Skip to content

Vorlage: Verfahrensdokumentation E-Mail-Archivierung#

Diese Vorlage gilt für Piler Enterprise Edition 2.2.5+

Revision #1

Veröffentlicht: 30.10.2026

Eine Vorlage für die Verfahrensdokumentation (Rz. 151 bis 155 der GoBD) der E-Mail-Archivierung mit Piler. Die Teile, die Piler beschreiben, sind vorausgefüllt; was Ihr Unternehmen betrifft, steht in eckigen Klammern [...] und ist zu ergänzen. Hinweise in kursiver Schrift erläutern die Vorlage und können entfernt werden.

Laden Sie die Vorlage zum Ausfüllen herunter, als Word-Datei (DOCX) oder für LibreOffice als ODT: Die Felder lassen sich anklicken und überschreiben. Passen Sie die Vorlage an Ihren Betrieb an und streichen Sie, was nicht zutrifft. Die Verfahrensdokumentation muss dem tatsächlichen Betrieb entsprechen (Rz. 154): Eine unveränderte Vorlage genügt nicht.

Die Zuordnung der Anforderungen der GoBD zu Piler steht auf der Seite GoBD-konforme E-Mail-Archivierung. Diese Vorlage ist keine Rechtsberatung: Stimmen Sie die Dokumentation mit Ihrem Steuerberater ab.

Deckblatt#
Unternehmen [Name, Anschrift]
DV-System E-Mail-Archiv Piler Enterprise
Version dieser Dokumentation [1.0]
Gültig ab [TT.MM.JJJJ]
Verantwortlich für die Dokumentation [Name, Funktion]
Freigegeben durch [Name, Funktion, Datum]

Änderungshistorie#

Die Änderungen der Verfahrensdokumentation müssen historisch nachvollziehbar sein (Rz. 154). Tragen Sie jede Änderung ein, auch jedes Update von Piler und jede Änderung der Einstellungen außerhalb von Piler (z. B. in .env oder an der Journalregel des Mailservers): Diese stehen nicht im Audit-Log.

Version Datum Änderung Geändert von
[1.0] [TT.MM.JJJJ] Erstfassung [Name]

1. Allgemeine Beschreibung#

1.1 Zweck des Systems#

Das Unternehmen archiviert mit Piler Enterprise die ein- und ausgehenden E-Mails [aller Postfächer der Domains [beispiel.de], [...]], damit aufbewahrungspflichtige E-Mails (Handels- und Geschäftsbriefe, Buchungsbelege, Rz. 121) vollständig, unveränderbar und für die Dauer der Aufbewahrungsfristen auffindbar aufbewahrt werden (§ 147 AO, § 257 HGB, § 14b UStG).

Das Archiv ergänzt den Mailserver [z. B. Microsoft Exchange Online, Exchange Server, Postfix]: Die E-Mails bleiben im Archiv erhalten, auch wenn Benutzer sie in ihrem Postfach löschen.

1.2 Geltungsbereich#
Archivierte Domains [beispiel.de, ...]
Archivierte Postfächer [alle Postfächer der genannten Domains / Ausnahmen: ...]
Archiviert seit [TT.MM.JJJJ]
Ältere E-Mails [importiert aus ... am ... / nicht importiert]
Nicht archiviert [z. B. private Postfächer, sofern die private Nutzung erlaubt ist; sonst: keine Ausnahmen]

Es kommt auf Inhalt und Funktion einer E-Mail an (Rz. 121). Die meisten Unternehmen archivieren alle E-Mails ihrer Domains, weil sich aufbewahrungspflichtige E-Mails nicht zuverlässig von Hand trennen lassen.

1.3 Aufbewahrungsfristen#

Unterlagen Frist Einstellung in Piler
Buchungsbelege, einschließlich Rechnungen 8 Jahre (bis 2024: 10 Jahre) [Aufbewahrungsfrist des Mandanten / Regel ...]
Handels- und Geschäftsbriefe 6 Jahre [...]
[Bücher, Jahresabschlüsse, ... soweit per E-Mail] 10 Jahre [...]

