von Ein Lager voller alter Kundenakten, Lieferscheine und Personalunterlagen gehört in vielen Unternehmen zum Alltag. Irgendwann stellt sich die Frage, was mit diesen Papieren geschehen soll, sobald sie nicht mehr gebraucht werden. Genau hier setzt die Aktenvernichtung nach der Datenschutz-Grundverordnung an: Dokumente mit personenbezogenen Daten dürfen nicht einfach im Altpapier landen, sobald der Zweck ihrer Speicherung entfallen ist. Für Geschäftsführer und Inhaber kleinerer wie mittlerer Betriebe bedeutet das, Aufbewahrungsfristen, Löschungspflichten und technische Sicherheit unter einen Hut zu bringen. Wer die Anforderungen an die Aktenvernichtung nach DSGVO kennt, kann Haftungsrisiken deutlich reduzieren und zugleich den internen Aufwand für die Entsorgung überschaubar halten. Der folgende Überblick zeigt, welche rechtlichen Grundlagen gelten, welche Gefahren bei nachlässiger Entsorgung entstehen und woran sich ein verlässlicher Entsorgungsprozess erkennen lässt.
TL;DR – Das Wichtigste in Kürze
- Aufbewahrungsfristen unterscheiden sich je nach Dokumentart, danach greift bei personenbezogenen Daten die Löschungspflicht der DSGVO.
- Eine unsachgemäße Entsorgung kann zu Datenmissbrauch, Reputationsschäden und behördlichen Konsequenzen führen.
- Die Aktenvernichtung nach DSGVO orientiert sich an anerkannten Sicherheitsstufen, die den Schutzbedarf der Dokumente widerspiegeln.
- Ein Vernichtungsnachweis ist das zentrale Dokument, um die ordnungsgemäße Entsorgung gegenüber Aufsichtsbehörden zu belegen.
Welche Aufbewahrungsfristen und Löschungspflichten gelten für Unternehmensunterlagen?
Unternehmensunterlagen unterliegen unterschiedlichen Aufbewahrungsfristen, je nachdem, um welche Art von Dokument es sich handelt. Handelsunterlagen, Steuerdokumente und Verträge werden rechtlich verschieden behandelt, weshalb ein pauschales Ablaufdatum für den gesamten Aktenbestand nicht existiert. Buchhaltungsunterlagen werden in der Regel deutlich länger aufbewahrt als etwa einfache Geschäftskorrespondenz, während Vertragsunterlagen oft erst nach Ablauf der jeweiligen Verjährungsfristen entsorgt werden dürfen. Diese Staffelung macht es notwendig, den Aktenbestand nach Dokumenttyp zu sortieren, bevor über eine Vernichtung entschieden wird.
Parallel zu diesen handels- und steuerrechtlichen Fristen greift die Löschungspflicht aus der Datenschutz-Grundverordnung. Sie verpflichtet dazu, personenbezogene Daten zu löschen oder zu vernichten, sobald der ursprüngliche Zweck der Speicherung entfallen ist und keine gesetzliche Aufbewahrungspflicht mehr entgegensteht. Ein Bewerbungsschreiben, das nach Abschluss eines erfolglosen Auswahlverfahrens noch jahrelang in einem Aktenordner liegt, erfüllt diesen Zweck nicht mehr und wird damit datenschutzrechtlich problematisch. Entscheidend ist dabei nicht nur das Ende der gesetzlichen Frist, sondern auch die Frage, ob überhaupt noch ein nachvollziehbarer Grund für die weitere Speicherung besteht.
Wer diese doppelte Logik aus Aufbewahrungspflicht und Löschungspflicht ignoriert, geht ein erhebliches Haftungsrisiko ein. Bleiben Unterlagen länger als nötig liegen, drohen bei einer Prüfung durch eine Aufsichtsbehörde Beanstandungen, die sich bis zu empfindlichen Bußgeldern ausweiten können. Deshalb lohnt es sich für Unternehmen, feste Löschfristen in interne Prozesse zu integrieren, statt die Entscheidung über die Vernichtung einzelnen Mitarbeitenden nach Gefühl zu überlassen.
