Aktenvernichter nach DIN 66399: Sicherheitsstufen P-1 bis P-7 und welche Stufe Ihr Betrieb wirklich braucht

Eine Norm aus Balingen, die zur europäischen Pflicht wurde

Die Geschichte des Aktenvernichters beginnt 1935 in Balingen am Fuß der Schwäbischen Alb. Dort baute Adolf Ehinger nach eigenen Angaben den ersten serienmäßig hergestellten Reißwolf, zunächst mit Handkurbel, später mit Elektromotor. Aus dieser Tradition sind die heute weltweit führenden deutschen Hersteller hervorgegangen, allen voran Krug + Priester (IDEAL) aus Balingen und HSM Hermann Schwelling Maschinenbau aus dem nahe gelegenen Salem am Bodensee.

Die Norm, die heute über die Sicherheit der Vernichtung entscheidet, ist ebenfalls deutsch geprägt. Die DIN 66399 „Büro- und Datentechnik – Vernichtung von Datenträgern" wurde im Oktober 2012 veröffentlicht und ersetzt die ältere DIN 32757. Inhaltsgleich existiert sie als ISO/IEC 21964 in international anwendbarer Fassung. Der Stand der Technik in der Aktenvernichtung wird durch diese Norm beschrieben, weshalb deutsche Datenschutzaufsichtsbehörden, das Bundesamt für Sicherheit in der Informationstechnik und die DSGVO-Rechtsprechung sich regelmäßig auf sie beziehen.

Die Norm besteht aus drei Teilen: Teil 1 definiert Schutzklassen, Sicherheitsstufen und Materialklassen. Teil 2 stellt Anforderungen an die Maschinen. Teil 3 (als DIN SPEC) regelt den Prozess der Vernichtung beim Anwender oder Dienstleister. Für Einkäufer und Datenschutzbeauftragte ist vor allem Teil 1 relevant, weil daraus die Spezifikation des benötigten Geräts oder Dienstes abgeleitet wird.

Schutzklassen: Drei Kategorien für den Schutzbedarf

Bevor eine Sicherheitsstufe gewählt werden kann, muss der Schutzbedarf der Daten ermittelt werden. Die DIN 66399 sieht dafür drei Schutzklassen vor, die sich am möglichen Schaden bei einer unbefugten Offenlegung orientieren.

Schutzklasse 1 betrifft Daten mit normalem Schutzbedarf. Eine ungewollte Veröffentlichung hätte begrenzte negative Auswirkungen, etwa Imageverlust oder geringfügige finanzielle Folgen. Beispiele sind allgemeine interne Korrespondenz, Werbematerialien, Telefonlisten oder Unterlagen ohne Personenbezug.

Schutzklasse 2 beschreibt einen hohen Schutzbedarf für vertrauliche Daten. In diese Kategorie fallen unter anderem Personalakten, Bewerberdaten, Vertragsunterlagen, Gehaltsabrechnungen, Buchhaltungsbelege mit personenbezogenen Daten oder kalkulationsrelevante Geschäftsinformationen. Eine unbefugte Offenlegung hätte erhebliche Konsequenzen, vom Vertrauensverlust bis zu konkreten DSGVO-Bußgeldern.

Schutzklasse 3 gilt für Daten mit sehr hohem Schutzbedarf. Hierzu zählen Patientendaten, Mandanteninformationen, geheime Forschungsergebnisse, militärische oder geheimdienstliche Unterlagen sowie Daten besonderer Kategorien nach Art. 9 DSGVO (Gesundheit, biometrische Daten, religiöse Überzeugung). Eine Offenlegung kann existenzbedrohend sein und bei Berufsgeheimnisträgern (Ärzte, Anwälte, Steuerberater) auch strafrechtliche Folgen nach § 203 StGB nach sich ziehen.

Sieben Sicherheitsstufen, sechs Materialklassen

Während die Schutzklasse den Schutzbedarf der Information klassifiziert, beschreiben die sieben Sicherheitsstufen die technische Ausführung der Vernichtung, also die maximal zulässige Partikelgröße. Je höher die Stufe, desto kleiner sind die übrig bleibenden Partikel und desto aufwändiger ist die theoretische Wiederherstellung.

