt könnte man aber ein WORM Medium für LTFS nehmen ... Ähnliche Probleme wie bei WORM Storage, es wird die passende Software für die "Steuerung" benötigt. Vorteile von LTFS und LTO sind die geringen Kosten bei großen Datenmengen.

In der Praxis wird also die passende Software benötigt und die dazu passende Hardware für die Speicherung. Das Angebot für die E-Mail Archivierung Benno Mailarchiv finden Sie hier.

WORM (Write Once Read Many)

WORM ist das ideale Zielmedium für die Archivierung. Warum? Die Daten können einmal auf das Medium geschrieben werden und danach nicht wieder verändert oder gelöscht werden. Und genau das ist das Ziel der Archivierung. Die Daten dürfen weder verändert noch gelöscht werden. Also einmal Beschreiben (Write Once) und mehrfach Lesen (Read Many).

Was gibt es für WORM Medien?
Das klassische WORM Medium in der Datenverarbeit und das WORM Tape. heute meist ein LTO Tape mit einer internen WORM Funktion. Die Bänder an sich können also nur einmal geschrieben werden, eine externe Steuerung und Überwachung ist dafür nicht notwendig.
Na ja, so richtig "klassisch" ist eigentlich die CD oder DVD. Auch sie kann also RO Medium nur einmal beschrieben werden, also auch ein WORM Medium. Aber wegen der geringen Kapazität und hoher Fehleranfälligkeit in der professionellen Datenverarbeitung nicht so gebräuchlich. Aber extrem kostengünstig in der Anschaffung und im Betrieb.

Ein anderes WORM-"Medium" sind Festplatten. Jetzt werden alle sagen: Nein Festplatten können doch immer wieder beschrieben und gelöscht werden, das ist kein WORM. Ja so einfach ist es bei Festplatten nicht. Da muss eine Software drum herum laufen, die die Zugriffe auf die Daten reguliert. Also zum Beispiel Daten gegen überschreiben sichern oder einfach vorher als alte Version sichern. Der Vorteil der Festplatten als WORM ist die Flexibilität, es können zum Beispiel spezielle Sperrfristen festgelegt werden, danach kann der Platz wieder verwendet werden. Weiterhin können eventuell Versionen verwaltet werden und eine Suche integriert sein. Aber in diesem Fall steht und fällt alles mit der Sicherheit der Software. Lässt sich diese aushebeln oder ist unvollständig, dann ist die Compliance gefährdet.

Rechtliche Bestimmungen bei der Archivierung

Wer nicht oder nur unsachgemäß archiviert, riskiert gravierende Haftungsrisiken für Geschäftsleitung und IT-Administration. Grund genug, die Archivierung nicht nur in technischer Hinsicht umzusetzen. Das Handelsgesetzbuch mit dem §238 verpflichtet Kaufleute zur Buchführung und Aufbewahrung von Handelsbriefen. Als Handelsbriefe gelten alle Unterlagen, die zur Durchführung und Abschluss eines Geschäftes dienen, also Angebote, Auftragsbestätigungen, Lieferscheine und auch Reklamationsschreiben. Das lässt sich auf einem Fileserver auch nicht unbedingt immer leicht identifizieren, aber noch schwerer wird es, wenn die Unterlagen in einem E-Mail-System hinterlegt sind.

Für das Archivieren von diesen Daten gibt der §239 HGB folgendes vor: "Die gespeicherten Dokumente müssen unveränderbar, reproduzierbar und jederzeit verfügbar sein." Diese Vorgaben müssen von einer elektronischen Archivierung erfüllt werden. Das schwierigste ist hierbei die Unveränderbarkeit, aber auch die Reproduzierbarkeit ist nicht einfach zu realisieren. Wer kann schon garantieren, dass das gewählte Format auch noch in 10 Jahren lesbar ist.
Auch im Steuerrecht müssen Kaufleute die Anforderungen an die Aufbewahrung und die Prüfbarkeit erfüllen. Einzelheiten sind hierbei in den Grundsätzen zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen (GDPdU) enthalten. Ein wichtiger Punkt ist hierbei: Wurden Daten mit einem Datenverarbeitungssystem erzeugt, so hat die Finanzbehörde das Recht, Einsicht zu nehmen und das System zur Prüfung zu nutzen. Das bedeutet in der Praxis, das auch steuerlich relevante E-Mails gesetzeskonform zu archivieren sind und den Betriebsprüfern jederzeit digital verfügbar zu machen sind.

