3 Dinge, die Sie zum Thema E-Mail-Archivierung wissen müssen

Zuletzt aktualisiert am 1. Juni 2026

Ein Großteil betrieblicher Kommunikation läuft heutzutage über E-Mails. So groß die Vorteile der digitalen Kommunikation sind, muss man sich auch hierbei daran erinnern, dass der Umgang mit gespeicherten oder zumindest speicherbaren Daten ein gewisses Fingerspitzengefühl erfordert.

Erfahren Sie deshalb hier drei Dinge, die Sie zum Thema E-Mail-Archivierung wissen müssen.

Wo ist die E-Mail-Archivierung geregelt?

In Deutschland ist die E-Mail-Archivierung nicht in einem einzelnen Gesetz geregelt. Die Anforderungen an die Archivierung finden sich vor allem in einer Verwaltungsvorschrift, der GoBD (Grundsätze zur ordnungsgemäßen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff). Auch das Handelsgesetzbuch (HGB) und die Abgabenordnung (AO) spielen in dieser Thematik eine große Rolle.

Nach den gesetzlichen Vorgaben sind E-Mails aufzubewahren, die für die Besteuerung relevant sind (§ 257 HGB, § 140 AO).

Muss man jede E-Mail archivieren?

Nein, vielmehr müssen nur bestimmte E-Mails archiviert werden. Dabei geht es um E-Mails, die Geschäfts- oder Handelsbriefe enthalten oder einen steuerrechtlichen Bezug haben. Dabei kann es sich zum Beispiel um Inventare, Buchungsbeleg oder Jahresabschlüsse handeln. Sind diese Informationen als Anhang angefügt und dient die E-Mail nur als Transportmittel, ohne einen eigenen Aussagegehalt zu haben, muss die E-Mail selbst allerdings nicht in das Archiv wandern.

Befreit von der Pflicht zur Archivierung sind dagegen alle anderen anfallenden E-Mails einschließlich Spam und Newslettern.

Zu beachten ist, dass auch nicht jede E-Mail archiviert werden darf. Ein Verbot der Archivierung besteht zum Beispiel bei privaten Nachrichten von Mitarbeitern oder Bewerberdaten. Damit keine persönlichen Daten versehentlich archiviert sind, sollte zum Beispiel eine Betriebsvereinbarung zu privaten Nachrichten über die dienstliche E-Mail-Adresse bestehen. Alternativ kann man die Konfiguration der Archivierungssoftware auch entsprechend anpassen.

Wie müssen E-Mails archiviert werden?

In Deutschland regelt vor allem die GoBD (Verwaltungsvorschrift: Grundsätze zur ordnungsgemäßen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff) die Art und Weise der E-Mail-Archivierung. Demnach sind E-Mails ordnungsgemäß, vollständig, zum frühestmöglichen Zeitpunkt, mit dem Original übereinstimmend und unverändert, mit Berechtigung einsehbar, wiederauffindbar und reproduzierbar und über eine Protokollierung (bei Veränderung) nachvollziehbar zu archivieren. Diese Anforderungen sind über die gesamte Aufbewahrungsdauer aufrecht zu erhalten. Auch nach und während eines Systemwechsels muss die Einhaltung dieser Vorschriften gewährleistet sein.

Aufbewahrungsfristen für E-Mails

Die gesetzlichen Aufbewahrungsfristen für archivierungspflichtige E-Mails richten sich nach dem Inhalt der jeweiligen Nachricht. Grundsätzlich gelten zwei verschiedene Fristen: E-Mails, die als Handelsbriefe einzustufen sind — etwa Angebote, Auftragsbestätigungen oder Reklamationen — unterliegen einer Aufbewahrungsfrist von sechs Jahren gemäß § 257 Abs. 4 HGB. E-Mails mit buchungsrelevantem Inhalt, wie Rechnungen oder Buchungsbelege, müssen dagegen zehn Jahre lang aufbewahrt werden, wie es § 147 Abs. 3 AO vorschreibt.

