Glossar
DSGVO-konforme Vernichtung von Unterlagen
Die DSGVO verlangt sichere Vernichtung, nennt aber keine Stufe – diese Lücke füllen Norm und Praxis.
Redaktion Aktenvernichter-Vergleich·Aktualisiert am ·So vergleichen wir
Definition
DSGVO-konforme Vernichtung heißt, personenbezogene Unterlagen so zu zerstören, dass niemand sie rekonstruieren kann. Die Verordnung nennt keine Sicherheitsstufe; die Praxis orientiert sich an DIN 66399. Verbreitet ist P-4, bei hohem Schutzbedarf wird P-5 empfohlen.
Inhalt
Was bedeutet DSGVO-konforme Vernichtung?
Die DSGVO gilt für personenbezogene Daten, also alles, was sich auf eine identifizierbare Person bezieht: Briefe, Verträge, Lohnabrechnungen, Kontoauszüge. Drei Vorschriften sind für die Vernichtung wichtig. Art. 5 verlangt, dass Daten so verarbeitet werden, dass ihre Integrität und Vertraulichkeit gewahrt bleibt. Art. 32 verpflichtet zu technischen und organisatorischen Maßnahmen, die dem Risiko angemessen sind, und nennt Vernichtung und Verlust ausdrücklich als Risiken. Art. 17 räumt Betroffenen ein Recht auf Löschung ein.
Welche Sicherheitsstufe ein Gerät haben muss, steht nirgends im Gesetz. „DSGVO-konform“ ist deshalb kein Gütesiegel, sondern eine Einschätzung: Die Vernichtung muss so gründlich sein, dass Dritte die Daten nicht rekonstruieren können. Als Maßstab dient DIN 66399.
Welche Stufe passt zu welchem Schutzbedarf?
| Schutzklasse | Beispiel | Übliche Empfehlung für Papier |
|---|---|---|
| 1, normal | interne Notizen, Werbung | P-1 bis P-3 |
| 2, hoch | Verträge, Bewerbungen, Kundendaten | P-3 bis P-5, bei Personendaten meist P-4 |
| 3, sehr hoch | Berufsgeheimnisse, geheime Daten | P-4 bis P-7 |
Die Datenschutzkonferenz hält in ihrer Orientierungshilfe fest, dass Papier-Geräte der Stufe P-4 den hohen Schutzbedarf (Schutzklasse 2) „in der Regel nicht“ erfüllen, und empfiehlt dafür P-5. Das gilt als strenge Auslegung. Wer unsicher ist, wählt die nächsthöhere Stufe. Mehr dazu finden Sie unter Schutzklasse und Schutzbedarf.
Privat oder gewerblich?
Die DSGVO gilt nicht für Datenverarbeitung, die ausschließlich persönlichen oder familiären Tätigkeiten dient (Art. 2 Abs. 2 Buchst. c). Wer zuhause seine eigenen Kontoauszüge vernichtet, unterliegt ihr nicht. Sinnvoll bleibt die sichere Vernichtung trotzdem, etwa gegen Identitätsdiebstahl, wie der Magazinbeitrag Identitätsdiebstahl erläutert. Anders sieht es aus, sobald Sie freiberuflich oder gewerblich Daten von Kunden, Mitarbeitenden oder Bewerbern halten. Dann gilt die Verordnung in vollem Umfang.
Typische Fehler
- Unterlagen werden im Papierkorb gesammelt und erst Wochen später geschreddert.
- Für Personendaten kommt ein Streifenschnitt zum Einsatz, obwohl feinere Partikel üblich sind.
- Es fehlt eine Regel, wer wann vernichtet und wer es nachweist.
Prüfliste für die Praxis
- Klären Sie, ob die Aufbewahrungsfrist abgelaufen ist.
- Ordnen Sie die Unterlagen einer Schutzklasse zu.
- Wählen Sie ein Gerät mit passender Stufe. Aktenvernichter für Geschäftsunterlagen finden Sie in der Liste Aktenvernichter fürs Büro.
- Vernichten Sie zeitnah. Unterlagen im Papierkorb oder Zwischenlager sind bis dahin weiter schutzbedürftig.
- Dokumentieren Sie bei Unternehmen die Vernichtung, etwa mit einem Vernichtungsprotokoll.
Halten Sie Entscheidungen schriftlich fest, auch wenn kein Gesetz es für den Privathaushalt verlangt. Wer später erklären muss, warum er welche Unterlagen wann vernichtet hat, ist mit einem kurzen Vermerk besser aufgestellt als mit einer Erinnerung.
Digitale Datenträger und Karten folgen eigenen Regeln: Sie gehören je nach Art in die Materialklassen aus dem Eintrag Materialklasse. Ausführlicher behandelt der Ratgeber Aktenvernichter und DSGVO die rechtlichen Grundlagen.
Häufige Fragen
Reicht P-4 für die DSGVO?
Für viele Alltagsunterlagen ja, es ist die verbreitete Empfehlung für personenbezogene Daten. Die Konferenz der Datenschutzbeauftragten rät in ihrer Orientierungshilfe bei hohem Schutzbedarf (Schutzklasse 2) zu P-5.
Muss ich die Vernichtung protokollieren?
Eine feste Pflicht für jeden Haushalt gibt es nicht. Unternehmen sollten nachweisen können, dass sie Daten sicher löschen. Wie ein Vernichtungsprotokoll aussieht, steht im gleichnamigen Eintrag.
Darf ich sofort alles schreddern?
Nein. Gesetzliche Fristen gehen vor. Erst nach Ablauf der Aufbewahrungsfrist dürfen und sollen Sie vernichten. Dieser Beitrag ist keine Rechtsberatung.
