E-Mail-Archivierung: Pflicht für jedes Unternehmen?

Die E-Mail-Archivierung ist für praktisch jedes Unternehmen in Deutschland Pflicht – auch wenn viele Inhaber davon zum ersten Mal beim Steuerberater oder bei einer Betriebsprüfung hören. Sobald E-Mails Handels- oder Geschäftsbriefe ersetzen, greifen die Aufbewahrungspflichten aus Handelsgesetzbuch und Abgabenordnung. Dieser Beitrag erklärt, wer betroffen ist, welche Fristen gelten und wie Sie die Anforderung mit überschaubarem Aufwand erfüllen. Vorab: Dieser Artikel ersetzt keine Steuer- oder Rechtsberatung. Welche Fristen für Ihre Unterlagen im Einzelfall gelten, klärt Ihr Steuerberater.

Wer ist zur E-Mail-Archivierung verpflichtet?

Betroffen ist, wer nach § 257 HGB oder § 147 AO aufbewahrungspflichtige Unterlagen elektronisch empfängt oder versendet – also Kapitalgesellschaften, Personengesellschaften, Einzelunternehmer, Freiberufler und Handwerksbetriebe gleichermaßen. Eine Umsatz- oder Größengrenze gibt es nicht. Entscheidend ist der Inhalt der E-Mail, nicht die Rechtsform: Wer Angebote, Auftragsbestätigungen oder Rechnungen per E-Mail abwickelt, führt Handels- und Geschäftsbriefe in elektronischer Form. Die GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form) verlangen, dass solche Dokumente auch elektronisch aufbewahrt werden. Seit der E-Rechnungspflicht im B2B-Bereich (Empfangspflicht seit dem 1. Januar 2025) kommen steuerlich relevante Dokumente ohnehin fast nur noch digital an – das Thema lässt sich nicht mehr aufschieben.

Welche E-Mails müssen wie lange aufbewahrt werden?

Nicht jede E-Mail ist archivierungspflichtig – der Newsletter einer Fachzeitschrift kann gelöscht werden. Pflicht sind zwei Kategorien:

• Handels- und Geschäftsbriefe (Angebote, Auftragsbestätigungen, Verträge, Reklamationen): 6 Jahre
• Buchungsbelege (Rechnungen, Gutschriften, Zahlungsnachweise): 8 Jahre – die Frist wurde zum 1. Januar 2025 durch das Vierte Bürokratieentlastungsgesetz von 10 auf 8 Jahre verkürzt

Die Frist beginnt jeweils mit dem Ende des Kalenderjahres, in dem die E-Mail versendet oder empfangen wurde. Wichtig: Aufbewahren heißt im Originalformat. Eine ausgedruckte E-Mail genügt nicht, weil Metadaten wie Absender, Empfänger und Zeitstempel verloren gehen. Auch der Anhang gehört dazu – bei einer Rechnung im PDF-Anhang sind E-Mail und PDF gemeinsam aufzubewahren, wenn die E-Mail selbst ergänzende Angaben enthält.

Reicht ein Backup nicht aus?

Nein, und das ist der häufigste Irrtum in der Praxis. Ein Backup sichert einen Momentzustand und wird turnusmäßig überschrieben: Löscht ein Mitarbeiter eine E-Mail aus dem Postfach, verschwindet sie nach und nach auch aus den Sicherungen. Ein GoBD-konformes Archiv arbeitet anders – es erfasst jede E-Mail sofort beim Ein- oder Ausgang und legt sie unveränderbar ab. Nachträgliches Löschen oder Bearbeiten im Postfach hat auf das Archiv keinen Einfluss mehr. Genau diese Unveränderbarkeit (Revisionssicherheit) verlangen die GoBD. Backup und Archiv erfüllen also verschiedene Aufgaben: Das Backup schützt vor Datenverlust, das Archiv erfüllt die gesetzliche Aufbewahrungspflicht. Ein geordnetes Unternehmen braucht beides.

Was bedeutet revisionssicher konkret?

Hinter dem Begriff stehen vier prüfbare Anforderungen: Vollständigkeit (jede pflichtige E-Mail wird erfasst, nicht nur ausgewählte), Unveränderbarkeit (nachträgliche Manipulation ist technisch ausgeschlossen oder protokolliert), Verfügbarkeit (das Archiv ist über die gesamte Aufbewahrungsfrist lesbar und durchsuchbar) und Nachvollziehbarkeit (eine Verfahrensdokumentation beschreibt, wie archiviert wird). Bei einer Betriebsprüfung muss das Finanzamt auf die archivierten E-Mails zugreifen können – im Zweifel per Volltextsuche nach einem bestimmten Geschäftsvorfall.

Wie setzen Sie die Archivierungspflicht um?

Der Aufwand ist kleiner, als viele erwarten, wenn die Archivierung serverseitig läuft statt auf jedem einzelnen Arbeitsplatz. In drei Schritten:

• Bestandsaufnahme: Welche Postfächer empfangen geschäftliche Post? Liegt der Mailserver beim Hoster, bei Microsoft 365 oder Google Workspace?
• Archiv einrichten: Eine GoBD-konforme E-Mail-Archivierung erfasst ein- und ausgehende E-Mails automatisch. Liegt das Postfach beim selben Anbieter, geschieht das direkt auf dem Mailserver; externe Umgebungen wie Microsoft 365 werden über ein Journalpostfach angebunden. Bei webhostone starten die Tarife bei 14,90 € im Monat inklusive 100 GB Archivspeicher, gehostet ausschließlich in deutschen Rechenzentren mit AVV.
• Verfahrensdokumentation ergänzen: Halten Sie schriftlich fest, welche Postfächer archiviert werden und wer Zugriff hat. Vorlagen dafür stellt Ihr Steuerberater bereit.

Danach läuft die Archivierung im Hintergrund, ohne dass Mitarbeiter etwas manuell ablegen müssen. Gerade für kleine und mittlere Unternehmen ist das der praktikabelste Weg, die Pflicht dauerhaft zu erfüllen.

Was gilt bei privater E-Mail-Nutzung im Unternehmen?

Hier treffen zwei Gesetze aufeinander: Die GoBD verlangen das Aufbewahren, die DSGVO verlangt Datensparsamkeit. Problematisch wird es, wenn Mitarbeiter ihr geschäftliches Postfach auch privat nutzen – dann landen private Nachrichten im Archiv. Die übliche Lösung ist eine Richtlinie, die die private Nutzung geschäftlicher Postfächer ausschließt. Dann dürfen alle geschäftlichen E-Mails archiviert werden. Die Ausgestaltung klären Sie mit Ihrer Datenschutzberatung; weitere Grundlagen rund um geschäftliche Postfächer finden Sie in unserem E-Mail-Wissensbereich.