Wer hat gerade eine Kopie der Unterlagen zur letzten Aufsichtsratssitzung? Wenn Sie Aufsichtsratsunterlagen per E-Mail verschicken oder in SharePoint und Teams ablegen, können Sie diese Frage oft nicht sicher beantworten.
Dieser Leitfaden zeigt Ihnen, wie Sie Ihren aktuellen Kanal an 6 Sicherheitskriterien messen. Am Ende wissen Sie, ob Ihr Setup die Verschwiegenheitspflicht nach § 116 AktG trägt oder ob es Zeit für einen Wechsel ist.
Warum der Kanal für Aufsichtsratsunterlagen eine Haftungsfrage ist
Meist wird der Versandweg aus Bequemlichkeit gewählt. Alle haben E-Mail, die IT betreibt ohnehin SharePoint, das Paket geht pünktlich raus.
Der Ärger beginnt später. Ein Aufsichtsratsmitglied scheidet im Streit aus. Ein Laptop verschwindet in der Woche vor den Quartalszahlen. Ein Wirtschaftsprüfer fragt, wer die Vorlage zur Vorstandsvergütung vor der Sitzung gesehen hat.
Was § 116 AktG konkret verlangt
§ 116 Satz 2 AktG verpflichtet Aufsichtsratsmitglieder ausdrücklich zur Verschwiegenheit über erhaltene vertrauliche Berichte und vertrauliche Beratungen. Über § 116 Satz 1 AktG gilt zudem der Sorgfaltsmaßstab des § 93 AktG sinngemäß.
Für die GmbH mit fakultativem Aufsichtsrat verweist § 52 GmbHG auf diese Regeln, soweit der Gesellschaftsvertrag nichts anderes bestimmt. Die unbefugte Offenbarung von Geheimnissen kann nach § 404 AktG sogar strafbar sein.
Die Pflicht hört nicht mit dem Mandat auf. Sie gilt auch nach dem Ausscheiden weiter, und damit auch für jede Kopie, die noch in einem Postfach liegt.
Die Beweislast liegt beim Aufsichtsratsmitglied
Hier wird es für Sie praktisch. Nach § 93 Abs. 2 Satz 2 AktG trägt das Organmitglied die Beweislast, wenn streitig ist, ob es mit der gebotenen Sorgfalt gehandelt hat. Über § 116 AktG gilt das auch im Aufsichtsrat.
Sie müssen also belegen können, dass Ihre Unterlagen sicher waren: wer was erhalten hat, welche Version gelesen wurde und wo heute jede Kopie liegt.
Wo E-Mail, SharePoint und Teams an Grenzen stoßen
Jedes dieser Tools erfüllt seinen Zweck. Keines wurde für die Arbeitsweise eines Aufsichtsrats gebaut: ein kleiner Kreis aus internen und externen Mitgliedern, hochsensible Vorlagen, feste Sitzungstermine und eine Akte, die Jahre später noch standhalten muss.
E-Mail: Die Kontrolle endet beim Klick auf „Senden“
Eine verschickte Sitzungsvorlage wird zu einer Reihe unabhängiger Kopien. Je eine im Postfach jedes Empfängers, auf jedem synchronisierten Smartphone, in jedem Backup.
Ein passwortgeschütztes PDF hilft weniger, als es scheint. Das Passwort kommt oft in der nächsten Mail hinterher oder bleibt Sitzung für Sitzung gleich.
SharePoint: sicher, solange jemand es sicher hält
SharePoint lässt sich sorgfältig konfigurieren. Berechtigungen, Vertraulichkeitsbezeichnungen, Audit-Protokolle und Aufbewahrungsrichtlinien gibt es im Microsoft-365-Umfeld. Der Haken: Jede dieser Funktionen hängt von Lizenz, Konfiguration und einem IT-Team ab, das die Vertraulichkeit von Gremienarbeit versteht.
Ordnerrechte verwässern mit der Zeit. Ein Ausschussmitglied scheidet aus, ein externer Berater bekommt einen Link für ein einzelnes Projekt, ein neues Mitglied landet in der falschen Gruppe. Wer räumt das auf? Ohne klare Zuständigkeit oft niemand.
Hinzu kommen Downloads. Was einmal auf dem privaten Tablet eines Mitglieds liegt, ist außerhalb Ihrer Berechtigungslogik.
