Welche Normen gelten bezüglich der Datenträgervernichtung?

Nationale und internationale technische Normen haben den Zweck, einheitliche Standards für Anwender und Hersteller zu schaffen. Zur Vernichtung von Datenträgern wurden insbesondere vom Deutschen Institut für Normung e. V. (DIN) sowie von der International Organization for Standardization (ISO) Standards erarbeitet, die im Folgenden kurz erläutert werden.

Die nationale Norm DIN 66399 „Büro- und Datentechnik – Vernichtung von Datenträgern“, Teil 1, 2 und 3 (DIN 66399-1, DIN 66399-2 und DIN SPEC 66399-3) wurde 2023 ersatzlos zurückgezogen; sie wird nicht mehr aktualisiert. Allerdings hat das zuständige Gremium der ISO diese Norm 2018 weitgehend unverändert in die internationale Norm ISO/IEC 21964 „Informationstechnologie – Vernichtung von Datenträgern“, Teil 1, 2 und 3 (ISO/IEC 21964-1, ISO/IEC 21964-2 und ISO/IEC 21964-3) übernommen.

Somit kann derzeit zum einen die internationale Norm ISO/IEC 21964 „Informations-technologie – Vernichtung von Datenträgern“ als gültige Referenz im Zusammenhang mit der Vernichtung von Datenträgern herangezogen werden. Diese Norm gliedert sich (wie bereits die DIN 66399) in drei Teile:

• ISO/IEC 21964-1:2018 „Informationstechnologie – Vernichtung von Datenträgern“ – Teil 1: Prinzipien und Definitionen,
• ISO/IEC 21964-2:2018 „Informationstechnologie – Vernichtung von Datenträgern“ – Teil 2: Anforderungen an Geräte zur Zerstörung von Datenträgern,
• ISO/IEC 21964-3:2018 „Informationstechnologie – Vernichtung von Datenträgern“ – Teil 3: Prozess der Datenträgervernichtung.

Diese drei Teile normieren alle für die Vernichtung und Entsorgung von Datenträgern relevanten Faktoren:

• Schutzklassen und Sicherheitsstufen,
• Datenträgerarten,
• Einflussgrößen für die Rekonstruktion von Informationen,
• technisch-organisatorische Sicherheitsmaßnahmen.

Die ISO/IEC 21964 empfiehlt jeder verantwortlichen Stelle, zunächst die verarbeiteten personenbezogenen Daten und die sie speichernden Datenträger hinsichtlich des Schutzbedarfs zu klassifizieren, und definiert hierfür drei Schutzklassen.

Zum anderen stand bereits zur Zeit der DIN 66399 eine europaweit erarbeitete Norm zur Verfügung, die mittlerweile als DIN EN 15713:2024-07 „Sichere Vernichtung von vertraulichen Unterlagen – Verfahrensregeln“ auch in Deutschland Gültigkeit beansprucht.

Die europäische Norm DIN EN 15713:2024-07 legt ebenso wie die DIN 66399 bzw. die ISO/IEC 21964 spezifische Partikelgrößen fest, allerdings ohne die verschiedenen Sicherheitsstufen zu definieren, und konzentriert sich zudem auf die Verfahrensregeln sowie den Prozess der sicheren Vernichtung und Entsorgung von Datenträgern. Sie umfasst außerdem Empfehlungen für das Sicherheitsmanagement, die Personalüberprüfung, die Räumlichkeiten, die Sammlung und den Transport von Material sowie die tatsächliche Zerstörung.

Die europäische Norm DIN EN 15713:2024-07 ist eine gute Ergänzung zur international gültigen ISO/IEC 21964.

Beide Normen, die parallel bestehen, sind zwar keine Rechtsvorschriften, allerdings anerkannte technisch-organisatorische Regelwerke, welche die Anforderungen der Art. 24 Abs. 1 , Art. 25 Abs. 1 und Art. 32 Abs. 1 DSGVO näher ausprägen. Ist ihre Beachtung dokumentiert, kann dadurch der Nachweis einer dem Stand der Technik entsprechenden Vernichtung und Entsorgung von Datenträgern geführt werden.

Aus Sicht des Datenschutzes ist die ISO/IEC 21964 (Teil 1 bis 3) als Leitfaden die geeignetere Norm. Diese Norm weist einen höheren Detaillierungsgrad auf, weshalb sie auch bei den Anbietern einschlägiger Dienstleistungen größere Verbreitung gefunden hat.

Fundstelle

Arbeitspapier „Vernichtung und Entsorgung von Datenträgern“ des Bayerischen Landesbeauftragten für den Datenschutz – abrufbar im Internet unter https://www.datenschutz-bayern.de/infothek/AP_Datentraegervernichtung.pdf