Source: http://contact-center-portal.de/content/archivierung
Timestamp: 2017-06-29 00:20:32+00:00

Document:
Archivierung | Contact-Center-Network e.V. Direkt zum Inhalt
Weiterhin verlangt die Norm, dass Aufbewahrungsfristen für die Dokumententypen definiert werden und bestimmt wird, wer über welche Dokumente verfügen kann.Wirksames Qualitätsmanagement verlangt zugleich aber auch ein funktionierendes Risikomanagement.
Studien belegen, dass bereits ein zehntägiger Ausfall von IT-Schlüsselsystemen ein Unternehmen so nachhaltig schädigt, dass es mit einer Wahrscheinlichkeit von 50 Prozent innerhalb der nächsten fünf Jahre vom Markt verschwindet. Aus dieser Erkenntnis heraus entstand auf nationaler wie internationaler Ebene die Verpflichtung zu einem effektiven Risiko- und Informationsmanagementsystem (RMS).Das Vorhandensein eines solchen RMS einschließlich interner Kontrollsysteme (IKS) ist folgerichtig dann auch der zentrale Bestandteil aller nationalen und internationalen „Compliance-Gesetze“, beispielsweise in Bezug auf das Bundesdatenschutzgesetz (BDSG) oder auch „Euro-SOX“ (in Anlehnung an das US-Vorbild „SOX“).EU-weit sind via Euro-SOX verschärfte Regelungen in Bezug auf die Dokumentation auf die IT- und TK-Infrastruktur aufgestellt. Insbesondere muss die IT dafür sorgen, dass alle relevanten Daten erfasst und jederzeit verfügbar sind und dass alle abschlussnahen Prozesse lückenlos nachvollziehbar dokumentiert sind.Bei unzureichendem RMS und IKS kann im Schadensfalle das Management persönlich in die Haftung genommen werden, der Prüfer das Bilanztestat verweigern, und es zu Nachteilen in Ratings, zum Beispiel nach den Basel II-Kriterien oder beim Abschluss von Versicherungen, kommen.Zu beachten ist ebenfalls das Bilanzrechtsmodernisierungsgesetz( BilMoG). Die Vorschrift verpflichtet dazu, die wesentlichen Merkmale des vorhandenen internen Kontroll- und Risikomanagementsystems nachzuweisen. Das Maß an Beschreibungen ist von den individuellen Gegebenheiten eines jeden Unternehmens abhängig. Es muss aber so ausgestattet sein, dass die Abschlussadressaten sich ein Bild von den wesentlichen Merkmalen des IKS und internen RSM machen können. Besteht kein internes IKS und RSM, ist dies anzugeben. Ist vergleichbare Effektivität nicht gegeben, liegt im Schadensfall eine Sorgfaltspflichtverletzung durch die Geschäftsführungsorgane mit entsprechender Haftung und relevanter Höhe möglichweise nahe.Letztlich „muss“ - um ein Schlagwort zu benutzen „revisionssicher archiviert werden“. Doch welche Probleme verbergen sich hinter der erst einmal nichtssagenden Formulierung?
Bei der Archivierung von Daten im Unternehmen wie unter anderem der Geschäftskorrespondenz lauert eine Vielzahl Fallen und Problemen. Denn bei der Dokumentation steckt der Teufel im Detail. So sind Dokumente in Print-Archiven so aufzubewahren, dass sie innerhalb der gesetzlich vorgeschriebenen Aufbewahrungspflichten lesbar bleiben und nicht verloren gehen können. Das gleiche gilt für Unterlagen, die im Unternehmensinteresse wichtig sind.Um Revisionssicherheit – oder genauer die revisionssichere Archivierung elektronischer Archivsysteme – zu gewährleisten, gilt es zahlreiche Gesetze zu berücksichtigen. DieseGesetzesvorgaben sollen sicherstellen, dass keine Daten verloren gehen und keine Daten nachträglich verändert werden können. Sollte dies trotzdem aus irgendwelchen Gründen geschehen, muss es möglich sein, Datenveränderungen wieder rückgängig zu machen.Der hehre Anspruch einer revisionssicheren Archivierung lautet demnach: Niemandem – wie beispielsweise auch System-Administratoren, Geschäftsführern sowie externen Dritten wie Hackern – soll es möglich sein, Unternehmensdaten zu manipulieren. Ansonsten drohen massive Strafen.Der Verband Organisations- und Informationssysteme hat dazu folgende Grundsätze zur Revisionssicherheit von elektronischen Archiven definiert, die sich an den Vorgaben der „Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen“ (GDPdU) orientieren.
