Aktenvernichtung: die 10 häufigsten Fehler und Gegenmittel

Die meisten Pannen bei der Aktenvernichtung entstehen nicht im Schredder, sondern davor: Akten landen im Altpapier, stehen tagelang offen herum oder werden zu früh oder zu spät vernichtet. Die Tätigkeitsberichte der Datenschutzaufsichtsbehörden zeigen seit Jahren dieselben Muster. Unten stehen die zehn häufigsten Fehler, jeweils mit der Folge und einem konkreten Gegenmittel. Wo es einen dokumentierten Fall gibt, ist er mit Quelle genannt.

Nr.	Fehler	Hauptrisiko
1	Akten ins Altpapier	Bußgeld, Meldepflicht
2	Vernichtungsgut ungesichert zwischenlagern	Verwarnung, Bußgeld
3	Zu grobe Sicherheitsstufe	Rekonstruierbarkeit
4	Dienstleister ohne AV-Vertrag	Verstoß gegen Art. 28 DSGVO
5	Kein Vernichtungsnachweis	Rechenschaftspflicht nicht erfüllt
6	Zu früh vernichtet	Schätzung durch das Finanzamt
7	Zu lange aufbewahrt	Verstoß gegen Löschpflicht
8	Originale nach dem Scan vernichtet	Verstoß gegen Aufbewahrungspflicht
9	Datenträger vergessen	Datenabfluss
10	Einmalaktion statt Routine	alle oben genannten

Welche Fehler passieren am häufigsten?

Die zehn häufigsten Fehler bei der Aktenvernichtung als Übersicht

1. Akten landen im Altpapiercontainer

Der Klassiker in fast jedem Tätigkeitsbericht. Eine Hamburger Kita entsorgte Aktenordner im städtischen Altpapiercontainer (HmbBfDI, Tätigkeitsbericht 2023, S. 134–136); in Bremen fanden sich Buchungsunterlagen einer Freizeiteinrichtung im Altpapier (LfDI Bremen, 38. Jahresbericht, Kap. 14.4); in Hessen Unterlagen einer Kanzlei im Papiercontainer (HBDI, 49. Tätigkeitsbericht, Kap. 11.7). Die LDI NRW berichtete über Praxen und Kanzleien (LDI NRW, 25. Bericht, Kap. 12.4).

Folge: Im Hamburger Fall eine Geldbuße im niedrigen vierstelligen Bereich. Zusätzlich kann eine Meldepflicht als Datenschutzverletzung entstehen.

Gegenmittel: Eine klare Regel im Haus: Papier mit Namen, Adressen, Zahlen oder Unterschriften geht nie ins Altpapier, sondern in einen verschlossenen Sammelbehälter.

2. Vernichtungsgut wird ungesichert zwischengelagert

Aussortiert heißt nicht vernichtet. Der Hamburgische Datenschutzbeauftragte fand bei einer Vor-Ort-Prüfung eine unverschlossene Aktenvernichtungstonne im Hinterhof (Tätigkeitsbericht 2024, S. 52). In Baden-Württemberg lagen Rezepte einer Apotheke im Müllraum (LfDI BW, 38. Tätigkeitsbericht 2022, Kap. 8).

Folge: Im Hamburger Fall eine Verwarnung, im Apothekenfall eine Geldbuße von 6.500 Euro.

Gegenmittel: Sammelbehälter abschließen und in einem Raum ohne Publikumsverkehr aufstellen. Abholtermine so legen, dass nichts über Wochenenden im Hof steht.

3. Die Sicherheitsstufe ist zu grob

Ein Bürohäcksler mit Streifenschnitt reicht für Werbepost, nicht für Personal- oder Patientenakten. Das Bayerische Landesamt für Datenschutzaufsicht ordnet Unterlagen von Berufsgeheimnisträgern der Schutzklasse 3 zu und hält einen Schredder der Stufe P-5 für erforderlich, wenn die Schnipsel in Hausmüll oder Papiertonne gehen (BayLDA, 8. Tätigkeitsbericht 2017/18, Kap. 9.2).

Folge: Streifen lassen sich wieder zusammensetzen; die Vernichtung gilt dann als nicht sicher.

