Cloud-Archivierung: GeBÜV-Konformität, WORM-Prinzip und Anbieterwahl

Revisionssicherheit bedeutet, dass ein archiviertes Dokument nachträglich weder verändert noch gelöscht werden kann und während der gesamten gesetzlichen Aufbewahrungsfrist von 10 Jahren (Art. 958f OR) jederzeit lesbar und reproduzierbar bleibt. Im Cloud-Kontext wird dieses Prinzip als WORM (Write Once, Read Many) bezeichnet: Ein Beleg wird einmal geschrieben und kann danach nur noch gelesen, aber nicht mehr überschrieben oder entfernt werden.

• Unveränderlichkeit: Jeder archivierte Beleg muss in seinem Originalzustand erhalten bleiben. Nachträgliche Änderungen am Inhalt, an Metadaten oder am Dateinamen sind technisch ausgeschlossen.
• 10-jährige Abrufbarkeit: Die GeBÜV Art. 9 verlangt, dass Belege während der gesamten Aufbewahrungsfrist innert nützlicher Frist dargestellt und geprüft werden können. Ein Archiv, das nach Vertragsende Daten löscht, erfüllt diese Anforderung nicht.
• Exportierbarkeit: Belege müssen in einem allgemein gebräuchlichen Format (z. B. PDF/A, TIFF) exportiert werden können. Proprietäre Formate, die nur mit der Software des Anbieters lesbar sind, genügen nicht.
• Lösch- und Änderungsschutz: Das System muss technisch verhindern, dass Benutzer – auch Administratoren – Belege innerhalb der Schutzfrist löschen oder verändern können. Ein reiner Papierkorb-Schutz reicht nicht aus.
• Zertifizierte Lösung empfohlen: Obwohl keine offizielle GeBÜV-Zertifizierung existiert, empfiehlt die Praxis Anbieter mit anerkannten Standards wie ISO 27001 oder ISAE 3402. Diese erleichtern den Nachweis gegenüber Revisoren erheblich.

Ein Beispiel verdeutlicht die Konsequenz: Ein KMU archiviert Spesenbelege in einem Cloud-Ordner ohne WORM-Schutz. Bei einer Revision stellt die Steuerbehörde fest, dass einzelne Belege nachträglich ersetzt wurden. Die Beweiskraft der gesamten Belegablage ist damit in Frage gestellt, und die Behörde kann eine Ermessensveranlagung vornehmen.

Die GeBÜV Art. 9–10 definiert die technischen Mindestanforderungen an die Aufbewahrung geschäftsrelevanter Unterlagen auf veränderbaren Datenträgern – und Cloud-Speicher zählen dazu. Ein konformes System muss mehrere technische Schichten kombinieren, um die Integrität der Belege über die gesamte Aufbewahrungsfrist sicherzustellen.

Besonders kritisch ist die Unterscheidung zwischen logischem und physischem Löschschutz. Ein System, das Dateien lediglich aus der Benutzeroberfläche ausblendet, sie aber auf Datenbankebene weiterhin löschbar hält, erfüllt die GeBÜV-Anforderungen nicht. Der Schutz muss auf Storage-Ebene greifen, beispielsweise durch Immutable Blob Storage oder vergleichbare Technologien.

Nicht jeder Cloud-Dienst eignet sich für die revisionssichere Belegablage. Entscheidend ist, ob der Anbieter die oben beschriebenen technischen Anforderungen nativ oder über konfigurierbare Module erfüllt. Die folgende Übersicht zeigt gängige Lösungen und deren Konformitätsstatus.

Wichtig: Die Einstufung als nicht-konform bedeutet nicht, dass diese Dienste grundsätzlich ungeeignet sind. Dropbox oder Google Drive können als Zwischenspeicher für den Belegeingang dienen, sofern die Belege anschliessend in ein revisionssicheres Archivsystem überführt werden. Die Kombination aus Erfassungstool und konformem Archiv ist in der Praxis weit verbreitet.

Technische Konformität allein reicht nicht aus. Der Vertrag mit dem Cloud-Anbieter muss sicherstellen, dass die revisionssichere Archivierung über die gesamte gesetzliche Aufbewahrungsfrist gewährleistet bleibt – auch bei Anbieterwechsel, Insolvenz oder Vertragsänderungen.

• 10-jährige Datensicherung: Der Vertrag muss explizit festhalten, dass die archivierten Daten mindestens 10 Jahre ab dem Ende des Geschäftsjahres aufbewahrt werden. Verträge mit kürzerer Laufzeit benötigen eine verbindliche Verlängerungsklausel oder eine Regelung zur Datenübergabe bei Vertragsende.
• Datenportabilität: Der Anbieter muss garantieren, dass sämtliche Belege jederzeit in einem standardisierten Format (z. B. PDF/A, CSV für Metadaten) exportiert werden können. Eine Abhängigkeit von proprietären Formaten widerspricht der GeBÜV Art. 10.
• Schweizer Datenspeicherung (DSG): Das revidierte Datenschutzgesetz (DSG) verlangt, dass Personendaten nur in Länder mit angemessenem Datenschutzniveau übermittelt werden. Spesenbelege enthalten regelmässig Personendaten (Name, Reiseziel, Kreditkartendaten). Ein Rechenzentrumsstandort in der Schweiz eliminiert dieses Risiko vollständig.
• Insolvenzschutz: Der Vertrag sollte regeln, was bei einer Insolvenz des Anbieters mit den archivierten Daten geschieht. Idealerweise wird ein Escrow-Mechanismus vereinbart, der den Zugriff auf die Daten auch im Konkursfall sicherstellt.
• Service Level Agreement (SLA): Die Verfügbarkeit des Archivs muss vertraglich definiert sein. Eine Verfügbarkeit von mindestens 99.5 % sowie maximale Wiederherstellungszeiten (RTO) sind branchenüblich und sollten schriftlich festgehalten werden.

Ein konkretes Szenario: Ein KMU schliesst einen 3-Jahres-Vertrag mit einem Cloud-Archiv-Anbieter ab. Nach Vertragsende wechselt es den Anbieter, ohne die archivierten Belege zu migrieren. Sieben Jahre später verlangt die Steuerbehörde Einsicht in Spesenbelege aus dem betreffenden Zeitraum. Ohne Datenportabilitätsklausel und ohne Zugriff auf das alte Archiv fehlt der Nachweis – mit potenziell erheblichen steuerlichen Konsequenzen.