Kirchliche Aufbewahrungsfristen, Kassationsordnungen und Archivgesetze in Microsoft Purview abbilden

Es gibt in der kirchlichen Verwaltung zwei Sätze, die man bei Projektbeginn regelmäßig hört und die beide nicht stimmen. Der erste lautet: „Wir löschen eigentlich nie etwas.“ Der zweite lautet: „Der Datenschutz zwingt uns zu löschen.“ Die Wahrheit liegt nicht in der Mitte, sondern quer dazu. Ein kirchlicher Träger unterliegt gleichzeitig einer Löschpflicht aus dem kirchlichen Datenschutzrecht, einer Aufbewahrungspflicht aus dem staatlichen Steuer-, Handels- und Sozialrecht und – das ist die Besonderheit, die in keinem Mittelstandsprojekt vorkommt – einer Anbietungspflicht gegenüber dem eigenen kirchlichen Archiv. Wer eine dieser drei Pflichten ignoriert, verstößt gegen geltendes Recht. Wer alle drei gleichzeitig erfüllen will, braucht mehr als einen Papierkorb mit 30 Tagen Aufbewahrung.

Dieser Beitrag beschreibt, wie Sie die Fristenlandschaft eines kirchlichen Trägers in Microsoft Purview abbilden: mit einer Aufbewahrungsrichtlinie als Grundsicherung für den Tenant, mit Aufbewahrungsbezeichnungen als Übersetzung Ihrer Kassationsordnung, mit der Datensatzverwaltung dort, wo etwas wirklich unverrückbar sein muss, und mit der Dispositionsüberprüfung als digitalem Gegenstück zum Kassationsprotokoll. Und er beschreibt ebenso deutlich, was Purview nicht leistet – zum Beispiel die Abgabe ans landeskirchliche Archiv oder ins Bistumsarchiv. Diese Schnittstelle bauen Sie selbst, oder sie existiert nicht.

Die evangelische und die katholische Seite werden hier durchgehend gleichwertig behandelt. Die Rechtsgrundlagen heißen unterschiedlich, die Mechanik ist verblüffend ähnlich: Beide Kirchen haben ein eigenes Archivrecht, beide kennen einen Vorrang dieses Archivrechts vor dem eigenen Datenschutzrecht, beide verbieten die eigenmächtige Vernichtung von Unterlagen, und beide haben Fristenwerke, die in den Details von Landeskirche zu Landeskirche und von Bistum zu Bistum abweichen. Genau deshalb finden Sie in diesem Beitrag Paragrafennummern nur dort, wo sie gegen eine Primärquelle geprüft sind, und sonst die ehrliche Formulierung „laut Kassationsordnung Ihrer Landeskirche beziehungsweise Ihres Bistums“.

Die Einordnung, warum kirchliche Träger technisch normale, rechtlich aber eigenständige Microsoft-365-Kunden sind, finden Sie im Überblicksbeitrag Microsoft 365 in Kirche, Diakonie und Caritas. Dieser Beitrag hier setzt genau dort an und geht eine Ebene tiefer.

Fakten: Drei Pflichten, die gleichzeitig gelten Löschen: Das Datenschutzgesetz der EKD und das Kirchliche Datenschutzgesetz der katholischen Kirche verlangen die Löschung personenbezogener Daten, sobald die Kenntnis für die Aufgabenerfüllung nicht mehr erforderlich ist. Aufbewahren: Die Abgabenordnung sortiert Unterlagen in § 147 Abs. 3 nach Fristen von zehn, acht und sechs Jahren; die Frist läuft nicht ab, solange die Unterlagen für Steuern von Bedeutung sind, deren Festsetzungsfrist noch nicht abgelaufen ist. Für Behandlungsakten schreibt § 630f Abs. 3 BGB zehn Jahre nach Abschluss der Behandlung vor, soweit andere Vorschriften nichts anderes bestimmen. Anbieten: Das kirchliche Archivrecht verlangt, Unterlagen vor der Vernichtung dem zuständigen kirchlichen Archiv anzubieten. Ohne dessen Entscheidung darf nicht vernichtet werden. Diese Pflicht schlägt die Löschpflicht – sie ist keine Kür.

 

Zwei Rechtskreise, ein Fristenspiegel

Bevor Sie im Purview-Portal auch nur eine Bezeichnung anlegen, brauchen Sie eine Liste. Nicht eine schöne, nicht eine vollständige – eine belastbare. Jede Zeile dieser Liste beantwortet vier Fragen: Um welche Schriftgutart geht es? Wie lange ist sie aufzubewahren, und aus welcher Quelle folgt das? Wie wird das im Tenant umgesetzt? Und was passiert am Fristende – Kassation oder Abgabe ans Archiv? Diese Liste ist das eigentliche Projektergebnis. Die Konfiguration in Purview ist danach vergleichsweise mechanisch.

Das kirchliche Archivrecht: Anbietung vor Vernichtung

Auf evangelischer Seite regelt ein Archivgesetz, was Archivgut ist und wie damit umzugehen ist. Das Archivgesetz der Union Evangelischer Kirchen etwa definiert kirchliches Archivgut als archivwürdige Unterlagen, die bei kirchlichen Stellen und deren Rechts- und Funktionsvorgängern entstanden sind, und nennt Kirchenbücher und andere Amtsbücher ausdrücklich als Unterlagenart. Die Anbietungspflicht ist dort in § 11 geregelt: Kirchliche Stellen haben dem zuständigen Archiv alle Unterlagen, die sie zur Erfüllung ihrer Aufgaben nicht mehr benötigen, unverzüglich und unverändert anzubieten, spätestens 30 Jahre nach der letzten inhaltlichen Ergänzung. Und dann folgt der Satz, der jedes Löschkonzept diszipliniert: Vor der Entscheidung des Archivs dürfen Unterlagen von der anbietungspflichtigen Stelle ohne Zustimmung nicht vernichtet werden.

Auf katholischer Seite tut die Anordnung über die Sicherung und Nutzung der Archive der katholischen Kirche, kurz Kirchliche Archivordnung oder KAO, dasselbe. Sie gilt für die Diözese, für Pfarreien und Kirchenstiftungen und ausdrücklich auch für Gliederungen der Caritas. Sie verlangt die Anbietung nicht mehr benötigter Unterlagen ans Archiv, spätestens 30 Jahre nach Entstehung, und stellt fest, dass Archivgut auf Dauer zu erhalten und unveräußerlich ist. Besonders wichtig für jedes Datenschutzprojekt: Das Katholische Datenschutzzentrum stellt klar, dass die KAO dem Gesetz über den Kirchlichen Datenschutz als besondere kirchliche Rechtsvorschrift im Sinne von § 2 Abs. 2 KDG vorgeht. Das evangelische Recht führt zum gleichen Ergebnis: Die Regelungen des kirchlichen Archivrechts bleiben von den Löschvorschriften unberührt.

Für die Praxis heißt das: Die örtlich Beauftragte oder der örtlich Beauftragte für den Datenschutz kann nicht einfach ein Löschkonzept beschließen und es durchziehen. Vor der ersten Löschung gehört das Archiv an den Tisch. Das ist kein Formalismus, das ist eine Zuständigkeitsfrage. Wer sie überspringt, produziert zwei Probleme gleichzeitig: einen Rechtsverstoß und einen unwiederbringlichen Verlust.