Die Aufbewahrungsfrist des Archivs ist auf [10 Jahre (3650 Tage)] eingestellt, die längste für die archivierten E-Mails geltende Frist. [Ausnahmen per Aufbewahrungsregel: z. B. Newsletter von ... nach ... Tagen.]

Die gesetzliche Frist beginnt mit dem Schluss des Kalenderjahres, in dem die E-Mail empfangen oder abgesandt wurde. Piler rechnet die Frist ab dem Datum der E-Mail: Eine E-Mail vom März ist nach 8 Jahren im März fällig, die gesetzliche Frist endet erst am Jahresende. Stellen Sie die Frist daher ein Jahr länger ein (z. B. 9 statt 8 Jahre), oder stimmen Sie sie mit Ihrem Steuerberater ab.

1.4 Verantwortlichkeiten#

Die Verantwortung für die Ordnungsmäßigkeit bleibt beim Unternehmen, auch wenn ein Dienstleister das Archiv betreibt (Rz. 21).

Aufgabe Verantwortlich Vertretung
Gesamtverantwortung [Geschäftsführung: Name]
Betrieb des Archivs (Server, Updates, Datensicherung) [IT: Name / Dienstleister: Firma, Ansprechpartner] [...]
Administration in Piler (Benutzer, Rollen, Aufbewahrungsregeln) [Name] [...]
Freigabe von Löschungen (Datenschutzbeauftragter, falls Löschen aktiviert) [Name] [...]
Prüfung des Audit-Logs und der Berechtigungen [Name] [...]
Ansprechpartner für die Betriebsprüfung [Name] [...]
Pflege dieser Verfahrensdokumentation [Name] [...]

[Bei einem Dienstleister: Vertrag vom [Datum] mit [Firma], Leistungen: Betrieb, Datensicherung, Updates, ...]

2. Anwenderdokumentation#

2.1 Rollen und Berechtigungen#

Rolle in Piler Darf Im Unternehmen
Benutzer Die eigenen E-Mails suchen, ansehen, herunterladen und wiederherstellen (die E-Mails der eigenen Adressen und der zugewiesenen Gruppen) [alle Mitarbeiter / ...]
Auditor Alle archivierten E-Mails suchen, ansehen und exportieren; Löschungen beantragen, falls das Löschen aktiviert ist [Name(n)]
Datenschutzbeauftragter Löschanträge freigeben oder ablehnen [Name(n) / nicht vergeben]
Administrator Benutzer, Gruppen, Domains, Aufbewahrungsregeln und Einstellungen verwalten; keine E-Mails lesen [Name(n)]

Die Anmeldung erfolgt über [Active Directory / LDAP / SAML (z. B. Microsoft Entra ID) / lokale Konten], [mit Zwei-Faktor-Authentifizierung für Administratoren und Auditoren].

[Berechtigungskonzept: Wer vergibt Rollen, auf wessen Antrag, wie wird es dokumentiert?]

2.2 Suchen, Ansehen, Exportieren#

Berechtigte Benutzer suchen in der Weboberfläche von Piler (https://[archiv.beispiel.de]) im Volltext von Text, Betreff und Anhängen sowie nach Absender, Empfänger, Zeitraum, Größe und Typ der Anhänge. Jede E-Mail kann am Bildschirm gelesen (Rz. 156, 157), als Original (EML) heruntergeladen oder ins eigene Postfach wiederhergestellt werden. Auditoren können Suchergebnisse exportieren (EML, MBOX, PDF, CSV, eDiscovery-Exporte).

Ergänzungen (Tags, Notizen) werden getrennt von der E-Mail gespeichert; die E-Mail selbst bleibt unverändert (Rz. 123).

2.3 Löschung#

[Variante A, empfohlen:] Das Löschen ist deaktiviert (ENABLE_DELETE=false). Archivierte E-Mails werden erst nach Ablauf ihrer Aufbewahrungsfrist automatisch bereinigt.

