Jede geschäftliche Nachricht wiederfinden – auch in zehn Jahren

Elektronische Post ist rechtlich kein Sonderfall. Trägt eine Nachricht den Charakter eines Handelsbriefs oder eines Buchungsbelegs, gelten für sie dieselben Grundsätze wie für ein Schriftstück: Sie muss vollständig, richtig, zeitgerecht, geordnet und unveränderbar aufbewahrt und über die gesamte Frist lesbar gehalten werden. Die Verwaltung fasst diese Anforderungen in den Grundsätzen zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form zusammen, kurz GoBD.

Dabei kommt es auf den Inhalt an, nicht auf das Format. Eine Nachricht, die lediglich eine bereits archivierte Rechnung als Anhang transportiert, hat einen anderen Stellenwert als eine Nachricht, in deren Text eine Preiszusage oder eine Vertragsänderung steht. Genau diese Unterscheidung ist in der Praxis kaum vorab automatisierbar – weshalb die meisten Unternehmen sich für die vollständige Erfassung entscheiden und die Bewertung der Fristen an die Ablage anschließen.

Wir sagen an dieser Stelle ausdrücklich: Diese Leistung ist die technische Umsetzung und ersetzt keine Rechts- oder Steuerberatung. Welche Fristen für Ihre Unterlagen konkret gelten, welche Nachrichtentypen darunterfallen und wie Ihre Verfahrensdokumentation auszusehen hat, bestimmt Ihr Steuerberater oder Rechtsbeistand. Wir nehmen dessen Vorgaben entgegen, bilden sie im System ab und dokumentieren die Konfiguration so, dass er sie prüfen kann.

Auf Wunsch nehmen wir an einem gemeinsamen Termin teil und übersetzen die fachlichen Anforderungen in Konfigurationsentscheidungen. Diese Abstimmung vor der Einrichtung erspart erfahrungsgemäß einen späteren Umbau des gesamten Regelwerks.

Diese Verwechslung begegnet uns regelmäßig, und sie ist folgenreich. Eine Datensicherung dient der Wiederherstellung: Sie hält Zustände vor, um nach einem Schaden zu einem früheren Punkt zurückzukehren, und sie wird nach einer gewissen Zeit planmäßig überschrieben. Ein Archiv dient dem Nachweis: Es hält einzelne Nachrichten über Jahre unveränderbar vor und muss gezielt durchsuchbar sein.

Aus den unterschiedlichen Zwecken folgen unterschiedliche Eigenschaften. Aus einer Sicherung lässt sich schlecht eine bestimmte Nachricht eines bestimmten Absenders aus dem übernächsten Quartal vor drei Jahren hervorholen – man müsste den passenden Stand suchen, ihn zurückspielen und dann darin suchen. Umgekehrt bringt Ihnen ein Archiv nichts, wenn ein Postfach versehentlich gelöscht wurde und die Anwenderin mit ihrer gewohnten Ordnerstruktur weiterarbeiten muss.

Deshalb betreiben wir beides parallel und mit getrennten Aufbewahrungsregeln. Wer das Archiv als Ersatz für die Sicherung ansetzt, hat im Schadensfall zwar den Nachweis, aber keinen funktionierenden Arbeitsstand.

Technisch gibt es zwei Wege. Der eine liest die Postfächer regelmäßig aus und übernimmt, was er dort vorfindet. Der andere – das Journaling – lässt sich vom Mailsystem von jeder ein- und ausgehenden Nachricht eine Kopie an eine dedizierte Adresse ausleiten, und zwar am Transportweg, bevor die Nachricht überhaupt zugestellt wird.

Für eine belastbare Aufbewahrung ist der zweite Weg der richtige. Er erfasst auch die Nachricht, die eine Mitarbeiterin nach zwei Minuten wieder löscht, und er ist unabhängig davon, ob jemand seine Ordner pflegt. Der Journaleintrag enthält zudem die vollständigen Angaben über Absender und alle Empfänger, einschließlich verdeckt gesetzter Kopien und der Auflösung von Verteilern – Informationen, die im zugestellten Postfacheintrag so nicht mehr vorliegen.

