§ 23 Rechtssicheres ersetzendes Scannen / B. Organisation

Rz. 7

Um Scanprozesse beim ersetzenden Scannen nachvollziehbar und wiederholbar durchführen zu können, muss eine Verfahrensdokumentation^[3] existieren oder erstellt werden. Hierin werden neben den Abläufen des eigentlichen Scanprozesses z.B. auch die räumliche Situation, die zu nutzenden Hardware- und Softwarekomponenten, die verantwortlichen Personen und die geforderten Kompetenzen wie auch die Qualifizierung und Sensibilisierung der betroffenen Mitarbeiter festgelegt.

Rz. 8

Je nach Schutzbedürftigkeit der Dokumente müssen die jeweilige Integrität, Authentizität, Vollständigkeit, Nachvollziehbarkeit, Verfügbarkeit, Lesbarkeit, Verkehrsfähigkeit, Vertraulichkeit und Löschbarkeit gewährleistet sein.

Rz. 9

Verantwortlichkeiten interner wie externer Mitarbeiter sollten so geregelt sein, dass sich Aufgabenbereiche verschiedener Mitarbeiter nicht überschneiden und es ausgeschlossen ist, dass Teilbereiche gar nicht zugwiesen werden. Für die einzelnen Aufgaben sollten immer ein konkreter Mitarbeiter und dessen Vertretung benannt sein. Entsprechende Vertraulichkeitsvereinbarungen sind zu treffen und Verhaltensregeln und Informationspflichten bei außergewöhnlichen Vorfällen zu regeln. Geklärt werden sollten zudem insbesondere Verhaltensweisen zu den Themen Datensicherung, Datenarchivierung und evtl. notwendiger Transport der Datenträger, Datenträgervernichtung, Schutz gegen Schadsoftware (z.B. Softwareinstallation nur durch IT-Beauftragte) sowie Verhaltensregeln im Notfall (Stromausfall, vermutete Schadsoftware, Serverausfall usw.).

Rz. 10

Einige Kanzleien arbeiten hier mit zugeschnittenen IT-Richtlinien. In vielen Kanzleien sind jedoch ­nahezu keine Vorkehrungen getroffen. Das erklärt dann auch, warum sich so viele IT-Probleme zur ­Katastrophe entwickeln. Fristversäumnisse, die aufgrund technischer Probleme entstehen, sind immer ­öfter Gegenstand der Rechtsprechung des BGH, siehe auch § 22 Rdn 38 ff. nur beispielhaft zum EDV-­Kalender.

Rz. 11

Die Überprüfung der durchzuführenden Maßnahmen, z.B. bei der Datensicherung, der Vollständigkeit oder der Verfügbarkeit der Daten, sollte regemäßig zumindest stichprobenartig mit eingeplant werden. Dabei ist es anzuraten, die Kontrollen von Personen durchführen zu lassen, die üblicherweise nichts mit den durchzuführenden Maßnahmen zu tun haben, um einer "Betriebsblindheit" vorzubeugen. Diese Kontrollen sollten für eine spätere Nachvollziehbarkeit schriftlich mit Datum (evtl. mit qualifiziertem elektronischem Zeitstempel), der Art der Kontrolle und der Person (Name) des Kontrollierenden festgehalten werden. Entdeckte Unregelmäßigkeiten müssen gemeinschaftlich besprochen und entsprechende Maßnahmen zu einer zukünftigen Vermeidung ergriffen werden.

Rz. 12

Besonders wichtig ist die Festlegung, wie mit den eingescannten Dokumenten zu verfahren ist, d.h., welche Dokumente aus rechtlicher Sicht wie lange und auf welche Weise archiviert werden müssen und welche Originaldokumente nach dem Scanvorgang vernichtet werden können und welche nicht.^[4] Für Zweifelsfragen ist ein Entscheider und evtl. dessen Vertreter zu benennen.

Rz. 13

Im Rahmen der üblichen IT-Administration sind Wartungen der einzelnen Hardware- und Softwarekomponenten festzulegen und Veränderungen, Anpassungen oder Erneuerungen entsprechend zu dokumentieren.

Rz. 14

Für durch den Scanvorgang entstandene sensible Daten, die auch nach Abschluss des Scanvorgangs weiter im Hardwarespeicher verbleiben, sind Regelungen zu deren Löschung wie auch hinsichtlich des zeitlichen Ablaufs und der ausführenden Person zu treffen. Dies gilt insbesondere, wenn Speichermedien ersetzt werden und die Altkomponenten den Sicherheitsbereich der Kanzlei verlassen.

Rz. 15

Ein Outsourcing der Scanprozesse an einen unabhängigen Dienstleister zieht zusätzliche Regelungen, Verfahrensdokumentationen, Kontrollen und Vereinbarungen mit dem Drittanbieter nach sich und muss aufgrund der oft höchst sensiblen Daten in Rechtsanwaltskanzleien wohl überlegt werden (Verschwiegenheitspflicht!).

[3] Exemplarische Gliederung einer Verfahrensanweisung BSI TR 03138 Ersetzendes Scannen – Anlage V, Version 1.2.1 v. 24.6.2020, https://www.bsi.bund.de/resiscan, Stand Sep. 2022.

[4] Hinweise zur Vernichtung von Originalen sind in BSI TR03138-R, Version 1.3, v. 5.10.2021, S. 60 ff., https://www.bsi.bund.de/Resiscan, Stand Sep. 2022, enthalten.