Sähköpostin lakisääteinen arkistointi: asetukset, turvallisuus ja parhaat käytännöt

Oikeudellinen Sähköpostin arkistointi edellyttää, että saksalaiset yritykset tallentavat ja katselevat yrityssähköposteja väärentämisen estävällä tavalla. Se perustuu Saksan kauppalakiin, Saksan verolakiin ja GoBD:hen, ja sillä varmistetaan lainmukainen työskentely, digitaalinen jäljitettävyys ja verotusasiakirjojen laatimisvelvoitteet.

Keskeiset kohdat

• Säilytysajat6-10 vuotta sähköpostin tyypistä riippuen.
• GoBD-vaatimustenmukaisuusPakollinen ohjelmistoratkaisuissa
• Tietojen eheysSalaus ja pääsynvalvonta vaaditaan
• AutomaatioArkistoinnin ja poistamisen on oltava sääntöpohjaista.
• KoulutuskurssitTyöntekijöiden on ymmärrettävä arkistointiprosessit.

Yritykset aliarvioivat usein sähköpostin arkistointiin liittyvän vaivan. Pienetkin laiminlyönnit voivat johtaa aukkoihin arkistoinnissa - esimerkiksi jos veroviitteitä sisältävä sähköposti poistetaan manuaalisesti tai jos automaattista järjestelmää ei ole konfiguroitu oikein. Tällaiset virheet voidaan välttää tarkastelemalla huolellisesti nykyisiä prosesseja ja ottamalla käyttöön selkeästi dokumentoidut ohjeet.

On myös huomattava, että oikeudellisia vaatimuksia voidaan päivittää jatkuvasti. Yksi esimerkki tästä ovat tietosuojasäännösten muutokset, kuten yleinen tietosuoja-asetus tai maakohtaiset muutokset. Siksi on suositeltavaa seurata jatkuvasti oikeudellisia ja teknisiä päivityksiä. Vain näin voidaan varmistaa, että arkistointijärjestelmä ei täytä lakisääteisiä vaatimuksia ainoastaan nyt vaan myös tulevaisuudessa.

Sähköpostin arkistoinnin oikeusperusta

Saksassa yritysten on lain mukaan arkistoitava yrityssähköpostit turvallisesti, mikä tarkoittaa, että niiden on oltava aina jäljitettävissä, muuttumattomia ja täydellisiä. Asiaa koskevat oikeusperustat ovat Saksan verolain (AO) 147 §, Saksan kauppalain (HGB) 257 § ja GoBD. Näissä säännöksissä säädetään, kuinka kauan yritystoimintaan liittyvien sähköpostiviestien on oltava digitaalisesti saatavilla. Verotukseen liittyvien sähköpostiviestien, kuten laskujen, on oltava 10 vuotta tallennetaan. Puhtaasti liike- tai kaupallisiin kirjeisiin sovelletaan seuraavia sääntöjä. 6-vuotias Määräaika.

Tämä velvoite ei koske joitakin freelancereita ja pienyrityksiä - lukuun ottamatta alakohtaisia erityissäännöksiä. Kaupallisen kirjeen määritelmään kuuluvat säännöllisesti myös tarjouksia, sopimusjärjestelyjä tai liiketoimintasopimuksia koskevat sähköpostiviestit. Joka ei arkistoi näitä asianmukaisesti, on vaarassa saada vakavia sakkoja ja verokanteita.

Oikeusvarmuuden lisäämiseksi on suositeltavaa sisällyttää tietotekniikkapalvelujen tarjoajien ja hosting-palvelujen tarjoajien kanssa tehtäviin sopimuksiin määräyksiä sähköpostitietojen säilyttämisestä. Näin molemmat osapuolet saavat selvyyden velvoitteistaan ja vähentävät riitojen riskiä, jos tietojen säilyttämisestä syntyy erimielisyyksiä. Yritysten on myös tärkeää pystyä milloin tahansa todistamaan, että sähköpostit ovat arkistossa muuttumattomina ja että niiden sisältöä ei ole jälkikäteen manipuloitu.

Tarkastussuojatun arkistoinnin vaatimukset

Tarkastusturvallisella arkistoinnilla tarkoitetaan sitä, että sähköposteja ei saa muuttaa tai poistaa huomaamatta myöhemmin. Lisäksi kaikki tiedot on tallennettava täydellisesti ja todennettavasti. Perinteinen tallennus sähköpostin postilaatikkoon tai paikalliseen tiedostokansioon ei riitä tähän. Yritykset tarvitsevat arkistointiohjelmiston, joka täyttää nämä kriteerit ja tarjoaa selkeän Pääsyrakenne tarjouksia.

