Ratgeber

E-Mail-Archivierung im Betrieb: Was GoBD und Abgabenordnung verlangen

Welche geschäftlichen E-Mails Sie aufbewahren müssen, wie lange und in welcher Form. Für Inhaber kleiner und mittlerer Betriebe, Rechtsstand Oktober 2026.

Stand: 22.10.2026 · ITS Informationstechnik Schneider, Teningen

Kurz gesagt: Aufzubewahren sind E-Mails, die als Handels- oder Geschäftsbrief oder als Buchungsbeleg dienen, etwa eine Auftragsbestätigung oder eine Rechnung im Anhang. Geschäftsbriefe sind 6 Jahre aufzubewahren, Buchungsbelege wie Rechnungen seit dem 1. Januar 2025 nur noch 8 statt 10 Jahre, Bücher und Jahresabschlüsse weiterhin 10 Jahre. Die Frist beginnt am Ende des Kalenderjahres. Nach den GoBD müssen die Mails im Eingangsformat, unveränderbar und maschinell auswertbar vorliegen. Ein normales Postfach, aus dem Nutzer löschen können, leistet das in der Regel nicht.

Welche E-Mails müssen Sie aufbewahren?

Die Pflicht steht in § 147 Abs. 1 der Abgabenordnung (AO) und für Kaufleute in § 257 Abs. 1 HGB. Aufzubewahren sind unter anderem empfangene Handels- oder Geschäftsbriefe, Kopien der abgesandten, Buchungsbelege und sonstige steuerlich bedeutsame Unterlagen. Eine eigene Regel für E-Mails gibt es nicht, maßgeblich ist der Inhalt. Nach den GoBD (Rz. 121) sind E-Mails mit der Funktion eines Geschäftsbriefs oder Buchungsbelegs aufbewahrungspflichtig. Dient die Mail nur als Transportmittel für eine angehängte Rechnung, muss sie wie früher der Briefumschlag nicht aufbewahrt werden, die Rechnung dagegen schon.

Handelsbriefe sind nach § 257 Abs. 2 HGB nur Schriftstücke, die ein Handelsgeschäft betreffen. Die IHK Karlsruhe zählt dazu jede Korrespondenz, die der Vorbereitung, Durchführung oder Rückgängigmachung eines Geschäfts dient. Reine Werbebriefe sind nach der IHK Heilbronn-Franken keine Geschäftsbriefe, und private E-Mails betreffen kein Geschäft des Betriebs. Die Pflicht trifft auch Betriebe, die ihren Gewinn per Einnahmenüberschussrechnung ermitteln (GoBD Rz. 115).

Welche Fristen gelten 2026?

Das Vierte Bürokratieentlastungsgesetz (BGBl. 2024 I Nr. 323) hat die Frist für Buchungsbelege von zehn auf acht Jahre verkürzt, in § 147 Abs. 3 AO, § 257 Abs. 4 HGB und für Rechnungen in § 14b UStG. Das gilt seit dem 1. Januar 2025 für alle Unterlagen, deren alte Frist am 31. Dezember 2024 noch nicht abgelaufen war (Art. 97 § 19a Abs. 2 EGAO). Für Banken, Versicherungen und Wertpapierinstitute gelten Sonderregeln.

Aufbewahrungsfristen nach § 147 Abs. 3 AO und § 257 Abs. 4 HGB, Stand 22.10.2026
UnterlagenBeispiel aus dem E-Mail-VerkehrFrist
Bücher, Aufzeichnungen, Inventare, Jahresabschlüsse, Lageberichte, Eröffnungsbilanz sowie die zum Verständnis nötigen Arbeitsanweisungen und OrganisationsunterlagenJahresabschluss als Anhang einer Mail10 Jahre
Buchungsbelege, darunter RechnungenEingangsrechnung als PDF oder als E-Rechnung im XML-Format, Kontoauszug8 Jahre (bis Ende 2024: 10 Jahre)
Empfangene Handels- oder Geschäftsbriefe und Kopien der abgesandtenAuftragsbestätigung, E-Mail mit Vertragsbezug6 Jahre
Sonstige Unterlagen, soweit für die Besteuerung von Bedeutungje nach Inhalt6 Jahre
Keine AufbewahrungspflichtReine Werbung, private E-Mails, E-Mail als bloße Hülle für einen Anhangkeine

Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem der Brief empfangen oder abgesandt wurde oder der Beleg entstanden ist (§ 147 Abs. 4 AO). Eine Rechnung, die im Mai 2018 per E-Mail kam, ist also bis zum 31. Dezember 2026 aufzubewahren. Jahresabschlüsse und die Eröffnungsbilanz dürfen nicht allein als Datei aufbewahrt werden (§ 147 Abs. 2 AO). Außerdem läuft die Frist nicht ab, solange die Unterlagen für Steuern von Bedeutung sind, deren Festsetzungsfrist noch nicht abgelaufen ist (§ 147 Abs. 3 Satz 5 AO). Ob das bei Ihnen zutrifft, klärt vor dem Löschen Ihr Steuerberater.

