Mail Archivierung: Pflicht, Fristen & DSGVO in Österreich

Mail Archivierung bedeutet, geschäftliche E-Mails samt Anhängen vollständig, geordnet und unveränderbar so aufzubewahren, dass sie über Jahre auffindbar und nachweisbar bleiben.

Für österreichische Unternehmen ist das keine Frage der Zweckmäßigkeit, sondern eine gesetzliche Pflicht. Sobald eine E-Mail einen Geschäftsvorgang dokumentiert – ein Angebot, eine Auftragsbestätigung, eine Rechnung, eine Abnahme – gilt sie als Geschäftsbrief oder Beleg und unterliegt damit denselben Aufbewahrungsvorschriften wie ein Schriftstück auf Papier.

In der Praxis führt das zu einem Missverständnis mit Folgen: "Ist doch alles im Postfach" genügt nicht. Dieser Artikel zeigt, welche E-Mails betroffen sind, wie lange sie aufbewahrt werden müssen, was "revisionssicher" konkret bedeutet und wie sich Aufbewahrungspflicht und Datenschutz zusammenbringen lassen.

Inhaltsverzeichnis

• Was Mail Archivierung bedeutet – und was nicht
• Die gesetzliche Pflicht in Österreich: UGB und BAO
• Welche E-Mails archiviert werden müssen
• Aufbewahrungsfristen und Löschkonzept
• Revisionssicher archivieren: die technischen Anforderungen
• Mail Archivierung und DSGVO
• Einführung in der Praxis: Microsoft 365, Cloud oder eigener Server
• Fazit – Mail Archivierung
• FAQ zur Mail Archivierung

Was Mail Archivierung bedeutet – und was nicht

Ein Archiv erfasst geschäftliche Nachrichten automatisch, speichert sie unveränderbar und macht sie über eine Suche jederzeit auffindbar – unabhängig davon, ob die Nachricht im Postfach noch existiert.



Damit unterscheidet sich Archivierung grundlegend von zwei Dingen, mit denen sie häufig verwechselt wird.

Archivierung ist kein Backup

Ein Backup erstellt Sicherungskopien, um Systeme nach einem Ausfall wiederherzustellen. Es ist zeitpunktbezogen, wird nach einiger Zeit überschrieben und ist nicht dafür gebaut, einzelne Nachrichten über Jahre nachzuweisen.

In einer Betriebsprüfung zählt, ob Unterlagen vollständig, geordnet und inhaltsgleich vorgelegt werden können. Existieren nur Backups, wird die Suche nach einzelnen Nachrichten aufwendig, die Wiederherstellung riskant und die Nachvollziehbarkeit von Löschungen ist meist nicht belegbar. Wie eine Sicherungsstrategie daneben aussieht, behandelt der Beitrag zum Cloud Backup.

Ein volles Postfach ist kein Archiv

Das Postfach ist ein Arbeitswerkzeug. Ordnerstrukturen unterscheiden sich von Person zu Person, Nachrichten werden verschoben, gelöscht oder lokal abgelegt, und der Zugriff hängt am Benutzerkonto.

Daraus entstehen drei typische Lücken:



• Personenabhängigkeit: Verlässt jemand das Unternehmen, ist die Korrespondenz oft nicht mehr auffindbar
• Fehlende Protokollierung: Ob eine Nachricht gelöscht oder verändert wurde, lässt sich nicht nachweisen
• Sammelpostfächer: Adressen wie office@ oder buchhaltung@ werden von mehreren Personen genutzt, ohne dass klar ist, wer was abgelegt hat

Ein Archiv entkoppelt die Aufbewahrung vom individuellen Ablageverhalten. Genau das ist sein eigentlicher Zweck.

Die gesetzliche Pflicht in Österreich: UGB und BAO

In Österreich gibt es kein eigenes "E-Mail-Gesetz". Die Pflicht ergibt sich aus den allgemeinen Vorschriften zur Aufbewahrung von Geschäftsunterlagen – und die stellen auf den Inhalt ab, nicht auf das Medium.

