Neues Arbeitspapier: Vernichtung und Entsorgung von Datenträgern

Der Bayerische Landesbeauftragte für den Datenschutz (BayLfD) hat mit Stand 1. Mai 2026 ein Arbeitspapier zur datenschutzkonformen Vernichtung und Entsorgung von Datenträgern veröffentlicht. Es richtet sich an bayerische öffentliche Stellen, liefert aber auch für private Verantwortliche praxisrelevante Orientierung zu den geltenden technischen Normen und organisatorischen Anforderungen.

Rechtsgrundlage und Normenlage

Verantwortliche sind nach Art. 24 Abs. 1, Art. 25 Abs. 1 und Art. 32 Abs. 1 DS-GVO verpflichtet, bei der Vernichtung von Datenträgern ein dem Risiko angemessenes Schutzniveau sicherzustellen. Erhöhte Anforderungen sind bei besonderen Kategorien personenbezogener Daten nach Art. 9 DS-GVO zu beachten. Praktisch bedeutsam ist, dass die nationale Norm DIN 66399 2023 ersatzlos zurückgezogen wurde. An ihre Stelle tritt die inhaltlich weitgehend gleiche internationale Norm ISO/IEC 21964 (Teile 1–3), die der BayLfD als maßgebliches Referenzwerk empfiehlt. Ergänzend bleibt die europäische DIN EN 15713:2024-07 zu Verfahrensregeln der sicheren Vernichtung anwendbar. Beide Regelwerke sind zwar keine Rechtsnormen, konkretisieren aber den „Stand der Technik“ im Sinne des Art. 32 DS-GVO und können bei dokumentierter Einhaltung als Compliance-Nachweis dienen.

Schutzklassen und Sicherheitsstufen

Die ISO/IEC 21964-1 definiert drei Schutzklassen und sieben Sicherheitsstufen. Für personenbezogene Daten ist mindestens Schutzklasse 2 (Sicherheitsstufe 3) erforderlich, für sensible Daten nach Art. 9 DSGVO sowie Personal-, Sozial- und Steuerdaten mindestens Schutzklasse 3 (Sicherheitsstufe 4). Teil 2 der Norm ordnet diese Stufen sechs Datenträgerkategorien zu (Papier, Film, optische, magnetische, Festplatten- und elektronische Datenträger); Teil 3 beschreibt drei mögliche Prozessvarianten – Eigenvernichtung, Vernichtung vor Ort durch Auftragsverarbeiter oder externe Vernichtung nach Abholung.

Handlungsempfehlung

Der BayLfD empfiehlt allen Verantwortlichen ein dokumentiertes Entsorgungs- und Vernichtungskonzept mit klaren Zuständigkeiten, Festlegung der Schutzklassen, gesicherten Sammelstellen, Auftragsverarbeitungsverträgen bei externer Vergabe sowie regelmäßiger Einholung und Prüfung von Vernichtungsnachweisen. Bei Einbindung externer Dienstleister ist zudem die Orientierungshilfe „Auftragsverarbeitung“ des BayLfD zu beachten.

(Foto: maryna – stock.adobe.com)