Ein Mitarbeiter verlässt das Unternehmen, sein Postfach wird routinemäßig gelöscht. Monate später fragt die Betriebsprüfung nach einer Auftragsbestätigung, die nur per Mail existierte. Niemand findet sie mehr. Solche Fälle sind kein Ausnahmezustand, sondern Alltag in vielen Betrieben.
Die E-Mail-Archivierung nach DSGVO und GoBD steckt genau in diesem Spannungsfeld. Auf der einen Seite verlangt das Steuerrecht, geschäftliche Korrespondenz vollständig und unveränderbar aufzubewahren. Auf der anderen Seite fordert der Datenschutz, personenbezogene Daten nicht länger als nötig zu speichern. Beides gleichzeitig zu erfüllen, gelingt nicht mit einem überquellenden Postfach und gelegentlichen PST-Exporten.
Dieser Beitrag erklärt, welche Mails unter die Aufbewahrungspflicht fallen, wie sich Löschpflichten und Archivpflichten vertragen und welche technischen Eigenschaften ein Archiv mitbringen muss. Dazu kommen ein Rechenbeispiel zum Speicherbedarf und Hinweise für die Einführung im Betrieb. Die Ausführungen dienen der allgemeinen Orientierung. Wie die Anforderungen im einzelnen Unternehmen genau aussehen, hängt von Branche, Rechtsform und Geschäftsmodell ab und kann eine fachliche Prüfung erfordern.
Warum müssen Unternehmen E-Mails überhaupt archivieren?
Unternehmen archivieren E-Mails, weil viele davon steuerlich oder handelsrechtlich relevante Unterlagen sind. Eine Rechnung im Anhang, eine Auftragsbestätigung oder eine Preisabsprache per Mail ersetzt den früheren Geschäftsbrief auf Papier. Für solche Dokumente gelten Aufbewahrungsfristen, und die GoBD konkretisieren, wie digitale Unterlagen dabei zu behandeln sind.
Die GoBD stellen dabei einige Grundsätze in den Mittelpunkt. Unterlagen müssen vollständig, richtig, geordnet und unveränderbar vorliegen. Außerdem müssen sie während der Aufbewahrungsdauer lesbar und maschinell auswertbar bleiben. Ein Ausdruck auf Papier genügt in der Regel nicht, wenn das Original digital entstanden ist. Die E-Mail selbst samt Anhang gilt als das maßgebliche Dokument. Dem Ratgeber zur E-Rechnungspflicht von StackIndex zufolge müssen Unternehmen E-Rechnungen im B2B-Geschäft seit dem 1. Januar 2025 empfangen können und die XML-Datei nach den GoBD im Originalformat unverändert archivieren, ein reiner PDF-Ausdruck reicht dafür nicht aus.
Nicht jede Nachricht fällt darunter. Newsletter, interne Terminabsprachen oder Spam haben keinen steuerlichen Bezug. Das Problem liegt in der Praxis: Wer bei jeder Mail einzeln entscheiden soll, ob sie archivwürdig ist, macht Fehler. Deshalb archivieren viele Unternehmen zunächst alle geschäftlichen Mails und filtern erst danach. Darin liegt die Antwort auf die Frage, warum E-Mail-Archivierung systematisch erfolgen sollte und nicht nach Gefühl.
Gibt es eine Archivierungspflicht nach DSGVO?
Eine eigene Archivierungspflicht kennt die DSGVO nicht. Sie regelt, unter welchen Bedingungen personenbezogene Daten verarbeitet werden dürfen. Die Pflicht zur Aufbewahrung stammt aus dem Handels- und Steuerrecht. Die DSGVO setzt ihr Grenzen, verlangt sie aber nicht.
Der scheinbare Widerspruch löst sich über die Rechtsgrundlage. Die DSGVO erlaubt eine Verarbeitung, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist. Eine gesetzliche Aufbewahrungsfrist ist genau so eine Verpflichtung. Solange die Frist läuft, darf die Mail gespeichert bleiben, auch wenn ein Betroffener die Löschung verlangt. Erst nach Fristablauf greift der Grundsatz der Speicherbegrenzung wieder voll.
