Das DAF fragt: „Wir archivieren Rechnungen zehn Jahre lang, oder?“. Das Technikteam antwortet mit „Ja, nächtliche Backups auf dem VPS“. Der Rechnungsprüfer verlangt Beweiskraft, Beweiskette und die Unmöglichkeit einer stillschweigenden Änderung. Schweigen.
Rechtliche Archivierung und Backup beantworten zwei unterschiedliche Fragen. Das Backup: Kann ich die Website nach einem Ausfall wieder online schalten? Das Archiv: Kann ich in zehn Jahren nachweisen, was dieses Dokument enthielt, intakt und datiert? Die Verwechslung der beiden ist einer der kostspieligsten Fehler bei der gehosteten Compliance.
Zwei Ziele, zwei Architekturen
| Kriterium | Betriebssicherung | Rechtliche Archivierung |
|---|---|---|
| Ziel | Schnelle Genesung | Beweissicherung |
| Dauer | Tage bis Monate | Jahre bis Jahrzehnte |
| Bearbeiten | Zerdrücken/Rotieren | Unveränderlichkeit, WORM |
| Beweis | RTO/RPO | Zeitstempel, Versiegelung |
| Verantwortlich | Betrieb / Host | Business + DPO/Compliance |
Eine S3-Kopie mit einem Lebenszyklus von 30 Tagen ist kein Buchhaltungsarchiv. Auch ein internes NAS ohne Zugriffsprotokolle.
„Wir bewahren es lange auf“ bedeutet nicht „wir archivieren rechtmäßig“.
Technische Mindestanforderungen
Überprüfen Sie je nach Sektor (Buchhaltung, Gesundheitswesen, öffentlicher Sektor):
Integrität – kryptografischer Fingerabdruck, Manipulationserkennung, WORM-Speicher oder gleichwertig.
Rückverfolgbarkeit – wer hinterlegt, konsultiert, exportiert hat; konservierte Protokolle.
Dauerhaftes Format – PDF/A, signiertes XML, keine proprietäre Datenbank ohne Export.
Trennung der Umgebungen – getrenntes Archiv von Produktions- und Betriebssicherungen.
Vernichtungsplan – dokumentiertes Ende der gesetzlichen Dauer (Link mit Datenlöschung).
Der Host kann den Speicher bereitstellen; Die Rechtsqualifikation verbleibt in Ihrer Verarbeitungsverantwortung bzw. der Berufsausübung.
Unterkunft: Fragen an den Dienstleister
- Garantiert das Angebot Unveränderlichkeit (Objektsperre, WORM-Band) oder einfache Aufbewahrung?
- Lokalisierung von Langzeitkopien – einschließlich Wiederherstellungsreplikation?
- Administratorzugriff Host: Kann er ein Archiv spurlos löschen?
- Reversibilität am Vertragsende: Open-Format-Export, Frist, Austrittskosten?
- Nachfolgende Archivierungsunterauftragnehmer im DPA aufgeführt?
Bei sensiblen Abläufen verweisen Sie auf das Verzeichnis mit Objekt-Cloud- und Unveränderlichkeitsangeboten oder zertifizierten Anbietern elektronischer Archivierung – ohne eine undokumentierte Zertifizierung zu erfinden.
Der Gipfel: Zehn Jahre Backup ≠ zehn Jahre Beweis
Entscheide dich und gehe ohne blinden Fleck voran
Inventarisieren Sie die archivierungspflichtigen Dokumente. Beachten Sie jeweils die gesetzliche Dauer, das erwartete Format, die erforderlichen Nachweise und den Geschäftsführer. Trennen Sie Archiv-Volumes oder Buckets von betrieblichen Backups. Dokumentieren Sie alles im DSGVO-Register. Siehe E-Mail-Aufbewahrung, wenn E-Mails in den Geltungsbereich fallen. Vergleichen Sie Speicher und Speicherort über Vergleich und Speicherort der Backups.
Häufig gestellte Fragen
Stellt ein tägliches Backup eine legale Archivierung dar?
Nein. Backup zielt darauf ab, nach einem Vorfall wiederherzustellen. Ziel der rechtlichen Archivierung ist die schlüssige Aufbewahrung über den gesetzlichen Zeitraum hinweg, mit Integrität, Rückverfolgbarkeit und oft qualifizierter Versiegelung oder Zeitstempelung.
Kann der Webhost als Archiv fungieren?
Selten allein. Ein gemeinsam genutzter oder standardmäßiger S3-Bucket bietet nicht automatisch einen Beweiswert. Je nach Branche sind oft zertifizierte Archivierungsangebote oder ein spezialisierter Dritter erforderlich.
Welche Haltbarkeitsdauern gibt es?
Sie hängen von der Art des Dokuments ab – Buchhaltung, Handel, Personalwesen, Gesundheit. Ordnen Sie die Verpflichtungen nach Ablauf zu, bevor Sie sich für die technische Aufbewahrung beim Host entscheiden.
Archiv außerhalb der EU?
Nur mit Rechtsgrundlage, entsprechenden Garantien und dokumentierter Übertragungsanalyse. Für die Archivierung vertraulicher Dokumente sind häufig ein EU-Wohnsitz oder erweiterte Sicherheitsmaßnahmen erforderlich.
Die richtige Frage lautet nicht: „Wie lange lagern wir?“ » – es ist „Welche Beweise werden wir in zehn Jahren haben?“ »