E-Mail-Archivierung für deutsche Unternehmen

Die Abgabenordnung ist das elementare Gesetz des deutschen Steuerrechts. Die Abgabenordnung (AO) verpflichtet Unternehmen zur Aufbewahrung steuerlich relevanter Dokumente, zu denen auch E-Mails zählen können. E-Mails, die steuerliche Informationen wie Rechnungen, Angebote oder Verträge enthalten, müssen demnach in elektronischer Form archiviert werden.

Unter diesem Link finden Sie weitere Informationen zur Abgabenordnung.

Die GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form) stellen keine eigenständigen Gesetze dar, sondern eine Verordnung. Dennoch haben sie für die Buchführung eine entscheidende Bedeutung. Alle Unternehmen sind zur Buchführung verpflichtet, unabhängig von ihrer Größe.

Diese Verordnung ist genauso ernst zu nehmen wie steuer- und handelsrechtliche Vorschriften. Selbst kleine Unternehmen laufen Gefahr, bei einer Betriebsprüfung Probleme zu bekommen, wenn das Finanzamt ihre Buchführung als nicht ordnungsgemäß einstuft. In einem solchen Fall könnte der Betriebsprüfer den Gewinn schätzen, was erhebliche Nachzahlungen, Zinsen und möglicherweise auch Strafen nach sich ziehen würde. Aus diesem Grund ist es wichtig, die GoBD regelmäßig im Austausch mit der Steuerberatung zu thematisieren. Die GoBD legt die grundlegenden Prinzipien fest, die bei der Führung von Büchern und Aufzeichnungen eingehalten werden müssen, damit diese von den Finanzbehörden als Beweismittel akzeptiert werden.

Wichtig: Die GoBD regeln nicht, welche Dokumente aufbewahrt werden müssen und wie lange diese aufzubewahren sind. Diese Vorgaben ergeben sich aus anderen gesetzlichen Bestimmungen, wie z. B. dem Handelsgesetzbuch oder den Steuergesetzen. Bei der Führung von Büchern – ob in elektronischer oder in Papierform – müssen gemäß GoBD folgende Grundsätze beachtet werden: Grundsatz der Nachvollziehbarkeit und Nachprüfbarkeit, Grundsätze der Wahrheit, Klarheit und fortlaufenden Aufzeichnung, Vollständigkeit, Einzelaufzeichnungspflicht, Richtigkeit, zeitgerechte Buchungen und Aufzeichnungen, Ordnung und Unveränderbarkeit.

Die GoBD sagt in Punkt 8

• Absatz 108

Das zum Einsatz kommende DV-Verfahren muss die Gewähr dafür bieten, dass alle Informationen (Programme und Datenbestände), die einmal in den Verarbeitungsprozess eingeführt werden (Beleg, Grundaufzeichnung, Buchung), nicht mehr unterdrückt oder ohne Kenntlichmachung überschrieben, gelöscht, geändert oder verfälscht werden können. Bereits in den Verarbeitungsprozess eingeführte Informationen (Beleg, Grundaufzeichnung, Buchung) dürfen nicht ohne Kenntlichmachung durch neue Daten ersetzt werden.

• Absatz 119:

Sind aufzeichnungs- und aufbewahrungspflichtige Daten, Datensätze, elektronische Dokumente und elektronische Unterlagen im Unternehmen entstanden oder dort eingegangen, sind sie auch in dieser Form aufzubewahren und dürfen vor Ablauf der Aufbewahrungsfrist nicht gelöscht werden. Sie dürfen daher nicht mehr ausschließlich in ausgedruckter Form aufbewahrt werden und müssen für die Dauer der Aufbewahrungsfrist unveränderbar erhalten bleiben (z. B. per E-Mail eingegangene Rechnung im PDF-Format oder bildlich erfasste Papierbelege). Dies gilt unabhängig davon, ob die Aufbewahrung im Produktivsystem oder durch Auslagerung in ein anderes DV-System erfolgt. Unter Zumutbarkeitsgesichtspunkten ist es nicht zu beanstanden, wenn der Steuerpflichtige elektronisch erstellte und in Papierform abgesandte Handels- und Geschäftsbriefe nur in Papierform aufbewahrt.

Hier finden Sie den Link zur den aktuellen Bestimmungen der GoBD.

Das Handelsgesetzbuch (HGB) bildet die Basis für die Buchführungsregeln in Deutschland. Es ist für Kaufleute verbindlich und detaillierter als das Bürgerliche Gesetzbuch (BGB). Im Falle von Unstimmigkeiten zwischen HGB und BGB hat das HGB Vorrang. Es legt den rechtlichen Rahmen für Unternehmen und Kaufleute fest, insbesondere in Bezug auf steuerrechtliche Vorschriften sowie die Aufbewahrungspflichten und -fristen für handelsrechtliche Unterlagen, wie den kaufmännischen Brief.

Quelle: https://www.gesetze-im-internet.de/hgb/__257.html

• Die DSGVO fordert den Schutz personenbezogener Daten. Bei der E-Mail-Archivierung ist sicherzustellen, dass archivierte E-Mails keine unnötigen personenbezogenen Daten enthalten und datenschutzkonform behandelt werden.
• Ein Interessenskonflikt kann entstehen, wenn das Archivierungsrecht mit den Datenschutzrechten kollidiert. Unternehmen müssen hier einen rechtssicheren Umgang gewährleisten.

Fehlende Revisionssicherheit:
Die E-Mails in Outlook können jederzeit gelöscht, verändert oder verschoben werden.

Fehlende Nachvollziehbarkeit und Prüfbarkeit:
Keine umfassenden Protokollierungsfunktionen oder Audit-Trails, die es ermöglichen, alle Änderungen an E-Mails oder Zugriffe auf sie zu dokumentieren.

Keine Langzeitarchivierung:
Die E-Mails werden lokal oder auf dem Mailserver gespeichert, dabei handelt es sich aber um keine explizite Unterstützung für Langzeitarchivierung, wie sie von Gesetzen gefordert wird.

Keine Einhaltung gesetzlicher Aufbewahrungsfristen:
Keine automatische Verwaltung von Aufbewahrungsfristen. E-Mails müssen für 6 oder 10 Jahre aufbewahrt werden, abhängig von ihrem Inhalt (z. B. steuerlich relevante E-Mails).

Die Suchfunktionen von Diensten wie Outlook sind nicht für große Datenmengen oder eine langfristige Archivierung ausgelegt. Wenn ein Unternehmen Tausende oder Millionen von E-Mails archiviert, wird es schwierig, einzelne E-Mails schnell wiederzufinden.

Dienste wie Outlook arbeitet oft mit begrenztem Speicherplatz im Postfach, was bedeutet, dass ältere E-Mails gelöscht oder ausgelagert werden müssen, um Platz zu schaffen. Dies birgt das Risiko des Datenverlusts oder der Unvollständigkeit der Archivierung.

Wenn E-Mails nur in Outlook gespeichert sind, können sie beim Verlust oder Ausfall des lokalen Systems oder des Mailservers verloren gehen. Es gibt keine Backup- und Wiederherstellungsmechanismen, die speziell für eine revisionssichere Langzeitarchivierung ausgelegt sind.

Outlook bietet keine granularen Zugriffskontrollen, die den Datenschutz und die Einhaltung der DSGVO in Vollem Umfang und uneingeschränkt gewährleisten. Es fehlen Funktionen, um zu dokumentieren, wer wann auf archivierte E-Mails zugreift und welche Berechtigungen dafür erforderlich sind. Dies ist aber für eine GoBD-konforme Aufbewahrungspflicht der E-Mails unablässlich.