Die Norm unterscheidet außerdem sechs Materialklassen, die mit einem Buchstaben gekennzeichnet werden: P für Papier in Originalgröße, F für verkleinerte Informationsdarstellung wie Mikrofilm, O für optische Datenträger (CD, DVD, Blu-ray), T für magnetische Datenträger (Magnetkarten, Disketten), H für Festplatten und andere magnetische Datenträger mit hoher Datendichte sowie E für elektronische Datenträger (USB-Sticks, SD-Karten, Smartcards). Eine Bezeichnung wie „P-4" beschreibt also Papier, das auf Sicherheitsstufe 4 vernichtet wurde.

Wichtig zu wissen: Pro Materialklasse sind die Partikelgrößen unterschiedlich definiert. Eine Festplatte (Klasse H) muss auf Stufe 5 maximal 320 mm² große Partikel ergeben, ein USB-Stick (Klasse E) auf derselben Stufe maximal 10 mm². Wer einen Aktenvernichter nur mit „P-5" beschreibt, sagt nichts über seine Eignung für CDs oder Festplatten aus.

Streifenschnitt oder Partikelschnitt

Mechanisch unterscheiden sich Aktenvernichter vor allem in der Schneidwerksart. Der Streifenschnitt teilt das Papier mit zwei gegenläufigen Wellen in lange, schmale Streifen. Diese Bauart ist günstiger, leiser und schneller, ergibt aber nur Partikelgrößen für die Sicherheitsstufen P-1 und P-2. Für eine DSGVO-konforme Vernichtung personenbezogener Daten ist der reine Streifenschnitt nicht ausreichend.

Der Partikelschnitt (auch Kreuzschnitt oder Cross-Cut) trennt das Papier zusätzlich quer und ergibt rechteckige Partikel. Damit lassen sich die Sicherheitsstufen P-3 bis P-6 erreichen. Die Stufe P-7 wird nur mit speziellen Hochsicherheitsschneidwerken erzeugt, die zusätzliche Mahl- oder Schervorgänge nutzen. P-7-Maschinen sind in deutschen Unternehmen praktisch nicht vorzufinden, da sie für streng geheime Verschlusssachen militärischer oder nachrichtendienstlicher Stellen vorgesehen sind.

Partikelgrößen für Papier (Klasse P) im Überblick

Die folgende Tabelle zeigt die maximale Partikelgröße je Sicherheitsstufe sowie eine anschauliche Größenreferenz, die in der Praxis bei der Bewertung eines Geräts hilft.

Die Norm erlaubt, dass bis zu 10 Prozent der Partikel die jeweilige Maximalgröße übersteigen, jedoch nicht über die Vorgabe der nächst niedrigeren Stufe hinaus. Diese Toleranzregel ist relevant, wenn ein Gerät überlastet wird oder das Schneidwerk verschlissen ist. Eine regelmäßige Sichtkontrolle der Partikelgröße im Auffangbehälter ist daher mehr als eine Formalie.

Welche Stufe ist für welchen Betrieb erforderlich?

Personenbezogene Daten unterliegen der DSGVO Art. 32 (Sicherheit der Verarbeitung). Dieser verpflichtet Verantwortliche und Auftragsverarbeiter, dem Risiko angemessene technische und organisatorische Maßnahmen zu treffen. Die DSGVO selbst nennt keine konkrete Sicherheitsstufe. In der Rechtsprechung und Literatur hat sich aber die Auffassung durchgesetzt, dass für personenbezogene Daten mindestens P-4 als Stand der Technik anzusehen ist. Bei besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO (Gesundheit, ethnische Herkunft, biometrische Daten) gilt P-5 als angemessen.

Die folgende Branchen-Empfehlung orientiert sich an der gängigen Praxis deutscher Aufsichtsbehörden und Datenschutzbeauftragten:

Allgemeine Verwaltung, Vertrieb, Einkauf: P-4 ist ausreichend. Die meisten Bürodokumente mit Adressen, Bestelldaten oder einfachen Personaldaten fallen in Schutzklasse 2.

Personalabteilung, Buchhaltung, Lohnbüros: P-4 als Mindestanforderung. Wer regelmäßig Bewerbungsunterlagen, Krankheitsdaten oder Pfändungsbescheide vernichtet, kann mit P-5 auf der sichereren Seite stehen.

Arzt- und Zahnarztpraxen, Krankenhäuser, Apotheken: P-5 ist angemessen. Patientendaten unterliegen dem Berufsgeheimnis nach § 203 StGB. Verstöße sind nicht nur bußgeldbewehrt, sondern strafrechtlich relevant.

