Akten vernichten lassen: Ablauf, Mengen und Anbieterwahl

Wer Akten nicht selbst schreddern will oder kann, beauftragt einen Dienstleister. Das ist bequem, denn Sie bekommen einen verschlossenen Behälter, der Anbieter holt ihn ab, vernichtet den Inhalt und liefert einen Nachweis. Doch bequem heißt nicht automatisch sicher oder günstig: Ohne Vertrag, Norm und Kontrolle bleibt die Verantwortung für die Daten bei Ihnen.

Dieser Artikel erklärt den Ablauf, die Normen und den Auftragsverarbeitungsvertrag nach der DSGVO. Er zeigt, ab welcher Menge sich ein Dienstleister lohnt, und enthält eine Checkliste für die Anbieterauswahl. Konkrete Preise nennen wir nicht, sondern nur Preisklassen und Preisstrukturen, weil Anbieter regional stark abweichen und meist auf Anfrage kalkulieren.

Wie läuft die Aktenvernichtung beim Dienstleister ab?

Der Ablauf folgt bei fast allen Anbietern demselben Muster: Behälter bestellen, befüllen, abholen lassen, vernichten, Nachweis erhalten. Die einzelnen Stationen im Überblick:

1. Schutzbedarf klären: Legen Sie fest, welche Schutzklasse und Sicherheitsstufe Ihre Unterlagen verlangen. Mehr dazu im nächsten Abschnitt.
2. Vertrag schließen: Bei externer Vernichtung ist im Regelfall ein Auftragsverarbeitungsvertrag nötig (siehe unten).
3. Sicherheitsbehälter erhalten: Der Anbieter liefert einen verschlossenen Behälter mit Schlüssel oder Chip. Die Universität Heidelberg beschreibt etwa, dass Container „immer geschlossen“ mit Schlüssel oder Chip geliefert werden und der Schlüssel in einer verplombten Tasche liegt.
4. Befüllen und trennen: Papier und sonstige Datenträger wie CDs oder Festplatten werden getrennt gesammelt, wie etwa der Abfallwirtschaftsbetrieb Landkreis Osterholz empfiehlt.
5. Abholung: Je nach Anbieter im festen Rhythmus, auf Abruf oder einmalig mit vereinbartem Termin.
6. Übernahmeprotokoll und Transport: Die Universität Duisburg-Essen nennt ein Übernahmeprotokoll bei der Übergabe. Die Behälter fahren zum Sicherheitsstandort.
7. Vernichtung: Ein Anbieter beschreibt die taggleiche Zerkleinerung mit stationären Hochleistungsdesintegratoren zu kleinsten Papierpartikeln. Das Material wird anschließend recycelt.
8. Nachweis: Sie erhalten ein Vernichtungsprotokoll oder Vernichtungszertifikat. Prüfen und dokumentieren Sie es.

Neben dem Behälterservice gibt es drei weitere Wege: die Vernichtung vor Ort im Spezialfahrzeug, die Selbstanlieferung bei einer Werkstatt und die Annahme durch kommunale Recyclinghöfe. Welcher davon passt, hängt von Menge und Schutzbedarf ab, wie der Mengenvergleich weiter unten zeigt.

Behältergrößen als Orientierung

Der Abfallwirtschaftsbetrieb Landkreis Osterholz nennt als Beispiel einen 240-Liter-Behälter für bis zu etwa 100 Kilogramm, was rund 30 Aktenordnern entspricht, und einen 660-Liter-Behälter für bis zu 250 Kilogramm, das sind etwa 85 Ordner. Eine Werkstatt in Dresden rechnet einen 240-Liter-Behälter mit etwa 35 Ordnern. Die Spanne zeigt: Rechnen Sie mit ungefähr 30 bis 35 Ordnern pro 240-Liter-Behälter und fragen Sie nach dem Fassungsvermögen in Kilogramm, da Gewicht oft die Abrechnungsgrundlage ist.

Welche Norm gilt: DIN 66399 und ISO/IEC 21964?

Die Vernichtung von Datenträgern richtet sich nach einer dreiteiligen Norm: Teil 1 erklärt Begriffe und Schutzklassen, Teil 2 regelt die technischen Anforderungen an Vernichtungsgeräte, Teil 3 beschreibt Vernichtungsverfahren und Audits. Das fasst ein Anbieter in seinem Infocenter zusammen. Die Norm kennt drei Schutzklassen und sieben Sicherheitsstufen.

Der Name der Norm ändert sich gerade: Nach Angaben des Bayerischen Landesbeauftragten für den Datenschutz und mehrerer Anbieter wird DIN 66399 durch die internationale Norm ISO/IEC 21964 abgelöst, deren Schutzklassen, Sicherheitsstufen und Partikelgrößen laut einem Anbieter identisch sind. Erkennen Sie daher beide Bezeichnungen als gleichwertig an. Wichtig ist, dass Anbieter ein Zertifikat für Geräte und Prozesse vorlegen.

