Por qué el derecho alemán es una buena vara de medir para la protección de datos y las copias de seguridad

Por Lucas Flores, IT Systeme Flores UG. Última actualización: 2026-10-16

Esto no es asesoría legal ni fiscal. Las normas cambian; cada afirmación enlaza su fuente, consultada el 16 de octubre de 2026. Confirme con su propio asesor qué se aplica a usted.

Respuesta breve: el derecho alemán es una buena vara de medir porque sus normas sobre protección de datos, registros contables y seguridad informática son lo bastante concretas como para comprobarse, son públicas y actuales, y las aplican autoridades independientes que publican sus posiciones. La protección de datos es un derecho fundamental. Las normas sobre conservación no dicen solo durante cuánto tiempo, sino cómo llevar los documentos: sin alterar, trazables, legibles por máquina y descritos por escrito. La agencia federal de seguridad informática publica una base para las copias de seguridad y un catálogo para los servicios en la nube. Un software de copia y archivo que cumple estas normas muestra propiedades que puede comprobar en cualquier lugar: dónde están los datos, quién tiene las claves, si una manipulación se nota y si una restauración está demostrada. Es una referencia, no un certificado, y este artículo no afirma que el derecho alemán sea el más estricto del mundo.

¿Qué hace que un conjunto de normas sea una buena vara de medir?

Cuatro pruebas, aplicadas a las normas que siguen:

• Concretas. Un comprador puede convertir un requisito en una pregunta de sí o no sobre un producto.
• Públicas y actuales. Cualquiera puede leer el texto y el organismo que lo emite lo mantiene al día.
• Aplicadas. Organismos independientes las supervisan y publican su razonamiento.
• Técnicas. Llegan hasta el almacenamiento, las claves, la integridad y la restauración, no solo a los principios.

Las normas alemanas superan estas pruebas en los ámbitos que siguen. Otros países superan algunas: el RGPD se aplica en todos los Estados de la UE, así que buena parte del derecho alemán de protección de datos es derecho compartido, y Suiza tiene una ordenanza sobre libros de comercio cercana en espíritu al GoBD. Por eso este es un argumento sobre una referencia útil, no sobre orgullo nacional.

¿De dónde viene el derecho alemán de protección de datos?

La autoridad de protección de datos de Hesse describe la Ley de Protección de Datos de Hesse de 1970 como la primera ley de protección de datos de Alemania y del mundo (HBDI). La ley respondió a la creciente automatización del tratamiento de datos y creó el cargo de comisionado de protección de datos de Hesse. Lo repetimos tal como lo formula la autoridad.

El segundo paso es la sentencia del censo del Tribunal Constitucional Federal de 15 de diciembre de 1983 (1 BvR 209/83 y otros cinco procedimientos, BVerfG). El tribunal derivó del derecho general de la personalidad (artículo 2, apartado 1, junto con el artículo 1, apartado 1, de la Ley Fundamental) un derecho a la autodeterminación informativa: en principio, cada persona decide sobre la comunicación y el uso de sus datos personales. Los límites exigen un interés general preponderante, una base legal clara y proporcionalidad, y el legislador debe prever garantías organizativas y de procedimiento. Esta última exigencia recorre desde entonces las normas alemanas: describen procesos y organización, no solo principios.

¿Cómo se aplica la protección de datos en Alemania?

• RGPD más BDSG. El RGPD se aplica directamente en todos los Estados de la UE. La Ley Federal de Protección de Datos (BDSG) añade normas nacionales donde el RGPD deja margen. Un ejemplo concreto: según el § 38 BDSG, una empresa debe designar un delegado de protección de datos cuando ocupa habitualmente a al menos 20 personas en el tratamiento automatizado de datos personales, además de los supuestos del artículo 37, apartado 1, del RGPD; el artículo 37, apartado 4, permite a los Estados miembros añadir supuestos.
• Muchas autoridades. La supervisión sigue la estructura federal. El comisionado federal (BfDI) supervisa los organismos públicos federales y a los proveedores de telecomunicaciones (§ 9 BDSG); las autoridades de los Länder supervisan a las empresas privadas (§ 40 BDSG). La lista de la DSK nombra una autoridad federal y 17 autoridades de los Länder: 16 Länder, y Baviera tiene dos, una para el sector público y otra para las empresas privadas. Las autoridades de las iglesias y de las emisoras públicas figuran aparte.
• La DSK como conferencia común. La Conferencia de Protección de Datos (DSK) busca una aplicación uniforme del derecho europeo y nacional de protección de datos mediante resoluciones, decisiones, guías (Orientierungshilfen), normalización y dictámenes. De sus resoluciones dice la DSK que son recomendaciones acordadas entre todas las autoridades y que no son jurídicamente vinculantes (DSK). Un ejemplo técnico es el Modelo Estándar de Protección de Datos, versión 3.1 de 14 de mayo de 2024: un método que traduce los requisitos legales en siete objetivos de protección (minimización de datos, disponibilidad, integridad, confidencialidad, no vinculación, transparencia, intervenibilidad) y se apoya en IT-Grundschutz.

