Rechte, Pflichte & Anforderungen

Wer trägt die Verantwortung?

Die Verantwortung für die ordnungsgemäße Umsetzung der rechtlichen Anforderungen zur Aufbewahrung von E-Mails liegt bei der Geschäftsführung eines Unternehmens. Kommt diese ihrer Pflicht nicht nach, drohen in schweren Fällen sogar Freiheitsstrafen.

Welche Anforderungen werden an eine revisionssichere E-Mail-Archivierung gestellt?

Grundsätzlich müssen alle relevanten E-Mails und deren Dateianhänge vollständig, manipulationssicher und jederzeit verfügbar aufbewahrt werden. Weiterhin müssen die Daten maschinell auswertbar sein. Eine alleinige Aufzeichnung auf Mikrofilm oder Papier ist nicht ausreichend.

Einen allgemeinen Leitfaden stellen die Merksätze des Verbandes Organisations- und Informationssysteme e.V. zur revisionssicheren elektronischen Archivierung dar:

• Jedes Dokument muss nach Maßgabe der rechtlichen und organisationsinternen Anforderungen ordnungsgemäß aufbewahrt werden.
• Die Archivierung hat vollständig zu erfolgen – kein Dokument darf auf dem Weg ins Archiv oder im Archiv selbst verloren gehen.
• Jedes Dokument ist zum organisatorisch frühestmöglichen Zeitpunkt zu archivieren.
• Jedes Dokument muss mit seinem Original übereinstimmen und unveränderbar archiviert werden.
• Jedes Dokument darf nur von entsprechend berechtigten Benutzern eingesehen werden.
• Jedes Dokument muss in angemessener Zeit wiedergefunden und reproduziert werden können.
• Jedes Dokument darf frühestens nach Ablauf seiner Aufbewahrungsfrist vernichtet, d.h. aus dem Archiv gelöscht werden.
• Jede ändernde Aktion im elektronischen Archivsystem muss für Berechtigte nachvollziehbar protokolliert werden.
• Das gesamte organisatorische und technische Verfahren der Archivierung kann von einem Sachverständigen Dritten jederzeit geprüft werden.
• Bei allen Migrationen und Änderungen am Archivsystem muss die Einhaltung aller zuvor aufgeführten Grundsätze sichergestellt sein.

Eine naheliegende Methode zur Archivierung von E-Mails ist die automatische Archivierung aller E-Mails sofort bei Ein- und Ausgang. Auf diese Weise kann sichergestellt werden, dass eine vollständige Archivierung erfolgt. Weiterhin birgt diese Methode den Vorteil, dass die E-Mails vor der Archivierung nicht durch den Empfänger manipuliert werden können.

Das Problem

Ist den Mitarbeitern die private Nutzung von E-Mail gestattet, so handelt das Unternehmen als ein geschäftsmäßiger Anbieter von Telekommunikationsdiensten und unterliegt somit den Anforderungen aus dem Bundesdatenschutzgesetz (BDSG) und dem Telekommunikationsgesetz (TKG), die mit der zentralen und automatischen Archivierung aller E-Mails in Konflikt stehen. Dies zu ignorieren kann mit empfindlichen Strafen geahndet werden.

Lösung

Zur Lösung dieses Problems können Unternehmen die private E-Mail-Nutzung untersagen oder die ausschließliche Nutzung externer Dienste für die private E-Mail-Kommunikation vorschreiben.

Die Spam-Filterung vor der Archivierung birgt grundsätzlich das Risiko, dass archivierungspflichtige E-Mails nicht durch den Spam-Filter und somit auch nicht in das Archiv gelangen. Die Archivierung wäre somit nicht vollständig und streng genommen auch nicht rechtssicher. In der Praxis bestehen dazu drei Handlungsmöglichkeiten:

1. Es wird auf die Spam-Filterung vor der Archivierung verzichtet

• Vorteil: Vollständigkeit der Archivierung ist sichergestellt
• Nachteil: hoher Speicherbedarf durch das extreme hohe (da ungefilterte) E-Mail-Volumen den Speicherbedarf des Archivs stark erhöht. Zudem nimmt die Qualität der Suchergebnisse bei der Archivsuche durch den hohen Spam-Anteil deutlich ab.

2. Empfangene E-Mails werden von einer Anti-Spam-Lösung gefiltert und danach archiviert

• Vorteil: Speicherbedarf des Archivs wird deutlich verringert und die Qualität der Suchabfragen erhöht
• Nachteil: eine vollständige Archivierung aller relevanten E-Mails kann nicht zu 100% sichergestellt werden. Diese E-Mails können fälschlicherweise vom Spam-Filter abgewiesen werden. Das Verfahren geht demnach mit einem gewissen rechtlichen Risiko einher.

3. Als Spam identifizierte E-Mails werden von einer Anti-Spam-Lösung noch vor Annahme durch den eigenen E-Mail-Server abgewiesen

• Vorteil: Solange als Spam identifizierte E-Mails nicht angenommen werden, besteht auch keine Pflicht zur Verarbeitung oder zur Archivierung dieser E-Mails. Technisch gesehen darf die Annahme der E-Mail nicht mittels Statuscode 250 vom SMTP-Server „quittiert“ werden. In diesem Fall ist nicht der eigene, sondern der zustellende E-Mail-Server für die Versendung des NDR (Non-Delivery Reports) an den Absender verantwortlich.
• Nachteil: keine