Stufe	Papier: Partikel	Typische Zuordnung
P-3	Streifen bis 2 mm Breite oder Fläche bis 320 mm²	Schutzklasse 1 und 2
P-4	Partikel bis 160 mm², Streifenbreite höchstens 6 mm	Schutzklasse 2 und 3
P-5	Partikel bis 30 mm², Breite höchstens 2 mm	Schutzklasse 2 und 3

Welche Stufe Behörden erwarten, zeigt der Bayerische Landesbeauftragte: Für personenbezogene Daten sei mindestens Schutzklasse 2 und damit mindestens Sicherheitsstufe 3 vorzusehen; bei besonders sensiblen Daten wie Gesundheits-, Personal-, Sozial- oder Steuerdaten sei in der Regel Schutzklasse 3 einschlägig und mindestens Sicherheitsstufe 4 zu wählen. Ein Anbieter betont zudem, personenbezogene Daten müssten stets mindestens auf Sicherheitsstufe 3 vernichtet werden.

Ein Detail aus der Praxis lohnt die Rückfrage: Die Universität Duisburg-Essen beschreibt, dass Akten der Schutzklasse 2 zunächst auf höchstens 320 mm² (P-3) geschreddert werden, anschließendes Verwirbeln und Verpressen dann Stufe P-4 erreicht. Fragen Sie Ihren Anbieter deshalb, wie genau er die zugesagte Stufe erreicht und wie er sie nachweist. Das Wissen um Vernichtungsprotokolle hilft bei der Beurteilung des Nachweises.

DSGVO: Der Auftragsverarbeitungsvertrag nach Art. 28

Wenn ein Dienstleister Unterlagen mit personenbezogenen Daten vernichtet, handelt er in aller Regel als Auftragsverarbeiter und Sie als Verantwortlicher. Der Bayerische Landesbeauftragte schreibt dazu, es müsse im Regelfall ein Auftragsverarbeitungsverhältnis begründet und per Vertrag dokumentiert werden. Artikel 28 der Datenschutz-Grundverordnung regelt, was der Vertrag enthalten muss.

Bestandteil nach Art. 28 Abs. 3	Was das für die Aktenvernichtung bedeutet
Gegenstand, Dauer, Art und Zweck	Festlegen, was vernichtet wird, wie oft und für welchen Zeitraum
Weisungsgebundenheit	Der Dienstleister handelt nur auf dokumentierte Weisung
Vertraulichkeit	Die eingesetzten Personen sind zur Vertraulichkeit verpflichtet
Sicherheit der Verarbeitung (Art. 32)	Abgesicherte Lager, Zugangsbeschränkung, Transportkonzept
Unterauftragsverarbeiter	Nur mit vorheriger schriftlicher Genehmigung, etwa bei Subunternehmen für Transport
Unterstützung des Verantwortlichen	Mitwirkung bei Auskunfts- und Meldepflichten
Löschung oder Rückgabe	Nach Leistungsende werden Daten gelöscht oder zurückgegeben, hier: vernichtet
Nachweise und Kontrollen	Der Dienstleister stellt Nachweise bereit und ermöglicht Prüfungen

Der Vertrag ist nach Absatz 9 schriftlich abzufassen, was auch elektronisch geschehen kann. Absatz 1 verlangt außerdem, nur mit Auftragsverarbeitern zu arbeiten, die „hinreichend Garantien“ für geeignete technische und organisatorische Maßnahmen bieten. Das heißt konkret: Sie müssen den Anbieter vor der Beauftragung prüfen, nicht erst danach.

Der Landesbeauftragte nennt weitere Pflichten: Eignung des Dienstleisters prüfen, Zertifikate zu Geräten und Prozessen verlangen, ein Vernichtungsnachweis einfordern, prüfen und dokumentieren. Sammlung, Lagerung und Transport bis zur Vernichtung müssen nach Schutzklasse und Sicherheitsstufe abgesichert sein, mit Verschluss und Zugangsbeschränkung. Den Ablauf sollten Sie in einem Entsorgungs- und Vernichtungskonzept festhalten. Hinweise zur Einordnung finden Sie im Glossar unter DSGVO-konforme Vernichtung.

Ab welcher Menge lohnt sich der Dienstleister?

Ein Dienstleister lohnt sich, sobald Mengen oder Schutzbedarf die Möglichkeiten eines Geräts am Arbeitsplatz übersteigen. Als Faustregel gilt: Wenige Ordner einmalig gehören an eine kommunale Annahmestelle, regelmäßig anfallende vertrauliche Akten in einen laufenden Behälterservice, und Kleinmengen im Alltag in ein eigenes Gerät. Die folgende Tabelle ordnet die Optionen nach Preisklassen und Quellen ein.

