E-Mail-Archivierung nach GoBD: Was Betriebe technisch umsetzen müssen

Welche E-Mails müssen Betriebe aufbewahren?

Ob eine E-Mail aufbewahrt werden muss, entscheidet ihr Inhalt, nicht das Medium. Die Abgabenordnung (§ 147 AO) und das Handelsgesetzbuch (§ 257 HGB) verlangen, dass Betriebe empfangene Handels- oder Geschäftsbriefe, Wiedergaben der abgesandten Briefe und Buchungsbelege aufbewahren. Die GoBD — die Grundsätze der Finanzverwaltung zur ordnungsmäßigen Führung und Aufbewahrung von Büchern und Unterlagen in elektronischer Form — stellen klar, dass für E-Mails dasselbe gilt: Es kommt auf Inhalt und Funktion an, nicht auf die Bezeichnung.

• Handels- oder Geschäftsbrief: Angebote, Bestellungen, Auftragsbestätigungen, Reklamationen, Absprachen zu Preisen und Terminen eines Auftrags. Diese E-Mails sind aufbewahrungspflichtig.
• Buchungsbeleg: eine Rechnung im Text der E-Mail oder eine E-Mail, auf die sich eine Buchung stützt. Auch sie ist aufbewahrungspflichtig.
• Reines Transportmittel: eine E-Mail, die nur eine angehängte Rechnung überbringt und darüber hinaus nichts Aufbewahrungspflichtiges enthält. Die GoBD vergleichen sie mit dem Briefumschlag — sie muss nicht aufbewahrt werden, der Anhang schon.
• Ohne Aufbewahrungspflicht: Werbung, Newsletter, Spam und interne Nachrichten ohne Bezug zu einem Geschäftsvorfall.

Im Postfach lassen sich diese Fälle kaum sauber trennen, schon gar nicht E-Mail für E-Mail. In der Regel ist es deshalb einfacher und sicherer, den gesamten geschäftlichen E-Mail-Verkehr zu archivieren und gezielt auszuschließen, was sicher nicht dazugehört, etwa Spam. Wer von Hand aussortiert, muss später begründen können, warum eine E-Mail fehlt.

Wie lange müssen E-Mails aufbewahrt werden?

Die Fristen stehen in § 147 Absatz 3 AO und § 257 Absatz 4 HGB. Seit dem 1. Januar 2025 gilt für Buchungsbelege eine Frist von acht statt zehn Jahren; die Änderung geht auf das Vierte Bürokratieentlastungsgesetz zurück. Zehn Jahre gelten weiterhin für Bücher, Inventare und Jahresabschlüsse — die laufen aber selten über das Postfach.

Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem der Brief empfangen oder abgesandt wurde oder der Beleg entstanden ist. Eine Bestellung vom März 2026 ist also bis zum Ablauf des 31. Dezember 2032 aufzubewahren. Die Frist läuft allerdings nicht ab, solange die Unterlagen für Steuern von Bedeutung sind, deren Festsetzungsfrist noch nicht abgelaufen ist (§ 147 Absatz 3 AO).

Die kürzere Frist für Buchungsbelege gilt für alle Unterlagen, deren alte Zehnjahresfrist am 31. Dezember 2024 noch nicht abgelaufen war (Art. 97 § 19a EGAO). Ein Beleg aus dem Jahr 2018 darf damit nach Ablauf des 31. Dezember 2026 vernichtet werden, sofern die Ausnahme für offene Steuerfestsetzungen nicht greift. Für Kreditinstitute, Versicherungsunternehmen und Wertpapierinstitute gelten Sonderregeln.

Dieser Artikel erklärt die technische Umsetzung und ersetzt keine Steuer- oder Rechtsberatung. Welche Unterlagen Ihr Betrieb wie lange aufbewahren muss, klärt im Einzelfall Ihre Steuerberatung, Fragen zum Datenschutz Ihr Datenschutzbeauftragter oder ein Rechtsanwalt.

Welche GoBD-Grundsätze gelten für die E-Mail-Archivierung?

Die GoBD sind ein Schreiben des Bundesministeriums der Finanzen. Grundlage ist das BMF-Schreiben vom 28. November 2019, geändert am 11. März 2024 und zuletzt am 14. Juli 2025; die Fassung vom 14. Juli 2025 ist seit diesem Tag anzuwenden. Für E-Mails sind fünf Grundsätze entscheidend:

Für E-Mails wichtig ist außerdem die Regel zum Format: Eingehende elektronische Handels- oder Geschäftsbriefe und Buchungsbelege müssen in dem Format aufbewahrt werden, in dem sie empfangen wurden. Eine Umwandlung, etwa von einer Outlook-Nachricht im MSG-Format in ein PDF, ist nur unter bestimmten Voraussetzungen zulässig. Bei E-Rechnungen genügt es nach der Fassung vom Juli 2025, den strukturierten Teil aufzubewahren, also die XML-Datei; den lesbaren Teil, etwa das PDF einer ZUGFeRD-Rechnung, nur dann, wenn er zusätzliche oder abweichende steuerlich relevante Angaben enthält, zum Beispiel Buchungsvermerke.

