Mail-Archivierung

Einige wichtige Punkte, die aber seit jeher für eine Auslagerung der Mails sprechen, möchten wir hier kurz erläutern.

• Heutzutage liegen alle E-Mails in einem persönlichen Postfach auf einem Server (wie z.B. der Microsoft Exchange Server). Hier werden die E-Mails zentral in einem Datenspeicher vorgehalten. Je größer das Postfach ist, desto langsamer wird der Zugriff und speziell die Suche innerhalb der Ordnerstruktur. Außerdem ist das Speichersystem von vielen E-Mail-Servern bei weitem nicht so effizient wie bei Mail-Archiv-Servern.
• Die redundante Speicherung von E-Mails mit dazugehörigen Anhängen wird von normalen E-Mail-Servern nicht verhindert. D. h. wenn Sie eine Mail in Ihrem Unternehmen mit einem Anhang von 2 MB Größe an 10 Kollegen schicken, verbraucht ein und dieselbe E-Mail 20 MB Speicher auf dem E-Mail-Server. Hier bieten die meisten Mail-Archiv-Lösungen gute Ansätze das zu verhindern.
• Wenn Sie Ihre Mails offline auf einem mobilen Device (z. B. im Flugzeug oder in der Bahn) lesen möchten, müssen Sie hierzu eine sog. Offline-Kopie Ihres Postfachs erstellen und auf Ihrem Notebook speichern. Hierbei liegt auf der Hand, dass große Postfächer mehr Speicher und länger für die Synchronisierung benötigen. Ebenso verursachen diese Offline-Kopien, die meist in einer! Datei gespeichert werden und mehrere GB groß werden können,  deutliche Performance-Probleme und es kommt oft zu Schäden in diesen Dateien, was eine neue Komplett-Synchronisation nach sich zieht.
• Eine Volltextsuche über alle E-Mails hinweg unter Einbezug von Inhalten aus Anhängen ist nicht möglich. Auch die Suche über mehrer Postfächer gleichzeitig wird von den normalen E-Mail-Servern nicht unterstützt.

Im Grunde werden bei der Archivierung von E-Mails eine Teilmenge dieser nach spezifischen Regeln in ein sog. Archiv-System ausgelagert. Hier können teilweise E-Mails im persönlichen Postfach UND im Archivsystem vorhanden sein oder direkt bei der Archivierung im Postfach gelöscht werden. Um an die archivierten E-Mails zu gelangen, benutzt man dann eigene Benutzeroberflächen des Softwareherstellers des Archivsystems. Hier stehen dann meist deutlich bessere Suchmöglichkeiten und Filter zur Verfügung und auch der Zugriff auf diese Mails ist meist nicht an den lokalen Mail-Client gebunden (z. B. über einen Webbrowser).

Bin ich rechtlich dazu verpflichtet, ein Mail-Archivsystem einzusetzen?

Hier ist die Antwort in Raum DACH klar mit JA zu beantworten. Die seit dem 01.01.2015 gültige GoBD (Grundsätze zur ordnungsgemäßen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff) löst die GDPdU (Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen) sowie die GoBS (Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme) ab. Die bisherigen Regelungen konnten aufgrund des technischen Fortschritts vieles nicht mehr beantworten. Deswegen wurde eine Aktualisierung vorgenommen und in einem neuen Dokument zusammengefasst.

Zwei wichtige Punkte dieser neuen GoBD, die immer noch aktuelles Recht wiederspiegelt, sind die Unveränderbarkeit der Daten sowie das Vorhandensein einer Verfahrensdokumentation.

Was bedeutet das für meine E-Mails?

