E-Mail-Archivierung und DSGVO: Aufbewahren und Löschen

Von Martin Leue, Geschäftsführer der IDO GmbH Aktualisiert am 18.10.2026

E-Mail-Archivierung und Datenschutz widersprechen sich nicht. Die DSGVO erlaubt es ausdrücklich, personenbezogene Daten zu speichern, wenn ein Gesetz das verlangt, und schließt den Anspruch auf Löschung aus, solange die Aufbewahrungspflicht läuft (Art. 17 Abs. 3 lit. b DSGVO). Sie verlangt aber, dass Sie nur so lange speichern wie nötig, das Archiv gut schützen, den Zugriff begrenzen, einen Vertrag zur Auftragsverarbeitung mit dem Archivanbieter schließen und eine klare Regel für private Mails haben. Der heikelste Punkt sind in der Praxis nicht die Geschäftsmails, sondern die privaten.

Die Rechtsgrundlage für das Archivieren

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach Art. 6 DSGVO. E-Mails enthalten fast immer solche Daten: Namen, Adressen, Signaturen, manchmal Gesundheitsdaten oder Bankverbindungen. Für das Archiv kommen zwei Grundlagen in Betracht:

Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) für alle Mails, die Sie nach § 147 AO, § 257 HGB oder § 14b UStG aufbewahren müssen. Welche das sind, steht im Beitrag darüber, welche Mails Sie überhaupt aufbewahren müssen.
Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) für geschäftliche Mails, die nicht im engeren Sinn aufbewahrungspflichtig sind, etwa weil Sie Nachweise für spätere Streitigkeiten sichern wollen oder weil eine vollständige Archivierung die einzige verlässliche Möglichkeit ist, keine pflichtige Mail zu verlieren.

Halten Sie die Archivierung als eigene Tätigkeit in Ihrem Verzeichnis von Verarbeitungstätigkeiten fest (Art. 30 DSGVO) und erwähnen Sie sie in Ihren Datenschutzhinweisen für Kunden, Lieferanten und Beschäftigte (Art. 13 und 14 DSGVO).

Löschanspruch gegen Aufbewahrungspflicht

Verlangt ein Kunde, dass Sie „alle seine Daten löschen“, kollidiert das scheinbar mit der Pflicht, seine Mails aufzubewahren. Die DSGVO löst den Konflikt selbst: Das Recht auf Löschung besteht nicht, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist (Art. 17 Abs. 3 lit. b DSGVO). Die Aufbewahrungspflicht geht also vor.

Das heißt aber nicht, dass Sie die Daten weiter beliebig nutzen dürfen. Praktisch bewährt hat sich:

Löschen, was nicht aufbewahrt werden muss, etwa den Kontakt im CRM oder Werbeverteiler.
Die archivierten Mails nur noch für den Zweck verwenden, für den sie aufbewahrt werden: Nachweis gegenüber dem Finanzamt und für Rechtsansprüche.
Dem Kunden mitteilen, welche Daten aus welchem Grund und bis wann aufbewahrt werden.
Nach Fristende die Mails tatsächlich löschen.

Für Auskunftsanfragen nach Art. 15 DSGVO ist ein durchsuchbares Archiv übrigens ein Vorteil: Sie finden in Sekunden alle Mails einer Person, statt Postfächer einzeln zu durchsuchen.

Speicherbegrenzung: nach der Frist muss Schluss sein

Die DSGVO verlangt, dass personenbezogene Daten nur so lange gespeichert werden, wie es für den Zweck erforderlich ist (Art. 5 Abs. 1 lit. e DSGVO). Ist die Aufbewahrungsfrist abgelaufen und gibt es keinen anderen Grund mehr, etwa einen laufenden Rechtsstreit oder eine Ablaufhemmung, sollten die Mails gelöscht werden. Ein Archiv „für immer“ ist datenschutzrechtlich problematisch.

Legen Sie deshalb in einem Löschkonzept fest, welche Frist gilt, wer prüft, ob Ausnahmen bestehen, und wie gelöscht wird. Wie Sie das Fristende für eine einzelne Mail berechnen, zeigt der Beitrag Fristende richtig berechnen.

Private E-Mails: das eigentliche Problem

Ein Archiv, das alle Mails eines Postfachs erfasst, erfasst auch private Mails, wenn Beschäftigte ihre dienstliche Adresse privat nutzen. Dann speichert der Arbeitgeber Inhalte, die ihn nichts angehen, und hat über das Archiv Zugriff darauf. Ob der Arbeitgeber, der private Nutzung erlaubt, dabei an das Fernmeldegeheimnis gebunden ist, ist rechtlich umstritten. Klar ist: Ohne Regel wird es unübersichtlich.

Regel	Folge für das Archiv	Einschätzung
Private Nutzung der dienstlichen Adresse verboten	Alle Mails gelten als geschäftlich und werden archiviert. Gelegentliche private Mails trotz Verbot sind geschützt wie andere Daten, der Zugriff wird begrenzt.	einfachste und klarste Lösung
Private Nutzung erlaubt, mit Einwilligung in die Archivierung	Beschäftigte willigen schriftlich ein, dass auch private Mails archiviert werden, und erfahren, wer unter welchen Bedingungen zugreifen darf.	möglich, aber Einwilligungen können widerrufen werden
Private Nutzung nur über eine eigene private Adresse	Privates läuft über Webmail im Browser, nicht über die Firmenadresse, und wird nicht archiviert.	gute Ergänzung zum Verbot
Keine Regel	Unklar, was archiviert werden darf und wer zugreifen darf.	vermeiden

Unsere Empfehlung für die meisten Betriebe: Private Nutzung der dienstlichen Adressen schriftlich ausschließen, private Mails über eine eigene Adresse im Browser erlauben und die Beschäftigten über die Archivierung informieren. Halten Sie die Regel in einer Nutzungsrichtlinie fest und nehmen Sie sie in die Verfahrensdokumentation auf, siehe die Gliederung der Verfahrensdokumentation.

