Verfahrensdokumentation für die E-Mail-Archivierung

Q: Wo finde ich die Vorlage?

In MailVault unter Aufbewahrungsrichtlinie ▸ Organisation ▸ Vorlage sichern…, auf der Kommandozeile mit mailvault procedure-template, oder als Datei auf dieser Seite. Die Vorlage ersetzt nie eine Datei, die schon da ist.

Wozu sie da ist

Eine Verfahrensdokumentation beschreibt, wie ein Unternehmen seine Unterlagen erfasst, aufbewahrt, schützt und wiederfindet, so dass eine sachverständige Dritte das Verfahren in angemessener Zeit nachvollziehen kann. Für ein E-Mail-Archiv heisst das: welche Postfächer abgeholt werden und wie, wo das Archiv liegt, wie belegt wird, dass sich nichts geändert hat, wer prüft, und was im Notfall geschieht.

In Deutschland verlangen die GoBD eine Verfahrensdokumentation für jedes DV-gestützte Buchführungssystem, und dazu gehört die Archivierung der Belege, die per E-Mail kommen. Sie zählt zu den Arbeitsanweisungen und Organisationsunterlagen nach § 147 Abs. 1 Nr. 1 AO und ist damit zehn Jahre aufzubewahren.

In der Schweiz verlangt die GeBüV in Art. 4, dass Organisation, Zuständigkeiten, Abläufe, Verfahren und Infrastruktur in Arbeitsanweisungen dokumentiert werden, und zwar so, dass die Geschäftsbücher und Buchungsbelege verstanden werden können. Die Arbeitsanweisungen sind zu aktualisieren und so lange aufzubewahren wie die Bücher, die danach geführt wurden. Wer auf veränderbaren Datenträgern archiviert, muss nach Art. 9 Abs. 1 lit. b Ziff. 4 zudem die Abläufe festlegen und dokumentieren und die Protokolle aufbewahren.

Die vier Teile nach GoBD

Die GoBD gliedern eine Verfahrensdokumentation in vier Teile. Sie beschreiben dasselbe Verfahren aus vier Blickwinkeln:

Teil	Was er für ein E-Mail-Archiv enthält
Allgemeine Beschreibung	Unternehmen, geltende Regelwerke, welche Postfächer archiviert werden und warum, wer verantwortlich ist, wie Änderungen an der Dokumentation geführt werden.
Anwenderdokumentation	Was die Beteiligten tun: wer abholt oder den Zeitplan überwacht, wer Sperren setzt und aufhebt, wer Auskunfts- und Löschbegehren bearbeitet, wer eine Vernichtung freigibt.
Technische Systemdokumentation	Wie die Software arbeitet: Erfassung, Ablage, Prüfsummen, Prüfkette, Siegel, Zeitstempel, Verschlüsselung, Export. Dieser Teil ist für jede MailVault-Installation derselbe.
Betriebsdokumentation	Wie der Betrieb gesichert ist: Speicherort, Datensicherung und Zweitkopie, Prüfintervall, Ablage der Kontrollberichte, Aufbewahrung des Hauptschlüssels, Vorgehen bei Datenverlust.

Wie ausführlich die einzelnen Teile sein müssen, hängt nach den GoBD von der Komplexität des Unternehmens und seiner Systeme ab. Für ein kleines Büro mit drei Postfächern genügen wenige Seiten, solange sie stimmen.

Was hinein gehört, Punkt für Punkt

Für ein Archiv mit MailVault hat sich diese Gliederung bewährt. Jeder Punkt ist eine Frage, die eine Prüferin stellen kann:

