Compliance: “Revisionssicher ist nicht rechtssicher”

Häufig wird die Revisionssicherheit der Archivierung eingefordert. Damit ist aber die Rechtssicherheit nicht zwingend gegeben. Revisionssicherheit ist gewährleistet, wenn alle gesetzlichen Vorschriften – bezogen auf die Aufbewahrung von Informationen aus dem Finanzrecht – eingehalten werden. Das Recht besteht aber nicht nur aus finanzrechtlichen Vorschriften. Zu denken ist etwa an den Datenschutz oder an vertragliche Regelungen. Für die rechtssichere Archivierung ist eine vorgeschaltete Analyse der im jeweiligen Einzelfall rechtlich relevanten Vorschriften daher unumgänglich.

Ein Archivsystem arbeitet dann revisionssicher, wenn vom Eingang eines Dokuments in das Archiv über den Transport bis hin zur endgültigen Speicherung und darüber hinaus sichergestellt ist, dass das Dokument weder verloren gehen kann, noch verändert wird. Ob ein Gesamtsystem, bestehend aus Client, Server, Betriebssystem und Datensicherung, revisionssicher ist, hängt unter anderem von der Installation und der Administration im laufenden Betrieb ab. Revisionssichere Archivierung ist somit ein wesentlicher Bestandteil für die Compliance von Informationssystemen.

Revisionssicher ist aber eben nicht zwangsläufig gleich rechtssicher. Die revisionssichere Archivierung ist nur ein Bestandteil der rechtsicheren Archivierung. Die revisionssichere Archivierung orientiert sich vornehmlich an den Vorschriften des Handels- und Steuerrechts, die rechtssichere Archivierung greift alle relevanten Vorschriften auf. Wünschenswert ist somit eine rechtsichere Archivierung und nicht nur eine revisionssichere Archivierung.

Die Problematik lässt sich anhand der Archivierung von E-Mails in einem Krankenhaus erläutern. Je nach Art der Inhalte gelten unterschiedliche Aufbewahrungsfristen. Bei reinen Terminabstimmungen zwischen Mitarbeitern handelt es sich nach dem Bundesdatenschutz-Gesetz um personenbezogene Daten. Wie lange diese in den Archiven des Krankenhauses aufbewahrt werden müssen, bestimmt der jeweilige Datenschutzbeauftragte der Klinik. Denkbar wäre zum Beispiel eine Dauer von drei Monaten. Wesentlich länger sind dagegen die Aufbewahrungsfristen für digitale Röntgenaufnahmen – 30 Jahre, gemäß § 28 RöntVO – oder steuerlich relevante Inhalte, wie zum Beispiel Bestellungen bei Lieferanten – üblicherweise zehn Jahre oder länger.

Ein rein revisionssicheres Archivierungssystem genügt diesen Compliance-Anforderungen nicht: Weder sollte die E-Mail mit der Terminabstimmung noch die Röntgenaufnahme zehn Jahre aufbewahrt werden – jene Aufbewahrungsdauer, die die revisionssichere Archivierung gewährleistet. Vielmehr muss die Terminvereinbarung bereits nach drei Monaten gelöscht und die Röntgenaufnahme noch weitere 20 Jahre archiviert werden.

Der ausführliche Beitrag von Wilfried Reiners ist auf der Webseite der Industrie-Initiative Comidd nachzulesen (IT-Compliance in der Informations- und Datenverarbeitung in Deutschland) – einem von HP und Optimal Systems gegründeten Projekt, das den Wissensstand zu IT-Compliance in Deutschland verbessern will.