Kassationsordnung und Kassationsplan

Das Archivgesetz sagt, dass angeboten werden muss. Wie lange vorher aufbewahrt wird, steht in der Aufbewahrungs- und Kassationsordnung und dem dazugehörigen Aufbewahrungs- und Kassationsplan. Der Plan ist die eigentliche Fristentabelle: Schriftgutart, Frist, Vermerk „dauernd“ oder „kassabel“. Erlassen wird er auf landeskirchlicher Ebene, in der Regel durch das Landeskirchenamt oder die entsprechende Stelle; im Bistum kommt die Regelung aus dem Generalvikariat beziehungsweise über die Archivordnung.

Zwei Details aus diesen Ordnungen verdienen besondere Aufmerksamkeit, weil sie direkt auf die Konfiguration durchschlagen. Erstens das Stichjahr: Die Aufbewahrungs- und Kassationsordnung der Evangelischen Kirche im Rheinland bestimmt in § 6 Abs. 2, dass Unterlagen aus der Zeit vor 1950 nicht ohne Genehmigung des zuständigen Archivs vernichtet werden dürfen. Eine vergleichbare Regelung mit demselben Stichjahr findet sich in der Kassationsordnung für kirchliche Archive auf Ebene der Union Evangelischer Kirchen, dort mit Genehmigungsvorbehalt des Evangelischen Zentralarchivs in Berlin. Zweitens die Medienneutralität: Dieselbe rheinische Ordnung erstreckt sich ausdrücklich auf analoge und elektronische Unterlagen unabhängig von ihrer Aufzeichnungs- und Speicherungsform und verlangt, bei elektronischen Unterlagen mehrere Versionen, Formate und Speicherorte zu berücksichtigen.

Wichtig: Mehrere Versionen, Formate und Speicherorte Dieser eine Halbsatz aus der Kassationsordnung ist der Grund, warum ein Löschkonzept für Microsoft 365 nicht bei SharePoint aufhören darf. Ein Protokoll existiert typischerweise als Entwurf in OneNote, als Anhang in drei Postfächern, als Datei im Gremien-Team, als Versionshistorie in der Dokumentbibliothek und als PDF auf einem Netzlaufwerk. Purview greift auf Postfächer, Websites, OneDrive sowie Teams-Chats und Kanalnachrichten zu – aber nur dort, wo Sie es konfiguriert haben. Das Netzlaufwerk erwischt es nie.

 

Der staatliche Rechtskreis: Steuern, Handel, Sozialrecht

Parallel dazu gilt das ganz normale staatliche Recht, und zwar in vollem Umfang. Ein diakonisches Werk ist steuerlich ein Steuerpflichtiger wie jeder andere, ein katholischer Krankenhausverbund führt Bücher wie jeder andere Krankenhausträger. § 147 Abs. 3 der Abgabenordnung sortiert die Unterlagen: Bücher, Aufzeichnungen, Inventare, Jahresabschlüsse, Lageberichte, Eröffnungsbilanz und die zu ihrem Verständnis erforderlichen Arbeitsanweisungen sowie zollrechtliche Unterlagen zehn Jahre; Buchungsbelege acht Jahre; empfangene und abgesandte Geschäftsbriefe sowie sonstige steuerlich relevante Unterlagen sechs Jahre. Die Verkürzung für Buchungsbelege von zehn auf acht Jahre kam durch das Bürokratieentlastungsgesetz IV und gilt seit dem 1. Januar 2025; für Kreditinstitute, Versicherungen und Wertpapierinstitute gibt es eine Übergangsregelung.

Im diakonischen und caritativen Betrieb kommen die Fachfristen dazu. Für die Behandlungsakte nennt § 630f Abs. 3 BGB zehn Jahre nach Abschluss der Behandlung, soweit nicht nach anderen Vorschriften andere Fristen bestehen – und genau dieses „soweit nicht“ ist in Pflege, Jugendhilfe und Beratungsarbeit der Normalfall. Welche Frist eine Hilfeplanakte in der Jugendhilfe, eine Pflegedokumentation oder eine Beratungsakte der Schwangerschaftskonfliktberatung hat, klärt der Fachbereich mit der Rechtsabteilung und dem Spitzenverband, nicht die IT und nicht ein Artikel im Internet. Was die IT liefern muss, ist die Fähigkeit, jede geklärte Frist sauber umzusetzen und nachzuweisen.

Skizze 1: Kirchliches und staatliches Recht laufen im Fristenspiegel des Trägers zusammen – und erst von dort aus in die Konfiguration.

Rechtsquelle	Wer erlässt sie	Was sie regelt	Aufsicht bzw. Instanz
Archivgesetz der Landeskirche	Synode bzw. Kirchenleitung	Archivgut, Anbietungspflicht, Schutzfristen, Vernichtungsverbot	Landeskirchliches Archiv
Aufbewahrungs- und Kassationsordnung mit Kassationsplan	Landeskirchenamt bzw. Kirchenleitung	Konkrete Fristen je Schriftgutart, Verfahren der Kassation	Landeskirchliches Archiv
Kirchliche Archivordnung (KAO)	Diözesanbischof, veröffentlicht im Amtsblatt	Archivgut, Anbietung, Erhaltungspflicht, Schutzfristen	Diözesanarchiv
DSG-EKD	Synode der EKD	Löschpflicht, Betroffenenrechte, Auftragsverarbeitung	BfD EKD
KDG	Verband der Diözesen Deutschlands, Inkraftsetzung im Bistum	Löschpflicht, Betroffenenrechte, Auftragsverarbeitung	Diözesandatenschutzbeauftragte bzw. Katholisches Datenschutzzentrum
Abgabenordnung, Handelsrecht	Bundesgesetzgeber	Steuerliche und handelsrechtliche Aufbewahrung	Finanzamt, Wirtschaftsprüfung
Fachrecht (BGB-Behandlungsvertrag, Sozialrecht, Landesrecht)	Bundes- und Landesgesetzgeber	Behandlungs-, Pflege- und Hilfeakten	Heimaufsicht, Kostenträger, Landesdatenschutz bei staatlicher Aufgabe
MVG-EKD, MAVO	EKD-Synode bzw. Diözesanbischof	Mitbestimmung bei technischen Einrichtungen	MAV, Schlichtungsstelle, Kirchliche Arbeitsgerichtsbarkeit

 

Die Purview-Werkzeuge, ehrlich sortiert

Microsoft Purview bietet für Aufbewahrung und Löschung zwei Familien von Werkzeugen, die gern verwechselt werden: Aufbewahrungsrichtlinien und Aufbewahrungsbezeichnungen. Der Unterschied ist keine Geschmacksfrage. Eine Aufbewahrungsrichtlinie wirkt auf einen Speicherort und erfasst alles, was dort liegt, ohne dass jemand etwas anklicken muss. Eine Aufbewahrungsbezeichnung wirkt auf ein einzelnes Element und muss dorthin gelangen – manuell, als Standardbezeichnung einer Bibliothek oder automatisch über eine Regel. Für einen kirchlichen Träger brauchen Sie beides: die Richtlinie als Netz, die Bezeichnung als Skalpell.

