{"id":1007,"date":"2024-01-24T15:36:00","date_gmt":"2024-01-24T14:36:00","guid":{"rendered":"https:\/\/www.mammut-aktenvernichtung.de\/bl\/?p=1007"},"modified":"2025-09-15T13:25:25","modified_gmt":"2025-09-15T11:25:25","slug":"risiko-aktenvernichtung-diese-fehler-sollten-sie-vermeiden","status":"publish","type":"post","link":"https:\/\/www.mammut-aktenvernichtung.de\/bl\/datenschutz\/aktenvernichtung\/risiko-aktenvernichtung-diese-fehler-sollten-sie-vermeiden\/","title":{"rendered":"Risiko Aktenvernichtung \u2013 diese Fehler sollten Sie vermeiden"},"content":{"rendered":"\n

Tatort Rheinland: Ein Kunde droht mit Auftrag. Aber zuvor soll der K\u00f6lner IT-Dienstleister im Auftrag seines zuk\u00fcnftigen Auftraggebers zum Daten- und Informationsschutz auditiert werden. Im Fokus der Pr\u00fcfung stehen die technischen und organisatorischen Ma\u00dfnahmen zum Schutz der Daten des Auftraggebers. Sind die Schutzma\u00dfnahmen, die der Dienstleister im Kleingedruckten seiner Vertr\u00e4ge versprochenen hat, ausreichend? Die lange Liste von Fachw\u00f6rtern reicht von \u201eA\u201c wie Aktenvernichtung bis \u201eZ\u201c wie zentrales Sicherheitsmanagement. Sind alle diese Ma\u00dfnahmen tats\u00e4chlich wirksam und nach dem Stand der Technik umgesetzt? Von dem positiven Ergebnis dieses Audits soll die Beauftragung des Dienstleisters abh\u00e4ngen.<\/strong><\/p>\n\n\n\n

<\/div>\n\n\n\n

Zertifizierung oder Einzelfallpr\u00fcfung<\/h2>\n\n\n\n

Der Autor dieses Artikels ist Datensch\u00fctzer und pr\u00fcft regelm\u00e4\u00dfig Unternehmen zum Daten- und Informationsschutz. Hintergrund sind die gesetzlichen Rahmenbedingungen in Deutschland und Europa, die von Unternehmen zunehmend Transparenz und nachgewiesene Zuverl\u00e4ssigkeit bei den eigenen Dienstleistern und Lieferanten verlangen. Gro\u00dfe Unternehmen belegen ihre Zuverl\u00e4ssigkeit oftmals \u00fcber Zertifizierungen. Mittelst\u00e4ndische und kleine Unternehmen sehen seltener den Mehrwert f\u00fcr den teilweise erheblichen Aufwand, um die Voraussetzungen f\u00fcr eine Zertifizierung zu schaffen und dauerhaft aufrecht zu halten. Das f\u00fchrt nun zunehmend dazu, dass gro\u00dfe Auftraggeber sich durch eigene Pr\u00fcfer selbst davon \u00fcberzeugen, ob ein zuk\u00fcnftiger Dienstleister ausreichend geeignet ist. Aber auch altbew\u00e4hrte Bestandsdienstleister m\u00fcssen sich in solchen Audits bew\u00e4hren.<\/p>\n\n\n\n

<\/div>\n\n\n\n

Papier ist geduldig, die Folgen von Datenschutzverletzungen sind es nicht<\/h3>\n\n\n\n

Auch in Zeiten der Digitalisierung ist Papier in Form von Briefen, Ausdrucken, Akten und Ordnersammlungen einer der h\u00e4ufigsten Datentr\u00e4ger. Selbst in sogenannten papierlosen B\u00fcros lassen sich einerseits Drucker und andererseits pers\u00f6nliche Notizsammlungen antreffen. Neben den vielen Sicherheitsma\u00dfnahmen f\u00fcr die digitalen Systeme wird das konventionelle Papier oft \u00fcbersehen.<\/p>\n\n\n\n

