Die DIN 66399 war lange Zeit eine gültige Norm, die Vorgaben für die Vernichtung von Datenträgern machte. Dazu gehört auch die Vernichtung von Dokumenten und Akten.

Im Jahr 2023 wurde sie offiziell durch die internationale Norm ISO 21964 (auch: ISO/IEC 21964) ersetzt (Quelle: ➡ BfDI - Technische Anwendungen - Vernichten von Datenträgern).

Dennoch berufen sich verschiedene Dienstleister und Firmen bei ihren Angeboten noch immer auf die DIN 66399. Warum ist das so? Ist die DIN 66399 tatsächlich noch relevant?

Auch bmd bietet im Rahmen unseres Angebots zur Digitalisierung von Akten auf Wunsch eine Vernichtung ausgewählter oder aller Akten an, bei denen der Scanvorgang und die Indexierung abgeschlossen wurden. Wenn Sie Fragen zu unseren Leistungen haben, können Sie sich von unseren Experten aus dem Digitalisierungszentrum beraten lassen.

✆ Jetzt beraten lassen

DIN 66399 und die DSGVO

Die DIN 66399 ist eine Norm, welche die technischen Voraussetzungen für eine Vernichtung bestimmter Arten von Datenträgern beschreibt. Sie ist wichtig, damit eine Auftragsverarbeitung gemäß der Datenschutzgrundverordnung (DSGVO) erfolgen kann.

Die DSGVO beschreibt in Artikel 4, dass bereits das Löschen oder Vernichten personenbezogener Daten eine Verarbeitung geschützter Informationen darstellt. Diese Grundsätze müssen eingehalten werden, auch wenn die Verarbeitung unternehmensintern erfolgt. In Artikel 28 der DSGVO wird die Auftragsverarbeitung beschrieben. Sie wird relevant, wenn ein externer Dienstleister die Vernichtung durchführt.

Der Artikel 32 der DSGVO wird noch konkreter, was die Auftragsverarbeitung angeht. Verantwortliche müssen technische und organisatorische Maßnahmen ergreifen, um ein dem Risiko der Verarbeitung angemessenes Schutzniveau zu gewährleisten. Dazu gehören:

• Pseudonymisierung und Verschlüsselung
• Gewährleistung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit verwendeter Systeme
• Verfügbarkeit der Wiederherstellung (personenbezogener) Daten bei einem (technischen) Zwischenfall
• Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung aller Maßnahmen für die Datensicherheit (organisatorisch und technisch)

Die DIN 66399 gehört zu den Normen, die technische Voraussetzungen beschreiben, um die Vorgaben der DSGVO beispielsweise bei der Vernichtung von Akten und Dokumenten einzuhalten.

Sicherheit hat bei der Vernichtung von Altakten einen absoluten Vorrang. Werden Standards nicht eingehalten, können personenbezogene Daten oder unternehmensinterne Informationen in falsche Hände geraten. Wir raten Ihnen, bei einer Auftragsverarbeitung durch einen Dienstleister auf die Angabe der DIN 66399 oder der ISO 21964 zu achten. bmd hält die Vorgaben dieser Normen ein.

✆ Jetzt beraten lassen

Was besagt die DIN 66399?

Zunächst einmal: Die Inhalte der DIN 66399 wurden 2023 nicht einfach für ungültig erklärt. Ihre Inhalte wurden bereits im August 2018 in die neue international gültige Norm ISO 21964 übernommen. Als nationale Norm wurde die DIN 66399 wegen der "Doppelung" 2023 lediglich zurückgezogen. Das bedeutet, dass sie seitdem keine Aktualisierungen mehr erhält. Da die ISO 21964 seitdem nicht mehr überarbeitet wurde, sind heute die Inhalte der DIN 66399 prinzipiell noch gültig.

Mit Blick auf die technischen Anforderungen an die Vernichtung teilt die DIN 66399 Datenträger in drei verschiedene Schutzklassen ein:

Schutzklasse 1: Normaler Schutzbedarf
Bei der ersten Schutzklasse der DIN 66399 geht es um den Schutz einfacher interner und personenbezogener Daten. Die Schadensauswirkungen durch den Zugriff Unbefugter sind hier leicht überschaubar und haben nur begrenzt negative Folgen. Typische Beispiele sind Daten über interne Korrespondenzen oder allgemeine Geschäftsunterlagen.

Schutzklasse 2: Hoher Schutzbedarf
Die zweite Schutzklasse ist schon deutlich strenger. Hier müssen vertrauliche Daten geschützt werden, deren Offenlegung erhebliche Nachteile für die Betroffenen haben könnte. Bei personenbezogenen Daten könnte die gesellschaftliche Stellung Beteiligter belastet werden. Unternehmen könnten aus wirtschaftlicher Sicht beeinträchtigt werden. Darum fallen z. B. Personalakten oder Finanzdaten in diese Kategorie.

Schutzklasse 3: Sehr hoher Schutzbedarf
Hierbei geht es um besonders sensible Daten, deren Offenlegung schwerwiegende Folgen haben kann, die sogar existenzbedrohlich werden können. Das gilt sowohl für Daten über Personen als auch für Unternehmen. Dazu gehören etwa Informationen über Betriebsgeheimnisse. Für Personen kann die Veröffentlichung von medizinischen Unterlagen oder privaten Kontaktdaten wie Telefonnummern oder der Privatadresse schwerwiegende Folgen haben.

