werden alte ausgefüllte Fragebögen aufbewahrt oder gelöscht

Was beibehalten wird und was verschwindet

Ausgefüllte Fragelisten verschwinden nicht von selbst: das Kettendossier, aus dem die Antworten stammen, bleibt bestehen und wird bei einer nächsten Liste erneut verwendet. Was pro Runde wechselt, ist nicht die zugrunde liegende Antwort, sondern die Fragestellung: der eine Kunde fragt nach "ISO 27001-zertifiziert, ja/nein", der andere nach "welche der Maßnahmen aus Anlage A sind implementiert". Beide Fragen schöpfen aus derselben Antwort über ISO 9001-Zertifizierung oder vergleichbare Dokumentationen, nicht aus einer neu ausgefüllten Kopie pro Portal.

Das bedeutet, dass eine früher bestätigte Antwort — beispielsweise zu den zehn Maßnahmen von Artikel 21 Absatz 2 der NIS2-Richtlinie oder zum VSME-Basismodul für Nachhaltigkeit — das nächste Mal als Vorschlag zurückkommt, mit der Aufforderung zur erneuten Bestätigung. Nichts wird automatisch weitergeleitet ohne diese Bestätigung. Ändert sich ein zugrunde liegendes Datum, wie die Anzahl der Mitarbeiter oder eine neu abgeschlossene Versicherung, dann wirkt sich das auf alle zukünftigen Listen aus, die nach diesem Datum fragen — nicht rückwirkend auf das, was bereits bei einem Kunden eingereicht wurde.

Warum dies aus der Struktur des Kettendossiers folgt

Dies folgt nicht aus einer gesetzlichen Aufbewahrungspflicht, die speziell auf diese Fragelisten abzielt, sondern aus der Funktionsweise des Systems selbst: ein Kettendossier speist mehrere Portale, und eine Antwort, die einmal festgehalten und bestätigt wurde, ist die Quelle für die nächste Frageliste, bis der Unternehmer sie selbst ändert. Für Daten, die selbst eine gesetzliche Grundlage haben — wie der Firmenname und die Registrierungsnummer aus dem Handelsgesetzbuch 2007 — gilt, dass die Quelle außerhalb des Dossiers liegt und bei einer Änderung im Handelsregister auch im Dossier aktualisiert wird. Was früher bei einem Kunden eingereicht wurde, unterliegt dem Portal und der Aufbewahrungsfrist dieses Kunden; dieses Unternehmen dokumentiert darüber nichts und hat keinen Zugriff.