Rechtsgrundlagen der E-Mail-Archivierung

Stand: August 2026 · PC-SPEZIALIST Hannover / HIT Systempartner GmbH

Die Pflicht zur E-Mail-Archivierung ergibt sich in Deutschland nicht aus einem einzelnen Gesetz. Sie folgt aus dem Zusammenspiel mehrerer Regelwerke: dem Handelsgesetzbuch (HGB), der Abgabenordnung (AO), dem Umsatzsteuergesetz (UStG) und den GoBD.

Wer geschäftlich per E-Mail kommuniziert, ist betroffen – unabhängig von der Branche. Welche Norm konkret greift, hängt allerdings von der Rechtsform ab:

• Kaufleute und Handelsgesellschaften (GmbH, OHG, KG, eingetragene Kaufleute): HGB und AO

• Freiberufler, Kleingewerbe, Nicht-Kaufleute: AO und UStG – das HGB gilt hier nicht

• Alle, die Rechnungen ausstellen oder erhalten: zusätzlich § 14b UStG

Im Ergebnis führen alle Wege zur selben Praxis: Geschäftliche E-Mails müssen vollständig, unveränderbar und auswertbar aufbewahrt werden.

HGB – Handelsgesetzbuch

Für Kaufleute regelt das HGB die Aufbewahrung von Handelsbriefen. Ein Handelsbrief ist jedes Schreiben, das ein Handelsgeschäft vorbereitet, abschließt, durchführt oder rückgängig macht – also Angebote, Auftragsbestätigungen, Bestellungen, Lieferankündigungen oder Reklamationen. Die Form spielt keine Rolle: Eine E-Mail ist rechtlich einem Brief gleichgestellt.

Häufige Verwechslung: § 257 Abs. 1 HGB listet nur auf, was aufzubewahren ist. Die Fristen selbst stehen in Absatz 4. Korrekt zitiert wird daher z. B. „§ 257 Abs. 1 Nr. 4 i. V. m. Abs. 4 HGB".

AO – Abgabenordnung

§ 147 AO ist das steuerrechtliche Gegenstück und gilt für alle Buchführungs- und Aufzeichnungspflichtigen – auch für die, die nicht Kaufmann sind.

UStG – Umsatzsteuergesetz

§ 14b UStG verpflichtet jeden Unternehmer, ein Doppel der ausgestellten sowie alle erhaltenen Rechnungen acht Jahre aufzubewahren. Diese Norm gilt unabhängig von der Kaufmannseigenschaft und ist deshalb für kleinere Betriebe und Freiberufler die eigentlich einschlägige Vorschrift.

GoBD

Die GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff) sind ein Schreiben des Bundesfinanzministeriums vom 28.11.2019, zuletzt geändert durch BMF-Schreiben vom 11.03.2024.

Die GoBD sind kein Gesetz, sondern eine Verwaltungsanweisung – sie binden die Finanzverwaltung und geben damit vor, woran eine Betriebsprüfung Ihre Archivierung misst. Gefordert wird, dass archivierungspflichtige E-Mails

• vollständig erfasst werden (keine Lücken, keine Nutzerentscheidung über die Aufbewahrung),

• unveränderbar gespeichert sind (nachträgliche Änderungen müssen ausgeschlossen oder protokolliert sein),

• maschinell auswertbar bleiben (Volltextsuche, Sortierung, Export – nicht nur als Bilddatei),

• jederzeit verfügbar und innerhalb angemessener Frist lesbar zu machen sind,

• über eine Verfahrensdokumentation nachvollziehbar sind.

Eine Ablage in Ordnern des normalen Postfachs erfüllt diese Anforderungen nicht: Nutzer können Nachrichten löschen, verschieben oder verändern, und eine Protokollierung findet nicht statt.

Der oft verwendete Begriff „revisionssicher" ist übrigens kein Rechtsbegriff. Er stammt aus der Prüfungspraxis (IDW PS 880) und beschreibt eine Lösung, die die genannten GoBD-Anforderungen technisch garantiert.

Welche E-Mails sind betroffen – und wie lange?

Nicht jede Nachricht unterliegt der Pflicht. Rein private oder rein informelle Nachrichten ohne geschäftlichen Bezug sind ausgenommen. Maßgeblich ist die Funktion der E-Mail beziehungsweise ihres Anhangs.

