Verfahrensdokumentation

1. System (GeBüV Art. 4)

Magic Heidi Archiv ist eine Webanwendung zur Aufbewahrung von Geschäftsunterlagen. Dokumente liegen in Google Cloud Storage, das Verzeichnis und das Protokoll in Google Cloud Firestore, beides in der Region europe-west6 (Zürich). Unterauftragnehmer: Google Cloud (Speicherung, Betrieb, Anmeldung), Vercel (Auslieferung der Seiten der Website; erhält keine archivierten Dokumente) und die Zeitstempelstellen DigiCert und FreeTSA, die ausschliesslich Prüfsummen erhalten.

2. Archivierung (GeBüV Art. 9 Abs. 1 Bst. b Ziff. 1 und 2)

Dokumente werden als einzelne Dateien oder als ZIP hochgeladen; ein ZIP wird in seine Dateien zerlegt. Jede Datei wird unverändert gespeichert, es findet keine Konvertierung statt.

Beim Eingang berechnet der Server die SHA-256-Prüfsumme der Datei. Prüfsumme, Zeitpunkt, Benutzer und Dateipfad werden als Eintrag im Protokoll festgehalten. Jeder Protokolleintrag enthält die Prüfsumme des vorangehenden Eintrags (Verkettung); ein nachträglich geänderter, entfernter oder eingefügter Eintrag ist dadurch erkennbar.

Nach jeder Archivierung, Löschung, Prüfung und jedem Export, mindestens aber täglich, holt der Server für den neuesten Protokolleintrag einen Zeitstempel nach RFC 3161 bei einer externen Zeitstempelstelle ein. Über die Verkettung belegt dieser Zeitstempel auch alle früheren Einträge. Die Zeitquelle ist weder vom Anbieter noch vom Kunden beeinflussbar. Ist die Zeitstempelstelle nicht erreichbar, wird der Zeitstempel mit der nächsten Änderung nachgeholt.

Inhaltlich identische Dateien werden pro Archiv nur einmal gespeichert; leere Dateien werden abgelehnt.

3. Unveränderbarkeit und Aufbewahrungsfrist (OR Art. 958f Abs. 1; GeBüV Art. 3 und 5)

Die Aufbewahrungsfrist beginnt mit dem Ablauf des Geschäftsjahres, dem ein Dokument beim Hochladen zugeordnet wird, und dauert 10 Jahre; für Unterlagen zu Immobilien können 20 oder 26 Jahre gewählt werden.

Jedes Dokument wird mit einer Aufbewahrungssperre bis zum Fristende im Speicher abgelegt. Bis dahin verweigert der Speicher selbst jedes Löschen und Überschreiben, unabhängig von der Anwendung und für alle Rollen. Nach Fristende kann der Archivverantwortliche ein Dokument löschen; die Löschung wird protokolliert, der Protokolleintrag bleibt bestehen. Eine automatische Löschung findet nicht statt.

4. Protokoll (GeBüV Art. 8; Art. 9 Abs. 1 Bst. b Ziff. 4)

Protokolliert werden: Erstellung des Archivs, Archivierung, Abruf und Löschung von Dokumenten, Exporte, Integritätsprüfungen, das Erteilen und Entziehen von Lesezugriffen sowie Beginn und Abschluss von Importen, jeweils mit Zeitpunkt und Benutzer. Das Protokoll kann nur fortgeschrieben werden und wird so lange aufbewahrt wie das Archiv.

5. Regelmässige Prüfung (GeBüV Art. 10 Abs. 1)

Täglich werden alle Dokumente gelesen und mit ihrer Prüfsumme verglichen; zusätzlich wird die Verkettung des Protokolls geprüft. Das Ergebnis wird protokolliert. Abweichungen werden als Fehler gemeldet; der Anbieter klärt die Ursache und informiert den Kunden. Die Prüfung kann jederzeit auch von Hand ausgelöst werden.

6. Datenmigration (GeBüV Art. 10 Abs. 2 und 3)

Wird der Speicherort gewechselt, so werden alle Dokumente mit ihren Prüfsummen übertragen, die Vollständigkeit und Richtigkeit anhand der Prüfsummen nachgewiesen und der Vorgang im Protokoll des Archivs festgehalten. Formatumwandlungen finden nicht statt.

7. Zugriffsschutz (GeBüV Art. 8)

Der Zugang erfolgt ohne Passwort über einen einmalig gültigen Anmeldelink, der an die E-Mail-Adresse des Kontos gesendet wird; alle Verbindungen sind verschlüsselt. Jedes Archiv gehört genau einem Konto, dem der archivverantwortlichen Person; der Server ordnet jede Anfrage dem Archiv des angemeldeten Kontos zu. Die archivverantwortliche Person kann weiteren Personen über deren E-Mail-Adresse Lesezugriff erteilen und wieder entziehen. Personen mit Lesezugriff können Dokumente ansehen, herunterladen, prüfen und exportieren, aber nichts hinzufügen oder löschen; ihre Zugriffe werden unter ihrer eigenen Adresse protokolliert. Die Datenbank und der Speicher sind von aussen nicht direkt erreichbar. Dokumente werden über kurzlebige, einzeln ausgestellte Verweise abgerufen.

8. Schutz vor Verlust (GeBüV Art. 5)

Dokumente werden in mehreren Rechenzentren der Region Zürich redundant gespeichert. Verzeichnis und Protokoll werden täglich gesichert und lassen sich zusätzlich auf jeden Zeitpunkt der letzten sieben Tage zurücksetzen.

9. Einsicht, Export und Ausstieg (GeBüV Art. 6; OR Art. 958f Abs. 3)

Dokumente können gesucht, geöffnet und gedruckt werden. Öffnen, Herunterladen und Export setzen einen aktiven Plan voraus (kostenlose erste zwölf Monate, Jahresabo oder Magic-Heidi-Abo; Nutzungsbedingungen, Ziffer 3). Ohne aktiven Plan bleiben Verzeichnis, Protokoll und Integritätsprüfung einsehbar, und die Dokumente bleiben bis zum Fristende gesperrt gespeichert; sie lassen sich aber erst wieder öffnen und exportieren, wenn ein Abo besteht. Der Export liefert alle Dokumente, ein Verzeichnis mit den Prüfsummen (manifest.csv) und das vollständige Protokoll mit den Zeitstempeln (journal.json). Prüfsummen, Protokollkette und Zeitstempel lassen sich ohne diese Software nachprüfen; die Anleitung liegt dem Export bei (LIESMICH.txt). Der Export dient auch der Übergabe an Revisionsstelle und Behörden sowie dem Wechsel zu einem anderen System.