Die Aufbewahrungsfrist beginnt jeweils mit dem Schluss des Kalenderjahres, in dem die E-Mail empfangen oder versendet wurde. Eine E-Mail-Rechnung vom März 2024 muss demnach bis zum 31. Dezember 2034 aufbewahrt werden. Nach Ablauf der Aufbewahrungsfrist müssen die E-Mails unter Berücksichtigung des Datenschutzes gelöscht werden, sofern keine anderen Aufbewahrungspflichten entgegenstehen.

E-Mail-Archivierung und DSGVO: Das Spannungsfeld

Zwischen der Pflicht zur E-Mail-Archivierung und den Anforderungen der DSGVO besteht ein natürliches Spannungsfeld. Einerseits verlangen handels- und steuerrechtliche Vorschriften die langfristige Aufbewahrung bestimmter E-Mails. Andererseits fordert die DSGVO in Art. 5 Abs. 1 lit. e den Grundsatz der Speicherbegrenzung: Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist.

In der Praxis bedeutet dies, dass Unternehmen ein differenziertes Archivierungskonzept benötigen. Nicht alle E-Mails dürfen pauschal archiviert werden. Vielmehr muss für jede E-Mail-Kategorie geprüft werden, ob eine Aufbewahrungspflicht besteht und welche Rechtsgrundlage für die Speicherung herangezogen werden kann. Für archivierungspflichtige E-Mails bildet Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) die Rechtsgrundlage für die Verarbeitung.

Technische Anforderungen an ein Archivierungssystem

Ein DSGVO-konformes E-Mail-Archivierungssystem muss mehrere technische Anforderungen erfüllen. Die Revisionssicherheit steht dabei an erster Stelle: Archivierte E-Mails müssen vor nachträglicher Veränderung geschützt sein. Dies wird in der Regel durch WORM-Speicher (Write Once, Read Many) oder vergleichbare technische Lösungen gewährleistet, die eine nachträgliche Manipulation ausschließen.

Außerdem muss das System eine Volltextsuche ermöglichen, damit archivierte E-Mails bei Bedarf schnell wiedergefunden werden können. Dies ist nicht nur für behördliche Prüfungen relevant, sondern auch für die Erfüllung von Betroffenenrechten nach der DSGVO — etwa wenn eine betroffene Person Auskunft über die zu ihr gespeicherten Daten verlangt.

Ein weiteres wichtiges Kriterium ist die Mandantenfähigkeit des Systems: In Unternehmen mit mehreren Abteilungen muss sichergestellt werden, dass nur berechtigte Personen auf die archivierten E-Mails zugreifen können. Auch die Verschlüsselung der archivierten Daten — sowohl bei der Speicherung als auch bei der Übertragung — gehört zu den grundsätzlichen Anforderungen.

Private E-Mails am Arbeitsplatz: Ein besonderes Problem

Die Frage der privaten E-Mail-Nutzung am Arbeitsplatz stellt Unternehmen vor besondere Herausforderungen bei der E-Mail-Archivierung. Erlaubt der Arbeitgeber die private Nutzung des dienstlichen E-Mail-Accounts, wird er nach herrschender Meinung zum Anbieter von Telekommunikationsdienstleistungen. In diesem Fall greift das Fernmeldegeheimnis nach § 3 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG), das eine inhaltliche Kenntnisnahme der privaten E-Mails grundsätzlich verbietet.

Dies kann dazu führen, dass eine automatische Archivierung aller E-Mails unzulässig ist, wenn darunter auch private Nachrichten fallen. Die sicherste Lösung besteht darin, die private Nutzung der dienstlichen E-Mail-Adresse durch eine Betriebsvereinbarung oder eine entsprechende Arbeitsanweisung zu untersagen. Alternativ kann eine Regelung getroffen werden, die private E-Mails in einem separaten, nicht archivierten Ordner vorsieht.

