GoBD-Aufbewahrung in Microsoft 365: 6, 8 und 10 Jahre mit Purview sauber umsetzen

Die Betriebsprüferin war freundlich, gründlich und stellte am zweiten Tag eine Frage, auf die niemand im Raum vorbereitet war: „Sie sagen, die Angebotskalkulationen liegen in SharePoint. Wie stellen Sie sicher, dass die Version von 2019 noch die von 2019 ist?" Der IT-Leiter sagte „Versionierung", der Steuerberater sagte „Verfahrensdokumentation", der Geschäftsführer sagte nichts. Am Ende ging es gut aus – aber nur, weil das Unternehmen ein halbes Jahr vorher Retention Labels mit Record-Deklaration eingeführt hatte und der IT-Leiter im Content Explorer zeigen konnte, welches Dokument seit wann gesperrt war. Ohne das wäre es eine sehr lange Woche geworden.

Die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form – kurz GoBD – sind kein IT-Thema und kein Purview-Thema, sondern ein Steuerthema. Aber sie landen auf dem Tisch der IT, sobald steuerrelevante Unterlagen in Microsoft 365 liegen, und das tun sie in fast jedem Unternehmen: Angebote und Auftragsbestätigungen in SharePoint, Rechnungen als Mailanhang, Verträge in Teams, Kalkulationen in OneDrive. Für all das gelten Fristen von sechs, acht und zehn Jahren, die Pflicht zur Unveränderbarkeit und die Pflicht, dem Prüfer Zugriff zu geben. Purview kann davon vieles technisch abbilden – Retention Policies für die Breite, Retention Labels mit Records für den Nachweis, ereignisbasierte Fristen für Verträge, das Audit-Log für die Spur –, aber nur, wenn jemand die Fristen kennt, die Werkzeuge richtig zuordnet und die Grenzen benennt.

Dieser Artikel übersetzt den Fristenkatalog nach HGB und AO in Purview-Konfiguration, zeigt, wie Unveränderbarkeit und Nachweis technisch entstehen, wie E-Mails als Handelsbriefe behandelt werden und wie ereignisbasierte Aufbewahrung für Verträge und Anlagen funktioniert. Er ist Praxisorientierung, keine Steuerberatung, Stand 2026 – welche Unterlagen in deinem Haus aufbewahrungspflichtig sind, entscheidet der Steuerberater, nicht der Administrator. Die Grundlagen von Retention Policy und Label setzt der Spoke Retention Policy vs. Retention Label voraus; wo Aufbewahrung im Gesamtbild von Purview sitzt, zeigt der Überblick zum Kompetenzbereich Microsoft Purview.

Der Fristenkatalog – und was davon überhaupt in Microsoft 365 liegt

Bevor jemand ein Label anlegt, muss die Frage geklärt sein, welche Unterlagen wie lange aufbewahrt werden müssen und wo sie liegen. Das klingt banal und ist der Schritt, der in Projekten am häufigsten übersprungen wird – mit dem Ergebnis, dass die IT eine Zehn-Jahres-Richtlinie über alles legt, „damit nichts passiert", und der Datenschutzbeauftragte drei Monate später fragt, warum Bewerbungsunterlagen zehn Jahre aufbewahrt werden. Der Fristenkatalog gehört auf ein Blatt, mit dem Steuerberater abgestimmt, bevor Purview überhaupt geöffnet wird.

