Einen Vernichtungsdienstleister beauftragen Sie in acht Schritten: Bestand und Fristen klären, Sicherheitsstufe festlegen, Verfahren wählen, vergleichbare Angebote einholen, Zertifikate prüfen, Vertrag zur Auftragsverarbeitung schließen, Übergabe dokumentieren, Nachweis abgleichen. Jeder Schritt endet mit einem Prüfpunkt – einem Beleg, den Sie in der Hand haben, bevor Sie zum nächsten gehen. Fehlt ein Beleg, fehlt er auch, wenn die Datenschutzaufsicht nachfragt.
Welche acht Schritte gehören zur Beauftragung?
1. Bestand erfassen und Fristen prüfen
Zählen Sie, was weg soll, in vertrauten Einheiten: Aktenordner, Umzugskartons, Stück Datenträger. Prüfen Sie für jeden Bestand, ob die Aufbewahrungsfrist abgelaufen ist. Buchungsbelege sind seit dem 1. Januar 2025 acht Jahre aufzubewahren, Handelsbücher, Jahresabschlüsse und Inventare zehn Jahre (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB). Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem die Unterlage entstanden ist.
Prüfpunkt: Eine Liste der Bestände mit Freigabe zur Vernichtung, unterschrieben von der Person, die für die Unterlagen verantwortlich ist.
2. Schutzbedarf und Sicherheitsstufe festlegen
Das sensibelste Dokument bestimmt die Stufe für den ganzen Behälter. Übliche Empfehlungen: P-4 für personenbezogene Daten, P-5 für Gesundheitsdaten und Berufsgeheimnisse. Datenträger haben eigene Materialklassen – für Festplatten H, für SSDs E. Wer nach IT-Grundschutz arbeitet, vernichtet Papier mindestens nach P-3 (BSI CON.6.A12).
Prüfpunkt: Stufe je Materialklasse schriftlich festgehalten, z. B. „Papier P-4, Festplatten H-4, SSD E-4“.
3. Verfahren wählen
Vier Entscheidungen: vor Ort oder im Werk, einmalige Abholung oder regelmäßiger Behälter, ganze Geräte oder ausgebaute Datenträger, Termin oder Zeitfenster. Bei sehr hohem Schutzbedarf spricht viel für die Vernichtung vor Ort, weil das Material Ihr Haus dann nicht unzerstört verlässt.
Prüfpunkt: Leistungsbeschreibung auf einer Seite: Material, Menge, Stufe, Ort, Rhythmus, gewünschter Nachweis.
4. Vergleichbare Angebote einholen
Schicken Sie allen Betrieben dieselbe Leistungsbeschreibung. Nur dann können Sie die Preise vergleichen. Achten Sie darauf, dass Anfahrt, Behälter, Nachweis und Mehrwertsteuer im Preis ausgewiesen sind. Über den Anbietervergleich erhalten Sie bis zu drei Angebote regionaler Betriebe auf Basis einer Anfrage.
Prüfpunkt: Mindestens zwei Angebote auf identischer Grundlage, jede Zeile ausgefüllt.
5. Zertifikate prüfen
Lassen Sie sich die Zertifikate vorlegen und prüfen Sie Inhaber, Standort, Materialklassen und Stufen sowie das Ablaufdatum. Ein Zertifikat nur für Papier hilft nicht, wenn auch Festplatten vernichtet werden sollen. Welches Zertifikat was aussagt, steht im Beitrag Zertifizierungen prüfen.
Prüfpunkt: Kopie des gültigen Zertifikats in der Auftragsakte; Standort und Stufe passen zu Schritt 2.
6. Vertrag zur Auftragsverarbeitung schließen
Lassen Sie Unterlagen oder Datenträger mit personenbezogenen Daten vernichten, ist der Betrieb Ihr Auftragsverarbeiter; die Datenschutzkonferenz nennt die Datenträgerentsorgung durch Dienstleister ausdrücklich als Beispiel. Der Vertrag muss die Inhalte nach Art. 28 Abs. 3 DSGVO enthalten. Subunternehmer darf der Betrieb nur mit Ihrer vorherigen Genehmigung einsetzen (Art. 28 Abs. 2 DSGVO). Was im Einzelnen hineingehört, erklärt der Beitrag zum AV-Vertrag bei der Aktenvernichtung.
Berufsgeheimnisträger haben eine zusätzliche Pflicht. Rechtsanwälte müssen Dienstleister, die Zugang zu Mandantengeheimnissen erhalten, in Textform zur Verschwiegenheit verpflichten und auf die strafrechtlichen Folgen hinweisen (§ 43e BRAO). Für alle Berufsgeheimnisträger gilt § 203 StGB: Wer mitwirkende Personen einbezieht, muss dafür sorgen, dass sie zur Geheimhaltung verpflichtet sind (§ 203 Abs. 4 StGB).
Prüfpunkt: Unterschriebener AV-Vertrag, bei Berufsgeheimnisträgern zusätzlich die Verschwiegenheitsverpflichtung – beides vor der ersten Abholung.
