Daten- und Aktenvernichtung: So geht’s richtig
Hätten Sie’s gewusst: Alte Akten mit sensiblen Daten gehören nicht in einen einfachen Büroschredder und schon gar nicht zerrissen in den Müll. Es gibt gleich eine ganze Norm, wie Daten- und Aktenvernichtung gesetzeskonform funktioniert. Wir erklären Ihnen, was diese Norm beinhaltet, worauf Sie unbedingt achten müssen und warum auch ein Dienstleister für Aktenvernichtung Ihnen die Verantwortung nicht abnehmen kann.
Für Eilige
Das Wichtigste zur Daten- und Aktenvernichtung auf einen Blick
- Um Akten und Dokumente sicher zu vernichten, können Sie sie selbst mit einem professionellen Schredder zerkleinern, zu einer Aktenvernichtungsstelle fahren oder einen externen Dienstleister beauftragen.
- Digitale Datenlöschung ist ebenso gewissenhaft zu behandeln wie das Vernichten von Akten und Dokumenten. Datenträger wie Festplatten werden zum Beispiel zu Entmagnetisierung oder Schreddern vernichtet.
- Kosten: Akten- und Datenvernichtung sind erschwinglich. Eine Einmalleistung beginnt bereits ab 19,90 Euro.
- Als „Herr der Daten“ sind Sie für den Schutz der Daten verantwortlich, auch wenn Sie einen externen Dienstleister hinzuziehen. Sie bestimmen die Schutzklasse und die Sicherheitsstufe der zu vernichtenden Daten.
Welche Möglichkeiten der Akten- und Datenvernichtung gibt es?
Um Ihre Akten und Dokumente, aber auch digitalen Datenträger ordnungsgemäß zu vernichten, gibt es drei Möglichkeiten:
Vernichtung durch die verantwortliche Stelle selbst
Falls Sie sich selbst um die Vernichtung der Akten kümmern, sollten Sie auf keinen Fall Dokumente mit sensiblen Daten einfach zerreißen oder in einem handelsüblichen Schredder vernichten. Warum? Weil Sie als „Herr der Akten“ an die DSGVO gebunden sind. Und diese regelt nicht nur den Umgang mit personenbezogenen Daten, sondern auch den Vernichtungsprozess. Was das im Detail bedeutet, erfahren Sie im Abschnitt „Wie funktioniert Daten- und Aktenvernichtung?“ Richtig ist, einen professionellen Schredder anzuschaffen, mit dem Sie genormte Partikelgrößen einstellen können. Möchten Sie auf der sicheren Seite sein, können Sie zu einer Aktenvernichtungsstelle fahren. Dort können Sie neben Altakten auch ausrangierte technische Geräte aus der Firma abgeben und ordnungsgemäß vernichten lassen.
Vernichtung durch Dienstleister vor Ort
Sie bestellen einen hochspezialisierten LKW an Ihren Firmenstandort. Die Sicherheitsbehälter werden automatisch im Fahrzeug geöffnet und mit einer Kippvorrichtung dem Schredder im LKW zugeführt. So erhält niemand Einsicht in die Akten. Der LKW ist auch in der Lage, andere Datenträgerarten als Papier zu schreddern. Bei dieser mobilen Variante können Sie die Vernichtung mit eigenen Augen überwachen. Selbst Videoüberwachung ist möglich.
Externe Vernichtung beim Dienstleister
Bei dieser Variante erhalten Sie vom Dienstleister Sicherheitsbehälter für Ihre Akten und Datenträger, die er zu einem vereinbarten Termin abholt. In der Regel können Sie zwischen Dauerstellung und einer einmaligen Aktenvernichtung wählen. Bei einer einmaligen Aktenvernichtung bringt Ihnen der Anbieter die gewünschte Zahl an Behältern vorbei und nimmt sie nach 15 Minuten wieder mit oder holt sie einige Tage später ab - je nachdem, was Sie vereinbaren. Bei der Dauerstellung werden die Sicherheitsbehälter in einem individuell vereinbarten Turnus ausgetauscht.
