RECHTSGUTACHTEN
RECHTSGUTACHTEN
RECHTSGUTACHTEN
Erfolgreiche ePaper selbst erstellen
Machen Sie aus Ihren PDF Publikationen ein blätterbares Flipbook mit unserer einzigartigen Google optimierten e-Paper Software.
RECHTSGUTAC HTEN – Heinlein M ail -Archiv für E -Mails<br />
Die Heinlein Professional Linux Support GmbH, Schwedter Straße 8/9B, 10119 Berlin, hat<br />
unsere Kanzlei gebeten, ihr neu entwickeltes Heinlein Mail-Archiv rechtlich zu begutach-<br />
ten. Geprüft werden soll, ob u.a. die handelsrechtlichen als auch die steuerrechtlichen<br />
Vorgaben umgesetzt sind und mit der Nutzung des Heinlein Mail-Archivs der Anwender<br />
Rechtssicherheit mit Blick auf seine E-Mail-Archivierung hat.<br />
1. Rechtliche Anforderungen an die Archivierung von E-Mails<br />
Die Regelung und rechtlichen Vorgaben für die Archivierung von E-Mails finden sich<br />
in verschiedenen Gesetzesvorschriften. Diese sind vom Gesetzgeber teilweise nicht<br />
gut aufeinander abgestimmt, so dass es im Detail zu rechtlichen Unsicherheiten<br />
kommen kann. Zu beachten sind bei der Archivierung von E-Mails insbesondere das<br />
Handelsgesetzbuch (HGB), die Abgabenordnung (AO), aber auch das Bundesda-<br />
tenschutzgesetz (BDSG) sowie weitere Rechtsnormen.<br />
a) E-Mail-Archivierung nach dem HGB<br />
Das Handelsgesetzbuch kennt den Begriff „E-Mail“ direkt nicht. Im Handels-<br />
gesetzbuch wird nach wie vor von „Handelsbriefen“ gesprochen. Die gesetzli-<br />
chen Erwartungshaltungen sind zum einen in § 238 HGB mit dem Begriff<br />
„Buchführungspflicht“ überschrieben, zum anderen in § 257 HGB mit der<br />
Überschrift „Aufbewahrung von Unterlagen, Aufbewahrungsfristen“ benannt.<br />
In § 238 Abs. 2 HGB heißt es:<br />
Der Kaufmann ist verpflichtet, eine mit der Urschrift übereinstimmende<br />
Wiedergabe der abgesandten Handelsbriefe (Kopie, Abdruck,<br />
Abschrift oder sonstige Wiedergabe des Wortlauts auf einem<br />
Schrift-, Bild- oder anderen Datenträger) zurückzubehalten.<br />
Eine Definition für den Begriff „Handelsbrief“ hält das Gesetz in § 257 Abs. 2<br />
HGB bereit. Handelsbriefe sind nur Schriftstücke, die Geschäftsabschlüsse<br />
zwischen Kaufleuten, deren Durchführung und ggf. Rückabwicklung (im HGB<br />
„Handelsgeschäft“ genannt) betreffen.
Seite 2<br />
Mittlerweile steht außer Diskussion, dass Schriftstücke nicht nur Dokumente in<br />
Papierform sind. Da der Gesetzgeber bezüglich des Mediums im Handelsge-<br />
setzbuch nicht differenziert hat, gelten daher auch E-Mails als Schriftstücke.<br />
Soweit E-Mails ein Handelsgeschäft betreffen, sind diese dann Handelsbriefe.<br />
Hier schließt sich der Kreis mit Blick auf die abgesandten Handelsbriefe. Die<br />
Erwartungshaltung des Gesetzgebers, die sich in § 238 Abs. 2 HGB wider-<br />
spiegelt, verlangt nicht die Archivierung aller Schriftstücke, Mails oder sonsti-<br />
ger versandter Unterlagen, sondern fordert nur, dass rund um ein Handelsge-<br />
schäft alle Unterlagen archiviert werden.<br />
Ihre Unternehmensentscheidung<br />
Jedes Unternehmen muss entscheiden, ob eine Differenzierung bei den<br />
abgesandten Handelsbriefen erfolgt, oder ob alle ausgehende Post archi-<br />
viert wird. Für E-Mails bedeutet das, dass entweder alle ausgehenden E-<br />
Mails archiviert werden oder nur die E-Mails im Archiv gespeichert wer-<br />
den, die ein Handelsgeschäft betreffen. Soweit sich Unternehmen für eine<br />
differenzierte Lösung entscheiden, ist organisatorisch zu klären, wer über<br />
die jeweilige Archivierung entscheidet. Ist der jeweilige Sachbearbeiter<br />
und Versender allein berechtigt, über eine Klassifizierung als Handelsbrief<br />
zu entscheiden? Soll unternehmensintern eine Kontrolle installiert werden,<br />
ob die jeweilige Archivierung der ausgehenden Handelsbriefe entspre-<br />
chend den gesetzlichen Vorgaben erfolgt.<br />
Bezüglich der Eingangspost regelt § 257 Abs. 1 HGB die Anforderungen. Da-<br />
nach ist jeder Kaufmann verpflichtet, die empfangenen Handelsbriefe aufzu-<br />
bewahren. Hier kann wieder auf die obige Definition verwiesen werden, so<br />
dass nicht alle eingehende Post archiviert werden muss. Archivierungspflich-<br />
ten bestehen nur bei Dokumenten mit Bezug zu einem Handelsgeschäft.<br />
Für die E-Mail-Archivierung ergibt sich damit keine Anforderung, alle einge-<br />
henden E-Mails vollständig zu archivieren. Aus der Perspektive des Handels-<br />
gesetzbuches ist daher eine Spam-Filterung und ein Aussortieren der Werbe-<br />
Mails zulässig.<br />
/..
