GoBD Verfahrensdokumentation für E-Mail erstellen
Die Betriebsprüfung ist angekündigt, und der Prüfer fragt nach der Verfahrensdokumentation für Ihr E-Mail-Archiv. In vielen Unternehmen gibt es sie nicht oder sie beschreibt ein System, das längst ersetzt wurde. Dieser Artikel zeigt, was die GoBD verlangen, woraus die Dokumentation besteht und wie Sie sie Schritt für Schritt erstellen.
Was ist eine Verfahrensdokumentation und wann ist sie nötig?
Eine Verfahrensdokumentation beschreibt schriftlich, wie ein DV-gestütztes Verfahren arbeitet: wie Daten entstehen, verarbeitet, aufbewahrt und nach Fristablauf gelöscht werden. Sie soll es einem sachkundigen Dritten, etwa einem Betriebsprüfer, ermöglichen, das Verfahren in angemessener Zeit nachzuvollziehen. Die GoBD regeln das in den Rz. 151 bis 155.
Sie gilt für alle Systeme, die steuerrelevante Daten verarbeiten. E-Mails können Handels- und Geschäftsbriefe oder Buchungsbelege sein, das hat auch der BFH im Beschluss XI R 15/23 vom 30. April 2025 bestätigt. Damit gehört das E-Mail-Archiv in den Geltungsbereich. Die Dokumentation muss außerdem frühere Verfahrensstände abbilden, solange die Unterlagen aufbewahrt werden müssen. Wer das System wechselt oder die Konfiguration ändert, versioniert die Dokumentation und hebt die alten Fassungen auf.
Fehlt die Verfahrensdokumentation oder ist sie unvollständig, kann das Finanzamt dies als formellen Mangel werten. Bei erheblichen Mängeln drohen Hinzuschätzungen nach § 162 AO.
Die Aufbewahrungsfristen, die Sie dokumentieren, ergeben sich aus § 257 HGB und § 147 AO:
- 6 Jahre: Handels- und Geschäftsbriefe
- 8 Jahre: Buchungsbelege inklusive Rechnungen (seit 1. Januar 2025 durch das BEG IV, auch für Belege, deren alte 10-Jahres-Frist am 31. Dezember 2024 noch nicht abgelaufen war; Banken, Versicherer und Wertpapierfirmen ein Jahr später)
- 10 Jahre: Bücher, Jahresabschlüsse und Organisationsunterlagen
Die Frist beginnt am Ende des Kalenderjahres. Mehr dazu in unserem Beitrag zur E-Mail-Archivierung nach GoBD.
Die 4 Bestandteile einer Verfahrensdokumentation
1. Allgemeine Beschreibung
Ein kurzer Überblick, ein bis drei Seiten:
- Zweck des Systems und rechtliche Grundlagen (§ 147 AO, § 257 HGB, GoBD)
- Geltungsbereich: welche Domains, Postfächer und Organisationseinheiten einbezogen sind
- Verantwortliche im Unternehmen
- Einbettung in die IT-Landschaft: Mailserver, ERP, Buchhaltung
2. Anwenderdokumentation
Sie beschreibt das System aus Sicht der Nutzer:
- Rollen und Zugriffsrechte, Vergabe und Entzug
- Suchfunktionen: wonach gesucht werden kann
- Abruf und Export, Formate
- Ablauf bei einer Betriebsprüfung: wer exportiert was für den Prüfer
Ein neuer Mitarbeiter sollte die Bedienung allein daraus verstehen können.
3. Technische Systemdokumentation
Der umfangreichste Teil:
- Architektur und Standort der Datenhaltung (Rechenzentrum, Land, Anbieter)
- Datenfluss: wie und wann eine E-Mail ins Archiv gelangt, welche Ausnahmen es gibt
- Verschlüsselung und Schutz vor Veränderung
- Indexierung und Suche
- Datensicherung
- Schnittstellen zu E-Mail-Servern
- Versionsverlauf des Systems
Bei SaaS-Lösungen kann der Anbieter Angaben zu Architektur, Verschlüsselung und Rechenzentrum liefern. Ihre eigene Konfiguration beschreibt er nicht.
4. Betriebsdokumentation
Sie hält fest, was im laufenden Betrieb passiert:
- Zugriffsprotokoll und Auditlog
- Änderungen an Fristen, Regeln und Rechten
- Störungen und Ausfälle, Sicherstellung der Erfassung
- Datenmigration
- Löschung nach Fristablauf: wer sie veranlasst und wie sie nachweisbar ist
Hier scheitern die meisten Dokumentationen. Ohne lückenloses Auditlog lässt sich dieser Teil nicht belastbar schreiben.
Schritt für Schritt zur Verfahrensdokumentation
Schritt 1: Bestandsaufnahme
Halten Sie schriftlich fest: Welches Archiv ist seit wann im Einsatz? Welche E-Mail-Systeme sind angebunden? Welche Postfächer und Domains werden archiviert und welche nicht? Wo liegen die Daten? Wer hat welchen Zugriff? Welche Fristen sind konfiguriert? Wie werden Zugriffe protokolliert?
Schritt 2: Angaben vom Anbieter einholen
Fragen Sie nach Systemarchitektur, Standort des Rechenzentrums, Verschlüsselung, Datensicherung und einem Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Eine "GoBD-Zertifizierung" können Sie nicht verlangen: Eine amtliche Zertifizierung für Software gibt es nicht. Konformität ergibt sich aus Software, Prozessen und Ihrer Dokumentation zusammen.
Schritt 3: Die vier Teile schreiben
Schreiben Sie für einen sachkundigen Dritten, der Ihr System nicht kennt. Übernehmen Sie keine Marketingbegriffe, sondern erklären Sie, was technisch passiert. Nennen Sie konkrete Daten und Versionen und dokumentieren Sie Ausnahmen, etwa nicht archivierte Postfächer.