Was die GoBD von der Ablage verlangen

Die GoBD sind ein Schreiben des Bundesfinanzministeriums vom 28. November 2019, geändert am 11. März 2024 und am 14. Juli 2025. Die zweite Änderung gilt seit dem 14. Juli 2025 und betrifft vor allem die E-Rechnung.

Elektronisch eingegangene Unterlagen sind in dieser Form aufzubewahren und dürfen vor Fristablauf nicht gelöscht werden, ein Ausdruck allein genügt nicht (Rz. 119). Maßgeblich ist das Format, in dem sie empfangen wurden (Rz. 131). Wer etwa MSG-Dateien in PDF umwandelt, darf nur unter Bedingungen allein die PDF-Fassung behalten. Unter anderem darf sich nichts am Inhalt ändern, und es darf keine aufbewahrungspflichtige Information verloren gehen (Rz. 135). Die GoBD nennen selbst das Beispiel: Beim Speichern einer E-Mail als PDF gehen die Header-Informationen verloren, etwa zum Absender, und der Zugang der Mail ist nicht mehr nachvollziehbar (Rz. 129).

Gespeicherte Unterlagen dürfen nicht so verändert werden, dass der ursprüngliche Inhalt nicht mehr feststellbar ist (§ 146 Abs. 4 AO, Rz. 107). Eine Ablage im normalen Dateisystem erfüllt das ohne zusätzliche Maßnahmen regelmäßig nicht (Rz. 110). Jedes Dokument braucht einen eindeutigen Index, über den es während der ganzen Frist auffindbar bleibt (Rz. 122). Die Daten müssen zudem maschinell auswertbar sein (§ 147 Abs. 2 AO), dazu zählt nach Rz. 126 eine Volltextsuche.

E-Rechnungen: Das XML zählt

Seit dem 1. Januar 2025 müssen inländische Unternehmen E-Rechnungen empfangen können, ein einfaches PDF gilt seitdem als „sonstige Rechnung“. Für die Aufbewahrung reicht bei einer E-Rechnung der strukturierte Teil, etwa die XML-Datei (Rz. 131). Den PDF-Teil einer ZUGFeRD-Rechnung müssen Sie nur zusätzlich aufbewahren, wenn er weitere steuerlich wichtige Angaben wie Buchungsvermerke enthält. Die XML-Datei darf nicht durch eine Umwandlung, etwa in TIFF, verloren gehen (Rz. 125).

Datenzugriff bei der Außenprüfung

Der Prüfer hat drei Zugriffswege (§ 147 Abs. 6 AO, GoBD Rz. 165 bis 167). Beim unmittelbaren Zugriff (Z1) sieht er die Daten an Ihrem System im Nur-Lesezugriff ein. Beim mittelbaren Zugriff (Z2) werten Sie die Daten nach seinen Vorgaben aus. Bei der Datenüberlassung (Z3) erhält er sie in einem maschinell auswertbaren Format. Ein Archiv muss also gezielt suchen und exportieren können.

Verfahrensdokumentation

Für jedes DV-System verlangen die GoBD eine Verfahrensdokumentation (Rz. 151). Für das E-Mail-Archiv heißt das: festhalten, was archiviert wird, wie es gespeichert und wiedergefunden wird und wie es gegen Verlust und Verfälschung gesichert ist (Rz. 152). Fehlt die Dokumentation oder ist sie lückenhaft, liegt nach Rz. 155 kein formeller Mangel mit sachlichem Gewicht vor, solange die Buchführung nachvollziehbar und nachprüfbar bleibt.

Warum das Postfach allein in der Regel nicht reicht

Ein Postfach in Outlook, Exchange oder Microsoft 365 ist ein Arbeitswerkzeug, in dem Nutzer Mails löschen können. Was ein Nutzer aus dem Ordner „Gelöschte Elemente“ entfernt, hält Exchange Online standardmäßig noch 14 Tage vor, höchstens 30 Tage. Danach ist es entfernt. Ein Benutzerpostfach in Microsoft 365 Business Basic, Standard und Premium fasst laut Microsoft 100 GB. Ist es voll, nimmt Exchange Online keine Mails mehr an, und die Warnung davor soll den Nutzer zum Löschen bewegen. Ein Sammelpostfach ist kein Ausweg: Microsoft untersagt, Nachrichten per Journaling oder Transportregeln zur Archivierung in ein Exchange-Online-Postfach zu kopieren.

Microsoft 365 hat eigene Aufbewahrungsfunktionen. Ein Postfach in der „Aufbewahrung für juristische Zwecke“ ist vor Löschungen durch den Nutzer geschützt. Das setzt je nach Postfach eine passende Lizenz voraus und muss eingerichtet werden. Ob eine solche Einrichtung den GoBD genügt, hängt von der Konfiguration und der Verfahrensdokumentation ab.