Exkurs: Sicherheitsbehälter
Arbeiten Sie mit einem externen Dienstleister zusammen, bekommen Sie immer Sicherheitsbehälter, damit eine geschlossene Sicherheitskette gewährleistet ist. Sie können bei den Sicherheitsbehältern aus unterschiedlichen Größen wählen. Sie reichen von einem Fassungsvermögen von 10 Aktenordnern über Fassungsvermögen bis 65 Aktenordnern oder gleich ganzen Containern, falls Sie Ihr Archiv aufräumen wollen. Zusätzlich können Sie bestimmte Extras erhalten, etwa Füllstandssensoren, integrierte Schredder oder Behälter mit Schlüsselkarten und Zugriffsprotokollierung. Die Sicherheitsbehälter sind nicht nur für Papierunterlagen da. Sie können Sie auch mit Datenträgern wie Festplatten, CDs, UBS-Sticks, etc. befüllen. Wichtig ist, dass Sie das Material nach Datenträgerart sortieren. Denn je nach Material ist die Partikelgröße nach dem Schreddern genormt.
Die hier genannten Varianten der Aktenvernichtung sind die gängigsten. Sicher gibt es Dienstleister, die zusätzliche Möglichkeiten anbieten. Damit Sie den für sich geeigneten Anbieter finden, empfehlen wir Ihnen, unterschiedliche Angebote miteinander zu vergleichen. Nutzen Sie dafür einfach unser Formular und geben Sie Ihren Bedarf ein.
Digitale Datenlöschung & IT-Recycling
Auch digitale Daten und Datenträger unterliegen der DSGVO und müssen ebenso gewissenhaft vernichtet werden wie Dokumente in Papierform. Hierbei hilft zum Beispiel ein professionelles Datenrettungs-Unternehmen. Diese retten oft nicht nur Ihre Daten, sondern löschen sie auch nach dem Bundesdatenschutzgesetz und stellen Ihnen die entsprechenden Zertifikate dafür aus. Genauso können Sie aber einen Dienstleister für Daten- und Aktenvernichtung kontaktieren, dann sehen die Möglichkeiten genauso aus, wie im vorigen Abschnitt beschrieben.
Gehen Sie nicht sorglos mit den Geräten Ihrer Firma um. Zum einen besteht die Gefahr, dass doch noch jemand auf Ihre Unternehmensdaten zugreifen kann, wenn sie nicht ordnungsgemäß und endgültig gelöscht werden. Zum anderen stecken in den Datenträgern jede Menge wertvolle Rohstoffe und Ersatzteile, die wiederverwertet werden können - sofern Ihre Daten nicht mit dem Schredder vernichtet werden.
Um elektronische Daten zu vernichten wenden professionelle Dienstleister drei Verfahren an:
Überschreiben
Bei diesem Verfahren wird der Datenträger mehrfach mit unterschiedlichen Mustern überschrieben, zum Beispiel nach der Gutmann-Methode. Dieses Verfahren zur Datenlöschung ist sehr nachhaltig, da die Datenträger noch voll funktionsfähig sind und wiederverwendet werden können.
Degausser
Degausser sind Geräte, die starke Magnetfelder erzeugen. Setzt man eine Festplatte diesem Magnetfeld aus, werden die Daten durch Entmagnetisierung zerstört und gelöscht. Meistens sind die Datenträger nach der Entmagnetisierung nicht mehr nutzbar, in manchen Fällen allerdings wie neu und können wiederverwertet werden.
Schreddern
Nicht nur Daten in Papierform können geschreddert werden, auch Datenträger werden zerkleinert. Der Nachhaltigkeitsfaktor ist von allen Verfahren am geringsten, da die Rohstoffe nur sehr schwer wieder zusammengeführt werden können.
Was kostet professionelle Daten- und Aktenvernichtung?
Die Kosten für professionelle Daten- und Aktenvernichtung setzen sich aus unterschiedlichen Komponenten zusammen und fallen bei jedem Anbieter anders aus. Die erste Frage ist, ob es sich um eine Dauerstellung oder eine Einmalleistung handelt. Kosten für eine Einmalleistung beginnen bereits ab 19,90 Euro, wenn Sie die kleinste Behältergröße wählen.
Auch Archivauflösungen sind im Prinzip Einmalleistungen, nur viel aufwendiger. Die Preise unterscheiden sich nicht nur von Anbieter zu Anbieter, sondern teilweise auch regional: Ein Container mit einem Volumen von 7 Kubikmetern (ca. 945 Ordner) kostet bei einem Anbieter in Köln 760 Euro, 10 Kubikmeter (ca. 1.350 Ordner) kosten 1.130 Euro. Der gleiche Anbieter berechnet für die gleichen Containergrößen in Wilhelmshaven rund 574 Euro für 7 Kubikmeter und rund 878 Euro für die 10 Kubikmeter.