Wichtig: Die 8 Jahre sind neu – und gelten nicht für alles

Durch das Vierte Bürokratieentlastungsgesetz (verkündet am 29.10.2024) wurde die Frist für Buchungsbelege zum 01.01.2025 von zehn auf acht Jahre verkürzt. Zu beachten:

• Die Verkürzung betrifft ausschließlich Buchungsbelege. Bücher, Aufzeichnungen, Jahresabschlüsse und Inventare bleiben bei zehn Jahren.

• Sie gilt für alle Unterlagen, deren Frist am 31.12.2024 noch nicht abgelaufen war (Art. 97 § 19a Abs. 2 EGAO).

• Ausnahme Finanzsektor: Für Kreditinstitute, Versicherungsunternehmen und Wertpapierinstitute gilt die Verkürzung nicht. Die 8-Jahres-Frist sollte für sie ursprünglich nur ein Jahr später greifen, wurde dann aber durch das Gesetz zur Modernisierung und Digitalisierung der Schwarzarbeitsbekämpfung (Zustimmung des Bundesrates am 19.12.2025) vollständig zurückgenommen. Für diese Unternehmen bleibt es dauerhaft bei zehn Jahren (Art. 97 § 19a Abs. 3 EGAO, § 257 Abs. 4 HGB). Hintergrund ist die Aufarbeitung von Cum/Ex- und Cum/Cum-Geschäften.

Fristbeginn: Rechnen Sie mit einem Jahr mehr

Die Frist beginnt nicht am Tag der E-Mail, sondern mit Ablauf des Kalenderjahres, in dem der Beleg entstanden oder die letzte Eintragung erfolgt ist (§ 257 Abs. 5 HGB, § 147 Abs. 4 AO).

Beispiel: Eine Eingangsrechnung vom 15. März 2025 ist bis zum 31.12.2033 aufzubewahren – praktisch also fast neun Jahre.

Ablaufhemmung: Fristen können sich verlängern

Nach § 147 Abs. 3 Satz 5 AO endet die Frist nicht, solange die Unterlagen für Steuern von Bedeutung sind, deren Festsetzungsfrist noch läuft – etwa bei einer laufenden Außenprüfung, einem Einspruchsverfahren oder vorläufigen Bescheiden.

Für die Praxis heißt das: Eine automatische Löschroutine muss sich anhalten lassen. Andernfalls vernichten Sie Unterlagen, die Sie noch vorlegen müssen.

Datenzugriff der Finanzverwaltung

§ 147 Abs. 6 AO gibt der Betriebsprüfung drei Zugriffsarten, die Ihre Archivierung unterstützen muss:

Ein reines PDF-Archiv ohne Exportfunktion scheitert regelmäßig an Z3.

Was bei Verstößen droht

Fehlende oder nicht ordnungsgemäße Archivierung ist kein Kavaliersdelikt:

• Verwerfung der Buchführung und Hinzuschätzung der Besteuerungsgrundlagen nach § 162 AO

• Verzögerungsgeld von 2.500 bis 250.000 Euro (§ 146 Abs. 2c AO)

• Verlust des Vorsteuerabzugs, wenn Rechnungen nicht vorgelegt werden können

• Beweisnachteile in zivilrechtlichen Auseinandersetzungen

• Im Extremfall der Vorwurf der Steuergefährdung (§ 379 AO)

Praxisfragen, die vor der Technik zu klären sind

Private Nutzung des dienstlichen Postfachs

Das ist der häufigste Stolperstein. Ist die private Nutzung des Firmen-Postfachs erlaubt oder auch nur geduldet, kollidiert eine lückenlose Archivierung mit dem Schutz der privaten Kommunikation Ihrer Beschäftigten.

Empfehlung: Private Nutzung schriftlich untersagen – oder eine Betriebsvereinbarung schließen, die Umfang und Zugriff auf archivierte Nachrichten klar regelt. Ohne diese Klärung ist eine Volltextarchivierung rechtlich angreifbar.

Mitbestimmung des Betriebsrats

Ein Archivsystem ist eine technische Einrichtung, die zur Überwachung von Verhalten und Leistung geeignet ist. Wo ein Betriebsrat besteht, ist er nach § 87 Abs. 1 Nr. 6 BetrVG zu beteiligen – vor der Einführung.

DSGVO und Löschkonzept

Archivierte E-Mails enthalten fast immer personenbezogene Daten. Daraus folgt:

• Die Aufbewahrung ist über Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) gerechtfertigt – aber nur für die Dauer der gesetzlichen Frist.