Schicht 1: Die Standard-Aufbewahrungsrichtlinie für den Träger

Die erste Konfiguration, die in einem kirchlichen Tenant stehen sollte, ist eine trägerweite Aufbewahrungsrichtlinie mit der Aktion „beibehalten“ auf Exchange, SharePoint, OneDrive, Microsoft-365-Gruppen sowie Teams-Chats und Kanalnachrichten. Sie erledigt drei Dinge auf einmal: Sie verhindert, dass ein versehentlich gelöschtes Dokument endgültig weg ist, sie stellt die steuerlich relevanten Unterlagen sicher, und sie hält die Tür für die spätere Anbietung ans Archiv offen. Technisch passiert dabei Folgendes: Wird ein Element bearbeitet oder gelöscht, wandert eine Kopie in die permanente Aufbewahrungsbibliothek der Website, bei Postfächern in den Ordner „Wiederherstellbare Elemente“, bei Teams-, Viva-Engage-, Copilot- und KI-App-Nachrichten in den verborgenen Unterordner „SubstrateHolds“. Für die Benutzerinnen und Benutzer ist davon nichts sichtbar.

Zwei Nebenwirkungen sollten Sie einplanen. Erstens Speicherplatz: Die permanente Aufbewahrungsbibliothek zählt auf das Speicherkontingent der Website. In einem Kirchenkreis mit vielen kleinen Gemeindeteams fällt das kaum auf, in einem Krankenhausverbund mit großen Fachbereichsbibliotheken durchaus. Zweitens die Nachfrist: Heben Sie eine Aufbewahrungsrichtlinie für SharePoint und OneDrive wieder auf, bleiben die betroffenen Inhalte noch 30 Tage erhalten, damit kein versehentlicher Datenverlust entsteht. Schließen Sie dagegen einzelne Websites gezielt aus der Richtlinie aus, greift diese Gnadenfrist nicht.

Schicht 2: Bezeichnungen und Dateiplan als Abbild der Kassationsordnung

Die Kassationsordnung wird in Purview zu einer Liste von Aufbewahrungsbezeichnungen. Verwalten sollten Sie diese Liste nicht im Bereich Datenlebenszyklusverwaltung, sondern im Dateiplan der Datensatzverwaltung. Dort können Sie Bezeichnungen per CSV im Stapel importieren und exportieren – was bei vierzig bis achtzig Zeilen Kassationsplan den Unterschied zwischen einem Nachmittag und einer Woche ausmacht – und Sie bekommen Dateiplandeskriptoren, also zusätzliche Metadatenfelder je Bezeichnung: Referenz-ID, Funktion oder Abteilung, Kategorie, Unterkategorie, Autoritätstyp sowie Bestimmung beziehungsweise Zitat samt Fundstelle und Zuständigkeit.

Diese Deskriptoren sind für kirchliche Träger wertvoller als für die meisten anderen Organisationen. In das Feld für Bestimmung und Zitat schreiben Sie die konkrete Fundstelle: „Aufbewahrungs- und Kassationsplan der Landeskirche, Ziffer …“ oder „KAO des Bistums, § …“ oder „§ 147 Abs. 3 AO“. Damit beantwortet der Export aus dem Dateiplan die Frage, die bei jeder Prüfung durch den BfD EKD oder die Diözesandatenschutzbeauftragten kommt: Woher stammt diese Frist eigentlich? Ein CSV-Export mit Bezeichnung, Frist, Aktion und Fundstelle ist eine bessere Antwort als jede PowerPoint-Folie.

Tipp: Bezeichnungsnamen sind für die Ewigkeit Der Name einer Aufbewahrungsbezeichnung lässt sich nach dem Speichern nicht mehr ändern, ebenso wenig die Entscheidung, ob sie Elemente als Datensatz markiert. Änderbar ist im Wesentlichen nur die Aufbewahrungsdauer. Legen Sie deshalb vor dem ersten Import eine Namenskonvention fest, die zehn Jahre trägt, etwa „KIR-030 Gremienprotokoll dauernd“ oder „DIA-210 Klientenakte Beratung“. Das Präfix aus Bereich und Ziffer des Kassationsplans macht den Dateiplan sortierbar und den Abgleich mit der Papierregistratur möglich. Zweite Grenze, die man kennen sollte: Beim Import über die Vorlage ist die maximale Aufbewahrungsdauer 36 525 Tage, also 100 Jahre. Alles darüber – und „dauernd“ im Sinne der Kassationsordnung ist genau das – konfigurieren Sie als „Unlimited“.

 

Ergänzung zu Schicht 2: Ereignisbasierte Aufbewahrung für „Frist ab Ereignis“

Viele kirchliche Fristen laufen nicht ab Erstellung, sondern ab einem Ereignis: zehn Jahre nach Abschluss der Behandlung, eine bestimmte Zahl von Jahren nach Ende des Dienstverhältnisses, eine Frist nach Abschluss des Bauvorhabens, eine Frist nach Ende der Hilfe. Genau dafür gibt es die ereignisbasierte Aufbewahrung. Sie legen einen Ereignistyp an, verknüpfen ihn mit einer Bezeichnung und vergeben pro Element eine Asset-ID, etwa eine Personalnummer oder eine Fallnummer; bei Exchange-Elementen übernehmen Schlüsselwörter diese Rolle. Tritt das Ereignis ein, erzeugen Sie im Portal oder über die Records-Management-APIs von Microsoft Graph ein Ereignis mit Datum und Asset-ID, und ab diesem Datum läuft die Frist.

Drei Fallstricke gehören in jede Betriebsdokumentation. Erstens: Ein Dokument, das als Datensatz deklariert ist, dessen Ereignis aber nie eintritt, wird unbegrenzt aufbewahrt – das ist die häufigste Ursache für Akten, die zwanzig Jahre nach dem Austritt noch da sind. Zweitens: Geben Sie beim Erzeugen eines Ereignisses keine Asset-ID an, startet die Frist für sämtliche Inhalte dieses Ereignistyps. Das ist die Art von Klick, nach der man ungern die Meldung an die Aufsicht schreibt. Drittens: Die Synchronisierung kann bis zu sieben Tage dauern, Ereignisse lassen sich nach dem Auslösen nicht mehr stornieren, und der Ereignistyp einer Bezeichnung ist nach dem Speichern unveränderlich.

Schicht 3: Datensatz, regulatorischer Datensatz, Erhaltungssperre

Eine normale Aufbewahrungsbezeichnung hält Inhalte zwar fest, erlaubt aber weiterhin das Bearbeiten und – je nach Mandanteneinstellung – auch das Löschen durch Benutzer. Wo das nicht reichen darf, markiert die Bezeichnung Elemente als Datensatz. Dann sind Löschen und das Entfernen der Bezeichnung gesperrt, bei einem gesperrten Datensatz zusätzlich das Bearbeiten des Inhalts. Jede weitere Aktivität am Element wird protokolliert, und am Ende der Frist gibt es einen Löschnachweis. Für Gremienprotokolle, Urkunden, Satzungen, Haushaltspläne und Jahresrechnungen ist das die richtige Stufe.

Eine Stufe darüber liegt der regulatorische Datensatz. Hier kann niemand die Bezeichnung mehr entfernen, auch kein globaler Administrator. Die Aufbewahrungsfrist lässt sich nur noch verlängern, nie verkürzen, automatische Bezeichnungsrichtlinien werden nicht unterstützt, und die Option muss erst per PowerShell freigeschaltet werden, damit sie überhaupt in der Oberfläche erscheint. Microsoft baut hier bewusst Hürden ein. Für kirchliche Träger gilt: sparsam einsetzen, und wenn, dann nach schriftlicher Entscheidung des Trägers, nicht nach Bauchgefühl der IT.

