Akten und Datenträger datenschutzkonform sammeln und transportieren: Was DIN 66399 und die DSGVO vor der Vernichtung verlangen

Warum die Sammelphase über den Datenschutz entscheidet

In vielen Betrieben gibt es eine klare Vorstellung davon, wie Akten vernichtet werden: Ein zertifizierter Dienstleister holt das Material ab oder ein Aktenvernichter zerkleinert es im Haus. Weniger Beachtung findet jedoch die Phase vor der eigentlichen Vernichtung. Vertrauliche Unterlagen liegen tagelang in offenen Papierkörben, in Kartons neben dem Drucker oder in unverschlossenen Sammelstellen, bevor sie zur Vernichtung gelangen. Genau in dieser Phase ist das Material am leichtesten zugänglich, und genau hier entstehen die meisten Vorfälle.

Die amtliche Statistik stützt diese Einordnung. Den deutschen Aufsichtsbehörden wurden im Jahr 2025 insgesamt 10.259 Datenpannen gemeldet, nach 8.623 im Vorjahr. Europaweit verzeichnete der Europäische Datenschutzausschuss über 167.000 gemeldete Datenpannen, ein Anstieg von etwa 14 Prozent. Nach Angaben der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit bilden Vertraulichkeitsverletzungen dabei die größte Gruppe, also Fälle, in denen Unbefugte Zugang zu personenbezogenen Daten erhalten. Dazu zählen ausdrücklich der Fehlversand von Dokumenten und der Diebstahl oder Verlust physischer Datenträger.

Verbindet man beide Befunde, ergibt sich eine klare Erkenntnis: Die häufigste Art der gemeldeten Verletzung betrifft nicht ausschließlich Hackerangriffe, sondern in erheblichem Umfang den Umgang mit physischem Material. Ein kontrollierter Sammel- und Transportweg setzt genau dort an, wo das Risiko in der Praxis am größten ist. Die Investition in den Schredder allein greift zu kurz, wenn die Unterlagen vorher ungeschützt zugänglich waren. Die Anforderungen an den Umgang mit vertraulichen Unterlagen steigen kontinuierlich. Einerseits führen Digitalisierung und strengere Datenschutzanforderungen dazu, dass Unternehmen ihre technischen und organisatorischen Maßnahmen umfassender dokumentieren müssen. Andererseits wächst mit der Zahl personenbezogener Daten auch die Bedeutung einer lückenlos gesicherten Vernichtungskette. Die Sammlung und der innerbetriebliche Transport entwickeln sich dadurch zunehmend von einer organisatorischen Nebenaufgabe zu einem festen Bestandteil des Datenschutz- und Compliance-Managements.

Der rechtliche Rahmen: DSGVO, BDSG und DIN 66399

Die rechtliche Grundlage bildet die Datenschutz-Grundverordnung. Nach Artikel 32 DSGVO müssen Verantwortliche und Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen treffen, um ein dem Risiko angemessenes Schutzniveau sicherzustellen. Der Maßstab ist der Stand der Technik. Artikel 5 ergänzt den Grundsatz der Integrität und Vertraulichkeit, und das Bundesdatenschutzgesetz konkretisiert die Vorgaben für die nationale Anwendung. Die Verantwortung verbleibt dabei stets beim datenverarbeitenden Unternehmen, auch wenn die eigentliche Vernichtung an einen Dienstleister übergeben wird.

Wie diese Maßnahmen konkret aussehen, beschreibt die Norm DIN 66399 „Büro- und Datentechnik, Vernichtung von Datenträgern", die international als ISO 21964 geführt wird. Sie löste 2013 die ältere DIN 32757 ab und erfasst erstmals den gesamten Prozess von der Bereitstellung über die Sammlung bis zur eigentlichen Zerkleinerung. Die Norm besteht aus drei Teilen: Teil 1 definiert Grundlagen, Schutzklassen und Sicherheitsstufen, Teil 2 regelt die Anforderungen an die Vernichtungsmaschinen, und der dritte Teil beschreibt als DIN SPEC den organisatorischen Ablauf.

Für die Praxis sind zwei Begriffe zentral. Die drei Schutzklassen beschreiben die Schutzwürdigkeit der Daten von normalem über hohen bis zu sehr hohem Schutzbedarf. Die sieben Sicherheitsstufen beschreiben, wie schwer sich zerstörtes Material wiederherstellen lässt. Beide werden vom Verantwortlichen selbst eingestuft, der nach der Logik der Norm der „Herr der Daten" ist.

Schutzklassen und Sicherheitsstufen in der Praxis

Die Zuordnung von Schutzklasse und Sicherheitsstufe entscheidet über den nötigen Zerkleinerungsgrad und damit über die Kosten. Je feiner das Material zerkleinert werden muss, desto aufwendiger und teurer ist der Prozess. Die folgende Tabelle zeigt die in der Praxis übliche Zuordnung für Papierunterlagen der Materialklasse P. Sie dient der Orientierung, im Zweifel ist die jeweils höhere Stufe zu wählen.

