Datenträger entsorgen nach DSGVO: Was im Audit wirklich zählt

Ein ausgemusterter Laptop ist für die Buchhaltung ein abgeschriebenes Wirtschaftsgut. Für die Datenschutzbeauftragte ist er ein Aktenschrank voller personenbezogener Daten. Wer Datenträger entsorgen will, muss beide Sichtweisen zusammenbringen. Dieser Beitrag zeigt, welche Pflichten die DSGVO dabei auslöst, wie ein Löschkonzept hilft und welche Nachweise im Audit wirklich zählen.

Warum Datenträger-Entsorgung ein Datenschutzthema ist

Notebooks, PCs, Server, Smartphones, Drucker mit eingebauter Festplatte, USB-Sticks: All diese Geräte speichern Daten, oft auch dann noch, wenn sie scheinbar leer sind. Gelangt ein solcher Datenträger in fremde Hände, liegt schnell eine Datenschutzverletzung vor. Dann drohen Meldepflichten, Bußgelder und Vertrauensverlust bei Kunden.

Die DSGVO sieht für Verstöße gegen ihre Grundsätze Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor. Noch teurer ist oft der Imageschaden, wenn Kundendaten auf einer gebraucht verkauften Festplatte auftauchen.

Welche DSGVO-Pflichten greifen?

Vorschrift	Was sie verlangt	Was das für Altgeräte heißt
Art. 5 Abs. 1 lit. e DSGVO (Speicherbegrenzung)	Daten nur so lange speichern wie nötig	Ausgemusterte Geräte dürfen keine Daten „mitnehmen“.
Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht)	Einhaltung muss nachweisbar sein	Sie brauchen Belege für jede Löschung bzw. Vernichtung.
Art. 17 DSGVO (Recht auf Löschung)	Daten müssen auf Verlangen bzw. nach Zweckwegfall gelöscht werden	Gelöscht heißt: nicht wiederherstellbar.
Art. 28 DSGVO (Auftragsverarbeitung)	Vertrag mit Dienstleistern, die Daten verarbeiten	Wer Ihre Datenträger löscht oder vernichtet, verarbeitet Ihre Daten.
Art. 32 DSGVO (Sicherheit der Verarbeitung)	Geeignete technische und organisatorische Maßnahmen	Sicherer Transport, Zutrittskontrolle, geprüfte Verfahren.

Hinweis: Dieser Überblick ersetzt keine Rechtsberatung. Stimmen Sie Ihr Vorgehen mit Ihrer Datenschutzbeauftragten oder Ihrem Datenschutzbeauftragten ab.

Das Löschkonzept: Ordnung statt Einzelfallentscheidung

Viele Unternehmen entscheiden bei jedem Hardware-Tausch neu, was mit den Altgeräten passiert. Das kostet Zeit und führt zu Lücken. Ein Löschkonzept schafft eine feste Regel. Als Orientierung dient häufig die DIN 66398, die Leitlinie zur Entwicklung eines Löschkonzepts, sowie der Baustein CON.6 „Löschen und Vernichten“ aus dem IT-Grundschutz des BSI.

Ein praxistaugliches Löschkonzept für Hardware beantwortet mindestens diese Fragen:

• Welche Datenträger gibt es? Festplatten, SSDs, Smartphones, Speicherkarten, Bänder, Druckerspeicher.
• Welcher Schutzbedarf gilt? Normal, hoch oder sehr hoch – angelehnt an die Schutzklassen der DIN 66399.
• Welches Verfahren? Zertifiziert löschen, physisch vernichten oder beides.
• Wer ist verantwortlich? Wer gibt Geräte frei, wer sammelt, wer prüft die Nachweise?
• Wie wird dokumentiert? Welche Nachweise werden wie lange aufbewahrt?
• Was passiert bei Ausnahmen? Zum Beispiel bei defekten Datenträgern oder Geräten aus Leasingverträgen.

Merksatz: Die DSGVO fragt nicht, ob Sie gelöscht haben. Sie fragt, ob Sie es beweisen können.

Die vier Schwachstellen in der Praxis

1. Die Sammelecke

Altgeräte landen im Keller, im Serverraum oder in einer Abstellkammer – oft monatelang. Wer hat dort Zugang? Wer weiß, wie viele Geräte dort stehen? Eine Liste mit Seriennummern ist der erste Schritt zur Kontrolle.

2. Der Transport

Zwischen Ihrem Gebäude und der Löschung liegt die gefährlichste Strecke. Unverschlossene Kartons, Zwischenlager bei Speditionen oder Umladungen erhöhen das Risiko. Sicherer sind Direktfahrten mit verplombter Ladung und Ortung.

3. Die vergessenen Datenträger

Der USB-Stick in der Docking-Station, die zweite Festplatte im Server, die Speicherkarte in der Kameratasche, die Festplatte im Multifunktionsdrucker. Solche Medien fallen bei einer reinen Gerätezählung durch.

4. Der fehlende Nachweis

Eine Rechnung über „Entsorgung 1 Gitterbox IT“ ist kein Löschnachweis. Im Audit brauchen Sie für jeden Datenträger einen Beleg, was mit ihm passiert ist.

Die Checkliste für eine DSGVO-konforme Entsorgung

Entsorgen heißt nicht automatisch verschrotten

Viele Unternehmen setzen „DSGVO-konform entsorgen“ mit „alles schreddern“ gleich. Das ist sicher, aber teuer und wenig nachhaltig. Funktionsfähige Geräte, die zertifiziert gelöscht wurden, enthalten keine Daten mehr. Sie können aufbereitet und weiterverkauft werden. Der Erlös fließt an Ihr Unternehmen zurück.