[Variante B:] Das Löschen ist aktiviert, für [Löschanträge nach der DSGVO]. Auditoren [und Benutzer] können die Löschung einer E-Mail mit Begründung beantragen; der Datenschutzbeauftragte gibt jeden Antrag frei oder lehnt ihn ab (Vier-Augen-Prinzip, NEED_TO_APPROVE_DELETE=true). Steuer- und handelsrechtliche Aufbewahrungspflichten gehen einem Löschantrag nach der DSGVO in der Regel vor (Art. 17 Abs. 3 lit. b DSGVO). [Wie wird geprüft, ob eine E-Mail aufbewahrungspflichtig ist?]

2.4 Datenzugriff bei der Außenprüfung#

Zugriff Umsetzung im Unternehmen
Z1, unmittelbarer Datenzugriff (Rz. 165) [Ein Auditor-Konto für die Dauer der Prüfung, vor Ort; danach deaktiviert. Hinweis: Ein Auditor sieht alle archivierten E-Mails.]
Z2, mittelbarer Datenzugriff (Rz. 166) [Der Ansprechpartner sucht die E-Mails nach den Vorgaben des Prüfers und stellt sie zur Verfügung.]
Z3, Datenüberlassung (Rz. 167) [Export der ausgewählten E-Mails als EML auf einen Datenträger.]

Welche E-Mails steuerlich relevant sind, legt das Unternehmen fest (Erstqualifikation, Rz. 161): [Vorgehen].

3. Technische Systemdokumentation#

3.1 Eingesetzte Software#
Software Piler Enterprise, Version [2.2.5]
Betriebssystem [z. B. Ubuntu 26.04 / Docker auf ...]
Datenbank MariaDB [Version] (Metadaten)
Suchindex Manticore Search [Version]
Ablage der E-Mails [lokales Dateisystem / S3-kompatibler Speicher: Anbieter, Bucket]
Betrieb [eigener Server im Rechenzentrum ... / Hosting-Partner ...]
Standort der Daten [Land, Rechenzentrum]

[Architektur: ein Server / Master mit [n] Workern; Hostnamen; Netz.]

Die Versionen der Programme müssen den im jeweiligen Zeitraum eingesetzten entsprechen (Programmidentität, Rz. 154): Halten Sie jedes Update in der Änderungshistorie fest.

3.2 Erfassung#

Der Mailserver [Name] sendet mit einer Journalregel eine Kopie jeder ein- und ausgehenden E-Mail per SMTP an den Dienst piler-smtp des Archivs ([Hostname:Port]). Die Erfassung hängt nicht von Benutzern oder E-Mail-Programmen ab, und E-Mails, die Benutzer in ihrem Postfach löschen, sind bereits archiviert.

[Umschlagsdateien sind aktiviert (enable_envelope_sidecar): Die Umschlagsempfänger, z. B. Bcc-Empfänger, werden mit der E-Mail archiviert. piler-smtp ist nur für die Mailserver erreichbar (Firewall).]

Prüfen Sie die Vollständigkeit regelmäßig, siehe 5.2.

3.3 Verarbeitung und Speicherung#

Piler archiviert jede E-Mail beim Empfang:

  1. Die E-Mail wird im Originalformat (EML) mit allen Kopfzeilen und Anhängen gespeichert, so wie sie empfangen wurde. Anhänge werden nicht umgewandelt (Rz. 119, 129, 131).
  2. Ein SHA-256-Hashwert der E-Mail wird gespeichert; er wird bei jedem Öffnen geprüft.
  3. Die E-Mail wird komprimiert und mit AES verschlüsselt abgelegt. Identische E-Mails und Anhänge identischen Inhalts werden einmal gespeichert.
  4. Absender, Empfänger, Datum, Betreff und weitere Metadaten werden in der Datenbank gespeichert, Text und Anhänge im Suchindex. Jede E-Mail erhält eine eindeutige ID (Rz. 122). Der Suchindex kann aus den gespeicherten E-Mails neu aufgebaut werden.

