Verfahrensdokumentation für die E-Mail-Archivierung

Von Martin Leue, Geschäftsführer der IDO GmbH Aktualisiert am 18.10.2026

Die Verfahrensdokumentation beschreibt, wie Ihr Unternehmen E-Mails erfasst, speichert, schützt, wiederfindet und nach Fristende löscht. Die GoBD verlangen sie für jedes DV-System, also auch für das E-Mail-Archiv (Rz. 151). Für einen kleinen oder mittleren Betrieb genügen dafür meist wenige Seiten. Wichtig ist nicht der Umfang, sondern dass ein Prüfer anhand des Dokuments versteht, wie das Verfahren funktioniert, und dass es dem entspricht, was Sie tatsächlich tun.

Warum Sie eine Verfahrensdokumentation brauchen

Nach den GoBD muss für jedes DV-System eine übersichtlich gegliederte Verfahrensdokumentation vorhanden sein, aus der Inhalt, Aufbau, Ablauf und Ergebnisse des Verfahrens vollständig und schlüssig hervorgehen. Sie muss für einen sachverständigen Dritten in angemessener Zeit nachprüfbar sein (Rz. 151). Beschrieben wird der gewollte Prozess, bei elektronischen Dokumenten „von der Entstehung der Informationen über die Indizierung, Verarbeitung und Speicherung, dem eindeutigen Wiederfinden und der maschinellen Auswertbarkeit, der Absicherung gegen Verlust und Verfälschung und der Reproduktion“ (Rz. 152).

Zwei Punkte nehmen den Druck heraus und zeigen zugleich, worauf es ankommt:

Eine fehlende oder unvollständige Verfahrensdokumentation ist für sich allein kein formeller Mangel mit sachlichem Gewicht, solange die Nachvollziehbarkeit und Nachprüfbarkeit nicht leiden (Rz. 155). Sie ist aber das einfachste Mittel, genau diese Nachvollziehbarkeit zu belegen.
Der Prüfer kann die Teile der Dokumentation anfordern, die für das Verständnis des Systems nötig sind (Rz. 160). Wer sie fertig in der Schublade hat, beantwortet viele Fragen, bevor sie gestellt werden.

Die Verfahrensdokumentation selbst ist eine Organisationsunterlage. Sie muss mindestens so lange aufbewahrt werden wie die Unterlagen, zu deren Verständnis sie nötig ist (Rz. 154), und Änderungen müssen historisch nachvollziehbar sein, also mit Versionen und Datum.

Die vier Teile nach den GoBD

Die GoBD nennen vier Bestandteile, die eine Verfahrensdokumentation „in der Regel“ hat (Rz. 153). Für ein E-Mail-Archiv bedeuten sie Folgendes:

Teil	Inhalt beim E-Mail-Archiv	Wer liefert ihn
Allgemeine Beschreibung	Zweck, Umfang, Verantwortliche, welche Mails warum archiviert werden	Sie
Anwenderdokumentation	wie Beschäftigte suchen, Mails ansehen, exportieren, wer welche Rechte hat	Sie, mit der Anleitung des Anbieters
Technische Systemdokumentation	Erfassung, Speicherformat, Prüfsummen, Löschsperre, Verschlüsselung, Speicherort	überwiegend der Anbieter
Betriebsdokumentation	laufender Betrieb: Kontrollen, Umgang mit Fehlern, neue Postfächer, Datensicherung, Notfall	Sie und der Anbieter gemeinsam

Zur Betriebsdokumentation gehört auch die Beschreibung Ihres internen Kontrollsystems (Rz. 102) und Ihrer Datensicherung (Rz. 106).

Gliederung zum Übernehmen

Diese Gliederung hat sich für E-Mail-Archive bewährt. Übernehmen Sie sie und füllen Sie jeden Punkt mit ein paar Sätzen oder einer Tabelle.

