DIN 66399 einfach erklärt: Schutzklassen und Sicherheitsstufen
Besichtigung und Angebot kostenlos · Alle Positionen schriftlich · Termingerecht und besenrein
- Besichtigung kostenlos
- Termin nach Ihrem Wunsch
- Besichtigungkostenlos und unverbindlich
- Angebotkostenlos und schriftlich
- Alles inklusiveMöbel, IT, Kabel, Akten
- Akten & DatenVernichtung nach DIN 66399
- Großobjekteüber 50 Mitarbeiter im Einsatz
- Nachhaltigverwerten, verschenken, recyceln
- Zum Wunschterminpünktlich und fristgerecht
- Übergabebesenrein oder endgereinigt
- KostenlosBesichtigung und Angebot
- 50+ MitarbeiterTeams auch für Bürokomplexe
- 25+ Fahrzeugetermingerecht bei Großobjekten
- DIN 66399Vernichtung nach höchster Stufe
Die DIN 66399 ist der Maßstab, an dem sich die Vernichtung von Akten und Datenträgern in Deutschland orientiert. Wer eine Büroauflösung plant, begegnet ihr im Angebot, im Vernichtungszertifikat und in Fragen des Datenschutzbeauftragten. Hier erklären wir die Norm so, dass Sie sie ohne Fachwörterbuch anwenden können.
Stand: 04.11.2026
Kurz gesagt: Die DIN 66399 ordnet Daten nach ihrem Schutzbedarf in drei Schutzklassen und legt für die Vernichtung sieben Sicherheitsstufen fest, getrennt nach sechs Materialklassen wie Papier, Festplatten oder elektronischen Speichern. Je höher die Stufe, desto kleiner die Partikel und desto aufwendiger eine Rekonstruktion. Personenbezogene Daten verlangen mindestens Stufe 3; wir vernichten grundsätzlich nach der höchsten Stufe.
Was die DIN 66399 regelt und was nicht
Die DIN 66399 beschreibt, wie gründlich Datenträger vernichtet werden müssen, damit die Informationen darauf nicht mehr rekonstruiert werden können. Sie besteht aus drei Teilen: Grundlagen und Begriffe, Anforderungen an Maschinen zur Vernichtung und den Prozess der Datenträgervernichtung. Inhaltlich wurde sie inzwischen auch international als ISO/IEC 21964 genormt; die Systematik aus Schutzklassen und Sicherheitsstufen ist dieselbe geblieben.
Die Norm ist kein Gesetz. Sie wird aber als Stand der Technik herangezogen, wenn es darum geht, ob ein Unternehmen personenbezogene Daten angemessen geschützt hat. Die DSGVO verlangt geeignete technische und organisatorische Maßnahmen und nennt dabei ausdrücklich den Stand der Technik. Wer sich bei der Vernichtung auf die DIN 66399 beruft und die gewählte Stufe dokumentiert, hat ein starkes Argument gegenüber Aufsichtsbehörden und Auditoren.
Die drei Schutzklassen
Die Schutzklasse beschreibt, wie schutzbedürftig die Daten sind; sie ist der erste Schritt jeder Entscheidung nach DIN 66399. Grundlage ist die Frage, welcher Schaden entstünde, wenn die Informationen in falsche Hände gerieten.
| Schutzklasse | Schutzbedarf | Typische Beispiele im Büro |
|---|---|---|
| 1 | normal, interne Daten für einen größeren Personenkreis | Telefonlisten, interne Rundschreiben, allgemeine Arbeitsanweisungen |
| 2 | hoch, vertrauliche Daten für einen kleinen Personenkreis | Angebote, Kundenkorrespondenz, Buchhaltungsunterlagen, Personaldaten |
| 3 | sehr hoch, streng vertrauliche Daten für einen eng benannten Kreis | Gesundheitsdaten, Mandantenakten, Bankgeheimnis, Forschung und Entwicklung |
In der Praxis liegen die Bestände eines Büros fast nie in einer einzigen Klasse. In derselben Registratur stehen Telefonlisten neben Personalakten. Bei einer Büroauflösung ist deshalb die einfachste und sicherste Lösung, den gesamten Bestand nach der Klasse des sensibelsten Inhalts zu behandeln.
Die sieben Sicherheitsstufen
Die Sicherheitsstufe beschreibt, wie schwer es ist, die vernichteten Daten wiederherzustellen. Die DIN 66399 kennt sieben Stufen. Auf Stufe 1 ist eine Rekonstruktion ohne besondere Hilfsmittel möglich, nur zeitaufwendig. Ab Stufe 3 braucht es erheblichen technischen Aufwand, ab Stufe 5 nicht handelsübliche Spezialgeräte. Auf Stufe 7 ist eine Rekonstruktion nach dem Stand von Wissenschaft und Technik ausgeschlossen.
