3rd Mind Business Consulting

Diese Herangehensweise hat sich vielfach bewährt

Da an eine „rechtssichere“ E-Mail-Archivierung demnach hohe Anforderungen gesetzt werden müssen, reicht es nicht, eines der etwa neunzig (!) Produkte auf dem deutschen Markt auszuwählen und sich „irgendwas“ zu kaufen, zu mieten oder einen Online-Dienst einzusetzen. Viele dieser Produkte erfüllen die gesetzlichen Auflagen nämlich nicht im vorgeschriebenen Umfang!

Zudem soll eine Investition in ein solches Archivierungssystem nicht nur „dem Gesetz genüge tun“, das Unternehmen will auch einen wirtschaftlichen Nutzen aus der Anschaffung ziehen. Dazu sollte die Lösung entsprechende „Komfort-Level“ besitzen, die je nach Bedürfnis den Nutzen des Programms erhöhen können (z.B. vollautomatische Archivregeln, Volltext-Recherche, Auditor-Zugänge für Prüfer).

Unterschiede auf vielen Ebenen

Bei Mandanten oft gehört, dadurch leider nicht richtiger: „Wir haben doch ein Backup – wozu brauchen wir noch ein Archiv?“ Dies hat exakt drei Gründe:

1. Ein Backup beinhaltet immer eine Kopie. Nur im Archiv liegt das Original. Das Original hat im Streitfall die größte Beweiskraft.

2. Aus einem „Backup-String“ kann keine einzelne E-Mail extrahiert werden. Stets muss die komplette Sicherung, in der sich die E-Mail vermutlich befindet, zurückgespielt, also ein „Recovery“ durchgeführt werden. Der Aufwand ist unverhältnismäßig, zumal archivierte Dateien zeitnah gefunden werden müssen.

3. Durch das Wiederaufspielen des Backups können aktuelle Daten von älteren überschrieben werden.

Somit hilft eine vernünftig aufgesetzte E-Mail-Archivierung, die täglichen Abläufe im Unternehmen zu optimieren und Unabhängigkeit von plötzlichen Ausfällen zu schaffen. Ist ein Mitarbeiter im Urlaub, kann die Vertretung bei entsprechend eingerichteter Berechtigung auf seine archivierten E-Mails zugreifen und das verwaiste Projekt zeitnah fortsetzen.

Die verbreitete Praxis, einfach das E-Mail-Kennwort weiterzugeben, gehört damit ebenfalls der Vergangenheit an. Eine Archivierung erhöht somit auch das Sicherheitsniveau im Unternehmen.

Wird das Unternehmen einer Prüfung unterzogen, z.B. durch die Datenschutz-Aufsichtsbehörden oder Finanzbehörden, können so genannte „Audit-Accounts“ den Prüfern einen eng umrissenen (begrenzten) Einblick in die Archive gewähren. 

Ohne dieses Leistungsmerkmal könnten sie alles sehen, was nicht immer im Sinne des Unternehmens ist.

Die gleiche Prozedur kann auch für Unternehmen genutzt werden, in denen Einblicknahmen in (aus Versehen oder ungeregelt) archivierte private E-Mails vorgenommen werden müssen, beispielsweise bei einem „begründeten Verdacht“.

Durch diesen „Audit-Account“ kann ein Vier- oder Sechs-Augen-Prinzip die Rechte der Arbeitnehmer/innen schützen, während gleichzeitig die gewünschte Information wieder hergestellt wird. Zu dieser Entscheidung müssen dann, sofern vorhanden, der Betriebsrat und Datenschutzbeauftragte hinzugezogen werden.

DAS Hauptthema vor der Umsetzung

Immer häufiger werden über E-Mail Rechtsgeschäfte eingeleitet, durchgeführt und abgewickelt. Also sollten als erstes die Auflagen des (Steuer-)Gesetzgebers beachtet werden. Die Aufbewahrungspflichten für Papierdokumente (Rechnungen, Inventarlisten, Buchungsbelege etc.) gelten auch für elektronische Dokumente.