3.4 Unveränderbarkeit#

Maßnahme Umsetzung
Keine Änderungsfunktion Piler hat keine Funktion, eine archivierte E-Mail zu ändern
Hashwert SHA-256 jeder E-Mail, beim Öffnen geprüft; eine veränderte E-Mail wird als nicht verifiziert angezeigt
Zugriffsschutz Nur Piler und die Administratoren des Servers haben Zugriff auf die Ablage: [Beschreibung]
Zeitstempel [Das Programm sign lässt die Hashwerte täglich von [Zeitstempeldienst] signieren (RFC 3161) / nicht eingesetzt]
WORM-Speicher [S3 Object Lock im Modus [Compliance], Aufbewahrung [n] Jahre / nicht eingesetzt]

3.5 Aufbewahrung und Löschung#

Einstellung Wert
Aufbewahrungsfrist des Mandanten [3650 Tage]
Aufbewahrungsregeln [keine / siehe Anhang B]
Bereinigung nach Fristablauf (purge) [aktiviert / deaktiviert]
Löschen (ENABLE_DELETE) [false]
Freigabe von Löschungen (NEED_TO_APPROVE_DELETE) [true / nicht relevant]
Löschanträge durch Benutzer (ENABLE_DELETE_FOR_USERS) [false]
Legal Hold [eingesetzt für ... / nicht eingesetzt]

3.6 Protokollierung#

Das Audit-Log von Piler protokolliert Anmeldungen, Suchen, Ansichten, Downloads, Wiederherstellungen, Exporte, Löschanträge und deren Freigabe sowie jede Änderung der Einstellungen über die Weboberfläche oder die API, jeweils mit Benutzer, Zeitpunkt und IP-Adresse (Rz. 111, 117). Das Audit-Log kann in der Weboberfläche und über die API weder geändert noch gelöscht werden.

[Das Audit-Log wird an [SIEM: Produkt] weitergeleitet und dort [n] Jahre aufbewahrt / nicht weitergeleitet.]

3.7 Verschlüsselung und Schlüssel#

Die E-Mails werden mit dem Schlüssel piler.key verschlüsselt. Berechtigte Benutzer sehen und exportieren sie entschlüsselt (Rz. 134). Ohne den Schlüssel können die archivierten E-Mails nicht gelesen werden: Er wird für die gesamte Aufbewahrungsfrist aufbewahrt, siehe 4.2.

3.8 E-Rechnungen#

E-Rechnungen (XRechnung, ZUGFeRD, Factur-X) werden mit der E-Mail unverändert archiviert: die XML-Datei und das PDF. Damit bleibt der strukturierte Teil erhalten (Rz. 119, 131), ebenso das PDF, falls es zusätzliche steuerlich relevante Informationen enthält. [Die Verarbeitung der Rechnungen erfolgt in [Buchhaltungssystem]; das Archiv bewahrt die empfangene E-Mail auf.]

3.9 Schnittstellen und Datenübernahme#
Import älterer E-Mails [aus ... (PST-Dateien / IMAP / Microsoft 365 / altes Archiv) mit pilerimport am ...; Anzahl: ...]
Exporte Auditoren können E-Mails exportieren, siehe 2.2
Weitere Schnittstellen [z. B. Outlook-Add-in, API für ..., keine]

Bei einem Systemwechsel müssen die Daten vollständig und unverändert übernommen werden (Rz. 142 bis 144): Beschreiben Sie Import und Prüfung.

4. Betriebsdokumentation#

4.1 Datensicherung#
Gesichert werden Datenbanken (MariaDB), gespeicherte E-Mails und Anhänge, Suchindex [oder Neuaufbau mit reindex], Konfiguration (.env, /etc/piler), Schlüssel piler.key
Verfahren [Programm, z. B. piler-backup-complete.sh / Snapshots / ...]
Häufigkeit [täglich um ...]
Speicherort [zweiter Standort / Cloud-Speicher, getrennt vom Archiv]
Aufbewahrung der Sicherungen [z. B. 30 tägliche, 12 monatliche]
Wiederherstellungstest [halbjährlich, Protokoll in ...]

Die Beschreibung der Datensicherung ist Teil der Verfahrensdokumentation (Rz. 106).

