Ein Vernichtungsnachweis belegt, dass bestimmte Unterlagen oder Datenträger zu einem bestimmten Zeitpunkt nach einer vereinbarten Sicherheitsstufe vernichtet wurden. Ein Gesetz mit festem Pflichtinhalt gibt es dafür nicht. Brauchbar ist ein Nachweis, wenn er mindestens diese Angaben enthält: Auftraggeber, Dienstleister, Datum, Menge, Material, Sicherheitsstufe, Verfahren, Ort, Unterschrift und bei Datenträgern die Seriennummern.
Ist ein Vernichtungsnachweis gesetzlich vorgeschrieben?
Nicht ausdrücklich. Die Pflicht ergibt sich mittelbar aus der Rechenschaftspflicht: Sie müssen nachweisen können, dass Sie personenbezogene Daten rechtmäßig und sicher verarbeiten, und dazu zählt ihre Vernichtung (Art. 5 Abs. 2 DSGVO, Art. 24 Abs. 1 DSGVO). Ohne Nachweis können Sie nach Fristablauf nicht belegen, dass die Daten tatsächlich vernichtet und nicht nur abgeholt wurden.
Der Dienstleister ist als Auftragsverarbeiter verpflichtet, Ihnen alle Informationen zur Verfügung zu stellen, die Sie für diesen Nachweis brauchen (Art. 28 Abs. 3 lit. h DSGVO). Legen Sie im Vertrag zur Auftragsverarbeitung fest, dass zu jedem Auftrag ein Nachweis mit den unten genannten Angaben ausgestellt wird.
Anbieter nennen das Dokument oft „Vernichtungszertifikat“. Der Begriff ist missverständlich: Das Dokument belegt einen einzelnen Vorgang, es ist keine Zertifizierung des Betriebs durch eine unabhängige Stelle.
Welche Angaben muss ein Vernichtungsnachweis enthalten?
| Angabe | Warum sie nötig ist |
|---|---|
| Auftraggeber mit Anschrift und Abholort | ordnet den Nachweis Ihrem Unternehmen und Standort zu |
| Dienstleister, ausführende Betriebsstätte, gegebenenfalls Subunternehmer | zeigt, wer tatsächlich vernichtet hat |
| Auftrags- oder Belegnummer | verbindet Nachweis, Übergabeprotokoll und Rechnung |
| Datum der Übernahme und Datum der Vernichtung | belegt, wie lange das Material unterwegs oder zwischengelagert war |
| Menge | Anzahl und Art der Behälter, Stückzahl oder Gewicht, abgleichbar mit der Übergabe |
| Material bzw. Materialklasse | etwa Papier (P), Festplatten (H), SSD und USB-Sticks (E) |
| Sicherheitsstufe mit Normbezug | etwa P-4 nach ISO/IEC 21964 (DIN 66399), muss der Beauftragung entsprechen |
| Verfahren | mobile Vernichtung vor Ort oder stationär im Werk, eingesetzte Anlage |
| Ort der Vernichtung | Adresse des Werks oder Standort des Fahrzeugs |
| Name und Unterschrift der verantwortlichen Person | macht den Nachweis zur Erklärung einer bestimmten Person |
| bei Datenträgern: Seriennummern | einzige Möglichkeit, einzelne Geräte lückenlos nachzuverfolgen |
Welche Sicherheitsstufe zu welchen Unterlagen passt, steht unter DIN 66399.
Was gilt zusätzlich bei Festplatten und anderen Datenträgern?
Bei Papier genügt eine Mengenangabe, weil einzelne Blätter nicht nachverfolgt werden. Bei Datenträgern ist jedes Gerät ein eigenes Risiko. Deshalb gehört zum Nachweis eine Liste mit Seriennummern, die Sie gegen Ihr Inventar abgleichen können:
- Vor der Übergabe Seriennummern erfassen und mit dem Inventar abgleichen.
- Bei der Übergabe die Liste gegenzeichnen lassen.
- Nach der Vernichtung prüfen, ob jede übergebene Seriennummer im Nachweis erscheint.
- Abweichungen sofort klären: Ein fehlendes Gerät kann eine meldepflichtige Datenpanne sein.
Wer die Kette ganz schließen will, lässt Datenträger vor Ort vernichten und ist dabei anwesend. Worauf es bei der Festplattenvernichtung sonst ankommt, steht auf der eigenen Seite.
Wie kann ein Vernichtungsnachweis aussehen?