Bei einer Außenprüfung darf das Finanzamt auf die gespeicherten Daten zugreifen: Es kann selbst Einsicht nehmen und das System dafür nutzen, eine maschinelle Auswertung nach seinen Vorgaben verlangen oder sich die Daten in einem maschinell auswertbaren Format übertragen lassen (§ 147 Absatz 6 AO). Ein Archiv muss E-Mails deshalb nicht nur aufbewahren, sondern auch in einer Form herausgeben können, die sich maschinell auswerten lässt.

Warum sind Postfach und Backup kein Archiv?

Ein Postfach in Outlook oder Microsoft 365 ist ein Arbeitsplatz, kein Archiv. Mitarbeiter löschen E-Mails, verschieben sie in private Ordner, und wenn jemand ausscheidet, wird sein Postfach irgendwann entfernt. Ob dabei etwas Aufbewahrungspflichtiges verschwunden ist, lässt sich im Nachhinein kaum feststellen. Auch viel Speicherplatz ändert daran nichts: Vollständig ist ein Postfach nur, solange niemand etwas löscht.

Ein Backup ist für den Ernstfall gebaut: Es stellt einen Stand wieder her, nachdem Daten verloren gegangen sind. Für ein Archiv fehlen ihm wichtige Eigenschaften. Ein Backup hält nur fest, was zum Zeitpunkt der Sicherung im Postfach lag — eine E-Mail, die am selben Tag gelöscht wurde, fehlt. Sicherungen werden nach einem festen Plan überschrieben, oft lange vor Ablauf von sechs oder acht Jahren. Und wer eine einzelne E-Mail aus dem Jahr 2019 sucht, muss erst einen alten Stand zurückspielen.

Umgekehrt ersetzt ein Archiv kein Backup. Auch das Archiv selbst muss gesichert werden, sonst ist ein Festplattendefekt oder ein Verschlüsselungstrojaner das Ende der Aufbewahrung. Wie eine Datensicherung aufgebaut sein sollte, beschreibt der Ratgeber Backup-Konzept nach 3-2-1.

Welche technischen Lösungen gibt es für die E-Mail-Archivierung?

Für kleine und mittlere Betriebe gibt es im Wesentlichen zwei Wege: eine spezialisierte Archivlösung oder die Aufbewahrungsfunktionen, die Microsoft 365 mitbringt.

Spezialisierte Archivlösung

Eine Archivlösung übernimmt ein- und ausgehende E-Mails in einen eigenen, geschützten Speicher, idealerweise bevor jemand sie im Postfach löschen kann. Solche Lösungen gibt es als Software für einen vorhandenen Server, als eigenes Gerät und als Cloud-Dienst. Worauf Sie bei der Auswahl achten:

• Archivierung beim Ein- und Ausgang: nicht erst nachträglich aus dem Postfach, sonst fehlt, was vorher gelöscht wurde
• Schutz vor Veränderung: kein Löschen vor Fristablauf, Protokoll aller Zugriffe
• Suche und Export: Volltextsuche und Export im Originalformat für eine Prüfung
• Fristen und Löschung: Löschung nach Fristablauf, damit das Archiv nicht unbegrenzt wächst
• Speicherort und Vertrag: Wo liegen die Daten, und gibt es einen Vertrag zur Auftragsverarbeitung? Die Optionen vergleicht der Ratgeber DSGVO-konformes Hosting in Deutschland.
• Ausstieg: Lassen sich alle E-Mails bei einem Anbieterwechsel vollständig und mit Index herausholen?

Zertifikate oder Testate, mit denen Hersteller werben, helfen bei der Auswahl, binden das Finanzamt nach den GoBD aber nicht. Ob die Archivierung ordnungsgemäß ist, hängt auch davon ab, wie das Produkt im Betrieb eingerichtet wird — Zugriffsrechte, Einstellungen, Updates.