Qué significa esto en la práctica: muchas autoridades que publican guías y posiciones dejan constancia pública de buena parte de la lectura práctica de la «seguridad adecuada», por ejemplo sobre cifrado y copias de seguridad (véase RGPD y copias de seguridad). También significa que las autoridades pueden discrepar, como muestra más abajo la sección sobre la nube, y que en el caso de grandes proveedores de fuera de Alemania la autoridad principal puede estar en otro país: el propio informe de la DSK sobre Microsoft indica que la autoridad irlandesa es la principal para Microsoft Ireland, mientras que las autoridades alemanas supervisan a sus clientes alemanes (resumen de la DSK).

¿Qué exigen las normas alemanas sobre la conservación de registros empresariales?

El GoBD es la guía administrativa de la hacienda alemana sobre la llevanza y conservación electrónicas de libros, registros y documentos (carta del BMF de 28 de noviembre de 2019, modificada el 11 de marzo de 2024 y el 14 de julio de 2025; leído en el texto consolidado). Se aplica a las empresas que llevan libros y registros a efectos fiscales alemanes y se apoya en el § 147 AO y el § 257 HGB. No prescribe una tecnología (Rz. 10, un apartado numerado de la carta); describe propiedades que deben tener un sistema y su procedimiento:

• Trazabilidad. Un tercero experto debe poder seguir un registro en un plazo razonable. Para cada sistema de tratamiento de datos debe existir una documentación del procedimiento (Verfahrensdokumentation) clara que muestre contenido, estructura, flujo y resultados (Rz. 151 a 153); la descripción de cómo se hacen las copias forma parte de ella (Rz. 106).
• Integridad del contenido (exhaustividad). Los asientos y registros deben hacerse de forma individual, completa, correcta, a tiempo y ordenada (§ 146 apartado 1 AO).
• Inalterabilidad. Un asiento o registro no puede modificarse de forma que ya no se pueda determinar su contenido original (§ 146 apartado 4 AO); la información introducida en el proceso no puede suprimirse ni sobrescribirse sin dejar constancia (Rz. 108). Puede garantizarse con hardware, con software o con medidas organizativas, y guardar ficheros en un sistema de archivos sin más no la cumple por regla general sin medidas adicionales (Rz. 110).
• Legibilidad por máquina. Durante todo el plazo los datos deben estar disponibles en todo momento, poder hacerse legibles sin demora y ser evaluables por máquina (§ 147 apartado 2 AO), y en una inspección fiscal la autoridad puede exigir acceso de lectura, una evaluación según sus indicaciones o la transmisión en un formato legible por máquina (§ 147 apartado 6 AO).

Los plazos de conservación tal como están hoy:

El plazo empieza al final del año natural en que se hizo el último asiento o se recibió, envió o creó el documento (§ 147 apartado 4 AO, § 257 apartado 5 HGB). No termina mientras el documento importe para un impuesto cuyo plazo de liquidación sigue abierto (§ 147 apartado 3 AO). La reducción de diez a ocho años para los justificantes llegó con la Cuarta Ley de Reducción de la Burocracia (BGBl. 2024 I Nr. 323) y se aplica desde el 1 de enero de 2025 a los documentos cuyo plazo anterior no había vencido. Los bancos, las aseguradoras y las empresas de servicios de inversión conservan los justificantes diez años según la segunda frase del § 257 apartado 4 HGB, como anunció el Ministerio Federal de Finanzas el 6 de agosto de 2025 (nota de prensa).