Wichtig für die betriebliche Praxis ist eine Klarstellung, auf die Entsorgungsdienstleister wie KURZ Entsorgung in ihrer Übersicht zu den Sicherheitsstufen hinweisen: Sobald personenbezogene Daten betroffen sind, reichen die niedrigsten Stufen nicht mehr aus. Für solche Unterlagen gilt regelmäßig mindestens Sicherheitsstufe P-3, in vielen Fällen ist P-4 oder P-5 angemessen. Eine Vernichtung in Streifen, die sich wieder zusammensetzen lassen, genügt den Anforderungen der DSGVO nicht.

Über das Papier hinaus erfasst die Norm weitere Materialklassen, etwa Festplatten (H), optische Datenträger (O) oder elektronische Speichermedien (E). Für jede gelten eigene Stufen, weil sich eine zerkratzte CD anders bewerten lässt als eine geschredderte Festplatte. Wer Datenträger gemischt sammelt, muss die jeweils höchste Anforderung berücksichtigen.

Für die Praxis bedeutet das, dass bereits am Ort der Sammlung entschieden werden muss, welche Sicherheitsanforderungen gelten. Eine spätere Sortierung unmittelbar vor der Vernichtung genügt häufig nicht, weil vertrauliche Unterlagen und Datenträger bis dahin bereits unzureichend geschützt gewesen sein können.

Die Vernichtungskette und ihre schwächste Stelle

DIN 66399 unterscheidet drei Varianten der Vernichtung: durch den Kunden selbst, durch einen Dienstleister vor Ort und durch einen externen Dienstleister außerhalb des Betriebs. In allen drei Fällen liegt zwischen dem Anfall der Unterlagen und ihrer Zerkleinerung eine Sammel- und Transportphase. Bei der externen Vernichtung ist diese Phase am längsten, weil das Material gesammelt, zwischengelagert, verladen und transportiert wird, bevor es den Schredder erreicht.

Jeder dieser Schritte ist eine potenzielle Schwachstelle. Eine offene Sammelbox im Flur lädt zur unbefugten Entnahme ein. Ein Karton, der über Nacht auf dem Verladehof steht, ist gegen Zugriff und Witterung ungeschützt. Selbst beim Transport durch einen zertifizierten Dienstleister bleibt die Frage, ob das Material während der Sammlung im Betrieb bereits gegen Zugriff gesichert war. Die Norm verlangt deshalb, dass die Vertraulichkeit über die gesamte Kette gewahrt bleibt, nicht erst im Moment der Zerkleinerung.

Hier zeigt sich der Unterschied zwischen einer formalen und einer tatsächlichen Erfüllung der DSGVO. Ein Unternehmen kann einen zertifizierten Vernichtungsdienstleister beauftragen und dennoch gegen Artikel 32 verstoßen, wenn die Unterlagen vorher tagelang frei zugänglich waren. Geprüfte Sammelbehälter, eine dokumentierte Zugriffskontrolle und ein nachvollziehbarer Übergabeprozess schließen diese Lücke.

Wirtschaftliche und haftungsrechtliche Folgen

Die Folgen einer Verletzung sind erheblich. Nach Artikel 83 DSGVO sind Bußgelder von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes möglich. In der Praxis sind die Summen für mittelständische Betriebe meist niedriger, doch die Aufsichtsbehörden zeigen zunehmend weniger Zurückhaltung. Für das Jahr 2025 meldeten die deutschen Behörden insgesamt 249 Bußgelder mit einer Gesamthöhe von rund 46,9 Millionen Euro. Hinzu kommt seit den Urteilen des Bundesgerichtshofs vom März 2025 ein erweitertes Risiko, weil Wettbewerber bestimmte Datenschutzverstöße wettbewerbsrechtlich abmahnen können.

Neben dem Bußgeld wiegt der Vertrauensverlust oft schwerer. Wird bekannt, dass Personal- oder Gesundheitsdaten aus einem offenen Sammelbehälter entwendet wurden, entsteht ein Reputationsschaden, der sich kaum beziffern lässt. Betroffene haben zudem nach Artikel 82 DSGVO Anspruch auf Schadensersatz, und schon ein kurzzeitiger Kontrollverlust kann nach der Rechtsprechung einen immateriellen Schaden begründen.

Dem stehen vergleichsweise geringe Investitionskosten gegenüber. Ein abschließbarer Sammelbehälter ist eine einmalige Anschaffung mit langer Nutzungsdauer. Gemessen an den möglichen Bußgeldern und Folgekosten ist die Absicherung der Sammelphase eine der günstigsten Datenschutzmaßnahmen überhaupt.

Aus dieser Kombination rechtlicher, organisatorischer und wirtschaftlicher Anforderungen ergibt sich eine klare Konsequenz: Bereits die Sammlung vertraulicher Unterlagen muss so organisiert sein, dass unbefugte Zugriffe, Verlust und unbeabsichtigte Offenlegung wirksam verhindert werden. Der eingesetzte Sammelbehälter wird damit zu einem Bestandteil der technischen und organisatorischen Maßnahmen nach Artikel 32 DSGVO.