Das Gegenstück auf Richtlinienebene ist die Erhaltungssperre. Sie wird per PowerShell gesetzt, indem am Cmdlet Set-RetentionCompliancePolicy der Parameter RestrictiveRetention auf true gesetzt wird. Danach kann niemand die Richtlinie mehr deaktivieren oder löschen; Speicherorte lassen sich hinzufügen, aber nicht entfernen, die Frist verlängern, aber nicht verkürzen. Eine gesperrte Richtlinie kann erweitert, aber nicht zurückgenommen werden. Wichtig für die Architekturentscheidung: Adaptive Richtlinienbereiche unterstützen die Erhaltungssperre derzeit nicht. Wer also mit Entra-Attributen dynamisch steuern will, welche Einrichtung welche Frist erbt, verzichtet auf die Sperre – und umgekehrt.

Schicht 4: Dispositionsüberprüfung als digitales Kassationsprotokoll

Kassation ist in der kirchlichen Verwaltung kein stiller Vorgang, sondern ein dokumentierter. Die Ordnungen verlangen ein Kassationsprotokoll, und sie verlangen, dass die Entscheidung über Archivwürdigkeit nicht bei der abgebenden Stelle allein liegt. Die Dispositionsüberprüfung bildet das erstaunlich genau ab: Am Fristende erhalten die benannten Prüfer eine E-Mail, danach wöchentlich eine Erinnerung. Sie können bis zu fünf aufeinanderfolgende Stufen konfigurieren und je Stufe bis zu zehn Personen oder E-Mail-aktivierte Sicherheitsgruppen benennen – etwa Stufe eins Registratur, Stufe zwei landeskirchliches Archiv beziehungsweise Diözesanarchiv.

Die Prüfer haben vier Handlungsmöglichkeiten: Disposition genehmigen, verlängern, neu bezeichnen oder weitere Prüfer hinzufügen. „Verlängern“ setzt die Prüfung für den verlängerten Zeitraum aus und startet sie danach wieder ab Stufe eins. „Neu bezeichnen“ nimmt das Element aus dem Verfahren und stellt es unter die Regeln der neuen Bezeichnung – das ist der Griff, mit dem Sie archivwürdiges Schriftgut aus dem Kassationsstrom herausnehmen. Erst wenn die letzte Stufe genehmigt, wird endgültig gelöscht, und zwar innerhalb von 15 Tagen. Optional gibt es eine automatische Genehmigung nach 7 bis 365 Tagen, standardmäßig 14 – für kirchliche Träger in aller Regel die falsche Einstellung, weil damit Schweigen zu einer Löschentscheidung wird.

Wichtig: Zwei Voraussetzungen, die gern vergessen werden Die Überwachung im Tenant muss aktiviert sein, und zwar mindestens einen Tag vor der ersten Dispositionsaktion – sonst fehlt der Nachweis genau dort, wo er gebraucht wird. Die Rolle „Dispositionsverwaltung“ ist einem globalen Administrator nicht automatisch zugewiesen. Legen Sie eine eigene Rollengruppe für die Prüfer an, etwa „Kassationsprüfung Archiv“, und geben Sie ihr nur diese Rolle. Wer den Inhalt der Elemente während der Prüfung sehen soll, braucht zusätzlich die Rollengruppe für den Inhalts-Explorer.

 

Skizze 2: Vier Schichten, vier Zuständigkeiten. Nach unten wächst die Verbindlichkeit – und die Mühe, einen Fehler zu korrigieren.

Purview-Baustein	Was er tut	Wofür im kirchlichen Träger	Lizenzstufe
Aufbewahrungsrichtlinie, statischer Bereich	Hält alles an einem Speicherort, ohne Zutun der Benutzer	Grundsicherung des Tenants, steuerliche Unterlagen, Schutz vor Versehen	ab Microsoft 365 E3 / Business Premium
Aufbewahrungsrichtlinie, adaptiver Bereich	Mitgliedschaft per täglicher Abfrage auf Entra-Attribute	Unterschiedliche Fristen je Einrichtung, Werk oder Kirchenkreis	E5 bzw. entsprechendes Purview-Add-on
Aufbewahrungsbezeichnung erstellen und veröffentlichen	Fristen am einzelnen Element, manuell anwendbar	Kassationsplan-Zeilen für Fachbereiche	ab E3 / F3 / Business Premium
Bezeichnung als Datensatz, ereignisbasiert, Umbezeichnung, Disposition	Unverrückbarkeit, Frist ab Ereignis, Prüfverfahren	Protokolle, Personalakten, Klientenakten	E5 bzw. entsprechendes Purview-Add-on
Automatische Bezeichnung nach Inhalt, Standardbezeichnung auf Bibliothek	Bezeichnung ohne Zutun der Benutzer	Gremienbibliotheken, Beratungsakten, Rechnungsablage	E5 bzw. entsprechendes Purview-Add-on
Dateiplan mit Import und Export	Stapelpflege und Nachweis der Fundstellen	Kassationsplan als CSV, Prüfungsnachweis gegenüber der Aufsicht	E5 bzw. entsprechendes Purview-Add-on
Erhaltungssperre	Richtlinie nur noch erweiterbar, nicht rücknehmbar	Unterlagen, bei denen auch Administration nicht eingreifen darf	wie die zugrunde liegende Richtlinie

 

Fakten: Wo Bezeichnungen nicht hinkommen Öffentliche Exchange-Ordner, Skype for Business, Teams-Nachrichten und Viva-Engage-Nachrichten unterstützen keine Aufbewahrungsbezeichnungen. Diese Speicherorte steuern Sie ausschließlich über Aufbewahrungsrichtlinien. Wer also glaubt, das Sitzungsprotokoll sei durch die Bezeichnung geschützt, weil es „im Team liegt“, verwechselt die Dateiablage des Teams mit dem Chatverlauf. Die Datei in der Dokumentbibliothek trägt eine Bezeichnung, die Diskussion im Kanal nicht.

 

Der Fristenspiegel: Schriftgutart, Frist, Umsetzung, Abgabe

Jetzt wird es konkret. Die folgende Tabelle ist das Muster, nach dem Sie Ihren eigenen Fristenspiegel aufbauen. Sie ist bewusst keine Fristenliste zum Abschreiben: Wo in der Spalte „Frist“ auf die Kassationsordnung verwiesen wird, steht die Zahl in Ihrer Landeskirche oder Ihrem Bistum und nirgendwo sonst. Nur wo eine Zahl gegen eine Primärquelle geprüft ist, steht sie hier auch.