No existe un certificado oficial GoBD. El GoBD dice que la autoridad fiscal no puede hacer afirmaciones generales sobre la conformidad de hardware y software (Rz. 179), que no se emiten certificaciones positivas ni en una inspección ni en una consulta vinculante (Rz. 180) y que el certificado de un tercero puede ayudar a una empresa a elegir software pero no vincula a la autoridad fiscal (Rz. 181). La responsabilidad permanece en el contribuyente. La consecuencia es concreta: si no se pueden presentar los libros o registros o no se toman como base de la tributación, la autoridad fiscal puede estimar la base imponible (§ 162 apartado 2 AO).

Más sobre cómo se aplica al correo: GoBD y el archivado de correo, explicado; el diseño se describe en la página de documentación GoBD and evidence (en inglés).

Cómo se comparan otros países

La tabla conserva la comparación del artículo anterior de este sitio sobre el GoBD en comparación internacional, revisada de nuevo el 16 de octubre de 2026. Si usted está fuera de Alemania, el GoBD solo le afecta si le es aplicable el derecho fiscal alemán, por ejemplo mediante una sociedad o un establecimiento permanente en Alemania.

Cómo leerla: todos estos países fijan plazos de conservación, y los plazos se diferencian menos que las normas sobre la forma. Alemania (GoBD) y Suiza (GeBüV) detallan para todas las empresas cómo deben llevarse los registros electrónicos: sin alterar, documentados, disponibles. El Reino Unido exige registros digitales para el IVA, Estados Unidos tiene requisitos para los sistemas de almacenamiento electrónico y una regla estricta para los corredores, y Austria fija condiciones para el almacenamiento en soportes de datos. Las normas alemanas no son las únicas detalladas, y la tabla no es una clasificación.

¿Qué aporta la base de seguridad alemana a las copias de seguridad?

La Oficina Federal de Seguridad en la Tecnología de la Información (BSI) publica el Compendio IT-Grundschutz, edición 2023, que el BSI da por vigente; según el BSI, el IT-Grundschutz actual sigue siendo aplicable durante una transición de varios años hacia un nuevo conjunto de reglas digital (BSI). Su módulo CON.3 Datensicherungskonzept es una lista breve y comprobable para las copias de seguridad. Entre los requisitos básicos, que según el módulo deben cumplirse:

• recoger las condiciones de cada sistema, incluidos los requisitos legales y las reglas de borrado (CON.3.A1);
• guardar las copias en soportes de copia separados y mantener los soportes aparte de los sistemas copiados (CON.3.A2, CON.3.A12);
• redactar un plan de copias por sistema: qué se copia, el orden de restauración, cuánto tiempo se conservan las copias y cómo se protegen contra el acceso no autorizado y la sobrescritura (CON.3.A4);
• proteger las copias para que no puedan sobrescribirse, ni por descuido ni a propósito (CON.3.A14);
• comprobar con regularidad si los datos se pueden restaurar intactos y en un plazo razonable (CON.3.A15).

Los requisitos estándar añaden, para el almacenamiento en línea, un contrato que fije el lugar de almacenamiento, los niveles de servicio, la autenticación y el cifrado en reposo y en tránsito (CON.3.A9). Para necesidades de protección elevadas, el módulo sugiere cifrar todas las copias, asegurarse de que los datos cifrados se puedan restaurar incluso pasado mucho tiempo y proteger las claves con una copia aparte (CON.3.A13). El módulo deja la conservación a largo plazo de documentos electrónicos a otro módulo (OPS.1.2.2 Archivierung), la misma línea que traza este sitio en copia de seguridad y archivo.

C5 para los servicios en la nube. El catálogo de criterios C5 del BSI describe requisitos mínimos para una computación en la nube segura y se publicó por primera vez en 2016. Los proveedores de nube hacen examinar los criterios por auditores que ellos mismos contratan; el BSI no participa en la auditoría y los clientes deberían solicitar el informe cada año y evaluarlo. C5:2026 es definitivo desde finales de marzo de 2026; para periodos de auditoría que terminen el 1 de junio de 2027 o después el BSI recomienda esa versión, y hasta entonces C5:2020. C5 importa para el almacenamiento en la nube que elija, no para el software que usted mismo opera.