Zwei Rechtsbereiche sind maßgeblich:

• Das Unternehmensgesetzbuch (UGB) regelt die Aufbewahrung von Büchern, Belegen und Geschäftsbriefen. Die einschlägige Bestimmung findet sich in § 212 UGB.
• Die Bundesabgabenordnung (BAO) regelt die steuerliche Aufbewahrungspflicht und die Vorlagepflicht im Abgabenverfahren. Das Unternehmensserviceportal fasst die Aufbewahrungspflicht und ihre Dauer zusammen.

Gilt das auch für kleine Unternehmen?

Ja. Die Pflicht entsteht durch Inhalte und Geschäftsvorfälle, nicht durch Unternehmensgröße. Auch ein Einpersonenunternehmen muss Rechnungen, Auftragsbestätigungen und Geschäftskorrespondenz aufbewahren.

Der Umfang unterscheidet sich allerdings je nach Geschäftsmodell. Ein projektorientierter Dienstleister dokumentiert Freigaben, Abnahmen und Änderungswünsche überwiegend per E-Mail und hat entsprechend hohe Nachweisbedarfe. Ein Betrieb mit standardisiertem Barverkauf erzeugt deutlich weniger nachweisrelevante Korrespondenz.

Wann wird eine E-Mail zum Geschäftsbrief?

Eine E-Mail wird relevant, sobald sie den Abschluss, die Änderung oder die Durchführung eines Geschäfts dokumentiert. Das betrifft nicht nur formell verfasste Schreiben.

Auch eine kurze Antwort wie "passt so, bitte umsetzen" kann im Projektgeschäft der entscheidende Nachweis sein. Maßgeblich ist die Funktion im Geschäftsprozess, nicht der Betreff und nicht die Länge.



Wichtig für die Praxis: Inhalt, Kopfzeilen und Anhänge gehören zusammen. Eine Rechnung als PDF in der Buchhaltung abzulegen, kann genügen – der Versand- oder Empfangsnachweis über die E-Mail kann im Streitfall aber ebenso entscheidend sein.

Welche E-Mails archiviert werden müssen

Statt einzelner Listen hilft eine Prüfung anhand von vier Kriterien:

1. Dokumentiert die E-Mail einen Geschäftsvorgang oder eine Entscheidung?
2. Hat sie steuerliche Relevanz oder Belegcharakter?
3. Wäre der Inhalt in einem Streitfall beweisrelevant?
4. Gehört ein Anhang untrennbar zur Aussage der Nachricht?

Wird eine Frage mit Ja beantwortet, gehört die Nachricht ins Archiv.

Vorsicht bei der rechten Spalte: Eine Terminbestätigung wird aufbewahrungspflichtig, sobald sie eine verbindliche Zusage oder eine Leistungsabnahme dokumentiert. Im Zweifel gilt die Nachweisfunktion, nicht die äußere Form.

Ebenso wichtig ist die Gegenrichtung: Nicht alles dauerhaft zu speichern ist kein Versäumnis, sondern eine Datenschutzanforderung. Eine pauschale Vollarchivierung sämtlicher Postfächer erzeugt unnötige Bestände personenbezogener Daten.

Wer diesen Rahmen für sein Unternehmen sauber abstecken will, braucht meist beides: die rechtliche Einordnung und die technische Umsetzung. FIGULI CONSULTING begleitet österreichische KMU bei Dokumentenmanagement- und Archivierungsprojekten: von der Festlegung des Archivierungsumfangs über die Anbindung an Microsoft 365 bis zu Suche, Export, Berechtigungen und Löschregeln. Je nach Umgebung kann dafür eine revisionssichere Archivierungslösung wie Inoxision eingesetzt werden.

Archivierungspflicht mit FIGULI klären

Aufbewahrungsfristen und Löschkonzept

Die allgemeine Aufbewahrungsfrist beträgt in Österreich sieben Jahre. Sie beginnt mit dem Ende des Kalenderjahres, dem die Unterlage zuzuordnen ist – eine Rechnung aus dem März läuft also nicht ab dem März, sondern ab dem darauffolgenden Jahreswechsel.

