E-Mail-Archivierung nach GoBD: 5 Fragen, die Sie klären sollten

Im Postfach liegen Angebote, Auftragsbestätigungen und Rechnungen als PDF-Anhang. Kommt die Betriebsprüfung oder ein Rechtsstreit, werden genau diese Mails wichtig. Wer dann nur ein überfülltes Outlook-Postfach vorweisen kann, hat ein Problem. Bei der E-Mail-Archivierung nach GoBD geht es darum, geschäftsrelevante E-Mails nachvollziehbar, unveränderbar und auffindbar aufzubewahren. Die folgenden fünf Fragen helfen Ihnen zu prüfen, wo Ihr Unternehmen steht.

Der Beitrag ersetzt keine Rechts- oder Steuerberatung. Welche Unterlagen bei Ihnen konkret aufbewahrungspflichtig sind und wie lange, klären Sie am besten mit Ihrer Steuerberaterin oder Ihrem Steuerberater.

Was E-Mail-Archivierung nach GoBD bedeutet

Die GoBD sind die Grundsätze der Finanzverwaltung zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form. Sie gelten auch für E-Mails, wenn diese steuerlich relevante Inhalte haben, etwa als Rechnung, Auftrag, Vertrag oder Handelsbrief.

Die Kernanforderungen lassen sich in wenigen Stichworten fassen:

• Vollständigkeit: Es darf keine relevante Mail verloren gehen.
• Unveränderbarkeit: Aufbewahrungspflichtige Mails müssen während der Aufbewahrungsfrist erhalten bleiben und dürfen nicht unbemerkt geändert werden.
• Nachvollziehbarkeit: Es muss erkennbar sein, wie Mails ins Archiv gelangen und wer darauf zugreift.
• Auffindbarkeit und Lesbarkeit: Mails müssen über die gesamte Aufbewahrungsfrist hin wiederzufinden und lesbar sein.

Ein normales Postfach erfüllt das nicht. Jeder Nutzer kann dort Nachrichten verschieben, ändern oder löschen, und beim Wechsel eines Mitarbeiters verschwindet oft ein ganzes Postfach.

Frage 1: Welche E-Mails sind bei uns überhaupt betroffen?

Nicht jede Mail muss archiviert werden. Newsletter oder interne Terminabsprachen sind in der Regel unkritisch. Anders ist es bei Rechnungen, Bestellungen, Angeboten, Verträgen und Geschäftsbriefen, die per Mail eingehen oder versendet werden.

Prüfen Sie also:

• Welche Mailadressen empfangen solche Dokumente (zentrale Adressen wie rechnung@ oder info@, aber auch persönliche Postfächer)?
• Wer legt fest, was als geschäftsrelevant gilt?
• Wie gehen Sie mit Mails um, die Anhänge wie PDF-Rechnungen enthalten?

Eine automatisierte Erfassung ist meist zuverlässiger, als sich auf die Einschätzung jedes Einzelnen zu verlassen. Sie sollte aber auf einem abgestimmten Archivierungskonzept beruhen: Welche Nachrichten werden erfasst, auf welcher Rechtsgrundlage, welche Ausnahmen gelten, wer darf zugreifen und wann wird gelöscht? Denn auch geschäftliche Mails können personenbezogene oder sehr sensible Daten enthalten, die nicht aufbewahrt werden müssen.

Dazu ein Hinweis: Dient eine Mail lediglich als Transportmittel für einen aufbewahrten Anhang, etwa eine Rechnung, und enthält sie keine weiteren aufbewahrungspflichtigen Informationen, muss sie nicht allein deshalb ebenfalls aufbewahrt werden. Wie Sie das in Ihrem Betrieb handhaben, sollten Sie mit Ihrer Steuerberatung abstimmen.

Frage 2: Werden die Mails vollständig und unveränderbar gespeichert?

Ein revisionssicheres Archiv übernimmt Mails automatisch, noch bevor ein Nutzer sie löschen oder verändern kann. Das Verfahren heißt Journaling oder Archivierung beim Empfang und Versand. Entscheidend ist, dass aufbewahrungspflichtige Inhalte während der gesamten Aufbewahrungsfrist erhalten bleiben. Änderungen dürfen den ursprünglichen Inhalt nicht unkenntlich machen und müssen nachvollziehbar sein. Eine bloß protokollierte vorzeitige Löschung genügt nicht.

Fragen Sie sich:

• Läuft die Archivierung automatisch oder hängt sie vom Verhalten einzelner Mitarbeiter ab?
• Können Administratoren oder Nutzer archivierte Mails nachträglich verändern oder vorzeitig löschen?
• Werden auch Mails aus Shared Mailboxes und Funktionspostfächern erfasst?
• Ist sichergestellt, dass nach einem Wechsel oder einer Migration, zum Beispiel zu Exchange Online, nichts verloren geht?

Gerade bei der Umstellung auf Microsoft 365 sollte die Archivierung von Anfang an mitgeplant werden.

Frage 3: Finden wir eine Mail schnell wieder und löschen wir rechtzeitig?

Ein Archiv, in dem man nichts findet, hilft bei einer Prüfung wenig. Verlangt die Finanzverwaltung Zugriff auf Unterlagen, müssen Sie diese in angemessener Zeit bereitstellen können. Eine Volltextsuche über Absender, Empfänger, Datum und Inhalt, auch in Anhängen, ist dafür die Grundlage.