Schriftgutart	Frist und Quelle	Umsetzung in Purview	Abgabe ans Archiv
Kirchenbuchunterlagen, Zweitschriften, Belege zur Eintragung	Laut Kassationsordnung Ihrer Landeskirche bzw. Ihres Bistums; Unterlagen vor dem Stichjahr nur mit Genehmigung des Archivs	Gehören grundsätzlich nicht in den Tenant; falls doch: regulatorischer Datensatz, unbegrenzt, eigene Website mit engem Zugriff	Immer. Kirchenbuchführung ist Kernarchivgut
Protokolle von Presbyterium, Kirchenvorstand, Pfarrgemeinderat, Kirchenverwaltung, Synode	In aller Regel dauernd; laut Kassationsordnung Ihrer Landeskirche bzw. Ihres Bistums	Bezeichnung „Gremienprotokoll“, als Datensatz markiert, Aufbewahrung unbegrenzt, Standardbezeichnung auf der Beschlussbibliothek	Immer, nach Anbietung
Protokolle von Ausschüssen und Arbeitskreisen	Laut Kassationsordnung; häufig kürzer als Gremienprotokolle	Eigene Bezeichnung, Datensatz, Frist ab Erstellung, Disposition am Ende	Nach Bewertung durch das Archiv
Personalakten der Beschäftigten nach AVR bzw. Dienstvertragsordnung	Frist ab Ende des Dienstverhältnisses; Höhe laut Kassationsordnung und Fachrecht	Ereignisbasierte Bezeichnung, Ereignistyp „Ende Dienstverhältnis“, Asset-ID = Personalnummer, Datensatz	Anbietung; Archiv entscheidet, oft Auswahl statt Gesamtübernahme
Unterlagen der Mitarbeitervertretung	Eigene Fristen; MAV verwaltet ihre Unterlagen eigenständig	Eigener Bereich mit eigener Richtlinie, kein Zugriff der Dienststellenleitung	Nach Regelung des Trägers und Abstimmung mit der MAV
Klientenakten in Beratung, Jugendhilfe, Pflege	Fachrecht und Sozialrecht; Behandlungsakte zehn Jahre nach Abschluss der Behandlung, § 630f Abs. 3 BGB	Ereignisbasierte Bezeichnung, Ereignistyp „Ende der Hilfe“, Disposition zweistufig, Vertraulichkeitsbezeichnung zusätzlich	Nur nach ausdrücklicher Regelung; meist Kassation, nicht Abgabe
Seelsorgeunterlagen	Kein Schriftgut im Sinne der Registratur; Beichtgeheimnis absolut	Gehören nicht in den Tenant. Keine Bezeichnung, keine Bibliothek, kein Copilot-Index	Nein
Buchungsbelege des Trägers	Acht Jahre, § 147 Abs. 3 AO in Verbindung mit Abs. 1 Nr. 4	Bezeichnung „Buchungsbeleg 8 Jahre“, Frist ab Erstellung, automatische Löschung nach Disposition	Regelmäßig nein, Auswahl möglich
Jahresabschluss, Haushaltsplan, Jahresrechnung, Inventar	Zehn Jahre nach § 147 Abs. 3 AO; kirchlich meist dauernd	Bezeichnung mit unbegrenzter Aufbewahrung, als Datensatz markiert	Immer
Geschäftsbriefe, Schriftwechsel ohne besondere Bedeutung	Sechs Jahre nach § 147 Abs. 3 AO, soweit steuerlich relevant; sonst laut Kassationsordnung	Trägerweite Aufbewahrungsrichtlinie mit Löschaktion, Bezeichnung nur im Ausnahmefall	Stichprobe nach Absprache
Gemeindebrief, Veröffentlichungen, Fotos von Gemeindefesten	Kirchlich regelmäßig dauernd, weil Überlieferungsbildung	Bezeichnung „Veröffentlichung dauernd“, Datensatz, unbegrenzt	Immer. Belegexemplar ans Archiv
Bauakten, Denkmalpflege, Orgel- und Glockenunterlagen	Lange Fristen, oft dauernd; laut Kassationsordnung	Ereignisbasiert ab Abschluss der Baumaßnahme oder unbegrenzt	Immer

 

Warnung: Löschen aus Versehen ist bei Kirchenbüchern kein Lapsus Ein falsch konfiguriertes Löschskript in einem Mittelstandsunternehmen vernichtet Angebote. Ein falsch konfiguriertes Löschskript über Kirchenbuchunterlagen vernichtet Kulturgut. Bis zur Einführung der Standesämter – im Königreich Preußen zum 1. Oktober 1874, reichsweit zum 1. Januar 1876 – waren die Kirchenbücher die einzige Personenstandsdokumentation überhaupt. Was dort steht, steht nirgendwo sonst. Es gibt kein zweites Exemplar, keinen Bundesbestand, kein Backup der Geschichte. Deshalb ist die Kassationsordnung an dieser Stelle auch nicht verhandelbar: Unterlagen vor dem Stichjahr – in mehreren evangelischen Ordnungen 1950 – dürfen ohne Genehmigung des zuständigen Archivs nicht vernichtet werden, und die katholische Archivordnung stellt fest, dass Archivgut auf Dauer zu erhalten und unveräußerlich ist. Praktische Konsequenz für den Tenant: Digitalisate von Kirchenbüchern gehören nicht in eine normale Dokumentbibliothek, die irgendwann jemand aufräumt, sondern in eine eigene Website mit eigener Richtlinie, Erhaltungssperre und einem Zugriff, der über eine Rolle und nicht über eine Freundschaft geregelt ist.

 

Kirchenbuchunterlagen: die Frage vor der Frage

Bevor Sie überlegen, welche Bezeichnung Kirchenbuchunterlagen bekommen, sollten Sie klären, ob sie überhaupt in Microsoft 365 liegen dürfen. Für die Führung der Kirchenbücher und für das Meldewesen gibt es in aller Regel kirchliche Fachverfahren, betrieben in kirchlichen Rechenzentren, mit eigener Rechtsgrundlage und eigener Aufsicht. Diese Daten haben in einem Tenant nichts verloren, und zwar unabhängig davon, wie gut der Auftragsverarbeitungsvertrag ist. Der eine legitime Grenzfall sind Arbeitskopien und Digitalisate für die Erschließung; die gehören dann behandelt wie oben beschrieben – und mit einem schriftlichen Beschluss darüber, dass sie dort liegen dürfen.

Warum Gemeindegliederdaten grundsätzlich getrennt bleiben, ist ein Thema für sich; ebenso das absolut geschützte Seelsorgegeheimnis, das in dieser Tabelle bewusst die Zeile ohne Frist bekommen hat. Dazu ausführlich: Seelsorgegeheimnis und Beichtgeheimnis in Microsoft 365.

Protokolle: der Moment, in dem Schriftgut entsteht

Bei Gremienprotokollen liegt der kritische Punkt nicht am Fristende, sondern am Anfang. Ein Entwurf ist kein Protokoll. Erst der Beschluss des Gremiums in der Folgesitzung macht aus der Mitschrift das Schriftgut, das die Kassationsordnung meint. Genau diesen Übergang müssen Sie in der Informationsarchitektur abbilden: Entwürfe in eine Bibliothek mit kurzer Frist und ohne Datensatzmarkierung, genehmigte Fassungen in eine Bibliothek mit Standardbezeichnung „Gremienprotokoll“. Wer beides in einen Ordner legt, bekommt entweder ein Archiv voller Entwurfsfassungen oder ein Löschkonzept, das genehmigte Protokolle mitnimmt.

Eine Landeskirche hat für ihre Gremienarbeit genau diesen Schnitt eingeführt und dabei etwas Unerwartetes gelernt: Der größte Nutzen lag nicht in der Rechtssicherheit, sondern darin, dass zum ersten Mal eindeutig war, welche Fassung eines Beschlusses gilt. Der Kassationsplan hat als Nebenwirkung ein Versionschaos beendet, das vorher jeder gekannt und niemand angefasst hatte.

