Zum Inhalt springen
Restow Docs

GoBD und andere Aufbewahrungsvorschriften

Das Archiv von Restow (siehe Archivierung und Journaling, verfügbar seit 0.1.0) ist auf deutsche GoBD-Anforderungen ausgelegt. Diese Seite legt dar, was das konkret bedeutet, Anforderung für Anforderung, und wirft einen Blick auf einige andere Aufbewahrungsvorschriften, nach denen gelegentlich gefragt wird (SEC Rule 17a-4, FINRA, Schweiz, Österreich), ohne für eine davon Konformität zu beanspruchen.

Anforderung → Restow-Mechanismus

Abschnitt betitelt „Anforderung → Restow-Mechanismus“
GoBD-Anforderung Restow-Mechanismus Stand
Vollständig und richtig Journaling erfasst eine Kopie, bevor ein Nutzer etwas ändern oder löschen kann; Graph-/IMAP-Sync ergänzt, was Journaling nicht sehen konnte, und markiert das entsprechend Verfügbar (Journaling ab Business)
Zeitgerecht Erfassung geschieht, bevor das Empfänger-Postfach verändert werden kann (Journaling), nicht nach einem späteren Zeitplan Verfügbar (Business)
Geordnet, nachvollziehbar Volltextsuche, Metadaten je Element, EML-/ZIP-Export mit Manifest Suche verfügbar; EML-/ZIP-Export mit Manifest und Prüfsummen verfügbar; Datei mit Kettenwerten und Nachweisbericht in Entwicklung
Unveränderbar Prüfkette über jedes archivierte Element mit täglichen Ankern; Objektsperre (WORM) auf Speicherebene, wo das Ziel es unterstützt Hash-Kette und Prüfung verfügbar; externe Anker und WORM als Standard in Entwicklung
Maschinell auswertbar Ursprungsformat erhalten (eine E-Mail bleibt eine E-Mail), Volltextsuche über Inhalt und Anhänge Verfügbar
Ursprungsformat Byte-genaue Speicherung des Originals als message/rfc822, keine konvertierte oder ausgedruckte Kopie Verfügbar
Verfahrensdokumentation Eine Vorlage je Mandant, aus der tatsächlichen Konfiguration vorausgefüllt (Erfassungsweg, Speicher, Verschlüsselung, Zugriffsrechte, Aufbewahrung, Löschverfahren, Kontrollen), die die Organisation vervollständigt. Das vollständige Dokument samt organisatorischer Prozesse bleibt nach GoBD die eigene Verantwortung der Steuerpflichtigen In Entwicklung
Änderungs-/Löschprotokollierung Jeder Löschlauf schreibt das Gelöschte in dieselbe Prüfkette Verfügbar (Business)
Festgelegte Aufbewahrungsfrist Richtlinie je Mandant, 6/8/10 Jahre oder unbegrenzt, passend zu den HGB-/AO-Fristen Verfügbar (Business)
Legal Hold (selbst keine GoBD-Anforderung, aber oft nötig neben der Aufbewahrung) Je Mandant, Postfach oder Suchergebnis, mit Begründung, Anleger und Datum; blockiert Löschung Verfügbar (Business)
Zugriffskontrolle, auditierter Zugriff Rollenbezogene Suche (Mandanten-Admin, Endnutzer, Provider-Admin mit Vier-Augen-Freigabe) In Entwicklung

Die archivspezifischen Mechanismen in dieser Tabelle (die, um die es bei „unveränderbar“ und „zeitgerecht“ nach GoBD eigentlich geht) sind ab 0.1.0 enthalten, soweit als verfügbar markiert, der Rest ist noch in Entwicklung; das vollständige Design steht unter Archivierung und Journaling, der Stand unter Archivierung. Getrennt vom Archiv verschlüsselt und isoliert Restow schon heute die Daten jedes Mandanten; jeder Lese-, Restore- oder Export-Zugriff wird in jeder Edition im manipulationserkennenden Audit-Log aufgezeichnet (wer, wann, was, in wessen Auftrag, von welcher IP); die Ansicht mit Suche und Kettenprüfung, exportierbar als CSV und PDF, kommt mit Business und ist in Entwicklung. Siehe Audit-Log.

Eine feste Aufbewahrungsfrist ist auch nicht automatisch das letzte Wort: Nach § 147 Abs. 3 AO muss ein Beleg länger aufbewahrt werden, solange er für eine noch nicht bestandskräftige Steuerfestsetzung von Bedeutung ist. Ein Löschlauf, der immer starr nach 6/8/10 Jahren löscht, ohne das zu prüfen, könnte zu früh löschen. Diese Prüfung vorzunehmen oder eine Richtlinie von Hand zu verlängern, ist die eigene Entscheidung Ihrer Organisation, nichts, was Restow automatisiert.

Ist WORM-Speicher erforderlich?

Abschnitt betitelt „Ist WORM-Speicher erforderlich?“

Nicht ausdrücklich. Randziffer 110 der GoBD nennt Zugriffsberechtigungskonzepte als Beispiel einer organisatorischen Maßnahme, die Unveränderbarkeit unterstützen kann, neben Hardware-Maßnahmen (manipulationssichere Medien) und Software-Maßnahmen (Schreibsperren, Löschmarkierungen, automatische Protokollierung, Versionierung). Dieselbe Randziffer stellt aber auch fest, dass die Aufbewahrung in einem gewöhnlichen Dateisystem die Unveränderbarkeit „regelmäßig nicht“ erfüllt, sofern nicht zusätzliche Maßnahmen das sicherstellen. Restow macht Hardware-WORM (S3-kompatibler Object Lock, COMPLIANCE-Modus) genau deshalb zum geplanten Standard-Ziel für das Archiv. Ein Dateisystem-Ziel ohne Objektsperre soll nur nach einem expliziten, auditierten Opt-out nutzbar bleiben und sich dann auf Restows Kontrollen auf Anwendungsebene (Prüfkette, Zugriffsbeschränkung, Löschprotokollierung) als die Art „zusätzlicher Maßnahmen“ stützen, die Rz. 110 meint. Ob das für Ihre Situation ausreicht, muss Ihre eigene Steuerberatung oder Prüfungsstelle beurteilen, nicht Restow.