6, 8, 10 – und der Trick mit dem Jahresende

Die drei Fristen sind schnell aufgezählt: zehn Jahre für Bücher, Aufzeichnungen, Inventare, Jahresabschlüsse, Lageberichte, Eröffnungsbilanz und die Organisationsunterlagen, die zu ihrem Verständnis nötig sind – dazu zählt die Verfahrensdokumentation selbst; acht Jahre für Buchungsbelege, also Rechnungen, Quittungen, Kontoauszüge, Lohnabrechnungen und alles, was eine Buchung nachweist; sechs Jahre für Handels- und Geschäftsbriefe, empfangene wie abgesandte, und für sonstige Unterlagen, soweit sie für die Besteuerung von Bedeutung sind. Zwei Details machen daraus ein Purview-Thema. Erstens: Alle Fristen beginnen mit Ablauf des Kalenderjahres, in dem die Unterlage entstanden, der Brief empfangen oder abgesandt, der Abschluss festgestellt wurde. Ein Beleg vom 3. Januar 2026 wird also nicht bis Januar 2034 aufbewahrt, sondern bis Ende 2034 – fast neun Jahre. Purview rechnet aber ab Erstellung, Änderung, Labeling oder Ereignis, nicht ab Jahresende. Wer das ignoriert, löscht zu früh. Drei Wege lösen das: die Frist um ein Jahr aufrunden (neun statt acht), ein ereignisbasiertes Label mit dem Ereignis „Jahresabschluss festgestellt", oder ein Label mit Start „beim Labeling", das zum Jahreswechsel gesetzt wird. Zweitens: Die Ablaufhemmung – solange die steuerliche Festsetzungsfrist noch läuft, etwa wegen einer laufenden Prüfung, läuft auch die Aufbewahrungsfrist nicht ab. Das lässt sich in Purview nicht automatisieren; es braucht die Disposition Review, in der ein Mensch vor der Löschung fragt, ob die Prüfung durch ist.

Skizze 1: Der Fristen-Zeitstrahl – 6, 8 und 10 Jahre ab Ende des Kalenderjahres, und was das für die Purview-Frist bedeutet.

Bestandsaufnahme: was in Microsoft 365 liegt und was im ERP bleibt

Die zweite Frage ist der Ort. Der klassische Buchungsbeleg – die Eingangsrechnung, die Ausgangsrechnung, der Kontoauszug – lebt in den meisten Unternehmen im ERP oder im DMS, und dort gehört er auch hin: Diese Systeme haben Buchungslogik, revisionssichere Ablage und Prüferzugriff. Purview ersetzt sie nicht. Was in Microsoft 365 liegt, ist der Rest, und der ist größer, als die Buchhaltung denkt: Angebote, Auftragsbestätigungen und Lieferscheine in SharePoint-Projektsites; Verträge und Vertragsentwürfe in Teams; Kalkulationen und Preislisten in OneDrive; und vor allem E-Mails – die Rechnung als PDF im Anhang, die Auftragsbestätigung als Mailtext, der Handelsbrief, den niemand als solchen erkannt hat. In Projekten mache ich diese Bestandsaufnahme mit drei Beteiligten: Steuerberater (was ist aufbewahrungspflichtig), Buchhaltung (wo liegt es wirklich) und IT (was davon ist Microsoft 365). Das Ergebnis ist eine Tabelle, die aus dem Fristenkatalog eine Purview-Landkarte macht.

Die folgende Tabelle ist die Landkarte, wie sie in Projekten typischerweise aussieht: Unterlagenart, Frist, Fristbeginn, wo die Unterlage in Microsoft 365 meist liegt und welches Purview-Werkzeug dafür passt. Die Zuordnung der Unterlagenarten ist beispielhaft und gehört mit dem Steuerberater abgestimmt.

Unveränderbarkeit und Nachweis: was die GoBD verlangen und was Purview dafür hat

Die Frist ist die halbe Anforderung. Die andere Hälfte heißt Unveränderbarkeit: Eine Unterlage darf nach ihrer Entstehung nicht so verändert werden, dass der ursprüngliche Inhalt nicht mehr feststellbar ist, und sie darf vor Fristablauf nicht gelöscht werden – auch nicht vom Administrator, auch nicht aus Versehen. Dazu kommt der Nachweis: Der Prüfer will sehen, dass diese Regel galt, seit wann, und dass die Vernichtung nach Fristablauf ordentlich stattfand. Purview hat für jedes Glied dieser Kette ein Werkzeug – und für jedes Werkzeug eine Grenze, die man kennen sollte, bevor man dem Steuerberater etwas verspricht.