Wir richten das Journal so ein, dass es sowohl interne als auch externe Korrespondenz erfasst, prüfen die Regel nach jeder Änderung an Domänen oder Verteilern und überwachen den Journalfluss laufend. Ein stillgefallenes Journal, das erst nach Monaten auffällt, hinterlässt eine Lücke, die sich nicht mehr schließen lässt.

Der Vollständigkeit halber: Auch Nachrichten aus Fachanwendungen, die über Ihre Domäne versenden – etwa Rechnungsversand aus der Warenwirtschaft –, gehören in die Erfassung. Diese Versandwege werden bei der Ersteinrichtung häufig übersehen.

Microsoft 365 bringt eigene Funktionen zur Aufbewahrung mit: Richtlinien, die das Löschen für einen definierten Zeitraum verhindern, ein erweitertes Onlinearchiv sowie Recherchewerkzeuge für rechtliche Auseinandersetzungen. Für einen Teil der Anforderungen reicht das aus, und wir sagen das auch, statt reflexhaft ein zusätzliches Produkt zu verkaufen.

Es gibt allerdings Punkte, die man vorher kennen sollte. Die Aufbewahrung liegt in derselben Verwaltungsumgebung wie die Postfächer, weshalb ein übernommenes Administratorkonto beide Seiten betrifft. Der Funktionsumfang hängt stark von der gebuchten Lizenzstufe ab, und was heute in Ihrem Plan enthalten ist, kann sich ändern. Beim Wechsel des Anbieters oder beim Abschalten von Abonnements stellt sich die Frage, in welcher Form die Bestände das System verlassen. Und ein reiner Löschschutz erzeugt noch keine Verfahrensdokumentation.

Ein eigenständiges Archiv – im eigenen Haus oder bei einem europäischen Betreiber – schafft hier Unabhängigkeit: getrennte Verwaltung, eigene Berechtigungen, geordneter Export und ein Bestand, der auch nach einem Plattformwechsel erhalten bleibt. Wir stellen beide Wege mit Kosten und Aufwand nebeneinander und entscheiden anhand Ihrer Anforderungen an Unabhängigkeit, Nachweisführung und Betriebsdauer.

Für hybride Umgebungen mit einem verbleibenden lokalen Mailserver richten wir die Erfassung so ein, dass beide Wege in denselben Bestand münden und keine Nachricht durch die Lücke zwischen den Systemen fällt.

Sobald ein Archiv vorhanden ist, lässt es sich für einen zweiten Zweck nutzen. Ältere Nachrichten und besonders große Anhänge werden nach definierten Regeln aus dem Postfach entfernt und durch einen Verweis ersetzt, über den sie weiterhin mit einem Klick erreichbar bleiben. Für die Anwenderin ändert sich am Arbeitsablauf wenig, für das System eine Menge: kleinere Postfächer, schnellere Suche, kürzere Synchronisation auf Notebooks und Smartphones.

Wie weit diese Auslagerung geht, stimmen wir mit den Fachbereichen ab. Wer täglich in Vorgängen aus dem Vorjahr arbeitet, braucht andere Regeln als die Buchhaltung. Wir beginnen bewusst zurückhaltend und verschärfen die Regeln erst, wenn der Umgang im Alltag eingespielt ist.

Ein eigener Arbeitsschritt ist die Übernahme dessen, was sich über die Jahre angesammelt hat: lokale Archivdateien auf einzelnen Rechnern, Postfächer ausgeschiedener Mitarbeitender, Bestände aus einem abgelösten Vorgängersystem. Wir sammeln diese Quellen ein, prüfen sie auf Lesbarkeit, entfernen Dubletten und führen sie in den Archivbestand über. Erfahrungsgemäß ist das der aufwendigste Teil eines Archivierungsprojekts – und der, der die meisten Überraschungen birgt.