7. Übergabe organisieren und dokumentieren
Bis zur Abholung muss das Material geschützt sein. Das BSI verlangt, zentrale Sammelstellen vor unbefugtem Zugriff zu sichern (CON.6.A2). Verschlossene Behälter, ein abschließbarer Raum und eine benannte Person für die Übergabe genügen in den meisten Büros.
Prüfpunkt: Übergabeschein mit Datum, Anzahl der Behälter und, falls vorhanden, Plomben- oder Behälternummern; bei Datenträgern eine Liste der Seriennummern.
8. Nachweis abgleichen und ablegen
Vergleichen Sie den Vernichtungsnachweis mit dem Übergabeschein: gleiche Menge, gleiche Behälter, vereinbarte Stufe, Datum, Unterschrift. Bei regelmäßigen Aufträgen sollten Sie den Dienstleister in Abständen prüfen, ob die Vernichtung noch korrekt abläuft (CON.6.A11).
Prüfpunkt: Nachweis zur Auftragsakte genommen, Abweichungen schriftlich geklärt, Termin für die nächste Überprüfung gesetzt.
Checkliste zum Ausdrucken
| Nr. | Schritt | Prüfpunkt | erledigt am / durch |
|---|---|---|---|
| 1 | Bestand und Fristen | Bestandsliste mit Freigabe | |
| 2 | Sicherheitsstufe | Stufe je Materialklasse schriftlich | |
| 3 | Verfahren | Leistungsbeschreibung auf einer Seite | |
| 4 | Angebote | mindestens zwei vergleichbare Angebote | |
| 5 | Zertifikate | gültiges Zertifikat passend zu Standort und Stufe | |
| 6 | AV-Vertrag | unterschrieben vor der ersten Abholung | |
| 7 | Übergabe | Übergabeschein mit Behälter- oder Seriennummern | |
| 8 | Nachweis | abgeglichen, abgelegt, Wiedervorlage gesetzt |
Wer sollte die Beauftragung verantworten?
Eine Person, nicht „die Verwaltung“. Sie gibt den Bestand frei, unterschreibt Übergabeschein und Nachweis und hält die Auftragsakte. Sind personenbezogene Daten betroffen, stimmen Sie die Regeln zum Vernichten mit Ihrem Datenschutzbeauftragten ab; so verlangt es das BSI für Organisationen, die nach IT-Grundschutz arbeiten (CON.6.A1). Haben Sie keinen Datenschutzbeauftragten, liegt die Verantwortung bei der Geschäftsleitung.
Welche Fehler passieren am häufigsten?
- Der AV-Vertrag wird erst nach der Abholung verschickt – dann lief die Verarbeitung ohne Vertrag.
- Die Stufe steht im Angebot, aber nicht im Nachweis. Belegen lässt sich dann nur, dass vernichtet wurde, nicht wie.
- Datenträger landen im Aktenbehälter und werden nach Papierstufen behandelt.
- Niemand gleicht den Nachweis mit dem Übergabeschein ab. Fehlmengen fallen erst auf, wenn jemand danach fragt.
Häufige Fragen
Brauche ich für eine einmalige Aktenvernichtung einen AV-Vertrag?
Ja, wenn die Unterlagen personenbezogene Daten enthalten. Die Datenschutzkonferenz nennt die Datenträgerentsorgung durch Dienstleister als Beispiel für Auftragsverarbeitung. Die Einmaligkeit ändert daran nichts.
Wie viele Angebote sollte ich einholen?
Mindestens zwei, besser drei, und alle auf Grundlage derselben Leistungsbeschreibung. Nur dann sind Preis und Leistung vergleichbar.
Welche Unterlagen gehören in die Auftragsakte?
Bestandsliste mit Freigabe, Leistungsbeschreibung, Angebote, Zertifikatskopie, AV-Vertrag, Übergabeschein und Vernichtungsnachweis. Damit können Sie jeden Schritt belegen.
Was muss ich als Anwaltskanzlei zusätzlich beachten?
Nach § 43e BRAO müssen Sie den Dienstleister in Textform zur Verschwiegenheit verpflichten und auf die strafrechtlichen Folgen einer Verletzung hinweisen. Das gilt zusätzlich zum AV-Vertrag.
Quellen
- § 147 AO – Ordnungsvorschriften für die Aufbewahrung von Unterlagen
- § 257 HGB – Aufbewahrung von Unterlagen, Aufbewahrungsfristen
- BSI IT-Grundschutz-Kompendium, Baustein CON.6 Löschen und Vernichten, Edition 2023, abgerufen am 18.09.2026
- Datenschutzkonferenz: Kurzpapier Nr. 13 – Auftragsverarbeitung (Stand 17.12.2018), abgerufen am 18.09.2026
- Art. 28 DSGVO – Auftragsverarbeiter
- § 43e BRAO – Inanspruchnahme von Dienstleistungen
- § 203 StGB – Verletzung von Privatgeheimnissen
Diese Seite ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzestext in der jeweils geltenden Fassung.