Seite 3<br />
Ihre Unternehmensentscheidung<br />
Bei den eingehenden Mails ist zu entscheiden, ob alle E-Mails, die das<br />
Unternehmen empfängt, archiviert werden. Soweit eine Kategorisierung<br />
der E-Mails erfolgt mit dem Ziel, möglichst nur die direkten Pflichten aus<br />
dem HGB umzusetzen, ist zum einen die Organisation dieser Kategorisie-<br />
rung schriftlich zu dokumentieren, zum anderen sollten die Entschei-<br />
dungswege klar strukturiert sein. Auch hier ist zu überlegen, inwieweit ei-<br />
ne regelmäßige Überprüfung stattfindet, dass die eingehenden E-Mails<br />
entsprechend den Anforderungen des § 257 Abs. 1 HGB behandelt wer-<br />
den.<br />
In § 257 Abs. 4 HGB sind auch die Aufbewahrungsfristen festgelegt. Für Han-<br />
delsbriefe fordert das Gesetz eine Aufbewahrung über einen Zeitraum von<br />
6 Jahren. Die Aufbewahrungsfrist beginnt mit dem Schluss des Kalenderjah-<br />
res, in dem der Handelsbrief und damit die E-Mail empfangen oder abgesandt<br />
worden sind (§ 257 Abs. 5 HGB).<br />
Zusammenfassung Anforderungen HGB<br />
Sowohl die eingehenden als auch die ausgehenden E-Mails sind aufzubewah-<br />
ren, soweit sie ein Handelsgeschäft betreffen. Die Aufbewahrungsfrist beträgt<br />
sechs Jahre.<br />
b) Steuerrechtliche Anforderungen<br />
Die Abgabenordnung enthält in § 147 AO eine Ordnungsvorschrift für die Auf-<br />
bewahrung von Unterlagen bereit. Zunächst wird auf die Regelungen im Han-<br />
delsgesetzbuch Bezug genommen. Empfangene Handels- und Geschäftsbrie-<br />
fe sowie die Wiedergabe der abgesandten Handels- und Geschäftsbriefe sind<br />
gem. § 147 Abs. 3 AO 6 Jahre aufzubewahren. Die Aufbewahrungsfrist be-<br />
ginnt auch hier mit dem Schluss des Kalenderjahres, in dem der Handels- und<br />
Geschäftsbrief empfangen oder abgesandt worden ist (§ 147 Abs. 4 AO).<br />
Auch gilt die Definition für Handelsbriefe, unter denen jedes Schreiben zu ver-<br />
stehen ist, welches „der Vorbereitung, den Abschluss, der Durchführung oder<br />
der Rückgängigmachung eines Geschäfts“ dient (vgl. Bonner Handbuch der<br />
Rechnungslegung, § 257 Rn. 34).<br />
/..
Seite 4<br />
Die reine Differenzierung von ein- und ausgehenden E-Mails als „Geschäfts-<br />
briefe“ ist in der Praxis allerdings nicht ausreichend. § 147 Abs. 3 AO verlangt<br />
für bestimmte Unterlagen eine 10-jährige Aufbewahrungsfrist. Diese betreffen<br />
u.a. Bücher und Aufzeichnungen, Inventare, Jahresabschlüsse, Lageberichte,<br />
die Eröffnungsbilanz sowie den zu ihrem Verständnis erforderlichen Arbeits-<br />
anweisungen und sonstige Organisationsunterlagen sowie Buchungsbelege.<br />
Daneben wird quasi als „Auffangregelung“ in § 147 Abs. 1 Nr. 5 AO festgelegt,<br />
dass auch alle sonstigen Unterlagen, soweit sie für die Besteuerung von Be-<br />
deutung sind, einer 6-jährigen Aufbewahrungsfrist unterliegen.<br />
Ihre Unternehmensentscheidung<br />
Es ist zu überlegen, ob tatsächlich zwischen einer 6-jährigen Aufbewah-<br />
rungspflicht nach HGB/AO und der 10-jährigen Aufbewahrungspflicht dif-<br />
ferenziert wird. Hier können sich schnell organisatorische Schwierigkeiten<br />
ergeben. Sollte mit unterschiedlichen Aufbewahrungspflichten gearbeitet<br />
werden, so ist das jeweilige steuerpflichtige Unternehmen gefordert, ent-<br />
sprechend den Vorgaben der Abgabenordnung die richtige Klassifizierung<br />
vorzunehmen.<br />
§ 147 Abs. 1 AO fordert eine „geordnete Aufbewahrung“. Bezüglich der Ord-<br />
nungsprinzipien hat sich der Gesetzgeber nicht weiter festgelegt. Insoweit ha-<br />
ben die Unternehmen, soweit nicht nachfolgende Regelungen detailliertere<br />
Anforderungen stellen, eine Organisationsfreiheit.<br />
c) Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen<br />
(GDBdU)<br />
§ 147 Abs. 6 AO öffnet den Finanzbehörden die Möglichkeit, beim steuer-<br />
pflichtigen Unternehmen eine elektronische Steuerprüfung vorzunehmen.<br />
Wörtlich heißt es in § 147 Abs. 6 AO:<br />
„Sind die Unterlagen nach Absatz 1 mit Hilfe eines Datenverarbeitungssystems<br />
erstellt worden, hat die Finanzbehörde im Rahmen<br />
einer Außenprüfung das Recht, Einsicht in die gespeicherten Daten<br />
zu nehmen und das Datenverarbeitungssystem zur Prüfung<br />
dieser Unterlagen zu nutzen. Sie kann im Rahmen einer Außenprüfung<br />
auch verlangen, dass die Daten nach ihren Vorgaben maschinell<br />
ausgewertet oder ihr die gespeicherten Unterlagen und<br />
/..
