Ein Archivierungskonzept besteht nicht nur aus einer technischen und organisatorischen, sondern auch aus einer rechtlichen Komponente. Es muss sichergestellt werden, dass die gesetzlich vorgeschriebenen Aufbewahrungsfristen von Dokumenten eingehalten werden und eine Konformität mit den relevanten Rechtsvorschriften erreicht wird. Häufig wird die Revisionssicherheit der Archivierung eingefordert.
Damit ist aber die Rechtssicherheit nicht zwingend gegeben. Revisionssicherheit ist gewährleistet, wenn alle gesetzlichen Vorschriften bezogen auf die Aufbewahrung von Informationen aus dem Finanzrecht eingehalten werden. Das Recht besteht aber nicht nur aus finanzrechtlichen Vorschriften. Zu denken ist etwa an den Datenschutz oder auch an vertragliche Regelungen. Für die rechtssichere Archivierung ist eine vorgeschaltete Analyse der im jeweiligen Einzelfall rechtlich relevanten Vorschriften daher unumgänglich.
Ein Archivsystem arbeitet dann revisionssicher, wenn vom Eingang eines Dokuments in das Archiv über den Transport bis hin zur endgültigen Speicherung und darüber hinaus sichergestellt ist, dass das Dokument weder verloren gehen kann, noch verändert wird. Ob ein Gesamtsystem, bestehend aus Client, Server, Betriebssystem und Datensicherung, revisionssicher ist, hängt unter anderem von der Installation und der Administration im laufenden Betrieb ab. Revisionssichere Archivierung ist somit ein wesentlicher Bestandteil für die Compliance von Informationssystemen.
Revisionssicher ist aber eben nicht zwangsläufig gleich rechtssicher. Die revisionssichere ist lediglich ein Bestandteil der rechtsicheren Archivierung. Die revisionssichere Archivierung orientiert sich vornehmlich an den Vorschriften des Handels- und Steuerrechts, die rechtssichere greift alle relevanten Vorschriften auf. Wünschenswert ist somit eine rechtsichere und nicht nur eine revisionssichere Archivierung.
Beispiel aus der Praxis
Die Problematik lässt sich kurz anhand der Archivierung von E-Mails in einem Krankenhaus erläutern. Je nach Art der Inhalte gelten per Gesetz unterschiedliche Aufbewahrungsfristen. Bei reinen Terminabstimmungen zwischen verschiedenen Mitarbeitern handelt es sich nach dem Bundesdatenschutzgesetz um personenbezogene Daten. Wie lange diese in den Archiven des Krankenhauses aufbewahrt werden müssen, bestimmt der jeweilige Datenschutzbeauftragte der Klinik. Denkbar wäre zum Beispiel eine Dauer von drei Monaten. Wesentlich länger sind dagegen die Aufbewahrungsfristen für digitale Röntgenaufnahmen - 30 Jahre, gemäß § 28 RöntVO - oder steuerlichrelevante Inhalte, wie zum Beispiel Bestellungen bei Lieferanten - üblicherweise zehn Jahre oder länger.
Ein rein revisionssicheres Archivierungssystem genügt diesen Compliance-Anforderungen nicht: Weder sollte die E-Mail mit der Terminabstimmung noch die Röntgenaufnahme zehn Jahre aufbewahrt werden, jene Aufbewahrungsdauer, die die revisionssichere Archivierung gewährleistet. Vielmehr muss die Terminvereinbarung bereits nach drei Monaten gelöscht und die Röntgenaufnahme noch weitere 20 Jahre archiviert werden.
Unter www.was-ist-compliance.de und www.comidd.org stellt COMIDD eine Online-Ressource bereit, auf der IT-Compliance in der Datenverarbeitung von allen Seiten beleuchtet wird. Fachbeiträge, Rechtsgrundlagen, Lösungsansätze, Best Practices, Diskussionen und offener Dialog stehen im Zentrum der Website.
Weitere Informationen:
Wilfried Reiners, Managing Partner und Geschäftsführer des COMIDD-Partners PRW Consulting GmbH, und Karsten Renz, Mitgründer von COMIDD und CEO von Optimal Systems
Kontakt:
Fink & Fuchs Public Relations AG, Rainer Bock, Tel.: 089 58978736, E-Mail: rainer.bock@ffpr.de