Anlagenmanagement-Richtlinie Vorlage (Österreich)

Scope und Rollen

Die Richtlinie definiert, welche Assets erfasst werden: Sachanlagen, geringwertige Wirtschaftsgüter, IT, Maschinen, Fahrzeuge, Kunst, Software, Domains, Cloudkonten, Lizenzen, Datenträger und sensible Unterlagen.

Rollen werden zugewiesen: Geschäftsführung, Finance, IT, Datenschutz, HR, Einkauf, Operations und jeweilige Nutzer. Eine kleine GmbH kann Rollen bündeln, muss aber trotzdem klar sagen, wer entscheidet und wer kontrolliert.

Für Ausnahmefälle wie Sofortkauf, geliehene Geräte, Sponsorgeräte oder Projektassets gibt es einen Genehmigungsweg.

Mindestfelder und Registerpflege

Jedes Asset erhält Mindestdaten: Bezeichnung, Seriennummer, Anschaffungsdatum, Lieferant, Rechnung, Kostenstelle, Standort, Verantwortlicher, Wert, Nutzung, Datenklasse, Wartung, Versicherung und Abgang.

Änderungen an Standort, Benutzer, Status, Datenklasse oder Eigentum werden mit Datum dokumentiert. Damit entsteht ein Prüfpfad statt einer statischen Liste.

Die Richtlinie bestimmt außerdem, wie oft Inventur, Stichproben und Abgleich mit Buchhaltung stattfinden.

Buchhaltung, Steuer und Aufbewahrung

UGB und BAO verlangen nachvollziehbare Bücher und grundsätzlich siebenjährige Aufbewahrung relevanter Belege. Die Richtlinie verknüpft daher Assetdaten mit Rechnungen, Verträgen, Wartungsbelegen, Versicherungsfällen und Verkaufsnachweisen.

Für Jahresabschluss und Steuerberatung wird festgelegt, wer Anschaffungen, Aktivierungen, Abschreibungen, Abgänge, Versicherungsentschädigungen und Wertminderungen meldet.

Digitale Belege müssen vollständig, geordnet und lesbar bleiben; ein Link in einem gekündigten Cloudkonto genügt nicht.

Datenschutz und IT-Sicherheit

Datenträger und Zugriffsträger bekommen strengere Regeln: Verschlüsselung, Zugriff, Adminrechte, Backup, Passwortverwaltung, Updates, Rückgabe, Sperre, Wipe und Vernichtungsnachweis.

Die DSB beschreibt Data-Breach-Verfahren nach Art. 33 DSGVO. Die Richtlinie legt deshalb fest, wer Verlust, Diebstahl, Fehlversand oder unbefugten Zugriff bewertet und dokumentiert.

Private Nutzung, BYOD, Homeoffice und externe Dienstleister werden nur zugelassen, wenn Eigentum, Support, Datenzugriff und Rückgabe geregelt sind.

Beschaffung, Nutzung und Lieferanten

Einkäufe brauchen Budget, Genehmigung, Lieferant, Vertrag, Rechnung, Garantie, Datenverarbeitung, Lizenzbedingungen und Verantwortliche. Bei kritischen Assets ist Datenschutz oder IT vor Bestellung einzubinden.

Lieferantenverträge können Wartung, Zugriff, Cloudspeicher, Updates, Ersatzteile, Entsorgung und Datenlöschung regeln. Die Richtlinie speichert Vertragsquelle und Kündigungsfrist beim Asset.

Bei Leasing, Mietkauf, Leihe oder Eigentumsvorbehalt wird klar markiert, dass das Asset nicht frei verkauft werden darf.

Abgang, Verkauf und Audit

Asset-Abgang erfolgt nur mit Freigabe und Nachweis. Verkauf, Verschrottung, Spende, Verlust, Diebstahl, Rückgabe an Leasinggeber und Vernichtung haben unterschiedliche Belege.

