E-Mail-Archivierung mit Google Workspace: Was die GoBD verlangen

E-Mail-Archivierung mit Google Workspace nach GoBD planen

Bei der E-Mail-Archivierung mit Google Workspace nach GoBD reicht die Frage „Haben wir Vault?“ nicht aus. Sie müssen auch festlegen, welche Nachrichten aufbewahrt werden, wann ihre Frist endet und wer sie bei einer Prüfung bereitstellt. Google beschreibt Vault als Werkzeug für Aufbewahrung und eDiscovery, also das Auffinden und Sichern elektronischer Informationen für rechtliche Verfahren. Ein separates Datenarchiv ist es laut Google-Dokumentation nicht.

Für ein Unternehmen mit 10–50 Arbeitsplätzen empfehlen wir deshalb: zuerst die Anforderungen bestimmen, dann das Werkzeug auswählen. Eine Rechnung im persönlichen Postfach, eine Auftragsbestätigung im Vertrieb und eine Nachricht an die Buchhaltung müssen in dasselbe nachvollziehbare Konzept passen. Den organisatorischen Einstieg beschreiben wir unter Google Workspace einrichten und betreuen lassen.

Welche E-Mails gehören in die Aufbewahrung?

Entscheidend ist die Funktion einer Nachricht. E-Mails können Handels- oder Geschäftsbriefe, Buchungsbelege oder andere steuerlich relevante Unterlagen sein. Beispiele sind Auftragsbestätigungen, Rechnungen und Vereinbarungen über einen nachträglichen Preisnachlass. Nicht jede Nachricht im Firmenpostfach gehört deshalb automatisch in eine langjährige Aufbewahrung.

Die GoBD, insbesondere Randziffer 121, unterscheiden ausdrücklich: Übermittelt eine E-Mail lediglich einen Rechnungsanhang und enthält keine weiteren aufbewahrungspflichtigen Informationen, muss die Begleitmail nicht aufbewahrt werden. Enthält sie dagegen eine relevante Ergänzung zur Rechnung, gehört auch dieser Inhalt zum Vorgang.

Die GoBD konkretisieren die Anforderungen an elektronische Buchführung und Aufbewahrung. Grundlage ist das Schreiben von 2019 mit späteren Anpassungen, zuletzt der Änderung vom 14. Juli 2025. Diese berücksichtigt insbesondere die E-Rechnung: Deren strukturierte Daten müssen erhalten bleiben; eine bloße Bildschirmansicht ersetzt sie nicht.

Aus den GoBD sowie § 146 AO und § 147 AO ergeben sich für Ihre Planung sechs Kernfragen:

• Vollständigkeit: Werden alle aufbewahrungspflichtigen Nachrichten und Anhänge erfasst?
• Unveränderbarkeit: Bleibt der ursprüngliche Inhalt feststellbar, und sind Änderungen nachvollziehbar?
• Nachvollziehbarkeit: Lässt sich eine Nachricht dem Geschäftsvorgang zuordnen?
• Auffindbarkeit: Sind Unterlagen während der gesamten Frist verfügbar und lesbar?
• Maschinelle Auswertbarkeit: Bleiben vorhandene auswertbare Daten erhalten?
• Verfahrensdokumentation: Ist beschrieben, wie Ihr Unternehmen diese Anforderungen im Alltag erfüllt?

Sechs, acht oder zehn Jahre: Der Inhalt entscheidet

Die regelmäßigen Fristen stehen in § 147 AO und für Kaufleute zusätzlich in § 257 HGB. Die Verkürzung für Buchungsbelege durch das Vierte Bürokratieentlastungsgesetz gilt grundsätzlich seit 2025; die Bundesregierung erläutert die Änderung.

Die Frist beginnt regelmäßig mit Ablauf des maßgeblichen Kalenderjahres. Ein im März 2026 entstandener Buchungsbeleg ist bei achtjähriger Regelfrist daher grundsätzlich bis Ende 2034 aufzubewahren. Offene steuerliche Sachverhalte können die Aufbewahrung verlängern. Für bestimmte beaufsichtigte Finanzunternehmen sieht das HGB weiterhin zehn Jahre für Buchungsbelege vor.

