Wie die Norm aufgebaut ist
Die DIN 66399 regelt die Vernichtung von Datenträgern. Sie ersetzt seit 2012 die alte DIN 32757 und ist deutlich feiner aufgebaut: Statt einer einzigen Stufenreihe kombiniert sie drei Ebenen.
- Schutzklasse 1 bis 3 — wie schutzbedürftig sind die Daten? Sie ergibt sich aus dem Schaden, der bei einer Offenlegung entstünde.
- Materialklassifizierung P, F, O, T, H, E — um welches Material handelt es sich?
- Sicherheitsstufe 1 bis 7 — wie klein muss das Material zerkleinert sein?
Eine vollständige Angabe lautet also nicht „Stufe 4“, sondern zum Beispiel „P-4“ für Papier oder „H-4“ für Festplatten. Wer nur eine Zahl nennt, sagt nichts über das Material — und damit nichts Belastbares.
Diese Dreiteilung erklärt auch, warum Angaben aus älteren Angeboten und Gerätebeschreibungen oft nicht zusammenpassen. Die Vorgängernorm DIN 32757 kannte nur fünf Stufen und keine Unterscheidung nach Material — eine Angabe wie „Sicherheitsstufe 3“ aus dieser Zeit lässt sich nicht eins zu eins in die neue Systematik übertragen. Wer alte Geräte oder alte Verträge prüft, sollte deshalb immer nachfragen, auf welche Norm sich die Zahl bezieht.
| Materialklasse | Was darunter fällt |
|---|---|
| P | Papier, Filme, Druckformen — Informationen in Originalgröße |
| F | Filme und Folien in verkleinerter Form, etwa Mikrofilm |
| O | Optische Datenträger: CD, DVD, Blu-ray |
| T | Magnetische Datenträger: Disketten, Magnetbänder, Ausweiskarten mit Magnetstreifen |
| H | Festplatten mit magnetischem Datenträger |
| E | Elektronische Datenträger: SSD, USB-Stick, Speicherkarte, Chipkarte, Mobiltelefon |
Die drei Schutzklassen
Die Schutzklasse bestimmt, welche Sicherheitsstufen überhaupt in Frage kommen. Sie wird vor der Vernichtung festgelegt — vom Verantwortlichen, nicht vom Dienstleister.
Die Schutzklasse ist keine technische, sondern eine unternehmerische Entscheidung. Sie beantwortet die Frage, was passieren würde, wenn genau diese Unterlagen in fremde Hände gerieten — ob es peinlich wäre, teuer oder existenzbedrohend. Wer sie zu niedrig ansetzt, spart ein paar Cent pro Kilogramm und riskiert einen meldepflichtigen Datenschutzvorfall.
| Schutzklasse | Schutzbedarf | Typische Unterlagen | Empfohlene Stufen |
|---|---|---|---|
| 1 | Normaler Schutzbedarf für interne Daten | Interne Mitteilungen, Adresslisten, Werbematerial, veraltete Preislisten | P-1 bis P-3 |
| 2 | Hoher Schutzbedarf für vertrauliche Daten | Personalakten, Verträge, Angebote, Buchhaltungsbelege, Kundendaten | P-3 bis P-5 |
| 3 | Sehr hoher Schutzbedarf für geheime Daten | Gesundheitsdaten, Forschungsergebnisse, Zeugenangaben, Bankdaten mit Zuordnung | P-5 bis P-7 |
Sicherheitsstufen für Papier (P-1 bis P-7)
Bei Papier ist die maximale Partikelfläche das Maß. Je kleiner die Fläche, desto höher die Stufe — und der Sprung von P-1 auf P-4 ist größer, als die Zahlen vermuten lassen: Die zulässige Fläche schrumpft auf ein Zwölftel.