GoBD-yhteensopivissa järjestelmissä on lokitoiminnot, ne kirjaavat kaikki muutokset ja tarjoavat yksittäisten viestien versioinnin. Tämä takaa jäljitettävyyden oikeudellisesta näkökulmasta. Kuka tahansa Microsoft 365:tä tai vastaavia alustoja käyttävä voi luoda lainmukaisen arkistointiyhteyden erikoistuneiden lisäosien tai API-rajapintojen avulla.

Erityistä huomiota on kiinnitettävä ns. Journaling tallennettavaksi: Kopio jokaisesta saapuvasta ja lähtevästä viestistä siirretään automaattisesti määritettyyn arkistoon sähköposti-infrastruktuurista riippuen. Näin tärkeiden kirjeiden vahingossa tai tahallisesti tapahtuvalle poistamiselle ei jää tilaa. Se, miten arkistointi toteutetaan, riippuu suuresti käytetystä sähköpostijärjestelmästä, minkä vuoksi on suositeltavaa olla tiiviisti yhteydessä IT-päällikköön tai arkistointiratkaisun toimittajaan.

Tekninen toteutus ja ohjelmistojen integrointi

Monet arkistointijärjestelmät mahdollistavat suoran integroinnin yleisiin ryhmäohjelmistojärjestelmiin, kuten Microsoft Outlookiin, Exchangeen, Gmailiin tai Zimbraan. Näin saapuvat ja lähtevät sähköpostiviestit voidaan automaattisesti tallentaa ja siirtää arkistoon. Arkistointi perustuu sääntöihin, jotka usein perustuvat lähettäjään, aiheeseen, aikaleimaan tai liitetiedostoihin. Vastaavalla lisäosaratkaisulla voidaan arkistoida seuraavat välineet Plesk-sähköpostiosoitteet turvallisesti - sekä etukäteen että jälkikäteen.

On ratkaisevan tärkeää, että valittu ohjelmisto täyttää GoBD:n 146 §:n 1 momentin AO kohdan vaatimukset. Tämä tarkoittaa, että sähköpostit on tallennettava ajantasaisesti, koneellisesti analysoitavissa ja jäsennellysti. Ohjelmiston on myös tuettava automaattista poistamista säilytysajan päätyttyä - tämä auttaa säästämään tallennustilaa ja järjestelmän suorituskykyä. Jotkin arkistointiratkaisut tukevat myös erikoisformaatteja, kuten .eml tai .msg, tarjoavat API:n kolmannen osapuolen järjestelmiä varten tai mahdollistavat tallentamisen pilvitallennukseen, jossa on vaatimustenmukainen tarkastustoiminto.

Toinen tekninen näkökohta on arkistoitujen sähköpostien nopeus. Tehokas ratkaisu voi maksaa itsensä nopeasti takaisin, erityisesti suuremmissa yrityksissä, jotka vastaanottavat tuhansia sähköposteja päivässä. Kun tehdään päätös tiloissa tai pilvipalvelussa toimivan vaihtoehdon puolesta, on otettava huomioon myös turvallisuuskysymykset ja verkon kaistanleveydet. Periaatteessa oma arkistointilaite tarjoaa enemmän hallintaa yrityksen sisällä - pilvipohjainen ratkaisu taas voi tarjota skaalautumis- ja ylläpitohyötyjä.

Järjestelmänvalvojien olisi jatkuvasti tarkistettava käyttöoikeuksien kirjaaminen, sillä tarkastuksen yhteydessä juuri tämä kirjaaminen voi antaa tietoa siitä, kuka ja milloin on käyttänyt arkistoituja sähköposteja ja onko niihin tehty muutoksia. Järjestelmän seuranta - IDS/IPS-järjestelmän (tunkeutumisen havaitsemis- ja estämisjärjestelmä) tapaan - voi myös auttaa havaitsemaan luvattoman manipuloinnin varhaisessa vaiheessa ja käynnistämään vastatoimet ajoissa.