Das folgende Muster enthält alle Angaben aus der Tabelle oben. Eckige Klammern markieren die Felder, die der Dienstleister ausfüllt.
| Feld | Eintrag |
|---|---|
| Nachweis-Nr. / Auftrags-Nr. | [fortlaufende Nummer] / [Auftragsnummer] |
| Auftraggeber | [Firma, Anschrift, Abholort] |
| Dienstleister | [Firma, Anschrift] |
| Ausführende Betriebsstätte / Subunternehmer | [Anschrift] / [keiner oder Name, Anschrift] |
| Übernahme am | [Datum, Uhrzeit] |
| Vernichtet am | [Datum] |
| Menge | [z. B. 6 Sicherheitsbehälter à 240 Liter] oder [Stückzahl, Gewicht] |
| Material | [Papier (P) / Festplatten (H) / SSD, USB (E) / sonstige] |
| Sicherheitsstufe | [z. B. P-4] nach ISO/IEC 21964 (DIN 66399) |
| Verfahren und Anlage | [mobil vor Ort / stationär], [Anlagenbezeichnung] |
| Ort der Vernichtung | [Adresse oder Fahrzeugkennzeichen und Standort] |
| Seriennummern | [siehe Anlage, Anzahl Positionen] |
| Bestätigung | Das oben bezeichnete Material wurde vollständig und nach der angegebenen Sicherheitsstufe vernichtet. |
| Verantwortliche Person | [Name, Funktion, Unterschrift] |
Wie prüfen Sie einen Nachweis bei Erhalt?
- Stimmt die Menge mit dem Übergabeprotokoll überein?
- Entspricht die Sicherheitsstufe der beauftragten Stufe?
- Liegt das Vernichtungsdatum nahe am Übernahmedatum, oder wurde lange zwischengelagert?
- Ist ein Subunternehmer genannt, der im Vertrag nicht genehmigt ist?
- Sind bei Datenträgern alle Seriennummern vollständig?
- Ist der Nachweis von einer namentlich genannten Person unterschrieben?
Fällt eine dieser Fragen negativ aus, fordern Sie eine Korrektur an und halten die Abweichung schriftlich fest.
Wie lange sollten Sie Vernichtungsnachweise aufbewahren?
Eine gesetzliche Aufbewahrungsfrist für Vernichtungsnachweise gibt es nicht. Maßgeblich ist, wie lange Sie die Vernichtung belegen können müssen, etwa gegenüber einer Aufsichtsbehörde oder bei Schadensersatzforderungen Betroffener nach Art. 82 DSGVO.
Unsere Empfehlung, keine gesetzliche Vorgabe: Bewahren Sie Nachweise mindestens für die Dauer der Geschäftsbeziehung mit dem Dienstleister und danach drei weitere volle Kalenderjahre auf. Das orientiert sich an der regelmäßigen Verjährungsfrist von drei Jahren, die mit dem Schluss des Jahres beginnt, in dem der Anspruch entstanden ist und der Gläubiger davon Kenntnis erlangt hat (§ 195 BGB, § 199 Abs. 1 BGB).
Der Nachweis selbst enthält kaum personenbezogene Daten. Seine längere Aufbewahrung steht deshalb in keinem Widerspruch zur Löschpflicht.
Häufige Fragen
Ist ein Vernichtungsnachweis Pflicht?
Kein Gesetz schreibt ihn ausdrücklich vor. Wegen der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO müssen Sie die sichere Vernichtung aber belegen können, und dafür ist der Nachweis das übliche Mittel.
Was muss auf einem Vernichtungsprotokoll stehen?
Auftraggeber, Dienstleister, Datum von Übernahme und Vernichtung, Menge, Material, Sicherheitsstufe mit Normbezug, Verfahren, Ort, Name und Unterschrift der verantwortlichen Person, bei Datenträgern zusätzlich die Seriennummern.
Wie lange muss ich Vernichtungsnachweise aufbewahren?
Eine gesetzliche Frist gibt es nicht. Wir empfehlen die Dauer der Geschäftsbeziehung plus drei volle Kalenderjahre, angelehnt an die regelmäßige Verjährung nach §§ 195, 199 BGB.
Ist ein Vernichtungszertifikat dasselbe wie eine Zertifizierung?
Nein. Das sogenannte Vernichtungszertifikat bestätigt einen einzelnen Vernichtungsvorgang. Eine Zertifizierung des Dienstleisters durch eine unabhängige Stelle ist etwas anderes und sollte gesondert geprüft werden.
Quellen
- Art. 5 DSGVO – Grundsätze für die Verarbeitung (Abs. 2 Rechenschaftspflicht)
- Art. 24 DSGVO – Verantwortung des Verantwortlichen
- Art. 28 DSGVO – Auftragsverarbeiter
- Art. 82 DSGVO – Haftung und Recht auf Schadenersatz
- Verordnung (EU) 2016/679 (DSGVO), EUR-Lex
- § 195 BGB – Regelmäßige Verjährungsfrist
- § 199 BGB – Beginn der regelmäßigen Verjährungsfrist
- ISO/IEC 21964-1:2018-08 (DIN Media)
Diese Seite ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzestext in der jeweils geltenden Fassung.