GoBD & Aufbewahrung

Geschäftliche E-Mails sind keine flüchtige Post — der Gesetzgeber verlangt, dass Sie viele davon jahrelang unverändert aufbewahren. Diese Seite erklärt in einfachen Worten, was diese Pflicht bedeutet, wie lange welche E-Mail aufbewahrt werden muss und wie SemperMail das für Sie automatisch und nachweisbar erledigt — ohne dass Sie im Alltag daran denken müssen.

1. Was die GoBD-Aufbewahrungspflicht bedeutet

„GoBD" ist die Abkürzung für die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form — eine Vorgabe der Finanzverwaltung. Vereinfacht gesagt: Alles, was für Ihre Buchhaltung oder Ihre Geschäftsvorgänge von Bedeutung ist, müssen Sie vollständig, richtig und unveränderbar aufbewahren — auch dann, wenn es „nur" eine E-Mail ist.

Der Punkt, den viele Betriebe unterschätzen: Eine geschäftliche E-Mail — etwa eine Rechnung im Anhang, eine Auftragsbestätigung oder ein Angebot — gilt rechtlich als aufbewahrungspflichtiger Beleg beziehungsweise Geschäftsbrief. Sie darf nicht einfach im Posteingang liegen bleiben, wo sie versehentlich gelöscht oder nachträglich verändert werden kann. Genau hier setzt SemperMail an: Von jeder geschäftlichen E-Mail wird automatisch eine gesetzeskonforme Kopie im Archiv abgelegt, sobald sie über unsere Empfangs-Server läuft.

2. Welche Fristen gelten — und dass sie automatisch laufen

Wie lange eine E-Mail aufbewahrt werden muss, hängt von ihrer Art ab. SemperMail vergibt bei der Archivierung automatisch eine konservative Aufbewahrungsfrist und wendet sie im Hintergrund an:

• Standard für geschäftliche E-Mails: 6 Jahre — das entspricht dem Niveau eines Geschäftsbriefs (Angebote, Auftragsbestätigungen, Korrespondenz mit Kunden und Lieferanten).
• Buchungsbelege: 8 Jahre — zum Beispiel Rechnungen, Kontoauszüge oder Zahlungsbelege. Diese längere Frist wird gesetzt, sobald die Nachricht als Buchungsbeleg eingestuft ist; die Frist kann sich dabei nur verlängern, nie verkürzen.
• Eindeutig als Spam aussortierte (in die Quarantäne umgeleitete) Nachrichten: 1 Jahr — Werbe- und Massenmails ohne geschäftliche Bedeutung werden deutlich kürzer vorgehalten.

Die Fristen laufen jeweils bis zum Ende des Kalenderjahres: Eine Rechnung aus dem März wird also nicht genau am 1. April Jahre später frei, sondern erst zum 31. Dezember des letzten Aufbewahrungsjahres. So rechnet es auch das Finanzamt.

Wichtig: Sie müssen keine dieser Fristen selbst im Kopf behalten. Die Aufbewahrungsdauern sind fest in SemperMail hinterlegt und werden im Hintergrund automatisch angewendet — im Standard 6 Jahre, für Spam 1 Jahr; Buchungsbelege erhalten die längere 8-Jahres-Frist. Sie müssen nichts manuell löschen.

3. Wie SemperMail Unveränderbarkeit nachweist

Aufbewahren allein genügt nicht — die GoBD verlangt, dass eine archivierte E-Mail nicht unbemerkt verändert werden kann. SemperMail löst das mit zwei ineinander greifenden Mechanismen, hier bewusst ohne Fachjargon erklärt:

• Prüfsummen-Kette. Von jeder archivierten E-Mail wird bei der Ablage ein eindeutiger digitaler „Fingerabdruck" (eine Prüfsumme) berechnet. Jeder neue Fingerabdruck baut auf dem der vorherigen Nachricht auf — so entsteht eine lückenlose Kette. Würde man auch nur ein einziges Zeichen einer archivierten Mail nachträglich ändern, passt ihr Fingerabdruck nicht mehr zur Kette, und der Bruch fällt sofort auf.
• Tägliches digitales Siegel. Einmal pro Tag wird der aktuelle Stand des Archivs zusätzlich mit einer digitalen Unterschrift „versiegelt" — vergleichbar mit einem täglich neu gesetzten, fälschungssicheren Stempel. Damit lässt sich für jeden Tag beweisen, welcher Stand des Archivs an diesem Tag galt.