Microsoft Teams: stark in der Kommunikation, schwach als Gremienakte
Viele Aufsichtsräte nutzen Teams de facto, ohne es je beschlossen zu haben. Dateien in Teams liegen technisch in SharePoint und erben damit dieselben Stärken und Schwächen.
Dazu kommen zwei eigene Risiken. Vertrauliche Inhalte wandern in Chats, die neben dem Tagesgeschäft laufen. Und externe Anteilseignervertreter brauchen Gastkonten, deren Rechte jemand pflegen und nach Mandatsende entziehen muss.
Teams ist ein guter Ort für Abstimmung im Team. Als revisionsfeste Ablage für Sitzungsunterlagen ist es nicht ausgelegt.
Das private Postfach: die Lücke, die niemand verantwortet
Anteilseignervertreter mit mehreren Mandaten lesen Unterlagen oft über private Konten und Geräte. Landet das Sitzungspaket in einem privaten Gmail- oder iCloud-Postfach, kontrollieren Sie Aufbewahrung, Zugriff und Löschung nicht mehr.
Daraus entstehen zwei Risiken. Aufsichtsratsunterlagen enthalten häufig personenbezogene Daten, etwa zur Vorstandsvergütung oder zu Personalmaßnahmen. Damit bleibt die DSGVO auch für diese Kopie relevant. Und im Streitfall lässt sich kaum zeigen, dass Sie angemessene Schutzmaßnahmen getroffen haben.
Fragen Sie sich: Wenn ein Mitglied morgen ausscheidet, wie holen Sie die Unterlagen zurück, die es hat?
Wissen, wer jede Vorlage geöffnet hat.
Zugriffskontrolle für Gremien entdecken.
So prüfen Sie Ihr Setup an 6 Kriterien
Bewerten Sie Ihren aktuellen Kanal Kriterium für Kriterium. Markieren Sie jedes mit ✓ (vorhanden), ⚠ (mit Aufwand möglich) oder ✗ (fehlt).
- Zugriffsrechte: Können Sie eine Vorlage auf namentlich benannte Mitglieder beschränken, etwa nur auf den Prüfungsausschuss?
- Verschlüsselung: Sind die Unterlagen bei Übertragung, Speicherung und auf Endgeräten geschützt?
- Versionierung: Lesen alle Mitglieder dieselbe finale Fassung?
- Audit-Trail: Können Sie zeigen, wer was wann geöffnet hat?
- Offline-Zugriff: Können Mitglieder im Flugzeug lesen, ohne lose Kopien zu erzeugen?
- Rückruf und Nachweis: Können Sie Zugriffe nach Mandatsende entziehen und die Akte gegenüber Prüfer oder Gericht vorlegen?
Vergleichstabelle: Board-Portal vs. E-Mail, SharePoint und Teams
Die Tabelle vergleicht Kategorien, keine einzelnen Anbieter. Ihr konkretes Ergebnis hängt von Lizenz und Konfiguration ab.
Vier Ablagewege, sechs Governance-Fragen
Die Karten zeigen, wie sich Zugriff, Schutz, Nachweis und Rückruf von Unterlagen je nach Ablage- und Kommunikationslösung unterscheiden.
Wann SharePoint reicht und wann nicht
Ein sauber konfiguriertes SharePoint kann funktionieren. Typischerweise dann, wenn:
Sobald externe Anteilseignervertreter, mehrere Ausschüsse oder Insiderinformationen ins Spiel kommen, kippt die Rechnung. In einem mitbestimmten Aufsichtsrat mit Arbeitnehmer- und Gewerkschaftsvertretern, Anteilseignern mit Mehrfachmandaten und einem Prüfungsausschuss wird jede Sitzung zum Berechtigungsprojekt.
Dann muss vor jeder Sitzung jemand dafür geradestehen, dass alles korrekt eingestellt war. Fragen Sie sich, wer das bei Ihnen ist.
So stellen Sie Ihre Sitzungsunterlagen digital und sicher um
Der Wechsel scheitert selten an der Technik. Meist hat vorher niemand die Regeln festgelegt. Diese 5 Schritte helfen Ihnen, Sitzungsunterlagen digital so zu organisieren, dass die Akte hält.
