Eine Mail mit einem Angebot ist ein Handelsbrief. Eine Mail mit einer Rechnung im Anhang ist ein Buchungsbeleg. Beides unterliegt gesetzlichen Aufbewahrungspflichten, und die meisten Betriebe erfüllen sie nicht.
Das fällt erst bei einer Betriebsprüfung auf. Dann allerdings deutlich.
Was aufbewahrt werden muss
Nach § 257 HGB und § 147 AO gelten drei Fristen:
- Zehn Jahre: Jahresabschlüsse, Handelsbücher, Inventare, Lageberichte.
- Acht Jahre: Buchungsbelege, also alles mit Rechnungscharakter.
- Sechs Jahre: empfangene und abgesandte Handelsbriefe — Angebote, Aufträge, Auftragsbestätigungen, Reklamationen.
Entscheidend ist der Inhalt, nicht das Medium. Eine Rechnung als PDF im Anhang einer Mail ist genauso aufbewahrungspflichtig wie eine auf Papier.
Die Frist beginnt mit dem Ende des Kalenderjahres, in dem das Dokument entstanden ist. Eine Rechnung vom März 2025 ist damit bis Ende 2033 aufzubewahren, nicht bis März 2033.
Was ein Handelsbrief ist — und was nicht
Der Begriff ist enger, als er klingt. Handelsbrief ist alles, was ein Geschäft vorbereitet, abwickelt oder rückgängig macht.
Also: Angebote, Auftragsbestätigungen, Lieferscheine, Reklamationen, Mahnungen, Kündigungen, Preisvereinbarungen.
Nicht: die Terminabsprache für ein Gespräch, die Frage nach einem Rückruf, interne Abstimmung ohne Geschäftsbezug, Werbung, die niemand bestellt hat.
Das klingt nach einer brauchbaren Abgrenzung und ist in der Praxis genau der Grund, warum eine selektive Archivierung scheitert: Niemand entscheidet das zuverlässig im Alltag, und die Vollständigkeit lässt sich hinterher nicht mehr herstellen.
Was die GoBD zusätzlich verlangt
Die GoBD beschreiben, wie aufbewahrt werden muss. Vier Anforderungen sind entscheidend:
Unveränderbarkeit. Ein archiviertes Dokument darf nachträglich nicht mehr geändert oder gelöscht werden können. Änderungen müssen protokolliert sein.
Vollständigkeit. Es darf keine Lücke geben. Wer selbst entscheidet, was archiviert wird, erfüllt das nicht.
Maschinelle Auswertbarkeit. Der Prüfer muss suchen können. Ein Stapel PDF-Ausdrucke genügt nicht.
Nachvollziehbarkeit. Es muss dokumentiert sein, wie archiviert wird — die sogenannte Verfahrensdokumentation.
Warum der übliche Weg nicht reicht
PST-Export in einen Ordner. Veränderbar, löschbar, nicht protokolliert. Erfüllt die Unveränderbarkeit nicht.
„Wir haben doch Backups." Ein Backup ist eine Sicherung gegen Verlust, kein Archiv. Es wird überschrieben, es ist nicht durchsuchbar, und aus einem Backup von 2019 eine bestimmte Mail zu holen, ist praktisch aussichtslos. Der Unterschied ist grundsätzlich — hier steht er ausführlich.
„Die Mails liegen im Postfach." Jeder Nutzer kann löschen. Das ist das Gegenteil von unveränderbar.
„Der Mitarbeiter ist weg, das Postfach auch." Der Klassiker. Mit dem Konto verschwinden Jahre an Korrespondenz, und niemand merkt es, bis jemand danach fragt.
Was tatsächlich nötig ist
Ein Archivsystem, das jede ein- und ausgehende Mail automatisch und revisionssicher ablegt, bevor der Nutzer sie anfassen kann. Mit Suchfunktion, Protokollierung und einem Weg, dem Prüfer einen Zugang zu geben.
Der letzte Punkt wird unterschätzt. Die Finanzverwaltung kennt drei Arten des Datenzugriffs: den unmittelbaren Zugriff am System (Z1), die Auswertung durch den Betrieb nach Vorgabe des Prüfers (Z2) und die Überlassung der Daten auf einem Datenträger (Z3). Ein Archiv, aus dem sich nichts exportieren lässt, macht Z3 unmöglich.
Dazu die Verfahrensdokumentation: ein Dokument, das beschreibt, welches System eingesetzt wird, wer Zugriff hat, wie lange aufbewahrt wird und wie Löschung nach Fristablauf erfolgt. Das sind wenige Seiten, aber sie müssen existieren.
Was in die Verfahrensdokumentation gehört
Vier Teile, mehr nicht:
- Allgemeine Beschreibung — welche Daten fallen an, welches System archiviert sie.
- Anwenderdokumentation — wie wird gesucht, wer darf was.
- Technische Systemdokumentation — welche Software, welche Version, wo liegen die Daten.
- Betriebsdokumentation — wer betreut das System, wie wird auf Störungen reagiert, wann wurde was geändert.
Wichtig ist, dass Änderungen daran versioniert sind. Eine Verfahrensdokumentation ohne Historie ist für den Prüfungszeitraum wertlos, weil sie nur den heutigen Stand belegt.
Die andere Seite: löschen müssen
Aufbewahrungsfristen sind Höchstgrenzen für das Behalten, nicht Freibriefe. Sind sie abgelaufen und besteht kein anderer Grund, die Daten zu verarbeiten, verlangt die DSGVO die Löschung.
Genau hier hat die Verkürzung auf acht Jahre für Mehrarbeit gesorgt: Wer sein Löschkonzept auf zehn Jahre gebaut hat, hält Daten jetzt zwei Jahre länger als nötig. Ein Archiv, das nach Ablauf automatisch aussortiert, löst beide Pflichten in einem — und es ist die einzige Bauweise, die nicht von Disziplin abhängt.
Die private Post
Ein oft übersehener Punkt: Wer private Nutzung des dienstlichen Postfachs erlaubt, bekommt ein Problem mit dem Fernmeldegeheimnis, sobald automatisch archiviert wird. Der saubere Weg ist eine schriftliche Regelung, die private Nutzung ausschließt oder auf einen getrennten Ordner beschränkt, der nicht archiviert wird.
„Wir haben nie etwas geregelt, aber alle machen es" ist dabei die schlechteste Ausgangslage: Aus geduldeter Praxis kann eine betriebliche Übung werden, und dann gilt die Erlaubnis als erteilt.
Wir richten die Archivierung mit Hornetsecurity ein — das läuft vor dem Postfach, erfasst alles automatisch und ist durchsuchbar. Die Verfahrensdokumentation entsteht dabei mit, weil ohnehin aufgeschrieben werden muss, was eingerichtet wurde.
Ob deine konkrete Aufbewahrungsfrist sechs, acht oder zehn Jahre beträgt, sagt dir dein Steuerberater. Wir sorgen dafür, dass es technisch möglich ist.
Für E-Rechnungen gilt dabei eine eigene Anforderung: Aufzubewahren ist nicht die Ansicht, sondern der strukturierte Datensatz. Warum das Postfach dafür nicht genügt.