Datenträgervernichtung nach DIN 66399: DSGVO-Anforderungen

Datenträgervernichtung ist kein optionaler IT-Hygieneschritt, sondern ein verbindlicher Datenschutzprozess: Die DSGVO verpflichtet Unternehmen, personenbezogene Daten nach Ablauf der Speicherfrist nachweisbar unzugänglich zu machen. Wer ausgemusterte Festplatten, SSDs, Backup-Bänder oder Papierakten ohne geregelte Datenträgervernichtung entsorgt, riskiert Bußgelder nach Art. 83 DSGVO von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Gleichzeitig bietet die DIN 66399 einen praxisnahen Rahmen, um Schutzklassen, Sicherheitsstufen und Nachweispflichten systematisch umzusetzen – ohne bürokratischen Overkill.

Warum Datenträgervernichtung ein DSGVO-Thema ist

Datenträgervernichtung ist mehr als Aufräumen im IT-Lager: Sobald auf Datenträgern personenbezogene Daten, Geschäftsgeheimnisse oder vertrauliche Projektinformationen gespeichert waren, wird die Entsorgung zum Datenschutz- und Compliance-Prozess. Ausgemusterte Festplatten, SSDs, USB-Sticks, Backup-Bänder und Papierakten enthalten häufig länger lesbare Daten, als IT-Verantwortliche vermuten – selbst nach Löschoperationen.

Die DSGVO verlangt nach Art. 5 Abs. 1 lit. e, dass personenbezogene Daten nur so lange gespeichert werden, wie es für den Zweck erforderlich ist (Speicherbegrenzung). Art. 32 DSGVO verpflichtet Unternehmen zusätzlich, geeignete technische und organisatorische Maßnahmen (TOM) umzusetzen. Datenträgervernichtung ist dabei eine typische TOM am Ende des Datenlebenszyklus: Sie schließt die Lücke zwischen „Daten müssten gelöscht sein“ und „Daten sind nachweisbar nicht mehr zugreifbar“.

Entscheidend ist die Perspektive der Nachweisbarkeit: Nicht nur die Durchführung zählt, sondern auch die Fähigkeit, bei Audits oder Datenschutzprüfungen zu belegen, dass die Datenträgervernichtung geeignet war, Verantwortlichkeiten geregelt sind und der Prozess kontrolliert abläuft. Remote-Arbeit und Cloud-/Hybrid-Betrieb haben die Zahl der Speicherorte und Datenträger erhöht – Datenträgervernichtung wird damit zum verbindenden Element zwischen IT, Datenschutz, Informationssicherheit, Einkauf und Entsorgung.

Datenträgervernichtung nach DIN 66399: Schutzklassen, Sicherheitsstufen, Materialklassen

Die DIN 66399 ist der praxisnahe Referenzrahmen, um Datenträgervernichtung konsistent zu planen und umzusetzen. Statt pauschaler Lösungen liefert sie ein System aus Schutzklassen und Sicherheitsstufen. Der zentrale Gedanke: Zuerst wird der Schutzbedarf der Informationen bewertet, dann wird die passende Vernichtungsqualität festgelegt – weder überdimensioniert noch zu schwach.

Die Norm arbeitet mit drei Schutzklassen: Schutzklasse 1 (normaler Schutzbedarf), Schutzklasse 2 (hoher Schutzbedarf) und Schutzklasse 3 (sehr hoher Schutzbedarf). Parallel dazu gibt es sieben Sicherheitsstufen (1 bis 7): Je höher die Sicherheitsstufe, desto kleiner sind die verbleibenden Partikel und desto geringer ist die Chance einer Rekonstruktion. Zusätzlich werden Materialklassen unterschieden, weil Papier, optische Medien, magnetische Datenträger und elektronische Datenträger technisch unterschiedlich vernichtet werden müssen.

In der Praxis liegt ein Großteil der Unternehmensfälle in Schutzklasse 2, weil Personal- und Kundendaten, Vertragsunterlagen, Ticketsystem-Exporte oder CRM-Auszüge typischerweise hohen Schutzbedarf aufweisen. Die Leitfrage bei der Einordnung lautet: „Was wäre das realistische Schadensszenario, wenn die Daten doch wiederherstellbar wären?“ Daraus leiten sich Schutzklasse und Sicherheitsstufe direkt ab.

DSGVO-Anforderungen: Löschpflicht, TOM, Auftragsverarbeitung und Nachweise

Datenträgervernichtung ist im DSGVO-Kontext an drei zentralen Stellen verankert: der Speicherbegrenzungspflicht (Art. 5 DSGVO), der TOM-Pflicht (Art. 32 DSGVO) und der Pflicht zur datenschutzkonformen Einbindung externer Dienstleister als Auftragsverarbeiter (Art. 28 DSGVO). Alle drei Aspekte müssen zusammengedacht werden, damit Datenträgervernichtung rechtlich belastbar ist.

