AV-Vertrag Aktenvernichtung: Checkliste nach Art. 28

Wenn ein externer Dienstleister Ihre Akten oder Datenträger vernichtet, brauchen Sie mit ihm einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Er muss die Pflichtinhalte aus Art. 28 Abs. 3 enthalten und schriftlich oder elektronisch abgeschlossen sein (Art. 28 Abs. 9). Die meisten Risiken stecken allerdings nicht im Vertragstext, sondern in der Kette dahinter: Subunternehmer, Transport und Zwischenlagerung.

Auch wenn Sie Angebote über akten-schredder.de einholen: Die Plattform vermittelt nur und vernichtet selbst nichts. Den AV-Vertrag schließen Sie mit dem Anbieter, der den Auftrag ausführt.

Warum ist Aktenvernichtung Auftragsverarbeitung?

Die Vernichtung personenbezogener Daten ist eine Verarbeitung (Art. 4 Nr. 2 DSGVO). Der Dienstleister vernichtet in Ihrem Auftrag und nach Ihren Vorgaben; über Zweck und Mittel entscheiden Sie. Damit ist er Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO.

Die Datenschutzkonferenz führt die „Datenträgerentsorgung durch Dienstleister“ ausdrücklich als typisches Beispiel für Auftragsverarbeitung (DSK-Kurzpapier Nr. 13, Stand 17.12.2018). Sie bleiben Verantwortlicher und dürfen nur Dienstleister wählen, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten (Art. 28 Abs. 1 DSGVO).

Berufsgeheimnisträger müssen den Dienstleister zusätzlich zur Geheimhaltung verpflichten (§ 203 Abs. 4 Satz 2 Nr. 1 StGB). Diese Verpflichtung lässt sich in den AV-Vertrag aufnehmen.

Was muss im AV-Vertrag stehen?

Checkliste der Pflichtinhalte eines AV-Vertrags zur Aktenvernichtung nach Art. 28 DSGVO — Die Pflichtinhalte nach Art. 28 Abs. 3 DSGVO, übertragen auf die Aktenvernichtung.

Die Checkliste folgt Art. 28 Abs. 3 DSGVO und übersetzt jeden Punkt in die Praxis der Aktenvernichtung.

Pflichtinhalt	Fundstelle	Konkret bei der Aktenvernichtung
Gegenstand, Dauer, Art und Zweck der Verarbeitung	Abs. 3 Satz 1	Abholung, Transport und Vernichtung; einmalig oder laufend
Art der Daten und Kategorien Betroffener	Abs. 3 Satz 1	etwa Kunden-, Personal- oder Patientendaten
Pflichten und Rechte des Verantwortlichen	Abs. 3 Satz 1	Weisungs- und Kontrollrechte, siehe unten
Verarbeitung nur auf dokumentierte Weisung	Abs. 3 lit. a	Sicherheitsstufe, Frist bis zur Vernichtung, Verfahren schriftlich festlegen
Vertraulichkeit der eingesetzten Personen	Abs. 3 lit. b	Fahrer und Anlagenpersonal zur Vertraulichkeit verpflichtet
Maßnahmen nach Art. 32	Abs. 3 lit. c	verschlossene Behälter, gesicherte Fahrzeuge, Zugangskontrolle im Werk
Regeln für Subunternehmer	Abs. 3 lit. d, Abs. 2 und 4	Liste der Subunternehmer, Genehmigung, gleiche Pflichten
Unterstützung bei Betroffenenrechten	Abs. 3 lit. e	bei der Vernichtung meist gering, trotzdem regeln
Unterstützung bei Art. 32 bis 36	Abs. 3 lit. f	vor allem: sofortige Meldung jeder Panne an Sie
Löschung oder Rückgabe nach Auftragsende	Abs. 3 lit. g	Material vollständig vernichtet, nichts zurückbehalten
Nachweise und Kontrollen	Abs. 3 lit. h	Vernichtungsnachweis je Auftrag, Vor-Ort-Kontrollen ermöglichen

Ergänzen Sie drei Punkte, die Art. 28 nicht ausdrücklich nennt, die bei der Vernichtung aber entscheidend sind: die vereinbarte Sicherheitsstufe je Materialart, die Höchstdauer zwischen Abholung und Vernichtung und den Inhalt des Vernichtungsnachweises.

Wo liegen die typischen Fallstricke?

Subunternehmer

Nicht jeder Anbieter vernichtet selbst. Manche holen nur ab und lassen in einem Partnerbetrieb schreddern, andere setzen fremde Fahrer ein. Jeder dieser Beteiligten ist ein weiterer Auftragsverarbeiter. Er darf nur mit Ihrer vorherigen schriftlichen Genehmigung eingesetzt werden, gesondert oder allgemein; bei einer allgemeinen Genehmigung muss der Anbieter Sie über Änderungen informieren, damit Sie widersprechen können (Art. 28 Abs. 2 DSGVO). Dem Subunternehmer müssen dieselben Pflichten auferlegt werden, und Ihr Vertragspartner haftet für ihn (Art. 28 Abs. 4 DSGVO).