Cloud-basierte Archivierung: Chancen und Risiken

Immer mehr Unternehmen setzen auf cloud-basierte E-Mail-Archivierungslösungen. Diese bieten Vorteile wie Skalierbarkeit, geringen Wartungsaufwand und hohe Verfügbarkeit. Aus datenschutzrechtlicher Sicht ergeben sich jedoch besondere Anforderungen: Der Cloud-Anbieter fungiert in der Regel als Auftragsverarbeiter nach Art. 28 DSGVO, sodass ein entsprechender Auftragsverarbeitungsvertrag geschlossen werden muss.

Besondere Vorsicht ist geboten, wenn der Cloud-Anbieter Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet. In diesem Fall müssen zusätzliche Garantien nach Art. 46 DSGVO vorliegen, etwa Standardvertragsklauseln oder ein Angemessenheitsbeschluss der EU-Kommission. Unternehmen sollten bei der Auswahl eines Cloud-Anbieters daher bevorzugt auf europäische Anbieter mit Rechenzentren in der EU setzen.

Fazit: Professionelle Archivierung schützt vor Risiken

Die korrekte E-Mail-Archivierung ist ein komplexes Thema, das sowohl handels- und steuerrechtliche als auch datenschutzrechtliche Anforderungen berücksichtigen muss. Unternehmen, die hier nachlässig agieren, riskieren sowohl steuerrechtliche Sanktionen als auch DSGVO-Bußgelder. Ein professionelles Archivierungskonzept, das alle relevanten Vorschriften berücksichtigt, ist daher keine optionale Maßnahme, sondern eine betriebliche Notwendigkeit. Die DATUREX GmbH berät Unternehmen in Dresden und ganz Sachsen vollständig zu allen Fragen der datenschutzkonformen E-Mail-Archivierung und unterstützt bei der Implementierung geeigneter Lösungen.

Häufige Fehler bei der E-Mail-Archivierung

In unserer Beratungspraxis begegnen uns immer wieder typische Fehler bei der E-Mail-Archivierung. Der häufigste Fehler ist die pauschale Archivierung sämtlicher E-Mails ohne Differenzierung. Dies verstößt gegen den Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO und kann insbesondere dann problematisch werden, wenn auch private E-Mails der Mitarbeiter mitarchiviert werden.

Ein weiterer verbreiteter Fehler ist das Fehlen eines dokumentierten Löschkonzepts. Viele Unternehmen archivieren E-Mails pflichtbewusst, vergessen aber, diese nach Ablauf der Aufbewahrungsfristen auch wieder zu löschen. Dies führt zu einer ständig wachsenden Datenmenge, die nicht nur Speicherkosten verursacht, sondern auch ein erhöhtes Datenschutzrisiko darstellt. Auch die fehlende Verschlüsselung archivierter E-Mails ist ein häufiges Problem, das bei einer behördlichen Prüfung zu Beanstandungen führen kann.

Schließlich unterschätzen viele Unternehmen den organisatorischen Aufwand einer rechtskonformen E-Mail-Archivierung. Die Verantwortlichkeiten müssen klar definiert sein, Mitarbeiter müssen geschult werden, und die Archivierungsprozesse müssen regelmäßig überprüft und aktualisiert werden. Ein externer Datenschutzbeauftragter kann hier wertvolle Unterstützung leisten und sicherstellen, dass alle Anforderungen dauerhaft erfüllt werden.

Insgesamt zeigt sich, dass eine rechtskonforme E-Mail-Archivierung drei zentrale Elemente erfordert: erstens ein klares Konzept, welche E-Mails archiviert werden müssen und welche nicht; zweitens ein technisches System, das die Anforderungen an Revisionssicherheit, Vollständigkeit und Zugriffskontrolle erfüllt; und drittens organisatorische Regelungen, die die Umsetzung im Unternehmensalltag sicherstellen. Nur wenn alle drei Elemente zusammenwirken, ist eine rechtskonforme und datenschutzgerechte E-Mail-Archivierung gewährleistet.

Sie benötigen Unterstützung im Bereich Datenschutz und Datensicherheit? Unser Team an Experten berät Sie gerne. Kontaktieren Sie uns hier!