Ein sinnvoller Ablauf trennt deshalb:

• Geräte mit Marktwert: zertifiziert löschen, aufbereiten, wiedervermarkten.
• Defekte Datenträger: nach DIN 66399 vernichten, mit Zertifikat.
• Geräte ohne Marktwert: nach dem Kreislaufwirtschaftsgesetz fachgerecht entsorgen, mit Entsorgungsnachweis.

Wie Second IT Ihre Nachweispflicht erfüllt

Seit 2011 verarbeitet Second IT in Schwäbisch Hall ausgemusterte IT – inzwischen rund 1,8 Millionen Geräte. Für Datenschutzbeauftragte sind vor allem diese Punkte wichtig:

• Eigene Sicherheitslogistik: Direktfahrten ohne Zwischenlager, GPS-Überwachung, manipulationssichere Verplombung, versicherter Transport. Für kleinere Mengen gibt es verplombte PELI Cases und Rollwagen.
• Erfassung per Seriennummer: Jedes Gerät und jeder Datenträger wird registriert. Den Status können Sie im Kundenportal verfolgen.
• Zertifizierte Löschung: Mit Blancco, inklusive versteckter Bereiche, und mit digital signiertem Löschzertifikat je Gerät.
• Vernichtung im eigenen Haus: Nach DIN 66399, Sicherheitsstufe H-5, videoüberwacht und mit Vernichtungszertifikat.
• Geschütztes Gelände: Zutrittskontrolle mit biometrischen Systemen, Videoüberwachung, auf das Datengeheimnis verpflichtete Mitarbeiter.
• Anonymisierung: Inventaraufkleber und andere Kennzeichen, die auf Ihr Unternehmen hinweisen, werden entfernt.
• Zertifizierte Managementsysteme: ISO 9001, ISO 14001, ISO 45001 und ISO/IEC 27001 sowie Entsorgungsfachbetrieb nach § 56 KrWG.

Mehr dazu auf den Seiten Datensicherheit, Entsorgung und Zertifikate. Wie Sie gebrauchte Notebooks datenschutzgerecht verkaufen, lesen Sie in unserem Beitrag Gebrauchte Laptops und Smartphones verkaufen.

Sonderfall: Drucker, Kopierer und Netzwerkgeräte

Bei der Datenträger-Entsorgung denken die meisten an Notebooks und Server. Doch auch andere Geräte speichern Daten:

• Multifunktionsdrucker und Kopierer haben oft eine eingebaute Festplatte oder einen Flash-Speicher, auf dem gescannte und gedruckte Dokumente zwischengespeichert werden.
• Router, Switches und Firewalls enthalten Konfigurationen, Zugangsdaten und Protokolle.
• Thin Clients und Kassensysteme haben kleine interne Speicher, die bei der Inventur gern übersehen werden.
• Kameras, Diktiergeräte und Speicherkarten landen häufig in Schubladen statt im Entsorgungsprozess.

Nehmen Sie diese Geräteklassen ausdrücklich in Ihr Löschkonzept auf. Bei geleasten Druckern lohnt ein Blick in den Vertrag: Wer ist für die Löschung der internen Speicher zuständig, und welcher Nachweis wird geliefert?

Häufige Fragen zur Datenträger-Entsorgung

Wie entsorge ich Datenträger DSGVO-konform?

Sie stellen sicher, dass die Daten nicht wiederherstellbar sind, und dokumentieren das für jeden Datenträger. Funktionierende Datenträger werden mit zertifizierter Software gelöscht, defekte nach DIN 66399 vernichtet. Wenn ein Dienstleister das übernimmt, schließen Sie einen Vertrag zur Auftragsverarbeitung. Bewahren Sie Lösch- und Vernichtungszertifikate mit Seriennummern auf.

Brauche ich für die Datenträgervernichtung einen AV-Vertrag?

In aller Regel ja. Ein Dienstleister, der Ihre Datenträger löscht oder vernichtet, hat Zugriff auf personenbezogene Daten und verarbeitet sie in Ihrem Auftrag. Deshalb ist ein Vertrag nach Art. 28 DSGVO üblich. Er regelt unter anderem die technischen und organisatorischen Maßnahmen und den Umgang mit Subunternehmern. Klären Sie Einzelheiten mit Ihrer Datenschutzbeauftragten.

Was gehört in ein Löschkonzept für Hardware?

Ein Löschkonzept beschreibt, welche Datenträger es gibt, welchen Schutzbedarf die Daten haben und welches Verfahren angewendet wird. Es legt Zuständigkeiten fest und regelt die Dokumentation. Auch Sonderfälle wie defekte Geräte oder Leasingrückgaben sollten enthalten sein. Als Orientierung dienen die DIN 66398 und der BSI-Baustein CON.6.

Wie lange sollte ich Lösch- und Vernichtungsnachweise aufbewahren?

Eine einheitliche gesetzliche Frist speziell für Löschnachweise gibt es nicht. Viele Unternehmen orientieren sich an ihren allgemeinen Aufbewahrungsfristen und an den Anforderungen ihrer Audits. Wichtig ist, dass Sie die Nachweise bei einer Prüfung schnell und vollständig vorlegen können. Legen Sie die Frist in Ihrem Löschkonzept fest.

Darf ich alte Firmenlaptops einfach zum Wertstoffhof bringen?

Davon ist abzuraten. Auf dem Weg zum Recycling bleiben die Daten auf den Geräten erhalten, und Sie haben keinen Nachweis über ihre Löschung. Gewerbliche Altgeräte unterliegen zudem eigenen Rücknahme- und Entsorgungsregeln. Sicherer ist der Weg über einen zertifizierten Dienstleister, der löscht, verwertet und dokumentiert.