Bei Dauerstellungen kommt es ebenfalls darauf an, was Sie benötigen: Wie viele Sicherheitsbehälter? Möchten Sie Extras? Welche Größe? In welchem Turnus sollen die Behälter getauscht werden? Bei einigen Anbietern schlägt sich auch hier die Stadt auf den Preis nieder. Hinzu können Aufstellungsgebühren sowie eine Behältermiete pro Woche kommen. Je nach Leistung und Anbieter werden auch die Anfahrtskosten berechnet.
Kosten für Datenträger
Je nach Anbieter zahlen Sie für die Festplatten- und Datenvernichtung nach Behältergröße (ab rund 223 Euro), Stück- (5 Stück für 44,50 Euro) oder Kilopreis (0,95 Euro/kg). Wir haben sogar Anbieter gefunden, die Festplattenvernichtung kostenlos anbieten, um die Einzelteile für Datenrettung wiederzuverwerten.
Warum ist professionelle Akten- und Datenvernichtung so wichtig?
Betriebe, Unternehmen und Selbstständige in allen Branchen, die mit personenbezogenen Daten arbeiten, sind dazu angehalten, verantwortungsbewusst damit umzugehen. Wer dem nicht nachkommt, riskiert empfindliche Strafen und öffnet Kriminellen freiwillig die Tür. Eine Studie des Ponemon Instituts belegt, dass fahrlässige Mitarbeiter oder Dritte das größte Risiko für den Schutz von gedruckten Dokumenten darstellen. Der BfDI (Bundesbeauftragte für Datenschutz und Informationsfreiheit) betont, dass die Art und Weise, wie Datenträger mit personenbezogenen Daten vernichtet werden, nicht frei entschieden werden kann.
Wie funktioniert Akten- und Datenvernichtung?
Die Antwort könnte einfach lauten: Ihre Akten werden abgeholt und geschreddert, das war’s. Sehr vereinfacht lässt sich der Ablauf entsprechend herunterbrechen:
Vereinfachte Darstellung des Ablaufes mit einem Anbieter für Daten- und Aktenvernichtung
Datenschutz und Datenvernichtung
Hinter der vereinfachten Darstellung steckt allerdings viel mehr, denn in Deutschland gibt es den gesetzlichen Datenschutz. Dieser gilt nicht nur für den Umgang und die Lagerung von Daten und Akten, sondern ebenso für deren Vernichtung. Im Detail regelt die Datenvernichtung die DIN 66399. Durch sie wird detailliert festgelegt, welche Daten in welchem Maß vernichtet werden müssen - sowohl analoge als auch digitale Dokumente in jeder Form.
Es reicht nicht, einfach Daten zu löschen oder wegzuwerfen. Nach DIN 66399 werden sie in Schutzbedarfe und Sicherheitsstufen eingeteilt, wofür Sie als Datenverantwortlicher zuständig sind. Je höher die Einstufungen, desto vertraulicher bzw. sensibler die Daten, desto kleiner muss der Schreddergrad sein. Aus diesem Grund sind unter Umständen Schredder, die sie günstig gekauft haben, ungeeignet.
Was ist bei Akten- und Datenvernichtung zu beachten?
Sie als „Herr der Daten“ stehen in der Pflicht, Akten und Daten DSGVO-konform zu vernichten. Im besten Fall haben Sie in Ihrer Firma einen Datenschutzbeauftragten, der sich mit der Materie auskennt. Achten Sie unbedingt auf folgende Punkte:
- Gibt es eine Archivierungsdauer für die Daten, die Sie vernichten wollen? Falls ja, ist diese wirklich abgelaufen?
- Wie genau die Vernichtung durchzuführen ist, richtet sich nach dem Schutzbedarf der Daten, der wiederum in der DIN 66399 festgelegt ist. Diesen und die Sicherheitsstufe müssen Sie zuerst festlegen, bevor Sie die Daten vernichten.
- Sie müssen außerdem entscheiden: Wer soll die Daten vernichten? Sie als verantwortliche Stelle oder ein externer Dienstleister?
- Falls Sie mit einem Dienstleister zusammenarbeiten möchten, wählen Sie nur einen nach DIN 66399 zertifizierten. So wissen Sie, dass Ihre Dokumente datenschutzkonform vernichtet werden. Als Datenverantwortlicher stehen Sie in der Pflicht, sich um einen seriösen Anbieter zu kümmern.
