Archivfunktion des E-Mail-Programms nicht rechtssicher

PSW GROUP klärt über Irrtümer der E-Mail Archivierung auf und zeigt, wie es richtig geht Fulda – Vor allem aus steuerrechtlichen Gründen sind Unternehmen dazu verpflichtet, geschäftliche Korrespondenzen aufzubewahren: Das Finanzamt erhebt den Anspruch, auch nach Jahren nachvollziehen zu können, wie welche Geschäfte zustande kamen.

Bereits seit 2017 schreiben die GoBD, das HGB, die Abgabenordnung und das Umsatzsteuergesetz die Archivierung elektronischer Post vor. „Auch die Datenschutzgrundverordnung trägt ihren Teil zur Pflicht der E-Mail Archivierung bei. Denn sie fordert einen transparenten Umgang mit Daten. Eine strukturierte E-Mail-Archivierung trägt deshalb zur Gesamtstrategie im Unternehmen bei“, macht Patrycja Tulinska, Geschäftsführerin der PSW GROUP, aufmerksam.

Dabei müssen grundsätzlich jene E-Mails samt ihrer Anhänge archiviert werden, die für die Abwicklung eines Geschäfts relevant sind. Als geschäftlich relevant gelten sowohl E-Mails, die zu einem Geschäft geführt haben, etwa Anfragen, Auftragsbestätigungen, Lieferpapiere, Verträge, Zahlungsbelege und Rechnungen, als auch E-Mails, die Geschäfte aufgehoben oder vorbereitet haben. Dies können Reklamationsschreiben sein, Kontaktaufnahmen des Vertriebs mit potenziellen Kunden aber auch Auftragsänderungen. Die Grundsätze zur ordnungsgemäßen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff (GoBD) geben dabei vor, dass die Archivierung im Originalformat stattfinden muss. Ein Ausdruck wird als Kopie gewertet und ist nicht zulässig.

Rechtssicher archiviert sind E-Mails dann, wenn sie vollständig, jederzeit verfügbar, manipulationssicher sowie maschinell auswertbar aufbewahrt werden. Zudem muss eine zuverlässige Protokollierung sichergestellt sein, denn Nachvollziehbarkeit ist das Ziel jeder rechtssicheren E-Mail-Archivierung. „Handelsübliche E-Mail Clients werden diesen Ansprüchen aber in keinster Weise gerecht. Insbesondere nicht in dem Punkt der Unveränderbarkeit von Nachrichten. Deshalb ist eine dauerhafte Lösung anzustreben, mit der E-Mails sicher verwahrt werden können“, mahnt Tulinska. Irrtümer der E-Mail-Achrivierung Somit ist ein E-Mail-Archiv nicht dasselbe wie ein E-Mail-Backup: Mit Hilfe eines Backups werden Daten über einen bestimmten Zeitraum hinweg gesichert, um sie im Bedarfsfall wieder herstellen zu können. Es gewährleistet jedoch nicht die jederzeitige Verfüg- und Auffindbarkeit. E-Mail Archivierung hingegen stellt die Verfügbarkeit und Wiederauffindbarkeit über einen langen Zeitraum hinweg sicher. Hinzu kommt, dass E-Mails bei einem Backup gelöscht und sogar manipuliert werden können.

„Auch die Archivfunktion des E-Mail-Programms ist keine rechtssichere Archivierung, wie häufig angenommen wird. Der E-Mail Client dient lediglich dazu, Kopien der E-Mail in lokale Postfächer zu verteilen. Dabei ist weder Vertraulichkeit noch Integrität gewährleistet“, räumt Tulinska mit einem häufigen Irrtum über die E-Mail-Archivierung auf. Auch die Weiterleitung von E-Mails per CC an ein Archiv-Postfach ist keine Archivierung: Dieses Vorgehen ist nicht manipulationssicher: Das Finanzamt könnte nicht überprüfen, ob wirklich jede E-Mail an das zweite Postfach ging. Zudem könnten die E-Mails im zweiten Postfach manuell gelöscht werden. „Auch ein serverseitiges Backup der E-Mail Postfächer ist keine Archivierung. Es fehlt hier an Manipulationssicherheit und es besteht die Gefahr, dass Daten nicht immer verfügbar sind. Denn ein Serverumzug kann zum Verlust des Backups führen oder die technischen Anforderungen ändern sich, sodass Daten im Laufe der Zeit nicht mehr lesbar sein könnten“, ergänzt Tulinska.

Archivierung verschlüsselter E-Mails Auch verschlüsselte E-Mails müssen in der Form archiviert werden, wie sie empfangen oder versendet wurden: verschlüsselt. Das hat zur Folge, dass sie nicht für Jedermann lesbar sind, etwa wenn im Archiv nach einer bestimmten E-Mail gesucht wird. Deshalb müssen auch die Schlüssel aufbewahrt werden. Genau das kann zur echten Herausforderung werden – vor allem wenn auch der private Schlüssel des Empfängers aufbewahrt werden muss. Dieser ist vielleicht bis zum Ende der Aufbewahrungsfrist nicht mehr im Unternehmen oder hat sich zwischenzeitlich einen neuen Private Key generiert. „Eine Lösung wäre es, ein Private-Key-Management in das Archiv zu integrieren. Das erfordert jedoch aufwendige und kontinuierliche Pflege. Alternativ können E-Mails vor dem Verschlüsseln sowie nach dem Entschlüsseln ins Archiv aufgenommen werden. Bei serverseitiger Verschlüsselung ist das einfach, denn dann werden sie auf dem E-Mail-Server ver- sowie entschlüsselt“, rät Tulinska.

Datenschutz beachten Bei der E-Mail Archivierung ist immer auch der Datenschutz zu beachten. Einige E-Mails dürfen deshalb gar nicht oder nur eingeschränkt archiviert werden. Dazu gehört etwa die private E-Mail Kommunikation von Mitarbeitern, wenn sie erlaubt ist. Auch personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für die Erfüllung eines bestimmten Zwecks erforderlich ist. Einschlägig sind hier die Betroffenenrechte der DSGVO, die Unternehmen dazu verpflichten, auf Nachfrage Auskunft über sämtliche gespeicherte persönliche Daten zu geben und diese zu löschen. „Eine gute Software zur E-Mail Archivierung hilft in diesem Zusammenhang, E-Mails und Anhänge komfortabel zu durchsuchen und Daten zu exportieren“, gibt sie einen Tipp.

Archivierungs- und Aufbewahrungsfristen Laut HGB und AO müssen per E-Mail gesendete Handelsbriefe sechs Jahre aufbewahrt werden. Die Frist beginnt mit dem Ende des Kalenderjahres, in dem die E-Mail empfangen oder gesendet wurde. „Wer 2019, egal ob im Februar oder November, einen Handelsbrief per E-Mail versendet, muss diese und alle mit ihr zusammenhängenden E-Mails und Anhänge sechs Jahre, zum 31. Dezember 2025, aufbewahren. Enthalten die E-Mails Organisationsunterlagen wie Rechnungen, Jahresabschlüsse, Buchungsbelege, Lageberichte oder Bilanzen gilt sogar eine Aufbewahrungsfrist von 10 Jahren“, verdeutlicht Patrycja Tulinska.

www.psw-group.de