Datenschutz: Grenzen der revisionssicheren E-Mail-Archivierung

Share on facebook
Share on twitter
Share on linkedin
Share on xing
Share on whatsapp
Share on email
Share on print

Datenschutz: Grenzen der revisionssicheren E-Mail-Archivierung

Share on facebook
Share on twitter
Share on linkedin
Share on xing
Share on whatsapp
Share on email
Share on print

Unternehmen sind aufgrund von Vorgaben insbesondere des Handelsrechts und der Abgabenordnung verpflichtet, Geschäftsbriefe und ihnen gleichgestellte Kommunikation revisionssicher – also insbesonders verfälschungssicher – zu archivieren. In der Unternehmenspraxis bedeutet dies nach dem gängigen Verständnis, auch ein- und ausgehende E-Mailkommunikation in einem separaten revisionssicheren Archiv für den Zugriff durch insb. die Finanzbehörden bereitzuhalten. Das folgende Beispiel zeigt allerdings, dass technisch Fallgestaltungen denkbar sind, bei denen E-Mails in das Archiv gelangen ohne dass diese dem Empfänger zur Anzeige gelangen.

von Rechtsanwalt Dr. Sebastian Kraska und Eckehard Kraska

fotolia_42830535_xs

Auch technische Systeme sind nicht vollkommen. Grundsätzlich ist jede rechtliche Forderung nach Zuverlässigkeit und Sicherheit eines technischen Systems getragen von den Vorstellungen einer dabei erreichbaren Vollkommenheit (vgl. z.B. die entsprechenden gesetzlichen Regelungen zum elektronischen Personalausweis [http://www.gesetze-im-internet.de/pauswg/BJNR134610009.html). Der dazu notwendige technische Aufwand wird gelegentlich beträchtlich, denn er steigt mit dem Maße, in dem menschliche Intervention auf den zu sichernden Vorgang nicht ausgeschlossen werden kann. Also fließen Forderungen ein, menschliches Versagen aufzufangen sowie Sabotage verhindern zu müssen. Wir wissen, dass dies nicht in allen Bereichen erreichbar sein kann. Auch aus diesem Grund ist beispielsweise das Internet gegenüber Hacker-Angriffen offensichtlich nicht schützbar.

Die revisionssichere E-Mail bedient sich des Mediums Internet. Dabei soll hier nicht interessieren, dass per E-Mail transportierte Daten und Informationen im Internet grundsätzlich abgreifbar und damit unsicher sind. Dies übrigens unbeschadet von der Tatsache, ob sie vorab verschlüsselt wurden oder nicht. Untersucht werden soll vielmehr, ob ein im Internet erkennbarer, vorhandener Sabotage-Wille sich auch auf die Speicherung von E-Mails auswirken, also die Revisionssicherheit von E-Mails beeinflussen kann.

Vorfall aus eigener Kenntnis

Ein Unternehmen will ein angrenzendes Geschäftsgebiet sondieren und vereinbart dazu für einen begrenzten Zeitraum einen Beratervertrag mit einem Spezialisten. Nach Abschluss des Vertrages bricht die Kommunikation ab. Eine E-Mail, welche die fachlichen und zeitlichen Erwartungen des Unternehmens nochmals zusammenfasst, bleibt unerwidert. Für ein akut anstehendes Sondierungsgespräch wird fachliche Unterstützung angefordert. Es erfolgt keinerlei Reaktion. Daraufhin wird der Beratervertrag gekündigt. Der Erhalt der Kündigung wird bedauernd bestätigt. Wochen später erreicht den Auftraggeber eine Rechnung über Beratungsdienstleistungen. Diese wird folgerichtig zurückgewiesen. Daraufhin schaltet der gekündigte Berater einen Anwalt ein und lässt vortragen, dass Beratungsdienstleistungen per E-Mail geleistet wurden. Zwar nicht die konkret abgeforderten, aber immerhin zum allgemeinen Umfeld des Vorhabens zu zählende Erörterungen werden dazu in Kopie von E-Mails vorgelegt. Das Unternehmen bestreitet jedoch, diese E-Mails jemals erhalten zu haben. Das revisionssichere E-Mail-Archiv des Unternehmens wird zur Beweissicherung geöffnet. Es stellt sich heraus:

  • Die behaupteten E-Mails liegen im Archiv tatsächlich vor.
  • Die E-Mails sind definitiv nicht an den Adressaten weitergeleitet worden.
  • Die E-Mails lassen sich auch nachträglich nicht aus dem Archiv herunterladen.