Das erste Glied ist das Retention Label mit Record-Deklaration. Ein als Record deklariertes Element ist gegen Löschen und Verschieben gesperrt; Bearbeiten ist nur nach ausdrücklichem Entsperren möglich, das protokolliert wird und die Vorversion erhält. Der regulatorische Record geht weiter: Er ist auch für Administratoren unumkehrbar, das Label lässt sich nicht mehr entfernen, das Element nicht mehr bearbeiten – das ist die Stufe für Jahresabschlüsse und alles, was ein Prüfer als Original sehen will. Das zweite Glied sind Versionierung und Preservation Hold Library: Jede Änderung ist eine Version, jede Löschung landet in der versteckten Bibliothek, und beides bleibt, bis die Frist um ist – vorausgesetzt, der Versionsverlauf ist in der Bibliothek aktiv. Das dritte Glied sind Audit-Log und Content Explorer: Wer hat wann gelabelt, entsperrt, geändert; wie viele Elemente tragen welches Label wo. Das vierte Glied ist die Disposition Review mit Vernichtungsnachweis: Vor der Löschung entscheidet ein Mensch, danach steht im Protokoll, was wann von wem freigegeben wurde. Wie Records und Disposition im Detail funktionieren – Aktenplan, Reviewer-Stufen, Nachweis –, behandelt der Spoke zu Records Management und Disposition Review; hier reicht die Kette.

Skizze 2: Die Unveränderbarkeitskette – Record, Versionen und Preservation Hold Library, Audit und Content Explorer, Disposition mit Nachweis – und die Grenzen.

E-Mail als Handelsbrief: Postfachrichtlinie, Label oder beides?

Die E-Mail ist der Ort, an dem GoBD und Microsoft 365 am häufigsten aneinandergeraten. Eine E-Mail ist aufbewahrungspflichtig, wenn ihr Inhalt es ist – die Auftragsbestätigung im Mailtext ist ein Handelsbrief, die Rechnung im Anhang ein Buchungsbeleg, die Preisverhandlung mit dem Lieferanten ein Geschäftsbrief. Die Mail, die nur „anbei die Rechnung" sagt und sonst nichts, ist reines Transportmittel und muss nicht aufbewahrt werden – der Anhang schon. Und die Mail mit dem Kantinenplan ist gar nichts. Das Problem: Kein Anwender sortiert seine Mails nach diesen Kategorien, und keine Regel erkennt zuverlässig, ob eine Mail ein Handelsbrief ist. Deshalb gibt es in der Praxis drei Umsetzungsvarianten, jede mit einem Preis.

Variante A: eine Postfachrichtlinie für alle Mails mit der längsten Frist – meist sieben oder zehn Jahre. Einfach, vollständig, aber ein Datenschutzproblem: Zehn Jahre alle Mails aller Mitarbeiter heißt zehn Jahre auch die private Krankmeldung und den Chat mit dem Betriebsrat, und der Datenschutzbeauftragte hat recht, wenn er das ablehnt. Variante B: eine Postfachrichtlinie mit kurzer Frist – etwa zwei Jahre – plus Retention Labels für Handelsbriefe und Belege, die der Anwender setzt oder die per Auto-Apply anhand von Klassifizierern für Rechnungen und Verträge angewendet werden. Datenschutzfreundlich, nachweisbar, aber abhängig davon, dass die Erkennung funktioniert und dass die Belegschaft mitmacht. Variante C: der pragmatische Mittelweg, den ich meistens empfehle – Postfachrichtlinie sieben Jahre für die Postfächer, in denen Handelsbriefe entstehen (Vertrieb, Einkauf, Buchhaltung, Geschäftsführung), kürzere Frist für den Rest, dazu Labels für die Buchungsbelege im Anhang und eine klare Anweisung, dass steuerrelevante Anhänge in die zuständige SharePoint-Bibliothek oder das DMS gehören. Wie das mit der DSGVO-Löschung zusammengeht, zeigt der Spoke zum Löschkonzept nach DSGVO.

Die drei Varianten im Vergleich. Welche passt, hängt von der Betriebsvereinbarung, dem Datenschutzbeauftragten und der Frage ab, ob das Unternehmen ein DMS für Belege hat oder Microsoft 365 diese Rolle übernehmen soll.