Welche Gefahren entstehen bei unkontrollierter Dokumentenentsorgung?
Unsachgemäß entsorgte Akten lassen sich oft mit wenig Aufwand wiederherstellen, was Datenmissbrauch begünstigt. Wird ein Aktenordner mit Kundendaten einfach in den Papiercontainer gegeben, bleiben Namen, Kontodaten oder Vertragsinhalte lesbar und damit angreifbar. Für Dritte reicht häufig schon ein kurzer Blick in den Container, um an sensible Informationen zu gelangen, die sich für Identitätsdiebstahl oder gezielten Betrug missbrauchen lassen. Dieses Risiko betrifft nicht nur Kundendaten, sondern ebenso Personalakten, Gehaltsabrechnungen und interne Strategiepapiere.
Ein Unternehmen, das sich morgens vor der Frage sieht, wohin mit zehn Jahren alter Buchhaltungsunterlagen, unterschätzt oft, wie schnell aus einer vermeintlichen Kleinigkeit ein handfestes Problem wird. Wird eine Datenpanne öffentlich bekannt, etwa weil Unterlagen mit Kundendaten an einem unpassenden Ort auftauchen, steht nicht nur ein Bußgeld im Raum. Kunden, Geschäftspartner und die eigene Belegschaft verlieren Vertrauen in die Sorgfalt des Unternehmens, und dieser Reputationsschaden wirkt oft länger nach als die eigentliche rechtliche Konsequenz.
Neben dem Imageschaden drohen bei nachgewiesenen Datenschutzverletzungen auch unmittelbare rechtliche Folgen. Je nach Schwere des Verstoßes reicht die Bandbreite möglicher Konsequenzen von behördlichen Anordnungen bis zu Bußgeldverfahren, in gravierenden Fällen auch mit strafrechtlicher Relevanz für Verantwortliche. Ob und in welchem Umfang eine Pflichtverletzung tatsächlich vorliegt, hängt stets vom Einzelfall ab, etwa davon, welche Daten betroffen waren und wie das Unternehmen mit dem Vorfall umgegangen ist.
DIN 66399: Der Standard für die sichere Vernichtung von Akten
DIN 66399 legt fest, wie Dokumente je nach Schutzbedarf vernichtet werden müssen, und unterscheidet dafür mehrere Sicherheitsstufen von P-1 bis P-7. Ein einfacher Flyer ohne sensible Inhalte benötigt eine andere Vernichtungstiefe als eine Gehaltsabrechnung oder ein Vertrag mit besonders schützenswerten personenbezogenen Daten. Die Einstufung orientiert sich daran, wie leicht sich Inhalte aus den Vernichtungsresten rekonstruieren ließen, und genau diese Differenzierung macht den Standard für Unternehmen praktisch nutzbar: Statt pauschal alles gleich zu behandeln, lässt sich der Aufwand am tatsächlichen Risiko ausrichten.
Zertifizierte Dienstleister arbeiten nach diesem Standard und sorgen dafür, dass jede Charge an Dokumenten der passenden Sicherheitsstufe zugeordnet wird. Ein Unternehmen, das einen Bestand von mehreren Aktenordnern voller Kundenverträge abgibt, erhält dabei einen Vernichtungsnachweis, auf dem Zeitpunkt, Umfang und angewandte Sicherheitsstufe dokumentiert sind. Taucht später eine Nachfrage einer Aufsichtsbehörde oder eines Kunden auf, ob und wie die Unterlagen entsorgt wurden, lässt sich dieser Nachweis unmittelbar vorlegen, statt im Nachhinein rekonstruieren zu müssen, wann welcher Aktenbestand das Haus verlassen hat.
