E-Mail-Archivierung Pflicht: Was Unternehmen wirklich archivieren müssen

Rechtliche Grundlage

Ein eigenständiges "E-Mail-Archivierungsgesetz" gibt es nicht. Die Pflicht ergibt sich aus mehreren Vorschriften: dem Handelsgesetzbuch (HGB), der Abgabenordnung (AO) und den GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff). Für E-Rechnungen kommt zusätzlich § 14b UStG dazu, was rechtlich ein verwandtes Terrain zu unserem Artikel zur E-Rechnungspflicht ist.

Wer ist betroffen? Grundsätzlich jedes Unternehmen und jeder Gewerbetreibende. Ausgenommen sind nur Nicht-Kaufleute wie Freiberuflerinnen oder Kleingewerbetreibende.

Gilt das nur für Rechnungen?

Nein, archivierungspflichtig sind alle E-Mails, die als Handelsbrief oder Buchungsbeleg gelten, also inhaltlich mit einem Geschäftsvorgang zu tun haben:

Archivierungspflichtig

• Rechnungen und Buchungsbelege
• Auftragsbestätigungen und Verträge
• Angebote und Angebotsanfragen
• Lieferscheine
• Mahnungen und Garantiefälle

Nicht archivierungspflichtig

• Private E-Mails von Mitarbeitenden
• Newsletter und Werbung
• Spam-Mails
• E-Mails, die nur einen Anhang transportieren, ohne eigenen inhaltlichen Bezug dazu

Enthält die E-Mail selbst einen inhaltlichen Hinweis zum Anhang (z. B. "anbei die korrigierte Rechnung, bitte bis Freitag überweisen"), greift die Pflicht auch für die E-Mail selbst und nicht nur für den Anhang. Wichtig zudem: Es geht um beide Richtungen und zwar eingehende und ausgehende E-Mails.

Wie lange muss archiviert werden?

Der Gesetzgeber hat die Umstellung bewusst gestaffelt, damit Unternehmen ausreichend Zeit zur Umsetzung haben.

• 6 Jahre: Handelsbriefe (allgemeine Geschäftskorrespondenz)
• 8 Jahre: Buchungsbelege, z. B. Rechnungen – Regelfall seit 1.1.2025
• Bis 31.12.2026: Alle Rechnungsaussteller*innen dürfen weiterhin Papier- oder PDF-Rechnungen versenden; ein PDF-Versand benötigt die Zustimmung des Empfängers.
• 10 Jahre: Buchungsbelege bei Banken, Versicherungen, Wertpapierinstituten
• 10 Jahre: Jahresabschlüsse, Handelsbücher, Inventare

Was bedeutet "revisionssicher" konkret?

• Unveränderbarkeit: Speicherung nach dem WORM-Prinzip (Write Once, Read Many) einmal archiviert, nicht mehr veränderbar.
• Vollständigkeit: lückenlose Erfassung inklusive Metadaten (Absender, Empfänger, Datum, Betreff).
• Nachvollziehbarkeit: durchsuchbar, kontrolliert exportierbar, geschützt vor unbefugten Änderungen.
• Verfügbarkeit: jederzeit auffindbar und maschinell auswertbar auch für eine Betriebsprüfung.

Originalformat statt Backup

Die GoBD verlangen die Aufbewahrung im Format des Empfangs. Ein Ausdruck oder PDF-Export reicht nicht. Ein Backup ersetzt keine Archivierung. Denn Backups sichern vor Datenverlust, Archivierung sichert Unveränderbarkeit und Nachweisbarkeit. Bei einer Betriebsprüfung erkennt das Finanzamt ein reines Backup-System nicht als ordnungsgemäße Archivierung an.

Die drei häufigsten Fehler in der Praxis

• Microsoft 365 wird für automatisch GoBD-konform gehalten. Exchange Online Archivierung ist nur in bestimmten Tarifen enthalten und sichert die Dienstverfügbarkeit – nicht die revisionssichere Aufbewahrung im steuerrechtlichen Sinn.
• Nur der Anhang wird archiviert, nicht die E-Mail selbst. Das verstößt gegen die Vollständigkeitsanforderung der GoBD, sobald die E-Mail einen eigenen inhaltlichen Bezug zum Geschäftsvorgang hat.
• DSGVO und Aufbewahrungspflicht werden nicht zusammengedacht. Nach Ablauf der Frist müssen personenbezogene Daten gelöscht werden ohne Löschkonzept sammeln sich Daten an, die längst hätten gelöscht werden müssen.

Was sollten Unternehmen jetzt prüfen und wie lässt sich das umsetzen?

Eine GoBD-konforme E-Mail-Archivierung lässt sich in vier Schritten aufbauen:

• Bestandsaufnahme: Welche Postfächer, Gruppenpostfächer, Weiterleitungen und Funktionsadressen gibt es im Unternehmen? Besonders relevant sind Adressen wie rechnung@, info@ oder support@, weil dort häufig geschäftsrelevante Nachrichten eingehen.
• Archivierungsregeln festlegen: Welche E-Mails sind archivierungspflichtig, welche nicht und für wie lange (siehe Fristen-Tabelle oben)?
• Technik einrichten: Ein Archivsystem auswählen, das die GoBD-Kriterien erfüllt. Dies ist unveränderbar (WORM), vollständig, durchsuchbar, mit lückenloser Protokollierung. Ein reines Postfach oder eine PST-Datei erfüllt diese Anforderungen in der Regel nicht.
• Zugriff, Löschung und Verantwortlichkeiten dokumentieren: Wer darf auf das Archiv zugreifen, wie werden Fristen und Löschregeln nach Ablauf der Aufbewahrungspflicht umgesetzt, wer ist intern verantwortlich?

Ein Punkt wird dabei häufig übersehen: die Verfahrensdokumentation. Die GoBD verlangen ausdrücklich, dass Unternehmen, unabhängig von Größe und eingesetzter Software, schriftlich dokumentieren, wie ihre E-Mail-Archivierung technisch und organisatorisch funktioniert: welche Systeme im Einsatz sind, wie Postfächer und Prozesse zugeordnet sind, wer Zugriffsrechte hat und wie die Löschung nach Fristablauf geregelt ist. Die reine Technik allein reicht bei einer Betriebsprüfung nicht aus. Ohne Verfahrensdokumentation kann selbst ein technisch einwandfreies Archiv als nicht GoBD-konform gelten.