Wann die Frist länger läuft

Die sieben Jahre sind der Regelfall, nicht die Obergrenze. Länger aufbewahrt werden muss unter anderem, wenn Unterlagen für ein anhängiges Verfahren von Bedeutung sind.

Darüber hinaus können sich längere Fristen ergeben aus:

• vertraglichen Dokumentationspflichten gegenüber Auftraggebern
• langen Gewährleistungs- oder Haftungszeiträumen, etwa im Bauwesen
• Projekten mit mehrjähriger Laufzeit
• branchenspezifischen regulatorischen Vorgaben

Behandeln Sie solche Fälle nicht als Ausnahmen im Einzelfall, sondern als definierte Zusatzkategorie mit dokumentierter Begründung, etwa "Projekt X – verlängerte Aufbewahrung bis 2035". Sonst entsteht ein Flickenteppich, den nach einigen Jahren niemand mehr nachvollziehen kann.

Warum ein Löschkonzept dazugehört

Ein Archiv ohne Löschregeln ist unvollständig. Nach Ablauf der Frist sollten Daten planmäßig entfernt werden, sofern kein anderer Grund für die weitere Aufbewahrung besteht.



Das dient nicht nur dem Datenschutz. Auch praktisch ist ein Archiv, das seit fünfzehn Jahren alles enthält, in der Recherche unbrauchbar und im Streitfall ein Risiko: Was vorhanden ist, kann angefordert werden.

Revisionssicher archivieren: die technischen Anforderungen

"Revisionssicher" ist kein Gütesiegel, sondern eine Sammlung nachprüfbarer Eigenschaften. Ein Archiv sollte diese sechs Anforderungen erfüllen:



• Vollständigkeit: Nachrichten werden automatisch beim Ein- und Ausgang erfasst, nicht erst durch manuelles Verschieben
• Unveränderbarkeit: Einmal archivierte Inhalte lassen sich nicht nachträglich ändern oder unbemerkt entfernen
• Nachvollziehbarkeit: Jeder Zugriff, jede Suche und jeder Export wird protokolliert
• Auffindbarkeit: Volltextsuche über Inhalte, Kopfzeilen und Anhänge
• Vorlagefähigkeit: Export in einem gängigen, lesbaren Format samt Kontext
• Lesbarkeit über die gesamte Frist: Die Inhalte müssen auch in sieben Jahren noch les- und auswertbar sein

Der erste Punkt ist der wichtigste und wird am häufigsten unterschätzt. Sobald Archivierung davon abhängt, dass jemand eine Nachricht bewusst ablegt, ist sie nicht vollständig. Erfassung muss automatisch am Mailserver erfolgen, bevor eine Nachricht überhaupt im Postfach landet.

Ebenso relevant ist ein Rollen- und Berechtigungskonzept: Wer darf im Archiv suchen? Wer darf exportieren? Ein Archiv enthält die gesamte Geschäftskorrespondenz – uneingeschränkter Zugriff für alle wäre weder datenschutzkonform noch betrieblich sinnvoll.

Mail Archivierung und DSGVO

Aufbewahrungspflicht und Datenschutz wirken auf den ersten Blick gegensätzlich: Das eine verlangt Speicherung, das andere Löschung. Auflösen lässt sich das über die Zweckbindung.

Die Aufbewahrung erfolgt zur Erfüllung einer rechtlichen Verpflichtung. Solange diese Pflicht besteht, geht sie einem Löschbegehren vor. Verlangt eine Person die Löschung ihrer Daten, betrifft das nicht Rechnungen und Geschäftskorrespondenz, die gesetzlich aufzubewahren sind.

Daraus ergeben sich konkrete Anforderungen:

• Das Archiv gehört ins Verarbeitungsverzeichnis, mit Zweck, Rechtsgrundlage und Löschfrist
• Betroffene sind in der Datenschutzerklärung über die Aufbewahrung zu informieren
• Zugriffe sind auf einen definierten Personenkreis zu beschränken und zu protokollieren
• Nach Fristablauf ist planmäßig zu löschen
• Bei einem externen Anbieter ist ein Auftragsverarbeitungsvertrag erforderlich

Ein besonderer Punkt ist die private Nutzung des Firmenpostfachs. Ist sie erlaubt oder wird sie geduldet, wird die Archivierung datenschutzrechtlich heikel, weil private Kommunikation miterfasst würde. Der saubere Weg ist eine klare schriftliche Regelung, die private Nutzung ausschließt oder auf ein getrenntes Postfach verweist.

