Aufbewahrungspflicht für E-Mails: Was Unternehmen beachten sollten

Ob eine E-Mail aufbewahrt werden muss, entscheidet ihr Inhalt, nicht das Medium. Geschäftsbriefe sind nach § 147 AO und § 257 HGB sechs Jahre aufzubewahren, Buchungsbelege wie eine per Mail empfangene Rechnung acht Jahre (Stand: Oktober 2026). In dieser Zeit müssen die Nachrichten unverändert, geordnet und lesbar bleiben; danach sollten Sie sie löschen, sofern kein anderer Grund dagegen spricht. Dieser Beitrag ist keine Rechts- oder Steuerberatung.

Welche E-Mails aufbewahrt werden müssen

Handelsgesetzbuch und Abgabenordnung sprechen nicht von E-Mails, sondern von Unterlagen, gleich in welcher Form. Im Postfach betrifft das vor allem drei Gruppen:

• Handels- und Geschäftsbriefe: Korrespondenz, die ein Geschäft vorbereitet, abschließt oder abwickelt. Aufzubewahren sind die empfangenen Briefe und Wiedergaben der eigenen, abgesandten Nachrichten.
• Buchungsbelege: Unterlagen, die eine Buchung begründen, etwa eine Rechnung oder Gutschrift im Anhang.
• Sonstige Unterlagen, soweit sie für die Besteuerung von Bedeutung sind.

Werbung, Newsletter, Spam und interne Abstimmungen ohne Bezug zu einem Geschäft fallen in der Regel nicht darunter. Die Grenze ist allerdings unscharf: Eine kurze Antwort auf eine Terminfrage kann nebenbei eine Lieferzusage enthalten. Statt jede Mail einzeln zu bewerten, erfassen Sie besser die geschäftliche Korrespondenz automatisch und steuern das Löschen über Regeln.

Fristen der Aufbewahrungspflicht für E-Mails im Überblick

Jahresabschlüsse und Eröffnungsbilanz dürfen nach § 147 Abs. 2 AO nicht nur als Datei aufbewahrt werden; eine PDF-Kopie im Postfach reicht dafür nicht.

Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem der Brief empfangen oder abgesandt wurde bzw. der Buchungsbeleg entstanden ist (§ 147 Abs. 4 AO, § 257 Abs. 5 HGB). Angenommen, ein Metallbaubetrieb bestätigt am 3. März 2026 per E-Mail einen Auftrag und erhält am selben Tag die eben ausgestellte Rechnung für das Material. Dann ist die Auftragsbestätigung bis Ende 2032 aufzubewahren, die Rechnung bis Ende 2034.

Zwei Besonderheiten kommen hinzu:

• Acht statt zehn Jahre: Für Buchungsbelege gilt die kürzere Frist seit dem 1. Januar 2025. Sie erfasst auch ältere Belege, deren bisherige Frist zum Jahresende 2024 noch nicht abgelaufen war (Art. 97 § 19a EGAO). Kredit-, Finanzdienstleistungs- und Wertpapierinstitute sowie beaufsichtigte Versicherer bleiben bei zehn Jahren.
• Verlängerung im Steuerrecht: Die Frist läuft nicht ab, solange die Unterlagen für Steuern von Bedeutung sind, deren Festsetzungsfrist noch offen ist (§ 147 Abs. 3 AO). Vor dem Löschen eines Jahrgangs lohnt deshalb eine Rückfrage bei der Steuerberatung.

Zum Nachlesen: § 147 AO (externe Website) und § 257 HGB (externe Website).

Anforderungen: vollständig, unveränderbar, auffindbar

Wie elektronische Unterlagen aufzubewahren sind, konkretisieren die GoBD, eine Verwaltungsvorschrift des Bundesfinanzministeriums. Maßgeblich ist das BMF-Schreiben vom 28. November 2019, zuletzt geändert am 14. Juli 2025 (externe Website) (Stand: Oktober 2026). Für E-Mails heißt das:

• Vollständig: Alle aufbewahrungspflichtigen Nachrichten liegen samt Anhängen vor, auch die versendeten und die aus Postfächern ausgeschiedener Mitarbeitender.
• Unveränderbar: Nach § 146 Abs. 4 AO muss der ursprüngliche Inhalt einer Aufzeichnung auch nach Änderungen erkennbar bleiben. Übertragen auf das Mailarchiv heißt das: Nachrichten sollten sich weder bearbeiten noch vor Fristende entfernen lassen, und Eingriffe der Administration sollten protokolliert werden. Ein gewöhnliches Postfach leistet das nicht.
• Auffindbar und auswertbar: Die Daten müssen während der Frist verfügbar sein und sich unverzüglich lesbar machen und maschinell auswerten lassen (§ 147 Abs. 2 AO). Bei einer Außenprüfung kann das Finanzamt Einsicht nehmen, Auswertungen verlangen oder sich die Daten übertragen lassen (§ 147 Abs. 6 AO).

Halten Sie schriftlich fest, wie Nachrichten ins Archiv gelangen, wer zugreifen darf und wann gelöscht wird.