| Stufe | Maximale Partikelgröße | Reproduktionsaufwand | Einsatz |
|---|---|---|---|
| P-1 | ≤ 2.000 mm² oder Streifenbreite ≤ 12 mm | einfach | Allgemeines Schriftgut ohne Personenbezug |
| P-2 | ≤ 800 mm² oder Streifenbreite ≤ 6 mm | einfach | Interne Unterlagen ohne Personenbezug |
| P-3 | ≤ 320 mm² oder Streifenbreite ≤ 2 mm | erschwert | Untergrenze für sensible Daten |
| P-4 | ≤ 160 mm², Streifenbreite ≤ 6 mm | erheblich erschwert | Der Standard für personenbezogene Daten in Unternehmen |
| P-5 | ≤ 30 mm², Streifenbreite ≤ 2 mm | sehr erschwert | Besonders sensible Daten, Gesundheits- und Personaldaten |
| P-6 | ≤ 10 mm², Streifenbreite ≤ 1 mm | außerordentlich erschwert | Geheime Unterlagen, Forschung, Patente |
| P-7 | ≤ 5 mm², Streifenbreite ≤ 1 mm | praktisch unmöglich | Höchste Geheimhaltung, staatlicher Bereich |
Für den betrieblichen Alltag ist P-4 die richtige Antwort in den meisten Fällen: Personalakten, Verträge, Buchhaltung, Kundenkorrespondenz. Wer Gesundheitsdaten oder Unterlagen mit besonderem Schadenspotenzial vernichtet, geht auf P-5. Die Stufen P-6 und P-7 sind teuer und für normale Geschäftsunterlagen nicht erforderlich.
Sicherheitsstufen für Datenträger
Für jede Materialklasse gilt eine eigene Skala, weil die Maßgrößen unterschiedlich sind: bei Festplatten die Verformung und Partikelgröße, bei optischen Medien die Partikelfläche, bei elektronischen Datenträgern die Chipfläche.
Bei Datenträgern ist der häufigste Fehler, das Löschen mit dem Vernichten zu verwechseln. Eine formatierte Festplatte gibt ihre Daten mit frei erhältlicher Software wieder her; bei Solid-State-Speichern kommt hinzu, dass die Verwaltungslogik Kopien an Stellen ablegt, die kein Löschbefehl erreicht. Die Norm zieht daraus die einzig belastbare Konsequenz und verlangt die mechanische Zerstörung des Trägers.
| Materialklasse | Gängige Stufe für Unternehmen | Was dabei passiert |
|---|---|---|
| H — Festplatten | H-4 bis H-5 | Mechanische Zerstörung des Datenträgers in Partikel; bei H-5 maximal 320 mm² Partikelfläche. Reines Löschen oder Formatieren ist keine Vernichtung im Sinn der Norm. |
| E — SSD, USB-Stick, Speicherkarte | E-3 bis E-4 | Zerkleinerung bis auf Chipfläche: E-3 maximal 160 mm², E-4 maximal 30 mm². Da Flash-Speicher Daten auf einzelnen Chips hält, ist die Chipzerstörung entscheidend. |
| O — CD, DVD, Blu-ray | O-3 bis O-4 | Zerkleinerung der Datenschicht: O-3 maximal 160 mm², O-4 maximal 30 mm². |
| T — Magnetbänder, Disketten, Magnetstreifenkarten | T-3 bis T-4 | Zerkleinerung oder Entmagnetisierung mit anschließender mechanischer Zerstörung. |
| F — Mikrofilm, Mikrofiche | F-3 | Sehr feine Zerkleinerung, da die Information stark verkleinert vorliegt. |
Was die DSGVO dazu verlangt
Die DSGVO nennt keine Sicherheitsstufe. Sie verlangt in Art. 32 Maßnahmen, die dem Risiko angemessen sind, und in Art. 5 Abs. 1 lit. e die Löschung, sobald der Zweck erfüllt ist. Die DIN 66399 ist das anerkannte Werkzeug, um „angemessen“ messbar zu machen.
