Aufbewahren, sperren, löschen – in dieser Reihenfolge

Fristen je Klasse

Jede Nachricht gehört zu einer Aufbewahrungsklasse. Mitgeliefert werden:

Gerechnet wird ab dem Ende des Jahres, in das die Nachricht fällt: nach Schweizer Recht ab dem Ende des Geschäftsjahres, nach deutschem ab dem Ende des Kalenderjahres. Gelten beide Regelwerke, zählt das spätere Ende. In welchem Monat Ihr Geschäftsjahr endet, stellen Sie je Archiv unter Aufbewahrungsrichtlinie ▸ Regelwerke ▸ Geschäftsjahr ein; voreingestellt ist Dezember.

Eigene Klassen mit anderer Frist lassen sich anlegen, etwa sechs Jahre für Handelsbriefe nach deutschem Recht. Regeln ordnen Nachrichten nach Beteiligten, Ordner, Betreff oder Anhang einer Klasse zu; die erste passende Regel gilt. Gelten mehrere Regelwerke, ist die längste Frist massgebend.

Ändert sich eine Frist, eine Klasse oder das Ende des Geschäftsjahres, berechnet MailVault beim Sichern das Aufbewahrungsdatum jeder archivierten Nachricht neu und hält die Änderung im Prüfjournal fest. Gelöscht wird dabei nichts: Eine kürzere Frist ändert nur, welche Nachrichten in der Aufbewahrungsprüfung erscheinen.

Gelöscht wird nie automatisch

In keiner Einstellung. Eine abgelaufene Frist ist die Erlaubnis zu vernichten, nicht die Anweisung dazu. Ein Archiv, das nach Zeitplan löscht, löscht irgendwann etwas, das noch gebraucht wurde: eine Nachricht unter einer Sperre, die noch nicht erfasst war, oder eine mit falschem Datum.

Voreingestellt ist deshalb „nur berichten“: Abgelaufene Nachrichten werden aufgelistet, nichts wird vernichtet. Wer Vernichtung zulässt, durchläuft jedes Mal dieselben Schritte:

1. Die Liste der abgelaufenen Nachrichten wird erstellt. Dieser Schritt vernichtet nichts.
2. Eine verantwortliche Person prüft sie.
3. Sie gibt ihren Namen und einen Grund an und tippt die Bestätigung von Hand.
4. Jede Nachricht wird im Moment der Vernichtung erneut geprüft: gegen das Aufbewahrungsdatum, das mit ihr gespeichert ist, und gegen das, das die aktuelle Richtlinie ergibt. Vernichtet wird sie nur, wenn beide abgelaufen sind; eine inzwischen gesetzte Sperre nimmt sie wieder heraus.

Name, Grund und jede einzelne Nachricht stehen danach im Prüfjournal.

Rechtliche Sperren

Eine rechtliche Sperre (Legal Hold) friert die betroffene Korrespondenz ein, mit Name, Grund und der Person, die sie verantwortet. Solange sie besteht, wird nichts davon vernichtet oder gelöscht, auch nicht auf ein Löschbegehren nach DSGVO hin; Art. 17 Abs. 3 DSGVO sieht diese Ausnahme für die Geltendmachung und Verteidigung von Rechtsansprüchen ausdrücklich vor. Setzen und Aufheben einer Sperre stehen im Prüfjournal.

Löschen nach DSGVO, ohne die Kette zu brechen

Ein unveränderbares Archiv und ein Recht auf Löschung scheinen sich auszuschliessen. MailVault löst das so: Ist die Löschung nach DSGVO eingeschaltet, wird der Inhalt jeder Nachricht mit einem eigenen Schlüssel verschlüsselt (AES-256-GCM). Gelöscht wird, indem dieser eine Schlüssel vernichtet wird.

• Die Pack-Dateien werden nicht überschrieben, und der Integritätsnachweis bleibt intakt.
• Der Inhalt ist nicht mehr lesbar, weil es keinen Schlüssel mehr gibt, der ihn öffnet.
• Die Löschung selbst wird ein Eintrag im Prüfjournal, mit dem angegebenen Grund.
• Ein Anhang, den mehrere Nachrichten teilen, bleibt lesbar, bis auch die letzte Nachricht gelöscht ist, die ihn enthält.

Eine Aufbewahrungspflicht geht einem Löschbegehren vor. Liegt eine Nachricht noch in ihrer gesetzlichen Frist oder unter einer Sperre, wird das angezeigt; das OR, die GoBD und Art. 17 Abs. 3 DSGVO sehen genau das vor. Eine Frist trotzdem zu übergehen, ist eine Entscheidung für die Person, die es unterschreibt, nicht für die Software.

Auskunft über eine Person

Für ein Auskunftsbegehren nach Art. 15 DSGVO stellt MailVault zusammen, was das Archiv zu einer Person enthält, über alle Adressen, die sie benutzt hat. Die Übersicht zeigt auch, was davon unter einer Sperre steht und wie viele Nachrichten noch in ihrer gesetzlichen Aufbewahrungsfrist liegen.

mailvault request "Archiv.mailvault" --participant anna@example.ch --participant a.muster@example.com