Seite 5<br />
Aufzeichnungen auf einem maschinell verwertbaren Datenträger<br />
zur Verfügung gestellt werden. Die Kosten trägt der Steuerpflichtige.“<br />
Auf Basis dieser Regelungen sowie weiterer Vorschriften der Abgabenord-<br />
nung wurden mit BMF-Schreiben vom 16. Juli 2001 (IVD2-S0316-136/01) die<br />
Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen<br />
(GDPdU) veröffentlicht. Diese neue Prüfungsmethode soll neben die Möglich-<br />
keit der herkömmlichen Prüfung treten. Ein Recht auf Datenzugriff steht den<br />
Finanzbehörden nur im Rahmen der steuerlichen Außenprüfung zu. Damit soll<br />
der sachliche Umfang der Außenprüfung (§ 194 AO) nicht erweitert werden.<br />
Gegenstand der Prüfung sind alle nach § 147 Abs. 1 AO aufbewahrungs-<br />
pflichtigen Unterlagen. Damit werden auch die ein- und ausgehenden E-Mails,<br />
die als Geschäftsbriefe deklariert sind, mit umfasst. Des Weiteren sind alle<br />
Unterlagen betroffen, die zu den „Büchern und Aufzeichnungen“ sowie den<br />
weiteren einer 10-jährigen Verjährungsfrist unterliegenden Dokumenten gehö-<br />
ren.<br />
Nach den Ausführungen der GDPdU soll sich das Recht auf Datenzugriff aus-<br />
schließlich auf die Daten beschränken, die für die Besteuerung von Bedeu-<br />
tung sind. Dazu gehören klassischerweise die Daten der Finanzbuchhaltung,<br />
der Anlagenbuchhaltung und der Lohnbuchhaltung.<br />
Mit Stand 22. Januar 2009 hat das Bundesfinanzministerium Fragen und Ant-<br />
worten zum Datenzugriffsrecht der Finanzverwaltung veröffentlicht. Frage 9<br />
befasst sich mit den Archivierungen von E-Mails. Die konkrete Frage lautet,<br />
unter welchen Voraussetzungen und in welchen Formaten müssen E-Mails<br />
archiviert oder für den Datenzugriff bereitgehalten werden.<br />
Bei den rechtlichen Betrachtungen ist es in diesem Zusammenhang gut, das<br />
Bundesfinanzministerium im Originalton zu Wort kommen zu lassen:<br />
E-Mails, die für die Besteuerung von Bedeutung sind, sind nach<br />
den allgemeinen Vorschriften des § 147 AO aufzubewahren. Eine<br />
(elektronisch übersandte) E-Mail stellt ein originär digitales Dokument<br />
dar, das für den Datenzugriff im Originalformat maschinell<br />
auswertbar vorgehalten werden muss. Dies gilt beispielsweise für<br />
eine per E-Mail übermittelte Reisekostenabrechnung in einem Tabellenkalkulationsformat.<br />
Nach den GoBS (Abschnitt VIII. ‚Wieder-<br />
/..
Seite 6<br />
gabe der auf Datenträgern geführten Unterlagen’) sind auch E-<br />
Mails als originär digitale Dokumente mit einem unveränderbaren<br />
Index zu versehen, unter dem das archivierte digitale Dokument<br />
bearbeitet und verwaltet werden kann.<br />
Hinsichtlich der maschinellen Auswertbarkeit ist jedoch nicht entscheidend,<br />
ob die per E-Mail übermittelten Daten automatisiert<br />
Eingang in das verwendete Buchhaltungssystem gefunden haben<br />
oder im betrieblichen DV-System Importfunktionen zur Übernahme<br />
von steuerlich relevanten Daten aus dem Textkörper von E-Mails<br />
oder angehängter Dateien vorhanden sind. Als Beispiel sei eine E-<br />
Mail aufgeführt, die steuerlich relevante Vertragsgestaltungen enthält.<br />
Über den nach GoBS geforderten Index ist der elektronische<br />
Zugriff auf die im Originalformat zu archivierende E-Mail auch in<br />
solchen Fällen sicherzustellen.<br />
E-Mails mit nicht steuerlich relevanten Inhalten müssen hingegen<br />
weder archiviert noch für den Datenzugriff vorgehalten werden.“<br />
Diese sehr umfassende Antwort zeigt auch die Komplexität rund um das<br />
Thema E-Mail-Archivierung aus steuerlicher Sicht auf. Zunächst ist festzuhal-<br />
ten, dass E-Mails mit nicht steuerlich relevanten Inhalten nach den Anforde-<br />
rungen der Steuergesetze keiner Archivierungspflicht unterliegen.<br />
Ihre Unternehmensentscheidung<br />
Wie bereits oben ausgeführt, ist im Rahmen der Unternehmensorganisa-<br />
tion zu entscheiden, ob eine Differenzierung zwischen E-Mails mit steuer-<br />
lich relevantem Inhalt und E-Mails mit nicht steuerlich relevantem Inhalt<br />
erfolgt. Dies zieht weitere organisatorische Entscheidungen nach sich.<br />
Soweit die Unternehmensentscheidung getroffen wird, alle ein- und aus-<br />
gehenden E-Mails zu archivieren, sind die rechtlichen Fragestellungen<br />
rund um das Thema „private E-Mails“ zu beachten, die unter Ziff. 1. lit. d)<br />
noch weiter dargestellt werden.<br />
Aus den oben zitierten Ausführungen des BMF lassen sich folgende Kern-<br />
punkte zur E-Mail-Archivierung herauslesen:<br />
- Ein originär digitales Dokument ist im Originalformat aufzubewahren.<br />
/..