• Unveränderbarkeit der Daten
  Alle ein- und ausgehenden E-Mails müssen sofort und ohne Ausnahme archiviert werden, ohne dass diese vorher manipuliert werden können.
  Die Manipulation von E-Mails muss generell ausgeschlossen werden.
• Die Verfahrensdokumentation beschreibt den gesamten technischen und organisatorischen Prozess der Entstehung (Erfassung), der Indizierung, der Speicherung, dem eindeutigen Wiederfinden, der Absicherung gegen Verlust und Verfälschung und der Reproduktion der archivierten Informationen, die nach Handelsrecht und steuerrechtlichen Vorgaben aufbewahrt werden müssen. Die Aufzeichnungen sollten laut GoBD in der Regel aus einer allgemeinen Beschreibung, einer Anwenderdokumentation, einer technischen Systemdokumentation und einer Betriebsdokumentation bestehen und helfen unabhängigen Dritten den ordnungsgemäßen Einsatz z. B. einer Archivierungslösung zu überprüfen.

Der Arbeitskreis „Regelwerk Verfahrensdokumentation“ des TÜViT, Essen und der VOI e. V., Bonn hat eine Checkliste herausgegeben, welche Inhalte in einer Verfahrensdokumentation für E-Mail-Archivierungslösungen enthalten sein können.

Und was ist mit der neuen DSGVO ?

Die seit dem 25.05.2018 in Kraft getretene EU-Datenschutzverordnung (EU-DSGVO) bringt neue Herausforderungen und offene Fragen zum Thema E-Mail-Archivierung mit sich. Hier wollen wir kurz auf die wichtigsten Punkte eingehen:

• Technische und organisatorische Sicherheitsmaßnahmen (TOM), wie bspw. die Verschlüsselung von Daten
• Dokumentationsanforderungen beim Einsatz von IT-Systemen (Verzeichnis von Verarbeitungstätigkeiten, Datenschutz-Folgeabschätzung etc.)
• Rechenschaftspflichten hinsichtlich der Einhaltung und Dokumentation der getroffenen Maßnahmen
• Strenge Anforderungen an die Gestaltung von Einwilligungen und an die Zweckbindung bei der Verarbeitung personenbezogener Daten
• Informationspflichten und Betroffenenrechte (z.B. Auskunft, Recht auf Vergessenwerden)
• Neue Regelungen zum internationalen Datenaustausch, internationale Anwendbarkeit der DSGVO und die Einführung einer sog. federführenden Aufsichtsbehörde als alleiniger Ansprechpartner („One Stop Shop“-Prinzip)

Nun ist es so, dass durch die neue DSGVO einige Punkte, die wir zuvor schon in der GoBD erwähnt haben, ebenso verlangt werden. So ist es z. B. unablässlich, E-Mails unveränderbar zu sichern, aber einiges ist durchaus kontrovers zu sehen. Verlangt die GoBD noch, dass ALLE E-Mails unveränderbar archiviert werden, fordert die neue DSGVO, dass sog. “Recht auf Vergessenwerden”. D.h. für eine Archivlösung, dass Löschfristen für unterschiedliche E-Mails eingehalten werden müssen und nachweisbar und automatisiert durchzuführen sind. Generell sind alle Rechtssprechungen einzuhalten, sollte es aber Überschneidungen geben, gilt immer die neuere EU-Verordnung. Dabei ist aber trotzdem zu beachten, dass die GoBD trotzdem einzuhalten ist. Wenn z. B. die EU-DSGVO Löschfristen für spezielle E-Mails fordert, müssen zwar alle Daten danach aus diesem Element entfernt werden, jedoch muss ein Vermerk in der E-Mail zurückbleiben, warum und das diese E-Mail wegen einer Löschfrist geleert wurde. Also wird die Nachverfolgbarkeit einer E-Mail gewahrt und gleichzeitig die fristgerechte Löschung von personenbezogenen Daten tortzdem gewährleistet.

Gibt es eine Mail-Archivierung, die alle oben genannten Vorteile und Rechtsanforderungen erfüllt?

Hier können wir Ihnen eine klare Empfehlung aussprechen. Wir arbeiten seit Jahren mit meinem der Marktführer auf diesem Gebiet zusammen. Mit über 50.000 Unternehmenskunden in mehr als 100 Ländern zählt Mailstore zu den weltweit führenden Herstellern. Die Produkte und Lösungen werden sowohl von kleinen und mittelständischen Unternehmen aller Branchen, als auch von öffentlichen Institutionen und Bildungseinrichtungen eingesetzt.