Fremde Unterlagen im Auftrag aufbewahren

Für kleine Organisationen kann es ein Problem darstellen, über mehrere Jahre die Zugreifbarkeit und die nachweisbare Authentizität (Echtheit, Herkunft und Zeitpunkte) sowie Integrität (Unverändertheit und Vollständigkeit) ihrer inaktiven Geschäftsunterlagen zu gewährleisten.

Outsourcing — Eine Lösung kann die Beauftragung eines externen Dienstleisters sein, der Archivdaten speichert bzw. Papier oder Datenträger lagert. Die Zugänglichkeit des Archivguts und dessen Aufbewahrungszeiten werden in einem Service Level Agreement (SLA) geregelt.
Verantwortlichkeit — Privatrechtliche Unternehmen müssen sich jedoch bewusst sein, dass sie dabei während gesetzlichen Aufbewahrungsfristen weiterhin die alleinige Verantwortung für die Aufbewahrung tragen — der Dienstleister wird höchstens vertaglich schadenersatzpflichtig.
Vertrauenswürdigkeit — Der gewählte Archivdienstleister muss vertrauenswürdig sein und die Aufbewahrung der ihm anvertrauten Unterlagen unter Erhalt ihrer ursprünglichen Beweiskraft über den ganzen Aufbewahrungszeitraum gewährleisten können.

Private Depositär-Dienstleister für elektronische Unterlagen und Daten gibt es zum Beispiel bei wissenschaftlichen Primärdaten sowie beim Datenaustausch zwischen Akteuren im Gesundheitswesen, im (nicht-staatlichen) Notariatswesen und bei der elektronischen Rechnungstellung für KMU.

Der Standard ISO/TR 17068:2012 «Trusted third party repository for digital records» (TTPR) definiert Anforderungen an einen vertrauenswürdigen Depositär-Dienstleister, basierend auf ISO 15489 («Records Management») und ISO 14721 («Open Archival Information System»). Er stammt vom selben ISO-Komitee «Archives/Records Management», das auch ISO 15489 erstellt hat.

ISO/TR 17068 richtet sich nicht an staatliche Archive, Bibliotheken oder Museen, die einen gesetzlichen Auftrag zur Aufbewahrung haben. Ein privater Archivdienstleister kann kein OAIS-konformes Archiv im Sinne von ISO 14721 sein (also die Kriterien für vertrauenswürdige Archivsysteme nach ISO 16363 oder DIN_31644 erfüllen), weil er nicht der verantwortliche Eigentümer der aufbewahrten Unterlagen ist.

Beschränkung — «Vertrauenswürdigkeit» im Sinne von ISO/TR 17068 beschränkt sich auf die Bewahrung der Authentizität, Integrität und Originalität im Sinne der Qualitätsmerkmale von ISO 15489, beinhaltet jedoch nicht die Zuverlässigkeit und Benutzbarkeit der Unterlagen.
Zugreifbarkeit — Das bedeutet, dass nach ISO/TR 17068 der Kunde seine Unterlagen bereits in einer Form an den Archivdienstleister übergibt, die dieser mit seiner Infrastruktur ohne Änderungen von Inhalt oder Format während der ganzen Aufbewahrungszeit darstellbar halten kann.
Elektronische Signaturen — Zur Gewährleistung der Authentizität und Integrität sieht ISO/TR 17068 in allen beschriebenen technischen Prozessen den konsequenten Einsatz qualifizierter elektronischer Zeitstempel und Signaturen nach dem Signaturgesetz des jeweiligen Landes vor.

Qualifizierte Zeitstempel und Signaturen sind streng genommen die einzige Möglichkeit, im juristischen Sinne die Beweiskraft von Unterlagen zu gewährleisten, die in die Obhut eines Dritten gegeben werden.

In einem Gerichts- oder Verwaltungsverfahren, in dem Unterlagen als Beweismittel vorgelegt werden, ist der Eigentümer der Unterlagen Partei, nicht aber der Archivdiensleister. Ist der Eigentümer dabei auf Aussagen eines vertraglich an ihn gebundenen Dritten angewiesen, so mindert dies seine Chancen.

ISO/TR 17068 beschreibt unterschiedliche SLA-Varianten für private Depositärdienstleister, die Mehrwert-Dienste anbieten. Die wichtigste Variante ist, dass der Depositär auch als vertrauenswürdiger Intermediär beim asynchronen Austausch von Unterlagen zwischen seinen Kunden auftritt (siehe Abbildung oben).

Der Standard ISO 14641-1:2012 «Electronic archiving – Part 1: Specifications concerning the design and the operation of an information system for electronic information preservation» ist komplementär zum oben beschrieben Standard ISO/TR 17068. Während letzterer ein funktionales (Geschäfts-)modell für Archivdienstleister beschreibt, spezifiziert ISO 14641 primär auf der Ebene der technischen Speicherung die Anforderungen an Design, Betrieb und Zugriffssicherheit von Systemen zur integeren und authentischen Aufbewahrung von Unterlagen.

Bitstream Preservation — ISO 14641-1 bezieht sich auf Deposit-Archivsysteme, bei denen der Depositär die Dokumente nicht verändern kann (und darf), nachdem sie vom Hinterleger (Kunde) übergeben wurden. Wie bei ISO/TR 17068 (siehe oben) kann der Depositär kein OAIS-Archiv sein, weil er nicht der verantwortliche Eigentümer der hinterlegten Unterlagen ist und sich auf die Gewährleistung der Integrität und Authentizität der gespeicherten Bitströme beschränken muss.
Restitution und Vernichtung — Entsprechend kann der Depositär nur zwei zusätzliche Dienstleistungen anbieten: Die Wiederherstellung und Übergabe (Restitution) des originalen hinterlegten Bitstroms (Dokument) an den Hinterleger und die sichere Vernichtung (Disposal) des hinterlegten Bitstroms nach Ablauf der vertraglich vereinbarten Aufbewahrungsfrist.
Vertragsmodell — Der Standard beschreibt Empfehlungen für Dienstleistungsvereinbarungen (Service contract model) zwischen Depositär und Hinterleger. Dies betrifft insbesondere den Einbezug von Subunternehmern sowie die Regelung der organisatorischen, techischen und rechtlichen Fragen zur Übertragbarkeit der Deposit-Dienstleistung an einen anderen Depositär und die gewollte oder unerwartete Auflösung des Deposit-Vertrages.