Seite 7<br />
- Die digitalen Dokumente sind mit einem unveränderbaren Index zu<br />
versehen.<br />
- Die Art des Eingangs in das System, in dem die steuerlich relevanten<br />
Dokumente aufbewahrt werden, ist nicht von Bedeutung.<br />
Zu diesen Hauptaspekten nachfolgend noch einige weiterführende Informatio-<br />
nen:<br />
Aufbewahrung im Originalformat<br />
Aus der Aufbewahrungspflicht für digitale Dokumente im Originalformat lässt<br />
sich im Umkehrschluss nicht herleiten, dass alle eingehenden Unterlagen digi-<br />
talisiert werden müssen. Werden Unterlagen jedoch digitalisiert, besteht ein<br />
Zugriffsrecht der Finanzverwaltung auf die digitalisierten Unterlagen.<br />
Ihre Unternehmensentscheidung<br />
Da bei einer Digitalisierung die Finanzverwaltung Zugriff auf die digitali-<br />
sierten Unterlagen hat, ist zu entscheiden, ob den Finanzbehörden ein<br />
solch weitgehendes Zugriffsrecht gewährt werden soll.<br />
Originär digitale Unterlagen sind nach § 146 Abs. 5 AO auf maschinellen Da-<br />
tenträgern zu archivieren. Im Umkehrschluss heißt dies, dass originär digitale<br />
Unterlagen, wie E-Mails, nicht ausschließlich in ausgedruckter Form oder auf<br />
Mikrofilm aufbewahrt werden dürfen. Nicht ausreichend ist auch die aus-<br />
schließliche Archivierung in maschinell nicht auswertbaren Formaten, wie z.B.<br />
PDF-Dateien.<br />
Hier ist noch einmal der vielfach anzutreffenden Auffassung zu widerspre-<br />
chen, dass ein Ausdruck von E-Mails in Papierform und eine Archivierung in<br />
den Buchhaltungsunterlagen in Papierform nach den steuerlichen Vorgaben<br />
ausreichend ist. § 146 Abs. 5 AO spricht eindeutig dagegen.<br />
Dokumente mit unveränderbarem Index<br />
E-Mails als originär digitale Dokumente sollen mit einem unveränderbaren In-<br />
dex versehen werden. Damit soll die Bearbeitung und Verwaltung der archi-<br />
vierten digitalen Dokumente ermöglicht werden. Dabei wird auf die „Grundsät-<br />
/..
Seite 8<br />
ze ordnungsgemäß DV-gestützter Buchführungssysteme (GoBS)“ verwiesen.<br />
Basis ist ein Schreiben des Bundesministeriums der Finanzen an die obersten<br />
Finanzbehörden der Länder vom 07. November 1995 (IVA8-S0316-52/95-<br />
BStBl. 1995 I, S. 738). Mit Bezug auf § 146 Abs. 5 AO werden hier weiterge-<br />
hende Anforderungen präzisiert. Der Abschnitt VIII befasst sich mit der „Wie-<br />
dergabe der auf Datenträgern geführten Unterlagen“. Nach der GoBS soll bei<br />
original digitalen Dokumenten, wie E-Mails, hard- und softwaremäßig sicher-<br />
gestellt sein, dass während des Übertragungsvorgangs auf das Speicherme-<br />
dium eine Bearbeitung nicht möglich ist. Die Indexierung hat, wie bei gescann-<br />
ten Dokumenten, zu erfolgen. Bei den gescannten Dokumenten wird verlangt,<br />
dass das mittels Scannen entstandene digitale Dokument mit einem unverän-<br />
derbaren Index zu versehen ist. Anschließend soll das archivierte digitale Do-<br />
kument nur unter dem zugeteilten Index bearbeitet und verwaltet werden dür-<br />
fen. Die Bearbeitungsvorgänge sind zu protokollieren und mit dem Dokument<br />
zu speichern. Das bearbeitete Dokument ist als „Kopie“ zu kennzeichnen.<br />
Grundsätzlich verlangt die GoBS, dass originär digitale Dokumente durch<br />
Übertragung der Inhalts- und Formatierungsdaten auf einen digitalen Daten-<br />
träger archiviert werden. Darüber hinaus sollen die gespeicherten Daten wäh-<br />
rend der gesamten Aufbewahrungsfrist, im Zweifel 10 Jahre, jederzeit repro-<br />
duzierbar, d.h. lesbar, sein.<br />
Besonderheit: Rechnungen per E-Mail<br />
Eine Besonderheit hält § 14 Abs. 3 UStG für die auf elektronischem Weg<br />
übermittelten Rechnungen bereit. Die Echtheit der Herkunft und die Unver-<br />
sehrtheit des Inhalts sind zum einen durch eine besondere Signatur oder<br />
durch einen besonderen elektronischen Datenaustausch (EDI) sicherzustel-<br />
len. Bezüglich der Signatur wird entweder eine qualifizierte elektronische Sig-<br />
natur oder eine qualifizierten elektronische Signatur mit Anbieter-<br />
Akkreditierung nach dem Signaturgesetz vom 16. Mai 2001 in der jeweils gel-<br />
tenden Fassung erwartet. Anderenfalls ist ein Vorsteuerabzug nicht möglich.<br />
Bezüglich der E-Mail-Archivierung bedeutet dies, dass bei der Versendung<br />
von Rechnungen auf dem elektronischen Wege auch insoweit der Originalzu-<br />
stand des übermittelten, ggf. noch verschlüsselten Dokuments jederzeit über-<br />
prüfbar sein muss. Folgende Anforderungen bezüglich der elektronischen<br />
Rechnungen legt das Bundesfinanzministerium im Rahmen der GDPdU fest:<br />
/..