Den eigentlichen Unterschied macht die „Technologie“: Ein Stück Papier inklusive Stempel und Unterschrift zu manipulieren, setzt eine wesentlich höhere kriminelle Energie voraus, elektronische Dokumente dagegen sind mit ein paar Mausklicks geändert. Eine E-Mail kann in den meisten Mail-Programmen einfach editiert werden. Es können sowohl Texte als auch Anhänge gelöscht und neue hinzugefügt werden, ohne dass dies bei einem Ausdruck oder pdf-Druck zu merken wäre.

Deshalb nutzt das Ausdrucken einer E-Mail für die Beweiskraft rein gar nichts. Auch eine auf der Festplatte gespeicherte E-Mail kann jederzeit editiert werden. Für eine „rechtssichere“ Archivierung gibt es nur einen soliden Weg: die Auflagen nachweisbar in einer „richtigen“ Archivumgebung zu erfüllen.

Die drei wesentlichsten Auflagen an ein elektronisches Archiv

1. Die Integrität (Aufbewahrung der Dokumente vollständig und unversehrt)
2. Die Aufbewahrungsdauer (z.B. 10+ Jahre)
3. Die Unveränderbarkeit (respektive den Nachweis derselben)

Zur Veranschaulichung kann das Handels- und Steuerrecht herangezogen werden. Die Buchhaltung (oder in größeren Betrieben Finance & Controlling) ist hier die erste Anlaufstelle und kann Auskunft darüber geben, welche Dokumente (in Papierform) auf welche Weise und wie lange aufbewahrt werden müssen.

Werden diese Dokumente per E-Mail übermittelt (Angebote, Rechnungen, Lieferscheine, Bestellungen Mahnungen, Inventarlisten etc.) gilt z.B. § 147 AO bzw. analog § 257 HGB somit auch für E-Mails.

Je nach Branche und Geschäftsfeld kommen weitere Vorschriften hinzu, z.B. Produkthaftung, Nachweispflichten in Forschung und Entwicklung oder spezielle Vorschriften für Finanzdienstleistungen. Hier können externe Experten helfen, die jeweiligen Auflagen zu sammeln, die zu befolgenden Aufbewahrungspflichten und -fristen zusammenzustellen und daraus ein Anforderungsprofil zu entwickeln.

Eine Beantwortung folgender Fragestellungen bereitet den Weg durch das Minenfeld

• Was muss aufbewahrt werden? (rechtliche Rahmenbedingungen)
• Was darf aufbewahrt werden? (int. Anforderungen, Wissensarchiv etc.)
• Was muss nicht aufbewahrt werden? (Stichwort: SPAM)
• Was darf nicht aufbewahrt werden? (private E-Mails, Bewerbungen etc.)

Die gute Nachricht: Für (nahezu) jede Anforderung existiert eine technische Lösung.

Die schlechte: Nicht alles, was sich technisch umsetzen lässt, ist auch juristisch erlaubt bzw. betriebswirtschaftlich sinnvoll.

Punkt 2 und 3 beschäftigen sich ausschließlich mit der internen Nutzung und wirtschaftlichen Nutzenfaktoren eines elektronischen Archivs. Diese werden gleich im Bereich „Komfort-Level“ näher beleuchtet.

Die wichtigsten Aspekte sind der 1. und der 4. Punkt. Um diese Fragestellungen zu beantworten, kann man sich über zwei generische, für jedes Unternehmen geltende Auflagenbereiche annähern:

Handels- und Steuerrechtliche Auflagen u.a. aus:

• AO (Abgabenordnung)
• GoBS (Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme)
• GDPdU (Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen)
• HGB (Handelsgesetzbuch)
• UStG (Umsatzsteuergesetz)
• UStDV (Umsatzsteuerdurchführungsverordnung)
• Datenschutzrechtliche Auflagen u.a. aus:
• BDSG (Bundesdatenschutzgesetz)
• TKG (Telekommunikationsgesetz)
• TMG (Telemediengesetz) u.a.

