Datenschutzkonforme Datenträgervernichtung: Neues Arbeitspapier des BayLfD

Die sichere Vernichtung ausrangierter Datenträger ist eine häufig unterschätzte Datenschutzpflicht. Der Bayerische Landesbeauftragte für den Datenschutz (BayLfD) hat mit Stand 1. Mai 2026 ein aktuelles Arbeitspapier veröffentlicht, das Verantwortliche praxisnah bei der Planung und Umsetzung rechtskonformer Prozesse unterstützt.

Was Verantwortliche wissen sollten

Nach Art. 24 Abs. 1, Art. 25 Abs. 1 und Art. 32 Abs. 1 DSGVO sind alle Verantwortlichen verpflichtet, geeignete technisch-organisatorische Maßnahmen zu treffen; dies gilt ausdrücklich auch für die Vernichtung und Entsorgung von Datenträgern, einschließlich besonders sensibler Daten wie Gesundheitsdaten, Personaldaten oder Steuerdaten.  Die nationale Norm DIN 66399 wurde 2023 ersatzlos zurückgezogen; als gültige internationale Referenz gilt nunmehr die ISO/IEC 21964 „Informationstechnologie – Vernichtung von Datenträgern" (Teil 1 bis 3).  Für personenbezogene Daten ist mindestens Schutzklasse 2 und damit mindestens Sicherheitsstufe 3 anzuwenden; für sensible Daten – insbesondere Art. 9 DSGVO-Daten, Personaldaten, Sozialdaten oder Steuerdaten ist in der Regel Schutzklasse 3 mit mindestens Sicherheitsstufe 4 vorzusehen.  Falls die Vernichtung und Entsorgung an externe Dienstleistende vergeben wird, muss im Regelfall ein Auftragsverarbeitungsverhältnis begründet werden.

Was technisch und organisatorisch zu regeln ist

• Bestandsaufnahme aller regelmäßig zur Entsorgung anfallenden Datenträger sowie Klassifizierung nach der Schutzbedürftigkeit der darauf gespeicherten Daten 

• Festlegung der erforderlichen Schutzklassen und Sicherheitsstufen gemäß ISO/IEC 21964-1

• Erstellung eines schriftlichen Entsorgungs- und Vernichtungskonzepts, das mindestens Zuständigkeiten, Sammel- und Lagerstellen (inkl. Zugangsbeschränkungen), die gewählte Entsorgungsvariante sowie Sicherheitsmaßnahmen für alle Prozessphasen umfasst 

• Prüfung und Auswahl geeigneter Geräte und externer Dienstleistender anhand von Zertifikaten zu verwendeten Geräten und Prozessen 

• Abschluss eines Auftragsverarbeitungsvertrags, Einforderung und Dokumentation von Vernichtungsnachweisen 

• Regelmäßige Schulung aller Mitarbeitenden sowie regelmäßige Überprüfung der festgelegten Abläufe

Unser Angebot für Sie

• Beratung bei der Erstellung eines individuellen Entsorgungs- und Vernichtungskonzepts

• Überprüfung und Anpassung bestehender Auftragsverarbeitungsverträge mit Entsorgungsdienstleistern

• Unterstützung bei der Auswahl geeigneter Vernichtungsverfahren

• Schulungen und Sensibilisierungsmaßnahmen für Mitarbeitende

Bildnachweis:Bryngelzon/Stock-Fotografie-ID:115958814