Seite 9<br />
- Vor der weiteren Verarbeitung ist die qualifizierte elektronische Signatur<br />
mit Blick auf die Integrität der Daten und der Signaturberechtigung<br />
zu prüfen. Das Ergebnis ist zu dokumentieren.<br />
- Die Speicherung der elektronischen Rechnung hat auf einem Datenträger<br />
zu erfolgen, der Änderungen nicht zulässt.<br />
- Der Signaturprüfschlüssel ist aufzubewahren.<br />
- Der Eingang der elektronischen Rechnung, ihre Archivierung und ggf.<br />
Konvertierung sowie die weiteren Verarbeitungen sind zu protokollieren.<br />
- Die Übertragungs-, Archivierungs- und Konvertierungssysteme müssen<br />
den Anforderungen der GoBS, insbesondere an die Dokumentation,<br />
an das interne Kontrollsystem, an das Sicherungskonzept sowie<br />
an die Aufbewahrung entsprechen.<br />
- Das qualifizierte Zertifikat des Empfängers ist aufzubewahren.<br />
Hier in der Beratungspraxis ist zu beobachten, dass die sehr umfänglichen<br />
Anforderungen mit Blick auf das Umsatzsteuergesetz in den Unternehmen<br />
nicht immer eingehalten werden. Hier droht allerdings der Verlust des Vor-<br />
steuerabzugs bezüglich dieser Rechnungen, wenn die Archivierung nicht den<br />
Vorgaben aus dem Umsatzsteuergesetz und der GoBS genügen.<br />
Ihre Unternehmensentscheidung<br />
Im Unternehmen ist zu entscheiden, ob grundsätzlich elektronische<br />
Rechnungen akzeptiert werden. Wenn dies der Fall sein soll, dann sind<br />
die oben beschriebenen organisatorischen Anforderungen einzuhalten.<br />
d) Weitere rechtliche Aspekte<br />
Neben den Anforderungen nach dem HGB und dem steuerrechtlichen Pflich-<br />
tenkatalog ergeben sich weitere Aspekte, soweit Unternehmen eine Komplett-<br />
Archivierung aller ein- und ausgehenden E-Mails anstreben. Hier sind insbe-<br />
sondere Unternehmen betroffen, die ihren Mitarbeitern eine private Nutzung<br />
des E-Mail-Systems ermöglichen. Eine umfassende Archivierung führt in der<br />
Praxis auch dazu, dass private ein- und ausgehende E-Mails der Mitarbeiter<br />
/..
Seite 10<br />
auch über einen Zeitraum von 6 oder 10 Jahren aufbewahrt werden. Häufig<br />
wird auf eine Trennung zwischen privaten Mails und Geschäftsbriefen verzich-<br />
tet, da solche Systeme zeitaufwendig und kostenintensiv sind. In solchen<br />
Konstellationen ist von den jeweiligen Mitarbeitern eine Einwilligung einzuho-<br />
len, dass auch die Archivierung der ein- und ausgehenden Privat-Mails erlaubt<br />
ist. Ohne eine solche Einwilligung werden datenschutzrechtliche Vorschriften<br />
sowohl nach dem Bundesdatenschutzgesetz als auch nach den telekommuni-<br />
kationsrechtlichen Datenschutzregelungen verletzt.<br />
Wenn in Unternehmen allerdings die private Nutzung des E-Mail-Systems un-<br />
tersagt ist, stellt sich diese Frage nicht. Dann wird unterstellt, dass alle ein-<br />
und ausgehenden Mails einen dienstlichen Bezug haben. Allerdings ist in der<br />
Praxis immer wieder zu beobachten, dass im Laufe der Zeit Verbote der Pri-<br />
vatnutzung missachtet werden und so eine „geduldete“ Privatnutzung ent-<br />
steht. Hier sollte rechtlich geprüft werden, ob eine solche „Duldung“ das Ver-<br />
bot der Privatnutzung außer Kraft setzt.<br />
Allerdings wird sich seitens eines Unternehmens nicht verhindern lassen, dass<br />
Mitarbeitern private E-Mails zugeschickt werden. Bisher wird aber in der juris-<br />
tischen Diskussion nicht davon ausgegangen, dass eingehende private Mails<br />
bei einem generellen Verbot der Privatnutzung die Archivierung ohne Einwilli-<br />
gung unzulässig machen.<br />
Ihre Unternehmensentscheidung<br />
Im Unternehmen ist festzulegen, ob eine private E-Mail-Nutzung erlaubt<br />
oder untersagt ist. Soweit die private E-Mail-Nutzung nur für Benutzer von<br />
externen Mail-Dienstleistern per Mailclient oder Webmailer erlaubt ist,<br />
sollten die Mails der externen Mail-Dienstleister auf technischer Ebene<br />
vollständig am Archivsystem vorbeigeleitet werden, da diese weder archi-<br />
viert werden müssen, noch dürfen. Bei einer Archivierung ist ansonsten<br />
eine Einwilligung der Mitarbeiter zu Speicherung notwendig.<br />
e) Unter welchen Voraussetzungen ist ein Archivsystem „GDPdU-<br />
konform“?<br />
In den vom Bundesfinanzministerium veröffentlichten Fragen und Antworten<br />
zum Datenzugriffsrecht der Finanzverwaltung (Stand 22. Januar 2009) wird<br />
/..