Neben der eigentlichen Vernichtung spielt auch der Weg dorthin eine Rolle. Zwischen der Abholung im Unternehmen und der tatsächlichen Zerkleinerung liegen Transport und oft eine kurze Zwischenlagerung, in der die Dokumente unter Verschluss bleiben sollten, damit kein unbefugter Zugriff möglich ist. Unternehmen, die eine Aktenvernichtung in Karlsruhe beauftragen, achten deshalb nicht nur auf die Vernichtungsstufe selbst, sondern auf die lückenlose Kette aus Abholung, gesichertem Transport und dokumentierter Vernichtung als Gesamtprozess.
Zertifizierung und Erfahrung: Woran sich ein vertrauenswürdiger Dienstleister zeigt
Eine gültige Zertifizierung nach DIN 66399 gilt als erstes Qualitätsmerkmal bei der Auswahl eines Entsorgungspartners. Sie allein sagt jedoch noch nichts darüber aus, wie der Dienstleister mit den spezifischen Anforderungen einer bestimmten Branche umgeht. Ein Unternehmen aus dem Gesundheitswesen hat andere Anforderungen an den Umgang mit sensiblen Patientendaten als ein Handwerksbetrieb mit überwiegend handelsrechtlichen Unterlagen, weshalb sich ein Blick auf die bisherige Erfahrung mit vergleichbaren Branchen und Unternehmensgrößen lohnt.
Daneben verdient die vertragliche Ausgestaltung Aufmerksamkeit. Eine transparente Vereinbarung legt offen, welche Leistungen konkret enthalten sind, wie Preise zustande kommen und wer im Schadensfall haftet. Fehlt eine klare Regelung dazu, wer für eine fehlerhafte oder unvollständige Vernichtung verantwortlich ist, bleibt im Zweifel offen, wer für die Folgen eines Datenschutzvorfalls geradesteht.
Für die praktische Auswahl helfen einige wiederkehrende Kriterien:
- Vorliegen einer aktuellen DIN-66399-Zertifizierung und gegebenenfalls Mitgliedschaft in einem Branchenverband
- Nachweisbare Erfahrung mit Unternehmen ähnlicher Größe und vergleichbarer Branche
- Klare vertragliche Regelung zu Leistungsumfang, Preisgestaltung und Haftung
- Ausstellung eines nachvollziehbaren Vernichtungsnachweises nach jeder Entsorgung
Wer diese Punkte vor Vertragsabschluss prüft, reduziert das Risiko, später mit einer lückenhaften Dokumentation dazustehen, wenn eine Aufsichtsbehörde oder ein Geschäftspartner konkrete Nachweise verlangt.
Häufig gestellte Fragen (FAQ)
Müssen auch digitale Dokumente vernichtet werden, oder betrifft das nur Papierakten?
Die Löschungspflicht der DSGVO gilt unabhängig vom Format. Neben physischen Akten müssen auch digitale Dateien, Backups und Datenträger so gelöscht oder zerstört werden, dass eine Wiederherstellung der enthaltenen personenbezogenen Daten ausgeschlossen ist.
Wer trägt die Verantwortung, wenn ein externer Dienstleister die Vernichtung übernimmt?
Die datenschutzrechtliche Verantwortung bleibt grundsätzlich beim beauftragenden Unternehmen, auch wenn die eigentliche Vernichtung ausgelagert wird. Deshalb empfiehlt sich eine vertragliche Vereinbarung, die Leistungsumfang und Haftung klar regelt, sowie die Aufbewahrung der erhaltenen Vernichtungsnachweise.
Was passiert mit Unterlagen, bei denen unklar ist, ob die Aufbewahrungsfrist schon abgelaufen ist?
In solchen Grenzfällen ist eine fachliche Prüfung sinnvoll, bevor Dokumente entsorgt werden, da eine verfrühte Vernichtung ebenso problematisch sein kann wie eine zu lange Aufbewahrung. Viele Unternehmen legen dafür interne Fristenkataloge an, die je nach Dokumenttyp ein konkretes Löschdatum vorgeben.