Bei der Auswahl eines Betriebs hilft ein einfacher Test: Fragen Sie nach der Sicherheitsstufe, bevor Sie nach dem Preis fragen. Wer die Frage souverän beantwortet und nach der Art der Unterlagen zurückfragt, arbeitet mit der Norm. Wer stattdessen versichert, dass „alles datenschutzgerecht“ vernichtet werde, hat sie vermutlich nie im Detail angewandt — und wird dann auch kein Zertifikat mit Stufenangabe ausstellen.
- Die Vernichtung personenbezogener Daten ist eine Verarbeitung im Sinne der DSGVO — sie gehört ins Verarbeitungsverzeichnis.
- Wird ein Dienstleister eingeschaltet, ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erforderlich. Ohne ihn ist die Weitergabe der Akten selbst ein Verstoß.
- Das Vernichtungszertifikat ist der Nachweis, mit dem die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO erfüllt wird. Es sollte Datum, Menge, Sicherheitsstufe und Materialklasse ausweisen.
- Ein Löschkonzept legt fest, welche Datenart nach welcher Frist vernichtet wird — es verbindet die Aufbewahrungspflichten mit der Löschpflicht.
Praktisch bedeutet das: Ein Datenschutz-Container im Büro ist bequem, aber nur dann sauber, wenn er verschlossen ist, der Dienstleister einen Auftragsverarbeitungsvertrag hat und für jede Leerung ein Zertifikat vorliegt.
Die passende Stufe wählen — in vier Schritten
In der Praxis lässt sich die richtige Stufe in unter einer Minute bestimmen, wenn man die drei Ebenen der Norm in der richtigen Reihenfolge abgeht. Der häufigste Fehler ist, mit der Stufe anzufangen — sie ist aber das Ergebnis, nicht der Ausgangspunkt.
- Material bestimmen: Papier, Festplatte, SSD, optisches Medium? Daraus folgt die Materialklasse.
- Schaden abschätzen: Was passiert, wenn die Daten offengelegt würden? Daraus folgt die Schutzklasse.
- Stufe zuordnen: Schutzklasse 2 mit Papier ergibt P-4 oder P-5. Schutzklasse 3 mit SSD ergibt E-4.
- Nachweis sichern: Zertifikat verlangen, das Materialklasse und Stufe ausdrücklich benennt — nicht nur „datenschutzgerecht vernichtet“. Angebote dazu über die Aktenvernichtung.
Dieser Beitrag gibt den Rechtsstand vom 29. Juli 2026 allgemein wieder und ist keine Rechts- oder Steuerberatung. Ob in Ihrem Fall eine längere Frist gilt — etwa wegen einer laufenden Außenprüfung, eines Rechtsstreits oder einer noch offenen Steuerfestsetzung — klären Sie mit Ihrer Steuerberatung.
Wer diesen Beitrag verantwortet
Daniel Werner
Inhaber von archivieren.org, 97222 Rimpar
Verantwortlich für den Inhalt nach § 18 Abs. 2 MStV. archivieren.org vermittelt seit März 2026 Anfragen für Digitalisierung, Lagerung und Vernichtung an Dienstleister — die Beiträge entstehen aus den Rückfragen, die dabei regelmäßig auftauchen.
Keine Rechts- oder Steuerberatung
archivieren.org ist kein Steuerberater und keine Kanzlei. Dieser Beitrag gibt den Rechtsstand allgemein wieder. Ob in Ihrem Fall eine längere Frist gilt — etwa wegen einer laufenden Außenprüfung, eines Rechtsstreits oder einer offenen Steuerfestsetzung — klären Sie mit Ihrer Steuerberatung.
Verwendete Quellen
- DIN 66399-1 und DIN 66399-2
- Art. 5 Abs. 1 lit. e DSGVO
- Art. 5 Abs. 2 DSGVO
- Art. 9 DSGVO
- Art. 28 DSGVO
- Art. 32 DSGVO
- § 147 AO
Zuletzt inhaltlich geprüft am 29. Juli 2026. Fehler oder veraltete Angaben bitte an anfrage@archivieren.org melden — sie werden korrigiert. Wie wir arbeiten und wovon wir leben, steht auf der Faktenseite.
Erreichbar unter +49 9365 / 82923-84