Für Datenträger ist Wipe- oder Vernichtungsnachweis zwingender Bestandteil der internen Kontrolle. Für wertvolle Sachanlagen braucht es Preis, Käufer, Rechnung und Versicherungs-/Buchungsfolge.

Auditberichte zeigen fehlende Assets, abgelaufene Lizenzen, nicht versicherte Gegenstände, Datenträger ohne Besitzer und offene Incident-Maßnahmen.

Schulung und Durchsetzung

Eine Richtlinie wirkt nur, wenn Mitarbeiterinnen, freie Mitarbeitende und Geschäftsführung wissen, was sie tun müssen. Die Vorlage enthält daher kurze Schulungs- und Bestätigungsschritte für Ausgabe, Rückgabe, Verlust, private Nutzung und Datenträger.

Verstöße werden nicht dramatisiert, aber dokumentiert: fehlende Rückgabe, nicht genehmigter Kauf, ungepatchtes Gerät, fehlender Wipe, abgelaufene Lizenz oder verlorenes Zubehör bekommen Korrekturfrist und Verantwortliche.

Damit bleibt die Richtlinie ein Arbeitsinstrument und nicht nur ein Compliance-PDF.

Kennzahlen und Geschäftsführungsbericht

Für Geschäftsführung und Finance sind wenige Kennzahlen nützlich: Anzahl nicht zugeordneter Assets, offene Wipes, überfällige Wartungen, unklare Versicherungswerte, abgelaufene Lizenzen, vermisste Geräte und offene Data-Breach-Maßnahmen.

Die Vorlage enthält daher einen Berichtsteil, der quartalsweise oder jährlich ausgefüllt werden kann. Kleine Unternehmen können diesen Teil knapp halten; größere Organisationen können ihn mit Ticket- oder Buchhaltungssystemen verbinden.

Wichtig ist die Rückkopplung: Festgestellte Abweichungen müssen zu Kaufstopp, Nachinventur, Versicherungskorrektur, Löschung, Schulung oder Vertragsänderung führen.

Homeoffice, BYOD und externe Nutzung

Die Richtlinie behandelt Homeoffice und externe Nutzung ausdrücklich. Unternehmensgeräte außerhalb des Betriebs brauchen Transport, Versicherung, Zugriffsschutz, private Nutzung, Support und Rückgabeweg.

BYOD wird nicht stillschweigend erlaubt. Wenn private Geräte für Unternehmensdaten genutzt werden, braucht es klare Regeln zu Zugriff, Trennung, Löschung, Support, Verlustmeldung und Ende der Zusammenarbeit.

Bei Dienstleistern, freien Mitarbeitenden oder Projektpartnern werden Leihe, Datenzugriff, Vertraulichkeit, Rückgabe und Vernichtungsnachweis vertraglich oder per Ausgabeformular abgesichert.

Versicherung und Schadenfall

Die Richtlinie verbindet Assets mit Versicherung und Schadenprozess. Für wertvolle Geräte, Maschinen oder Kunstobjekte werden Polizze, Selbstbehalt, Meldefrist, Fotobeweis und zuständige Person hinterlegt.

Bei Schaden oder Diebstahl kann dadurch parallel geprüft werden, ob auch personenbezogene Daten betroffen sind und ob ein Data-Breach-Prozess gestartet werden muss.

Schwellenwerte und sensible Assets

Die Richtlinie lässt Wertschwellen zu, behandelt sensible Assets aber unabhängig vom Preis. Ein billiger USB-Stick, ein alter Laptop oder ein geteiltes Admin-Konto kann datenschutzrechtlich wichtiger sein als ein teures Möbelstück.

Österreichische Dossier- und Nachweiskontrolle

Die österreichische Fassung arbeitet als Dossier, nicht als isolierter Text. Jede finale Version sollte Datum, Status, Verantwortliche, Anlagen, Freigabe, Quelle und Nachweis enthalten. Ohne diese Angaben kann später unklar bleiben, welche Fassung tatsächlich Grundlage für Vertrag, Beschluss, Presseversand oder Übergabe war.

