GoBD y el archivado de correo, explicado
Por Lucas Flores, IT Systeme Flores UG. Última actualización:
El GoBD exige que el correo empresarial que es correspondencia comercial, o que se refiere a un asiento contable, se conserve durante años de forma completa, inalterable y trazable, no solo almacenada; para eso existe, desde la 0.1.0, el archivo de Restow, con una cadena de hashes que hace detectable cualquier cambio. El resto de esta página responde exactamente qué significa eso y qué hace el archivo hoy.
El correo empresarial que cuenta como correspondencia comercial, o que se refiere a un asiento contable, es un registro relevante para la contabilidad según el derecho alemán. El GoBD, la guía administrativa del ministerio de finanzas sobre la correcta llevanza de registros, establece requisitos específicos y comprobables sobre cómo tiene que conservarse ese registro, no solo durante cuánto tiempo.
Lo que exige realmente la ley
- Retención: 6 años para la correspondencia comercial (§ 257 HGB, § 147 AO), 8 años para los registros contables, 10 años para los libros y las cuentas anuales.
- El requisito central del GoBD: los registros deben ser completos, correctos, oportunos, ordenados, inalterables, trazables y evaluables por máquina, con documentación de procedimiento y un registro de cambios, y conservados en su formato original, de modo que un correo siga siendo un correo, no una impresión.
- «Oportuno» en concreto es la razón por la que la captura en el transporte, por journaling o por una copia que reenvía el proveedor de correo, es el mecanismo más fuerte: toma una copia antes de que un usuario pueda modificar o eliminar el original, mientras que una captura desde el buzón solo ve lo que sigue estando ahí cuando obtiene el correo. Restow ofrece ambas y marca cuál es cuál.
- Junto al RGPD: un concepto de eliminación una vez que termina la retención, la capacidad de buscar por persona para una solicitud de acceso del interesado, y una retención legal usada solo por un motivo documentado.
Cuánto tiempo deben conservarse los registros en Alemania
§ 257 HGB, § 147 AO. El plazo empieza al final del año natural en que se creó el registro (§ 147 (4) AO).
Más tiempo mientras un registro siga siendo relevante para una liquidación fiscal no firme (§ 147 (3) AO). No es asesoramiento jurídico.
Cómo la cadena de hashes hace visible un cambio
El hash de cada elemento archivado incluye el hash anterior. Si cambia uno, ningún eslabón posterior coincide.
Qué hace el archivo de Restow (desde la 0.1.0)
En todas las ediciones: un archivo de solo anexado con cadena de hashes SHA-256 y verificación de la cadena, con búsqueda por asunto, direcciones y, en el correo importado, texto del mensaje (el contenido de los adjuntos no se busca). En todas las ediciones el archivo se alimenta con la importación de correo con la opción de archivar al mismo tiempo; el correo importado se captura a posteriori y su plazo de retención empieza en la fecha de importación. Business y Service Provider añaden la recepción de informes de journaling de Exchange Online por SMTP y, para los proveedores IMAP y Google Workspace, de copias que reenvía el proveedor: las vías de captura que encajan con el argumento anterior, porque la copia se crea en el transporte (el receptor requiere un certificado TLS propio). Desde la 0.4.4 se suma la captura desde los buzones, por notificaciones de cambios de Microsoft Graph para Microsoft 365 y por sincronización IMAP con IDLE para IMAP y Google Workspace, cada una con una asunción única del correo que ya está allí y un elemento archivado por correo, sin importar por cuántas vías se capturó. Esa captura es cercana al momento: obtiene el correo poco después de la entrega, un correo que se mueve o se elimina entre tanto puede perderse y Restow no afirma que sea completa. Se probó con servicios simulados, no con un inquilino real de Microsoft 365 o Google Workspace. El editor de trabajos de correo marca cada vía como captura en el transporte o cercana al momento. Además, retención con eliminación obligatoria y retención legal que suspende la eliminación. Restow habla con Microsoft solo a través de Microsoft Graph, y Microsoft empezó a desactivar EWS para Exchange Online el 1 de octubre de 2026 (definitivamente, el 1 de abril de 2027). Previstos: la búsqueda autoservicio para usuarios finales y un informe de evidencias firmado en PDF. Véase la hoja de ruta.
La cadena de hashes hace detectable un cambio (detección de manipulaciones); no lo hace imposible. Desde la 0.4.0 la inmutabilidad se puede activar por repositorio (destino de almacenamiento) y está desactivada hasta que un administrador lo hace. En S3 con Object Lock (modo compliance o governance, de 1 a 3650 días) se bloquean los paquetes (packs), los manifiestos y las claves del almacén de fragmentos; el archivo escribe el contenido de los mensajes por ese mismo almacén, y los registros de los elementos del archivo conservan su propia retención, como hasta ahora. En un directorio o en un recurso compartido NFS Restow solo retrasa el borrado, lo que no es inmutabilidad; el repositorio predeterminado de la instalación no puede hacerse inmutable, y el bloqueo solo se ha probado hasta ahora con un servicio S3 simulado. Véase copias inmutables.
Lo que no afirmamos
No «certificado según el GoBD»: no existe tal certificado que mantener, ya que el propio GoBD es explícito en que las autoridades fiscales no emiten certificaciones positivas. Restow dice que el archivo está diseñado para un uso conforme a GoBD y nombra las medidas concretas detrás de esa afirmación, nunca «certificado» ni «conforme» como afirmación desnuda y sin matizar, y nunca como sustituto de la revisión de su propia asesoría fiscal o de su responsable de protección de datos. El archivo está en todas las ediciones; la captura desde los buzones, la recepción de journaling, la eliminación obligatoria y la retención legal, en Business y Service Provider.
Preguntas frecuentes
¿Qué exige el GoBD para el archivado de correo?
El correo empresarial que es correspondencia comercial, o que se refiere a un asiento contable, es un registro relevante para la contabilidad según el derecho alemán: 6 años de retención para la correspondencia comercial (§ 257 HGB, § 147 AO), 8 años para los registros contables. El GoBD (la guía administrativa del ministerio de finanzas) además exige que esos registros sean completos, correctos, oportunos, inalterables, trazables, evaluables por máquina, conservados en su formato original, con documentación de procedimiento y un registro de cualquier cambio.
¿Está certificado el archivo de Restow según el GoBD?
No existe tal certificado que se pueda reclamar en primer lugar. El propio GoBD establece que las autoridades fiscales no emiten certificaciones positivas, ni en una auditoría ni de otro modo, y que el certificado de un tercero tampoco vincula a la autoridad fiscal; la responsabilidad permanece en el contribuyente. Restow declara que su archivo está diseñado para un uso conforme a GoBD y nombra las medidas concretas, nunca «certificado» ni «conforme» como afirmación sin matizar.
¿Está disponible el archivo de Restow?
Sí, con límites, desde la 0.1.0. Todas las ediciones archivan con cadena de hashes y una búsqueda por asunto, direcciones y, en el correo importado, texto del mensaje; Business y Service Provider añaden la recepción de journaling y de copias reenviadas (en el transporte), desde la 0.4.4 la captura desde los buzones por Microsoft Graph y sincronización IMAP (cercana al momento, no completa, probada solo con servicios simulados), retención obligatoria y retención legal. La búsqueda autoservicio para usuarios finales y el informe de evidencias firmado están previstos.
Más en Aprender: copia de seguridad y archivo, y por qué uno no sustituye al otro →