Konkret bedeutet das: Ein Lösch- und Vernichtungskonzept muss nicht bei Serverdaten enden, sondern ausdrücklich Papier, IT-Geräte und Wechseldatenträger im Lebenszyklus berücksichtigen. Ein belastbares Konzept beantwortet mindestens: Welche Datenträger fallen an? Welche Schutzklassen gelten? Welche Sicherheitsstufen sind je Medium zulässig? Wer entscheidet über Ausnahmen (z. B. Rechtsstreit, Aufbewahrungspflichten)? Wie werden Protokolle geführt und kontrolliert?

Wenn ein externer Anbieter die Datenträgervernichtung übernimmt, ist die Auftragsverarbeitung der zentrale Hebel: Rollen, Weisungsrechte, Kontrollmöglichkeiten, Subunternehmer und Sicherheitsmaßnahmen müssen vertraglich geregelt sein. Aus Sicht der Rechenschaftspflicht zählt nicht nur, dass der Anbieter die Fähigkeit zur Datenträgervernichtung behauptet, sondern ob die beauftragende Organisation angemessen geprüft und dokumentiert hat.

Datenträgervernichtung und Auftragsverarbeitungsvertrag (AVV)

Jede externe Datenträgervernichtung löst nach Art. 28 DSGVO die Pflicht zum Abschluss eines Auftragsverarbeitungsvertrags (AVV) aus. Der AVV muss die weisungsgebundene Verarbeitung, zulässige Unterauftragnehmer, Kontrollrechte des Auftraggebers und die konkreten Sicherheitsmaßnahmen regeln. Fehlt der AVV oder ist er unvollständig, kann die Aufsichtsbehörde unabhängig von einem Datenschutzvorfall Bußgelder verhängen – laut Bundesdatenschutzbeauftragtem (BFDI) gehört fehlende Auftragsverarbeitung zu den häufigsten Feststellungen bei Prüfungen.

Datenträgervernichtung bei dezentralen Strukturen (Homeoffice, Leasing)

Geräte wechseln häufiger durch Leasing- und Device-as-a-Service-Modelle, mehr Mitarbeitende arbeiten mobil, und Datenträger tauchen an dezentralen Standorten auf. Ohne klare Rückgabe- und Sperrprozesse können Datenträger verschwinden, bevor Datenträgervernichtung überhaupt startet. Bewährt haben sich einfache Regeln wie: „Kein Datenträger verlässt den Standort ohne Freigabe und Kennzeichnung“ – kombiniert mit standardisierten Rückläufer-Prozessen für Homeoffice-Geräte.

Prozess der Datenträgervernichtung: Von der Aussonderung bis zum Vernichtungsprotokoll

Wirksame Datenträgervernichtung beginnt nicht am Schredder, sondern bei der Aussonderung. Der Prozess lässt sich in klar abgrenzbare Phasen gliedern: Identifizieren, sichern, klassifizieren, vernichten oder löschen, nachweisen und entsorgen bzw. recyceln. Diese Struktur macht Datenträgervernichtung planbar, prüfbar und delegierbar.

Inhouse vs. externe Datenträgervernichtung: Kostenvergleich

Für die Umsetzung gibt es im Kern zwei Wege: Inhouse oder über Dienstleister. Inhouse bietet maximale Kontrolle, erfordert aber passende Technik, geschultes Personal, definierte Verfahren und saubere Dokumentation. Externe Datenträgervernichtung reduziert internen Aufwand, bringt aber Anforderungen an Auswahl, Vertrag, Transportkette und Nachweise mit sich.

Häufig ist ein Mischmodell sinnvoll: Standardfälle über Dienstleister, Sonderfälle mit sehr hoher Schutzklasse oder besonders kritischen Medien über Vor-Ort-Vernichtung oder streng kontrollierte Inhouse-Prozesse. Lohnenswert ist zudem ein Blick auf Nachhaltigkeit: Wenn ein Gerät technisch einwandfrei ist und sich Daten nachweisbar löschen lassen, kann Refurbishment wirtschaftlich und ökologisch sinnvoll sein – die Grenze bleibt klar, sobald sichere Löschung nicht gewährleistet oder nicht beweisbar ist.

Typische Fehler bei der Datenträgervernichtung – und wie sie vermieden werden

Viele Datenschutzprobleme entstehen nicht aus fehlendem Willen, sondern aus falschen Annahmen. Gerade bei Datenträgervernichtung sind Missverständnisse verbreitet, weil IT, Datenschutz und Entsorgung unterschiedliche Sprachen sprechen. Die häufigsten Klassiker kosten im Ernstfall Bußgelder, Reputationsschäden oder beides.