Vor Unterzeichnung oder Versand sind Namen, Firmenbuchnummer, UID, Sitz, Beträge, Fristen, Vertretung, Anlagen, Quellen, personenbezogene Daten und Empfänger abzugleichen. Nicht gewählte Optionen sollten gelöscht werden, damit der finale Text nicht widersprüchlich bleibt.

Für digitale Bearbeitung gilt: DOCX-Änderungen nachvollziehbar halten, PDF-Endfassung unverändert archivieren, Empfang oder Unterschrift sichern und sensible Anlagen getrennt schützen. Das ist besonders wichtig bei Notariats-, Steuer-, Datenschutz-, Arbeits- oder Rechtefragen.

Bei Asset-Unterlagen muss die Kontrolle über den Text hinausgehen: Belege, Rechnungen, Seriennummern, Versicherungen, Lizenzen, Zugänge, Daten, Sicherheiten, Wartung, Abgang und Buchung müssen zusammenpassen.

Bei Datenträgern sind Verschlüsselung, Sperre, Wipe, Empfänger, Löschfrist und Data-Breach-Prüfung als eigene Nachweise zu führen.

Die Richtlinie ist proportional angelegt. Ein kleines Unternehmen kann mit einer einfachen Tabelle arbeiten; ein größeres Unternehmen kann Asset-Tags, CMDB, Rollenmatrix und Bericht an die Geschäftsführung ergänzen. Entscheidend ist, dass Kauf, Nutzung, Datenschutz, Wartung und Abgang nicht in getrennten Silos verschwinden.

Klausel für Klausel erklärt

Scope

Definiert erfasste Assets und Ausnahmen.

Rollen

Weist Finance, IT, Datenschutz, HR und Management zu.

Register

Bestimmt Pflichtfelder und Pflegeprozess.

Beschaffung

Regelt Budget, Freigabe, Lieferant und Rechnung.

Sicherheit

Definiert Zugriff, Verschlüsselung, Updates und Incident.

Wartung

Plant Service, Prüfung, Updates und Belege.

Abgang

Regelt Verkauf, Verschrottung, Verlust und Wipe.

Audit

Macht Inventur, Abweichungen und Korrektur nachweisbar.

Österreichische Asset-Checkliste

• Registerpflicht intern definieren

  Die Richtlinie muss sagen, welche Assets und Datenfelder erfasst werden.

• UGB/BAO-Belege sichern

  Bücher, Belege und Unterlagen sind grundsätzlich sieben Jahre aufzubewahren.

  BAO § 132

• Datenträger besonders schützen

  DSGVO Art. 32 verlangt geeignete Sicherheit personenbezogener Daten.

  DSGVO Art. 32

• Data-Breach-Verfahren festlegen

  Meldungen an die Datenschutzbehörde erfolgen möglichst binnen 72 Stunden, wenn die Voraussetzungen vorliegen.

  DSB Data-Breach-Verfahren

• Lieferanten- und Lizenzgrenzen beachten

  Leasing, Software und Cloudkonten sind nicht automatisch verkäuflich oder übertragbar.

• Audit und Ausnahmeprozess führen

  Abweichungen brauchen Begründung, Verantwortliche und Korrekturmaßnahme.

So füllen Sie die Vorlage aus

1. Scope festlegen. Sachanlagen, IT, Software, Konten, Datenträger und Ausnahmen bestimmen.
2. Rollen zuweisen. Finance, IT, Datenschutz, HR, Einkauf, Operations und Geschäftsführung zuordnen.
3. Registerfelder definieren. Pflichtfelder, Pflegeprozess, Änderungslog und Inventurzyklus festlegen.
4. Incident-Prozess regeln. Verlust, Diebstahl, Fehlzugriff, Data Breach und Eskalation beschreiben.
5. Audit planen. Stichproben, Abweichungen, Bericht und Korrekturmaßnahmen terminieren.

Häufige Fragen

Ähnliche Vorlagen

• Anlagenverzeichnis Vorlage (Österreich)
• Asset-Deal-Kaufvertrag Vorlage (Österreich)