Was Google Vault leistet und welche Edition Sie brauchen

Vault ist in Business Plus sowie Enterprise Standard und Enterprise Plus enthalten. Business Starter und Business Standard enthalten es nicht. Das bestätigen die Google-Preisseite und die Vault-Lizenzübersicht. Zusatzlizenzen sind abhängig von der kompatiblen Edition und dem Vertrag zu prüfen. Auch Vault-Administratoren benötigen eine entsprechende Lizenz. Unser Vergleich der Google-Workspace-Editionen 2027 ordnet die weiteren Unterschiede ein.

Vault bietet vier wesentliche Funktionen: zeitgesteuerte Aufbewahrung, sogenannte Holds zur Sicherung bestimmter Daten, Suche und Export. Ein Hold kann beispielsweise Unterlagen zu einem Rechtsstreit über das reguläre Fristende hinaus sichern. Er bleibt bestehen, bis er aufgehoben wird.

Mitarbeiter können erfasste Nachrichten weiterhin aus Gmail löschen und den Papierkorb leeren. Solange die passende Aufbewahrung greift, bleiben diese Nachrichten für berechtigte Personen in Vault verfügbar. Sie bleiben also nicht zwangsläufig im sichtbaren Postfach. Google erläutert dieses Verhalten in den Vault-FAQ.

Unterstützt werden unter anderem Gmail einschließlich Anhängen, Drive-Dateien, Chat-Nachrichten bei aktiviertem Verlauf sowie gespeicherte Meet-Aufzeichnungen und zugehörige Protokolle. Eine Gmail-Regel sichert allerdings nicht automatisch eine Datei, die lediglich per Link in der Nachricht steht. Prüfen Sie deshalb die unterstützten Datentypen und ihre Grenzen, besonders wenn Ihr Team Rechnungen oder Freigaben über mehrere Anwendungen verteilt.

Seit dem 11. Juni 2026 unterstützt Vault auch Aufbewahrungsregeln und Holds für die Gemini-App. Suche und Export waren bereits vorher möglich. Google meldete die Erweiterung für beide Release-Tracks als verfügbar, unter anderem für Business Plus und Enterprise Standard/Plus. Sie betrifft die Gemini-App im Browser und auf Mobilgeräten, nicht sämtliche Gemini-Funktionen innerhalb von Gmail oder Docs. Wenn Ihr Unternehmen relevante Geschäftsinhalte dort verarbeitet, braucht es eine gesonderte Entscheidung über deren Aufbewahrung.

Reicht Vault für eine GoBD-gerechte E-Mail-Archivierung?

Vault allein liefert keine pauschale GoBD-Zusage. Google dokumentiert ein Aufbewahrungs- und eDiscovery-Werkzeug; daraus lässt sich keine Zertifizierung Ihres betrieblichen Verfahrens ableiten. Auch Zertifikate anderer Anbieter binden die Finanzverwaltung nicht, wie die GoBD im Abschnitt zur Zertifizierung klarstellen.

Unsere Einordnung: Vault kommt als Baustein infrage, wenn Sie die vollständige Erfassung, Aufbewahrung und spätere Bereitstellung nachweisen können. Dafür sollten Geschäftsführung, Steuerberatung und Administration vor allem diese Punkte gemeinsam prüfen:

• Wer darf Regeln verkürzen, Holds aufheben oder Lizenzen entfernen? Wie werden solche Änderungen kontrolliert?
• Wie weisen Sie nach, dass Originalinhalte, Anhänge und ihre Zuordnung erhalten bleiben?
• Wie bekommt ein Betriebsprüfer die angeforderten Unterlagen im notwendigen Umfang?
• Wie funktionieren Aufbewahrung und Datenübergabe bei einem Anbieterwechsel?