Säilytysajat ja arkiston rakenne

Lakisääteiset määräajat perustuvat sähköpostin sisältöön, eivät sen muotoon. Verotuksen kannalta ero on tärkeä, sillä myös PDF-laskut, joissa on liitteitä tai tietoja arvonlisäverovelvollisuudesta, on arkistoitava. Seuraavassa taulukossa esitetään yleiskatsaus tyypillisiin arkistointivaatimuksiin:

Arkistorakenne olisi suunnattava liiketoimintaprosesseihin ja jaettava esimerkiksi kansioihin tai luokkiin, jotka vastaavat kyseistä sisältöä. Selkeä rakenne helpottaa nimittäin asiaankuuluvien sähköpostiviestien nopeaa hakemista - joko sisäisiä hakuja varten tai osana tarkastuksia. Lisäksi arkaluonteinen sisältö (kuten henkilötiedot) voidaan tallentaa erityisesti suojatuille alueille ja täyttää näin GDPR:n ja sisäisen vaatimustenmukaisuuden vaatimukset.

Tietoturva: Salaus ja pääsy suojaavat tietoja

Tietoturva on olennainen osa lainmukaista arkistointia. Jokainen tallennettu sähköposti on suojattava siten, että siihen ei pääse käsiksi luvatta. Nykyaikaiset järjestelmät salaavat siksi kaiken tallennetun sisällön lähetyksen aikana ja levossa. Lisäksi käyttöoikeuksia säännellään monitasoisella valtuutuksella esimerkiksi LDAP:n tai Active Directoryn kautta. Tämä tarkoittaa sitä, että jokainen pääsy voidaan jäljittää tarkastuksen yhteydessä.

Luotettava Sähköpostin salaus täydentää turvallisuuskonseptia. Lisäksi suositellaan automaattista järjestelmätarkistusta ja haittaohjelmien skannausta, jotta vaarantunut tai haitallinen sisältö voidaan karsia pois jo varhaisessa vaiheessa. Salatulla varmuuskopioinnilla ja toistuvilla testipalautuksilla varmistetaan arkistoitujen viestien eheys pitkällä aikavälillä.

Toinen askel, jonka IT-osastot usein ottavat, on ottaa käyttöön standardoidut tietoturvaohjeet, joita sovelletaan sekä tuottavaan sähköpostijärjestelmään että arkistoon. Näin varmistetaan, että haittaohjelmien torjuntaohjelmat, roskapostisuodattimet ja suoritettavia liitetiedostoja koskevat rajoitukset otetaan johdonmukaisesti käyttöön molemmissa ympäristöissä. Näin yritys minimoi riskin, että arkistoon pääsee saastuneita tai haitallisia tiedostoja.

Suuntaviivat ja koulutus luovat selkeyttä

Yrityksillä olisi oltava selkeät Arkistointiohjeet jotka dokumentoivat sisäiset prosessit ja vastuualueet. Sähköpostien käsittelyä koskevilla työohjeilla, määritellyillä säilytyspaikoilla, säilytysajoilla ja erityistapauksia (esim. henkilötietoja) koskevilla menettelyillä estetään tietojen katoaminen ja minimoidaan tulkinnanvaraisuus.

Koulutuskurssit auttavat työntekijöitä kehittämään tietoisuutta siitä, miten liiketoimintaan liittyviä sähköpostiviestejä käsitellään oikein. Työntekijöiden tulisi tietää, miten tunnistaa arkistoitava sisältö ja milloin tarvitaan manuaalisia toimenpiteitä. Käytännön esimerkki: kaikkien verkkotunnusten "@kunde.de" tai "@steuerberater.de" sähköpostiviestien automaattinen arkistointi. Näin turvataan järjestelmällisesti tärkeät liiketoimet.

Näiden koulutuskurssien lisäksi voi olla hyödyllistä määritellä sisäisiä yhteyspisteitä arkistointikysymyksiä varten - esimerkiksi "arkistointivastaava" tai IT-osasto. Näin työntekijöillä on tarvittaessa nopeaa apua ja arvokasta asiantuntemusta käytössään. Erityisesti uudet työntekijät hyötyvät, jos heille annetaan yleiskuva sähköpostin arkistoinnista ja sen merkityksestä ensimmäisten viikkojen aikana.

Automaatio ja vaatimustenmukaisuuden valvonta

Hienostunut automaatio helpottaa huomattavasti yrityksen sisäisten ja ulkoisten sääntöjen noudattamista. Arkistointityökalut voivat automaattisesti soveltaa poistoajankohtia, ryhmitellä sähköposteja tiettyjen sääntöjen mukaan ja luoda raportteja tallennustilanteesta ja sääntöjen rikkomisesta. Vaatimustenmukaisuudesta ei tule kertaluonteinen projekti, vaan päivittäinen osa IT-infrastruktuuria.