Gegenmittel: Schutzklasse je Bestand festlegen und die Stufe danach wählen:

Stufe	Materialteilchen (Papier)	Typische Unterlagen	Schutzklasse
P-1	Streifen ≤ 12 mm oder Partikel ≤ 2.000 mm²	allgemeine Unterlagen ohne Schutzbedarf	1
P-2	Streifen ≤ 6 mm oder Partikel ≤ 800 mm²	interne Unterlagen, z. B. Mitteilungen	1
P-3	Streifen ≤ 2 mm oder Partikel ≤ 320 mm²	vertrauliche Unterlagen, auch mit Personenbezug bei normalem Schutzbedarf	1 / 2
P-4	Partikel ≤ 160 mm², Streifenbreite ≤ 6 mm	besonders sensible Daten, personenbezogene Daten mit erhöhtem Schutzbedarf	2 / 3
P-5	Partikel ≤ 30 mm², Streifenbreite ≤ 2 mm	geheim zu haltende Unterlagen, Berufsgeheimnisse, Gesundheitsdaten	3
P-6	Partikel ≤ 10 mm², Streifenbreite ≤ 1 mm	geheime Unterlagen mit außergewöhnlich hohen Sicherheitsvorkehrungen	3
P-7	Partikel ≤ 5 mm², Streifenbreite ≤ 1 mm	streng geheime Unterlagen, höchste Sicherheitsanforderungen	3

Materialklasse P (Papier) nach DIN 66399-2, seit 2023 fortgeführt als ISO/IEC 21964-2. Maßgeblich ist der Normtext.

4. Der Dienstleister arbeitet ohne AV-Vertrag

Wer Akten durch einen Dienstleister vernichten lässt, gibt personenbezogene Daten in fremde Hände. Das ist Auftragsverarbeitung (DSK-Kurzpapier Nr. 13) und braucht einen Vertrag nach Art. 28 DSGVO.

Folge: Ein Verstoß des Verantwortlichen, unabhängig davon, ob bei der Vernichtung etwas schiefgeht.

Gegenmittel: Vor dem ersten Auftrag den AV-Vertrag abschließen und ablegen. Die Schritte bis zur Beauftragung stehen in der Checkliste: Anbieter beauftragen in acht Schritten.

5. Es gibt keinen Vernichtungsnachweis

Nach Art. 5 Abs. 2 DSGVO muss der Verantwortliche nachweisen können, dass er die Grundsätze einhält, also auch, dass Daten gelöscht wurden.

Folge: Ohne Nachweis lässt sich bei einer Prüfung oder einem Auskunftsersuchen nicht belegen, was wann vernichtet wurde.

Gegenmittel: Nachweis mit Datum, Menge, Sicherheitsstufe und Verfahren verlangen und zusammen mit der Liste der vernichteten Jahrgänge ablegen.

6. Unterlagen werden zu früh vernichtet

Rechnerisch abgelaufen heißt nicht frei. Solange Unterlagen für eine offene Steuerfestsetzung von Bedeutung sind, läuft die Frist nicht ab (§ 147 Abs. 3 Satz 5 AO), etwa bei laufender Außenprüfung oder offenem Einspruch.

Folge: Kann ein Unternehmen Bücher oder Aufzeichnungen nicht vorlegen, darf das Finanzamt schätzen (§ 162 Abs. 2 AO).

Gegenmittel: Vor jeder größeren Vernichtung die Ablaufhemmung bei der Steuerberatung abfragen und die Antwort zum Nachweis legen.

7. Unterlagen werden zu lange aufbewahrt

Das Gegenstück zu Fehler 6. Ist die Aufbewahrungspflicht abgelaufen und gibt es keinen anderen Zweck, sind personenbezogene Daten zu löschen (Art. 17 Abs. 1 lit. a DSGVO, Art. 5 Abs. 1 lit. e DSGVO).

Folge: Verstöße gegen die Grundsätze des Art. 5 fallen in den oberen Bußgeldrahmen der DSGVO (Art. 83 Abs. 5 DSGVO). Jeder alte Ordner ist zudem ein Risiko bei Einbruch oder Wasserschaden.