Verlangen Sie deshalb eine Liste mit Namen und Anschrift aller Subunternehmer und der Betriebsstätte, in der tatsächlich vernichtet wird.

Transportkette

Zwischen Ihrem Büro und dem Schredder liegt ein Abschnitt, den Sie selbst nicht überblicken. Regeln Sie im Vertrag, dass Behälter verschlossen transportiert werden, das Fahrzeug nicht unbeaufsichtigt offen steht und das Material ohne Umladen auf fremde Fahrzeuge direkt zur Anlage gelangt. Die Anforderungen an den Transport steigen mit der Schutzklasse nach DIN 66399 beziehungsweise ISO/IEC 21964.

Zwischenlagerung

Wird nicht am Tag der Abholung vernichtet, lagert Ihr Material beim Dienstleister. Legen Sie eine Höchstdauer fest und verlangen Sie, dass die Lagerung in einem abgeschlossenen, zugangskontrollierten Bereich erfolgt. Der Vernichtungsnachweis sollte Übernahme- und Vernichtungsdatum getrennt ausweisen, damit Sie die Dauer prüfen können.

Sammelbehälter im eigenen Haus

Die Sicherheitsbehälter stehen oft wochenlang in Ihren Räumen. Klären Sie, wer Schlüssel hat, ob die Einwurfschlitze ein Herausgreifen verhindern und was bei einem beschädigten Behälter passiert.

Standardverträge des Anbieters

Viele Anbieter legen einen eigenen Mustervertrag vor. Das ist zulässig, entbindet Sie aber nicht von der Prüfung. Achten Sie besonders auf Ihr Weisungsrecht, Ihr Kontrollrecht und die Regelung zu Subunternehmern. An diesen drei Punkten entscheidet sich, ob Sie den Dienstleister tatsächlich steuern und kontrollieren können.

Wie kontrollieren Sie den Dienstleister?

Der Auftragsverarbeiter muss Ihnen alle Informationen zum Nachweis seiner Pflichten zur Verfügung stellen und Überprüfungen einschließlich Inspektionen ermöglichen (Art. 28 Abs. 3 lit. h DSGVO). Eine feste Kontrollfrequenz schreibt das Gesetz nicht vor; sie richtet sich nach dem Risiko.

Vor Vertragsschluss: Unterlagen zu den technischen und organisatorischen Maßnahmen anfordern, Zertifikate nach Geltungsbereich, Standort und Gültigkeit prüfen. Genehmigte Verhaltensregeln oder Zertifizierungen können als Garantie herangezogen werden (Art. 28 Abs. 5 DSGVO).
Laufend: Jeden Vernichtungsnachweis auf Menge, Stufe und Datum prüfen.
Stichprobe: Bei laufenden Verträgen gelegentlich die Anlage besichtigen oder einer mobilen Vernichtung vor Ort beiwohnen.
Anlassbezogen: Bei Wechsel des Subunternehmers, Umzug der Anlage oder einer gemeldeten Panne erneut prüfen.

Welche weiteren Pflichten Sie als Verantwortlicher bei der Vernichtung tragen, steht unter DSGVO und Aktenvernichtung. Angebote mehrerer Anbieter können Sie im Anbieter-Vergleich nebeneinanderlegen, bevor Sie sich festlegen.

Häufige Fragen

Brauche ich für die Aktenvernichtung einen AV-Vertrag?

Ja, wenn ein externer Dienstleister Unterlagen oder Datenträger mit personenbezogenen Daten vernichtet. Die Datenschutzkonferenz nennt die Datenträgerentsorgung durch Dienstleister als typischen Fall der Auftragsverarbeitung nach Art. 28 DSGVO.

Muss der AV-Vertrag unterschrieben auf Papier vorliegen?

Nein. Art. 28 Abs. 9 DSGVO verlangt die Schriftform, lässt aber ausdrücklich auch ein elektronisches Format zu.

Darf der Dienstleister Subunternehmer einsetzen?

Nur mit Ihrer vorherigen schriftlichen Genehmigung, gesondert oder allgemein (Art. 28 Abs. 2 DSGVO). Der Subunternehmer muss dieselben Pflichten übernehmen, und Ihr Vertragspartner haftet für ihn.

Wie oft muss ich den Vernichtungsdienstleister kontrollieren?

Eine feste Frist gibt das Gesetz nicht vor. Üblich ist eine Prüfung vor Vertragsschluss, die laufende Kontrolle jedes Vernichtungsnachweises und anlassbezogene Prüfungen, etwa beim Wechsel eines Subunternehmers.

Quellen

Diese Seite ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzestext in der jeweils geltenden Fassung.