NIS2 en Alemania. La ley de transposición de la Directiva NIS 2 (BGBl. 2025 I Nr. 301, firmada el 2 y promulgada el 5 de diciembre de 2025) está en vigor desde el 6 de diciembre de 2025 (BSI). El BSI estima que ahora unas 29.500 entidades están bajo su supervisión, frente a unas 4.500 antes. Las entidades afectadas deben adoptar medidas de gestión de riesgos; el § 30 apartado 2 BSIG incluye entre las medidas mínimas el mantenimiento de la actividad, «como la gestión de copias de seguridad y la recuperación tras una emergencia», y los conceptos para el uso de criptografía. El registro tiene dos pasos, «Mein Unternehmenskonto» y después el portal del BSI, que se abrió el 6 de enero de 2026 (BSI). Si su empresa está afectada lo debe comprobar usted; el BSI dice que las empresas deben hacerlo por sí mismas. Este artículo no dice quién está afectado, y ninguna herramienta de copia de seguridad hace por sí sola que alguien cumpla NIS2.

¿Y qué pasa con los servicios en la nube y los terceros países?

Aquí el panorama es mixto y sigue cambiando, así que va la secuencia fechada sin veredicto.

• 24 de noviembre de 2022. La DSK decidió que los responsables no podían demostrar un uso conforme al RGPD de Microsoft 365 sobre la base del anexo de protección de datos de Microsoft de 15 de septiembre de 2022, mientras faltaran la transparencia sobre el tratamiento para fines propios de Microsoft y la prueba de su licitud (decisión de la DSK). El resumen que la acompaña dice que la revisión fue limitada: abarcó las condiciones contractuales conforme al artículo 28 del RGPD, no los flujos de datos reales ni funciones concretas (resumen). Microsoft consideró incorrectas las conclusiones, como recoge el informe de Hesse más abajo.
• 10 de julio de 2023. La Comisión Europea adoptó la decisión de adecuación para el Marco de Privacidad de Datos UE-EE. UU. (Decisión de Ejecución (UE) 2023/1795). Desde entonces, las transferencias a organizaciones de EE. UU. incluidas en la lista del marco pueden basarse en ella sin otros instrumentos de transferencia (nota informativa del CEPD); la DSK publicó notas de aplicación el 4 de septiembre de 2023. Esas notas recuerdan que una transferencia también puede ser la posibilidad de acceso desde un tercer país, por ejemplo para administración o soporte: importa quién puede alcanzar los datos, no solo dónde están los bytes.
• 2024 y 2025. La Comisión publicó su primer informe de revisión el 9 de octubre de 2024 y el CEPD informó el 4 de noviembre de 2024 (informe del CEPD). El 3 de septiembre de 2025 el Tribunal General desestimó un recurso de anulación (T-553/23, Latombe/Comisión) y confirmó que EE. UU. garantizaba un nivel de protección adecuado en la fecha de la decisión (comunicado de prensa). El 31 de octubre de 2025 se interpuso recurso de casación ante el Tribunal de Justicia (C-703/25 P); consulte la página del asunto del tribunal para saber en qué punto está.
• 15 de noviembre de 2025. Tras conversaciones con Microsoft, el comisionado de Hesse publicó un informe de 137 páginas. Medido con los siete puntos de la DSK, concluye que es posible un uso de Microsoft 365 conforme al RGPD: se desarrollaron las condiciones contractuales, la decisión de adecuación cubre ahora las transferencias a organizaciones de EE. UU. incluidas en la lista del marco y Microsoft trasladó la mayor parte del tratamiento al Espacio Económico Europeo. Añade que esto solo vale si los clientes cumplen sus propias obligaciones. El informe da recomendaciones para organismos con sede en Hesse. La lista de decisiones de la DSK no muestra ninguna decisión posterior sobre Microsoft (comprobado el 16 de octubre de 2026), de modo que la constatación de 2022 no se ha sustituido formalmente.

El resumen honesto: nadie dice que los servicios en la nube sean ilícitos en sí. La constatación de 2022 sigue formalmente vigente, una autoridad ha reevaluado tras cambios contractuales, el Marco de Privacidad de Datos está en vigor pero impugnado, y si un servicio en la nube de EE. UU. encaja en su caso sigue siendo una valoración suya con su delegado de protección de datos.

