GoBD-konforme E-Mail-Archivierung: Worauf es vor der Einführung ankommt

Eine rechtskonforme E-Mail-Archivierung ist keine Kür, sondern Pflicht. Sie ist für Unternehmen gesetzlich vorgeschrieben. Wer geschäftliche E-Mails nicht ordnungsgemäß aufbewahrt, riskiert nicht nur Bußgelder bei Betriebsprüfungen, sondern kann im Ernstfall auch keine vollständigen Nachweise vorlegen. Die gute Nachricht: Mit einer strukturierten Vorbereitung lässt sich eine GoBD-konforme Archivierung zuverlässig umsetzen.

Was bedeutet GoBD konkret?

Die "Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff" (kurz GoBD) regeln, wie Unternehmen ihre digitalen Geschäftsunterlagen aufbewahren müssen. Für E-Mails heißt das: Jede geschäftliche E-Mail, die rechtlich relevant ist, muss vollständig, unveränderbar und jederzeit auffindbar archiviert werden. Das betrifft nicht nur Rechnungen, sondern auch Angebote, Auftragsbestätigungen, Verträge oder Lieferscheine, egal ob als PDF-Anhang oder im E-Mail-Text selbst.

Die wichtigsten Anforderungen:

• Vollständigkeit: Alle relevanten E-Mails müssen lückenlos archiviert werden
• Unveränderbarkeit: Nach der Archivierung darf niemand mehr etwas ändern oder löschen
• Nachvollziehbarkeit: Es muss dokumentiert sein, wann und wie E-Mails archiviert wurden
• Verfügbarkeit: Archivierte E-Mails müssen bei Bedarf schnell auffindbar sein
• Aufbewahrungsfristen: Je nach Dokumentenart 6 oder 10 Jahre

Die Anforderungen sind zunächst abstrakt formuliert. In der Praxis benötigen Unternehmen ein Archivierungssystem, das diese Anforderungen technisch abbildet.

Wer ist zuständig?

Bevor Sie ein E-Mail-Archiv einführen, sollten Sie intern klären, wer wofür verantwortlich ist. Archivierung ist keine reine IT-Angelegenheit. Es betrifft Buchhaltung, Recht, Compliance, manchmal auch Datenschutz. Die rechtliche Gesamtverantwortung liegt bei der Geschäftsführung.

Typische Fragen, die Sie vorab klären sollten:

• Wer definiert, welche E-Mails archiviert werden müssen?
• Wer legt die Aufbewahrungsfristen fest?
• Wer darf auf archivierte E-Mails zugreifen?
• Wer ist bei einer Betriebsprüfung Ansprechpartner?

Je klarer die Verantwortlichkeiten von Anfang an sind, desto reibungsloser läuft später die Einführung.

Welche E-Mails müssen Sie archivieren?

Nicht jede E-Mail ist archivierungspflichtig. Private Geburtstagsgrüße müssen Sie nicht 10 Jahre aufbewahren. Aber: Die Abgrenzung ist nicht immer eindeutig.

Archivierungspflichtig sind E-Mails, die:

• Handels- oder Geschäftsbriefe darstellen
• Steuerlich relevante Informationen enthalten
• Vertragsbestandteile oder rechtsverbindliche Erklärungen umfassen
• Buchungsbelege als Anhang haben

Nicht archivierungspflichtig sind:

• Rein private E-Mails
• Werbung und Newsletter
• Spam
• Interne Abstimmungen ohne Relevanz

Das Problem: Im Alltag ist die Unterscheidung oft schwierig. Deshalb setzen viele Unternehmen auf eine vollständige Archivierung aller ein- und ausgehenden E-Mails. Das ist der sicherste Weg, und mit modernen Systemen auch kein Problem. Voraussetzung für eine vollständige Archivierung aller E-Mails ist jedoch, dass die private Nutzung des E-Mail-Systems ausgeschlossen oder durch eine klare betriebliche Regelung datenschutzrechtlich zulässig ausgestaltet ist. So werden Konflikte mit der DSGVO verhindert.

Journalarchivierung vs. Postfacharchivierung: Was ist der Unterschied?

Wenn Sie sich mit E-Mail-Archivierung beschäftigen, stoßen Sie früher oder später auf diese beiden Begriffe. Der Unterschied ist entscheidend für die Rechtssicherheit:

Journalarchivierung bedeutet: Alle E-Mails werden bereits beim Versand bzw. Eingang archiviert, bevor sie in das Postfach des Empfängers gelangen. Der Vorteil: Niemand kann E-Mails löschen oder verändern, bevor sie im Archiv landen. Journalarchivierung ist aus Sicht vieler Experten die sicherste Methode zur Erfüllung der GoBD.

Postfacharchivierung bedeutet: E-Mails werden nachträglich aus den Postfächern der Mitarbeiter archiviert. Das Problem: Wenn ein Mitarbeiter vorher eine E-Mail löscht, ist sie weg. Vollständigkeit können Sie so nicht gewährleisten.