Außerhalb Deutschlands sieht es in einem konkreten Fall anders aus. Die US-SEC Rule 17a-4(f) regelt elektronische Aufzeichnungen für Broker-Dealer: Sie verlangt entweder ein WORM-Medium („non-rewriteable, non-erasable“) oder, seit den am 12.10.2022 verabschiedeten Änderungen (wirksam 03.01.2023, Compliance-Datum 03.05.2023), eine „Audit-Trail-Alternative“: ein System, das ein geändertes oder gelöschtes Original wiederherstellen kann. Beide Wege verlangen zusätzlich eine Verpflichtungserklärung gegenüber der Aufsicht, die seit den Änderungen 2022 auch eine benannte Führungskraft abgeben kann, nicht nur eine benannte dritte Partei. Die FINRA Rule 4511 übernimmt für ihre Mitglieder denselben elektronischen Speicherstandard aus 17a-4 per Verweis, plus eine 6-Jahres-Standardfrist für jede Aufzeichnung ohne eigene festgelegte Frist.

Diese Vorschrift gilt für US-Broker-Dealer, FINRA-Mitglieder und, nach demselben Regelwerk von 2022, Security-Based-Swap-Dealer und größere Marktteilnehmer (Rule 18a-6). Sie hat keine Bedeutung für ein deutsches (oder anderes EU-)Unternehmen, das gewöhnliche Mail nach GoBD archiviert. Sollte sie für Sie dennoch relevant sein: Die Erfüllung von Rule 17a-4(f) ist eine eigene Prüfung, die Ihre Organisation mit eigener Rechtsberatung und Prüfungsstelle klären müsste, kein Zertifikat, das dieses Produkt ausstellt.

Ein paar weitere Vorschriften, kurz

Abschnitt betitelt „Ein paar weitere Vorschriften, kurz“
  • Schweiz (Art. 958f OR, konkretisiert durch die GeBüV, die Verordnung über die Führung und Aufbewahrung der Geschäftsbücher): Geschäftsbücher, Buchungsbelege und Geschäftskorrespondenz werden 10 Jahre ab Ende des Geschäftsjahres aufbewahrt. Bücher und Belege dürfen elektronisch oder auf vergleichbaren Datenträgern geführt werden (Art. 958f Abs. 3 OR); der Geschäftsbericht und der Revisionsbericht müssen schriftlich und unterzeichnet aufbewahrt werden (Art. 958f Abs. 2 OR). Die elektronische Option deckt diese beiden nicht ab. Art. 9 GeBüV legt die Medienvorgaben für die elektronische Option fest: entweder ein unveränderliches Medium, oder ein veränderliches Medium in Verbindung mit Integritätsverfahren (zum Beispiel digitale Signaturen), einer nachweisbaren Aufbewahrungszeit (zum Beispiel Zeitstempel) und dokumentierten Verfahren. Es gibt also eine WORM-ähnliche Option, aber auch eine Alternative aus veränderlichem Medium plus Kontrollen, kein striktes WORM-Gebot.
  • Österreich (BAO § 132): 7 Jahre für die meisten Unterlagen (für manche gelten längere Fristen, etwa bei Grundstücksbezug bis zu 22 Jahre), verlängert, solange ein Dokument für ein anhängiges Steuerverfahren relevant bleibt; die Frist beginnt mit Ende des Kalenderjahres, für das die Eintragungen vorgenommen wurden oder auf das sich die Unterlagen beziehen.

Keine der beiden ist ein Ziel, auf das Restows Design speziell ausgerichtet wurde. Die oben genannten Mechanismen (Journaling, Prüfkette, Aufbewahrungsrichtlinie, Legal Hold) sind grob dieselbe Art von Maßnahme, die auch diese Gesetze verlangen, aber Restow beansprucht keine Erfüllung der spezifischen Anforderungen einer dieser Vorschriften.

Was Restow nicht behauptet

Abschnitt betitelt „Was Restow nicht behauptet“

Restow behauptet keine Zertifizierung, Konformität oder Compliance mit GoBD, SEC Rule 17a-4, FINRA, SOC 2, ISO oder einem anderen Standard: kein Software-Produkt kann das für Sie zertifizieren. Die GoBD-Randziffern 179–181 stellen ausdrücklich fest, dass die Finanzverwaltung keine Positivtestate erteilt (weder im Rahmen einer Außenprüfung noch als verbindliche Auskunft), und dass das Zertifikat eines Dritten die Finanzverwaltung nicht bindet. Restow sagt stattdessen: Das Archiv ist auf deutsche GoBD-Anforderungen ausgelegt, mit den auf dieser Seite und unter Archivierung und Journaling genannten konkreten Maßnahmen. Ob ein konkreter Einsatz die Pflichten Ihrer Organisation tatsächlich erfüllt (nach GoBD oder einer anderen Vorschrift), kann nur Ihre eigene Steuerberatung, Prüfungsstelle oder Rechtsberatung für Ihre konkrete Situation bestätigen.

Quellen

Abschnitt betitelt „Quellen“

Weiterlesen

Abschnitt betitelt „Weiterlesen“

Restow 0.1.0 beta: Produktseite · Preise · Quellcode (AGPL-3.0)

Impressum & Datenschutz