Qué cambia una copia de seguridad y un archivo autoalojados en un almacenamiento que usted elige, y qué no cambia:

• Cambia quién recibe sus datos. Con un software que usted mismo opera, el fabricante del software no los recibe y no hay en el camino la nube de ningún proveedor de copias.
• Le permite elegir la ubicación y el proveedor, por ejemplo una ubicación alemana o finlandesa de un proveedor de almacenamiento de objetos o su propio disco, y así decidir qué jurisdicción se aplica a los bytes almacenados.
• Le permite cifrar antes de subir con claves que usted tiene, de modo que el proveedor de almacenamiento solo guarda texto cifrado.
• No elimina obligaciones. Sigue necesitando un contrato de encargo con el proveedor de almacenamiento si usa uno (artículo 28 del RGPD), fijarse en quién es el propietario de ese proveedor (una región de la UE de una empresa de propiedad estadounidense es otra cuestión que un proveedor de propiedad de la UE) y una valoración del sistema de origen: copiar Microsoft 365 significa leer datos del mismo servicio del que se habló arriba. La copia puede estar en otro lugar, el origen no se mueve.

Véase también aporte su propio almacenamiento, elegir almacenamiento para copias y RGPD y copias de seguridad.

Qué significa esto al elegir software de copia de seguridad

Una lista breve que cualquier comprador puede usar, sacada de las normas anteriores. Es texto sin más en esta página: nada que descargar y ningún formulario que rellenar.

• ¿Dónde están los datos? Debe poder nombrar el país, el proveedor y quién puede acceder, y poder elegirlos. CON.3 pide fijar por contrato el lugar de almacenamiento cuando las copias están en línea (CON.3.A9), y las normas de transferencia del RGPD giran en torno a la misma pregunta.
• ¿Quién tiene las claves? Los datos deben cifrarse antes de salir de sus sistemas, con claves que el proveedor de almacenamiento no tenga y que estén protegidas por una copia aparte (CON.3.A13). Pregunte qué puede descifrar un proveedor que opere el software por usted.
• ¿Se puede detectar o impedir la manipulación? Almacenamiento inmutable, una cadena de hashes o ambas cosas. El GoBD admite medidas de hardware, de software u organizativas para la inalterabilidad, pero no una simple carpeta compartida por sí sola (Rz. 110). CON.3.A14 exige que las copias no se puedan sobrescribir, ni por descuido ni a propósito.
• ¿Se puede demostrar la conservación? Plazos que pueda fijar según su propia ley (6, 8 y 10 años en Alemania, 7 en Austria), un borrado que espere al fin del plazo y una forma de suspender el borrado por razones legales.
• ¿Se puede demostrar una restauración? Pruebas de restauración periódicas con resultados por escrito (CON.3.A15, artículo 32, apartado 1, letras c y d del RGPD, y las comprobaciones periódicas que pide la Rev. Proc. 97-22 del IRS). Un estado verde del trabajo solo indica que se escribieron datos.
• ¿Hay documentación sobre la que pueda construir? Los auditores alemanes esperan una documentación del procedimiento (Verfahrensdokumentation) que sea suya. Un fabricante no puede escribirla por usted, pero debería indicar los hechos que le pertenecen: lugar de almacenamiento, cifrado, acceso, retención, borrado.
• ¿Puede marcharse? Un formato abierto y documentado y una forma de restaurar sin los servidores del fabricante. Los registros deben seguir disponibles y ser evaluables por máquina hasta el fin del plazo, pase lo que pase con un fabricante (§ 147 apartado 2 AO).
• ¿Dice el fabricante lo que no hace? Desconfíe de certificados que no pueden existir (según el GoBD ninguno vincula a la autoridad fiscal) y de afirmaciones como que una herramienta «le hace cumplir». Los buenos fabricantes nombran sus medidas y sus límites.

Cómo lo hace Restow

Restow lo desarrolla IT Systeme Flores UG en Bergisch Gladbach, Alemania, y está diseñado teniendo presentes las normas alemanas anteriores. Esto es lo que la versión publicada hace y no hace, comprobado con el código fuente y la documentación del producto en la etiqueta v0.4.1 (las rutas están en el repositorio público). Restow es una beta: úselo junto a su copia de seguridad actual hasta que haya comprobado restauraciones con sus propios datos.