Seite 11<br />
auch die Frage aufgeworfen, unter welchen Voraussetzungen ein Archivsys-<br />
tem „GDPdU-konform“ ist.<br />
Wenn aus dem Archivsystem heraus der Datenzugriff für die Finanzverwal-<br />
tung erfolgen soll, gilt nach den Ausführungen des Bundesfinanzministeriums<br />
Folgendes:<br />
„Die nach § 147 Abs. 2 Nr. 2 AO geforderte ‚maschinelle Auswertbarkeit’<br />
von Daten ist durch ein Archivsystem nur sichergestellt<br />
bzw. gegeben, wenn das Archivsystem in quantitativer und qualitativer<br />
Hinsicht die gleichen Auswertungen ermöglicht als wären die<br />
Daten (einschl. Auswertungstools) noch im Produktivsystem. Für<br />
die Datenträgerüberlassung setzt dies auch voraus, dass die Daten<br />
mit den benötigten Strukturinformationen (s. Abschn. I Nr. 2 c<br />
der GDPdU) des spezifischen Buchhaltungssystems auf maschinell<br />
verwertbaren Datenträgern bereitgestellt werden können.“<br />
Der entscheidende Satz in den nicht gerade leicht verständlichen Ausführun-<br />
gen ist der Hinweis, dass der Zugriff auf die Mails wie im „Produktivsystem“<br />
möglich sein soll. Dies ist der Rahmen, an dem sich auch das Mail-Archiv<br />
messen lassen muss.<br />
/..
Seite 12<br />
2. Umsetzung im Heinlein Mail-Archiv<br />
Das Heinlein Mail-Archiv wurde von uns im Dezember 2009 geprüft. Dabei wird von<br />
folgenden Voraussetzungen ausgegangen:<br />
a) Technische Basis<br />
Basis der Revisionssicherheit des Heinlein Mail-Archivs ist die Fraunhofer-<br />
Entwicklung „Archisoft“, die seit Jahren im Dokumentenmanagement einge-<br />
setzt wird. Für Heinlein Mail-Archiv wurde Archisoft an E-Mails angepasst. Als<br />
Signatur-Modul garantiert sie die Revisionssicherheit der SQL-Datenbank und<br />
auch bei sich ändernden kryptographischen Verfahren. Daneben wird ein<br />
standardisiertes Datenformat in einer standardisierten Datenbank verwendet,<br />
das eine dauerhafte Nutzbarkeit garantieren soll. E-Mails werden von einem<br />
Mail-Archiv im Originalformat in SQL abgelegt. So sind diese auch noch nach<br />
10 Jahren sicher auswertbar.<br />
Das Archiv-System wird in den Unternehmen an zentraler Stelle platziert. Da-<br />
mit wird sichergestellt, dass alle relevanten E-Mails erfasst und archiviert wer-<br />
den. Als skalierbarer SMTP-Proxy ist ein Einsatz von Heinlein Mail-Archiv vor<br />
oder an beliebigen Mail-Servern möglich.<br />
Über flexible Filterregelungen lässt sich der zu archivierende Inhalt steuern.<br />
Damit sollen Spam- und irrelevante E-Mails gezielt von der Archivierung aus-<br />
geschlossen werden können.<br />
Da das Heinlein Mail-Archiv stets nach der Spam- und Virenfilterung im Mail-<br />
system des Kunden platziert werden soll, ist das Vorkommen von Spammails<br />
bereits sehr stark reduziert.<br />
Alternativ kann Heinlein Mail-Archiv um die Funktion von Heinlein Anti-Spam<br />
ergänzt werden, so dass die Lösung sowohl die Funktion des Antispam- sowie<br />
Antivirus-Gateways, als auch die der E-Mail-Archivierung übernehmen kann.<br />
Dadurch ist eine optimale Anordnung der Systemkomponenten gewährleistet.<br />
Für die nachgelagerte Bestimmung, welche E-Mails archiviert werden sollen,<br />
können Standardverhalten für Domains definiert werden. Zu diesen Standard-<br />
/..
Seite 13<br />
verhalten können Ausnahmen auf Basis der E-Mail-Adressen definiert werden.<br />
Detail dazu folgen im nächsten Abschnitt.<br />
b) Prüfungsverlauf<br />
Uns wurde unter einem gesonderten Zugang Zutritt zu dem Heinlein Mail-<br />
Archiv gewährt. Auf der Startseite werden unter der Überschrift „Übersicht“<br />
vier Rubriken eröffnet:<br />
– System<br />
– Monitoring<br />
– Domains<br />
– Mail-Archiv<br />
Die von uns getestete Beta-Version enthielt in dem Bereich „Mail-Archiv“ drei<br />
Test-Benutzer.<br />
Unter „Mail-Archiv“ hat der Administrator die Möglichkeit, Archivierungseinstel-<br />
lungen vorzunehmen. Dabei wird zwischen drei Rubriken unterschieden:<br />
– Kein Backup<br />
– Backup<br />
– Revisionssicher<br />
In der vorliegenden Test-Version wurde eine komplette Domain mit<br />
„example.com“ als revisionssicher eingestuft. Damit werden alle E-Mails, die<br />
bei der Domain example.com eingehen und von dieser Domain versandt wer-<br />
den, revisionssicher gespeichert.<br />
Davon ausgenommen wurde die E-Mail a.test@example.com. Für diese E-<br />
Mail-Adresse wurde vorgesehen, dass die ein- und ausgehenden Mails nicht<br />
revisionssicher abgespeichert werden, sondern nur ein Backup erstellt wird.<br />
Für die Domain support@example.com wurde des Weiteren definiert, dass<br />
hier kein Backup zu erstellen ist.<br />
Damit werden ein- und ausgehende Mails weder revisionssicher archiviert<br />
noch werden diese in einem Backup gespeichert.<br />
/..