Kokeneet hallintovirkamiehet suorittavat säännöllisiä tarkastuksia - joko sisäisesti tai ulkoisten tarkastajien avulla. Näin varmistetaan, ettei oikeudellisesti kriittisiä puutteita ole. Lisäksi monet järjestelmät tarjoavat REST API -rajapintoja tai verkkokoukkuja, joiden avulla arkistointi voidaan yhdistää kolmannen osapuolen järjestelmiin, kuten ERP- tai DMS-järjestelmiin. Tämä vähentää manuaalisia virhelähteitä ja tukee tehokasta työskentelyä.

Usein aliarvioitu tekijä on Seuranta varastointiresursseja. Sähköpostin automaattinen arkistointi voi nopeasti kasvattaa tietomääriä, erityisesti suurten liitetiedostojen osalta. Kapasiteetin säännöllinen suunnittelu ja tallennuskapasiteetin varhainen laajentaminen estävät pullonkaulojen syntymisen. Tämä ei vaikuta ainoastaan järjestelmän suorituskykyyn, vaan sillä voidaan myös estää vanhempien sähköpostiviestien poistaminen vahingossa tai siirtäminen toiseen paikkaan.

Käytännön vinkkejä aloittelijoille ja ylläpitäjille

Toimivalla arkistointijärjestelmällä on ratkaiseva merkitys oikeudellisissa riita-asioissa tai verotarkastuksissa. Aloitan jokaisen uuden sähköpostin arkistointiprojektin inventaarion tarkistuksella: mitä on jo tallennettu ja miten? Onko olemassa varjopostilaatikoita? Onko sähköpostit poistettu tähän mennessä manuaalisesti? Vasta sen jälkeen valitaan sopiva järjestelmä.

Suosittelen myös laatimaan luettelon yrityksen tyypillisistä sähköpostityypeistä ja osoittamaan niille tietyt arkistoluokat. Esim: Laskut → 10 vuotta, sisäisten kokousten pöytäkirjat → ei arkistointivelvoitetta. Tämä vähentää epävarmuutta ja luo avoimuutta suunnitteluun. Muista ottaa huomioon skannatut paperiasiakirjat tai kolmansien osapuolten lähteistä saadut liitetiedostot ja digitoi ne sääntöjenmukaisella tavalla.

Nyrkkisäännöt auttavat käyttöönotossa: voit esimerkiksi määrittää, että kaikki sähköpostit, joissa on tietty asiakas- tai projektinumero, lähetetään oletusarvoisesti erityiseen aliarkistoon. Tämä ei ainoastaan tarjoa turvallisuutta, vaan myös parantaa huomattavasti liiketoimien jäljitettävyyttä. Jos käytät myös selkeitä nimeämissääntöjä (esim. "2023_ProjectXY_Invoice.pdf"), niiden nopea löytäminen helpottuu entisestään.

Laajennetut käytännön oppaat: Yleiset virhelähteet ja ratkaisut

Varsinkin tarkastusturvallisuuden varmistavan sähköpostin arkistoinnin käyttöönoton alkuvaiheessa törmätään tyypillisiin kompastuskiviin. Yleinen virhe on esimerkiksi olettaa, että pelkkä kaikkien sähköpostien tallentaminen riittää. Jos et kuitenkaan määrittele selkeitä sääntöjä poistoajoille ja luokittelulle, päädyt nopeasti tietovuoreen, josta kukaan ei löydä tietä. Tämä voidaan korjata seuraavilla tavoilla Rooli- ja oikeuksien mallijoka määrittää, kenellä on oikeus tarkastella tai muokata mitä luokkia.

Toinen yleinen virhe on useiden, ei-synkronoitujen arkistointijärjestelmien käyttö. Jos tietyt projektisähköpostit tallennetaan manuaalisesti paikallisiin kansioihin, kun taas toiset sähköpostit päätyvät pilviarkistoon, syntyy aukkoja tai päällekkäisyyksiä, joita ei voi enää epäselvissä tapauksissa jäljittää. Tällöin sovelletaan seuraavaa: Yksi totuuspiste - Olisi oltava keskitetty järjestelmä, joka on selkeästi vastuussa ja joka on tunnistettu arvovaltaiseksi lähteeksi.