Qué hace

• Autoalojado. Usted lo ejecuta en su propia infraestructura. No hay una nube operada por Restow ni telemetría, y solo se conecta a lo que usted configure (cifrado y gestión de claves).
• Almacenamiento a su elección. Las copias van a una ruta local, a almacenamiento de objetos compatible con S3 o a NFS (almacenamiento). Para S3 hay un preajuste de Hetzner Object Storage con elección de ubicación: Falkenstein y Núremberg en Alemania, Helsinki en Finlandia (apps/web/src/features/storage/forms.ts; ubicaciones según Hetzner). El preajuste todavía no se ha probado con un bucket real de Hetzner. Los repositorios de copia pueden guardar una segunda copia en otro lugar. Un endpoint S3 debe usar HTTPS: un endpoint nuevo o modificado por http:// sin cifrar se rechaza, salvo hacia localhost (docs/STORAGE.md).
• Copias inmutables, por repositorio. Desactivadas hasta que un administrador las activa en un repositorio. En S3 con Object Lock (modo compliance o governance, de 1 a 3650 días; un bucket sin Object Lock se rechaza) se bloquean los paquetes (packs), los manifiestos y las claves del almacén de fragmentos y las copias de servidores y equipos, recursos compartidos de archivos y contenedores de Proxmox VE hasta que pasen el plazo más 7 días, y una renovación diaria mantiene bloqueados los datos que reutilizan los puntos de restauración nuevos (docs/STORAGE.md). Un punto de restauración muestra «Inmutable hasta <fecha>» (en la interfaz en inglés, «Immutable until <date>») en verde solo si el propio almacenamiento notificó una retención en modo compliance. Es el tipo de medida que pide CON.3.A14; si basta para sus sistemas, lo juzga usted. Los registros de los elementos del archivo conservan su propia retención, como hasta ahora (copias inmutables).
• Detección de ransomware, un cable trampa. Cada punto de restauración nuevo se juzga en busca de señales de ransomware a partir de datos que la copia ya tiene: cuánto ha cambiado frente al propio historial del objeto, borrados masivos, extensiones renombradas, extensiones de ransomware conocidas y notas de rescate, y la entropía y la compresibilidad de los datos nuevos. Un hallazgo marca el punto de restauración como «Sospechoso» (en la interfaz en inglés, «Suspicious»), genera una notificación y, mientras siga abierto y la pausa de retención esté activada (por defecto), impide que la retención borre ningún punto de restauración de ese objeto, de modo que los anteriores limpios no se eliminan (detección de ransomware, docs/RANSOMWARE.md). No es un antivirus, un punto de restauración sin hallazgos no prueba nada, y se probó con ataques simulados, no con ransomware real.
• Cifrado con sus propias claves. Cada fragmento se cifra con AES-256-GCM, con una clave por inquilino que queda envuelta (cifrada) por la clave maestra de la instalación (docs/ARCHITECTURE.md, en alemán). En una instalación autoalojada nadie fuera de su organización tiene la clave maestra; si un proveedor de servicios opera la instalación por usted, la tiene el proveedor, y su contrato de encargo debería decirlo.
• Un archivo con cadena de hashes y anclas. El archivo es de solo anexado: cada elemento se encadena con SHA-256 al anterior (packages/core/src/archive/chain.ts), y las anclas diarias detectan los elementos cortados al final de la cadena. La verificación de la cadena recalcula cada eslabón. La cadena y las anclas están dentro de Restow, de modo que quien tenga acceso de escritura a la base de datos podría recalcularlas; la documentación lo dice. La búsqueda y la exportación (EML en un ZIP, MBOX) están en todas las ediciones (importación, exportación y archivo de correo).
• Diseñado para un uso conforme a GoBD, con límites por edición. La captura desde los buzones (Microsoft Graph, sincronización IMAP, cercana al momento y no completa), la recepción de informes de journaling de Exchange Online y de copias que reenvía un proveedor de correo, la retención obligatoria y la retención legal están en Business y Service Provider, el archivo en sí en todas las ediciones (GoBD y el archivado de correo, explicado, ediciones). Sin certificado, porque no existe ninguno.
• Pruebas de restauración. Una comprobación semanal de restauración relee una muestra aleatoria de cada copia, y cada lectura y restauración queda en un registro de auditoría encadenado con hashes. Los recursos compartidos de archivos se comprueban tras cada punto de restauración nuevo, los invitados de Proxmox VE (vista previa) en minutos tras cada punto de restauración nuevo, y Proxmox VE también puede probar el arranque de los puntos de restauración (cómo se demuestra la restaurabilidad, cómo demostrar una restauración).