Skizze 3: Der Lebenszyklus eines Gremienprotokolls von der Sitzung bis zur Abgabe ans kirchliche Archiv.

Personalakten, Dritter Weg und das Ereignis „Austritt“

Personalakten sind der klassische Fall für ereignisbasierte Aufbewahrung, und im kirchlichen Bereich kommt eine Besonderheit hinzu: Die Dienstgemeinschaft und der Dritte Weg bringen eigene Unterlagenarten mit, die es im Betriebsverfassungsrecht so nicht gibt – Unterlagen aus Verfahren nach der Arbeitsrechtlichen Kommission, Nachweise zur Eingruppierung nach AVR, Dienstvereinbarungen mit der MAV. Für die Umsetzung heißt das: Legen Sie einen Ereignistyp „Ende Dienstverhältnis“ an, nutzen Sie die Personalnummer als Asset-ID und lösen Sie das Ereignis aus dem Personalverfahren heraus aus – über die Records-Management-APIs von Microsoft Graph, nicht über eine Liste, die jemand von Hand pflegt.

Dienstvereinbarungen selbst gehören übrigens nicht in die Personalakte und nicht in die kurze Frist. Sie sind Normen des Trägers, vergleichbar mit Satzungen – dauernd aufzubewahren und archivwürdig. Dass sie in der Praxis häufig als PDF im Postfach der Verwaltungsleitung existieren und sonst nirgends, ist einer der Befunde, die bei fast jeder Bestandsaufnahme auftauchen.

Wie die Mitbestimmung bei Einführung und Anwendung dieser Technik abläuft und warum die Aufbewahrungskonfiguration selbst ein Thema für die MAV ist, steht ausführlich in Mitarbeitervertretung und Microsoft 365.

Klientenakten: kürzeste Frist, härtester Schutz

In Diakonie und Caritas gilt eine Faustregel, die dem Archivinstinkt widerspricht: Bei Klientenakten ist die Aufbewahrung die Ausnahme und die Löschung die Regel. Sozialdaten, Beratungsdokumentation und Pflegedokumentation unterliegen der Schweigepflicht und einem Sozialdatenschutz, der von der Erforderlichkeit her denkt. Archivwürdig ist hier fast nie der Einzelfall, sondern höchstens eine Auswahl zu Forschungszwecken – und die entscheidet das Archiv, nicht die Beratungsstelle. Konfigurativ bedeutet das: ereignisbasierte Frist ab Ende der Hilfe, zweistufige Dispositionsüberprüfung mit Fachbereich und Datenschutz, keine automatische Genehmigung, und die Bezeichnung immer kombiniert mit einer Vertraulichkeitsbezeichnung.

Die inhaltliche Tiefe dazu – Sozialdaten, Schweigepflicht, Schutzmechanismen – steht in Klientendaten in Diakonie und Caritas; das passende Bezeichnungskonzept beschreibt Sensitivity Labels für kirchliche Träger. Beide Konzepte gehören zusammen entworfen: Aufbewahrung regelt, wie lange etwas existiert, Vertraulichkeit regelt, wer es sieht. Wer nur eins von beiden baut, hat entweder gut geschützte Akten, die ewig leben, oder sauber gelöschte Akten, die vorher jeder lesen konnte.

Umsetzung im Tenant: von der Bibliothek bis zur Abgabe

Wo die Bezeichnung hingehört

Die zuverlässigste Bezeichnung ist die, die niemand anwenden muss. In der Praxis heißt das: Standardbezeichnung auf der Dokumentbibliothek, dem Ordner oder dem Dokumentsatz – jedes Dokument, das dort landet, erbt die Frist. Das setzt allerdings eine Informationsarchitektur voraus, in der Schriftgutarten getrennt liegen. Wenn Beschlüsse, Entwürfe, Einladungen und Fotos vom Gemeindefest in derselben Bibliothek liegen, können Sie keine Standardbezeichnung setzen, die richtig ist. Der Kassationsplan zwingt Sie damit zu etwas, das ohnehin gut wäre: zu einer sauberen Struktur.

Wie diese Struktur für Pfarramt, Gremien, Ausschüsse und Gebäude aussehen kann, ist in SharePoint-Informationsarchitektur für Kirchengemeinde und Kirchenkreis ausgearbeitet; die Gremienseite dazu in Gremienarbeit in Microsoft Teams.

Ein Tenant, viele Träger: wo adaptive Bereiche helfen

Kirchliche Tenants sind selten homogen. In einem Tenant eines Kirchenkreises hängen Gemeinden, eine Kindertagesstätten-Trägergesellschaft und eine Beratungsstelle; in einem Bistumstenant hängen Generalvikariat, Pfarreien und vielleicht ein Bildungswerk. Diese Einheiten haben unterschiedliche Fristen, manchmal sogar unterschiedliche Kassationsordnungen. Adaptive Richtlinienbereiche lösen das elegant: Eine Abfrage auf ein Entra-ID-Attribut – etwa eine Kennung für die Einrichtung oder den Rechtsträger – bestimmt täglich neu, welche Postfächer und Websites zu welcher Richtlinie gehören. Neue Einrichtungen wachsen automatisch hinein.

Der Preis dafür steht weiter oben: Erhaltungssperre und adaptive Bereiche schließen sich derzeit aus. Die saubere Lösung ist eine Zweiteilung – adaptive Bereiche für die breite Fristensteuerung, eine kleine Zahl gesperrter statischer Richtlinien für das, was wirklich unantastbar sein muss. Und: Adaptive Bereiche sind nur so gut wie die Attributpflege im Verzeichnis. Wenn die Kennung „Träger“ bei einem Drittel der Konten leer ist, bauen Sie ein Löschkonzept auf Sand.

Ob ein Tenant oder mehrere die richtige Antwort ist und wie die Identitäten zwischen Landeskirche, Verband, Träger und Einrichtung geordnet werden, behandeln Ein Tenant oder viele? und Entra ID für kirchliche Träger.

Die Abgabe ans kirchliche Archiv

Hier endet die Produktdokumentation und beginnt Projektarbeit. Purview kennt die Anbietung ans Archiv nicht als Funktion. Was es kennt, ist die Dispositionsüberprüfung – und Microsoft nennt als einen ausdrücklichen Grund für eine solche Überprüfung, Inhalte an einen Archivspeicherort zu verschieben, wenn sie von wissenschaftlichem oder historischem Wert sind. Genau das ist Ihr Anknüpfungspunkt. Die Dispositionsüberprüfung ist der Auslöser, das Abgabepaket bauen Sie selbst.

Ein funktionierendes Verfahren hat vier Bestandteile. Erstens: eine Bewertungsentscheidung, getroffen vom Archiv, nicht von der abgebenden Stelle. Zweitens: einen Export der Inhalte in ein archivtaugliches Format, typischerweise über Inhaltssuche, Graph oder – bei kleinen Mengen – händisch. Drittens: eine Abgabeliste, so wie die Kassationsordnungen sie seit Jahrzehnten für Papierakten verlangen, nur eben aus den Metadaten gefüllt: Titel, Laufzeit, abgebende Stelle, Bezeichnung, Ablaufdatum, Fundstelle im Kassationsplan. Viertens: eine Rückmeldung des Archivs, nach der die Elemente im Tenant entweder neu bezeichnet oder zur Disposition freigegeben werden.