Keine E-Mail im Postfach trotz Archivierung

Eine Beweissicherung dieses Sachverhaltes wird vorgenommen, wonach die E-Mails sich nicht aus dem Archiv herunterladen lassen. Der Archivierungsdienstleister wird eingeschaltet, er bestätigt den Sachverhalt. Es entsteht ein Austausch unter den Rechtsanwälten des beauftragenden Unternehmens und dem gekündigten Berater, in welchem diesem angeboten wird, sich von der Richtigkeit des Vorgetragenen überzeugen zu können. Es wird darauf hingewiesen, dass der Berater seine E-Mails in einer Weise konfiguriert hat, welche die Unzustellbarkeit seiner E-Mails an den eigentlichen Empfänger nach sich zog, da diese im zwischengeschalteten Archiv hängenbleibt. Es ist damit offensichtlich, dass sich das System der revisionssicheren E-Mail in der Weise manipulieren lässt, dass E-Mails zwar im revisionssicheren Archiv gespeichert werden, den Adressaten jedoch nicht erreichen.

Grenzen technischer Lösungen

Jede auf eine technisch absolut zuverlässige Lösung setzende, gesetzliche Forderung ist grundsätzlich problematisch. Der Umfang der beobachteten Manipulationen im Bereich der elektronischen Datenverarbeitung ist bekanntermaßen beträchtlich. Es ist erstaunlich, hiervon die revisionssichere E-Mail ausnehmen zu wollen, weil ein Gesetz dies fordert. Der zur sicheren Archivierung Verpflichtete steckt damit in der Falle, weil von ihm die Unterhaltung eines Systems abverlangt wird, welches ggfs. auch jene Geschäftskorrespondenz dokumentiert, die ihn nie erreicht hat – womöglich nie erreichen sollte.

Auch die Frage einer Haftung durch den Archivierungsdienstleister ist problematisch. Ganz abgesehen von den möglichen Dimensionen eines Schadens, gegen den dieser sich versichern müsste: dieser kann ebenfalls zum Opfer eines fehlerhaften wenn nicht gar betrügerischen Vorgehens werden. Insoweit darf man in solch einem Fall nicht auf die Aufklärung durch den Archivierungsdienstleister hoffen, der schadenersatzpflichtig ist oder aber das Überschreiten der technisch möglichen Grenzen von Archivierungssystemen einräumen müsste. Er kann das relevante Merkmal seiner Dienstleistung nicht garantieren. Abgesehen davon, dass man zunächst bemerken/erahnen und dann noch nachweisen können muss, dass eine im Archiv dokumentierte E-Mail tatsächlich dem Adressaten gar nicht angezeigt wurde.

Fazit

Durch die Trennung von Archivierungs-System und System zur Anzeige der E-Mails (bspw. in einer Exchange-Umgebung) sind Fallgestaltungen möglich, bei denen aufgrund einer absichtlichen oder unabsichtlichen Manipulation der eingehenden E-Mail diese zwar im Archivierungs-System aufläuft, dem Empfänger aber nicht zur Anzeige gelangt.

Share on facebook
Facebook
Share on twitter
Twitter
Share on linkedin
LinkedIn
Share on xing
XING
Share on whatsapp
WhatsApp
Share on email
E-Mail
Share on print
Drucken

Ihre Meinung zum Artikel

Andere Leser haben sich auch für die folgenden Artikel interessiert

Redaktionsbrief

Tragen Sie sich zu unserem Redaktionsbrief ein, um auf dem Laufenden zu bleiben.

Wir wollen immer besser werden!

Deshalb fragen wir SIE, was Sie wollen!

Nehmen Sie an unserer Umfrage teil, und helfen Sie uns noch besser zu werden!

zur Umfrage

Aktuelle Ausgabe

Topthema: Das sind die Trends im e-commerce

Trends 2021

Mehr erfahren

Tragen Sie sich jetzt kostenlos und unverbindlich ein, um keinen Artikel mehr zu verpassen!

    * Jederzeit kündbar

    Entdecken Sie weitere Magazine

    Schön, dass Sie sich auch für weitere Fachmagazine unseres Verlages interessieren.

    Unsere Fachtitel beleuchten viele Aspekte der Digitalen Transformation entlang der Wertschöpfungskette und sprechen damit unterschiedliche Leserzielgruppen an.