Allgemeines
- Unternehmen, Anschrift, verantwortliche Person für das Archiv, Vertretung
- Zweck: Aufbewahrung nach § 147 AO, § 257 HGB und § 14b UStG
- eingesetzter Dienst mit Anbieter, Version oder Stand, Vertrag zur Auftragsverarbeitung
Umfang der Archivierung
- Liste aller archivierten Postfächer und Adressen, mit Datum des Beginns
- Abgrenzung: was nicht archiviert wird und warum
- Regelung zur privaten Nutzung der dienstlichen Adressen
Erfassung
- Weg der Erfassung: Journal- oder BCC-Regel auf dem Mailserver oder Abholung per IMAP, mit Intervall
- erfasste Ordner (Posteingang, Gesendet, weitere)
- Übernahme des Altbestands: Zeitraum, Quelle (Postfach, PST, MBOX), Datum der Übernahme
Speicherung und Unveränderbarkeit
- Format (Original-EML mit Kopfzeilen und Anhängen)
- Prüfsumme je Mail, Verkettung der Prüfsummen, regelmäßige Integritätsprüfung
- Löschsperre bis Fristende, Verschlüsselung, Speicherort und gegebenenfalls zweiter Standort
Ordnung, Index und Suche
- Indexfelder (Datum, Absender, Empfänger, Betreff, Postfach, Richtung, Anhänge)
- Such- und Filtermöglichkeiten, Volltextsuche in Anhängen
Zugriff und Berechtigungen
- wer Zugang hat, Anmeldung mit Zwei-Faktor-Verfahren
- Zugriffsprotokoll und wer es regelmäßig ansieht
- Zugang für Steuerberatung und Betriebsprüfung
Aufbewahrungsfristen und Löschung
- eingestellte Frist und Begründung
- Vorgehen nach Fristende, Umgang mit Ablaufhemmung
- Vorgehen bei Ende des Vertrags mit dem Anbieter (Export, Übernahme in ein anderes System)
Kontrollen im laufenden Betrieb
- neue Beschäftigte und neue Adressen: wer verbindet das Postfach
- Austritte: Postfach bleibt im Archiv, Zugang wird entzogen
- Fehlermeldungen (etwa geändertes Passwort eines Postfachs): wer reagiert, in welcher Zeit
- Stichprobe: einmal im Quartal eine Mail im Archiv suchen
Datenzugriff in der Außenprüfung (Z1, Z2, Z3)
Änderungshistorie (Version, Datum, Änderung, verantwortlich)

Für Punkt 2 brauchen Sie eine Entscheidung zu privaten Mails; was dafür spricht, steht im Beitrag zur Regelung zur privaten Nutzung. Für Punkt 7 hilft der Beitrag zur passenden Aufbewahrungsfrist, für Punkt 9 der Beitrag zum Datenzugriff des Prüfers.

Beispiel: so konkret sollte es sein

Viele Verfahrensdokumentationen sind zu allgemein. „Alle E-Mails werden revisionssicher archiviert“ hilft einem Prüfer nicht. So sieht ein brauchbarer Abschnitt zur Erfassung aus:

„Die Postfächer info@, rechnung@ und die persönlichen Postfächer aller Beschäftigten (Liste in Anlage 1) werden seit dem 1. November 2026 über eine Journalregel in Microsoft 365 erfasst. Der Mailserver sendet von jeder ein- und ausgehenden Mail im Moment der Zustellung eine unveränderte Kopie an die Journal-Adresse des Archivs. Mails aus der Zeit vom 1. Januar 2019 bis 31. Oktober 2026 wurden am 3. November 2026 per IMAP aus den Postfächern übernommen. Verantwortlich für neue Postfächer ist die Büroleitung.“

Wie die Journalregel eingerichtet wird, erklärt die Seite Journal-Adresse für Microsoft 365 einrichten.

Was Mailarchiv leicht für Sie ausfüllt

Den technischen Teil müssen Sie nicht selbst schreiben. Im Konto erzeugt Mailarchiv leicht unter „Verfahrensdokumentation“ ein PDF, das bereits mit Ihren Angaben ausgefüllt ist:

Ihre Firmendaten und der Stand des Dokuments,
die verbundenen Postfächer und Ihre Journal-Adresse,
die eingestellte Aufbewahrungsfrist,
die Beschreibung von Erfassung, Speicherung im Originalformat, Prüfsummen-Kette, Löschsperre, Verschlüsselung, Speicherort in Deutschland, Integritätsprüfung, Zugriffsprotokoll, Export und Prüferzugang,
Kennzahlen wie die Zahl der archivierten Mails.