Unsere Empfehlung: Setzen Sie auf Journalarchivierung, wenn Sie rechtssicher arbeiten wollen.

Was passiert mit E-Mails, die vor der Einführung versendet wurden?

Ein klassisches Problem: Sie führen heute ein Archiv ein – aber Ihre Mitarbeiter haben seit Jahren E-Mails auf ihren lokalen Rechnern oder in alten PST-Dateien gespeichert. Sind diese jetzt verloren?

Nein. Eine saubere Einführung beinhaltet auch die initiale "Befüllung" des Archivs. Das bedeutet: Alle bestehenden E-Mails werden einmalig in das neue Archiv migriert. Das kann zum Beispiel aus Postfächern passieren, aus alten Archiven, oder auch aus PST-Dateien.

Wichtig dabei:

• Nehmen Sie sich Zeit für die Datenmigration
• Prüfen Sie, ob alle relevanten Quellen erfasst wurden
• Dokumentieren Sie den Prozess (auch das gehört zur GoBD-Konformität)

Wie bereiten Sie Ihre Mitarbeiter vor?

Die technische Umsetzung allein ist nicht ausreichend. Wenn Ihre Mitarbeiter nicht verstehen, warum plötzlich alles archiviert wird, entsteht Widerstand. Typische Bedenken sind:

• Wird jetzt jede meiner E-Mails überwacht?
• Kann ich nichts mehr löschen?
• Was ist mit meinen privaten E-Mails?

Kommunizieren Sie deshalb klar, dass die Archivierung eine gesetzliche Pflicht ist und nicht der Überwachung der Mitarbeiter dient. Beschreiben Sie genau, was archiviert wird und wer darauf Zugriff hat. Überzeugen Sie Ihre Mitarbeiter davon, dass auch sie vom Archiv profitieren, zum Beispiel durch die sekundenschnelle Auffindbarkeit von alten Vorgängen. Schulungen können hilfreich sein, aber noch wichtiger ist eine offene Kommunikation im Vorfeld.

Was müssen Sie dokumentieren?

Ein oft übersehener Punkt: Die GoBD verlangt nicht nur, dass Sie archivieren, sondern auch, dass Sie dokumentieren, wie Sie archivieren. Das nennt sich Verfahrensdokumentation.

Diese Dokumentation sollte enthalten:

• Welche E-Mail-Systeme werden archiviert?
• Welche Archivierungsstrategie wird verwendet?
• Wer hat welche Zugriffsrechte?
• Wie werden Aufbewahrungsfristen verwaltet?
• Wie läuft die Datensicherung?

Bei einer Betriebsprüfung ist diese Dokumentation Gold wert. Der Prüfer weiß zu schätzen, wenn Sie sauber gearbeitet haben.

Wie sichern Sie die Daten im Archiv?

Ein rechtskonformes E-Mail-Archiv muss nicht nur vor Veränderungen geschützt sein, sondern auch vor Verlust. Das bedeutet: Eine sichere Zweitkopie ist wichtig. Bei einer Cloud-Archivierung übernimmt der Anbieter diese Aufgabe. Bei EMA Cloud zum Beispiel werden Ihre Daten automatisch redundant in ISO/IEC 27001-zertifizierten deutschen Rechenzentren gesichert. Sie müssen sich um nichts kümmern. Bei einer On-Premise-Lösung sind Sie selbst verantwortlich. Das bedeutet: Ein räumlich getrenntes Hot-Standby-Gerät ist die optimale Lösung.

Was passiert bei einer Betriebsprüfung?

Früher oder später wird jeder Betrieb geprüft. Der Prüfer will nicht nur sehen, dass Sie ein Archiv haben – er will konkret auf E-Mails zugreifen können.

Das bedeutet praktisch:

• Sie müssen E-Mails gezielt nach Zeitraum, Absender oder Inhalt suchen können
• Die Suche muss schnell gehen
• Sie müssen nachweisen können, dass die Daten unverändert sind
• Sie müssen zeigen können, dass alle relevanten E-Mails archiviert wurden

Ein gutes E-Mail-Archiv wie EMA macht genau das möglich. Eine schnelle Volltextsuche, übersichtliche Filter, Export-Funktionen – all das erleichtert nicht nur den Arbeitsalltag, sondern auch die Zusammenarbeit mit Prüfern.

Fazit: Vorbereitung auf die GoBD-konforme E-Mail-Archivierung ist alles

Eine GoBD-konforme E-Mail-Archivierung ist keine schnelle Aufgabe für zwischendurch. Sie braucht Planung, klare Verantwortlichkeiten und ein System, das rechtlich sauber arbeitet. Aber wenn Sie es richtig machen, haben Sie nicht nur Ihre Pflicht erfüllt – Sie schaffen auch ein Werkzeug, das Ihnen und allen Mitarbeitern im Alltag hilft.

Der größte Fehler wäre, die Einführung zu lange aufzuschieben. Jede E-Mail, die heute ohne Archivierung versendet wird, fehlt Ihnen möglicherweise später.