Für die Praxis bedeutet das zweierlei. Erstens braucht jedes Archiv ein Löschkonzept, das Fristen je Dokumentart festlegt und abgelaufene Daten tatsächlich entfernt. Ein Archiv, das alles für immer behält, ist mit dem Datenschutz kaum vereinbar. Zweitens muss das Unternehmen Auskunftsanfragen beantworten können. Wer nicht weiß, welche Mails zu einer Person im Archiv liegen, kann die Auskunftspflicht nicht sauber erfüllen. Datenschutz bei der E-Mail-Archivierung heißt also, gezielt finden und gezielt löschen zu können.
Was ein revisionssicheres E-Mail-Archiv technisch leisten muss
Ein revisionssicheres Archiv speichert jede Mail vollständig, manipulationssicher und auffindbar. Diese drei Eigenschaften entscheiden darüber, ob das Archiv einer Prüfung standhält. Das klassische Postfach erfüllt keine davon zuverlässig, denn Nutzer können Nachrichten verschieben, bearbeiten oder löschen.
Vollständigkeit erreichen Archive meist über das sogenannte Journaling. Dabei erhält das Archiv direkt am Mailserver eine Kopie jeder ein- und ausgehenden Nachricht, bevor sie im Postfach landet. Der Vorteil gegenüber einem nachträglichen Export ist erheblich: Eine Mail, die ein Mitarbeiter sofort nach Empfang löscht, ist trotzdem archiviert. Exporte aus Postfächern erfassen dagegen nur, was zum Zeitpunkt des Exports noch vorhanden war.
Unveränderbarkeit sichern Archive häufig über Prüfsummen. Beim Speichern berechnet das System aus jeder Mail einen Hashwert. Ändert sich später auch nur ein Zeichen, passt der Wert nicht mehr, und die Manipulation fällt auf. Ergänzend protokolliert ein gutes Archiv jeden Zugriff, sodass nachvollziehbar bleibt, wer wann welche Nachricht geöffnet oder exportiert hat. Für Unternehmen, die diese Anforderungen nicht selbst entwickeln wollen, übernimmt eine spezialisierte Software zur E-Mail Archivierung Journaling, Prüfsummen und Fristverwaltung in einem System, sodass das Löschkonzept nicht von manuellen Routinen abhängt.
Speicherbedarf: ein Rechenbeispiel
Wie schnell ein Archiv wächst, zeigt eine einfache Beispielrechnung mit angenommenen Werten. Ein Betrieb hat 40 Beschäftigte, jede Person empfängt und versendet im Schnitt 60 Mails pro Arbeitstag. Bei rund 220 Arbeitstagen ergeben sich 528.000 Nachrichten im Jahr. Liegt die durchschnittliche Größe inklusive Anhängen bei 100 Kilobyte, entstehen etwa 53 Gigabyte jährlich.
Über eine mehrjährige Aufbewahrungsdauer summiert sich das deutlich. Archive arbeiten deshalb mit Deduplizierung: Ein Anhang, den 30 Personen im Verteiler erhalten, wird nur einmal gespeichert. Hinzu kommt Kompression. Beides senkt den realen Speicherbedarf oft spürbar, wobei der Effekt davon abhängt, wie viele identische Anhänge im Umlauf sind.
Private Mails, Zugriffsrechte und Betriebsrat
Der heikelste Punkt beim Datenschutz im Archiv betrifft private Nachrichten. Erlaubt ein Unternehmen die private Nutzung des dienstlichen Postfachs, landen zwangsläufig auch private Mails im Journal. Damit verarbeitet der Arbeitgeber Daten, die ihn eigentlich nichts angehen, und die rechtliche Bewertung wird deutlich komplizierter.
