Aktenvernichtung: Zertifikate prüfen in fünf Minuten

Vier Nachweise begegnen Ihnen bei Anbietern für Akten- und Datenträgervernichtung. Jeder beantwortet eine andere Frage: Die Zertifizierung nach ISO/IEC 21964 (früher DIN 66399) belegt, welche Sicherheitsstufe ein Betrieb für welches Material erreicht. DIN EN 15713 betrifft den Ablauf von der Abholung bis zur Vernichtung. Der Entsorgungsfachbetrieb nach § 56 KrWG ist ein abfallrechtlicher Nachweis. ISO/IEC 27001 bescheinigt ein Managementsystem für Informationssicherheit. Keiner davon ersetzt den Vertrag zur Auftragsverarbeitung, und keiner bestätigt Ihren einzelnen Auftrag.

Was sagt welches Zertifikat aus – und was nicht?

Was ISO/IEC 21964, DIN EN 15713, Entsorgungsfachbetrieb und ISO/IEC 27001 jeweils bestätigen

Nachweis	Was er bestätigt	Was er nicht bestätigt	Wie Sie ihn prüfen
Zertifizierung nach ISO/IEC 21964 bzw. DIN 66399	dass der Betrieb an einem bestimmten Standort für bestimmte Materialklassen bestimmte Sicherheitsstufen erreicht	andere Materialklassen, andere Standorte, Subunternehmer	Materialklasse und Stufe, Standort, Aussteller, Gültigkeit auf dem Zertifikat ablesen
DIN EN 15713:2024	Verfahrensregeln für die sichere Vernichtung vertraulicher Unterlagen: Sicherheitsmanagement, Personal, Räume, Sammlung, Transport, Vernichtung	die Einstufung nach dem Stufensystem der ISO/IEC 21964	Ausgabe (2024 statt 2009), Aussteller, Geltungsbereich, Gültigkeit
Entsorgungsfachbetrieb (§ 56 KrWG)	abfallrechtliche Zuverlässigkeit und Sachkunde für die genannten Tätigkeiten und Abfallarten	Datenschutz, Sicherheitsstufe, Vertraulichkeit	öffentliches Fachbetrieberegister; Gültigkeitsdatum höchstens 18 Monate
ISO/IEC 27001	ein Managementsystem für Informationssicherheit im genannten Geltungsbereich	die Wirksamkeit einzelner Maschinen oder Partikelgrößen	Geltungsbereich lesen; Zertifizierungsstelle in der DAkkS-Datenbank suchen

ISO/IEC 21964 und DIN 66399

DIN hat die DIN 66399 2023 zurückgezogen, ihr Inhalt steht seit 2018 in der ISO/IEC 21964. Der Bundesdatenschutzbeauftragte empfiehlt, spezialisierte Dienstleister zu beauftragen, die nach der jeweils aktuellen Norm zertifiziert sind, seit 2023 also nach ISO/IEC 21964 (BfDI). Ein älteres Zertifikat mit Bezug auf DIN 66399 ist nicht wertlos. Fragen Sie aber, wann die Umstellung geplant ist. Wie Materialklassen und Stufen zusammenhängen, erklärt die Seite DIN 66399.

Ein Punkt wird oft übersehen: Für diese Zertifizierung gibt es kein staatliches Register. Zertifikate stellen verschiedene Prüforganisationen aus; prüfen Sie deshalb auch den Aussteller.

DIN EN 15713

Die aktuelle deutsche Fassung erschien im Juli 2024 als DIN EN 15713:2024-07 und ersetzt die Ausgabe von 2009 (DIN Media). Die Norm regelt Verfahren: wer Zugang hat, wie Material transportiert und gelagert wird, wie das Personal überprüft wird. Sie ist der richtige Maßstab, wenn Sie wissen wollen, was zwischen Ihrem Büro und dem Schredder passiert.

Entsorgungsfachbetrieb

Entsorgungsfachbetrieb ist, wer Abfälle gewerbsmäßig sammelt, befördert, lagert, behandelt oder verwertet und durch eine technische Überwachungsorganisation oder eine Entsorgergemeinschaft zertifiziert ist (§ 56 Abs. 2 KrWG). Das Zertifikat ist auf höchstens 18 Monate befristet, die Voraussetzungen werden mindestens jährlich geprüft (§ 56 Abs. 3 KrWG). Die Länder führen ein öffentlich zugängliches Register der zertifizierten Betriebe (§ 28 EfbV), das Sie online durchsuchen können (Fachbetrieberegister). Der Nachweis sagt, dass mit dem Papier danach ordnungsgemäß umgegangen wird. Über die Vertraulichkeit sagt er nichts.