Vault besitzt laut Google-FAQ ein nicht nachträglich entfernbares Protokoll der Vault-Aktionen. Das unterstützt die Kontrolle, ersetzt aber weder Zuständigkeiten noch eine Prüfung der tatsächlich angewendeten Regeln. Begrenzte Administratorrechte gehören deshalb zu unserem Konzept für Sicherheit und Rechte in Google Workspace.

Gmail lässt sich aus Vault als MBOX oder PST exportieren. Hinzu kommen je nach Export Metadaten, Prüfsummen und Fehlerberichte. Die Beschreibung der Exportinhalte zeigt diese Bestandteile. Unsere Empfehlung: Testen Sie einen vollständigen Vorgang einschließlich Anhängen und dokumentieren Sie, womit er gelesen und ausgewertet wird. Die bloße Verfügbarkeit einer Exportdatei beantwortet noch nicht alle Anforderungen an den Prüfzugriff.

Auch ein Löschkonzept gehört dazu. Die DSGVO verlangt Datenminimierung und Speicherbegrenzung; zugleich berücksichtigt Artikel 17 gesetzliche Aufbewahrungspflichten und notwendige Rechtsverteidigung. „Alles unbegrenzt behalten“ ist deshalb keine allgemeine Lösung. Klären Sie insbesondere den Umgang mit Bewerbungen, privaten Nachrichten und sensiblen Inhalten.

Ein separates E-Mail-Archiv sollten Sie prüfen, wenn Sie unabhängig vom Benutzerkonto aufbewahren, mehrere Mailsysteme zusammenführen oder andere Prüf- und Freigabeabläufe benötigen. Kann Ihr geplantes Vault-Verfahren eine notwendige Anforderung nicht erfüllen, brauchen Sie eine ergänzende oder andere Lösung. Auch ein Drittarchiv muss anhand dieser Anforderungen beurteilt werden; sein Produktname ersetzt die Prüfung nicht.

So empfehlen wir die Umsetzung im Unternehmen

Nach unserer Erfahrung lässt sich die Aufbewahrung besser betreiben, wenn fachliche Entscheidungen und technische Einstellungen gemeinsam dokumentiert werden. Für Ihre Einführung empfehlen wir diese Reihenfolge:

1. 1

   Bestand und Verantwortliche festlegen

   Erfassen Sie persönliche Postfächer, Funktionsadressen, Gruppen, lokale Archive und bisherige Archivsysteme. Legen Sie mit der Steuerberatung fest, welche Inhalte wohin gehören. Benennen Sie eine verantwortliche Person und eine Vertretung. Prüfen Sie gegebenenfalls auch steuerliche Anforderungen an den Speicherort nach § 146 AO.

2. 2

   Edition und Berechtigungen prüfen

   Bei den Business-Editionen ist Plus die Variante mit enthaltenem Vault. Kontrollieren Sie die Lizenzen aller betroffenen Konten und der zuständigen Administratoren. Nach der Google-Lizenzhilfe beginnt die Aufbewahrung nicht allein durch den Kauf: Die erforderlichen Lizenzen und Regeln müssen tatsächlich eingerichtet sein.

3. 3

   Standardregel und Regeln je Organisationseinheit abstimmen

   Eine Standardregel bildet die allgemeine Aufbewahrung eines Dienstes ab. Benutzerdefinierte Gmail-Regeln können auf Organisationseinheiten, kurz OUs, und weitere Bedingungen begrenzt werden. Wichtig: Eine passende benutzerdefinierte Regel hat Vorrang vor der Standardregel, auch wenn sie kürzer ist. Bei mehreren passenden benutzerdefinierten Regeln zählt das späteste Fristende; Holds gehen vor. Grundlage ist Googles Erklärung zur Regelhierarchie.

4. 4

   Regeln testen und Altbestand übernehmen

   Unter vault.google.com › Aufbewahrung werden die Regeln angelegt. Testen Sie zunächst mit einem begrenzten Bestand. Die Gmail-Einstellungen unterscheiden unter anderem zwischen dem endgültigen Entfernen bereits gelöschter Nachrichten und dem Entfernen auch noch vorhandener Nachrichten nach Fristablauf. Beziehen Sie das tatsächliche Alter importierter Mails ein.