Der Sammelbehälter als technische Antwort

Ein geeigneter Sammelbehälter muss mehrere Anforderungen zugleich erfüllen. Er soll die Einlage erlauben, die Entnahme aber wirksam verhindern, etwa durch einen Einwurfschlitz mit Rückgriffschutz und ein Schloss. Er soll robust und langlebig sein, damit er den täglichen Betrieb und den Transport übersteht. Und er soll sich rollend bewegen lassen, weil das gefüllte Material schwer wird und ergonomisch transportiert werden muss.

Aluminium hat sich für diese Aufgabe bewährt, weil es ein günstiges Verhältnis von Stabilität zu Gewicht bietet und korrosionsbeständig ist. Hersteller wie Gmöhling aus Fürth bieten Datenentsorgungsbehälter aus Aluminium in verschiedenen Größen an, die ausdrücklich für die Sammlung und den Transport sensibler Daten und Akten gemäß BDSG und DSGVO ausgelegt sind. Die Behälter lassen sich mit unterschiedlichen Schließsystemen ausstatten und sind gegen die unbefugte Entnahme durch Dritte geschützt. Auf Wunsch sind Sonderausführungen für bestimmte Einwurfformate möglich.

Gmöhling ist dabei nicht der einzige Anbieter. Spezialisierte Entsorgungsdienstleister wie Rhenus, Reisswolf oder regionale Aktenvernichter stellen ihren Kunden ebenfalls abschließbare Sammelbehälter, oft im Rahmen eines Full-Service-Modells mit regelmäßiger Leerung und Vernichtungsnachweis. Die Abwägung zwischen dem Kauf eigener Behälter und einem Dienstleistermodell hängt von der anfallenden Menge, der gewünschten Kontrolle über den Prozess und der vorhandenen Infrastruktur ab. Wichtiger als die Bauform ist, dass der Behälter zur eingestuften Schutzklasse passt und der gesamte Weg dokumentiert wird.

Organisatorische Maßnahmen ergänzen die Technik

Ein abschließbarer Behälter allein genügt nicht. Artikel 32 DSGVO verlangt technische und organisatorische Maßnahmen, die erst im Zusammenwirken ein angemessenes Schutzniveau ergeben. Dazu gehört eine klare Regelung, welche Unterlagen in welchen Behälter gehören, wer Zugriff auf den Schlüssel hat und in welchem Intervall geleert wird.

Ebenso wichtig ist die Dokumentation. Bei externer Vernichtung sollte ein Vernichtungsnachweis oder Vernichtungszertifikat vorliegen, das den Prozess belegt. Beschäftigte sind regelmäßig zu unterweisen, damit vertrauliche Unterlagen nicht versehentlich im normalen Papierkorb landen. Erst die Kombination aus geprüftem Behälter, definierter Zugriffskontrolle und nachvollziehbarem Übergabeprozess macht die Vernichtungskette belastbar.

Checkliste: Datenschutzkonforme Sammlung und Vernichtung

Die folgende Checkliste fasst die wesentlichen Punkte zusammen und eignet sich als Vorlage für die Abstimmung zwischen Datenschutzbeauftragtem, Facility Management und Einkauf.

Prüf-Checkliste für die Vernichtungskette

☐ Schutzklasse und Sicherheitsstufe für jede Datenart nach DIN 66399 festgelegt
☐ Bei personenbezogenen Daten mindestens Stufe P-3, im Zweifel höher gewählt
☐ Materialklassen getrennt erfasst (Papier, Festplatten, optische und elektronische Datenträger)
☐ Abschließbare Sammelbehälter mit Rückgriffschutz an allen Anfallstellen aufgestellt
☐ Zugriff auf Schlüssel und Behälter geregelt und dokumentiert
☐ Leerungsintervall festgelegt, keine dauerhafte Zwischenlagerung im Freien
☐ Vernichtungsvariante gewählt (intern, vor Ort, extern) und Schnittstellen gesichert
☐ Vernichtungsnachweis oder Zertifikat vom Dienstleister vereinbart
☐ Auftragsverarbeitungsvertrag mit externem Dienstleister geschlossen
☐ Beschäftigte unterwiesen und Unterweisung dokumentiert
☐ Technische und organisatorische Maßnahmen nach Art. 32 DSGVO dokumentiert
☐ Prozess regelmäßig überprüft und an veränderte Risiken angepasst

Fazit: Den Anfang der Kette absichern

Datenschutzkonforme Vernichtung beginnt nicht am Schredder, sondern an der Stelle, an der die ersten Unterlagen anfallen. DIN 66399 und die DSGVO verlangen, dass die Vertraulichkeit über die gesamte Kette gewahrt bleibt, und die Statistik der Aufsichtsbehörden zeigt, dass gerade der Umgang mit physischem Material ein häufiger Schwachpunkt ist.

Als nächster Schritt empfiehlt es sich, die anfallenden Datenarten zu erfassen, ihre Schutzklassen einzustufen und an jeder Anfallstelle einen geeigneten, abschließbaren Sammelbehälter vorzusehen. Der Behälter ist dabei nur eine von mehreren Stellschrauben, lässt sich aber mit überschaubarem Budget umsetzen und schließt eine der am häufigsten übersehenen Lücken.