Option	Menge	Preisklasse	Hinweis
Kommunale Annahme am Recyclinghof	bis etwa 10 Ordner je Anlieferung	Pauschale im einstelligen Eurobereich	Beispiel Gemeinde Karlsfeld: Sicherheitsstufe P-4, Quittung, Zertifikat zum Download
Selbstanlieferung bei Werkstatt	ab etwa 15 kg	unter 1 € je Kilogramm	Preisliste einer Dresdner Werkstatt, zuzüglich Mehrwertsteuer
Behälterservice mit Abholung	80 bis 415 Liter je Behälter	nach Preisliste unter 100 € je Abholung	Miete des Behälters kommt oft hinzu
Laufender Service mit Abholrhythmus	regelmäßig	auf Anfrage	Anbieter kalkulieren individuell
Vernichtung vor Ort im Spezialfahrzeug	große Mengen, hoher Schutzbedarf	auf Anfrage	Sie sehen die Vernichtung selbst
Eigener Aktenvernichter	laufend, kleine Mengen	einmalige Anschaffung	Siehe Bürogeräte im Vergleich

Aus den Quellen ergeben sich einige Preisfaktoren. Der Landkreis Osterholz nennt als Bestandteile die Miete des Behälters ab dem achten Miettag oder bei Dauerbetrieb eine Jahresmiete sowie einen Transportpreis, der sich nach der Behältergröße richtet. Eine Dresdner Werkstatt stellt Behälter frei Haus und erhebt Mindestmengen, etwa 15 Kilogramm bei Selbstanlieferung. Die Universität Heidelberg verrechnet eine Leerfahrt, wenn niemand vor Ort ist. Gerade solche Nebenkosten entscheiden, ob ein günstiger Grundpreis wirklich günstig ist.

Rechenbeispiel: Wann kippt die Rechnung?

Angenommen, in einer Praxis fallen im Jahr 200 Ordner an. Das entspricht bei 30 bis 35 Ordnern je 240-Liter-Behälter sechs bis sieben Behältern. Bei einmaliger Vernichtung im Jahr genügen rechnerisch etwa drei 660-Liter-Behälter (200 ÷ 85 ≈ 2,4). Fallen dagegen jede Woche zwei Ordner an, ist ein Behälterservice mit wöchentlichem Rhythmus unverhältnismäßig, und ein Aktenvernichter am Arbeitsplatz mit passender Stufe ist die bessere Wahl. Ein Dienstleister rechnet sich vor allem bei einmaligen Räumungen, bei Archivauflösungen und bei hohem Schutzbedarf, der ein Gerät mit teurer Stufe erfordern würde.

Ein Zusatznutzen für Unternehmen: Werkstätten für Menschen mit Behinderung bieten Aktenvernichtung häufig an. Eine Dresdner Werkstatt und eine Hamburger Werkstatt weisen darauf hin, dass Unternehmen 50 Prozent der in der Rechnung enthaltenen Arbeitsleistung auf die Ausgleichsabgabe anrechnen können. Klären Sie das vorab mit Ihrer Steuerberatung.

Checkliste zur Anbieterauswahl

• Zertifikat: Liegt ein Nachweis nach DIN 66399 beziehungsweise ISO/IEC 21964 für Geräte und Prozess vor?
• Auftragsverarbeitungsvertrag: Wird ein Vertrag nach Art. 28 DSGVO angeboten, inklusive Regelung zu Unterauftragnehmern?
• Sicherheitsstufe: Wird die zugesagte Stufe genannt und belegt, auch für Datenträger wie CDs oder Festplatten (Datenträgervernichtung)?
• Behälter: Sind die Behälter abschließbar oder plombiert, und wie werden Schlüssel verwaltet?
• Transport und Zwischenlagerung: Gibt es Zugangsbeschränkung, Alarmsicherung und geschultes Personal?
• Zeitpunkt der Vernichtung: Erfolgt sie taggleich oder wird zwischengelagert?
• Nachweis: Bekommen Sie pro Auftrag ein Vernichtungsprotokoll mit Datum, Menge und Stufe?
• Preisstruktur: Sind Miete, Transport, Mindestmengen und Leerfahrten vollständig ausgewiesen?
• Kontrollrecht: Dürfen Sie den Standort besichtigen oder Nachweise anfordern?
• Verwertung: Wird das Material recycelt und wie ist der Verbleib dokumentiert?

Typische Fehler bei der Beauftragung

• Offene Behälter im Flur: Die Universität Duisburg-Essen fordert, Behälter in verschlossenen Räumen aufzustellen; Flure und allgemein zugängliche Bereiche sind unzulässig.
• Papier und Datenträger vermischt: Die Verfahren unterscheiden sich, und verunreinigtes Material wird laut einer Werkstatt nicht vernichtet, sondern zurückgegeben.
• Nachweis nur abgeheftet: Das Protokoll muss geprüft und dokumentiert werden, nicht nur archiviert.
• Preis vor Prozess: Der billigste Behälter nützt nichts, wenn der Anbieter keine Stufe belegen kann.
• Zu früh vernichtet: Prüfen Sie vorab die Aufbewahrungsfristen.