Digitale Archivierung – welche Vorgaben für Unternehmen gelten

Die Grundsätze der revisionssicheren Archivierung hat der Gesetzgeber in den GoBD festgelegt: den Grundsätzen zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff. Sie gelten seit dem 1. Januar 2015 und haben die früheren GDPdU und GoBS ersetzt. Die GoB gelten unabhängig davon weiter. Die folgenden zehn Merksätze stammen vom VOI, dem Verband Organisations- und Informationssysteme:

1. Jedes Dokument muss gemäß seiner gesetzlichen und betrieblichen Anforderungen aufbewahrt werden.
2. Es darf kein Dokument auf dem Weg ins Archiv oder im Archiv selbst verloren gehen.
3. Jedes Dokument muss unveränderbar archiviert werden.
4. Alle ändernden Aktionen im elektronischen Archivsystem müssen nachvollziehbar protokolliert werden.
5. Jedes Dokument muss eindeutig gefunden und reproduziert werden können.
6. Jedes Dokument muss zeitnah wiedergefunden werden können.
7. Jedes Dokument darf nur von berechtigten Benutzern eingesehen werden.
8. Jedes Dokument darf erst nach seiner Aufbewahrungsfrist vernichtet werden.
9. Die Anforderungen dieser Grundsätze müssen über technische Änderungen und Migrationen hinweg sichergestellt werden.
10. Die Erfüllung dieser Merksätze muss Dritten dargestellt werden können.

Quelle: VOI (Verband Organisations- und Informationssysteme)

Diese Merksätze sollten bei der Umsetzung der digitalen Archivierung in einem Unternehmen stets beachtet werden.

Die effektive Umsetzung der digitalen Archivierung ist ein zweiteiliger Prozess. Erstens die reine Daten­archivierung, bei der Informationen auf ein Speichermedium gezogen und "weggepackt" werden. Zweitens die Bereit­stellung der Daten, bei der die abgespeicherten Informationen ausgelesen und zu­gänglich gemacht werden.

Bei der digitalen Archivierung muss zwischen diesen beiden Arten unter­schieden werden:

Bei der reinen Datenarchivierung werden die Informationen ganz simpel auf ein Speichermedium gezogen und "weggepackt". Wer in Terabytes ein bestimmtes Dokument sucht, braucht Zeit. Stell dir vor, jemand ist neu im Unternehmen und sucht einen Prüfbericht aus dem Jahr 2018. Schnell wird klar, dass die reine Archivierung für Unternehmen keinen Sinn ergibt.

So geht’s richtig: agorum core pro wird so konfiguriert, dass die Ablagestrukturen den Prozessen in deinem Unternehmen folgen. Stell dir ein Gerüst vor, das unterschiedliche Etagen und Eingänge hat: Auf welchem Stockwerk liegt ein Prüfbericht, wo eine E-Mail? Bewerbungen nehmen einen anderen Eingang als Lieferscheine.

Für die Bereitstellung von Informationen müssen die Daten ausgelesen werden. Das passiert durch die OCR-Texterkennung. Die Daten durchlaufen eine Art Schleuse, die Inhalte scannt. Durchläuft der Prüfbericht aus 2018 die Texterkennung, weiß das System, wohin er gehört. Wer neu im Unternehmen ist, sucht dann nach „Prüfbericht 2018“ und wird fündig. Wie die Texterkennung im Einzelnen arbeitet, steht im Beitrag zur OCR-Engine.

Es gibt jedoch Ausnahmen bei der digitalen Archivierung, insbesondere im Umgang mit E-Mails.

Für private E-Mails von Beschäftigten und für Unterlagen aus Bewerbungsverfahren gelten eigene Regeln: Sie dürfen nicht archiviert werden.

Die KI-Business-Plattform agorum core pro bietet dafür einen sicheren Rahmen. Mit klaren Berechtigungsregeln und dem agorum core dataroom, in dem Unterlagen geschützt liegen, bleibst du im Einklang mit den gesetzlichen Anforderungen.

1. Private E-Mails von Mitarbeitern

Voller Stolz die Bilder von der Taufe an die Kollegin geschickt oder vielleicht weniger stolz den Steuerbescheid an den Ehemann. Wie E-Mails im System eines Unternehmens verarbeitet werden, regelt der Gesetzgeber ganz klar: Es dürfen keine privaten, personenbezogenen Daten verarbeitet und archiviert werden. Aber genau das passiert mit jedem Backup.

Deshalb sind Unternehmen gut beraten, wenn sie eine klare Linie fahren und es den Beschäftigten bereits im Arbeitsvertrag untersagen, private E-Mails zu senden und zu empfangen. Kommt es zu einem Streitfall, sind sie mit einer eindeutigen Regelung auf der sicheren Seite. Ganz wichtig: Den Beschäftigten sollte die Vorgehensweise mit Verweis auf die gesetzlichen Vorgaben erklärt werden, damit sie den Zusammenhang verstehen und es nicht als Schikane empfinden.

2. E-Mails, die Bewerbungsverfahren betreffen

Folgendes Szenario: Die Personalerin schickt per E-Mail Bewerbungs­unterlagen an den Kollegen aus dem Fachbereich. Der wiederum will sich mit einem weiteren Kollegen dazu abstimmen und schickt wiederum die Unterlagen via E-Mail an ihn. Vielleicht gibt es noch weitere Mitarbeiter, die per E-Mail dazu befragt werden. Defacto sind die sensiblen Bewerbungs­unterlagen in mehreren Postfächern und werden mit dem Backup gespeichert. Diese Vorgehensweise verstößt massiv gegen die gesetzlichen Vorgaben nach DSGVO, wonach personenbezogene Daten von Bewerbern wie beispiels­weise Name und Adresse nicht gespeichert werden dürfen. Bewerber haben, was ihre Daten angeht, ein "Recht auf Vergessenwerden".

Die Plattform agorum core pro bietet eine sichere Prozess­abbildung von Bewerbungen. Durch klare Berechtigungs­regeln und den agorum core dataroom, in dem Unterlagen wie in einem Tresor verwaltet werden, sind Unternehmen auf der gesetzes­konformen Seite.

Digitale Archivierung ist kein Projekt, das man einmal abschließt. Sie trägt dann, wenn Ablagestruktur, Texterkennung und Berechtigungen zusammenpassen – und wenn geregelt ist, was gar nicht ins Archiv gehört. Wer beides trennt, hält die Aufbewahrungspflichten ein und findet Unterlagen wieder, ohne zu suchen.