Gegenmittel: Einen festen jährlichen Prüftermin im Januar einführen.

8. Originale werden nach dem Scannen vernichtet

Ersetzendes Scannen ist erlaubt, aber nicht für alles. Jahresabschlüsse und Eröffnungsbilanzen müssen im Original bleiben (§ 257 Abs. 3 HGB, § 147 Abs. 2 AO).

Folge: Die Pflicht zur Aufbewahrung ist verletzt; das Original lässt sich nicht wiederherstellen.

Gegenmittel: Diese Unterlagen vor dem Scannen aussondern und getrennt ablegen.

9. Datenträger werden vergessen

In Ordnern stecken CDs, in Schubladen USB-Sticks, in ausgemusterten Rechnern und Multifunktionsgeräten Festplatten. Sie wandern oft mit dem Papier in den Behälter oder gar nicht in die Vernichtung.

Folge: Datenträger brauchen eigene Verfahren und Sicherheitsstufen; im Papierprozess werden sie nicht sicher vernichtet.

Gegenmittel: Datenträger bei der Sortierung getrennt sammeln und als eigene Position mit Stückzahl beauftragen.

10. Vernichtung als Einmalaktion statt als Routine

Viele Unternehmen räumen nur bei Umzug oder Personalwechsel auf. Dazwischen wachsen Keller und Homeoffice-Bestände unbemerkt.

Folge: Alle neun Fehler oben werden wahrscheinlicher, weil unter Zeitdruck sortiert wird.

Gegenmittel: Eine verantwortliche Person benennen, einen Jahrestermin festlegen, regelmäßig anfallendes Papier über einen Sicherheitsbehälter sammeln.

Was kosten diese Fehler im Ernstfall?

Bußgelder sind nur ein Teil. Hinzu kommen Meldepflichten, Aufwand für Stellungnahmen gegenüber der Aufsichtsbehörde und der Vertrauensverlust bei Kunden oder Patienten. Eine Übersicht der dokumentierten Fälle mit Beträgen steht im Beitrag Bußgelder bei unsachgemäßer Entsorgung. Wer die Vernichtung an einen Fachbetrieb mit AV-Vertrag und Nachweis gibt, vermeidet die Fehler 1 bis 5 in einem Schritt; Angebote für die Aktenvernichtung mit Nachweis erhalten Sie über die Anfrage unten.

Häufige Fragen

Darf ich Akten ins Altpapier werfen, wenn ich sie vorher zerreiße?

Nein, wenn sie personenbezogene Daten enthalten. Zerrissenes Papier lässt sich rekonstruieren. Aufsichtsbehörden haben für Akten im Altpapiercontainer wiederholt Bußgelder verhängt, etwa gegen eine Hamburger Kita (HmbBfDI, Tätigkeitsbericht 2023).

Welche Sicherheitsstufe brauche ich für Personalakten?

Personalakten enthalten besonders schutzwürdige Daten; wir empfehlen P-5. Für Unterlagen von Berufsgeheimnisträgern hält das BayLDA P-5 für erforderlich, wenn die Schnipsel in Hausmüll oder Papiertonne gehen (8. Tätigkeitsbericht, Kap. 9.2). Einfache Geschäftsunterlagen mit Personenbezug wie Rechnungen: mindestens P-4.

Brauche ich für die Aktenvernichtung einen AV-Vertrag?

Ja. Die Datenschutzkonferenz ordnet die Aktenvernichtung durch Dienstleister als Auftragsverarbeitung ein (Kurzpapier Nr. 13). Nötig ist ein Vertrag nach Art. 28 DSGVO.

Was passiert, wenn ich Belege zu früh vernichte?

Werden sie bei einer Außenprüfung gebraucht und fehlen, darf das Finanzamt die Besteuerungsgrundlagen schätzen (§ 162 Abs. 2 AO). Prüfen Sie deshalb vor der Vernichtung, ob eine Ablaufhemmung nach § 147 Abs. 3 Satz 5 AO besteht.

Quellen

Diese Seite ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzestext in der jeweils geltenden Fassung.