Ändert sich etwas, etwa weil ein Postfach dazukommt, erzeugen Sie das PDF neu und legen die alte Fassung zu Ihren Unterlagen. So entsteht die geforderte Änderungshistorie fast von selbst. Die organisatorischen Teile, also Verantwortlichkeiten, Ihre Regel zu privaten Mails und Ihre internen Kontrollen, ergänzen Sie selbst, denn die kennt nur Ihr Unternehmen. Wie Speicherung und Schutz technisch funktionieren, lesen Sie unter Löschsperre und Prüfsummen-Kette erklärt.

Wann Sie die Dokumentation aktualisieren müssen

Eine Verfahrensdokumentation ist kein einmaliges Projekt. Die GoBD verlangen, dass sie alle System- und Verfahrensänderungen inhaltlich und zeitlich lückenlos dokumentiert (Rz. 150). Für das E-Mail-Archiv heißt das: Aktualisieren Sie die Dokumentation immer dann, wenn sich etwas an der Erfassung, der Speicherung oder den Zuständigkeiten ändert. Typische Anlässe sind:

ein neues Postfach oder eine neue Sammeladresse, etwa bewerbung@ oder service@,
ein Wechsel des Mailanbieters, zum Beispiel von einem Hoster zu Microsoft 365, und damit ein Wechsel von IMAP zur Journalregel,
eine geänderte Aufbewahrungsfrist,
eine neue verantwortliche Person oder eine neue Regel zur privaten Nutzung,
der Wechsel zu einem anderen Archivdienst, mit Angaben, wie die alten Mails übernommen wurden.

Unabhängig davon lohnt sich ein fester Termin, etwa einmal im Jahr zum Jahresabschluss. Dann prüfen Sie, ob die Liste der Postfächer noch stimmt, ob das Zugriffsprotokoll Auffälligkeiten zeigt und ob die Stichproben gemacht wurden. Notieren Sie das Ergebnis in der Änderungshistorie, auch wenn sich nichts geändert hat. So können Sie in einer Prüfung zeigen, dass das Verfahren nicht nur beschrieben, sondern auch gelebt wird.

Typische Lücken und wie Sie sie vermeiden

Die Dokumentation nennt Postfächer, die es nicht mehr gibt, und vergisst neue. Abhilfe: die Liste der Postfächer aus dem Archiv übernehmen und bei jeder Änderung neu erzeugen.
Der Altbestand fehlt. Abhilfe: dokumentieren, ab wann archiviert wird und wie ältere Mails übernommen wurden, oder warum nicht.
Niemand ist verantwortlich. Abhilfe: eine Person und eine Vertretung benennen.
Die Dokumentation beschreibt den Wunschzustand. Die GoBD verlangen, dass das beschriebene Verfahren dem tatsächlich eingesetzten Verfahren voll entspricht (Rz. 154). Schreiben Sie, was ist, nicht was sein sollte.
Es gibt keine Versionen. Abhilfe: jede Fassung mit Datum ablegen, nichts überschreiben.

Welche Anforderungen die Dokumentation am Ende belegen soll, fasst der Beitrag über die Grundsätze der GoBD für E-Mails zusammen. Wenn Sie sehen möchten, wie das Archiv arbeitet, bevor Sie die Dokumentation erzeugen: erst testen, dann die Dokumentation erzeugen. Das PDF steht nach der Registrierung im Konto bereit.

Die Gliederung ist ein Vorschlag und keine Rechts- oder Steuerberatung. Lassen Sie Ihre Verfahrensdokumentation bei Bedarf von Ihrer Steuerberatung durchsehen; sie kennt die übrigen Systeme Ihres Unternehmens, die ebenfalls dokumentiert sein müssen.

Quellen

Mailarchiv testen ohne AnmeldungJetzt testen