Revisionssichere E-Mail-Archivierung in der Arztpraxis: GoBD-Pflicht erfüllen und Patientenkommunikation rechtssicher aufbewahren

Die Steuerprüfung kündigt sich an, und plötzlich wird die Frage konkret: Wo ist eigentlich die E-Mail mit der Rechnung des Laborgeräte-Herstellers von vor vier Jahren? In gelöschten Elementen, in einem Unterordner, oder schon längst weg? Für Arztpraxen ist die E-Mail-Archivierung kein reines Unternehmensthema, das nur große Firmen betrifft. Sie ist Pflicht, sobald steuerlich relevante Nachrichten im Spiel sind.

Dieser Beitrag zeigt, welche E-Mails eine Praxis wie lange aufbewahren muss, warum das Outlook-Postfach dafür nicht genügt und wie Sie archivieren, ohne gegen Datenschutz und das Fernmeldegeheimnis zu verstoßen. Stand: 2026-08-31.

Müssen Arztpraxen geschäftliche E-Mails aufbewahren?

Ja. Sobald eine E-Mail steuerlich relevant ist, gilt sie als aufbewahrungspflichtige Unterlage nach § 147 AO und den GoBD. Das trifft auch auf Arztpraxen zu. Ärztinnen und Ärzte sind Freiberufler und machen meist eine Einnahmen-Überschuss-Rechnung, aber die GoBD gelten unabhängig von der Gewinnermittlungsart.

Viele Praxisinhaber gehen davon aus, dass Archivierungspflichten nur für bilanzierende Unternehmen gelten. Das ist ein Irrtum. Die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form, kurz GoBD, knüpfen nicht an die Rechtsform oder die Art der Buchführung an, sondern an die steuerliche Aufzeichnungs- und Aufbewahrungspflicht. Wer eine EÜR abgibt, führt steuerlich relevante Aufzeichnungen, und damit greifen die Regeln.

Der Bundesfinanzhof hat diese Linie 2025 bekräftigt: Mit Beschluss vom 30.04.2025 (Az. XI R 15/23) stellte er klar, dass das Finanzamt die Vorlage steuerlich relevanter E-Mails verlangen darf. Eine E-Mail ist damit nicht per se nebensächlich, nur weil sie digital und formlos wirkt. Entscheidend ist ihr Inhalt.

Quelle: § 147 AO (Ordnungsvorschriften für die Aufbewahrung von Unterlagen), gesetze-im-internet.deStand: 2026-08-31.

Welche E-Mails aufbewahrungspflichtig sind und wie lange

Für aufbewahrungspflichtige E-Mails gelten drei Fristen nach § 147 AO, gestaffelt nach Inhalt: sechs Jahre für Handels- und Geschäftsbriefe, acht Jahre für Buchungsbelege und zehn Jahre für Jahresabschlüsse. Die Frist beginnt jeweils mit dem Ende des Kalenderjahres, in dem die E-Mail versendet oder empfangen wurde.

Die mittlere Frist hat sich zum 1. Januar 2025 geändert. Das Vierte Bürokratieentlastungsgesetz hat die Aufbewahrungsfrist für Buchungsbelege von zehn auf acht Jahre verkürzt (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB). Das gilt für alle Belege, deren Frist zu Beginn des Jahres 2025 noch nicht abgelaufen war. Wichtig: Solange ein steuerliches Verfahren oder eine Außenprüfung läuft, verlängert sich die Frist entsprechend.

Weil eine E-Mail beides sein kann, ein Geschäftsbrief oder ein Buchungsbeleg, gilt in der Praxis eine einfache Faustregel: Im Zweifel die längere Frist ansetzen. Wer eine E-Mail-Rechnung sechs statt acht Jahre aufbewahrt, hat eine Pflicht verletzt. Wer sie acht statt sechs Jahre aufbewahrt, hat nichts falsch gemacht. Ein Archivsystem, das schlicht alle geschäftlichen E-Mails zehn Jahre vorhält, ist deshalb der übliche und sichere Weg.

Quelle: § 257 HGB (Aufbewahrung von Unterlagen, Aufbewahrungsfristen), gesetze-im-internet.deStand: 2026-08-31. Fristen können sich durch Gesetzesänderungen verschieben.

Warum das Outlook-Postfach nicht genügt

Aufbewahren im Sinne der GoBD heißt revisionssicher: unveränderbar, vollständig, jederzeit lesbar und maschinell auswertbar über die gesamte Frist. Das eigene Postfach erfüllt das nicht, denn dort lassen sich E-Mails verschieben, verändern oder löschen. Auch ein Ausdruck reicht nicht, weil dabei technische Metadaten verloren gehen.

