Eine allgemeine Pflicht, jede E-Mail zu archivieren, gibt es nicht. Aufbewahrungspflichtig sind aber alle E-Mails, die als Handels- oder Geschäftsbrief oder als Buchungsbeleg dienen oder sonst steuerlich relevant sind, und zwar je nach Art sechs oder acht Jahre lang, unveränderbar und auffindbar. Weil sich das im Alltag kaum sauber trennen lässt, ist eine vollständige E-Mail-Archivierung für die meisten Unternehmen der praktikable Weg.
Hinweis: Dieser Beitrag gibt einen Überblick und ist keine Rechts- oder Steuerberatung. Klären Sie Einzelfälle mit Ihrem Steuerberater oder Rechtsanwalt.
Was das Gesetz verlangt
Die Pflicht ergibt sich aus zwei Gesetzen, die sich weitgehend decken:
- § 257 HGB verpflichtet jeden Kaufmann, unter anderem empfangene Handelsbriefe, Wiedergaben (Kopien) der abgesandten Handelsbriefe und Buchungsbelege geordnet aufzubewahren. Handelsbriefe sind laut Gesetz nur Schriftstücke, die ein Handelsgeschäft betreffen.
- § 147 AO (Abgabenordnung) regelt dasselbe aus steuerlicher Sicht und erfasst zusätzlich „sonstige Unterlagen, soweit sie für die Besteuerung von Bedeutung sind“. Damit sind auch Unternehmen betroffen, die nicht Kaufmann im Sinne des HGB sind, aber steuerliche Aufzeichnungspflichten haben.
Wie das elektronisch umzusetzen ist, beschreibt die Finanzverwaltung in den GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff). Grundlage ist das BMF-Schreiben vom 28.11.2019, zuletzt geändert durch die zweite Änderung vom 14.07.2025, die vor allem wegen der E-Rechnung nötig wurde.
Welche E-Mails betroffen sind
Entscheidend ist der Inhalt, nicht das Medium. Typische Beispiele für aufbewahrungspflichtige E-Mails:
- Angebote, Auftragsbestätigungen, Bestellungen, Reklamationen
- Verträge und Vertragsänderungen, die per E-Mail vereinbart werden
- Rechnungen und Gutschriften, die im E-Mail-Text oder als Anhang kommen
- Korrespondenz, die für die Besteuerung von Bedeutung ist
Nicht pflichtig sind etwa Newsletter, Werbung oder rein interne Terminabsprachen. Dient eine E-Mail nur als Transportmittel für einen Anhang, etwa eine Rechnung, und enthält selbst keine weiteren steuerlich relevanten Informationen, genügt nach den GoBD die Aufbewahrung des Anhangs. Eingehende elektronische Handelsbriefe und Buchungsbelege sind in dem Format aufzubewahren, in dem sie empfangen wurden; eine Umwandlung ist nur unter den Voraussetzungen der GoBD zulässig. Eine als Datei empfangene E-Rechnung einfach auszudrucken, genügt also nicht.
Aufbewahrungsfristen: Stand 2026
Mit dem Bürokratieentlastungsgesetz IV (BEG IV) wurde die Frist für Buchungsbelege von zehn auf acht Jahre verkürzt. Die neue Frist gilt seit dem 01.01.2025, auch für Unterlagen, deren alte Frist am 31.12.2024 noch nicht abgelaufen war (Art. 97 § 19a EGAO).
| Unterlage | Frist | Rechtsgrundlage |
|---|---|---|
| Bücher, Inventare, Jahresabschlüsse, Lageberichte, Eröffnungsbilanz | 10 Jahre | § 257 Abs. 4 HGB, § 147 Abs. 3 AO |
| Buchungsbelege (z. B. Rechnungen) | 8 Jahre | § 257 Abs. 4 HGB, § 147 Abs. 3 AO |
| Empfangene und abgesandte Handels- und Geschäftsbriefe | 6 Jahre | § 257 Abs. 4 HGB, § 147 Abs. 3 AO |
| Sonstige steuerlich relevante Unterlagen | 6 Jahre | § 147 Abs. 3 AO |
Wichtig dazu:
- Die Frist beginnt erst mit dem Ende des Kalenderjahres, in dem die Unterlage entstanden ist oder empfangen wurde.
- Steuerlich läuft die Frist nicht ab, solange die Unterlagen für eine Steuer von Bedeutung sind, deren Festsetzungsfrist noch läuft (§ 147 Abs. 3 AO).
- Für Kreditinstitute, Versicherungen und Wertpapierinstitute bleibt es nach § 257 Abs. 4 HGB bei zehn Jahren für Buchungsbelege.
Postfach, Backup und Archiv: drei verschiedene Dinge
Häufig wird angenommen, dass E-Mails „ja ohnehin auf dem Server liegen“. Das reicht aber für die Aufbewahrungspflicht nicht aus.
| Postfach | Backup | Archiv | |
|---|---|---|---|
| Zweck | tägliches Arbeiten | Wiederherstellung nach Ausfall oder Angriff | Aufbewahrung nach den gesetzlichen Vorgaben |
| Kann der Nutzer löschen? | ja | nicht direkt, aber ältere Stände laufen meist nach einer festgelegten Zeit aus | nicht innerhalb der Frist |
| Vollständigkeit nachweisbar? | nein | nur für den gesicherten Zeitpunkt | Ziel des Archivs |
| Gezielte Suche über Jahre | eingeschränkt | aufwendig | Kernfunktion |
Ein Backup und ein Archiv ergänzen sich: Das Backup bringt Ihre Arbeitsumgebung nach einem Vorfall zurück, das Archiv beantwortet die Frage des Betriebsprüfers nach einer bestimmten E-Mail aus dem Jahr 2021. Mehr zum Backup lesen Sie unter Ist Microsoft 365 gesichert?.