In anderen Worten: Es gibt Vorschriften, nach denen bestimmte Dokumente eine bestimmte Zeit lang unverändert aufbewahrt werden müssen. Auf der anderen Seite ist eine generelle Aufbewahrung aller E-Mails aber weder wirtschaftlich sinnvoll noch rechtlich zulässig.

Die Kosten für Speicherung, Management und Wartungsverträge stellen dabei das kleinste Problem dar. Das Datenschutzrecht verbietet es schlichtweg, z.B. private E-Mails zu archivieren – es sei denn, die Nutzung von E-Mail und Internet für die Belegschaft wurde vertraglich geregelt.

Der Gesetzgeber regelt den Umgang mit privaten E-Mails im Unternehmen derzeit nicht generisch. Ein bewährter Weg ist, die Nutzung von E-Mail und Internet durch die MitarbeiterInnen unbedingt vor der Implementierung eines Archivs schriftlich zu regeln, z.B. bei kleineren Unternehmen einzelvertraglich, bei größeren durch eine Betriebs- oder Dienstvereinbarung. 

Dazu sollte aber die „betriebliche Übung“ beachtet werden, also der bisherige Umgang der Mitarbeiter mit Internet und E-Mail. Ein einfaches Verbot privater E-Mail- und Internetnutzung reicht definitiv nicht aus und lässt sich u.U. auch gar nicht durchsetzen.

Wenn die Privatnutzung im Unternehmen heute „üblich“ (also weder verboten noch irgendwie geregelt, demnach „geduldet“) ist, wird ein Verbot für die Zukunft sehr viel Unfrieden stiften, zumal es rechtlich nicht zulässig ist: Es verstößt gegen die „betriebliche Übung“. Erlaubt oder duldet der Arbeitgeber die Privatnutzung, „mutiert“ er zu einem „Telemediendienstanbieter“. Dann greifen TMG und TKG automatisch, was die Archivierungsmöglichkeiten sehr stark einschränkt bzw. in manchen Fällen sogar ohne entsprechende Anpassung der Arbeitsverträge fast unmöglich macht. Die Einrichtung einer „generischen“ E-Mail-Archivierung bietet also eine zu große juristische offene Flanke für das Unternehmen.

Verfügt das Unternehmen über eine Arbeitnehmervertretung und wird diese nicht (frühzeitig) in den Einführungsprozess eingebunden, droht weiteres Ungemach. Sie hat zwar per se kein direktes Mitbestimmungsrecht über die Einführungbzw. Anschaffung eines E-Mail-Archivs, kann aber bei der Ausprägung des Systems mitreden, denn je nach betrieblicher Situation können Arbeitnehmerrechte verletzt werden. Es gibt Fälle, bei denen der Betriebsrat einer nicht rechtssicheren Archivierung nach Einführung per Gerichtsbeschluss „den Stecker gezogen“ hat. Das ist nicht nur peinlich für die Geschäftsleitung; die notwendigen Anpassungen kosten auch zusätzliches Geld.

Besser ist es, eine Regelung zu treffen, die beiden Seiten gerecht wird: Beispielsweise könnte eine Privatnutzung in Web-Mailern erlaubt werden, im unternehmenseigenen Mailprogramm jedoch nicht. Somit können die Mitarbeiter/innen weiterhin private E-Mails schreiben und das Unternehmen kann seine rechtlichen Archivierungsauflagen einfacher und kostengünstiger erfüllen. Es könnten auch bestimmte Internetseiten gesperrt werden und eine Anweisung erfolgen, dass private E-Mails nicht mit der Firmensignatur verwendet werden dürfen. Die Problematik von ankommenden Privatmails löst dies allerdings nicht.

Sollte das Unternehmen jedoch schon in der „Duldung“ sein, kommt es auf die Bereitschaft der Mitarbeiter/innen an (bzw. des Betriebs- oder Personalrates), die Implementierung des Systems zu unterstützen, an. Spielen sie nicht mit, kann der Arbeitgeber von seinem Direktionsrecht keinen Gebrauch machen. Es gibt derzeit aber keine gesetzliche Verpflichtung, eine Privatnutzung zu ermöglichen.