Archiv ist kein Backup – und umgekehrt

Archiv und Backup speichern beide Kopien, verfolgen aber verschiedene Ziele. Eine Datensicherung hält den Zustand eines Servers oder Postfachs zu festen Zeitpunkten fest, damit nach einem Ausfall der Betrieb wieder anläuft. Ältere Stände werden nach Plan überschrieben, und eine Mail, die zwischen zwei Läufen ankommt und gelöscht wird, steckt in keinem davon.

Ein Archiv erfasst Nachrichten dagegen schon beim Empfang oder Versand und hält sie bis zum Fristende durchsuchbar vor. Einen ausgefallenen Mailserver bringt es nicht zurück, und Kalender oder Kontakte enthält es je nach Lösung gar nicht.

Das gilt auch in Microsoft 365: Gelöschte Elemente lassen sich in Exchange Online nur begrenzte Zeit zurückholen, und was die eingebauten Aufbewahrungsfunktionen leisten, hängt von Lizenz und Einrichtung ab. Für die Wiederherstellung von Postfächern und Dateien ist ein Microsoft 365 Backup gedacht, für die Aufbewahrung nach Fristen das Archiv. Wie beides mit Servern und Arbeitsplätzen zusammenspielt, zeigt unsere Seite zur Datensicherung für Unternehmen.

Datenschutz: Aufbewahren und Löschen in Einklang bringen

Geschäftliche E-Mails enthalten personenbezogene Daten, schon Name und Mailadresse von Absender und Empfänger. Deshalb gilt zugleich die DSGVO. Ihr Grundsatz der Speicherbegrenzung erlaubt, solche Daten nur so lange vorzuhalten, wie der Zweck es erfordert (Art. 5 Abs. 1 Buchst. e DSGVO).

Mit der Aufbewahrungspflicht kollidiert das nicht. Die Speicherung ist zulässig, soweit eine rechtliche Verpflichtung sie erfordert (Art. 6 Abs. 1 Buchst. c DSGVO). Insoweit entfällt auch das Recht auf Löschung (Art. 17 Abs. 3 Buchst. b DSGVO). Endet die Frist und trägt kein anderer Zweck die Speicherung, sind die Daten zu löschen. Ein Archiv, das alles unbegrenzt behält, passt deshalb nicht zur DSGVO.

Für den Alltag empfehlen wir:

• Löschregeln je Kategorie, etwa sechs Jahre für die allgemeine Korrespondenz und acht für Postfächer, in denen Rechnungen eingehen. Unterlagen abgelehnter Bewerbungen fallen nicht unter die steuerlichen Fristen und sind deutlich früher zu löschen; die Frist legen Sie mit der Person fest, die bei Ihnen den Datenschutz verantwortet.
• Einen engen Kreis für die übergreifende Suche, schriftlich festgelegt und mit protokollierten Zugriffen.
• Eine Regel zur privaten Nutzung dienstlicher Adressen, beschlossen vor dem Start des Archivs.
• Auskunftsanfragen nach Art. 15 DSGVO einplanen, denn auch archivierte Nachrichten gehören zur Auskunft.

Betreibt ein Dienstleister das Archiv, braucht es einen Vertrag zur Auftragsverarbeitung. Den Verordnungstext bietet die Textausgabe der Bundesdatenschutzbeauftragten (externe Website) (Stand: März 2026).

Umsetzung als Managed Service und Checkliste

Technisch bietet sich ein Archiv an, das direkt am Mailserver ansetzt und Nachrichten beim Durchlauf kopiert, bevor im Postfach aufgeräumt wird. Bei ProNet Systems betreiben wir die E-Mail-Archivierung als Managed Service, angebunden an Ihren eigenen Mailserver oder an Exchange Online.

Die Fristen legen Sie mit Ihrer Steuerberatung fest; wir hinterlegen sie, richten Rechte ein und helfen bei Suche und Wiederherstellung. Um die Postfächer selbst kümmert sich unsere Exchange-Betreuung.

Diese Punkte sollten geklärt sein:

• Zuständigkeit für Aufbewahrung und Löschung im Unternehmen benannt
• Fristen mit der Steuerberatung abgestimmt, Löschfristen für Bewerbungen mit dem Datenschutz
• Alle Wege geschäftlicher Mails erfasst, auch Sammeladressen, Smartphones und Fachanwendungen
• Ältere Bestände übernommen oder bewusst ausgeschlossen
• Löschregeln eingerichtet und einmal im Jahr überprüft
• Sicherung der Postfächer unabhängig vom Archiv geregelt

Fazit: Fristen kennen, Erfassung automatisieren, Löschen planen

Klären Sie zuerst mit Ihrer Steuerberatung, welche Fristen gelten, und benennen Sie eine verantwortliche Person. Lassen Sie geschäftliche Mails dann automatisch in ein Archiv laufen, statt auf das Aufräumverhalten einzelner Postfächer zu setzen. Legen Sie schon beim Einrichten fest, wann welche Kategorie gelöscht wird und wer übergreifend suchen darf.