Was eine Archivlösung leistet

Eine Archivlösung legt eine Kopie der ein- und ausgehenden Mails ab, unabhängig davon, was später im Postfach passiert. Das Muster der Datenschutzkonferenz für eine Nutzungsrichtlinie sieht genau das vor, um den Pflichten aus § 257 HGB und § 147 AO gerecht zu werden. Die Mail bleibt mit Header und Anhängen im Eingangsformat erhalten und ist vor Änderung und vorzeitigem Löschen geschützt. Über Index und Volltextsuche finden Sie sie nach Jahren wieder, für den Prüfer exportieren Sie sie in einem auswertbaren Format. Nach Ablauf der Frist sollte das Archiv gezielt löschen können.

Datenschutz: Aufbewahren und Löschen

Rechtsgrundlage für die Aufbewahrung ist Art. 6 Abs. 1 lit. c DSGVO, die Erfüllung einer rechtlichen Verpflichtung. Das Recht auf Löschung gilt nach Art. 17 Abs. 3 lit. b DSGVO nicht, soweit die Verarbeitung dafür erforderlich ist. Nach Ablauf der Frist entfällt dieser Grund, dann gilt die Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO.

Heikel ist die private Nutzung des dienstlichen Postfachs. Nach der Orientierungshilfe der Datenschutzkonferenz (Stand Januar 2016, damalige Rechtslage) ist ein Arbeitgeber, der sie erlaubt, aus Sicht der Aufsichtsbehörden an das Fernmeldegeheimnis gebunden. Einige Gerichte sehen das anders. Die Orientierungshilfe empfiehlt, Beschäftigte darauf hinzuweisen, dass bei der Archivierung auch private Mails erfasst werden können, und ihnen Gelegenheit zu geben, diese vorher zu löschen oder weiterzuleiten. Wie Sie die Privatnutzung regeln, besprechen Sie am besten mit Ihrem Datenschutzbeauftragten.

Was ITS dabei übernimmt

ITS richtet die E-Mail-Archivierung mit MailStore ein und stimmt sie auf Ihren Betrieb ab. Das Archiv liegt ausschließlich auf deutschen oder auf Ihren eigenen Servern, der Zugriff läuft über ein Outlook-Add-in, per Web, über einen Client oder per IMAP. Auch Microsoft 365 richten wir ein und betreuen den Betrieb. Welche Fristen für Ihre Unterlagen gelten und wann Sie löschen dürfen, klären Sie bitte mit Ihrem Steuerberater. ITS bietet keine Steuer- oder Rechtsberatung.

Häufige Fragen

Wie lange muss ich geschäftliche E-Mails aufbewahren?

Das hängt vom Inhalt ab. Handels- und Geschäftsbriefe wie eine Auftragsbestätigung sind 6 Jahre aufzubewahren, Rechnungen und andere Buchungsbelege seit dem 1. Januar 2025 8 Jahre, vorher 10. Die Frist beginnt mit dem Ende des Kalenderjahres, in dem die Mail empfangen oder versendet wurde.

Reicht es, wichtige E-Mails auszudrucken oder als PDF zu speichern?

Nein. Nach den GoBD dürfen elektronisch eingegangene Unterlagen nicht ausschließlich ausgedruckt aufbewahrt werden, maßgeblich ist das Eingangsformat. Beim Speichern als PDF gehen laut GoBD die Header-Informationen verloren, etwa zum Absender und zum Zugang der Mail. Das kann zu Ihren Lasten gehen.

Reicht das Postfach in Microsoft 365 als Archiv?

In der Grundeinstellung in der Regel nicht. Nutzer können Mails löschen, und endgültig gelöschte Elemente entfernt Exchange Online standardmäßig nach 14 Tagen, höchstens nach 30 Tagen. Microsoft 365 bietet je nach Lizenz Aufbewahrungsfunktionen wie die Aufbewahrung für juristische Zwecke. Ob diese Einrichtung den GoBD genügt, hängt von Konfiguration und Verfahrensdokumentation ab.

Muss ich E-Mails löschen, wenn jemand das nach der DSGVO verlangt?

Nicht, solange eine gesetzliche Aufbewahrungspflicht besteht. Art. 17 Abs. 3 lit. b DSGVO nimmt Daten vom Recht auf Löschung aus, soweit ihre Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist. Nach Ablauf der Frist entfällt dieser Grund. Im Einzelfall entscheidet Ihr Datenschutzbeauftragter.

Quellen

Ihr PLUS durch uns +

Ihre E-Mails im Archiv statt nur im Postfach.

Wir richten MailStore in Ihrem Betrieb ein, das Archiv liegt auf deutschen oder auf Ihren eigenen Servern. Sprechen Sie uns an.

Kontakt aufnehmen07663 605900