Datenträger sicher vernichten – eine oft unterschätzte Pflicht
In vielen Unternehmen stehen Datenschutz und Informationssicherheit während der aktiven Nutzung von IT-Systemen im Mittelpunkt. Firewalls, Verschlüsselung, Zugriffsberechtigungen und regelmäßige Backups gehören inzwischen zum Standard. Ein Bereich wird jedoch häufig unterschätzt: die sichere Vernichtung ausgedienter Datenträger.
Ob defekte Festplatten, ausgemusterte Notebooks, USB-Sticks oder Solid-State-Drives (SSDs) – sobald Speichermedien personenbezogene Daten enthalten haben, endet die datenschutzrechtliche Verantwortung nicht mit ihrer Außerbetriebnahme. Vielmehr beginnt an diesem Punkt ein besonders sensibler Abschnitt im Lebenszyklus der Daten. Werden Datenträger unzureichend gelöscht oder unsachgemäß entsorgt, können personenbezogene Informationen mit erheblichem Aufwand wiederhergestellt werden. Die Folgen reichen von Datenschutzverletzungen über Bußgelder bis hin zu nachhaltigen Imageschäden.
Der Bayerische Landesbeauftragte für den Datenschutz (BayLfD) hat hierzu ein neues Arbeitspapier herausgebracht. Das aktuelle Dokument zur Datenträgervernichtung verdeutlicht eindrucksvoll, dass Unternehmen ihre Prozesse konsequent an den Anforderungen der DSGVO und den aktuellen technischen Standards ausrichten sollten.
Die DSGVO verlangt mehr als das Löschen von Dateien
Viele Unternehmen gehen davon aus, dass das Löschen von Dateien oder das Formatieren einer Festplatte ausreichend ist. Tatsächlich werden dabei häufig lediglich Verweise im Dateisystem entfernt. Die eigentlichen Informationen bleiben oftmals weiterhin auf dem Datenträger gespeichert und können mit geeigneter Software rekonstruiert werden.
Die Datenschutz-Grundverordnung verfolgt jedoch einen deutlich weitergehenden Ansatz. Personenbezogene Daten dürfen nur solange gespeichert werden, wie sie für den jeweiligen Zweck erforderlich sind. Nach Ablauf gesetzlicher Aufbewahrungsfristen müssen sie vollständig und dauerhaft gelöscht beziehungsweise vernichtet werden. Für Unternehmen bedeutet dies, dass die Datenträgervernichtung fester Bestandteil des Datenschutzmanagements sein muss.
Warum moderne SSDs besondere Aufmerksamkeit erfordern
Die technische Entwicklung hat die Anforderungen an die Datenträgervernichtung deutlich verändert. Während klassische Festplatten Daten auf magnetischen Scheiben speichern, kommen heute überwiegend SSDs zum Einsatz. Genau hierin liegt eine häufig unterschätzte Gefahr.
Bei einer herkömmlichen Festplatte genügt oft bereits eine mechanische Beschädigung, um Datenwiederherstellung nahezu unmöglich zu machen. SSDs funktionieren jedoch anders: Die Daten befinden sich auf winzigen Flash-Speicherchips. Werden diese Chips bei unsachgemäßer Zerkleinerung nicht vollständig zerstört, können sie ausgebaut und ausgelesen werden. Moderne Speichermedien erfordern speziell abgestimmte Verfahren.
ISO/IEC 21964 – der aktuelle Stand der Technik
Bei der Auswahl geeigneter Vernichtungsverfahren orientieren sich Datenschutzaufsichtsbehörden am internationalen Standard ISO/IEC 21964. Diese Norm beschreibt, wie Datenträger abhängig von ihrem Schutzbedarf und ihrer Bauart sicher vernichtet werden müssen.
Dabei werden verschiedene Schutzklassen und Sicherheitsstufen definiert. Je sensibler die gespeicherten Daten sind, desto höher fallen die Anforderungen an die Zerstörung aus. Ebenso wichtig wie die eingesetzte Maschine ist die richtige Bewertung des Schutzbedarfs. Personal-, Gesundheits- oder Kundendaten unterliegen deutlich höheren Anforderungen als öffentlich zugängliche Informationen.