Welche Gefahren lauern, wenn diese Bestimmungen nicht eingehalten werden? Alleine der Verlust der Vorsteuerabzugsberechtigung kann einen großen finanziellen Schaden verursachen. Bei Verletzung der ordnungsgemäßen Buchführung kann die Finanzbehörde eine Steuerschätzung durchführen (sicherlich nicht zum Vorteil des Unternehmens) und Geld- und Freiheitsstrafen verhängen. Im Falle eines Falles ist die Geschäftsleitung persönlich haftend, aber auch leitenden IT-Mitarbeitern drohen Regressansprüche.

Archivierung - DSGVO und GoBD

Sie setzen eine E-Mail Archivierung ein und jetzt verlangt jemand von Ihnen seine Daten laut DSGVO zu löschen? Als erstes muss einmal geprüft werden, ob Sie die Daten einfach so löschen dürfen. Werden die Daten zum Beispiel für die Buchhaltung (also laut GoBD) benötigt, so dürfen sie nicht gelöscht werden. In diesem Fall ist GoBD höher als DSGVO zu bewerten.
Aber nehmen wir einmal an, die zu löschenden Daten werden sonst von keinem anderen Gesetzt geschützt, dann müssen sie gelöscht werden. Aber sie sind in der Archivierung und da lassen sie sich nicht löschen, da sie zum Beispiel auf WORM Tapes gespeichert wurden. Da ist guter Rat teurer, das haben die Politiker nicht bedacht. Also ohne die Konsistenz der gesamten Archivierung zu gefährden ist das Löschen nicht möglich. Eine Möglichkeit ist das Sperren der Daten im Archiv. Sie sind also noch vorhanden, können aber nicht angezeigt werden. Aber auch da können wir nur auf den Rat Ihres Anwaltes und Steuerberaters verweisen.

Oder ist es eine Lösung, nur die Daten zu archivieren, die direkt etwas mit der Buchhaltung zu tun haben? Das wird extrem schwierig, weil in der Mail steht ja nicht, ob sie relevant ist oder nicht. Und was ist mit dem Angebot an einen Kunden, aus dem nichts wird? Für die Buchhaltung relevant, wenn es zum Abschluss kommt, aber wie soll man das vorher wissen?
Aber gilt das jetzt nur für die E-Mail Archivierung? Nein, die Löschpflicht laut DSGVO betrifft alle Daten, also nicht nur E-Mails. Sämtliche Datenquellen müssen in dem Verzeichnis von Verarbeitungstätigkeiten aufgeführt werden, ebenso wie die dazugehörigen Archive. Aus der Kundenverwaltung lassen sich ja meist die Daten schnell löschen, aber was ist mit den Sicherungen und Archiven der Kundenverwaltung? Auch da bietet sich dann nur das Sperren oder wiederholtes Löschen an.

Fazit Archivierung und WORM

Eine professionelle Planung macht eine reibungslose Implementierung erst möglich. Und nur dann lassen sich rechtliche Vorgaben erfüllen und Kosten einsparen. Sehr wichtig sind hierbei, die geforderten Funktionalitäten und die vorhandene Hardware zu berücksichtigen.
Eine recht umfangreiche Aufgabe, gerade für den Mittelstand. Und hier greift eine Appliance ein, die sämtliche Aufgaben in diesem Gebiet übernehmen kann. Eine ideale Lösung für alle Unternehmen, die eine effektive und leicht zu bedienende Gesamtlösung suchen. Fragen Sie uns!