En myöskään suosittele, että työntekijät poistavat suuria määriä tietoja postilaatikostaan ilman ennakkoneuvottelua. Vaikka viestit olisivat vain näennäisesti merkityksettömiä, huolimattomasti poistettu viestintä voi myöhemmin puuttua takuu- tai riita-asioissa. Arkistoinnin pitäisi siis tulla voimaan automaattisesti ja ilman porsaanreikiä, jotta manuaalinen suodattaminen ei ole enää mahdollista.

Järjestelmänvalvojat voivat myös tehdä testitallennuksia säännöllisin väliajoin: Tämä tarkoittaa sen tarkistamista, voidaanko arkistoidut sähköpostit palauttaa odotetulla tavalla ja ovatko tietojen eheys ja aikaleimat säilyneet oikein. Tällaiset harjoitukset edistävät luottamusta arkistoon ja paljastavat myös teknisiä tai organisatorisia puutteita, jotka voisivat jäädä huomaamatta jatkuvassa toiminnassa.

Kestävyyden varmistaminen säännöllisyydellä

Arkistoinnin on toimittava pitkällä aikavälillä - ei vain kerran käyttöönoton yhteydessä, vaan jatkuvasti päivittäin. Suunnittelen siksi säännöllisiä järjestelmätarkistuksia, tarkistan merkintöjen johdonmukaisuuden, suoritan esimerkkihakuja ja arvioin toimintolokeja. Jos dokumentoit vuosittain, milloin ja miten arkistosi toimii, säästät paljon aikaa tutkimuksilta hätätilanteessa.

Kerran vuodessa päivitän myös käytetyt ohjelmistot ja tarkistan, onko niissä uusia ominaisuuksia tai lainsäädännöllisiä muutoksia. Päivityksiä ei pidä aliarvioida - vaatimukset muuttuvat usein uusien hallinnollisten ohjeiden tai alakohtaisten suositusten vuoksi. Voit lukea lisää tästä myös oppaastamme osoitteessa oikeudelliset vaatimukset ja parhaat käytännöt.

Sähköpostin arkistointiratkaisun kestävyys määräytyy viime kädessä sen mukaan, miten hyvin se voidaan mukauttaa kasvaviin ja muuttuviin liiketoiminnan vaatimuksiin. Yritykset, jotka laajentavat tai muuttavat liiketoiminta-aluettaan, saattavat joutua määrittelemään uusia luokkia ja arkistointiluokkia. Myös integrointi muihin järjestelmiin (esim. ERP- ja CRM-järjestelmiin) voi kasvaa, ja se olisi sisällytettävä suunnitteluun jo varhaisessa vaiheessa. Koska sähköpostin arkistointia käytetään usein yhdessä muiden tietojen varmuuskopiointistrategioiden kanssa, on suositeltavaa luoda kokonaiskonsepti, joka tarjoaa riittävän puskurin tulevaa kehitystä varten.

Pitkäaikainen arkistointi edellyttää myös tietoisuutta tietosuojasäännöksistä, jotka voivat muuttua ajan myötä. Yksi esimerkki on entisten työntekijöiden tietojen säilyttäminen, erityisesti GDPR:n kannalta merkityksellisten tietojen yhteydessä. Tällöin yrityksen on punnittava, mitkä tiedot on säilytettävä edelleen ja mitkä voidaan tai pitäisi poistaa.

Myös metatietojen merkitystä aliarvioidaan: Monet arkistointijärjestelmät mahdollistavat lisätietojen, kuten avainsanojen tai asiakastunnisteiden, tallentamisen. Jos tällaisia kenttiä ylläpidetään johdonmukaisesti, arkistosta voi tulla tehokas tietovarasto, josta historialliset projektihistoriat tai asiakasviestintä löytyvät paljon helpommin. Tämä ei takaa ainoastaan oikeusvarmuutta, vaan tarjoaa myös todellista lisäarvoa päivittäisessä liiketoiminnassa.

Loppupäätelmät

Ne, jotka hoitavat sähköpostin arkistoinnin kattavasti ja ajoissa, säästävät kustannuksia ja vähentävät riskejä pitkällä aikavälillä. Puutteellinen tai jäsentymätön arkistointi voi tulla hätätilanteessa hyvin kalliiksi - olipa kyse sitten sakoista, menetetyistä oikeudenkäynneistä tai jäljittämättömästä viestinnästä johtuvista vahingoittuneista asiakassuhteista. Selkeiden ohjeiden, hyvin valitun ohjelmistoratkaisun ja säännöllisten tarkistusten avulla yritykset luovat vakaan perustan sähköpostitietojensa ammattimaiselle käsittelylle.