Muss ich archivierte E-Mails auf Verlangen nach der DSGVO löschen?

Nicht, solange eine gesetzliche Aufbewahrungspflicht besteht. Art. 17 Abs. 3 lit. b DSGVO nimmt Daten vom Löschanspruch aus, die Sie zur Erfüllung einer rechtlichen Pflicht verarbeiten müssen, etwa nach § 257 HGB oder § 147 AO. Mit Ablauf der Frist entfällt die Ausnahme, und die Daten müssen gelöscht werden.

Wann müssen archivierte E-Mails nach der DSGVO gelöscht werden?

Sobald der Zweck und die gesetzliche Aufbewahrungsfrist entfallen sind. Der Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) verlangt die Löschung auch ohne Antrag der betroffenen Person.

Wie lange gilt die Aufbewahrungspflicht für E-Mails?

Handels- und Geschäftsbriefe sechs Jahre, Buchungsbelege wie Rechnungen acht Jahre, Bücher, Jahresabschlüsse und Organisationsunterlagen zehn Jahre. Die gesetzliche Frist beginnt mit dem Ende des Kalenderjahres, in dem die Unterlage entstanden ist.

Was kann ich tun, wenn jemand die Verarbeitung bestreitet?

Die betroffene Person kann nach Art. 18 DSGVO die Einschränkung der Verarbeitung verlangen. Die Daten bleiben dann gespeichert, dürfen aber nur noch eingeschränkt genutzt werden. Die Aufbewahrungspflicht bleibt davon unberührt.

E-Mail-Archivierung und DSGVO: Löschpflicht richtig lösen

Ein ehemaliger Mitarbeiter verlangt die Löschung aller E-Mails, die er gesendet und empfangen hat. Rechtsgrundlage: Art. 17 DSGVO. Gleichzeitig läuft die Aufbewahrungspflicht nach § 147 AO noch Jahre. Der Konflikt ist lösbar, wenn Sie wissen, welche Pflicht wann Vorrang hat.

Zwei Pflichten, ein Dokument

Die DSGVO verlangt, personenbezogene Daten nicht länger zu speichern, als es für den Zweck erforderlich ist (Art. 5 Abs. 1 lit. e DSGVO, Speicherbegrenzung). Betroffene haben nach Art. 17 DSGVO einen Anspruch auf Löschung.

Das Handels- und Steuerrecht verlangt dagegen die Aufbewahrung:

6 Jahre: Handels- und Geschäftsbriefe (§ 257 HGB, § 147 AO)
8 Jahre: Buchungsbelege, auch Rechnungen (seit 1. Januar 2025 durch das Vierte Bürokratieentlastungsgesetz, bisher 10 Jahre; die Verkürzung gilt für alle Unterlagen, deren alte Frist am 31. Dezember 2024 noch nicht abgelaufen war; für Banken, Versicherer und Wertpapierinstitute ein Jahr später)
10 Jahre: Bücher, Jahresabschlüsse und Organisationsunterlagen

Die Frist beginnt jeweils mit dem Ende des Kalenderjahres, in dem die Unterlage entstanden ist. Dass E-Mails darunterfallen können, hat der Bundesfinanzhof mit Beschluss vom 30. April 2025 (XI R 15/23) bestätigt: Eine E-Mail kann ein Handels- oder Geschäftsbrief sein.

Warum die DSGVO die Archivierung erlaubt

Art. 6 Abs. 1 lit. c DSGVO erlaubt die Verarbeitung, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist. Die Aufbewahrungspflichten aus HGB und AO sind eine solche Verpflichtung. Eine Einwilligung der betroffenen Personen brauchen Sie dafür nicht.

Löschantrag während der Frist

Gegen einen Löschantrag greift die Ausnahme in Art. 17 Abs. 3 lit. b DSGVO: Kein Löschanspruch, soweit die Verarbeitung zur Erfüllung einer rechtlichen Pflicht erforderlich ist. Das gilt nur für E-Mails, die tatsächlich aufbewahrungspflichtig sind. Privater oder rein informeller Mailverkehr ohne Geschäftsbriefcharakter fällt nicht darunter.