   Beim Umzug von Strato zu Google Workspace sollte das bestehende Archiv deshalb bereits im Umzugsplan stehen. Empfohlen sind ein Bestandsabgleich, dokumentierte Stichproben und eine nachvollziehbare Übergabe. Eine nachträglich aktivierte Regel kann bereits endgültig verlorene Nachrichten nicht zurückholen.

5. 5

   Holds und Verfahrensdokumentation organisieren

   Bestimmen Sie, wer bei Streitfällen eine Sicherung veranlasst und wer ihre Aufhebung freigibt. Erstellen Sie mit der Steuerberatung eine Verfahrensbeschreibung: Erfassung, Fristen, Verantwortliche, Änderungen, Kontrollen, Export und Löschung. Bewahren Sie frühere Fassungen nachvollziehbar auf. Die Dokumentation muss Ihren tatsächlichen Ablauf beschreiben.

6. 6

   Offboarding ohne Verlust der Aufbewahrung regeln

   Löschen Sie ein ausgeschiedenes Benutzerkonto nicht, solange dessen Daten über Vault erhalten bleiben müssen. Prüfen Sie eine passende Archived-User-Lizenz mit Vault-Abdeckung; alternativ kann zunächst das weiterhin lizenzierte Konto gesperrt bleiben. Google beschreibt die Voraussetzungen beim Archivieren ehemaliger Mitarbeiterkonten. Die weiteren Schritte finden Sie im Ratgeber zu Postfach und Daten beim Offboarding.

7. 7

   Jährlich und bei Änderungen kontrollieren

   Wir empfehlen mindestens jährlich eine dokumentierte Prüfung sowie zusätzliche Kontrollen bei Migrationen, Editionswechseln und organisatorischen Änderungen. Finden und exportieren Sie beispielhaft einen älteren Geschäftsvorgang. Kontrollieren Sie dabei auch Lizenzen, OUs, Holds und fällige Löschungen. Für die laufende Workspace-Betreuung vereinbaren wir, welche Vault-Regeln und Kontrollen mitgepflegt werden; ein separates Archiv ist ein eigener Leistungsbaustein.

Typische Fehler bei der E-Mail-Aufbewahrung

Verwechseln Sie außerdem den Gmail-Befehl „Archivieren“ nicht mit gesetzlicher Aufbewahrung: Er entfernt Nachrichten aus dem Posteingang; sie bleiben unter „Alle E-Mails“ auffindbar. Für Ihr Unternehmen zählt das gesamte Verfahren. Im kostenlosen Erstgespräch zur Workspace-Aufbewahrung klären wir, welche technischen Schritte dafür bei Ihnen anstehen.

Quellen

1. BMF: GoBD im Amtlichen AO-Handbuch 2026
2. BMF: Zweite Änderung der GoBD vom 14. Juli 2025
3. § 146 AO: Ordnungsvorschriften für die Buchführung
4. § 147 AO: Aufbewahrung und Datenzugriff
5. § 257 HGB: Aufbewahrungsfristen
6. Bundesregierung: Gesetzliche Neuregelungen im Januar 2025
7. Datenschutz-Grundverordnung: insbesondere Artikel 5, 6 und 17
8. Google Workspace: Editionen und Leistungsumfang
9. Google Vault: Übersicht
10. Google Vault: Unterstützte Dienste und Datentypen
11. Google Vault: Funktionsweise der Aufbewahrung
12. Google Vault: Gmail-Nachrichten aufbewahren
13. Google: Vault für Ihre Organisation einrichten
14. Google: Vault-Lizenzen erwerben
15. Google Vault: Inhalt von Exporten
16. Google Vault: Häufig gestellte Fragen
17. Google: Konten ehemaliger Mitarbeiter archivieren
18. Google Workspace Updates: Aufbewahrungsregeln und Holds für die Gemini-App, 11. Juni 2026
19. Google Vault: Nachrichten der Gemini-App aufbewahren
20. Gmail: E-Mails organisieren und archivieren

Häufige Fragen