Anwaltskanzleien, Notare, Steuerberater, Wirtschaftsprüfer: P-5. Mandanteninformationen sind durch das anwaltliche Berufsrecht geschützt. Der Bundesgerichtshof hat in mehreren Entscheidungen klargestellt, dass die Vernichtung schutzbedürftiger Mandantendaten mindestens dem Stand der Technik nach DIN 66399 entsprechen muss.

Banken, Versicherungen, Finanzdienstleister: P-4 für Standardunterlagen, P-5 für Kontodaten, Kreditakten und KYC-Dokumentation. Ergänzend gelten branchenspezifische Vorgaben der BaFin und das Geldwäschegesetz.

Forschung, Entwicklung, Hochsicherheitsbereiche: P-6 oder P-7. Bei Verschlusssachen gilt zusätzlich die Verschlusssachenanweisung des Bundes (VSA), die teilweise ausschließlich vom BSI freigegebene Vernichtungsverfahren verlangt.

Hersteller, Bauformen und Preisbereiche

Der deutsche Markt für Aktenvernichter ist konzentriert. Vier Hersteller decken den Großteil der Bürobeschaffung ab.

HSM (Salem) gilt als breitester Anbieter und produziert nach Eigenangaben in drei Werken in Deutschland. Die Modellfamilien Pure, SECURIO und shredstar adressieren vom Heimarbeitsplatz bis zum Großmengen-Aktenvernichter alle Anwendungsfälle. Die SECURIO-Serie ist im professionellen Büro weit verbreitet. Auf Vollstahl-Schneidwellen gewährt HSM eine lebenslange Garantie, was bei einer Investition mit zehn bis fünfzehn Jahren Nutzungsdauer relevant ist.

IDEAL (Krug + Priester, Balingen) ist nach eigenen Angaben weltweit führend bei professionellen Aktenvernichtern und Stapelschneidemaschinen. Die Modelle der 8000er- und 9000er-Serien werden in vielen deutschen Kanzleien und Behörden eingesetzt und decken P-4 bis P-7 ab. Die vollstufige Produktion am Standort Balingen wird vom Unternehmen als Qualitätsmerkmal hervorgehoben.

Dahle (Coswig, Sachsen) ist der dritte deutsche Hersteller und vor allem im Mittelstandssegment präsent. Die Modellreihen ShredMATIC und PaperSAFE bieten ein gutes Preis-Leistungs-Verhältnis im Bereich P-4 und P-5.

Internationale Anbieter wie Fellowes (USA), Rexel (Großbritannien) und Leitz (Esselte, jetzt ACCO) konkurrieren vor allem im Einsteiger- und Mittelklassebereich. Ihre Geräte sind häufig in Bürofachhandelskatalogen zu finden und bieten in der Sicherheitsstufe P-4 vergleichbare Leistung zu den deutschen Anbietern.

Die Preisbereiche im Frühjahr 2026 lassen sich grob folgendermaßen einteilen: Heimbürogeräte mit P-4, fünf bis zehn Blatt Schnittleistung und 15 bis 25 Liter Auffangbehälter beginnen bei rund 150 € netto. Arbeitsplatzgeräte mit P-4 oder P-5 für 12 bis 20 Blatt und 30 bis 60 Liter liegen zwischen 350 € und 800 €. Abteilungsgeräte mit P-5 oder P-6 für 20 bis 30 Blatt und Auffangvolumen über 80 Liter beginnen bei rund 1.200 €. Großmengen-Aktenvernichter im 500-Liter-Bereich, wie sie in größeren Unternehmen oder Behörden zum Einsatz kommen, kosten zwischen 4.000 € und 12.000 €.

Eigene Vernichtung oder externer Dienstleister?

Die DIN 66399 Teil 3 unterscheidet drei organisatorische Verfahren der Vernichtung. Die Wahl hat erhebliche Auswirkungen auf Kosten, Verantwortlichkeiten und Beweisbarkeit.

Verfahren 1 ist die Vernichtung durch den Datenbesitzer selbst, also direkt im Unternehmen mit eigenem Aktenvernichter. Vorteil: Die Daten verlassen das Haus nicht, der Schutz vor unbefugtem Zugriff während Transport oder Zwischenlagerung entfällt. Nachteil: Die Beweislast für eine ordnungsgemäße Vernichtung liegt beim Unternehmen selbst. Vernichtungsprotokolle, Wartungsnachweise des Geräts und stichprobenartige Sichtkontrollen der Partikelgröße gehören zur Pflicht.