Aufbewahrungsrichtlinien in Microsoft 365

Microsoft 365 bringt mit Microsoft Purview eigene Werkzeuge mit. Aufbewahrungsrichtlinien legen fest, dass Inhalte eines Postfachs für eine bestimmte Zeit erhalten bleiben, auch wenn ein Nutzer sie löscht, und danach gelöscht werden können. Dazu kommen Archivpostfächer, die ältere E-Mails aus dem Hauptpostfach aufnehmen.

Die Rechte dafür hängen an der Lizenz. Laut Microsoft enthält unter den Business-Plänen nur Microsoft 365 Business Premium die Aufbewahrungsrichtlinien für Postfächer; für Business Basic und Business Standard braucht es eine Zusatzlizenz wie Exchange Online Archiving. Business Premium enthält außerdem ein automatisch erweiterbares Archivpostfach bis 1,5 TB (Stand: September 2026). Welcher Plan zu Ihrem Betrieb passt, vergleicht der Ratgeber Microsoft 365 Business Basic, Standard oder Premium.

Ob Aufbewahrungsrichtlinien die Anforderungen in Ihrem Betrieb erfüllen, entscheidet die Einrichtung: Die Richtlinie muss alle relevanten Postfächer erfassen, auch Sammelpostfächer wie info@, die Frist muss passen, und Änderungen an der Richtlinie müssen nachvollziehbar sein. Eine eigenständige Archivlösung ist die bessere Wahl, wenn neben Microsoft 365 weitere Mailsysteme laufen oder das Archiv unabhängig vom Microsoft-Konto des Betriebs sein soll.

Was gehört in die Verfahrensdokumentation für E-Mails?

Die GoBD verlangen für jedes Datenverarbeitungssystem, mit dem steuerlich relevante Unterlagen verarbeitet werden, eine Verfahrensdokumentation. Sie beschreibt Inhalt, Aufbau und Ablauf des Verfahrens so, dass ein sachverständiger Dritter es nachvollziehen kann. Für die E-Mail-Archivierung entsteht sie in diesen Schritten:

1. 01

   Umfang festlegen

   Welche Postfächer werden archiviert — persönliche Postfächer, Sammelpostfächer wie info@, der Rechnungseingang? Was ist ausgenommen, etwa Spam?

2. 02

   Technik beschreiben

   Welches System archiviert, wo liegen die Daten, und wie wird verhindert, dass jemand E-Mails ändert oder vor Fristablauf löscht?

3. 03

   Zuständigkeiten regeln

   Wer richtet ein, wer darf im Archiv suchen, und wer prüft regelmäßig, ob die Archivierung läuft?

4. 04

   Fristen und Löschung festlegen

   Wie lange wird aufbewahrt, und wer gibt die Löschung nach Fristablauf frei?

5. 05

   Prüfung und Sonderfälle beschreiben

   Wie läuft ein Datenzugriff bei einer Außenprüfung? Was passiert bei einem Ausfall, einem Systemwechsel oder dem Ende des Vertrags mit dem Anbieter?

6. 06

   Aktuell halten

   Jede Änderung am Verfahren wird mit Datum nachgetragen. Eine Dokumentation, die ein anderes System beschreibt als das laufende, hilft niemandem.

Die technische Beschreibung ist dieselbe Übersicht, die auch ein neuer IT-Dienstleister braucht, um die Umgebung zu übernehmen — was darüber hinaus hineingehört, steht im Ratgeber zur IT-Dokumentation. Wenn Sie Einrichtung, Überwachung und Dokumentation nicht selbst übernehmen wollen, gehört das in die laufende IT-Betreuung.

Wie passen E-Mail-Archivierung, DSGVO und private E-Mails zusammen?

Die Datenschutz-Grundverordnung verlangt, personenbezogene Daten nicht länger zu speichern als nötig. Die gesetzliche Aufbewahrungspflicht geht dem Löschwunsch aber vor: Das Recht auf Löschung gilt nicht, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist (Art. 17 Abs. 3 Buchst. b DSGVO). Umgekehrt gilt: Nach Ablauf der Frist müssen die Daten gelöscht werden. Ein Archiv, das nie löscht, ist datenschutzrechtlich ein Problem.

Schwieriger sind private E-Mails. Erlaubt ein Betrieb, das dienstliche Postfach privat zu nutzen, landen auch private Nachrichten im Archiv. Ob und wie weit der Arbeitgeber dann auf diese Nachrichten zugreifen darf, ist rechtlich heikel und wird unterschiedlich beurteilt. Die sauberste Lösung ist eine klare, schriftliche Regel: Das dienstliche Postfach ist nur für dienstliche E-Mails da, private Nachrichten laufen über ein privates Konto. Zu dieser Regel gehört der Hinweis, dass geschäftliche E-Mails archiviert werden.