Ereignisbasierte Aufbewahrung: wenn die Frist erst mit dem Vertragsende beginnt

Für viele Unterlagen ist das Erstellungsdatum der falsche Startpunkt. Ein Mietvertrag über zehn Jahre muss nicht zehn Jahre ab Unterschrift aufbewahrt werden, sondern bis zum Ende der Frist nach Vertragsende – also unter Umständen zwanzig Jahre ab Erstellung. Belege zu einer Anlage im Anlagevermögen gehören bis zum Ende der Nutzungsdauer plus Frist aufbewahrt. Personalunterlagen rechnen ab Ende des Arbeitsverhältnisses. Bücher und Abschlüsse ab Feststellung. Für all das hat Purview die ereignisbasierte Aufbewahrung: Ein Retention Label bekommt einen Ereignistyp – Vertragsende, Anlagenabgang, Austritt, Jahresabschluss –, die Frist ruht, bis das Ereignis für ein konkretes Objekt ausgelöst wird, und beginnt dann für alle Dokumente, die dieses Objekt über eine Asset-ID im Metadatum tragen.

Die Mechanik ist einfach, die Organisation ist es nicht. Das Ereignis muss ausgelöst werden – manuell im Portal, per PowerShell, über Graph oder per Power Automate –, und es muss zuverlässig ausgelöst werden, sonst hat man in zwei Jahren Verträge, deren Frist nie begonnen hat, und die deshalb ewig bleiben. Meine Regel aus Projekten: Ereignisbasierte Aufbewahrung nur dort, wo das Ereignis aus einem Führungssystem kommt – das Vertragsende aus der Vertragsverwaltung, der Anlagenabgang aus der Anlagenbuchhaltung, der Austritt aus dem Personalsystem –, und dann per Automatisierung, nicht per Zuruf. Wo das nicht geht, ist ein großzügig aufgerundetes Label ab Erstellung die ehrlichere Lösung. Wie das speziell für ausscheidende Mitarbeiter aussieht – Postfach, OneDrive, Chats –, beschreibt der Spoke zu ausscheidenden Mitarbeitern.

Skizze 3: Ereignisbasierte Aufbewahrung – Label mit Ereignistyp, Asset-ID am Dokument, Ereignis auslösen, Frist läuft, Disposition.

Der Deutschland-Winkel: Datenstandort, Verfahrensdokumentation, Prüferzugriff

Dieser ganze Spoke ist Deutschland-Winkel, aber drei Punkte gehören noch ausdrücklich genannt. Erstens der Datenstandort: § 146 Abs. 2a und 2b AO regeln, dass elektronische Bücher und Aufzeichnungen im Inland zu führen sind, mit einer Erleichterung für Mitgliedstaaten der EU ohne Antrag und einer Antragspflicht für Drittstaaten. Microsoft 365 mit Datenspeicherung in der EU – für deutsche Tenants innerhalb der EU-Datengrenze – bewegt sich damit im Rahmen, den der Steuerberater bestätigen sollte; wer Daten in Regionen außerhalb der EU speichert, hat ein Thema. Zweitens die Verfahrensdokumentation: Sie ist keine Kür, sondern Pflicht, und sie muss beschreiben, welche Retention Policies und Labels es gibt, welche Fristen sie abbilden, wer sie ändern darf, wie Records entsperrt werden, wo gelöschte Inhalte landen und wie der Prüfer Zugriff bekommt. Purview schreibt sie nicht; sie gehört ins Repertoire des Compliance-Verantwortlichen und ist selbst zehn Jahre aufzubewahren. Drittens der Datenzugriff: Der Prüfer darf unmittelbar am System lesen (Z1), sich Auswertungen geben lassen (Z2) oder Datenträger verlangen (Z3). Für Microsoft 365 heißt das in der Praxis: eDiscovery-Export in nativen Formaten für Z3, ein Lesezugriff auf die Belegbibliothek für Z1 – wie eDiscovery dafür eingerichtet wird, zeigt der Spoke zu eDiscovery Standard vs. Premium; die Nachweiskette über das Audit-Log der Spoke zum Audit-Log.