- Vertraulichkeitskreise definieren: Legen Sie fest, welche Unterlagen das Plenum, welche nur Ausschüsse und welche nur einzelne Mitglieder sehen, etwa bei Interessenkonflikten.
- Versandwege schließen: Beschließen Sie in der Geschäftsordnung oder per Beschluss, dass Aufsichtsratsunterlagen nicht mehr als Anhang verschickt werden. Die Einladung enthält nur noch einen Link.
- Anmeldung absichern: Verlangen Sie Zwei-Faktor-Authentifizierung für alle Mitglieder, auch für externe.
- Mandatswechsel regeln: Halten Sie fest, wie Zugriffe bei Ausscheiden entzogen und Altbestände zurückgegeben oder gelöscht werden.
- Nachweis testen: Simulieren Sie eine Prüferanfrage: Finden Sie die Unterlagen und Zugriffe einer Sitzung von vor 18 Monaten in unter 5 Minuten?
Wie die Vorbereitung, Einberufung und Protokollierung einer Sitzung rechtlich ablaufen, lesen Sie in unserem Leitfaden zur Aufsichtsratssitzung mit Einberufung, Ablauf und Protokoll.
Wie ein Board-Portal die Lücken schließt
Ein Board-Portal setzt genau dort an, wo E-Mail und Collaboration-Tools Konfigurationsarbeit verlangen. Das Gremienbüro muss nicht mehr vor jeder Sitzung Ordnerrechte nachziehen, und Sie können im Ernstfall zeigen, wer was gesehen hat.
Spezialisierte Board-Portal-Software wie das DiliTrust Board Portal ist für diesen Ablauf gebaut:
Und Teams müssen Sie nicht abschaffen. Das Board Portal ist als validierte Teams-App im Microsoft Marketplace verfügbar. Teams bleibt Ihr Kommunikationskanal, die Unterlagen bleiben im geschützten Raum.
Fazit: Der sichere Kanal ist der, den Sie belegen können
E-Mail ist für Aufsichtsratsunterlagen nicht zu halten. SharePoint und Teams können ausreichen, solange das Gremium klein, intern und die IT eng eingebunden ist.
Für mitbestimmte Aufsichtsräte, Gremien mit Ausschüssen und externe Mitglieder mit Mehrfachmandaten sieht die Rechnung anders aus. Hier zählt, ob Sie nach § 93 Abs. 2 AktG jederzeit nachweisen können, dass Sie sorgfältig gehandelt haben. Ein Board-Portal macht diesen Nachweis zur Grundeinstellung statt zum Projekt vor jeder Sitzung.
Häufige Fragen
Wie sicher ist es, Aufsichtsratsunterlagen per E-Mail zu versenden?
Wenig sicher. Jede Mail erzeugt Kopien in Postfächern, auf Endgeräten und in Backups, die Sie nicht zurückholen können. Einen Nachweis, wer welche Unterlage geöffnet hat, gibt es nicht.
Darf ein Aufsichtsrat SharePoint oder Microsoft Teams für Sitzungsunterlagen nutzen?
Ein gesetzliches Verbot gibt es nicht. Für die Sorgfaltspflicht zählt, ob Zugriffsrechte, Protokollierung und Löschung so eingerichtet sind, dass die Verschwiegenheit nach § 116 AktG gewahrt und belegbar ist. Bei externen Mitgliedern und mehreren Ausschüssen erfordert das dauerhafte Pflege.
Wie schützt man vertrauliche Unterlagen des Aufsichtsrats?
Vertrauliche Unterlagen des Aufsichtsrats schützen Sie mit vier Maßnahmen: Zugriff auf benannte Personen beschränken, Anmeldung mit 2FA absichern, Zugriffe protokollieren und Kopien außerhalb der geschützten Umgebung vermeiden. Regeln Sie zusätzlich, was bei Mandatsende passiert.
Gilt die Verschwiegenheitspflicht nach dem Ausscheiden weiter?
Ja. Die Verschwiegenheitspflicht von Aufsichtsratsmitgliedern besteht nach herrschender Auffassung auch nach Ende des Mandats fort. Deshalb sollten Sie Zugriffe sofort entziehen und die Rückgabe oder Löschung von Unterlagen verbindlich regeln.
Aufsichtsratsunterlagen sicher teilen, ohne Ordnerchaos