Für Papier lässt sich das an der Größe der Partikel ablesen. Auf Stufe P-4 dürfen die Teilchen höchstens 160 Quadratmillimeter groß sein, auf P-5 höchstens 30, auf P-6 höchstens 10 und auf P-7 höchstens 5 Quadratmillimeter. Zum Vergleich: Ein Partikel nach P-7 ist kleiner als ein Fingernagel eines Kindes. Ein kleiner Anteil der Partikel darf die Regelgröße bis zu einer Toleranzgrenze überschreiten; die Norm legt das genau fest.
Welche Schutzklasse zu welcher Stufe passt
Schutzklasse und Sicherheitsstufe hängen zusammen: Jede Klasse erlaubt nur bestimmte Stufen. Für Schutzklasse 1 kommen die Stufen 1 bis 3 in Betracht, für Schutzklasse 2 die Stufen 3 bis 5 und für Schutzklasse 3 die Stufen 4 bis 7. Personenbezogene Daten müssen mindestens nach Stufe 3 vernichtet werden, für besonders schutzbedürftige Daten wie Personal-, Gesundheits- oder Bankdaten empfiehlt sich Stufe 4 oder höher.
In Ratgebern findet man häufig die Empfehlung, für personenbezogene Daten mindestens Stufe 4 zu wählen. Das ist eine Empfehlung aus der Praxis, keine starre Vorgabe der Norm. Die richtige Stufe hängt vom Inhalt ab und sollte vom Datenschutzbeauftragten festgelegt werden. Bei einer Büroauflösung mit gemischten Beständen stellt sich die Frage einfacher: Wenn ohnehin alles nach der höchsten Stufe vernichtet wird, ist jede Klasse abgedeckt.
- Schutzklasse 1: Stufe 1 bis 3
- Schutzklasse 2: Stufe 3 bis 5
- Schutzklasse 3: Stufe 4 bis 7
- Personenbezogene Daten: mindestens Stufe 3
Die sechs Materialklassen
Die DIN 66399 unterscheidet sechs Materialklassen, weil sich Papier und Festplatten nicht nach denselben Kriterien vernichten lassen. Für jede Klasse gibt es eine eigene Stufenfolge mit eigenen Anforderungen.
| Klasse | Material | Beispiele |
|---|---|---|
| P | Informationsträger in Originalgröße | Papier, Akten, Ausdrucke |
| F | Informationsträger in verkleinerter Form | Mikrofilme, Mikrofiches |
| O | Optische Datenträger | CDs, DVDs, Blu-ray |
| T | Magnetische Datenträger | Disketten, Magnetbänder, Magnetstreifenkarten |
| H | Festplatten mit magnetischem Datenträger | Festplatten aus PCs, Servern, Druckern |
| E | Elektronische Datenträger | SSDs, USB-Sticks, Speicherkarten, Chipkarten |
Bei elektronischen Datenträgern sind die Anforderungen besonders streng, weil auf einem winzigen Speicherchip große Datenmengen liegen. Auf Stufe E-7 darf ein Partikel höchstens einen halben Quadratmillimeter groß sein. Für SSDs und USB-Sticks reicht deshalb ein Verfahren, das für Papier genügt, bei weitem nicht.
Ist die DIN 66399 Pflicht?
Eine gesetzliche Pflicht, genau nach DIN 66399 zu vernichten, gibt es nicht. Die DSGVO schreibt aber vor, dass personenbezogene Daten durch geeignete technische und organisatorische Maßnahmen geschützt werden, auch bei ihrer Vernichtung. Sie verlangt außerdem, dass das Unternehmen die Einhaltung nachweisen kann.
Hier liegt die praktische Bedeutung der Norm. Sie liefert einen anerkannten Maßstab, auf den sich Unternehmen, Dienstleister und Prüfer gleichermaßen beziehen. Ein Vernichtungszertifikat, das Material, Menge und Sicherheitsstufe nach DIN 66399 nennt, ist ein belastbarer Nachweis. Eine Bestätigung ohne Bezug auf eine Norm lässt dagegen offen, wie gründlich vernichtet wurde. Für Branchen mit Berufsgeheimnis, etwa Kanzleien, Praxen und Banken, ist ein solcher Nachweis besonders wichtig.
Wie wir die Norm bei einer Büroauflösung anwenden
Bei einer Büroauflösung vernichten wir alle Akten und Datenträger nach der höchsten Sicherheitsstufe der DIN 66399, unabhängig davon, welche Schutzklasse der einzelne Ordner hätte. Das erspart Ihnen die Sortierung nach Klassen und schließt das Risiko aus, dass ein sensibles Dokument versehentlich in der falschen Kategorie landet.
Der Ablauf ist immer derselbe. Ihre Unterlagen und Datenträger kommen in Ihren Räumen in verschlossene Behälter. Wir holen die Behälter ab und vernichten den Inhalt direkt, physisch und ohne Lagerung dazwischen. Dritte haben keinen Zugriff. Datenträger löschen wir nicht, wir zerstören sie. Sie erhalten ein Vernichtungszertifikat mit den Angaben, die Ihr Datenschutzbeauftragter für seine Dokumentation braucht. Einzelheiten finden Sie auf unseren Seiten zur Aktenvernichtung und zur Datenträgervernichtung.