Verfahren 2 ist die Vor-Ort-Vernichtung durch einen externen Dienstleister, der mit einem mobilen Schredderfahrzeug auf das Betriebsgelände kommt. Der Verantwortliche kann dem Vorgang beiwohnen und erhält ein Vernichtungsprotokoll. Diese Variante kombiniert Sicherheit der Datenhoheit mit der Entlastung von Wartung und Maschinenbetrieb.

Verfahren 3 ist der Transport zu einer externen Vernichtungsanlage. Die Daten werden in verschlossenen Sicherheitsbehältern abgeholt und in einem zertifizierten Werk vernichtet. Diese Variante ist die wirtschaftlichste bei großen Mengen, erfordert aber einen sorgfältig formulierten Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und eine Kontrolle der Sicherheitsmaßnahmen beim Dienstleister.

Wer auf einen externen Dienstleister setzt, sollte auf die Zertifizierung nach DIN 66399 achten und außerdem prüfen, ob der Maschinenpark den Anforderungen der BSI-Technischen Leitlinie BSI-TL 03420 entspricht. Diese Leitlinie regelt das Löschen und Vernichten schutzbedürftiger Informationen auf analogen und digitalen Datenträgern und ist insbesondere für Behördenkunden relevant.

DSGVO-Risiko: Was bei einer Lücke konkret droht

Die DSGVO Art. 32 ordnet die ordnungsgemäße Vernichtung personenbezogener Daten als technische und organisatorische Maßnahme ein. Verstöße können nach Art. 83 DSGVO mit Bußgeldern bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem welcher Betrag höher ist. In schweren Fällen, etwa bei besonderen Kategorien personenbezogener Daten, sind sogar bis zu 20 Millionen Euro oder 4 Prozent des Jahresumsatzes möglich.

Konkrete Bußgelder wegen unzureichender Aktenvernichtung gibt es regelmäßig. So verhängte die spanische Datenschutzbehörde AEPD im Jahr 2025 ein Bußgeld gegen ein Krankenhaus, das eine vom Patienten übergebene CD mit MRT-Aufnahmen unsachgemäß entsorgt hatte. Die Höhe lag im fünfstelligen Bereich. Auch in Deutschland werden Verstöße gegen Art. 32 zunehmend sanktioniert. Das größte deutsche DSGVO-Bußgeld stammt aus dem Juni 2025: Vodafone musste 45 Millionen Euro zahlen, in diesem Fall jedoch wegen mangelnder Authentifizierungsprozesse, nicht wegen Aktenvernichtung.

Hinzu kommt das oft übersehene zivilrechtliche Risiko: Nach Art. 82 DSGVO können Betroffene Schadensersatz für materielle und immaterielle Schäden verlangen. Ein Urteil des Europäischen Gerichtshofs (Rs. C-340/21) hat bestätigt, dass bereits die Sorge vor Datenmissbrauch einen ersatzfähigen immateriellen Schaden darstellen kann. Eine Mülltonne mit lesbaren Personalakten reicht aus, um diese Sorge zu begründen.

Häufige Fehler in der Praxis

Die Beratung von Datenschutzbeauftragten zeigt, dass sich bestimmte Schwachstellen in vielen deutschen Betrieben wiederholen.

Der erste typische Fehler ist der Kauf eines Geräts mit zu niedriger Sicherheitsstufe. Geräte mit P-3 oder reinem Streifenschnitt sind für personenbezogene Daten nicht geeignet, werden aber wegen des günstigen Preises häufig im Mittelstand eingesetzt.

Der zweite Fehler ist die Mischlagerung in offenen Sammelbehältern. Wenn Mitarbeitende Akten zur späteren Vernichtung in einem unverschlossenen Karton oder Papierkorb sammeln, ist der Datenschutz bereits vor der eigentlichen Schredderfahrt gefährdet. Die Norm sieht für diesen Fall verschließbare Datenschutzbehälter mit Einwurfschlitz vor.

Der dritte Fehler betrifft die Wartung. Stumpfe Schneidwellen, überlastete Geräte und überfüllte Auffangbehälter führen dazu, dass die spezifizierte Partikelgröße nicht mehr eingehalten wird. Eine regelmäßige Schmierung mit Schneidwerkölspezialpapier oder einer Wartungsflasche ist Pflicht. Die meisten Hersteller geben Wartungsintervalle in der Bedienungsanleitung an.