Was ein Archiv leisten muss
Aus HGB, AO und GoBD ergeben sich im Kern diese Anforderungen:
- Unveränderbarkeit: Eine Aufzeichnung darf nicht so verändert werden, dass der ursprüngliche Inhalt nicht mehr feststellbar ist (§ 146 Abs. 4 AO; für aufbewahrte Unterlagen konkretisieren die GoBD dies). Für E-Mails heißt das: Inhalt, Anhänge und Kopfdaten wie Absender und Zeitstempel dürfen nachträglich nicht unbemerkt verändert werden.
- Vollständigkeit: Pflichtige E-Mails müssen lückenlos erfasst werden. Am sichersten gelingt das, wenn E-Mails beim Ein- und Ausgang automatisch archiviert werden und nicht erst, wenn jemand daran denkt.
- Auffindbarkeit und Lesbarkeit: Unterlagen müssen innerhalb angemessener Frist lesbar gemacht und maschinell auswertbar bereitgestellt werden können, auch nach einem Systemwechsel.
- Verfahrensdokumentation: Die GoBD verlangen eine Beschreibung, wie Unterlagen erfasst, gespeichert, geschützt und wiedergefunden werden. Dazu gehören auch Zuständigkeiten und das interne Kontrollsystem.
Datenschutz und Löschpflichten
Archivierung und Datenschutz widersprechen sich nicht, müssen aber zusammen gedacht werden. Die DSGVO verlangt, personenbezogene Daten nicht länger als nötig zu speichern (Art. 5 Abs. 1 lit. e DSGVO). Eine gesetzliche Aufbewahrungspflicht ist jedoch ein anerkannter Grund, Daten bis zum Fristende zu behalten (Art. 6 Abs. 1 lit. c, Art. 17 Abs. 3 lit. b DSGVO). Danach sollten sie gelöscht werden – wobei das Fristende wegen der Ablaufhemmung später liegen kann als gedacht.
Für die Praxis bedeutet das:
- Löschkonzept: Legen Sie fest, wann welche Daten nach Fristablauf gelöscht werden.
- Zugriff begrenzen: Nicht jeder Mitarbeiter braucht Zugriff auf das gesamte Archiv.
- Private E-Mails regeln: Ist die private Nutzung des dienstlichen Postfachs erlaubt, wird die Archivierung rechtlich heikler. Eine klare Regelung, im Idealfall ein Verbot der Privatnutzung, schafft hier Klarheit. Die Details gehören in die Abstimmung mit Ihrem Datenschutzbeauftragten oder Rechtsanwalt.
Aus der Praxis in Mittelhessen
In kleinen und mittleren Unternehmen, Praxen, Kanzleien und Kommunen sehen wir häufig dieselben Muster:
- E-Mails werden „irgendwie“ aufbewahrt: in Outlook-Ordnern, in PST-Dateien auf Laufwerken oder gar nicht.
- Beim Ausscheiden einer Mitarbeiterin wird das Postfach gelöscht, obwohl darin noch Geschäftsbriefe lagen.
- Rechnungen kommen per E-Mail, werden ausgedruckt und abgeheftet, die Originaldatei geht verloren.
- Eine Verfahrensdokumentation existiert nicht oder beschreibt den Stand von vor mehreren Jahren.
Keiner dieser Punkte ist ungewöhnlich, und alle lassen sich mit überschaubarem Aufwand ordnen.
Wie Aegis Core unterstützt
Im Rahmen von Microsoft 365 richten wir eine E-Mail-Archivierung ein, die ein- und ausgehende E-Mails automatisch erfasst und durchsuchbar ablegt. Wir stimmen die Aufbewahrungsdauer mit Ihnen und Ihrem Steuerberater ab, und kombinieren das Archiv auf Wunsch mit einem separaten Backup Ihrer Postfächer. Die Einrichtung orientiert sich an den Anforderungen aus GoBD, HGB und AO; die Verfahrensdokumentation und die rechtliche Bewertung klären Sie mit Ihrem Steuerberater – unsere technischen Angaben können Sie dafür nutzen. Für einen ersten Überblick über Ihre Umgebung eignet sich unser kostenloser IT-Sicherheits-Check, oder Sie nehmen direkt Kontakt mit uns auf.
Kurz zusammengefasst
- Pflichtig sind E-Mails, die als Handels- oder Geschäftsbrief, als Buchungsbeleg oder sonst steuerlich relevant sind.
- Fristen ab 2025: 6 Jahre für Geschäftsbriefe, 8 Jahre für Buchungsbelege, 10 Jahre für Bücher und Abschlüsse.
- Ein Postfach oder Backup ersetzt kein Archiv: Gefordert sind Unveränderbarkeit, Vollständigkeit, Auffindbarkeit und eine Verfahrensdokumentation.
- Nach Fristablauf greifen die Löschpflichten der DSGVO.