ISO/IEC 27001

Die Norm zertifiziert ein Managementsystem, keine Maschine. Entscheidend ist der Geltungsbereich auf dem Zertifikat: Steht dort nur „IT-Betrieb der Verwaltung“, ist die Vernichtung nicht erfasst. Seriöse Zertifikate stammen von akkreditierten Zertifizierungsstellen; welche das sind, zeigt die Datenbank der Deutschen Akkreditierungsstelle (DAkkS).

Wie prüfen Sie ein Zertifikat in fünf Minuten?

Inhaber: Stimmt der Name auf dem Zertifikat mit Ihrem Vertragspartner überein, einschließlich Rechtsform? Konzernzertifikate gelten oft nur für einzelne Gesellschaften.
Standort: Ist der Standort genannt, an dem Ihr Material vernichtet wird? Ein Zertifikat für das Werk in einer anderen Stadt hilft nicht, wenn Ihre Akten woanders hingehen.
Geltungsbereich: Welche Materialklassen und Stufen, welche Tätigkeiten, welche Abfallarten? Für Festplatten und SSDs brauchen Sie die Klassen H und E, nicht nur P.
Gültigkeit: Ausstellungs- und Ablaufdatum lesen. Ein abgelaufenes Zertifikat ist kein Zertifikat.
Aussteller: Gibt es die Prüforganisation? Beim Entsorgungsfachbetrieb gleichen Sie mit dem Register ab, bei ISO/IEC 27001 mit der DAkkS-Datenbank.
Subunternehmer: Gibt der Betrieb die Vernichtung weiter, brauchen Sie auch dessen Zertifikat.

Welche Warnsignale sollten Sie ernst nehmen?

„Vernichtung nach DIN“ auf der Website, aber kein Zertifikat auf Nachfrage.
Nur ein Logo, kein Dokument mit Standort, Geltungsbereich und Datum.
Zertifikat nur für Papier, obwohl Sie Datenträger vernichten lassen wollen.
„DSGVO-zertifiziert“ ohne Angabe eines Zertifizierungsverfahrens. Genehmigte Datenschutz-Zertifizierungen nach Art. 42 DSGVO gibt es bisher nur wenige.
Keine Auskunft darüber, wo die Vernichtung stattfindet.

Ersetzt ein Zertifikat den Vertrag zur Auftragsverarbeitung?

Nein. Wer Akten oder Datenträger mit personenbezogenen Daten vernichten lässt, beauftragt einen Auftragsverarbeiter; die Datenschutzkonferenz nennt die Datenträgerentsorgung durch Dienstleister als Beispiel. Sie dürfen nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten (Art. 28 Abs. 1 DSGVO). Zertifikate helfen Ihnen, diese Garantien zu beurteilen. Art. 28 Abs. 5 DSGVO nennt als Faktor dafür ausdrücklich genehmigte Verhaltensregeln und genehmigte Zertifizierungsverfahren nach Art. 42 DSGVO – eine Normzertifizierung nach ISO/IEC 21964 ist kein solches Verfahren. Was im Vertrag stehen muss, erklärt der Beitrag zum AV-Vertrag bei der Aktenvernichtung.

Im Anbietervergleich können Sie die Zertifikate mehrerer Betriebe nebeneinanderlegen und nach denselben Punkten prüfen.

Häufige Fragen

Welches Zertifikat ist für Aktenvernichtung das wichtigste?

Für die Frage, wie fein vernichtet wird, die Zertifizierung nach ISO/IEC 21964 (früher DIN 66399) mit Materialklasse und Sicherheitsstufe. Für den Ablauf von Abholung bis Vernichtung ist DIN EN 15713 aussagekräftiger. Beide ergänzen sich.

Ist ein Zertifikat nach DIN 66399 noch gültig?

Die Norm ist seit 2023 zurückgezogen, ein bestehendes Zertifikat verliert dadurch nicht automatisch seine Aussage. Der BfDI empfiehlt Dienstleister, die nach der aktuellen Norm ISO/IEC 21964 zertifiziert sind. Fragen Sie nach dem Stand der Umstellung.

Wo kann ich prüfen, ob ein Betrieb Entsorgungsfachbetrieb ist?

Im öffentlichen Fachbetrieberegister der Länder nach § 28 EfbV. Das Zertifikat gilt höchstens 18 Monate; achten Sie auf das Ablaufdatum.

Reicht ein ISO-27001-Zertifikat?

Nicht allein. ISO/IEC 27001 bescheinigt ein Managementsystem im genannten Geltungsbereich, nicht die erreichte Partikelgröße. Prüfen Sie, ob die Vernichtung im Geltungsbereich steht, und verlangen Sie zusätzlich den Nachweis der Sicherheitsstufe.

Quellen

Diese Seite ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzestext in der jeweils geltenden Fassung.