Der Betriebsprüfer fragt heute nicht mehr nur nach Belegen. Er fragt nach Ihren E-Mails. Wer dann erst suchen muss, verliert Zeit und Verhandlungsspielraum. Wer vorbereitet ist, bestimmt selbst, was auf den Tisch kommt.
Was der BFH entschieden hat
Der BFH hat mit Beschluss vom 30.04.2025 (XI R 15/23) die Aufbewahrungspflicht für geschäftliche E-Mails konkretisiert. Steuerlich relevante E-Mails können als Handelsbriefe oder Geschäftsbriefe nach § 147 AO gelten. Die Aufbewahrungspflicht umfasst dann die gesamte Korrespondenz zu einem Handelsgeschäft. Sie gilt auch für Anhänge und Metadaten wie Absender, Empfänger, Betreff und Sendezeit. Die Finanzverwaltung darf solche E-Mails zu einem konkreten Sachverhalt anfordern. Suchbegriffe, Zeiträume oder Personen muss sie dafür nicht benennen. Ein Gesamtjournal aller E-Mails müssen Sie dagegen nicht herausgeben.Auch die Fristen haben sich geändert. Seit dem Bürokratieentlastungsgesetz IV gelten für Buchungsbelege acht statt zehn Jahre. Handelsbriefe und damit die meisten E-Mails bewahren Sie sechs Jahre auf. Die Frist beginnt mit dem Ende des Kalenderjahres und endet nicht vor Ablauf der Festsetzungsfrist.
Was bringt Ihnen das?
Sie entscheiden zunächst selbst, welche E-Mails steuerlich relevant sind. Dieses Erstqualifikationsrecht schützt vertrauliche Inhalte vor dem Blick der Prüfer. Es bringt aber auch Verantwortung mit sich. Unvollständige Antworten gefährden Ihre Mitwirkungspflicht und führen zu Schätzungen. Eine durchdachte Archivierung beschleunigt dagegen jede Prüfung und stärkt Ihre Position.
Der Datenschutz als zweites Puzzlestück
E-Mails enthalten fast immer personenbezogene Daten. Die Aufbewahrungspflicht rechtfertigt nur die Speicherung relevanter Nachrichten. Alle übrigen Daten müssen Sie nach Fristablauf löschen. Private Nachrichten der Beschäftigten verdienen besonderen Schutz.
Viele Unternehmen nutzen künstliche Intelligenz für die Vorsortierung. Das ist bei großen Datenmengen sinnvoll, erfordert aber klare Regeln. Eine Datenschutzfolgenabschätzung ist häufig erforderlich. Externe Anbieter benötigen einen Auftragsverarbeitungsvertrag. Der Betriebsrat hat ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG. Zusätzlich gelten die Vorgaben der KI-Verordnung.
Ihre Aufgaben:
Achten Sie auf folgende Punkte, denn sie schützen Sie im Prüfungsfall:
- Prozesse festlegen: Bestimmen Sie Zuständigkeiten für die Einordnung von E-Mails.
- Altbestände prüfen: Erfassen Sie relevante E-Mails auch aus zurückliegenden Jahren.
- Privatnutzung regeln: Klären Sie verbindlich die private Nutzung des Postfachs.
- Löschfristen definieren: Löschen Sie nicht relevante Daten konsequent.
- KI rechtskonform einsetzen: Prüfen Sie die Notwendigkeit einer Datenschutzfolgeabschätzung, Verträge und Mitbestimmung vor dem Start.
Wie wir Ihnen helfen
Wir prüfen, wo Lücken bestehen. Als externe Datenschutzbeauftragte erstellen wir mit Ihnen ein belastbares Löschkonzept, Richtlinien und Datenschutzfolgenabschätzung. Zudem prüfen wir Ihre Verträge mit externen Anbietern und begleiten den Einsatz nach der KI-Verordnung. Ihre internen Datenschutzbeauftragten unterstützen wir mit gezieltem Coaching. Sprechen Sie uns gerne an.