Cómo se relaciona el plazo del archivo con los plazos legales

El archivo conserva cada elemento durante un plazo fijo de 8 años, hasta el 31 de diciembre del año de recepción más 8 (apps/api/src/features/archive/retention-policy.ts); ninguna pantalla ni API fija todavía otro plazo (docs/ARCHIVE.md, en alemán). Frente a los plazos alemanes, eso cubre los 6 años de las cartas comerciales y los 8 años de los justificantes contables. No cubre la clase de 10 años (libros, registros, cuentas anuales), no tiene en cuenta la regla de que un plazo no termina mientras siga abierto el plazo de liquidación, y los bancos, las aseguradoras y las empresas de servicios de inversión conservan los justificantes 10 años. El código ya conoce las opciones de 6, 8 y 10 años o ilimitado (packages/core/src/archive/retention.ts), pero todavía nada permite elegir una. Hasta entonces, una retención legal, en Business y Service Provider, suspende el borrado de los elementos que cubre; está pensada para motivos documentados, no como ajuste de retención. A qué clase pertenece cada correo lo decide su asesoría fiscal; véase copia de seguridad y archivo.

Qué no hace

• No lleva ningún certificado GoBD, porque no existe ninguno, y no da asesoría legal ni fiscal.
• No escribe su documentación del procedimiento. Aporta hechos que le pertenecen (lugar de almacenamiento, cifrado, retención, acceso); el documento sigue siendo suyo.
• La inmutabilidad es opcional y tiene límites. Está desactivada hasta que un administrador la activa por repositorio, y el repositorio predeterminado de la instalación no puede hacerse inmutable (dé al inquilino un repositorio propio). Solo S3 con Object Lock puede bloquear datos. Un directorio (el volumen de Docker, un recurso compartido NFS) recibe un retraso de borrado que el propio código de Restow respeta: protege contra el mal uso de Restow, no contra quien tenga acceso al servidor o al recurso compartido, y la interfaz dice que no es inmutabilidad. No se bloquean los puntos de control (checkpoints), el área temporal (staging), las exportaciones, las descargas ni los archivos de bloqueo e índice de restic. Quien controla Restow puede detener los bloqueos nuevos y la renovación, y un bloqueo en modo governance lo levanta cualquier cuenta con el permiso de omisión (bypass) en el bucket; use por eso el modo compliance o una clave de acceso sin ese permiso. El bloqueo solo se probó con un servicio S3 simulado, no con uno real, y el comportamiento con una retención predeterminada de todo el bucket no está probado (docs/STORAGE.md, Aprender: copias inmutables).
• Lo que llega al archivo lo deciden las vías de captura que usted elija en cada trabajo de correo (Graph o journaling de Exchange para Microsoft 365, sincronización IMAP o copias reenviadas para IMAP y Google Workspace) y lo que usted importe. Las vías cercanas al momento pueden perder un correo que se mueve o se elimina justo tras la entrega, y solo se probaron con servicios simulados. Una exportación para auditores y un informe de evidencias firmado están previstos; ninguno está construido.
• No hace ninguna afirmación sobre las normas de otros países, como la SEC 17a-4 o las reglas de HMRC. C5 es un catálogo para proveedores de nube: un informe C5 se aplica al almacenamiento en la nube que elija, no al software que usted mismo opera.

Preguntas frecuentes

Fuentes (consultadas el 16 de octubre de 2026)