Häufige Missverständnisse zur Norm
Rund um die DIN 66399 halten sich einige Missverständnisse, die bei der Planung zu falschen Entscheidungen führen können.
- Ein Bürogerät mit Partikelschnitt ist nicht automatisch für alle Daten geeignet. Entscheidend ist die erreichte Stufe.
- Die Stufe für Papier sagt nichts über Festplatten aus. Jede Materialklasse hat eigene Anforderungen.
- Ein Zertifikat ohne Angabe von Material und Stufe ist als Nachweis wenig wert.
- Schutzklasse und Sicherheitsstufe sind verschiedene Dinge: Die Klasse beschreibt die Daten, die Stufe das Ergebnis der Vernichtung.
- Das Löschen eines Datenträgers ist keine Vernichtung im Sinne der Norm.
Wer diese Punkte im Blick behält, kann Angebote und Nachweise sicher beurteilen. Für die Frage, welche Unterlagen überhaupt noch aufbewahrt werden müssen, hilft unser Beitrag zu den Aufbewahrungsfristen.
Welche Leistungen passen zu diesem Thema?
Artikel weiterleiten
Eine Büroauflösung betrifft meist mehrere Leute: Geschäftsführung, Office-Management, IT, Vermieter. Schicken Sie diese Seite einfach weiter.
Wer ist Ihr Ansprechpartner?
Schnell Büroauflösungen Stuttgart e.K., Böblinger Straße 111, 70199 Stuttgart. Wir lösen Büros, Praxen, Firmen und ganze Bürogebäude in Stuttgart und der Region auf, mit eigenem Team von über 50 Mitarbeitern. Besichtigung und Angebot kosten Sie 0 €.
Gut zu wissen: Vor jeder Aktenvernichtung gelten die Aufbewahrungsfristen, für Buchungsbelege 8 Jahre, für Bücher und Jahresabschlüsse 10 Jahre, für Geschäftsbriefe 6 Jahre.
Sie möchten die Räumung lieber abgeben?
Ein Anruf genügt für einen Termin vor Ort. Danach bekommen Sie ein schriftliches Angebot zum Festpreis, mit allen Positionen.
Häufige Fragen
Was ist die DIN 66399?
Eine deutsche Norm für die Vernichtung von Datenträgern. Sie legt drei Schutzklassen, sieben Sicherheitsstufen und sechs Materialklassen fest. Inhaltlich gleichwertig gibt es sie inzwischen auch als internationale Norm ISO/IEC 21964.
Welche Sicherheitsstufe brauche ich für Büroakten?
Das hängt vom Inhalt ab. Personenbezogene Daten verlangen mindestens Stufe 3, viele Fachleute empfehlen Stufe 4 oder höher. Bei gemischten Beständen ist es am einfachsten, alles nach der höchsten Stufe zu vernichten, wie wir es grundsätzlich tun.
Ist die DIN 66399 gesetzlich vorgeschrieben?
Nein, sie ist eine Norm und kein Gesetz. Sie gilt aber als Stand der Technik und dient als Maßstab dafür, ob Daten nach DSGVO angemessen geschützt und vernichtet wurden.
Gilt die Sicherheitsstufe für Papier auch für Festplatten?
Nein. Die Norm unterscheidet sechs Materialklassen mit eigenen Anforderungen. Für Festplatten gilt die Klasse H, für SSDs und USB-Sticks die Klasse E. Ein Nachweis sollte für jedes Material die erreichte Stufe nennen.
Was bedeutet Schutzklasse 3?
Sehr hoher Schutzbedarf, etwa bei Gesundheitsdaten, Mandantenakten oder Daten unter Berufsgeheimnis. Für diese Klasse kommen nur die Sicherheitsstufen 4 bis 7 in Betracht.
Was steht im Vernichtungszertifikat nach DIN 66399?
Mindestens Auftraggeber, Datum, Art und Menge des Materials, Verfahren und Sicherheitsstufe. Damit kann Ihr Datenschutzbeauftragter belegen, dass die Daten nach anerkanntem Maßstab vernichtet wurden.
Alle Stuttgarter Bezirke im Überblick
Unsere Büroauflösung Stuttgart deckt alle 23 Bezirke ab. Jede Lage hat ihre Eigenheiten: Lieferzeiten in der City, Treppenhäuser im Altbau, Lastenaufzüge im Bürohochhaus, Gewerbehallen am Neckar. Auf den Bezirksseiten steht, worauf es dort ankommt.
- Mitte
- Nord
- Ost
- Süd
- West
- Bad Cannstatt
- Birkach
- Botnang
- Degerloch
- Feuerbach
- Hedelfingen
- Möhringen
- Mühlhausen
- Münster
- Obertürkheim
- Plieningen
- Sillenbuch
- Stammheim
- Untertürkheim
- Vaihingen
- Wangen
- Weilimdorf
- Zuffenhausen