In den langen Listen geforderter oder versprochener Schutzma\u00dfnahmen ist das Thema Papier bestenfalls mit dem Stichwort \u201eDatentr\u00e4gervernichtung nach DIN 66399<\/strong><\/em>\u201c vertreten. Und einer der h\u00e4ufigsten Auditbefunde lautet: Datentr\u00e4ger werden nicht nach dem Stand der Technik vernichtet (repr\u00e4sentiert durch die zuvor genannte ISO 21964 bzw. die wortgleiche DIN 66399).<\/p>\n\n\n\n

Die \u00dcberraschung ist dann gro\u00df, wenn der Auditor erkl\u00e4rt, dass der eingesetzte Entsorgungsdienstleister zwar passend zertifiziert ist, dieser aber nicht korrekt beauftragt wurde.<\/p>\n\n\n\n

<\/div>\n\n\n\n

Aktenvernichtung: bitte richtig beauftragen<\/h3>\n\n\n\n

Die Beauftragung einer Datentr\u00e4gervernichtung l\u00e4uft oft so ab.
Kunde: \u201eWir m\u00f6chten gerne unsere alten Akten entsorgen lassen. K\u00f6nnen Sie uns bitte ein Angebot erstellen<\/em>?\u201c
Dienstleister: \u201eWie viele Ordner sind es denn?<\/em>\u201c
Das Ganze wird dreimal gefragt und der g\u00fcnstigste Anbieter erh\u00e4lt den Zuschlag.<\/p>\n\n\n\n

Der Preis einer Aktenvernichtung ist sicherlich ein ausschlaggebendes Kriterium f\u00fcr die Anbieterauswahl. Doch oft wird der ber\u00fchmte Apfel mit der, entfernt verwandten, Birne verglichen.<\/p>\n\n\n\n

Die ISO 21964 bzw. DIN 66399 unterscheidet verschiedene Qualit\u00e4ten der Aktenvernichtung. Je umfassender die Vernichtungsma\u00dfnahmen, desto unwahrscheinlicher ist es, dass jemand aus dem Endprodukt der Vernichtung noch verst\u00e4ndliche Informationen ermitteln kann. Welche Qualit\u00e4t die Grundlage eines angebotenen Preises ist, l\u00e4sst sich manchmal nur aus dem Kleingedruckten ermitteln. Die Angaben zu sogenannten Schutzklassen und Sicherheitsstufen sind aber nicht selbsterkl\u00e4rend: vor allem Auftraggeber, die nicht durch einen Datenschutzbeauftragten oder eine Datenschutzbeauftragte beraten werden, k\u00f6nnen mit diesen technischen Angaben wenig anfangen.<\/p>\n\n\n\n

<\/div>\n\n\n\n

Aktenvernichtung mit Qualit\u00e4t \u2013 aber welche ist die richtige?<\/h3>\n\n\n\n

Je h\u00f6her der Schutzbedarf von Informationen ist, desto h\u00f6her muss die Qualit\u00e4t der Datentr\u00e4gervernichtung sein. Der DIN-konforme Vernichtungsprozess unterscheidet zwischen drei Schutzklassen und sieben Sicherheitsstufen.<\/p>\n\n\n\n

Die Schutzklassen<\/strong> beschreiben Anforderungen an den Prozess von Lagerung, Transport und Vernichtung. So m\u00fcssen ab der Schutzklasse 2 die zu vernichtenden Akten in einem Fahrzeug mit geschlossenem und verschlossenem festem Aufbau transportiert werden. Soll das Personal des Dienstleisters auch keinen Zugriff auf die Akten in Originalgr\u00f6\u00dfe haben (also auf das Papier, das noch nicht geschreddert wurde), muss bereits Schutzklasse 3 beauftragt werden.<\/p>\n\n\n\n