Gibt es einen Betriebsrat, sprechen Sie ihn früh an. Die Einführung technischer Einrichtungen, die dazu geeignet sind, Verhalten oder Leistung der Arbeitnehmer zu überwachen, unterliegt der Mitbestimmung (§ 87 Abs. 1 Nr. 6 BetrVG). Ein E-Mail-Archiv mit Suche über alle Postfächer gehört in aller Regel dazu. Üblich ist eine Betriebsvereinbarung, die Zweck, Zugriffsrechte, Protokollierung und Löschung regelt.

Wer darf ins Archiv schauen?

Das Archiv dient der Aufbewahrung, nicht der Kontrolle von Beschäftigten. Legen Sie fest:

wer Zugang hat (zum Beispiel Geschäftsführung und Buchhaltung) und wer nicht,
zu welchen Zwecken gesucht werden darf (Steuerprüfung, Rechtsstreit, Auskunftsanfrage, Vertretung im Krankheitsfall),
dass jeder Zugriff protokolliert wird und wer das Protokoll ansieht,
dass Prüfer und Steuerberatung nur die nötigen Zeiträume und Postfächer sehen.

Bei der Betriebsprüfung müssen Sie sogar selbst dafür sorgen, dass der Prüfer nicht auf personenbezogene Daten zugreift, die er nicht braucht (GoBD Rz. 172). Wie das geht, steht im Beitrag zum Thema Zugang des Betriebsprüfers begrenzen.

Der Archivanbieter als Auftragsverarbeiter

Nutzen Sie einen Cloud-Dienst für die Archivierung, verarbeitet der Anbieter die Mails in Ihrem Auftrag. Dafür brauchen Sie einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Achten Sie darauf, dass er Folgendes regelt:

Gegenstand, Dauer, Art der Daten und betroffene Personen,
dass der Anbieter nur auf Ihre Weisung handelt und die Daten nicht für eigene Zwecke nutzt,
die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO,
alle Unterauftragsverarbeiter mit Ort der Verarbeitung,
was mit den Daten nach Vertragsende passiert.

Bei Mailarchiv leicht ist der Vertrag für jedes Konto inklusive, im Konto auch ausdrücklich abschließbar. Gespeichert wird in Rechenzentren der Hetzner Online GmbH in Deutschland, jedes Archiv ist mit einem eigenen Schlüssel verschlüsselt, und unser Zahlungsdienstleister sieht keine Archivdaten. Den vollständigen Text finden Sie in unserem Vertrag zur Auftragsverarbeitung, die Maßnahmen im Überblick unter Schutzmaßnahmen und Speicherorte im Detail.

Löschung bei Mailarchiv leicht

Bis zum Ende der Frist liegt jede Mail unter einer technischen Löschsperre: Niemand kann sie löschen, auch wir nicht. Das schützt Sie vor versehentlichem und absichtlichem Löschen. Nach Fristende ist die Sperre aufgehoben, und die Mail kann gelöscht werden.

Für das ganze Archiv gilt außerdem: Kündigen Sie, haben Sie 90 Tage Zeit für einen vollständigen Export. Danach vernichten wir den Schlüssel Ihres Archivs. Ohne Schlüssel sind die verschlüsselten Mails für niemanden mehr lesbar, auch an Stellen, an denen sie wegen der Löschsperre physisch noch bis zum Ablauf liegen. Diese Krypto-Löschung verbindet Löschsperre und Datenschutz.

Auch der Test ohne Anmeldung ist darauf ausgelegt: Die Zugangsdaten zum Postfach speichern wir verschlüsselt, die Test-Mails liegen verschlüsselt im Archiv, und nach 7 Tagen ist alles automatisch gelöscht, wenn Sie sich nicht registrieren. Sie können den Test auch sofort selbst löschen: Test ohne Anmeldung, nach 7 Tagen gelöscht.

Checkliste Datenschutz im E-Mail-Archiv

Rechtsgrundlage und Zweck im Verzeichnis der Verarbeitungstätigkeiten festgehalten
Datenschutzhinweise um die Archivierung ergänzt
Regel zur privaten Nutzung schriftlich festgelegt, Beschäftigte informiert
Betriebsrat beteiligt, wenn vorhanden
Zugriffsrechte festgelegt, Zugriffsprotokoll aktiv
Vertrag zur Auftragsverarbeitung mit dem Anbieter geschlossen
Aufbewahrungsfrist festgelegt und Löschung nach Fristende geregelt

Stand: Oktober 2026. Dieser Beitrag ist keine Rechtsberatung. Gerade bei privaten Mails, Einwilligungen und Betriebsvereinbarungen sollten Sie Ihre Datenschutzbeauftragte oder Ihren Datenschutzbeauftragten oder eine Anwältin oder einen Anwalt für Arbeitsrecht einbeziehen.

Quellen

Mailarchiv testen ohne AnmeldungJetzt testen