Viele Unternehmen entscheiden sich deshalb für eine klare Regel: Das dienstliche Postfach dient ausschließlich geschäftlichen Zwecken. Wer private Nutzung zulässt, sollte die Archivierung in einer Vereinbarung mit den Beschäftigten regeln. Darin steht, dass private Mails mitarchiviert werden können, wer darauf zugreifen darf und unter welchen Bedingungen. Wo ein Betriebsrat existiert, ist er bei der Einführung eines solchen Systems in aller Regel zu beteiligen, weil ein Archiv technisch zur Verhaltenskontrolle geeignet ist.
Ebenso wichtig ist ein abgestuftes Rechtekonzept. Nicht die IT-Abteilung, nicht die Geschäftsführung und nicht jeder Vorgesetzte braucht Vollzugriff. Bewährt hat sich das Vier-Augen-Prinzip: Ein Zugriff auf fremde Postfächer im Archiv erfordert die Freigabe einer zweiten Person, etwa aus dem Datenschutz. So bleibt das Archiv ein Werkzeug für Prüfungen und Rechtsstreitigkeiten und wird nicht zum Überwachungsinstrument.
Wie Unternehmen ein Archiv DSGVO-konform einführen
Eine DSGVO-konforme E-Mail-Archivierung beginnt nicht mit der Technik, sondern mit einer Bestandsaufnahme. Erst wenn klar ist, welche Mails anfallen und welche Fristen gelten, lässt sich ein System sinnvoll konfigurieren. Wer umgekehrt vorgeht, archiviert zwar fleißig, kann aber später weder Fristen begründen noch gezielt löschen.
Eine bewährte Reihenfolge sieht so aus:
- Dokumentarten erfassen: Welche Mails enthalten Rechnungen, Verträge, Angebote oder sonstige relevante Unterlagen?
- Fristen zuordnen: Für jede Dokumentart die maßgebliche Aufbewahrungsdauer festlegen, idealerweise mit steuerlicher Beratung.
- Regeln zur Privatnutzung klären und schriftlich festhalten.
- Rechtekonzept und Freigabeprozess definieren, bevor das erste Postfach angebunden wird.
- Altbestände übernehmen: Bestehende Postfächer und Exporte einmalig ins Archiv importieren.
- Verfahrensdokumentation schreiben, die beschreibt, wie das Archiv arbeitet und wer verantwortlich ist.
Der letzte Punkt wird oft unterschätzt. Die GoBD verlangen eine Verfahrensdokumentation, die einem sachverständigen Dritten erklärt, wie Daten entstehen, gespeichert und gelöscht werden. Fehlt sie, kann selbst ein technisch einwandfreies Archiv bei einer Prüfung Fragen aufwerfen.
Sinnvoll ist außerdem ein regelmäßiger Test. Einmal im Jahr eine fiktive Auskunftsanfrage durchspielen zeigt schnell, ob sich alle Mails zu einer Person finden lassen. Ebenso aufschlussreich ist ein Probeexport für eine simulierte Betriebsprüfung. Solche Übungen decken Lücken auf, solange noch keine Frist drängt.
Häufig gestellte Fragen (FAQ)
Dürfen archivierte Mails in der Cloud liegen?
Grundsätzlich ja, sofern der Anbieter die Anforderungen an Unveränderbarkeit und Datenschutz erfüllt. Nötig ist ein Vertrag zur Auftragsverarbeitung. Zusätzlich sollte geklärt sein, wo die Server stehen und ob Daten in Drittländer übermittelt werden.
Was passiert mit Mails aus der Zeit vor der Einführung des Archivs?
Altbestände unterliegen denselben Fristen wie neue Mails. Viele Unternehmen importieren deshalb vorhandene Postfächer und Exportdateien einmalig. Eine lückenlose Unveränderbarkeit lässt sich für diese Daten zwar nicht rückwirkend belegen, der Import verbessert aber Auffindbarkeit und Ordnung deutlich.
Was geschieht beim Wechsel des Mailsystems?
Das Archiv sollte unabhängig vom Mailserver funktionieren. Dann bleibt der Bestand auch nach einem Wechsel zugänglich und durchsuchbar. Vor einer Umstellung lohnt die Prüfung, ob das neue System per Journaling an das bestehende Archiv angebunden werden kann.