Die entscheidenden Metadaten einer E-Mail sind der vollständige Header: Absender, Empfänger, exakter Zeitstempel, Betreff und der technische Weg der Nachricht. Genau diese Angaben belegen im Prüfungsfall, dass eine E-Mail echt und unverändert ist. Ein Papierausdruck kann das nicht leisten, und eine E-Mail, die im Postfach liegt, ist prinzipiell veränderbar. Beides genügt der Anforderung an eine originalgetreue, manipulationssichere Aufbewahrung nicht.

Ein revisionssicheres Archiv arbeitet deshalb anders: Es fängt jede ein- und ausgehende E-Mail automatisch ab, bevor jemand sie bearbeiten kann, und legt sie unveränderbar ab. Nachträgliches Löschen oder Ändern ist technisch ausgeschlossen oder wird lückenlos protokolliert. Die Ablage bleibt über die gesamte Aufbewahrungsfrist lesbar und durchsuchbar, unabhängig davon, ob ein Mitarbeitender das Postfach längst aufgeräumt hat.

Quelle: BMF-Schreiben zu den GoBD, bundesfinanzministerium.deStand: 2026-08-31.

Patientenkommunikation: der doppelte Rahmen

E-Mails mit Patienten unterliegen einem anderen Rahmen als geschäftliche E-Mails. Steuerlich sind sie nur relevant, wenn sie zum Beispiel eine Privatrechnung betreffen. Berufsrechtlich können sie Teil der Behandlungsdokumentation sein, die nach § 630f BGB mindestens zehn Jahre aufzubewahren ist, und datenschutzrechtlich sind es Gesundheitsdaten nach Art. 9 DSGVO.

Das bedeutet in der Praxis zweierlei. Erstens: Enthält eine E-Mail behandlungsrelevante Informationen, etwa einen Befund, eine Medikationsabsprache oder eine Anamneseangabe, gehört ihr Inhalt in die Patientenakte und unterliegt der zehnjährigen Dokumentationsfrist. Zweitens: Weil es sich um besonders schützenswerte Daten handelt, dürfen solche Nachrichten nicht unverschlüsselt durch das offene Internet laufen. Für die sichere Kommunikation mit anderen Leistungserbringern gibt es den Dienst KIM in der Telematikinfrastruktur, für die direkte Patientenkommunikation zumindest eine Transportverschlüsselung.

Wie die datenschutzrechtlichen Pflichten rund um Gesundheitsdaten im Detail aussehen, vertieft der Beitrag zu den DSGVO-Pflichten der Arztpraxis. Wie Sie E-Mails technisch gegen Fälschung und Phishing absichern, beschreibt der Artikel zu SPF, DKIM und DMARC.

Der Datenschutz-Konflikt: private Nutzung und Fernmeldegeheimnis

Eine vollständige Archivierung aller E-Mails kollidiert mit dem Datenschutz, sobald Mitarbeitende ihr dienstliches Postfach auch privat nutzen dürfen. Dann geraten Sie in die Nähe des Fernmeldegeheimnisses nach § 3 TDDDG, und ein pauschales Mitlesen und Speichern privater Nachrichten wird rechtlich angreifbar. Die Lösung liegt in einer klaren Regelung der Nutzung.

Der Konflikt ist real, aber lösbar. Verbietet die Praxis die private Nutzung des dienstlichen Postfachs eindeutig und setzt das auch durch, gilt das Fernmeldegeheimnis nicht, und alle E-Mails können bedenkenlos als geschäftliche Kommunikation archiviert werden. Ist die private Nutzung dagegen erlaubt oder wird stillschweigend geduldet, brauchen Sie eine ausdrückliche Regelung, etwa eine Dienstvereinbarung samt Einwilligung der Beschäftigten, die den Umgang mit privaten Nachrichten und den Zugriff im Vertretungs- oder Prüfungsfall regelt.

1. 1
   Nutzung entscheiden
   Legen Sie fest, ob die private Nutzung dienstlicher Postfächer erlaubt oder untersagt ist. Die einfachste Variante für die Archivierung ist ein klares, dokumentiertes Verbot der privaten Nutzung.
2. 2
   Regelung schriftlich fixieren
   Halten Sie die Entscheidung in einer Richtlinie oder Dienstvereinbarung fest, die jede Mitarbeiterin und jeder Mitarbeiter kennt und bestätigt. Mündliche Absprachen genügen im Streitfall nicht.
3. 3
   Einwilligung einholen, wo nötig
   Ist private Nutzung erlaubt, holen Sie eine Einwilligung in die Archivierung ein und regeln Sie den Umgang mit als privat gekennzeichneten Nachrichten.
4. 4
   Archivierung technisch scharf schalten
   Erst wenn die Nutzung sauber geregelt ist, wird die automatische Archivierung aktiviert. So archivieren Sie vollständig, ohne Beschäftigtenrechte zu verletzen.