Die sieben Sicherheitsstufen<\/strong> beschreiben das Ma\u00df der Vernichtung. Dazu geh\u00f6rt beispielsweise die Gr\u00f6\u00dfe der Papierschnipsel, die am Ende einer Aktenvernichtung \u00fcbrig bleiben d\u00fcrfen. Kennen Sie noch die alten Aktenvernichter f\u00fcrs B\u00fcro, mit denen sich lange Streifen produzieren lassen. Wenn sie noch einen solchen besitzen, dann tauschen sie diesen bitte umgehend aus. Diese Streifen lassen sich auch ohne wesentliches Puzzle-Talent einfach wieder zusammensetzen.<\/p>\n\n\n\n

<\/div>\n\n\n\n

Eine einfache Orientierungshilfe<\/h4>\n\n\n\n

Als erste Orientierung, um zu pr\u00fcfen, ob Sie bisher richtig beauftragt haben, k\u00f6nnen Sie die folgenden Empfehlungen nutzen:
Schutzklasse 2 sollte f\u00fcr Akten mit Unternehmensdaten die Mindestqualit\u00e4t sein. Schutzklasse 1 w\u00e4re bestenfalls f\u00fcr altes Prospektmaterial geeignet. Schutzklasse 3 sollte gew\u00e4hlt werden, wenn sie z. B. sicherstellen wollen, dass das Personal des Dienstleisters keinen Kontakt zu den Originalakten haben soll.<\/p>\n\n\n\n

F\u00fcr Unternehmensdaten mit personenbezogenen Inhalten sollte Sicherheitsstufe 3 die Mindestqualit\u00e4t sein. Personaldaten sollten mindestens mit Sicherheitsstufe 4 vernichtet werden. F\u00fcr geheime Forschungs- und Entwicklungsunterlagen kann die Sicherheitsstufe 5 erforderlich werden. Die Stufen 6 und 7 sind eher f\u00fcr den milit\u00e4rischen und nachrichtendienstlichen Bereich relevant.<\/p>\n\n\n\n

<\/div>\n\n\n\n

Fazit<\/h2>\n\n\n\n

Eine datenschutzkonforme und wirksame Aktenvernichtung beginnt mit der Auswahl eines ISO21964-zertifizierten Dienstleisters. Machen Sie bei der Angebotsanfrage nicht nur Angaben zu der Menge der zu vernichtenden Akten, legen Sie auch Schutzklasse und Sicherheitsstufe fest. Ihr Dienstleister kann Sie dazu beraten \u2013 am Ende sind Sie aber selbst rechtlich hierf\u00fcr verantwortlich. Zur Erinnerung: F\u00fcr \u00fcbliche personenbezogene Akten in Unternehmen liegt der empfohlene Mindeststandard bei Schutzklasse 2 und Sicherheitsstufe 3 bzw. 4 (Personaldaten).<\/p>\n\n\n\n

Noch unsicher? Lassen Sie sich bei der einmaligen Erstellung eines Vernichtungskonzeptes von einem erfahrenen Datensch\u00fctzer beraten.<\/p>\n\n\n\n

<\/div>\n\n\n
\n\n

\u00dcber den Autor:<\/h4>\n\n\n\n

Thomas Rosin ist Experte f\u00fcr Daten- und Informationsschutz. Er ist als Datenschutzbeauftragter und Berater f\u00fcr Unternehmen und Unternehmensgruppen mit Hauptsitz in Deutschland t\u00e4tig. Daneben lehrt er Datenschutz im Masterstudiengang Wirtschaftsinformatik an der Rheinischen Fachhochschule K\u00f6ln.<\/p>\n\n\n

\n
\n
\n\n
\"Thomas<\/figure>\n\n<\/div><\/div>\n\n
\n\n

Kontakt:  info@thomasrosin.de<\/a><\/p>\n

Web:        https:\/\/www.thomasrosin.de<\/a><\/p>\n\n<\/div><\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n