Dazu kommt die Gegenseite: Der Datenschutz verlangt, personenbezogene Daten nicht länger als nötig zu speichern. Sie brauchen also ein Konzept, das Aufbewahrungsfristen und Löschung zusammenbringt. Die Fristen unterscheiden sich je nach Dokumentart und können sich ändern. Lassen Sie sie deshalb von Ihrer Steuerberatung bestätigen und im Archiv hinterlegen, statt sie aus dem Gedächtnis anzusetzen.

Private Mails von Mitarbeitenden sind ein eigenes Thema. Ob und wie private Nutzung erlaubt ist, sollten Sie schriftlich regeln, weil davon abhängt, was Sie archivieren dürfen.

Frage 4: Ist unser Archiv mehr als ein Backup?

Häufig hört man: „Wir haben doch ein Backup.“ Ein Backup dient aber einem anderen Zweck. Es stellt Daten nach einem Ausfall wieder her, ist aber meist nicht darauf ausgelegt, einzelne Mails über Jahre unveränderbar und durchsuchbar vorzuhalten. Es ist deshalb kein Ersatz für ein Archiv, umgekehrt ersetzt das Archiv kein Backup.

Beides gehört zusammen:

• Archiv: dauerhafte, unveränderbare und durchsuchbare Aufbewahrung steuerrelevanter Mails.
• Backup: Schutz vor Datenverlust, getestete Wiederherstellung und Notfallplan.

Prüfen Sie außerdem, wo das Archiv liegt. Bei Cloud-Lösungen sollten Standort des Rechenzentrums und Vertrag zur Auftragsverarbeitung geklärt sein.

Frage 5: Ist das Verfahren dokumentiert, und wer ist verantwortlich?

Die GoBD verlangen eine Verfahrensdokumentation, die beschreibt, wie Ihr Unternehmen mit steuerrelevanten Daten umgeht. Dazu gehört auch der Weg der E-Mail: Wie gelangt sie ins Archiv, wer hat Zugriff, wie werden Änderungen verhindert oder nachvollziehbar gemacht, wie lange wird aufbewahrt und wer ist zuständig?

Fehlt diese Beschreibung, kann selbst ein technisch sauberes Archiv in der Prüfung Rückfragen auslösen. Mehr zum Thema finden Sie bei unserer GoBD-konformen Verfahrensdokumentation.

Checkliste: So prüfen Sie Ihre E-Mail-Archivierung

1. Haben wir festgelegt, welche Mails geschäftsrelevant sind, und erfassen wir alle relevanten Postfächer nach einem abgestimmten Konzept?
2. Läuft die Archivierung automatisch und ohne Zutun der Nutzer?
3. Bleiben aufbewahrungspflichtige Mails während der Aufbewahrungsfrist erhalten, und sind Änderungen nachvollziehbar, ohne dass der ursprüngliche Inhalt verloren geht?
4. Finden wir eine Mail samt Anhang in kurzer Zeit per Suche?
5. Sind Aufbewahrungs- und Löschfristen mit der Steuerberatung abgestimmt?
6. Ist das Archiv getrennt vom Backup, und wird die Wiederherstellung getestet?
7. Gibt es eine Verfahrensdokumentation und eine verantwortliche Person?
8. Sind Mitarbeitende über den Umgang mit geschäftlichen und privaten Mails informiert?

Können Sie mehr als zwei Punkte nicht sicher mit Ja beantworten, lohnt sich ein genauerer Blick.

Häufige Fragen

Reicht es, Mails als PDF auszudrucken oder abzulegen?

Nicht ohne Weiteres. Wird eine Mail ausgedruckt oder in einem Ordner abgelegt, gehen Metadaten und Nachvollziehbarkeit leicht verloren, und eine Änderung ist schwer auszuschließen. Ob ein anderes Vorgehen im Einzelfall genügt, sollten Sie mit Ihrer Steuerberatung klären.

Brauchen auch kleine Unternehmen und Praxen ein E-Mail-Archiv?

Die Pflicht hängt nicht von der Unternehmensgröße ab, sondern davon, ob steuerrelevante Unterlagen per Mail anfallen. Das ist bei fast jedem Betrieb der Fall, auch in Arztpraxen und Kanzleien. Der Aufwand lässt sich mit einer passenden Lösung gering halten.

Was ist mit E-Rechnungen?

E-Rechnungen im Format ZUGFeRD oder XRechnung kommen häufig per Mail und müssen ebenfalls ordnungsgemäß aufbewahrt werden. Wie Sie den Rechnungseingang insgesamt regeln, erklären wir in unserem Beitrag zur E-Rechnung.

Ist ein E-Mail-Archiv automatisch DSGVO-konform?

Nein. Es muss zu Ihrem Löschkonzept passen, Zugriffe begrenzen und vertraglich sauber geregelt sein. Archivierung und Datenschutz sind deshalb gemeinsam zu planen.

So unterstützt Sie die comgie IT in Münster und im Münsterland

Wir von der comgie IT richten für Unternehmen in Münster und im Münsterland eine E-Mail-Archivierung nach GoBD und DSGVO ein, die zu Ihrer Mailumgebung passt, egal ob Exchange Online, Microsoft 365 oder ein bestehender Server. Wir stimmen die Technik mit Ihrer Steuerberatung ab, binden sie in Ihr Backup-Konzept ein und unterstützen bei der Dokumentation. Einen ersten Überblick über Ihre IT-Sicherheit, Updates und Datensicherung erhalten Sie mit unserem kostenlosen IT-Sicherheitscheck. Wenn Sie wissen möchten, wo Ihr Unternehmen bei der Mailarchivierung steht, buchen Sie einen Termin für ein Erstgespräch. Wir schauen uns Ihre Situation gemeinsam mit Ihnen an.