Quelle: Orientierungshilfe der Datenschutzaufsichtsbehörden zur Nutzung von E-Mail- und Internetdiensten am Arbeitsplatz (PDF)Stand: 2026-08-31, Rechtsprechung im Fluss.

Revisionssichere Archivierung einführen: die Schritte

Der Weg zur GoBD-konformen E-Mail-Archivierung führt über vier Bausteine: die passende Archivierungslösung, die saubere Nutzungsregelung, die Verfahrensdokumentation und den laufenden Betrieb mit Backup. Der technische Teil ist dabei schnell erledigt, die organisatorische Vorarbeit entscheidet über die Rechtssicherheit.

Zentral, aber oft vergessen, ist die Verfahrensdokumentation. Die GoBD verlangen, dass ein Unternehmen nachvollziehbar beschreibt, wie E-Mails erfasst, archiviert, gesichert und im Bedarfsfall wiedergefunden werden. Diese Dokumentation ist bei einer Prüfung vorzulegen. Sie ist das Gegenstück zur Technik: Die Software archiviert, die Dokumentation belegt, dass sie es ordnungsgemäß tut.

1. 1
   Bestand und Postfächer erfassen
   Welche Postfächer gibt es, wo liegen sie (eigener Server, Microsoft 365, Provider), und welche enthalten geschäftliche Kommunikation? Diese Bestandsaufnahme ist die Grundlage für Umfang und Auswahl der Lösung.
2. 2
   Nutzung regeln
   Vor dem Aktivieren der Archivierung die private Nutzung klären und schriftlich regeln, damit die vollständige Archivierung datenschutzkonform ist.
3. 3
   Archivierungslösung einrichten
   Ein revisionssicheres Archiv aufsetzen, das jede ein- und ausgehende E-Mail automatisch und unveränderbar ablegt, EU-gehostet und verschlüsselt, mit Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
4. 4
   Verfahrensdokumentation erstellen
   Schriftlich festhalten, wie E-Mails erfasst, gespeichert, gesichert und wiedergefunden werden. Diese Dokumentation gehört zu den GoBD und wird bei Prüfungen verlangt.
5. 5
   Backup und Wiederherstellung sichern
   Das Archiv über die gesamte Aufbewahrungsfrist gegen Verlust absichern und die Wiederherstellung regelmäßig testen. Ein Archiv, das nach einem Defekt nicht wiederherstellbar ist, erfüllt die Pflicht nicht.

Wie die Absicherung über zehn Jahre und mehr konkret aussieht, behandelt der Beitrag zu PVS-Backup-Strategien. Warum Sie mit jedem Dienstleister, der Daten in Ihrem Auftrag verarbeitet, einen Vertrag brauchen, erklärt der Artikel zum Auftragsverarbeitungsvertrag.

Was eine Archivierungslösung kostet

Verlässliche Pauschalpreise gibt es nicht, dafür sind Postfachzahl, Infrastruktur und der vorhandene E-Mail-Dienst zu unterschiedlich. Die folgenden Werte sind Orientierung, keine Angebote. Sie zeigen die Größenordnung für Einrichtung und laufenden Betrieb einer revisionssicheren, DSGVO-tauglichen Archivierung.

Die laufenden Kosten richten sich meist nach der Zahl der Postfächer und dem Datenvolumen. Wer die Archivierung an eine bestehende Microsoft-365-Umgebung anbindet, spart oft gegenüber einer komplett eigenen Lösung. Der größere Posten ist selten die Software, sondern die einmalige saubere Einrichtung samt Verfahrensdokumentation und Nutzungsregelung.

Wie ITCC bei der E-Mail-Archivierung unterstützt

ITCC ist Ihre externe IT-Abteilung, kein Steuerberater und keine Rechtsberatung. Ob eine bestimmte E-Mail steuerlich relevant ist, entscheidet Ihre Steuerberatung. Was wir übernehmen, ist die technische und organisatorische Umsetzung: eine revisionssichere Archivierung, die jede geschäftliche E-Mail automatisch und unveränderbar ablegt, EU-gehostet, verschlüsselt und mit Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Wir schauen uns Ihre Postfachlandschaft an, richten die Archivierung so ein, dass keine Lücke entsteht, und erstellen die Verfahrensdokumentation, die die GoBD verlangen. Auf Wunsch bringen wir die Nutzungsregelung für private E-Mails mit Ihrer Datenschutzberatung in Form, damit die Archivierung nicht am Fernmeldegeheimnis scheitert. Und wir sorgen dafür, dass das Archiv über die gesamte Aufbewahrungsfrist gesichert und wiederherstellbar bleibt. Wenn Sie wissen wollen, ob Ihre Praxis beim nächsten Betriebsprüfungstermin auf der sicheren Seite ist, sprechen Sie uns an. Wir sehen uns den Ist-Zustand an und sagen Ihnen ehrlich, wo Handlungsbedarf besteht.