Die österreichische Datenschutzbehörde beschreibt die Pflichten von Verantwortlichen im Überblick und rur Erfüllung der DSGVO Anforderungen haben wir einen Werkzeugkasten entwickelt.

Einführung in der Praxis: Microsoft 365, Cloud oder eigener Server

Reicht Microsoft 365 allein aus?

Microsoft 365 bietet Funktionen wie Aufbewahrungsrichtlinien und ein Archivpostfach. Diese helfen, ersetzen eine dedizierte Archivierung aber nur bedingt.

Gerade in Microsoft-365-Umgebungen sollte Mail Archivierung klar von Microsoft 365 Backup getrennt werden. Archivierung dient der langfristigen Nachweisbarkeit und geordneten Aufbewahrung. Backup dient der Wiederherstellung nach Verlust, Ausfall oder versehentlicher Löschung.

Der Unterschied liegt in Nachweisbarkeit und Unabhängigkeit: Ein eigenständiges Archiv trennt die Aufbewahrung vom produktiven Mailsystem, protokolliert Zugriffe gesondert und bleibt auch dann verfügbar, wenn Postfächer umgezogen, Lizenzen geändert oder Konten gelöscht werden. Der letzte Punkt ist praxisrelevant: Wird die Lizenz einer ausgeschiedenen Person entfernt, ist das zugehörige Postfach nach einer Übergangsfrist weg.

Cloud oder eigener Server

Für die meisten KMU ist eine Cloud-Lösung der pragmatischere Weg, sofern Datenstandort und Vertragsgestaltung geklärt sind. Ein Archiv im eigenen Haus bleibt sinnvoll, wenn besondere Anforderungen an den Datenstandort bestehen oder bereits ein Dokumentenmanagementsystem betrieben wird.

In der Praxis kann für KMU eine spezialisierte Archivierungslösung wie Inoxision sinnvoll sein, wenn E-Mails automatisch erfasst, revisionssicher gespeichert, durchsuchbar gemacht und bei Bedarf exportiert werden sollen. Entscheidend ist, dass die Lösung zur bestehenden IT-Umgebung, zu Microsoft 365 und zu den internen Berechtigungs- und Löschregeln passt.

Schritte zur Einführung

1. Bestandsaufnahme: Welche Postfächer existieren, welche Geschäftsvorgänge laufen über E-Mail?
2. Umfang festlegen: Welche Postfächer werden erfasst, welche Kategorien gelten?
3. Private Nutzung regeln: schriftliche Vereinbarung, bevor archiviert wird
4. Fristen definieren: Regelfall sieben Jahre, Sonderfälle gesondert begründen
5. Berechtigungen festlegen: Wer darf suchen, wer exportieren?
6. Technisch anbinden: Erfassung am Mailserver, Altbestände übernehmen
7. Dokumentieren: Verarbeitungsverzeichnis, Datenschutzerklärung, interne Richtlinie
8. Ernstfall proben: eine konkrete Nachricht suchen und exportieren, bevor es eine Prüfung tut

Der letzte Schritt wird regelmäßig übersprungen und ist der wichtigste. Ein Archiv, aus dem noch nie jemand etwas herausgesucht hat, ist ein ungetestetes Archiv.

Fazit

Mail Archivierung ist in Österreich keine Kür. Sobald E-Mails Geschäftsvorgänge dokumentieren, unterliegen sie denselben Aufbewahrungspflichten wie Papierunterlagen – in der Regel sieben Jahre, gerechnet ab dem Ende des jeweiligen Kalenderjahres.

Entscheidend sind drei Punkte: Die Erfassung muss automatisch erfolgen, nicht abhängig vom Ablageverhalten Einzelner. Das Archiv muss unveränderbar und durchsuchbar sein. Und es braucht ein Löschkonzept, das Aufbewahrungspflicht und Datenschutz zusammenführt.