- Auch wenn Sie die Daten- und Aktenvernichtung an einen Dritten übergeben, haben Sie die Verantwortung für die datenschutzkonforme Vernichtung. Sie dürfen die Daten nicht weitergeben und müssen daher den Schutzbedarf sowie die Sicherheitsstufen selbst definieren. Der Auftragnehmer hingegen ist in der Pflicht, den Auftrag ordnungsgemäß auszuführen.
- Lassen Sie einen Auftragverarbeitungs-Vertrag gemäß der DSGVO erstellen.
- Lassen Sie sich gemäß der DSGVO am Ende des Prozesses ein Zertifikat darüber ausstellen. Seriöse Anbieter werden dies ohnehin tun.
Sollten Sie sich unsicher sein, kontaktieren Sie einen Fachmann und fragen Sie um Rat. Nutzen Sie dafür z. B. gerne unser Formular und finden Sie einen zertifizierten Anbieter, der Sie bei der DSGVO-konformen Daten- und Aktenvernichtung unterstützen kann.
Welche Akten müssen wie vernichtet werden?
Besonders schutzbedürftig sind in Deutschland personenbezogene Daten, da sie auf vielfältige Weise missbraucht werden können. Dokumente werden in drei Schutzklassen unterteilt und zwar von normalem Schutzbedarf bis zu sehr hohem Schutzbedarf.
Schutzklassen
Auf der Seite des BfDI werden die Klassen wie folgt definiert:
Schutzklasse 1 (Normaler Schutzbedarf)
„Es handelt sich um personenbezogene Daten, bei deren unrechtmäßiger Verarbeitung der Betroffene in seiner gesellschaftlichen Stellung oder in seinen wirtschaftlichen Verhältnissen beeinträchtigt werden kann. Schadensauswirkungen sind begrenzt und überschaubar und etwaig eingetretene Schäden für Betroffene relativ leicht durch eigene Aktivitäten zu heilen.“
Hierunter fallen zum Beispiel allgemeine Korrespondenz, personalisierte Werbung, Unterlagen, wo etwa ein Adressaufkleber drauf ist, Telefonlisten sowie Lieferantendaten.
Schutzklasse 2 (Hoher Schutzbedarf)
„Es handelt sich um personenbezogene Daten, bei deren unrechtmäßiger Verarbeitung der Betroffene in seiner gesellschaftlichen Stellung oder in seinen wirtschaftlichen Verhältnissen erheblich beeinträchtigt werden kann. Die Schadensauswirkungen werden für Betroffene als beträchtlich eingeschätzt („Ansehen“).“
Hierzu gehören zum Beispiel Bewerber- und Personaldaten, interne Reportings, Bilanzen und Jahresabschlüsse sowie Finanzbuchhaltungsabschlüsse.
Schutzklasse 3 (Sehr hoher Schutzbedarf)
„Es handelt sich um personenbezogene Daten, bei deren unrechtmäßiger Verarbeitung eine Gefahr für Leib und Leben oder die persönliche Freiheit des Betroffenen gegeben ist. Die Schadensauswirkungen nehmen ein unmittelbar existenziell bedrohliches, katastrophales Ausmaß für Betroffene an („Existenz“).“
Hierzu gehören zum Beispiel Zeugenschutzprogramme, Informationen aller Geheimhaltungsgrade des Bundes und der Länder, Militärinformationen sowie streng geheime Unterlagen aus Forschung und Entwicklung von Wirtschaftsunternehmen.
Es obliegt laut BfDI der verantwortlichen Stelle - also Ihnen, die zu vernichtenden Unterlagen in die jeweilige Schutzklasse einzustufen.