Nach der Übernahme ist die geschäftliche Korrespondenz eines ausgeschiedenen Mitarbeiters unabhängig von seinem Postfach verfügbar. Das Postfach selbst kann damit nach dem vereinbarten Zeitraum aufgelöst werden, statt jahrelang als Karteileiche Lizenzkosten zu verursachen.

Der Wert eines Archivs zeigt sich in dem Moment, in dem etwas gesucht wird. Ein Kunde bestreitet eine Terminzusage, ein Lieferant eine Preisvereinbarung, eine Prüferin fragt nach der Korrespondenz zu einem bestimmten Vorgang. Dann muss sich innerhalb kurzer Zeit nachweisen lassen, was wann an wen ging.

Wir richten dafür abgestufte Rechte ein. Anwender sehen ihre eigene Korrespondenz und finden darin, was sie im Alltag brauchen. Übergreifende Recherchen über mehrere Postfächer hinweg sind an einen definierten Personenkreis gebunden, laufen nach einem vereinbarten Verfahren ab und werden vollständig protokolliert – wer wann wonach gesucht und was eingesehen hat. Diese Protokollierung schützt beide Seiten und ist bei Mitbestimmung regelmäßig die Voraussetzung dafür, dass eine Betriebsvereinbarung zustande kommt.

Gefundene Vorgänge lassen sich als abgeschlossener Satz exportieren, mit den technischen Kopfdaten, die die Zustellung belegen. Für Prüfungssituationen richten wir auf Wunsch einen zeitlich und inhaltlich begrenzten Zugang ein, der nur den angeforderten Ausschnitt zeigt statt des gesamten Bestands.

Wichtig ist auch der umgekehrte Fall: Läuft ein Verfahren, dürfen betroffene Nachrichten nicht durch die normalen Löschregeln entfernt werden. Wir setzen dafür eine gezielte Sperre auf den betroffenen Bestand, die die reguläre Frist aussetzt, bis sie aufgehoben wird.

Aufbewahrungspflicht und Datenschutz ziehen in unterschiedliche Richtungen. Das Handels- und Steuerrecht verlangt, bestimmte Unterlagen über Jahre vorzuhalten; die Datenschutz-Grundverordnung verlangt, personenbezogene Daten nicht länger zu speichern, als es der Zweck erfordert. Beides zusammen bedeutet: Ein Archiv, das alles unbegrenzt behält, ist nicht die sichere Variante, sondern eine eigene Angriffsfläche.

Wir bilden deshalb ein Löschkonzept ab. Nach Ablauf der jeweils vorgegebenen Frist werden Bestände nachvollziehbar entfernt, mit dokumentiertem Löschlauf und Protokoll. Welche Fristen dabei anzusetzen sind und wie unterschiedliche Nachrichtentypen zu klassifizieren sind, gibt erneut Ihr Steuerberater beziehungsweise Ihr Datenschutzbeauftragter vor – wir setzen es um und machen die Wirkung der Regeln vorab an Beispielen sichtbar, bevor irgendetwas tatsächlich gelöscht wird.

Ein eigener Punkt ist die private Nutzung des dienstlichen Postfachs. Wo sie erlaubt oder stillschweigend geduldet wird, erschwert das die vollständige Erfassung erheblich, weil private Kommunikation besonderen Schutz genießt. Der saubere Weg ist eine klare Regelung – häufig ein Verbot der privaten Nutzung mit gleichzeitigem Angebot eines anderen Wegs – die Sie mit Personalvertretung und Datenschutzbeauftragtem treffen. Wir liefern die technischen Möglichkeiten, etwa die Kennzeichnung privater Nachrichten durch die Anwender selbst, und weisen auf die Konsequenzen jeder Variante hin.

Ebenso gehört die Auskunftsfähigkeit dazu: Verlangt eine Person Auskunft über die zu ihr gespeicherten Daten, muss sich das Archiv gezielt danach durchsuchen lassen. Ein Bestand, der nur chronologisch abgelegt ist, macht diese Auskunft zur Suchaktion.