Der vierte Fehler liegt im Auftragsverarbeitungsvertrag mit externen Dienstleistern. Verträge ohne explizite Bezugnahme auf DIN 66399, ohne Festlegung der Schutzklasse und ohne Vereinbarung der Sicherheitsstufe je Materialart erfüllen die Anforderungen des Art. 28 DSGVO nur unvollständig. Ein Übernahmeprotokoll bei jeder Abholung und ein Vernichtungsnachweis nach erfolgter Vernichtung sollten standardmäßig im Vertrag vereinbart sein.

Der fünfte Fehler ist die fehlende Schulung. Wer ein Gerät mit P-5 anschafft, dann aber dem Praktikanten die Aktenvernichtung überträgt und Originalrechnungen zerschneiden lässt, hat das Geld zwar ausgegeben, aber den Datenschutzprozess nicht aufgesetzt. Die organisatorische Maßnahme nach Art. 32 DSGVO umfasst auch die Sensibilisierung der Beschäftigten.

Internationaler Vergleich: Wie andere Länder die Vernichtung regeln

Die DIN 66399 ist über die ISO/IEC 21964 international anerkannt. In den USA gilt parallel der NSA/CSS-Standard 02-01, der für Bundesbehörden und das Verteidigungsministerium maßgeblich ist und vergleichbare Sicherheitsstufen mit eigenen Bezeichnungen vorsieht. In Großbritannien orientieren sich Behörden an der BS EN 15713, die 2009 als europäische Norm für die Vernichtung vertraulicher Materialien erstellt wurde. Die EN 15713 reguliert vor allem die Anforderungen an externe Vernichtungsdienstleister, also Verfahren 2 und 3 nach DIN 66399.

In Japan ist die Aktenvernichtung eng mit dem Personal Information Protection Act (APPI) verbunden, der inhaltlich eng an der DSGVO orientiert ist. Dort hat sich der niederländische Zertifizierungsstandard CA+ als zusätzliche Orientierung etabliert. Eine Studie des CA+ Instituts aus dem Jahr 2021 hat gezeigt, dass die Sicherheitsstufe P-4 bei sachgerechter Umsetzung auch dann als ausreichend gilt, wenn Vertraulichkeit und Nachhaltigkeit gleichermaßen berücksichtigt werden sollen. Höhere Stufen bedeuten nicht automatisch mehr Sicherheit, weil die kürzeren Papierfasern das Recycling erschweren und gleichzeitig der Energiebedarf der Vernichtung steigt.

Aufbewahrungsfristen vor der Vernichtung beachten

Bevor Unterlagen vernichtet werden, müssen die gesetzlichen Aufbewahrungsfristen eingehalten sein. Das Handelsgesetzbuch (HGB § 257) und die Abgabenordnung (AO § 147) verlangen für die meisten Geschäftsunterlagen eine Aufbewahrung von zehn Jahren. Für Personalakten gelten je nach Unterlagenart drei bis zehn Jahre, für Lohnunterlagen sechs Jahre. Eine vorzeitige Vernichtung ist nicht nur datenschutzrechtlich, sondern auch steuerrechtlich problematisch und kann im Außenprüfungsfall zu Schätzungen führen.

Umgekehrt gilt: Sobald eine Aufbewahrungsfrist abgelaufen ist und kein berechtigtes Interesse mehr besteht, müssen personenbezogene Daten nach dem Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) gelöscht werden. Eine Aktenvernichtung „auf Vorrat" ohne Fristenkontrolle ist ebenso problematisch wie eine fehlende Vernichtung.

Checkliste Aktenvernichter und DIN 66399: Schutzbedarf der Daten ermitteln und in eine der drei Schutzklassen einordnen · Sicherheitsstufe je Materialart festlegen (P, F, O, T, H, E) · Für personenbezogene Daten mindestens P-4 wählen, bei besonderen Kategorien P-5 · Bei eigener Vernichtung: zertifiziertes Gerät beschaffen, Wartungsplan dokumentieren, Schulung der Mitarbeitenden sicherstellen · Bei externem Dienstleister: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit explizitem Bezug auf DIN 66399 abschließen · Verschließbare Datenschutzbehälter für die Sammlung vor der Vernichtung einsetzen · Aufbewahrungsfristen nach HGB und AO vor der Vernichtung prüfen · Vernichtungsprotokoll oder Vernichtungszertifikat aufbewahren (mindestens drei Jahre) · Stichprobenartig die Partikelgröße im Auffangbehälter kontrollieren · Verfahren regelmäßig im Datenschutz-Managementsystem überprüfen und an neue Risiken anpassen