Seite 14<br />
Das Programm bietet dann für die eingegangenen Mails unter der Rubrik<br />
„Ordner“ – „Posteingang“ eine Übersicht der eingegangenen E-Mails an. Die-<br />
se werden mit folgenden Informationen aufgelistet:<br />
– Absender<br />
– Betreff<br />
– Datum und Uhrzeit<br />
– Anlagen<br />
Daneben besteht die Möglichkeit, die Verifikationsergebnisse anzuzeigen. Im<br />
oberen Teil werden verschiedene Suchmöglichkeiten angeboten. Beispiels-<br />
weise kann der Betreff, der Absender, der Volltext oder der Anhang durch-<br />
sucht werden. Bei der erweiterten Suche gibt es darüber hinaus noch folgende<br />
Optionen:<br />
– Trifft auf alle Folgenden zu<br />
– Trifft auf eines der Folgenden zu<br />
Die Verifikationsergebnisse belegen, inwieweit, bezogen auf die jeweiligen E-<br />
Mail, eine Revisionssicherheit und Unveränderbarkeit gegeben ist. Dabei wird<br />
mit den Ampelfarben „Grün“, „Rot, „Gelb“ und „Grau“ gearbeitet. Die Ampel-<br />
farbe „Grau“ bedeutet, dass für die betreffende E-Mail kein Zeitstempel und<br />
keine Verifikation erfolgt sind. Es handelt sich hier um ein Objekt, dass nur im<br />
Backup vorhanden ist. Die Ampelfarbe „Grün“ bedeutet, dass die E-Mail un-<br />
verändert und revisionssicher abgespeichert wurde. Ein manipuliertes und<br />
verändertes elektronisches Dokument wird mit „Rot“ angezeigt. Mit „Gelb“ sind<br />
die elektronischen Dokumente gekennzeichnet, die noch keinen Zeitstempel<br />
erhalten haben. Die Kombination aus Zeitstempel und E-Mail-Inhalt ist die Ba-<br />
sis für die Werte, anhand derer dann die Revisionssicherheit geprüft wird.<br />
Für zwei E-Mails wurden beispielhaft die Verifikationsberichte ausgeworfen.<br />
Bei einer manipulierten E-Mail wies die dem Heinlein Mail-Archiv zugrunde<br />
liegende Software Archisoft unter der Überschrift „Dokumentengruppe“, dort<br />
„Dokument“, darauf hin, dass die im Dokument genannte Größe nicht in der<br />
archivierten E-Mail enthalten ist. Dies wird mit einem Rot unterlegten Andre-<br />
askreuz gekennzeichnet. Dagegen wird bei einem Verifikationsbericht einer<br />
nicht manipulierten E-Mail an gleicher Stelle ein blauer Haken gezeigt. Wie<br />
/..
Seite 15<br />
bereits oben ausgeführt, ist Basis der Revisionssicherheit die Kombination aus<br />
E-Mail-Inhalt und Zeitstempel in Form eines Hash-Algorithmus.<br />
An dieser Stelle ist darauf hinzuweisen, dass alle an einem Tag gespeicherten<br />
E-Mails nicht getrennt und einzeln mit einem Zeitstempel versehen werden,<br />
sondern einmal oder mehrmals pro Tag einen jeweils einheitlichen Zeitstem-<br />
pel erhalten. Daher ergibt sich auch der Hinweis mit der Ampelfarbe „Gelb“,<br />
der auf den noch fehlenden Zeitstempel hindeutet.<br />
Dies entspricht den unter Ziff. 1. beschriebenen rechtlichen Vorgaben. Der<br />
Gesetzgeber und auch das Bundesfinanzministerium haben nicht einen Zeit-<br />
rahmen festgelegt, innerhalb dessen eine ein- oder ausgehende E-Mail revisi-<br />
onssicher in das Archiv-System einzubringen ist.<br />
Dies wird auch durch die vom VOI-Verband Organisations- und Informations-<br />
systeme e.V. aufgestellten Merksätze zur revisionssicheren elektronischen<br />
Archivierung bestätigt. Diese Merksätze definieren die Anforderungen an die<br />
Ordnungsmäßigkeit beim Betrieb einer elektronischen Archiv-Lösung und be-<br />
rücksichtigen die in der GoBS und der GDPdU aufgestellten Grundsätze. Im<br />
Merksatz 3 heißt es:<br />
„Jedes Dokument ist zum organisatorisch frühestmöglichen Zeitpunkt<br />
zu archivieren.“<br />
Ausführend wird dann auf Folgendes hingewiesen:<br />
„Dieser Merksatz entspricht zum einen dem Prinzip der zeitnahen<br />
Verarbeitung und Ablage von Dokumenten. Zum anderen gewährleistet<br />
ein elektronisches Archivsystem die Vollständigkeit, Integrität<br />
und Verfügbarkeit der Dokumente in der Regel auf einem deutlich<br />
höheren Sicherheitsniveau im Vergleich zu anderen Prozessschritten<br />
der Dokumentenerfassung und -bearbeitung. Daher empfiehlt<br />
sich eine möglichst frühe Archivierung.“<br />
Sowohl bei den gesendeten als auch eingegangenen Mails lassen sich diese<br />
vollständig mit Absender oder Empfänger, dem Betreff, dem Inhalt und ggf.<br />
den Anhängen aufrufen.<br />
/..