Skizze 4: Die Abgabeschnittstelle in drei Bahnen. Der Übergang vom Tenant ins Archiv ist Handarbeit – geplante Handarbeit.

Tipp: Den Export einmal üben, bevor er gebraucht wird Die erste echte Abgabe an ein kirchliches Archiv kommt typischerweise Jahre nach der Einführung – zu einem Zeitpunkt, an dem niemand mehr weiß, wie die Bezeichnungen gemeint waren. Machen Sie deshalb im ersten Projektjahr einen Probelauf mit einem kleinen, harmlosen Bestand, etwa den Gemeindebriefen der letzten fünf Jahre. Sie lernen dabei drei Dinge: welche Metadaten im Export tatsächlich ankommen, wie das Archiv das Paket haben will, und wer im Haus diesen Vorgang eigentlich verantwortet. Alle drei Antworten sind teurer, wenn man sie erst unter Zeitdruck sucht.

 

Mitbestimmung, Datenschutz und Aufsicht

Ein Aufbewahrungs- und Löschkonzept ist kein rein technisches Projekt. Auf evangelischer Seite unterliegt die Einführung und Anwendung von Maßnahmen und technischen Einrichtungen, die geeignet sind, das Verhalten oder die Leistung der Beschäftigten zu überwachen, nach § 40 MVG-EKD der Mitbestimmung; auf katholischer Seite regelt das § 36 Abs. 1 Nr. 9 MAVO. Die Kirchliche Arbeitsgerichtsbarkeit legt das weit aus – es genügt, dass eine Einrichtung objektiv zur Überwachung geeignet ist. Bei einem System, das protokolliert, wer wann welches Dokument gelöscht, verlängert oder freigegeben hat, ist diese Schwelle erreicht. Holen Sie die MAV früh an den Tisch und regeln Sie es in einer Dienstvereinbarung, statt später zu diskutieren.

Gegenüber der Datenschutzaufsicht – dem BfD EKD beziehungsweise den Diözesandatenschutzbeauftragten oder dem Katholischen Datenschutzzentrum – ist ein dokumentiertes Löschkonzept übrigens die angenehmste Sorte von Hausaufgabe: Es ist nachprüfbar, es ist exportierbar, und es zeigt, dass die Löschpflicht nicht nur behauptet, sondern betrieben wird.

Was die Aufsichten im Einzelnen von einem Tenant erwarten, ist in Kirchliche Datenschutzaufsicht in der Praxis zusammengetragen; die Rechtsgrundlagen selbst sind in DSG-EKD verständlich und KDG verständlich aufbereitet.

Fünf Fehler, die regelmäßig teuer werden

Der Kassationsplan wird nie beschafft

Erstaunlich oft startet ein Purview-Projekt, ohne dass jemand den geltenden Aufbewahrungs- und Kassationsplan der eigenen Landeskirche oder die Archivordnung des eigenen Bistums gelesen hätte. Stattdessen wird eine generische Fristenliste aus dem Internet übernommen, meist eine für Industrieunternehmen. Das Ergebnis sieht ordentlich aus und ist falsch. Erster Anruf im Projekt: das zuständige Archiv. Nicht der zweite.

Alles wird zum Datensatz erklärt

Wenn alles ein Datensatz ist, ist die Datensatzverwaltung wertlos – und der Aufwand real. Datensätze lassen sich nicht mehr korrigieren, nicht umbenennen, nicht aufräumen. Ein Einladungsschreiben zur Presbyteriumssitzung braucht keinen Datensatzstatus. Halten Sie die Zahl der Datensatzbezeichnungen klein und die der regulatorischen Datensätze sehr klein.

Die automatische Genehmigung bleibt an

Die Option, eine Dispositionsüberprüfung nach einer bestimmten Zahl von Tagen automatisch zu genehmigen, ist für Organisationen gedacht, die Massendaten verwalten. In einer kirchlichen Registratur bedeutet sie, dass ein zweiwöchiger Urlaub der Registraturkraft zur Löschentscheidung wird. Vorsicht auch beim Aktivieren: Der Zeitraum zählt ab dem Zeitpunkt, zu dem ein Element prüfbereit war, nicht ab dem Einschalten der Option. Ältere Fälle können dadurch sofort genehmigt werden.

Niemand merkt, dass das Ereignis nie eintritt

Ereignisbasierte Aufbewahrung ohne Prozess ist eine Aufbewahrung ohne Ende. Wenn das Personalverfahren beim Austritt kein Ereignis auslöst, liegen Personalakten unbegrenzt. Bauen Sie einen Bericht, der Elemente mit ereignisbasierter Bezeichnung und fehlendem Ereignisdatum auflistet, und legen Sie ihn auf einen festen Termin – zum Beispiel in die gleiche Quartalsroutine, in der die Registratur ohnehin die Altregistratur sichtet.

Das Löschkonzept endet an der Tenant-Grenze

Ein Caritasverband auf Kreisebene hatte ein tadelloses Purview-Konzept – und daneben ein Netzlaufwerk, auf dem die Fachbereiche seit Jahren parallel ablegten, plus einen Fileserver in einer Einrichtung, den niemand mehr auf der Liste hatte. Das Konzept war nicht falsch, es war nur unvollständig. Die Kassationsordnung spricht von Unterlagen unabhängig von Aufzeichnungs- und Speicherungsform. Das gilt auch für den Ordner, den keiner mehr kennt.

Warnung: Der Papierkorb ist kein Löschkonzept Elemente, die einer Aufbewahrungsrichtlinie unterliegen, verschwinden beim Löschen nicht, sondern wandern in geschützte Bereiche, die für die meisten Menschen unsichtbar sind. Das ist gewollt – aber es bedeutet auch: Wenn Sie einer betroffenen Person mitteilen, ihre Daten seien gelöscht, während eine Aufbewahrungsrichtlinie sie noch fünf Jahre festhält, ist das eine falsche Auskunft. Prüfen Sie vor jeder Auskunft nach Betroffenenrechten, welche Aufbewahrungseinstellungen auf die betroffenen Speicherorte wirken, und erklären Sie den Unterschied zwischen Löschung und gesetzlich begründeter Weiteraufbewahrung ehrlich.

 

Häufige Fragen

Brauchen wir für ein Löschkonzept zwingend Microsoft 365 E5?

Nein, aber die Frage ist berechtigt. Trägerweite Aufbewahrungsrichtlinien mit statischem Bereich sowie das Erstellen und Veröffentlichen von Aufbewahrungsbezeichnungen sind bereits ab Microsoft 365 E3 und Business Premium abgedeckt. Was E5 oder ein entsprechendes Purview-Add-on erfordert, sind genau die Funktionen, die ein kirchliches Kassationsverfahren ausmachen: Elemente als Datensatz markieren, ereignisbasierte Fristen, Dispositionsüberprüfung, Umbezeichnung am Fristende, automatische Bezeichnung nach Inhalt, Standardbezeichnung auf Bibliotheken, adaptive Bereiche und der Dateiplan mit Import und Export. Eine pragmatische Antwort für Träger mit gemischtem Bedarf ist, die Lizenz nach Rolle zu setzen: Verwaltung und Registratur höher, Frontline-Arbeitsplätze in Kita und Pflege niedriger.

