Was sich bei der Datenlöschung Im Unternehmen durch die DIN-66399-Ablösung ändert

30. April 2026 / Veröffentlicht in

Banner with multiple monitor dashboards announcing: 'Neue Norm für Datenschutz: ISO/IEC 21964' (data protection standard)

Starten wir gleich mit den entscheidenden Fragen: Sind Ihre Daten im Unternehmen systematisch klassifiziert und nach Schutzbedarf geclustert?

Und vor allem: Löschen Sie datenschutzkonform und können Sie das nachweisen?

Wenn nicht, sollten Sie schleunigst damit beginnen. Jetzt ist ein guter Zeitpunkt, denn die Norm DIN 66399 wurde abgelöst und durch die internationalen Standards ISO/IEC 21964 weiterentwickelt.

Was das konkret für Ihr Unternehmen bedeutet

Die DIN 66399 war der maßgebliche Standard für die sichere Vernichtung von Datenträgern. Sie umfasste und definierte Schutzklassen, Materialarten und Sicherheitsstufen für unterschiedliche Medien, von der vorgeschriebenen Papierbreite bis hin zu Festplatten.

Die DIN 66399 wurde zurückgezogen und in die internationale Normenreihe ISO/IEC 21964 überführt. Doch, keine Panik: Es handelt sich lediglich um eine Weiterentwicklung und Internationalisierung bestehender Standards.

Die Logik bleibt (Schutzklassen, Sicherheitsstufen, Materialtypen)
Die Norm wird klarer strukturiert, international vereinheitlicht und prozessorientierter gedacht
Die neuen Normen unterscheiden stärker zwischen:
- Datenlöschung (z. B. personenbezogene Daten in IT-Systemen)
  → geregelt über Standards wie DIN EN ISO/IEC 27555
- Physischer Vernichtung von Datenträgern
  → geregelt über ISO/IEC 21964

Das bedeutet für Unternehmen: Löschen ist nicht gleich Vernichten.
Beides muss getrennt betrachtet, geregelt und nachgewiesen werden.

Datenschutzklassen: Der Schlüssel zur richtigen Löschstrategie

In der alten, wie in der neuen Normwelt sind die Schutz- bzw. Datenschutzklassen ein wichtiges Element. Sie definieren, wie sensibel Daten sind und wie sie behandelt werden müssen:

Schutzklasse 1: Interne Daten mit überschaubarem Risiko
Schutzklasse 2: Vertrauliche Daten mit rechtlichen oder wirtschaftlichen Auswirkungen
Schutzklasse 3: Hochsensible oder geheime Daten mit potenziell schwerwiegenden Folgen

Gerade bei hohem Schutzbedarf steigen die Anforderungen:

feinere Zerstörungsgrade
strengere Prozesse
höhere Anforderungen an Nachweisbarkeit

Was sich in der Praxis ändert

Unterschätzen Sie nicht die Auswirkungen der Normumstellung. Entscheidend ist die Umsetzung im Alltag. Mit ISO/IEC 21964 wird vor allem stärker betont, dass Datenvernichtung ein durchgängiger Prozess ist.

Das betrifft u. a.:

klare Verantwortlichkeiten
definierte Prozessketten
dokumentierte Nachweise
Einbindung externer Dienstleister

Die entscheidende Fragenstellungen für Ihr Unternehmen

Die Normen sind klar. Aber wie sieht es bei Ihnen aus? Das führt uns zurück zu den zentralen Fragen am Textanfang.

Denn in vielen Unternehmen zeigt sich:

Daten sind vorhanden, aber nicht strukturiert
Löschregeln existieren, aber nicht konsequent umgesetzt
Prozesse sind definiert, aber nicht auditierbar dokumentiert

Unser Ansatz: Von der Norm zur umsetzbaren Praxis

Die SONNTAG IT Solutions unterstützt Unternehmen dabei, die neuen Anforderungen pragmatisch und strukturiert umzusetzen: Ob es um die Entwicklung von Lösch- und Vernichtungskonzepten, die Einführung klarer Datenklassifizierungen, den Aufbau von Governance- und Prozessstrukturen oder die Integration in bestehende IT- und Compliance-Systeme geht.

Ein zentraler Baustein ist dabei die Einbettung in ein Informationssicherheitsmanagementsystem (ISMS) – etwa nach ISO 27001. So werden Löschprozesse nicht isoliert betrachtet, sondern als Teil eines ganzheitlichen Sicherheits- und Risikomanagements gesteuert und dokumentiert.
Das schafft die Grundlage für nachvollziehbare Prozesse, klare Verantwortlichkeiten und nachhaltige Auditfähigkeit.