Seite 16<br />
Mit dem vorliegend geprüften Programm Heinlein Mail-Archiv werden folgende<br />
weitere Merksätze des VOI zur revisionssicheren und elektronischen Archivie-<br />
rung eingehalten:<br />
- Jedes Dokument muss in angemessener Zeit wiedergefunden und<br />
reproduziert werden können.<br />
- Jede ändernde Aktion im elektronischen Archivsystem muss für Berechtigte<br />
nachvollziehbar protokolliert werden.<br />
Die Protokollierung konnte anhand zweier Beispiel-Mails nachvollzogen wer-<br />
den. Nachträgliche Änderungen waren erkennbar, so dass entsprechend den<br />
gesetzlichen Anforderungen Manipulationen sichtbar sind.<br />
Nach den uns von der Heinlein Professional Linux Support GmbH vorgelegten<br />
Informationen kann das technische Verfahren im Heinlein Mail-Archiv durch<br />
einen sachverständigen Dritten jederzeit geprüft werden. Sie ist vom jeweils<br />
das Heinlein Mail-Archiv einsetzende Unternehmen korrekt in dessen Organi-<br />
sations- und Netzwerkstruktur einzubinden.<br />
Weiterführende Informationen zu der Software Archisoft finden Sie unter:<br />
http://www.sit.fraunhofer.de/forschungsbereich/tad/archisoft.jsp<br />
http://esiqia.com/index.php?id=302&no_cache=1&sword_list[]=archisoft<br />
/..
Seite 17<br />
3. Ergebnis des Rechtsgutachtens<br />
Zusammenfassend ist festzustellen, dass mit dem Heinlein Mail-Archiv der Nutzer<br />
die technischen Voraussetzungen hat, um eine Mail-Archivierung entsprechend den<br />
handelsrechtlichen und steuerrechtlichen Vorgaben einzurichten. An dieser Stelle<br />
sei dem Unterzeichner eine nicht-juristische Anmerkung gestattet. Das Heinlein<br />
Mail-Archiv erscheint vom Handling und vom Aufbau sehr benutzerfreundlich und<br />
überzeugte den Unterzeichner durch leichte Bedienbarkeit.<br />
Allerdings darf an dieser Stelle noch einmal darauf hingewiesen werden, dass allein<br />
die technische Organisation der E-Mail-Archivierung nicht ausreichend ist, um allen<br />
rechtlichen Anforderungen Genüge zu tun. Daher soll abschließend auf die Merk-<br />
sätze des VOI zur revisionssicheren elektronischen Archivierung verwiesen werden,<br />
die unabhängig von der technischen Lösung mit dem Heinlein Mail-Archiv Anforde-<br />
rungen an die jeweiligen Unternehmen stellen, die E-Mail-Archivierung rechtssicher<br />
installieren möchten:<br />
- Die Archivierung hat vollständig zu erfolgen<br />
- kein Dokument darf auf dem Wege ins Archiv oder im Archiv selbst<br />
verloren gehen.<br />
Das Heinlein Mail-Archiv stellt sicher, dass im Archiv selbst kein Dokument verloren<br />
geht. Auf dem Weg ins Archiv ist vom jeweiligen Unternehmen sicherzustellen, dass<br />
kein Verlust eintritt.<br />
Das Heinlein Mail-Archiv arbeitet auf Basis von SMTP oder entsprechenden<br />
Journaling-Schnittstellen und wird idealerweise in den Mail-Strom zwischen<br />
Empfangsrelay und Mail- oder Groupwareserver platziert. Eine gescheiterte Speicherung<br />
führt dazu, dass keine E-Mails weitergeleitet werden, sondern sich diese<br />
vor dem Archiv stauen, bis eine Speicherung wieder erfolgen kann. Dadurch ist sichergestellt,<br />
dass keine E-Mail am Archiv vorbei verloren geht.<br />
- Jedes Dokument muss mit seinem Original übereinstimmen und unverändert<br />
archiviert werden.<br />
Auch hier bietet das Heinlein Mail-Archiv als technische Lösung die notwendige Basis, um<br />
darauf die organisatorischen Strukturen aufzubauen. Wichtig ist, dass im Unternehmen<br />
vor der Archivierung keine E-Mails verändert werden. Hier sollte auch im Einzelnen dokumentiert<br />
werden, wie die E-Mail-Archivierung organisiert ist. In der Dokumentation ist<br />
darzulegen, wie die ein- und ausgehenden E-Mails ohne Veränderung den Weg in das<br />
Heinlein Mail-Archiv finden.<br />
/..
Seite 18<br />
- Jedes Dokument darf nur von entsprechend berechtigten Benutzern<br />
eingesehen werden.<br />
Das Unternehmen, das das Heinlein Mail-Archiv einsetzt, muss ein entsprechendes Berechtigungskonzept<br />
erstellen, um diesen Merksatz einzuhalten.<br />
- Jedes Dokument darf frühestens nach Ablauf seiner Aufbewahrungsfrist<br />
vernichtet, d.h. aus dem Archiv gelöscht werden.<br />
Auch dieser Merksatz ist mit einem entsprechenden Organisationskonzept im Unternehmen<br />
zu hinterlegen und umzusetzen.<br />
- Bei allen Migrationen und Änderungen am Archiv-System muss die<br />
Einhaltung aller zuvor aufgeführten Grundsätze sichergestellt werden.<br />
-<br />
Sicherlich werden nicht über einen Zeitraum von 10 Jahren die jeweils eingesetzte Software<br />
und Hardware unverändert bleiben. Hier hat das Heinlein Mail-Archiv aufgrund der<br />
technischen Umsetzung eine gute Basis geschaffen, um auch die Langzeit-Archivierung<br />
rechtssicher zu ermöglichen. Insbesondere ist festzuhalten, dass die genutzte Software<br />
ArchiSoft in der Lage ist, die bei einer Langzeitarchivierung zwangsweise veraltenden<br />
Kryptographie-Mechanismen zu verwalten und revisionssicher durch jeweils aktuelle neue<br />
Mechanismen zu ersetzen.<br />
Auf Basis des Heinlein Mail-Archivs lässt sich daher mit den weiteren notwendigen orga-<br />
nisatorischen Maßnahmen eine rechtssichere E-Mail-Archivierung problemlos organisie-<br />
ren.