Schritt 4: Pflegen und versionieren
Aktualisieren Sie die Dokumentation bei jeder Änderung, heben Sie alte Fassungen mit Gültigkeitszeitraum auf, benennen Sie einen Verantwortlichen und prüfen Sie den Stand mindestens einmal im Jahr.
Praxis: Verfahrensdokumentation mit EasyMailArchive
EasyMailArchive liefert keine fertige Verfahrensdokumentation. Die technischen Angaben für Teil 3 und 4 lassen sich aber direkt aus dem System übernehmen:
- Erfassung einrichten: Richten Sie in Microsoft 365, Exchange 2013 oder neuer, Google Workspace oder Postfix eine BCC- bzw. Journalregel an
[email protected]ein, oder binden Sie ein Postfach per IMAP an (alle Ordner, auch Gesendete). Die Schritte stehen in der Anleitung Journaling einrichten. Dokumentieren Sie, welche Domains und Postfächer erfasst werden. - Bestand importieren: Vorhandene E-Mails lassen sich per IMAP, Microsoft 365 oder Google Workspace mit Deduplizierung nachladen. Notieren Sie Datum und Umfang des Imports.
- Fristen festlegen: Legen Sie Aufbewahrungsregeln je Organisation, Domain oder Postfach fest, bis zu 10 Jahre in Starter und Business. Einzelne E-Mails lassen sich nicht löschen, gelöscht wird nur automatisch nach Fristablauf. Eine Legal Hold (ab Business) blockiert die Löschung.
- Rollen vergeben: Es gibt die Rollen Admin, Auditor und Nutzer, Anmeldung per SSO über OIDC (Microsoft Entra ID, Google, Okta) und TOTP-Zwei-Faktor-Authentifizierung. Tragen Sie die Zuordnung in die Anwenderdokumentation ein.
- Sicherheit beschreiben: Die Daten sind mit AES-256 und einem eigenen Schlüssel je Kunde verschlüsselt, die Übertragung läuft über TLS, jeder Kunde hat eine eigene Datenbank. Gehostet wird im Rechenzentrum der WITT AG in Deutschland.
- Betriebsnachweise sichern: Das Auditlog protokolliert jede Aktion und lässt sich als CSV exportieren. Für Prüfer gibt es den Export als Original-EML (einzeln und gesammelt) und als PDF mit SHA-256-Prüfsummen, ab Business auch digital signiert. Gesucht wird im Volltext über Inhalt, Absender, Empfänger, Betreff, Datum und Textanhänge, Suchen lassen sich speichern.
Vorlage zum Download
Für Kunden von EasyMailArchive gibt es eine Vorlage, in der Erfassung, Speicherung, Aufbewahrung, Protokollierung und Export bereits beschrieben sind. Sie ergänzen Ihre Angaben in den eckigen Klammern. Dazu eine einseitige Produktbeschreibung zur Übernahme in Ihre eigene Dokumentation.
Muster-Gliederung
Verfahrensdokumentation E-Mail-Archivierung Version: x.x | Gültig ab: Datum | Verantwortlich: Name, Funktion
Teil 1: Allgemeine Beschreibung
1.1 Zweck, Geltungsbereich, Rechtsgrundlagen (§ 147 AO, § 257 HGB, GoBD), einbezogene Domains und Postfächer, Ausnahmen mit Begründung
1.2 Verantwortlichkeiten: Systemverantwortlicher, Fachverantwortlicher, Ansprechpartner für Betriebsprüfungen
1.3 Einbettung in die IT-Landschaft: angebundene E-Mail-Systeme, Schnittstellen, Datenfluss
Teil 2: Anwenderdokumentation
2.1 Rollen und Zugriffsrechte (Tabelle: Rolle, Berechtigung, Vergabeprozess)
2.2 Zugriff im Tagesbetrieb: Suche, Abruf, Export
2.3 Besondere Anlässe: Betriebsprüfung, Auskunftsanfragen nach Art. 15 DSGVO, Legal Hold
Teil 3: Technische Systemdokumentation
3.1 Systembeschreibung: Produkt, Anbieter, Versionsverlauf, Architektur, Standort der Daten
3.2 Archivierungsprozess: Ablauf vom Eingang bis zur Speicherung, Zeitpunkt, Filterregeln, Umgang mit Anhängen
3.3 Schutz vor Veränderung: Verschlüsselung, Zugriffsschutz, Protokollierung
3.4 Datensicherung und Wiederherstellung
3.5 Aufbewahrungsfristen: Tabelle mit Kategorie, Frist, Rechtsgrundlage, und Löschprozess nach Fristablauf
Teil 4: Betriebsdokumentation
4.1 Auditlog: erfasste Ereignisse, Aufbewahrung, Auswertung
4.2 Änderungsmanagement: Ablauf, Freigabe, Dokumentation
4.3 Störungsmanagement: Eskalation, Sicherstellung der Erfassung, Meldepflichten nach Art. 33 DSGVO
4.4 Änderungsverlauf dieser Dokumentation: Version, Datum, Beschreibung, Autor
Weiterführende Artikel
Wie sich Unveränderbarkeit technisch umsetzen lässt, erklärt der Beitrag zur revisionssicheren E-Mail-Archivierung. Wer Microsoft 365 nutzt, findet die Anbindung unter Microsoft 365 E-Mails archivieren.
Die aktuellen Preise finden Sie online, mit 30 Tagen kostenlos testen können Sie ohne Kreditkarte starten.
Dieser Artikel gibt die Rechtslage allgemein wieder und ist keine Rechts- oder Steuerberatung.