Zu viel Regelwerk? Finden Sie einen DSGVO-zertifizierten Anbieter mit tradingtwins
Verschaffen Sie sich einen Überblick über den Markt und vergleichen Sie verschiedene Angebote. So geht's:
- Formular aufrufen
- Bedarf angeben
- Kostenlose Vergleichsangebote erhalten
Sicherheitsstufen
Nicht nur die Schutzklassen sind zu bestimmen, sondern auch der erforderliche Schreddergrad. Es gibt hierbei sieben Sicherheitsstufen. Die Partikelgröße nach dem Schreddern ist für die jeweilige Sicherheitsstufe vorgegeben und unterscheidet sich nach dem zu schreddernden Material, also der Datenträgerart.
| Sicherheitsstufe | Reproduktion |
|---|---|
| 1 | Allgemeine Daten, eine Reproduktion ist leicht möglich |
| 2 | Interne Daten, Reproduktion mit besonderem Aufwand |
| 3 | Sensible Daten, Reproduktion mit erheblichem Aufwand |
| 4 | Besonders sensible Daten, außergewöhnlicher Aufwand zu Reproduktion nötig |
| 5 | Geheime Daten, Reproduktion nur mit zweifelhaften Methoden möglich |
| 6 | Geheime Hochsicherheits-Daten, Reproduktions technisch nicht möglich |
| 7 | Top-Secret Hochsicherheits-Daten, Reproduktion ausgeschlossen |
Quelle: https://din66399.de/ (abgerufen am 22.11.2022)
Jeder Schutzklasse ist eine Sicherheitsstufe (S) als Mindeststandard zugewiesen. Wenn Ihre Daten einer niedrigen Schutzklasse angehören, dürfen Sie sie in eine höhere Sicherheitsstufe einordnen, aber niemals unter den Mindeststandard.
| Schutzklasse | S1 | S2 | S3 | S4 | S5 | S6 | S7 |
|---|---|---|---|---|---|---|---|
| Schutzklasse 1 | |||||||
| Schutzklasse 2 | |||||||
| Schutzklasse 3 |
Hintergrund der Aktenvernichtung: DIN 66399
Wir haben nun mehrfach die DIN 66399 erwähnt, doch was ist das eigentlich? Daten- und Aktenvernichtung unterliegen der DSGVO. Allerdings wird dort nicht im Detail festgelegt, wie sie auszusehen hat. Die DIN 66399 hingegen schafft einen sicheren Prozessrahmen. Nicht nur für Papierakten, sondern für Daten in ganz unterschiedlichen Formaten. DIN 66399 ist in drei Bereiche aufgeteilt.
DIN 66399-1: In Teil 1 geht es um Grundlagen und Begriffe. Hier werden die Schutzklassen definiert und damit einhergehend die Sicherheitsstufen, die wir bereits kennengelernt haben.
DIN 66399-2: In Teil 2 geht es um die Normierung der Technik. Maschinen zur Vernichtung können nicht willkürlich ausgesucht und genutzt werden. Technische Anforderungen sind einzuhalten. Zudem werden im zweiten Teil die Datenträger in Arten unterschieden, die jeweils ein Kürzel erhalten (PFOTHE). Dieses wird der jeweiligen Sicherheitsstufe vorangestellt.
| Kürzel | Datenträgerart |
|---|---|
| P | Informationsdarstellung in Originalgröße: Papier | Film | Druckformen |
| F | Informationsdarstellung verkleinert: Film | Mikrofilm | Folie |
| O | Informationsdarstellung auf optischen Datenträgern: CD | DVD |
| T | Informationsdarstellung auf magnetischem Datenträger: Disketten | ID-Karten | Magnetbandkassetten |
| H | Informationsdarstellung auf Festplatten mit magnetischem Datenträger: Festplatten |
| E | Informationsdarstellung auf elektronischen Datenträgern: Speicherstick | Chipkarte | Halbleiterfestplatten | mobile Kommunikationsmittel |
DIN-SPEC-66399-3: Der dritte Teil beschäftigt sich mit dem Sicherheitsprozess. Welche technischen und organisatorischen Ansprüche sind zu erfüllen? Wie kann der Ablauf an jeder einzelnen Stelle aussehen, damit alle gesetzlichen Regelungen eingehalten werden?
Das könnte Sie ebenfalls interessieren:
Dokumentenmanagement (DMS)
Warum Sie es brauchen
Verstaubte Aktenordner und vergilbte Unterlagen werden von Dokumentenmanagement-Systemen abgelöst. Mit der Software können Sie alle Ihre Dokumente digitalisieren und zentral verwalten.
DMS finden
Drucker und Kopierer
Druck- und Kopierlösungen für Ihr Büro
Für jedes Büro gibt es professionelle Druck- und Kopierlösungen. Mit unserer Checkliste und vielen wertvollen Informationen, finden Sie auch die richtige Lösung für Ihr Unternehmen.
Drucker und Kopierer
4.8 / 5