• Comisionado de Protección de Datos de Hesse: historia de la protección de datos (en alemán)
• Comisionado de Protección de Datos de Hesse: 50 años de protección de datos en Hesse (en alemán)
• Tribunal Constitucional Federal: sentencia del censo de 15 de diciembre de 1983, 1 BvR 209/83 y otros (en alemán)
• Reglamento (UE) 2016/679 (RGPD), EUR-Lex: artículos 3, 32 y 37
• § 38 BDSG (delegados de protección de datos de entidades privadas), § 9 y § 40 BDSG (supervisión), gesetze-im-internet.de (en alemán)
• DSK: las autoridades de protección de datos de la Federación y los Länder (en alemán)
• DSK: resoluciones, con la indicación de que no son jurídicamente vinculantes (en alemán)
• DSK: Modelo Estándar de Protección de Datos, versión 3.1 de 14 de mayo de 2024 (en alemán)
• § 147 AO (conservación, acceso a los datos), § 146 AO (inalterabilidad) y § 162 AO (estimación), gesetze-im-internet.de (en alemán)
• § 257 HGB, gesetze-im-internet.de (en alemán)
• Cuarta Ley de Reducción de la Burocracia, BGBl. 2024 I Nr. 323 (en alemán)
• Ministerio Federal de Finanzas, nota de prensa de 6 de agosto de 2025: conservación de justificantes en bancos, aseguradoras y empresas de servicios de inversión (en alemán)
• GoBD (carta del BMF de 28 de noviembre de 2019), consolidado en el Manual oficial de la AO 2026, anexo 33 (en alemán)
• Carta del BMF de 11 de marzo de 2024 que modifica el GoBD (en alemán)
• Carta del BMF de 14 de julio de 2025 (segunda modificación del GoBD) (en alemán)
• IRS: How long should I keep records? (en inglés)
• IRS: Rev. Proc. 97-22, sistemas de almacenamiento electrónico de libros y registros (en inglés)
• 17 CFR § 240.17a-4, eCFR (registros de corredores, en inglés)
• GOV.UK: Company and accounting records (en inglés)
• GOV.UK: Record keeping for VAT, VAT Notice 700/21 (en inglés)
• Companies Act 2006, section 388, legislation.gov.uk (en inglés)
• Código de Obligaciones suizo, art. 958f, Fedlex (en alemán)
• Ordenanza suiza sobre la llevanza y conservación de los libros de comercio (GeBüV, SR 221.431), Fedlex (en alemán)
• Portal PYME de la Confederación suiza: conservación electrónica de los libros de comercio (en alemán)
• § 132 BAO, RIS (en alemán)
• BSI: módulo CON.3 Datensicherungskonzept de IT-Grundschutz, edición 2023 (en alemán)
• BSI: Compendio IT-Grundschutz, edición 2023, y la nota sobre la transición al nuevo IT-Grundschutz (en alemán)
• BSI: catálogo de criterios C5 para la computación en la nube, con C5:2026 y C5:2020 (en alemán)
• Ley de transposición de la Directiva NIS 2, BGBl. 2025 I Nr. 301 (en alemán)
• Notas de prensa del BSI de 5 de diciembre de 2025 y 6 de enero de 2026 (portal del BSI) y página del BSI sobre las obligaciones NIS 2 (en alemán)
• § 30 BSIG (medidas de gestión de riesgos), gesetze-im-internet.de (en alemán)
• DSK: decisión de 24 de noviembre de 2022 sobre el grupo de trabajo de servicios en línea de Microsoft y resumen de su informe (en alemán)
• Comisionado de Protección de Datos y Libertad de Información de Hesse: informe sobre el uso de Microsoft 365, 15 de noviembre de 2025 (en alemán)
• DSK: lista de decisiones (en alemán), consultada el 16 de octubre de 2026
• Decisión de Ejecución (UE) 2023/1795 de la Comisión de 10 de julio de 2023 (Marco de Privacidad de Datos UE-EE. UU.), EUR-Lex
• CEPD: Information note on data transfers to the United States after the adequacy decision of 10 July 2023 (en inglés)
• DSK: notas de aplicación sobre el Marco de Privacidad de Datos UE-EE. UU., 4 de septiembre de 2023 (en alemán)
• Tribunal de Justicia de la UE: comunicado de prensa 106/25 sobre la sentencia de 3 de septiembre de 2025, T-553/23 Latombe/Comisión
• CEPD: Report on the first review of the EU-U.S. Data Privacy Framework, 4 de noviembre de 2024 (en inglés)
• Documentación de Hetzner: ubicaciones y puntos de acceso de Object Storage (en inglés)

Más: Aprender: copia de seguridad y archivo · Aprender: RGPD y copias de seguridad · Aprender: copias inmutables · Cifrado y gestión de claves · Almacenamiento · Detección de ransomware · Verificación · Documentación: GoBD and evidence (en inglés) · Documentación: backup vs. archive (en inglés)