Wer als Unternehmer bei Beschwerden, Datenmissbrauch oder -diebstahl gegenüber Aufsichtsbehörden und vor Gericht auf der sicheren Seite sein will, muss nachweisen, dass er alle Gesetze berücksichtigt hat.Das Problem: Ein eigenes Gesetz, das zum Beispiel alle Verpflichtungen zur Archivierung digitaler Speicherung, so auch von E-Mails, zusammenfasst, gibt es nicht. Stattdessen finden sich vereinzelte Regelungen an unterschiedlichsten Stellen wie beispielsweise• der Abgabenordnung (AO)• dem Handelsgesetzbuch (HGB)• den Grundsätze ordnungsgemäßer Buchführung (GoBS)• dem Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen (GDPdU)• dem Gesetz zur Kontrolle und Transparenz im Geschäftsverkehr (KonTraG)• dem Wertpapierhandelsgesetz (WpHG)• dem Bundesdatenschutzgesetz (BDSG)• dem Telekommunikationsgesetz (TKG)• dem Aktiengesetz (AktG)• dem GmbH-Gesetz (GmbHG)• dem Strafgesetzbuch (StGB) und• den Vorschriften nach Basel II und Basel III
Datenart Löschfrist (Norm) Beitragsabrechnungsunterlagen Bis zum Ablauf des auf die letzte Prüfung folgenden Kalenderjahres (jedoch nicht mehr als 3 Jahre), § 28f Abs. 1 SGB IV.
Berufsgenossenschaftsunterlagen Zum Ablauf des auf die letzte Prüfung folgenden Kalenderjahres, § 28f Abs. 1 SGB IV.
Fahrtkostenerstattung Bis zum Ablauf des 6. Kalenderjahres, das auf die zuletzt eingetragene Lohnzahlung erfolgt, § 41 Abs. 1 Satz 9 EStG i.V.m. Lohnsteuer-Richtlinie 2008, Abschnitt 38.1
Jubiläumszuwendungen bis zum Ablauf des 6. Kalenderjahres, auf das die zuletzt eingetragene Zahlung erfolgt, §§ 39b Abs. 6, 41 Abs. 1 Satz 9 EStG i.V.m. Richtlinie des BMF, GZ . BMF-010222/0157-VI/7/2008 vom 04.07.2008
Kirchensteuer 6 Jahre mit dem Lohnkonto, LStDV § 4 Abs. 2 Nr. 8 i.V.m. § 41 Abs. 1 Satz 9 EStG
Lohnberechnungsunterlagen, mit Bedeutung für die Besteuerung 6 Jahre; Lohnkosten bis zum Ende des sechsten Jahres, das auf die zuletzt eingetragene Lohnzahlung folgt, § 147 Abs. 3 Var. 2 AO.
Lohnkonten bei Vergabe eines Arbeitgeberdarlehens Bis zum Ablauf des 6. Kalenderjahres, das auf die zuletzt eingetragene Lohnzahlung erfolgt, § 41 Abs. 1 Satz 9 EStG i.V.m. BMF GZ IV C 5 - S 2334/07/0009, 2008/0537560
Quittungsbelege über Zahlungen von Arbeitslohn Sechs Jahre, § 257 Abs. 4 Var. 2 HGB.
Unterlagen zur betrieblichen Altersversorgung Sechs Jahre, § 11 Abs. 2 S. 2 BetrAVG.
Bei der Archivierung gilt grundsätzlich: Steuerrelevante E-Mails sind unabhängig vom Tätigkeitsgebiet und der Rechtsform des Unternehmens gemäß gesetzlicher Aufbewahrungspflicht zu speichern. Zu diesen E-Mails zählen beispielsweise Rechnungen, Handelsbriefe, Buchungsanweisungen oder vertraglich relevante Bestätigungen und Zusagen.Daneben gibt es Aufbewahrungspflichten für geschäftliche Korrespondenz:
Wenn Daten vor der endgültigen Löschung oder Sperrung elektronisch über viele Jahre aufbewahrt werden müssen, darf die Speicherung nicht an technischen Problemen scheitern. Dateien mit einem veralteten Format eines vom Markt verschwundenen Anbieters sind in aller Regel nicht mehr lesbar. Deshalb sollte eine Lösung für ein Langzeitarchiv nicht nur darin bestehen, die Dateien in ihrem Originalformat zu speichern, sondern auch darin, die Dateien zusätzlich in einem anerkannten Archivformat wie PDF/A (ISO 19005-1).Ist das ursprüngliche Format nicht mehr lesbar, lässt sich zumindest das Archivformat noch öffnen.Damit die Beweiskraft dabei erhalten bleibt, muss jedoch bei der Konvertierung sichergestellt werden, dass die Daten in den verschiedenen Dateiformaten identisch sind und der ursprüngliche Zeitstempel für die Dateien erhalten bleibt.Ebenfalls gerne übersehen wird, dass nicht jedes Speichermedium für die Langzeitarchivierung geeignet ist. So machen nicht nur der mögliche Verlust und die denkbar einfache mechanische Zerstörung vieler USB-Sticks ein solches Medium nur als Kurzzeit-Speicher geeignet.Und nicht zuletzt spielt der Ort der Aufbewahrung der Archivmedien eine Rolle. Dabei geht es nicht nur um den erforderlichen Zugriffsschutz für Archivdaten, sondern auch um physikalische Einflüsse auf die Archivmedien wie
Zu prüfen Welche Daten im Unternehmen unterliegen einer Aufbewahrungspflicht?
