Der Einsatz von Aktenvernichtern ist ein grundlegender Bestandteil des Datenschutzes in sozialwirtschaftlichen Einrichtungen, da hier regelmäßig mit sensiblen, häufig besonders schützenswerten personenbezogenen Daten gearbeitet wird. Sobald diese Daten nicht mehr benötigt werden, müssen sie gemäß Art. 5 Abs. 1 lit. e DSGVO gelöscht bzw. vernichtet werden. Dabei reicht es nicht aus, Papierunterlagen einfach in den Müll zu werfen oder grob zu zerreißen. Vielmehr ist eine datenschutzkonforme physische Vernichtung erforderlich, bei der sichergestellt ist, dass die betroffenen Informationen nicht mehr rekonstruiert oder lesbar gemacht werden können. Aktenvernichter kommen hierbei als technische Maßnahme zum Einsatz, um dieser datenschutzrechtlichen Pflicht nachzukommen.

In der Praxis müssen Einrichtungen darauf achten, dass der verwendete Aktenvernichter einer angemessenen Sicherheitsstufe entspricht. Maßgeblich ist dabei die DIN 66399, die sieben Schutzklassen und Sicherheitsstufen definiert. Für personenbezogene Daten in der Sozialwirtschaft ist mindestens die Sicherheitsstufe P-4 erforderlich. Diese garantiert, dass Dokumente so zerkleinert werden, dass eine Rekonstruktion nur mit unverhältnismäßigem Aufwand möglich ist. Bei besonders sensiblen Informationen, etwa psychologischen Gutachten, medizinischen Befunden oder Kinderschutzunterlagen, kann auch die Sicherheitsstufe P-5 oder höher notwendig sein. Die Wahl des Aktenvernichters darf also nicht rein wirtschaftlichen Erwägungen folgen, sondern muss sich an der Sensibilität der zu vernichtenden Daten orientieren. Verantwortliche müssen zudem dafür sorgen, dass die Geräte regelmäßig gewartet, ausschließlich von befugtem Personal bedient und ordnungsgemäß aufgestellt werden, sodass Unbefugte keinen Zugriff auf wartende oder zerkleinerte Dokumente erhalten.

Besondere Vorsicht ist beim temporären Lagern zu vernichtender Unterlagen geboten. Es ist nicht zulässig, diese offen auf Schreibtischen, in Pappkartons oder ungesicherten Abfallbehältern zwischenzulagern. Vielmehr müssen geeignete, verschließbare Behälter verwendet werden, wenn eine unmittelbare Vernichtung nicht möglich ist. Ebenso unzulässig ist es, personenbezogene Unterlagen über externe Dienstleister entsorgen zu lassen, ohne dass ein schriftlicher Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO vorliegt. In diesen Fällen muss auch sichergestellt sein, dass die Entsorgung nachweislich datenschutzkonform erfolgt. Dies betrifft sowohl die Zertifizierung des Entsorgers als auch die Protokollierung der Übergabe und der tatsächlichen Vernichtung.

Immer wieder kommt es in Einrichtungen – aber auch bei öffentlichen Trägern – zu erheblichen Verstößen gegen diese Grundsätze. So werden etwa Altakten in öffentlich zugänglichen Fluren gesammelt, Patientenunterlagen im Papiercontainer entsorgt oder vertrauliche Informationen schlicht in den Papierkorb geworfen. Solche Handlungen stellen eindeutige Datenschutzverletzungen dar und können eine Meldepflicht an die Aufsichtsbehörde sowie eine Information der Betroffenen auslösen. Die Verantwortung hierfür liegt immer bei der Leitung der Einrichtung bzw. beim datenschutzrechtlich Verantwortlichen. Es ist daher zwingend notwendig, feste Verfahrensregelungen für die Vernichtung analoger Daten zu etablieren, regelmäßige Kontrollen durchzuführen und Mitarbeitende durch Schulungen für den richtigen Umgang mit Aktenvernichtern zu sensibilisieren.

Die IJOS Datenschutzmanagement-Software (DSM) unterstützt Einrichtungen dabei, den Einsatz von Aktenvernichtern systematisch in das Datenschutzkonzept zu integrieren. Mit Hilfe der Software können Geräteeinsatz, Sicherheitsstufen, Verantwortlichkeiten und Prozesse dokumentiert, Schulungen geplant und Vorfälle zentral erfasst werden. Auch bei der Prüfung, ob eine Datenschutz-Folgenabschätzung erforderlich ist – etwa bei der Verarbeitung besonders sensibler Informationen in hoher Zahl – bietet das integrierte Modul der DSM wertvolle Hilfestellung. Einrichtungen, die eine strukturierte, nachvollziehbare und sichere Datenvernichtung umsetzen wollen, sollten sowohl auf die richtige technische Ausstattung als auch auf klare organisatorische Vorgaben setzen. Nur so kann verhindert werden, dass physische Datenverarbeitung zur Schwachstelle im Datenschutz wird.