So gehen Sie vor:

Prüfen Sie, ob die betroffene Person im Archiv vorkommt und welche E-Mails es sind.
Ordnen Sie die E-Mails einer Kategorie zu (Geschäftsbrief, Buchungsbeleg, sonstige Unterlage) und bestimmen Sie das Fristende.
Lehnen Sie den Antrag für aufbewahrungspflichtige E-Mails schriftlich ab. Nennen Sie die Norm (§ 257 HGB oder § 147 AO), das Fristende und Art. 17 Abs. 3 lit. b DSGVO.
Prüfen Sie, ob nicht aufbewahrungspflichtige E-Mails der Person gelöscht werden müssen.
Dokumentieren Sie Prüfung und Antwort. Die Antwortfrist nach Art. 12 Abs. 3 DSGVO beträgt einen Monat.

Bestreitet die Person die Rechtmäßigkeit der Verarbeitung, kann sie nach Art. 18 DSGVO die Einschränkung verlangen. Die Daten bleiben dann gespeichert, werden aber nur noch für die Aufbewahrung und Rechtsverfolgung genutzt.

Nach Fristablauf: Löschpflicht

Mit dem Fristende entfällt die Ausnahme. Ohne anderen Erlaubnistatbestand, etwa eine laufende Betriebsprüfung oder einen Rechtsstreit, müssen die E-Mails gelöscht werden, auch ohne Antrag. Wer E-Mails aus Bequemlichkeit unbegrenzt aufbewahrt, verstößt gegen Art. 5 Abs. 1 lit. e DSGVO.

Ein Löschkonzept braucht deshalb drei Dinge: feste Fristen je Kategorie, automatische Löschung nach Fristende und eine Dokumentation im Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO).

Umsetzung mit EasyMailArchive

Erfassen: Richten Sie eine Journal- oder BCC-Regel auf Ihre Archivadresse ein (Microsoft 365, Exchange 2013 und neuer, Google Workspace, Postfix) oder lassen Sie Postfächer per IMAP abrufen. Bestehende E-Mails importieren Sie per IMAP, Microsoft 365 oder Google Workspace. Die Anleitung finden Sie unter E-Mail-Journaling einrichten.
Aufbewahrungsregeln anlegen: Legen Sie die Dauer pro Organisation, Domain oder Postfach fest, bis zu 10 Jahre in Starter und Business. Typisch sind 6 Jahre für Postfächer mit Geschäftsbriefen und 8 oder 10 Jahre dort, wo Rechnungen und Buchungsbelege liegen.
Löschung abwarten: EasyMailArchive löscht E-Mails automatisch, sobald die Aufbewahrungsdauer endet. Einzelne E-Mails lassen sich nicht manuell löschen. Das Archiv hat bewusst keine Löschfunktion für Einzelnachrichten, und es gibt keinen eigenen Workflow für Löschanträge. Anträge bearbeiten Sie wie oben beschrieben außerhalb des Archivs.
Löschung sperren: Ab dem Tarif Business verhindert ein Legal Hold die automatische Löschung, zum Beispiel bei einem laufenden Verfahren.
Nachweisen: Das Audit-Log protokolliert jede Aktion und lässt sich als CSV exportieren. Zugriffe regeln Sie mit den Rollen Admin, Auditor und Benutzer.

Fristen in ganzen Jahren rechnet EasyMailArchive wie das Gesetz bis zum Ende des Kalenderjahres: Eine E-Mail aus dem Jahr 2026 mit 8 Jahren Aufbewahrung wird frühestens nach dem 31. Dezember 2034 gelöscht. Für importierte ältere E-Mails zählt das Datum der E-Mail.

Die Daten sind pro Kunde mit AES-256 verschlüsselt, liegen in einer eigenen Datenbank und werden im Rechenzentrum der WITT AG in Deutschland gehostet.

Mehr zu Fristen und Pflichten lesen Sie in E-Mail-Archivierung nach GoBD und Wer muss E-Mails archivieren?. Preise finden Sie unter /pricing. Mit der 30-tägigen kostenlosen Testphase ohne Kreditkarte richten Sie Ihre Aufbewahrungsregeln direkt ein.

Dieser Artikel gibt die Rechtslage allgemein wieder und ist keine Rechts- oder Steuerberatung.