Und dann ist da die andere Seite: Nach Fristablauf verlangt die DSGVO die Löschung personenbezogener Daten, und die Aufbewahrungspflicht ist genau die Rechtsgrundlage, die bis dahin die Speicherung trägt – danach nicht mehr. Ein GoBD-Konzept ohne Löschaktion nach Fristende ist deshalb ein halbes Konzept, und die Disposition Review ist der Ort, an dem beide Pflichten sich treffen: Prüfung vorbei, Frist um, löschen. Der Betriebsrat interessiert sich beim Thema GoBD vor allem für die Postfachaufbewahrung: Sieben Jahre alle Mails der Vertriebsabteilung sind Verhaltensdaten, und die Betriebsvereinbarung sollte sagen, dass sie für den Prüfer da sind, nicht für die Auswertung. Wie immer: keine Rechtsberatung, keine Steuerberatung, Stand 2026 – Steuerberater, Datenschutzbeauftragter und Betriebsrat gehören an den Tisch, bevor das erste Label gesetzt wird.

Stolperfallen aus der Praxis

Zehn Jahre über alles. Die IT legt eine Zehn-Jahres-Richtlinie auf den Tenant, „damit nichts passiert" – und der Datenschutzbeauftragte fragt drei Monate später, warum Bewerbungen und private Mails zehn Jahre liegen. Fristenkatalog zuerst, Richtlinien danach, Löschaktion immer.

Frist ab Erstellung ohne Jahresende. Der Beleg vom 3. Januar wird nach genau acht Jahren gelöscht – ein Jahr zu früh. Aufrunden oder ereignisbasiert.

Versionsverlauf in der Belegbibliothek aus. Das Record-Label ist da, aber die Bibliothek speichert keine Versionen; das Entsperren erhält nichts. Versionierung prüfen, bevor Records deklariert werden.

Ereignisse werden von Hand ausgelöst. Nach zwei Jahren hat niemand mehr ein Vertragsende gemeldet, und alle Verträge leben ewig. Nur mit Führungssystem und Automatisierung – sonst aufrunden.

Purview ersetzt das DMS. Belege werden aus dem DMS nach SharePoint gezogen, weil „Purview das jetzt kann" – und die Buchungslogik, der Prüferzugriff und die Verfahrensdokumentation fehlen. Purview für das, was in Microsoft 365 liegt; das DMS für das, wofür es gebaut ist.

Verfahrensdokumentation fehlt. Alles ist konfiguriert, nichts ist beschrieben, und am Prüfungstag kann niemand sagen, seit wann welches Label galt. Die Dokumentation ist Teil des Projekts, nicht Nacharbeit.

Fazit: Fristenkatalog, Records, Löschaktion – und der Steuerberater am Tisch

GoBD-Aufbewahrung in Microsoft 365 ist machbar, wenn man sie in der richtigen Reihenfolge angeht: erst der Fristenkatalog mit dem Steuerberater und die Bestandsaufnahme, was davon wirklich in Exchange, SharePoint, OneDrive und Teams liegt; dann Retention Policies für die Breite mit Löschaktion, Retention Labels mit Records für den Nachweis, ereignisbasierte Fristen nur mit Führungssystem; dazu Versionierung, Audit und Disposition Review als Kette der Unveränderbarkeit – und eine Verfahrensdokumentation, die das alles beschreibt. Purview ist dafür ein starkes Werkzeug und kein Universalarchiv; wer die Grenzen benennt, hat am Prüfungstag eine kurze Woche. Wo Aufbewahrung im Gesamtbild aus Labels, DLP und Copilot-Absicherung steht, zeigt der Purview-Überblick.

Wenn du wissen willst, welche steuerrelevanten Unterlagen in deinem Tenant heute wo liegen, welche Fristen darauf wirken und wo Records und Verfahrensdokumentation fehlen: Die Purview-Standortbestimmung liefert genau diese Landkarte – kompakt, zum Festpreis, mit Aktionsplan für Steuerberater und IT.

FAQ: Häufige Fragen zur GoBD-Aufbewahrung in Microsoft 365

Welche Aufbewahrungsfristen gelten nach GoBD, HGB und AO?

Zehn Jahre für Bücher, Aufzeichnungen, Inventare, Jahresabschlüsse, Lageberichte und Organisationsunterlagen; acht Jahre für Buchungsbelege (seit dem Vierten Bürokratieentlastungsgesetz für Belege, deren Frist am 1. Januar 2025 noch lief); sechs Jahre für empfangene und abgesandte Handels- und Geschäftsbriefe sowie sonstige steuerrelevante Unterlagen. Alle Fristen beginnen mit Ablauf des Kalenderjahres, in dem die Unterlage entstanden ist. Praxisorientierung, keine Steuerberatung, Stand 2026 – die Einordnung im Einzelfall trifft der Steuerberater.

