Ein Aktenordner mit alten Kundendaten, ein ausgemusterter Server, ein Stapel Lohnabrechnungen aus dem Vorjahr: In vielen Unternehmen landen solche Dokumente irgendwann achtlos im Altpapier oder im Bürocontainer. Genau an dieser Stelle beginnt ein Compliance-Risiko, das Geschäftsführer oft unterschätzen. Sichere Aktenvernichtung ist kein administratives Detail, sondern eine Pflicht, die sich aus Datenschutzrecht und Handelsrecht gleichermaßen ergibt. Wer personenbezogene oder geschäftskritische Unterlagen entsorgt, muss nachweisen können, dass diese Informationen tatsächlich unwiederbringlich zerstört wurden. Dieser Beitrag ordnet ein, welche rechtlichen Grundlagen gelten, wo professionelle Vernichtung über das einfache Schreddern hinausgeht und welche Rolle internationale Normen wie die ISO/IEC 21964 dabei spielen.

TL;DR – Das Wichtigste in Kürze

·         Sichere Aktenvernichtung ist durch DSGVO, Handelsrecht und Steuerrecht gesetzlich geboten, nicht freiwillig.

·         Unsachgemäße Entsorgung personenbezogener Daten kann zu Haftung und Bußgeldern führen.

·         Die ISO/IEC 21964 definiert Sicherheitsklassen und Dokumentationspflichten für die Vernichtung.

·         Zertifizierte Verfahren bieten Nachweisbarkeit gegenüber Behörden, einfaches Schreddern im Haus nicht.

Welche Gesetze verpflichten zur sicheren Aktenvernichtung?

Die Pflicht zur sicheren Vernichtung sensibler Unterlagen ergibt sich vor allem aus der Datenschutz-Grundverordnung. Artikel 5 verlangt, dass personenbezogene Daten nur so lange gespeichert werden dürfen, wie es der Zweck erfordert, und Artikel 32 verpflichtet Unternehmen zu geeigneten technischen und organisatorischen Maßnahmen, damit Daten nicht unbefugt offengelegt werden, auch bei der Entsorgung. Landet ein Aktenordner mit Namen, Adressen oder Gehaltsdaten unzerkleinert im Altpapier, liegt darin bereits eine mögliche Verletzung dieser Pflicht.

Für die Haftung macht es keinen Unterschied, ob die Entsorgung bewusst nachlässig oder schlicht unbedacht erfolgt. Wird bekannt, dass Dokumente mit personenbezogenen Daten ungesichert entsorgt wurden, haftet das Unternehmen gegenüber Betroffenen und muss mit aufsichtsbehördlichen Maßnahmen rechnen. Bußgelder nach der DSGVO können bis zu vier Prozent des weltweiten Jahresumsatzes betragen. Bei einem mittelständischen Unternehmen mit zehn Millionen Euro Jahresumsatz würde ein Bußgeld in dieser Größenordnung bereits vierhunderttausend Euro bedeuten, ein Betrag, der die Bedeutung einer sauberen Entsorgungspraxis deutlich macht.

Neben dem Datenschutzrecht greifen auch handels- und steuerrechtliche Aufbewahrungsfristen. Geschäftsbriefe, Buchungsbelege und Rechnungen dürfen erst nach Ablauf der jeweiligen Frist vernichtet werden, und auch danach gilt, dass die Vernichtung nachvollziehbar und sicher erfolgen muss. Für Geschäftsführer bedeutet das in der Praxis, dass Aktenvernichtung Teil eines dokumentierten Prozesses sein sollte, nicht eine spontane Entscheidung im Tagesgeschäft.

Professionelle Vernichtung oder Schreddern im Haus?

Ein haushaltsüblicher Aktenvernichter im Büro zerkleinert Papier, erfüllt aber keine der Anforderungen, die an eine rechtssichere Vernichtung gestellt werden. Das Schnittbild ist oft grob, Streifen oder Partikel lassen sich bei sensiblen Dokumenten rekonstruieren, und es gibt keinerlei Dokumentation darüber, wann, wie und durch wen die Vernichtung stattgefunden hat. Für eine einzelne private Unterlage mag das ausreichen, für geschäftliche Daten mit Personenbezug reicht es nicht.

Professionelle Aktenvernichtung folgt einem standardisierten Prozess: Die Unterlagen werden erfasst, unter kontrollierten Bedingungen zerkleinert und die Vernichtung wird protokolliert. Am Ende steht ein Vernichtungszertifikat, das als Nachweis gegenüber Behörden, Datenschutzbeauftragten oder im Rahmen eines Audits dient. Genau diese Nachweisbarkeit unterscheidet eine professionelle Aktenvernichtung von einem Bürogerät, das lediglich Papier kleinschneidet, ohne dass jemand im Nachhinein belegen könnte, welche Dokumente wann und auf welchem Sicherheitsniveau zerstört wurden.

Der Unterschied zeigt sich besonders deutlich, wenn eine Aufsichtsbehörde nach einer Datenpanne Auskunft verlangt. Ohne Zertifikat und Protokoll kann ein Unternehmen nur behaupten, dass Dokumente vernichtet wurden, nicht beweisen. Mit einem zertifizierten Verfahren liegt hingegen eine lückenlose Kette aus Erfassung, Transport oder Vor-Ort-Vernichtung und Dokumentation vor, die genau diesen Nachweis liefert.

