§ 10 SchulDSVO schreibt vor, dass personenbezogene Schülerdaten zu bestimmten Fristen zu vernichten sind. Die Vernichtung papierener Unterlagen hat dabei so zu erfolgen, dass Unbefugte keine Kenntnis von diesen Daten erlangen können. Eine Entsorgung über Altpapiercontainer ist nicht zulässig. Vor einer Vernichtung sind allerdings alle Unterlagen dem zuständigen Archiv zur Übernahme anzubieten (§ 10 SchulDSVO).

Für eine datenschutzgerechte Vernichtung dieser Unterlagen gibt es folgende Möglichkeiten:

1. Beauftragung eines nach DIN 66399 zertifizierten Betriebes, der sich auf die Vernichtung solcher Unterlagen spezialisiert hat. Diese Firmen stellen sicher, dass die Unterlagen vor ihrer Vernichtung (Verbrennung, Zerkleinerung u. ä.) nicht durch eigene Mitarbeiter oder andere unbefugte Dritte zur Kenntnis genommen werden können. Hierbei handelt es sich datenschutzrechtlich um Auftragsverarbeitung. Hierfür sind die Vorgaben des Art. 28 DSGVO zu beachten. Die Auftragsverarbeitung verlangt eine sorgfältige Auswahl des Auftragnehmers sowie die schriftliche Festlegung der Art und Weise der Aktenvernichtung und deren Kontrolle.
2. Vernichtung der Unterlagen durch eigene Mitarbeiterinnen oder Mitarbeiter der Schule oder des Schulträgers mittels vorhandener Papierschredder. In diesem Falle muss sichergestellt sein, dass bis zur endgültigen Vernichtung zwischengelagerte Unterlagen nicht für Unbefugte zugänglich sind und die Schredder die erforderliche Schutzklasse und Sicherheitsstufe nach DIN 66399 erfüllen. Empfehlung: Schutzklasse 2, Sicherheitsstufe 4-5.
3. Vernichtung über vom Schulträger bereitgestellte Sammelcontainer ("Silberlinge").

In jedem Falle ist die Zuständigkeit für die Aktenvernichtung innerhalb der Schule durch die Schulleitung schriftlich zu regeln (wer sortiert die zu vernichtenden Unterlagen aus, wer erteilt den Auftrag zur Vernichtung, wer kontrolliert die ordnungsgemäße Durchführung).