Ersetzt eine Aufbewahrungsrichtlinie unser Backup?

Nein, und diese Verwechslung ist gefährlich. Aufbewahrung schützt vor Löschung und Veränderung einzelner Elemente, nicht vor dem Ausfall eines Dienstes, nicht vor einem kompromittierten Tenant und nicht vor dem Fall, dass eine Website gelöscht wird. Aufbewahrung ist ein Compliance-Werkzeug, Datensicherung ist ein Verfügbarkeitswerkzeug. Beide brauchen eine eigene Entscheidung und eine eigene Zeile im Notfallkonzept.

Wir haben keine digitale Registratur. Können wir trotzdem anfangen?

Ja, und zwar von hinten. Beginnen Sie mit der trägerweiten Aufbewahrungsrichtlinie, die schlicht alles hält. Damit verlieren Sie nichts mehr, während Sie in Ruhe den Fristenspiegel erarbeiten. Der teure Fehler ist nicht, zu spät zu differenzieren – der teure Fehler ist, zu früh zu löschen.

Wie gehen wir mit Unterlagen um, die schon in Papierform archiviert sind?

Wenn das Original im kirchlichen Archiv liegt und dort erschlossen ist, ist die Datei im Tenant meist nur eine Arbeitskopie. Kopien und Duplikate dürfen nach den Kassationsordnungen regelmäßig kassiert werden, sofern an ihnen kein gesonderter Bedarf besteht. Diese Unterscheidung zwischen Original und Arbeitskopie ist im Fristenspiegel Gold wert, weil sie ganze Bibliotheksbereiche aus der Datensatzverwaltung heraushält.

Was passiert mit dem OneDrive einer Person, die den Träger verlässt?

Ohne Aufbewahrungseinstellungen wird es nach der üblichen Frist abgeräumt. Mit Aufbewahrungseinstellungen bleiben die Inhalte erhalten, was gut ist, wenn dort dienstliche Unterlagen liegen, und schlecht, wenn dort private Ablagen liegen. Die saubere Antwort ist organisatorisch: Dienstliches Schriftgut gehört nicht ins persönliche OneDrive, sondern in die Team- oder Fachbereichsbibliothek. Der Austritt ist der Moment, an dem jede Organisation erfährt, wie gut sie diese Regel durchgesetzt hat.

Dürfen wir Kirchenbuchdigitalisate mit Copilot durchsuchbar machen?

Das ist keine technische, sondern eine Grundsatzfrage, und sie gehört vor eine Entscheidung des Trägers. Kirchenbuchdaten sind personenbezogene Daten auch Verstorbener mit besonderem kirchlichem Schutzstatus und unterliegen den Schutzfristen des Archivrechts – im Archivgesetz der Union Evangelischer Kirchen etwa 30 Jahre nach letzter Ergänzung, bei personenbezogenen Unterlagen zehn Jahre nach dem Tod beziehungsweise 90 Jahre nach der Geburt oder 60 Jahre nach Entstehung; die katholische Archivordnung eines Bistums nennt eine allgemeine Schutzfrist von 40 Jahren nach Schlussdatum und längere Fristen für personenbezogene Unterlagen. Wer solche Bestände indexieren lässt, hebelt Schutzfristen praktisch aus. Die Standardantwort lautet daher: nicht im Tenant, nicht im Index, nicht im Copilot.

Wer entscheidet über Archivwürdigkeit – die IT oder das Archiv?

Das Archiv, und zwar nach beiden Rechtskreisen eindeutig. Die kirchlichen Ordnungen legen die Bewertung beim zuständigen Archiv, und die abgebende Stelle darf vor dieser Entscheidung nicht vernichten. Die IT liefert Listen, Fristen, Exporte und Nachweise. Sie bewertet nicht. In der Dispositionsüberprüfung bildet man das ab, indem die letzte Stufe beim Archiv liegt.

Wie oft sollte der Fristenspiegel überprüft werden?

Einmal jährlich, am besten im gleichen Turnus wie das Verzeichnis der Verarbeitungstätigkeiten. Anlassbezogen zusätzlich, wenn sich die Kassationsordnung ändert, eine Einrichtung dazukommt oder ein Fachverfahren abgelöst wird. Der Export des Dateiplans als CSV ist dafür das praktischste Arbeitsmittel: eine Datei, die man mit dem Kassationsplan Zeile für Zeile abgleichen kann.

Fazit

Kirchliche Aufbewahrungsfristen lassen sich in Microsoft Purview abbilden – aber nicht durch Konfiguration allein. Die Werkzeuge sind da und sie passen erstaunlich gut: Die trägerweite Aufbewahrungsrichtlinie entspricht dem Grundsatz, dass nichts unbemerkt verschwindet. Der Dateiplan mit seinen Deskriptoren ist die digitale Fassung des Aufbewahrungs- und Kassationsplans, inklusive Fundstelle. Die Datensatzverwaltung bildet ab, dass bestimmte Unterlagen nicht zur Disposition einzelner Personen stehen. Und die Dispositionsüberprüfung ist ein Kassationsverfahren mit Protokoll, mehreren Stufen und Beteiligung des Archivs – näher an der kirchlichen Praxis, als man es einem amerikanischen Produkt zutrauen würde.

Die Arbeit liegt davor und daneben. Davor: der Fristenspiegel, erarbeitet mit dem Archiv, der Rechtsabteilung, den Fachbereichen und der Mitarbeitervertretung, mit einer belastbaren Quelle je Zeile. Daneben: die Abgabeschnittstelle zum landeskirchlichen Archiv oder Diözesanarchiv, die Purview nicht mitbringt. Wer diese beiden Stücke ernst nimmt, bekommt ein System, das gleichzeitig löscht, was gelöscht gehört, aufbewahrt, was aufbewahrt gehört, und anbietet, was angeboten gehört. Wer sie überspringt, bekommt eine sehr gut dokumentierte Sammlung von Fehlern.

Und weil es am Anfang stand, zum Schluss noch einmal: Ein gelöschtes Angebot kann man neu schreiben. Ein gelöschtes Kirchenbuchdigitalisat, dessen Original 1943 verbrannt ist, kann man nicht neu schreiben. Diese Asymmetrie ist der eigentliche Grund, warum in kirchlichen Trägern die Aufbewahrung zuerst konfiguriert wird und die Löschung danach.

Weiterlesen › Microsoft 365 in Kirche, Diakonie und Caritas › Microsoft 365 in Kirche, Diakonie und Caritas: Was wirklich anders ist als in Kommune und Mittelstand › Klientendaten in Diakonie und Caritas: Sozialdaten, Schweigepflicht und Schutz mit Microsoft Purview › Sensitivity Labels für kirchliche Träger: Ein Label-Konzept vom Gemeindebrief bis zur Beratungsakte › Gremienarbeit in Microsoft Teams: Presbyterium, Kirchenvorstand, Pfarrgemeinderat und Synode digital › Mitarbeitervertretung und Microsoft 365: MVG-EKD, MAVO, Dienstvereinbarung und Mitbestimmung

 

Wenn Sie den Fristenspiegel und die Purview-Konfiguration nicht allein erarbeiten wollen: Unterstützung für kirchliche Träger beschreibt die Seite Microsoft 365 Beratung für kirchliche Träger.