4.2 Schlüsselverwaltung#

Der Schlüssel piler.key wird [im Passwort-Tresor ..., ausgedruckt im Safe ...] aufbewahrt, getrennt von den Datensicherungen, für die gesamte Aufbewahrungsfrist der archivierten E-Mails. Zugriff haben [Name(n)].

4.3 Updates#

Updates von Piler werden [von ...] nach den Upgrade-Hinweisen der Dokumentation eingespielt, [innerhalb von ... nach der Veröffentlichung; Sicherheitsupdates innerhalb von ...]. Jedes Update wird in der Änderungshistorie mit Datum und Version festgehalten.

Datum Version vorher Version nachher Durchgeführt von
[TT.MM.JJJJ] [2.2.4] [2.2.5] [Name]

4.4 Überwachung und Störungen#

[Die Verfügbarkeit des Archivs und der Eingang der E-Mails werden mit [Prometheus / ...] überwacht (Endpunkt /metrics); Alarme gehen an ....]

Bei einer Störung der Archivierung (z. B. der Mailserver kann das Archiv nicht erreichen) [stellt der Mailserver die Journalkopien zurück und liefert sie nach / ...]. Störungen und ihre Behebung werden in [Ticket- system / Störungsprotokoll] dokumentiert, mit einer Prüfung, ob E-Mails fehlen.

4.5 Zugriff auf die Server#

[Wer hat administrativen Zugriff auf Server, Datenbank und Speicher, wie wird er vergeben und protokolliert?]

5. Internes Kontrollsystem#

Die Beschreibung des internen Kontrollsystems ist Teil der Verfahrensdokumentation (Rz. 100 bis 102).

5.1 Berechtigungen#

Kontrolle Häufigkeit Verantwortlich Nachweis
Prüfung der Auditor-, Datenschutzbeauftragten- und Administratorkonten [halbjährlich] [Name] [Protokoll]
Deaktivierung der Konten ausgeschiedener Mitarbeiter [beim Austritt] [Name] [...]

5.2 Vollständigkeit#

Kontrolle Häufigkeit Verantwortlich Nachweis
Stichprobe: eine aktuelle ein- und ausgehende E-Mail ist im Archiv auffindbar [monatlich] [Name] [...]
Die Journalregel des Mailservers ist aktiv und unverändert [monatlich] [Name] [...]
Keine E-Mails im Fehlerverzeichnis des Archivs [laufend über die Überwachung] [Name] [...]

5.3 Protokollierung und Löschungen#

Kontrolle Häufigkeit Verantwortlich Nachweis
Durchsicht des Audit-Logs: Zugriffe von Auditoren, Exporte, Änderungen der Einstellungen [monatlich] [Name] [...]
Durchsicht der Löschanträge und Freigaben (falls das Löschen aktiviert ist) [monatlich] [Name] [...]

5.4 Datensicherung#

Kontrolle Häufigkeit Verantwortlich Nachweis
Erfolg der Datensicherung [täglich] [Name] [...]
Wiederherstellungstest [halbjährlich] [Name] [...]

Anhang A: Einstellungen#

Eine Übersicht der für die GoBD relevanten Einstellungen zum Zeitpunkt dieser Version der Dokumentation. Der Konfigurationsbericht in der Administration (Compliance > Configuration report) erstellt die Anhänge A und B und die Rollen aus Abschnitt 2.1 aus der aktuellen Konfiguration; was Piler nicht auslesen kann, bleibt als Platzhalter stehen.

Einstellung Wert
ENABLE_DELETE [false]
NEED_TO_APPROVE_DELETE [...]
ENABLE_DELETE_FOR_USERS [false]
Aufbewahrungsfrist des Mandanten [3650 Tage]
Bereinigung (purge) [aktiviert]
Anmeldung (AUTH_MODE) [...]
Weiterleitung des Audit-Logs (SIEM) [...]
Ablage (lokal / S3, Object Lock) [...]

Anhang B: Aufbewahrungsregeln#

Regel Kriterium Frist Begründung
[Newsletter] [Absender ...] [365 Tage] [nicht aufbewahrungspflichtig]

Anhang C: Mitgeltende Unterlagen#