ISO/IEC 21964: Der internationale Standard für Aktenvernichtung

Die ISO/IEC 21964 ist der internationale Standard, der festlegt, wie Datenträger und Papierunterlagen sicher vernichtet werden müssen. Sie unterteilt Dokumente nicht pauschal, sondern nach Sensibilität in unterschiedliche Sicherheitsklassen: Ein internes Rundschreiben erfordert ein anderes Schnittbild als eine Patientenakte oder ein Vertrag mit Geschäftsgeheimnissen. Je höher die Sicherheitsklasse, desto kleiner müssen die Partikel sein, in die das Material zerlegt wird, damit eine Rekonstruktion ausgeschlossen ist.

Über die reine Partikelgröße hinaus regelt der Standard auch organisatorische Fragen: Wie wird der Transport der Unterlagen bis zur Vernichtung abgesichert, wer hat Zugriff auf die Sammelbehälter, und wie wird die Vernichtung dokumentiert und nachverfolgt. Diese Kombination aus technischer Anforderung und Prozesskontrolle macht den Standard zu einem belastbaren Nachweis dafür, dass ein Unternehmen seine Sorgfaltspflicht nach der DSGVO erfüllt hat. Eine Vernichtung nach diesem Standard gilt als angemessene technische und organisatorische Maßnahme im Sinne des Datenschutzrechts.

Für Unternehmen bedeutet das, dass regelmäßige Audits und Zertifizierungen nicht nur eine Formalie sind, sondern den Nachweis liefern, dass Prozesse und Sicherheitsklassen tatsächlich eingehalten werden. Ein Compliance-Verantwortlicher kann sich auf eine solche Zertifizierung berufen, wenn es darum geht, die eigene Dokumentenverwaltung gegenüber einem Datenschutzbeauftragten oder einer Behörde zu rechtfertigen.

Vor-Ort-Vernichtung oder Transport zum Fachbetrieb?

Unternehmen können zwischen zwei grundsätzlichen Organisationsmodellen wählen: Die Vernichtung findet direkt vor Ort auf dem Betriebsgelände statt, oder die Unterlagen werden gesichert zu einem Fachbetrieb transportiert und dort zerkleinert. Die Vor-Ort-Vernichtung bietet maximale Kontrolle, weil die Dokumente den Betrieb nie unzerstört verlassen, was besonders bei hochsensiblen Unterlagen relevant sein kann. Der Transport zum Fachbetrieb spart dagegen häufig Kosten und Platz, da keine mobile Vernichtungsanlage vor Ort vorgehalten werden muss.

In der Praxis arbeiten viele Unternehmen mit verschlossenen Sammelbehältern, die kontinuierlich befüllt und in festgelegten Zyklen geleert werden. Dieses Modell reduziert nicht nur die Fläche, die für die Zwischenlagerung von Altpapier benötigt wird, sondern senkt auch das Sicherheitsrisiko, das entsteht, wenn sensible Unterlagen tagelang offen im Büro herumliegen. Ein Beispiel: Ein Betrieb mit mehreren Abteilungen, der früher Aktenordner einmal im Quartal gesammelt und entsorgt hat, verlagert das Risiko auf wenige, aber dafür umso kritischere Zeitpunkte. Kontinuierliche Sammelbehälter mit regelmäßiger Leerung verteilen dieses Risiko gleichmäßiger und verhindern, dass sich über Wochen ein Berg sensibler Dokumente ansammelt.

Unabhängig vom gewählten Modell bleibt die Dokumentation der entscheidende Baustein für die Compliance. Zertifikate über erfolgte Vernichtungsvorgänge sollten so abgelegt werden, dass sie im Rahmen eines internen Audits oder einer behördlichen Prüfung jederzeit vorgelegt werden können. Wer diese Nachweise systematisch sammelt, kann im Ernstfall belegen, dass die gesetzlichen Fristen und Sicherheitsanforderungen eingehalten wurden, statt sich auf eine bloße Zusicherung verlassen zu müssen.

Häufig gestellte Fragen (FAQ)

Wie oft sollten Unternehmen Akten vernichten lassen?

Das hängt vom Dokumentenaufkommen und den jeweiligen Aufbewahrungsfristen ab. Entscheidend ist, dass abgelaufene und nicht mehr benötigte Unterlagen zeitnah und nicht erst nach langer Zwischenlagerung vernichtet werden, um das Risiko einer unbefugten Einsicht gering zu halten.

Welche Dokumente fallen unter die Pflicht zur sicheren Vernichtung?

Grundsätzlich alle Unterlagen mit personenbezogenen Daten oder geschäftssensiblen Informationen, von Personalakten über Verträge bis zu Buchhaltungsunterlagen. Auch Datenträger wie Festplatten oder USB-Sticks unterliegen vergleichbaren Anforderungen, sobald sie ausgemustert werden.

Wer trägt die Verantwortung, wenn die Vernichtung fehlerhaft abläuft?

Die Verantwortung liegt grundsätzlich beim Unternehmen als verantwortliche Stelle im Sinne der DSGVO, auch wenn ein externer Dienstleister mit der Vernichtung beauftragt wurde. Ob im Einzelfall eine Pflichtverletzung vorliegt, hängt davon ab, ob ein geeigneter und dokumentierter Prozess gewählt wurde.