Zweck und Geltungsbereich. Welche Postfächer, welche Regelwerke, seit wann.
Erfassung. Wie abgeholt wird, nur lesend über IMAP; in welchem Intervall; welche Ordner ausgenommen sind und warum; wer die Abholung überwacht.
Speicherung. Wo das Archiv liegt, auf welchem Datenträger; wie es gesichert wird; wo die Zweitkopie liegt.
Unveränderbarkeit und Nachweis. Prüfsumme je Nachricht, Prüfkette, Siegel, Zeitstempelstelle; wie oft geprüft wird und von wem; wo die Kontrollberichte liegen.
Schlüsselverwaltung. Wo die Kopie des Hauptschlüssels liegt und wer darauf zugreifen darf, falls die Löschung nach DSGVO eingeschaltet ist.
Aufbewahrung und Vernichtung. Welche Aufbewahrungsklassen gelten, nach welchen Kriterien Nachrichten zugeordnet werden, wer eine Vernichtung freigibt. Dass nichts automatisch gelöscht wird, gehört ausdrücklich hinein.
Auskunft, Löschung und Sperren. Wer Begehren nach DSGVO bearbeitet und in welcher Frist; wer rechtliche Sperren setzt.
Datenzugriff. Was eine Prüferin erhält: Export mit Index, portables Archiv, Beschreibung des Formats.
Änderungen. Ein Verzeichnis der Fassungen dieser Dokumentation, mit Datum und verantwortlicher Person.
Notfall. Was geschieht, wenn die Datenbank beschädigt ist, das Archiv verloren geht, der Schlüssel fehlt oder eine Prüfung fehlschlägt.

Was feststeht, wenn Sie MailVault einsetzen

Die technische Systemdokumentation ist bei jeder Installation dieselbe, weil die Software sich überall gleich verhält. Sie beschreibt unter anderem:

dass Postfächer mit EXAMINE geöffnet und Nachrichten mit BODY.PEEK gelesen werden und der Client verändernde Befehle zurückweist,
dass jede Nachricht im Originalzustand abgelegt und über ihren SHA-256 identifiziert wird,
dass jede Handlung in eine hashverkettete Kette geschrieben und mit Ed25519 versiegelt wird,
dass die tiefe Prüfung jede Nachricht nachrechnet,
dass gelöscht wird, indem der Schlüssel einer Nachricht vernichtet wird, und dass nichts automatisch gelöscht wird,
welche Exportformate es gibt und wie sie ohne MailVault nachgeprüft werden.

Offen bleibt, was nur Ihr Haus wissen kann: Namen, Zuständigkeiten, Intervalle und Orte. MailVault hält unter Aufbewahrungsrichtlinie ▸ Organisation fest, wo Ihre Verfahrensdokumentation liegt, und führt sie in jeder Prüfung als offen, bis das erfasst ist.

Die Vorlage

Die Vorlage für die E-Mail-Archivierung mit MailVault liegt der App bei: unter Aufbewahrungsrichtlinie ▸ Organisation ▸ Vorlage sichern…, oder auf der Kommandozeile mit mailvault procedure-template Verfahrensdokumentation.md. Ihr technischer Teil ist ausgefüllt und beschreibt, was die Software tut; die organisatorischen Teile sind als Lücken zum Ausfüllen markiert. Menüs und Einstellungen nennt sie mit den Bezeichnungen der deutschen Oberfläche.

Dieselbe Vorlage können Sie hier laden. Sie ist eine Textdatei im Markdown-Format und lässt sich mit jedem Texteditor bearbeiten.

Vorlage laden

Häufige Fragen

Muss auch eine kleine Firma eine Verfahrensdokumentation haben?

Ja. Wie ausführlich sie sein muss, hängt nach den GoBD von der Komplexität des Unternehmens und seiner Systeme ab, nicht davon, ob es sie gibt.

Wie lange ist sie aufzubewahren?

In der Schweiz so lange wie die Bücher, die danach geführt wurden (Art. 4 Abs. 2 GeBüV). In Deutschland zählt sie zu den Arbeitsanweisungen und Organisationsunterlagen nach § 147 Abs. 1 Nr. 1 AO und ist zehn Jahre aufzubewahren. Ältere Fassungen gehören dazu.

Wo finde ich die Vorlage?

In MailVault unter Aufbewahrungsrichtlinie ▸ Organisation ▸ Vorlage sichern…, auf der Kommandozeile mit mailvault procedure-template, oder als Datei auf dieser Seite. Die Vorlage ersetzt nie eine Datei, die schon da ist.

Schreibt MailVault die Dokumentation selbst?

Den technischen Teil ja, in der Vorlage. Den organisatorischen Teil kann nur Ihr Haus schreiben: wer was tut, wie oft und wo.

Keine Rechtsberatung. Diese Seite beschreibt, wie die Software funktioniert. Ob ein Unternehmen die Vorschriften einhält, hängt auch von seiner Organisation, seinen Abläufen und seiner Dokumentation ab; für Ihren Einzelfall ziehen Sie Ihre Revisionsstelle oder Ihre Rechtsberatung bei.