Werden die Datenträger entsprechend möglicher Umwelteinflüsse wie Temperatur und Feuchtigkeit gelagert? Wann Daten gelöscht oder gesperrt werden müssen
Nach Ablauf der jeweiligen Aufbewahrungsfristen greift die Verpflichtung zur Löschung oder Sperrung der personenbezogenen Daten nach dem Bundesdatenschutzgesetz (§ 35 Abs. 2 Nr. 3 und 4 BDSG). Personenbezogene Daten müssen gelöscht werden, wenn sie für den Zweck ihrer Erhebung nicht mehr erforderlich sind und gesetzliche Aufbewahrungspflichten einer Löschung nicht widersprechen.Bestehen Aufbewahrungspflichten, so tritt eine Sperrung an die Stelle der Löschung der Daten. Zudem werden die Daten auch dann gesperrt und nicht gelöscht, wenn die Löschung schutzwürdige Interessen der Betroffenen beeinträchtigen würde oder wegen der besonderen Art der Speicherung nicht oder nur mit unverhältnismäßig hohen Aufwand möglich wäre.Das Problem: Oft geben Unternehmen keine genauen Löschfristen an. Viele Betriebe beschränken sich auf die Aussage, eine Löschung der Daten vornehmen zu wollen, sobald die Daten für die Erfüllung des Zwecks ihrer Erhebung nicht mehr erforderlich sind.Ohne konkrete Termine für die Datenlöschung aber ist Überwachung unmöglich. Ein solches Vorgehen ähnelt einem Projektplan, der keine Termine nennt. Ein sinnvolles Projektcontrolling ist dann ebenso wenig möglich wie eine Prüfung, ob die Fristen für die Datenlöschung entsprechend den Datenschutzvorgaben wirklich eingehalten werden. Esmuss also zunächst eine Festlegung der Löschfristen her. Ein Unternehmen braucht also nicht nur ein Archivierungskonzept, sondern auch ein Löschkonzept.Wichtig: Löschfristen sind vom Unternehmen jeweils selbst zu definieren. Denn während sich die Aufbewahrungsfristen recherchieren lassen, gibt es abgesehen von einigen branchenspezifischen Datenschutzregelungen keine konkreten Löschfristen. So muss die verantwortliche Stelle im Unternehmen – also die Geschäftsführung - bestimmte Fristen für die Löschung festlegen. In der Praxis fällt dies der Unternehmensleitung oft nicht leicht. Gründe dafür sind meist:
Gelten einerseits Aufbewahrungsfristen und bei personenbezogenen Daten Vorschriften zur Löschung, ist es andererseits auch eine zentrale Hauptaufgabe der Archivierung, die nachhaltige Verfügbarkeit von unternehmensindividuellem Wissen und Knowhow sicher zustellen. Indem beispielsweise die Ergebnisse früherer Entwicklungen, Forschungen, Tests, Recherchen, Analysen sowie Projektdokumentationen erhalten bleiben und schnell auffindbar gemacht werden, können teure Doppeltentwicklungen vermieden bzw. der Entwicklungsaufwand durch die Wiederverwertung vorhandenen Wissens reduziert werden.Die damit verbundenen Kostenvorteile können schnell zu Wettbewerbsvorteilen führenEin funktionierendes Archivsystem in Verbindung mit geeigneten Archivierungs- und Dokumentationsrichtlinien ermöglicht es zudem, Informationen auch anderen Abteilungen, Zweigstellen oder Tochterunternehmen zur Verfügung zu stellen und sie dort nutzbar zu machen. Diese Vorgehensweise beugt auch dem Wissensschwund durch Mitarbeiterfluktuation vor.Wie wichtig ein durchstrukturiertes Archivsystem zum Wissens- und Knowhow-Erhalt ist, zeigt sich beispielsweise, wenn ein wichtiger Mitarbeiter die Firma verlässt, er zwar Aktenordner oder Festplatten voll mit Dateien hinterlässt, der Inhalt aber schlecht strukturiert ist und nur unter hohem Zeitaufwand wieder nutzbar gemacht werden kann. Zudem muss gesichert sein, dass vorhandenes Wissen bei einer Mitarbeiterfluktuation nicht kopiert und mitgenommen werden kann.
Zum Schluss noch ein weiterer wichtiger Hinweis: Um sicher zu gehen, dass nur denjenigen Personen und Abteilungen Daten zugänglich sind, die diese im berechtigten Interesse des Unternehmens lesen und nutzen dürfen, sind entsprechende Schutz und Selektionssysteme zu etablieren. Darüber hinaus empfiehlt es sich, für das Unternehmens-Knowhow wichtige Daten besondere schriftlichen Geheimhaltungsverpflichtungen zu vereinbaren.Um insbesondere den Schutz personenbezogener Daten nach dem Bundesdatenschutzgesetz (BDSG) zu gewährleisten, sind - z.B. Daten von Testern und anderen Teilnehmern nach Projektbeendigung soweit verzichtbar zu pseudonymisieren.

References: § 28
 § 28
 § 41
 § 4
 § 41
 § 147
 § 41
 § 257
 § 11