Akten, Festplatten, USB-Sticks: In jedem Unternehmen fallen Materialien an, die vertrauliche oder personenbezogene Daten enthalten. Wer diese Materialien entsorgen will, darf sie nicht einfach in den Restmüll werfen. Doch worauf kommt es bei der datenschutzgerechten Vernichtung wirklich an? Ein Überblick.
Die zehn Punkte, die in jedem Vernichtungsvertrag stehen sollten, gibt es als Checkliste Vernichtungsvertrag: am Bildschirm abhaken, ausdrucken, mitnehmen. Ohne Anmeldung.
Was sind Datenschutzabfälle?
Als Datenschutzabfälle gelten alle Materialien, die personenbezogene Daten, vertrauliche Informationen oder geheimhaltungsbedürftige Inhalte enthalten. Das können Papierakten und Ordnerinhalte sein, aber auch digitale Datenträger wie Festplatten, CDs, DVDs oder USB-Sticks. Selbst alte Smartphones oder ausgemusterte Drucker mit internem Speicher gehören dazu.
Entscheidend ist: Solange Informationen auf einem Material lesbar oder rekonstruierbar sind, handelt es sich um einen Datenschutzabfall, und der muss gesondert behandelt werden.
Warum reicht der Aktenvernichter im Büro nicht aus?
Viele Unternehmen setzen auf eigene Schredder im Büro. Für den Alltagsbetrieb mag das funktionieren. Doch spätestens bei größeren Mengen, bei besonders sensiblen Unterlagen oder bei digitalen Datenträgern stößt die interne Vernichtung an ihre Grenzen. Denn: Nicht jeder Schredder erreicht die nötige Sicherheitsstufe, und für Festplatten oder elektronische Medien braucht es spezielle Verfahren.
Hinzu kommt die Nachweispflicht. Unternehmen müssen belegen können, dass personenbezogene Daten ordnungsgemäß vernichtet wurden. Ein interner Schredder liefert in der Regel kein dokumentiertes Vernichtungsprotokoll.
Sicherheitsstufen: Wie klein muss es werden?
Die Vernichtung von Datenschutzabfällen folgt einem abgestuften System. Je sensibler die Daten, desto gründlicher muss vernichtet werden. Für papiergebundene Unterlagen gibt es beispielsweise mehrere Sicherheitsstufen, die sich an der maximal zulässigen Partikelgröße orientieren.
Das Prinzip ist einfach: Je höher der Schutzbedarf, desto kleiner die Partikel nach der Vernichtung. Ziel ist immer, dass eine Rekonstruktion der Informationen nach dem Stand der Technik ausgeschlossen ist.
Welche Sicherheitsstufe die richtige ist, hängt vom konkreten Material und dessen Inhalt ab. Unternehmen sollten diesen Schutzbedarf bewusst festlegen, und nicht dem Entsorger die Entscheidung überlassen.
Was gehört in einen Vernichtungsvertrag?
Wer einen Dienstleister mit der Vernichtung beauftragt, sollte die Zusammenarbeit vertraglich regeln. Ein guter Vertrag schafft Klarheit für beide Seiten und schützt vor Haftungsrisiken. Folgende Punkte sollten darin geregelt sein:
- Leistungsumfang: Was genau wird vernichtet? Nur Papier oder auch digitale Datenträger? Stellt der Dienstleister Sammelbehälter? Wie oft wird abgeholt?
- Sicherheitsanforderungen: Welche Sicherheitsstufe gilt für welches Material? Das sollte eindeutig festgelegt und nicht pauschal geregelt werden.
- Transport und Zwischenlagerung: Wie werden die Materialien vom Unternehmen zum Vernichtungsort transportiert? Wer hat Zugriff? Wie sind die Behälter gesichert?
- Vernichtungsnachweis: Der Dienstleister sollte nach jeder Vernichtung ein Protokoll ausstellen, das Datum, Menge, Materialart und Sicherheitsstufe dokumentiert.
- Vertraulichkeit: Der Dienstleister und sein Personal müssen auf Vertraulichkeit verpflichtet sein, und zwar auch über das Vertragsende hinaus.
Auftragsverarbeitung nicht vergessen
Ein Punkt, der in der Praxis häufig übersehen wird: Kommt der Vernichtungsdienstleister mit personenbezogenen Daten in Berührung, liegt in der Regel eine Auftragsverarbeitung im Sinne der DSGVO vor. In diesem Fall braucht es zusätzlich zum Vernichtungsvertrag eine gesonderte Vereinbarung zur Auftragsverarbeitung.
Fehlt diese Vereinbarung, droht im schlimmsten Fall ein Bußgeld, unabhängig davon, ob die Vernichtung selbst ordnungsgemäß durchgeführt wurde.
Unterauftragnehmer: Wissen, wer wirklich vernichtet
Nicht jeder Entsorger betreibt eine eigene Vernichtungsanlage. Häufig werden Teile der Leistung an Unterauftragnehmer weitergegeben. Unternehmen sollten darauf achten, dass im Vertrag geregelt ist, ob und welche Unterauftragnehmer eingesetzt werden dürfen, und dass diese denselben Sicherheitsanforderungen unterliegen.
Das Thema im Webinar
Wie die Vernichtung in der Praxis abläuft, worauf es bei Sicherheitsstufen ankommt und woran Sie einen serioesen Dienstleister erkennen, erklärt Katja Spreng von der AKTA GmbH in unserem Webinar.
Fazit: Struktur schafft Sicherheit
Die datenschutzgerechte Vernichtung ist kein Hexenwerk. Aber sie erfordert klare Absprachen, die richtige Sicherheitsstufe und eine saubere Dokumentation. Ein gut aufgesetzter Vertrag mit dem Vernichtungsdienstleister ist dabei das wichtigste Werkzeug. Er schützt nicht nur die Daten, sondern auch das Unternehmen selbst.
Steht Ihr Vernichtungsvertrag auf sicheren Fußen?
Wir sehen uns Ihren bestehenden Vertrag an und sagen Ihnen, welche der zehn Punkte fehlen und wo Sie im Ernstfall ohne Nachweis dastehen. 30 Minuten, unentgeltlich, ohne Verpflichtung.
Passend dazu
- Checkliste Vernichtungsvertrag Zehn Punkte, die in jedem Vertrag stehen sollten.
- Abfall-ABC Aktenvernichtung, Datenträger und Elektroaltgeräte von A bis Z.
- Was gehört in einen Abfalljahresbericht? Wo Vernichtungsnachweise in der Dokumentation auftauchen.
- Ausschreibung von Entsorgungsdienstleistungen Warum Preisvergleiche allein nicht reichen.
- Alle Beiträge in Ratgeber & News