Auch hierbei können externe Berater im Projekt vermitteln und eine für beide Seiten zufriedenstellende Lösung finden. Es gibt nämlich Technologieanbieter, die hier eine datenschutzrechtliche Konfiguration zulassen.

Zu den gesetzlichen Auflagen kommen auch unternehmensinterne Anforderungen hinzu. 

• Was soll in Form eines „Wissensarchivs“ aufbewahrt werden?
• Wie kann ein Archiv Informationen auch im Abwesenheitsfall für die Vertretung zugänglich machen? Und so weiter.

Bei richtiger Herangehensweise gehören vor allem versehentlich oder absichtlich gelöschte E-Mails plötzlich der Vergangenheit an. 

Somit ist die Dokumentationskette für jedes Unternehmen, ob klein oder groß, geschlossen, und es kann nichts mehr verloren gehen. Anders als beim Backup werden E-Mails in einem Archiv zudem sehr schnell gefunden.

Je nach eingesetzter Lösung kann eine gelöschte E-Mail über das Archiv erneut zugestellt werden. Den gleichen Vorteil nutzt die Vertreterregelung. 

Geht ein Mitarbeiter in den Urlaub und hat sein Laptop zuhause, die Chefin muss aber dringend eine Kundenanfrage beantworten, zu der es eine E-Mail auf dem „Urlaubs-Laptop“ gibt, muss sie nicht mehr auf die Rückkehr warten, sondern kann die entsprechende Information aus dem Archiv ziehen und sofort handeln.

Nachdem die oben genannten Fragestellungen geklärt und die exakten Anforderungen des Unternehmens festgelegt worden sind, können sie in einem so genannten Lastenheft dokumentiert werden. Dieser Begriff kommt aus dem Projekt-Management und beschreibt quasi die Anforderungen des Auftraggebers an das System. Je nach Größe des Projektes kann es aus wenigen DIN A4 Seiten bestehen oder auch ganze Ordner füllen.

Mit diesem Lastenheft [Fachkonzept] kann dann in einer Ausschreibung ein geeigneter Anbieter am Markt gefunden werden. Dieser schreibt das Gegenstück zum Lastenheft, nämlich das „Pflichtenheft“ [Technisches Konzept]. Bei Bedarf wird noch eine Testphase eingelegt, denn auch technische Anforderungen sind zu meistern. 

Durch die Kombination Lasten- und Pflichtenheft kann das Unternehmen die tatsächliche Umsetzung auf diese Weise genau kontrollieren. Dies ist vor allem deshalb wichtig, weil die (juristische) Verantwortung der Archivierung immer beim Auftraggeber verbleibt!

Und weil das so ist, eignet sich nicht jede Lösung für jedes Unternehmen. Es kann durchaus wirtschaftlicher sein, eine Online-Archivierung (Mieten von Postfächern) einem Kauf einer Inhouse-Lösung vorzuziehen, sofern beide alle Anforderungen erfüllen würden. Dabei sollte der Sicherheitsaspekt nicht vernachlässigt werden. Handelt es sich vorwiegend um sensible Daten, muss zwingend eine verschlüsselte Übertragung implementiert werden.

Mit dieser Vorgehensweise erhält das Unternehmen je nach Komplexität und Größe in wenigen Tagen bis einigen Monaten exakt die E-Mail-Archivierung, die zum Unternehmen, zur Unternehmenskultur, den Geschäftsprozessen und den greifenden gesetzlichen Rahmenbedingungen passt. Nur so wird das investierte Kapital sich auch recht schnell amortisieren bzw. seinen exakten Zweck erfüllen.

Auch wenn diese Vorgehensweise etwas komplexer anmutet als einfach „drauflos zu kaufen“, ist sie mittel- bis langfristig die einzige Lösung, wenn alle Aspekte berücksichtigt werden und keine (juristischen wie wirtschaftlichen) Lücken verbleiben sollen.