Der häufigste Fehler in KMU ist nicht die bewusste Entscheidung gegen ein Archiv, sondern die Annahme, das Postfach genüge. Diese Lücke fällt meist erst dann auf, wenn eine Prüfung ansteht oder eine Nachricht aus einem längst gelöschten Postfach gebraucht wird.

FIGULI CONSULTING unterstützt österreichische Unternehmen dabei, Mail Archivierung als Teil einer sauberen IT- und Dokumentenmanagement-Struktur umzusetzen. Dazu gehören die technische Anbindung an Microsoft 365, passende Berechtigungen, nachvollziehbare Abläufe, sichere Speicherung, eine laufende Betreuung der Systeme und der DSGVO Werkzeugkasten.

Mail Archivierung mit FIGULI umsetzen

FAQ zur Mail Archivierung

Ist Mail Archivierung in Österreich Pflicht?

Ja. Geschäftliche E-Mails, die Geschäftsbriefe, Belege oder steuerrelevante Unterlagen darstellen, sind aufbewahrungspflichtig. Die Grundlagen finden sich im Unternehmensgesetzbuch und in der Bundesabgabenordnung. Ein eigenes E-Mail-Gesetz gibt es nicht, die allgemeinen Vorschriften stellen auf den Inhalt ab.

Wie lange müssen geschäftliche E-Mails aufbewahrt werden?

Die allgemeine Frist beträgt sieben Jahre, beginnend mit dem Ende des Kalenderjahres, dem die Unterlage zuzuordnen ist. Länger gilt sie unter anderem, wenn die Unterlagen für ein anhängiges Verfahren von Bedeutung sind oder vertragliche Dokumentationspflichten bestehen.

Genügt ein Backup als Archiv?

Nein. Ein Backup dient der Wiederherstellung nach einem Ausfall, wird überschrieben und erlaubt keine gezielte Suche nach einzelnen Nachrichten. Ein Archiv bewahrt Nachrichten unveränderbar über die gesamte Frist auf und protokolliert Zugriffe nachvollziehbar.

Was bedeutet revisionssicher?

Revisionssicher bedeutet, dass Nachrichten vollständig und automatisch erfasst, unveränderbar gespeichert, protokolliert, durchsuchbar und in lesbarer Form exportierbar sind – und zwar über die gesamte Aufbewahrungsfrist hinweg.

Reicht Microsoft 365 für die Archivierung aus?

Microsoft 365 bietet Aufbewahrungsrichtlinien und ein Archivpostfach, die als Grundlage dienen können. Ein eigenständiges Archiv trennt die Aufbewahrung jedoch vom produktiven System und bleibt auch dann verfügbar, wenn Postfächer umgezogen oder Konten samt Lizenz gelöscht werden.

Wie passen Archivierung und DSGVO zusammen?

Die Aufbewahrung erfolgt zur Erfüllung einer rechtlichen Verpflichtung und geht einem Löschbegehren insoweit vor. Erforderlich sind ein Eintrag im Verarbeitungsverzeichnis, Information in der Datenschutzerklärung, beschränkte Zugriffe und planmäßige Löschung nach Fristablauf.

Dürfen private E-Mails mitarchiviert werden?

Das ist heikel. Ist die private Nutzung des Firmenpostfachs erlaubt oder geduldet, würde eine vollständige Archivierung auch private Kommunikation erfassen. Empfehlenswert ist eine schriftliche Regelung, die private Nutzung ausschließt oder auf ein getrenntes Postfach verweist.

Muss Mail Archivierung revisionssicher sein?

Geschäftliche E-Mails sollten so archiviert werden, dass sie vollständig, unveränderbar, auffindbar, protokolliert und über die gesamte Aufbewahrungsfrist lesbar bleiben. In der Praxis wird dafür häufig von revisionssicherer Mail Archivierung gesprochen. Wichtig ist nicht ein einzelnes Gütesiegel, sondern dass die Anforderungen nachvollziehbar erfüllt und dokumentiert werden.