Ist Microsoft 365 mit Purview ein GoBD-konformes Archiv?

Es gibt kein „GoBD-zertifiziertes" Archiv – die GoBD kennen keine Zertifizierung, sondern die Verantwortung des Steuerpflichtigen und seine Verfahrensdokumentation. Purview kann für Unterlagen in Exchange, SharePoint, OneDrive und Teams die Anforderungen an Fristen, Unveränderbarkeit (Records), Nachweis (Audit, Content Explorer, Disposition-Protokoll) und Datenzugriff (eDiscovery-Export) technisch abbilden. Es ersetzt aber weder ERP noch DMS für Buchungsbelege noch die Verfahrensdokumentation.

Wie bilde ich den Fristbeginn zum Jahresende in Purview ab?

Purview rechnet ab Erstellung, letzter Änderung, Labeling oder Ereignis – nicht ab Jahresende. Drei Wege: die Frist um ein Jahr aufrunden (neun statt acht Jahre für Belege), ein ereignisbasiertes Label mit dem Ereignis „Jahresabschluss festgestellt", oder ein Label mit Start „beim Labeling", das zum Jahreswechsel gesetzt wird. Aufrunden ist der einfachste und robusteste Weg; die Ablaufhemmung bei laufender Prüfung fängt die Disposition Review ab.

Müssen E-Mails nach GoBD aufbewahrt werden?

Ja, wenn ihr Inhalt aufbewahrungspflichtig ist – die Auftragsbestätigung im Mailtext ist ein Handelsbrief, die Rechnung im Anhang ein Buchungsbeleg. Eine Mail, die nur als Transportmittel dient („anbei die Rechnung"), muss nicht aufbewahrt werden, der Anhang schon. In Purview wird das über Postfachrichtlinien, Retention Labels oder – meist am praktikabelsten – eine gestufte Kombination umgesetzt: längere Frist für Postfächer der Bereiche mit Handelsbriefen, kürzere für den Rest, Belege per Label und in die zuständige Bibliothek oder das DMS.

Was ist der Unterschied zwischen einem Record und einem regulatorischen Record?

Ein Record (über ein Retention Label deklariert) sperrt ein Element gegen Löschen und Verschieben; Bearbeiten ist nur nach protokolliertem Entsperren möglich, und ein Administrator kann das Label bei Bedarf ändern. Ein regulatorischer Record ist unumkehrbar: Das Label lässt sich nicht mehr entfernen oder verkürzen, das Element nicht mehr bearbeiten oder löschen – auch nicht durch Administratoren. Regulatorische Records sind für Jahresabschlüsse und vergleichbare Originale gedacht und sollten sparsam eingesetzt werden. Beides braucht Microsoft 365 E5 oder E5 Compliance (Stand 2026).

Brauche ich für GoBD-Aufbewahrung in Purview Microsoft 365 E5?

Für Retention Policies und manuell gesetzte Retention Labels reicht Microsoft 365 E3. Records und regulatorische Records, ereignisbasierte Labels mit Auto-Apply, adaptive Bereiche und die Disposition Review mit Vernichtungsnachweis brauchen E5 oder E5 Compliance; die längere Audit-Aufbewahrung braucht Audit Premium. Wer nur die Unveränderbarkeit für wenige Bibliotheken nachweisen muss, kommt mit E5 für die betroffenen Benutzer aus – Praxisorientierung, Stand 2026.

Wo fange ich mit GoBD-Aufbewahrung in Microsoft 365 an?

Mit einem Fristenkatalog auf einem Blatt, abgestimmt mit dem Steuerberater, und einer Bestandsaufnahme mit Buchhaltung und IT, welche aufbewahrungspflichtigen Unterlagen wirklich in Exchange, SharePoint, OneDrive und Teams liegen. Danach eine Tenant-Richtlinie mit aufgerundeter Frist und Löschaktion, ein Record-Label als Standard für die Belegbibliotheken, eine gestufte Postfachregelung – und parallel die Verfahrensdokumentation, die beschreibt, was gilt und wer es ändern darf.