Externe Dienstleister sorgfältig auswählen
Viele Unternehmen beauftragen spezialisierte Entsorgungsunternehmen. Dieser Weg bietet zahlreiche organisatorische Vorteile, setzt jedoch eine sorgfältige Auswahl voraus. Da personenbezogene Daten verarbeitet werden, handelt es sich datenschutzrechtlich regelmäßig um eine Auftragsverarbeitung.
Unternehmen bleiben auch nach Übergabe der Datenträger verantwortlich. Besonders empfehlenswert sind Dienstleister, die ihre Prozesse nach ISO/IEC 21964 zertifizieren lassen und den gesamten Vorgang dokumentieren können. Ein Vernichtungszertifikat schafft zusätzliche Nachvollziehbarkeit gegenüber Kunden und Aufsichtsbehörden.
Datenträgervernichtung sollte Bestandteil des Datenschutzkonzepts sein
Ein professionelles Datenschutzmanagement endet nicht bei der sicheren Verarbeitung personenbezogener Daten. Ebenso wichtig ist ein klar definierter Prozess für den gesamten Lebenszyklus von IT-Systemen. Dazu gehören insbesondere:
Dokumentiertes Konzept
Ein verbindliches Lösch- und Entsorgungskonzept.Klassifizierung
Die eindeutige Klassifizierung von Datenträgern nach Schutzbedarf.Zwischenlagerung
Sichere und zugangsgeschützte Zwischenlagerung ausgemusterter Hardware.Verfahrensauswahl
Auswahl geeigneter und normgerechter Vernichtungsverfahren.Dienstleister-Prüfung
Regelmäßige Überprüfung externer Entsorgungsdienstleister.Dokumentation
Vollständige Nachweisbarkeit aller Vernichtungsvorgänge.
Gerade mittelständische Unternehmen profitieren von klar definierten Prozessen. Sie reduzieren Haftungsrisiken, erfüllen gesetzliche Anforderungen und stärken gleichzeitig das Vertrauen von Kunden, Geschäftspartnern und Mitarbeitenden.
Fazit
Die sichere Vernichtung von Datenträgern gehört zu den häufig unterschätzten Anforderungen der DSGVO. Gleichzeitig zählt sie zu den Bereichen, in denen bereits kleine organisatorische Fehler erhebliche Auswirkungen haben können.
Unternehmen sollten deshalb ihre bestehenden Entsorgungsprozesse regelmäßig überprüfen und sicherstellen, dass sowohl technische als auch organisatorische Maßnahmen dem aktuellen Stand der Technik entsprechen. Ein strukturiertes Lösch- und Vernichtungskonzept schützt nicht nur personenbezogene Daten, sondern reduziert Risiken und schafft Rechtssicherheit für das gesamte Unternehmen.
FAQ – Häufig gestellte Fragen zur Datenträgervernichtung
Nein. Beim einfachen Löschen oder Formatieren werden in der Regel nur die Inhaltsverzeichnisse des Dateisystems entfernt. Die eigentlichen Daten verbleiben auf dem magnetischen oder elektronischen Speicher und können mit spezieller Software oft mühelos und vollständig wiederhergestellt werden. Die DSGVO fordert jedoch eine dauerhafte und unwiderrufliche Vernichtung.
Während klassische HDD-Festplatten mit Magnetscheiben arbeiten, die relativ leicht mechanisch zerstört werden können, speichern SSDs Daten auf winzigen Flash-Speicherchips. Wenn ein Datenträger geschreddert wird und auch nur ein einziger dieser winzigen Chips intakt bleibt, können die darauf befindlichen Daten von Experten ausgelesen werden. Für SSDs sind daher feinere Zerkleinerungsstufen zwingend erforderlich.
Maßgeblich ist hier die international anerkannte Norm ISO/IEC 21964 (früher in Deutschland bekannt als DIN 66399). Sie teilt Daten in verschiedene Schutzklassen ein und definiert konkrete Sicherheitsstufen für die Zerkleinerung – je nach Art des Datenträgers (Papier, optische Medien, magnetische Medien oder elektronische Speicher wie SSDs).
Geben Sie Datenträger mit personenbezogenen Daten an Dritte zur Vernichtung, liegt datenschutzrechtlich eine Auftragsverarbeitung gemäß Art. 28 DSGVO vor. Sie müssen zwingend einen entsprechenden Vertrag (AV-Vertrag) schließen, sich von den technischen und organisatorischen Maßnahmen (TOMs) des Dienstleisters überzeugen und sich die Vernichtung durch ein Zertifikat lückenlos nachweisen lassen.
