Datenträgervernichtung in Stuttgart: Festplatten, SSDs und Co. sicher vernichtet

Indem Sie sie physisch vernichten lassen und das dokumentieren; wir holen sie verschlossen ab und vernichten sie direkt nach der höchsten Sicherheitsstufe der DIN 66399, mit Zertifikat. Löschen im Betriebssystem oder Formatieren reicht nicht, die Daten lassen sich meist wiederherstellen. Bei SSDs, USB-Sticks und Speicherkarten ist selbst mehrfaches Überschreiben unsicher, weil der Controller Daten auf Bereiche verteilt, die von außen nicht erreichbar sind. Für sie ist die physische Zerkleinerung der sichere Weg. Die DIN 66399 unterscheidet dabei nach Art des Datenträgers: H für Festplatten, E für elektronische Speicher wie SSDs und USB-Sticks, O für CDs und DVDs, T für Bänder und F für Filme.

Ein Löschkonzept legt fest, welche Geräte Daten enthalten, wer sie wann aus dem Betrieb nimmt, wie sie vernichtet werden und wie das nachgewiesen wird. In der Praxis gehören dazu eine Inventarliste mit Gerätetyp, Hersteller und Seriennummer, die Zuordnung zur passenden Sicherheitsstufe der DIN 66399, die Regeln für den Transport und die Aufbewahrung der Nachweise. Vergessen werden oft Drucker und Kopierer mit eingebauter Festplatte, Telefonanlagen, Firewalls, Router, NAS-Systeme und alte Diensthandys. Bei einer Büroauflösung gehen wir diese Geräte mit Ihrer IT durch, bevor etwas abtransportiert wird.

Eine feste gesetzliche Frist gibt es nicht; bewahren Sie die Nachweise mindestens so lange auf, wie Ansprüche aus einem möglichen Datenschutzverstoß geltend gemacht werden können, in der Praxis meist drei Jahre oder länger. Viele Unternehmen orientieren sich an der regelmäßigen Verjährungsfrist von drei Jahren nach § 195 BGB, die erst mit dem Ende des Jahres beginnt, in dem jemand von seinem Anspruch erfährt. Wer auf Nummer sicher gehen will, legt die Zertifikate zu den Buchungsunterlagen und bewahrt sie entsprechend lange auf. Stimmen Sie die Dauer mit Ihrem Datenschutzbeauftragten ab und halten Sie sie im Löschkonzept fest.

Nein, nicht mit Datenträgern darin, und als Unternehmen in der Regel auch nicht ohne Weiteres; gewerbliche Altgeräte und Datenschutz sind getrennte Pflichten, die Sie beide erfüllen müssen. Der Wertstoffhof nimmt Geräte nach dem Elektro- und Elektronikgerätegesetz an, kümmert sich aber nicht um die Daten. Was dort im Container landet, ist für Sie nicht mehr kontrollierbar. Außerdem sind die kommunalen Sammelstellen auf Haushaltsmengen ausgelegt; für gewerbliche Mengen gelten eigene Regeln. Sicher ist die Reihenfolge: Datenträger ausbauen und nach DIN 66399 vernichten, das Gerät anschließend nach ElektroG verwerten. Beides übernehmen wir in einem Auftrag.

Vor allem drei: Daten löschen, wenn sie nicht mehr gebraucht werden (Art. 17), dabei ein angemessenes Sicherheitsniveau einhalten (Art. 32) und die Löschung nachweisen können (Art. 5 Abs. 2, Rechenschaftspflicht). Geht trotzdem ein Datenträger verloren, kann eine Meldepflicht an die Aufsichtsbehörde binnen 72 Stunden entstehen (Art. 33). Ein Vernichtungszertifikat nach DIN 66399 hilft, die Nachweispflicht zu erfüllen, und ist das wichtigste Dokument, falls die Aufsicht nachfragt.

Trennen Sie Daten und Gerät: Datenträger werden nachweisbar vernichtet, das restliche Gerät wird recycelt oder, wenn es noch gut ist, aufbereitet weitergegeben. Klären Sie zuerst mit Ihrer IT, ob noch Daten gesichert werden müssen und welche Geräte geleast sind. Leasinggeräte gehen meist mit gelöschten oder ausgebauten Datenträgern an den Leasinggeber zurück, das regelt Ihr Vertrag. Alles andere übernehmen wir: Ausbau, Abholung in verschlossenen Behältern, direkte Vernichtung ohne Zwischenlagerung nach der höchsten Stufe der DIN 66399 und Zertifikat.