Für die technische Vernichtung von Datenträgern werden außerdem sieben Sicherheitsstufen zugrunde gelegt. Je nach Medium (Papier, Fotos, Festplatten, optische Datenträger etc.) gibt es verschiedene Vorgaben. Um einen groben Überblick zu geben, wie diese definiert werden, konzentrieren wir uns als Beispiel auf Papier und Ausdrucke (P-1 bis P-7):

• P-1: Allgemeine Unterlagen, Papierstreifen mit max. 12 mm Breite
• P-2: Interne Unterlagen, Papierstreifen mit max. 6 mm Breite
• P-3: Vertrauliche/personenbezogene Daten, Partikel mit max. 320 mm² Fläche
• P-4: Besonders sensible/vertrauliche Daten (z. B. Gehaltsabrechnungen), Partikel mit max. 160 mm² Fläche
• P-5: Geheime Dokumente, Partikel mit max. 30 mm² Fläche
• P-6: Außergewöhnlich hohe Sicherheitsanforderungen (Wiederherstellung wird nach aktuellem Stand der Technik ausgeschlossen), Partikel mit max. 10 mm² Fläche
• P-7: Höchste Sicherheitsanforderungen (Keine Wiederherstellung durch Technik oder Wissenschaft möglich), Partikel mit max. 5 mm² Fläche

Je nach Schutzklasse werden verschiedene Sicherheitsstufen genutzt, die sich je nach Datenträgerformat oder Inhalten überschneiden können. Für Papierdokumente der Schutzklasse 1 werden in der Regel die Stufen P-1 bis P-3 verwendet. Bei der Schutzklasse 2 kommen die Stufen P-3 bis P-5 zur Anwendung. Je nach Inhalten der Dokumente werden für die Schutzklasse 3 die Stufen P-4 bis P-7 angewandt.

Haben Sie Fragen zur Aktenvernichtung nach DIN 66399 bzw. ISO 21964? Unsere Experten aus der Digitalisierung helfen Ihnen weiter! 

✆ Jetzt beraten lassen

Gibt es Unterschiede zur ISO 21964?

Im Prinzip hat die DIN 66399 eine sehr gute "Vorarbeit" geleistet. Bei der Suche nach einem gemeinsamen internationalen Standard wurde sie vollständig in die Lösung übernommen. Schutzklassen und Sicherheitsstufen sind genauso in die ISO/IEC 21964 eingeflossen, wie sie in der DIN 66399 beschrieben wurden.

Auch die Definition der Datenträgerklassen ist die gleiche geblieben:

• Papier/Ausdrucke (P-1 bis P-7)
• Mikrofilm/Folien (F-1 bis F-7)
• Optische Datenträger (CD/DVD/Blu-ray) (O-1 bis O-7)
• Magnetische Datenträger (Disketten/Magnetkarten) (T-1 bis T-7)
• Magnetische (HD-)Festplatten (H-1 bis H-7)
• Elektronische Speicher (USB-Stick, SSD-Festplatten, Speicherkarten) (E-1 bis E-7)

Wer sich bei der Datenträgervernichtung auf die Norm ISO 21964 beruft, erfüllt zugleich die früheren Vorgaben der DIN 66399. Der Hauptunterschied liegt darin, dass die DIN 66399 bis 2023 nur in Deutschland Gültigkeit besaß, die ISO heute eine international anerkannte Referenznorm ist.

Fazit: DIN 66399 ist zurzeit noch relevant

Die DIN 66399 ist (noch) nicht überholt, sondern ist indirekt über die ISO 21964 auch heute gültig. Die Übernahme 2018 in die ISO/IEC-Norm und die Rücknahme durch DIN bedeuten lediglich, dass die DIN 66399 selbst keine Aktualisierungen mehr erhält.

Zurzeit ist das aber auch nicht nötig. Die ISO 21964 wurde zuletzt erst 2025 erneut bestätigt. Mit Blick auf die Inhalte der DIN 66399 wurden keine Veränderungen vorgenommen. Es ist auch aktuell nicht zu erwarten, dass sich in naher Zukunft an der Einteilung der Schutzklassen, Sicherheitsstufen und Datenträger etwas ändern wird. Bereits die Schutzklasse 3 in Kombination mit Sicherheitsstufe 7 stellt an die Datenvernichtung so hohe Anforderungen, dass eine Wiederherstellung von Informationen mit heute verfügbaren Technologien nicht möglich ist.

Wie welche Datenträger, egal ob nach DIN 66399 oder ISO 21964, vernichtet werden, sollte aber im Einzelfall geprüft werden. Es macht zum Beispiel keinen Sinn, allgemeine Unterlagen nach der Schutzklasse 3 und der Sicherheitsstufe P-7 zu entsorgen. Genauso sollten z. B. Personalakten nicht nach Schutzklasse 1 mit Sicherheitsstufe P-1 vernichtet werden. Je höher das Sicherheitsrisiko ist, desto technisch aufwändiger (und damit auch teurer) wird der Vorgang.

Haben Sie Fragen zur Vernichtung Ihrer Aktenbestände nach der Digitalisierung? bmd arbeitet mit ISO 21964 (DIN 66399) und findet die passende Lösung für Ihre Ansprüche!

✆ Jetzt beraten lassen