Zusätzlich prüft das System mehrmals täglich automatisch, ob Kette und Siegel noch zusammenpassen. Stimmt etwas nicht, wird das registriert.

Ehrlich gesagt: Diese Technik ist eine Manipulations-Erkennung — sie beweist zuverlässig, dass etwas geändert wurde, falls jemand es versucht. Sie ist bewusst nicht als „physisch unlöschbare" Speicherung ausgelegt und wird von uns auch nicht so verkauft. Der praktische Nutzen für Sie: Gegenüber einer Betriebsprüfung ist lückenlos belegbar, dass Ihre archivierten E-Mails im Originalzustand vorliegen und nicht nachträglich geschönt wurden.

4. Verschlüsselt gespeichert, in der EU

Die Original-E-Mails liegen im Archiv verschlüsselt — das heißt, sie sind auf dem Speicher nicht im Klartext lesbar, sondern nur über den geschützten Zugang der App. Das Archiv steht in Deutschland; der Empfang läuft über drei unabhängige Server in Deutschland, Finnland und Irland. Alle Server stehen innerhalb der EU — Ihre Geschäftspost verlässt den europäischen Rechtsraum nicht. Wie wir mit personenbezogenen Daten umgehen, steht ausführlich in unserer Datenschutzerklärung.

5. Löschen erst nach Fristablauf — im Vier-Augen-Prinzip

Eine archivierte E-Mail wird nicht vorzeitig gelöscht. Erst wenn ihre gesetzliche Aufbewahrungsfrist tatsächlich abgelaufen ist, kommt sie überhaupt für eine Löschung infrage — und auch dann geschieht das nicht einfach automatisch im Verborgenen.

Jede Löschung läuft kontrolliert und dokumentiert ab und ist an das Vier-Augen-Prinzip gebunden: Es genügt nicht, dass eine einzelne Person auf „Löschen" klickt — die Löschung muss von mehreren Personen bestätigt werden. Über jeden solchen Vorgang wird ein Lösch-Manifest angelegt, also ein nachvollziehbarer Nachweis darüber, was, wann und mit wessen Freigabe entfernt wurde.

Für Sie bedeutet das doppelte Sicherheit: Nichts geht zu früh verloren, und nichts verschwindet unbemerkt. So bleibt Ihr Archiv über die gesamte Aufbewahrungsdauer vollständig und belegbar.

6. Für die Betriebsprüfung vorbereitet

Wenn das Finanzamt Ihre digitalen Unterlagen prüfen möchte, ist SemperMail darauf vorbereitet. Es gibt einen eigenen, protokollierten Prüfer-Zugang, der die vom Gesetz vorgesehenen Zugriffsarten abdeckt — vom reinen Lesezugriff bis zur Übergabe eines auswertbaren Datenexports. Jede Aktion einer prüfenden Person wird dabei mitprotokolliert, und der Zugang wird nur im Vier-Augen-Prinzip freigegeben.

Wie eine Betriebsprüfung mit SemperMail konkret abläuft und welche Zugriffsstufen es gibt, lesen Sie im Dokument Betriebsprüfung. Einen Überblick über alle weiteren Themen finden Sie auf der Dokumente-Startseite.

Verantwortlich für SemperMail ist die Nolte IMP Werbeagentur. Fragen zur Aufbewahrung beantworten wir gern unter info@nolte.pro.