DSGVO-konforme E-Mail-Archivierung: Was Unternehmen beachten müssen

E-Mail-Archivierung ist für viele Unternehmen gesetzlich vorgeschrieben, wird aber häufig vernachlässigt oder falsch umgesetzt. Dabei drohen bei Verstößen empfindliche Strafen.

Warum E-Mails archiviert werden müssen

Die GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern) verpflichten Unternehmen, geschäftsrelevante E-Mails revisionssicher aufzubewahren. Steuerlich relevante E-Mails müssen 10 Jahre aufbewahrt werden. Handels- und geschäftsbriefe gemäß HGB 6 Jahre. Die E-Mails müssen unveränderbar, jederzeit abrufbar und vollständig gespeichert sein.

Was "revisionssichere Archivierung" bedeutet

Revisionssicher bedeutet: Die archivierten E-Mails dürfen nicht veränderbar sein. Jeder Zugriff muss protokolliert werden. Die Archivierung muss vollständig sein (keine selektive Auswahl). Das System muss auch nach Jahren noch lesbar sein. Das einfache Ablegen von E-Mails in Outlook-Ordnern erfüllt diese Anforderungen nicht.

Lösungen für die E-Mail-Archivierung

Microsoft 365 bietet mit Exchange Online Archiving und Compliance-Funktionen eine integrierte Archivierungslösung, die GoBD-Anforderungen erfüllen kann. MailStore ist eine spezialisierte Archivierungslösung für kleine und mittlere Unternehmen. Hornetsecurity und Retarus bieten Cloud-basierte Archivierungsdienste mit deutschen Rechenzentren.

DSGVO-Konflikt: Aufbewahrung vs. Löschpflicht

Ein Konflikt entsteht, wenn eine Person die Löschung ihrer Daten gemäß DSGVO fordert, diese aber in E-Mails enthalten sind, die aus steuerlichen Gründen aufbewahrt werden müssen. Hier gilt: Steuerrechtliche Aufbewahrungspflichten haben Vorrang. Informieren Sie Betroffene entsprechend und dokumentieren Sie den Interessensabwägungsprozess.

Aufbewahrungsfristen: was sich 2025 geändert hat

Seit dem 1. Januar 2025 gilt für Buchungsbelege, zu denen auch Rechnungen gehören, eine verkürzte Aufbewahrungsfrist von acht statt zehn Jahren. Handels- und Geschäftsbriefe sind weiterhin sechs Jahre aufzubewahren, Bücher und Jahresabschlüsse zehn Jahre. Für E-Mails heißt das: Entscheidend ist der Inhalt. Eine E-Mail mit Rechnung im Anhang unterliegt anderen Fristen als eine Terminabsprache. Lassen Sie die Fristen im Einzelfall von Ihrer Steuerberatung bestätigen.

Checkliste für eine saubere Archivierung

• Archivierung erfolgt automatisch, vollständig und unveränderbar.
• Zugriff auf das Archiv ist geregelt und protokolliert.
• Löschung nach Ablauf der Fristen ist eingerichtet.
• Private E-Mails sind durch klare Regeln von der Archivierung abgegrenzt.
• Das Verfahren ist in einer Verfahrensdokumentation beschrieben.

Ein typisches Szenario

Ein häufiges Beispiel: Bei einer Betriebsprüfung möchte das Finanzamt eine Auftragsbestätigung sehen, die vor einigen Jahren per E-Mail kam. Die Mitarbeiterin, die sie damals erhielt, hat das Unternehmen längst verlassen, ihr Postfach wurde gelöscht. Mit einem revisionssicheren Archiv wäre die Nachricht in Sekunden gefunden, unverändert und mit Nachweis, dass sie seit dem Eingang nicht bearbeitet wurde. Ohne Archiv bleibt nur die Hoffnung, dass der Absender noch eine Kopie hat.

Darauf kommt es bei der Archivierung an

• Automatische Erfassung aller ein- und ausgehenden Nachrichten.
• Unveränderbarkeit und lückenlose Protokollierung.
• Aufbewahrungsfristen je nach Dokumentart, meist zwischen sechs und zehn Jahren.
• Schnelle Suche, auch für Prüfer.
• Löschung nach Ablauf der Fristen, wie es die DSGVO verlangt.
• Zugriffsrechte und Regeln für private Nachrichten.

Aufwand realistisch einschätzen

Eine Archivlösung ist technisch meist in einem Tag angebunden. Mehr Zeit kosten die organisatorischen Fragen: Wie wird mit privater Nutzung des Postfachs umgegangen, wer darf im Archiv suchen und wie wird das in einer Verfahrensdokumentation festgehalten? Diese Fragen sollten mit Steuerberatung und Datenschutzbeauftragten geklärt werden. Ein normales Postfach mit gelegentlichen Sicherungen ersetzt kein Archiv, weil Nachrichten dort gelöscht oder verändert werden können.

Archivierung mit Microsoft 365

Microsoft 365 bietet in passenden Tarifen Aufbewahrungsrichtlinien und ein Archivpostfach. Diese Funktionen helfen, Nachrichten vor versehentlichem Löschen zu schützen. Ob sie allein die Anforderungen an eine revisionssichere Archivierung erfüllen, hängt von Einrichtung, Dokumentation und Prüfbarkeit ab. Viele Unternehmen setzen deshalb zusätzlich eine spezialisierte Archivlösung ein, die Nachrichten unveränderbar speichert und den Zugriff für Prüfer erleichtert. Die Entscheidung sollte gemeinsam mit der Steuerberatung getroffen werden.

Kurz zusammengefasst

• Geschäftliche E-Mails unterliegen Aufbewahrungspflichten.
• Das Archiv muss vollständig und unveränderbar sein.
• Auch Löschfristen sind Pflicht.
• Private Nutzung des Postfachs vorher regeln.

Fazit

E-Mail-Archivierung ist keine optionale Maßnahme, sondern eine rechtliche Pflicht für Unternehmen. Investieren Sie in eine ordentliche Lösung und vermeiden Sie teure Konsequenzen bei Steuerprüfungen oder Rechtsstreitigkeiten.