• Nach Fristablauf besteht eine Löschpflicht. Ein Archiv ohne Löschkonzept ist selbst ein Datenschutzverstoß.

• Zugriffe auf das Archiv sind zu beschränken und zu protokollieren.

• Bei Cloud-Archiven: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und Prüfung des Speicherorts.

• Das Archiv gehört ins Verzeichnis von Verarbeitungstätigkeiten.

Verfahrensdokumentation

Die GoBD verlangen eine nachvollziehbare Beschreibung, wie Ihre Archivierung funktioniert: welche Postfächer erfasst werden, wann und wodurch, wie die Unveränderbarkeit sichergestellt ist, wer Zugriff hat und wie gelöscht wird.

Ohne diese Dokumentation ist auch die beste Software formal nicht GoBD-konform. Sie ist regelmäßig eines der ersten Dokumente, nach denen ein Prüfer fragt.

E-Rechnung: das Original ist die XML-Datei

Seit dem 01.01.2025 müssen inländische Unternehmen im B2B-Bereich strukturierte elektronische Rechnungen (XRechnung, ZUGFeRD) empfangen können. Für die Archivierung entscheidend:

Archivierungspflichtig ist der strukturierte XML-Datensatz, nicht die daraus erzeugte PDF-Ansicht. Ein Archiv, das nur das Sichtformat speichert, erfüllt die Anforderung nicht.

Technische Umsetzung: worauf es ankommt

Journalarchivierung statt Postfacharchivierung

• Postfacharchivierung greift auf die Postfächer zu. Nachrichten, die ein Nutzer vor dem Archivierungslauf löscht, fehlen im Archiv – die geforderte Vollständigkeit ist damit nicht gewährleistet.

• Journalarchivierung kopiert jede ein- und ausgehende Nachricht bereits am Mailserver, bevor ein Nutzer sie erreicht. Das ist der Weg, der die GoBD-Vollständigkeit zuverlässig erfüllt.

Anforderungen an eine geeignete Lösung

• Automatische Erfassung ohne Nutzerinteraktion

• Unveränderbare Speicherung (WORM oder kryptografische Sicherung)

• Vollständige Protokollierung aller Zugriffe

• Volltextsuche über Nachrichten und Anhänge

• Regelbasierte, fristabhängige Löschung mit Möglichkeit zur Sperre (Legal Hold)

• Exportfunktion für die Datenträgerüberlassung (Z3)

• Nachweisbarer Speicherort innerhalb der EU

Gilt Microsoft 365 als Archiv?

Ein häufiges Missverständnis. Das „Online-Archiv" in Exchange Online ist eine Speichererweiterung, kein revisionssicheres Archiv. Mit Retention Policies und Litigation Hold lassen sich Teilanforderungen abdecken, die geforderte lückenlose Protokollierung, Löschsteuerung und Exportfähigkeit erreichen Sie damit in der Regel jedoch nicht ohne ergänzende Lösung.

Kurzfassung

1. Geschäftliche E-Mails sind aufbewahrungspflichtig – 6, 8 oder 10 Jahre, je nach Funktion.

2. Die Frist beginnt erst zum Jahresende, rechnen Sie ein Jahr Puffer ein.

3. Das normale Postfach ist kein Archiv.

4. Das Gesetz schreibt kein bestimmtes Produkt vor. Die GoBD-Anforderungen an Vollständigkeit, Unveränderbarkeit und Auswertbarkeit sind in der Praxis aber ohne eine dedizierte Archivierungslösung kaum zu erfüllen.

5. Technik allein genügt nicht: Verfahrensdokumentation, Löschkonzept und die Regelung der Privatnutzung gehören dazu.

Sie möchten wissen, wo Ihr Unternehmen steht? Wir prüfen Ihre bestehende E-Mail-Infrastruktur, zeigen Ihnen konkrete Lücken auf und richten eine passende Archivierungslösung inklusive Verfahrensdokumentation ein.

PC-SPEZIALIST Hannover / HIT Systempartner GmbH

Dieser Beitrag gibt den Rechtsstand August 2026 wieder und dient der allgemeinen Information. Er ersetzt keine Rechts- oder Steuerberatung im Einzelfall. Für die Beurteilung Ihrer konkreten Aufbewahrungspflichten wenden Sie sich bitte an Ihren Steuerberater.