Die meisten Unternehmen haben ihre DSGVO-Hausaufgaben für laufende Systeme gemacht: Zugriffskontrolle, Löschfristen, Auftragsverarbeitungsverträge. Aber die DSGVO endet nicht, wenn ein Gerät ausgemustert wird. Sobald ein Laptop, Server oder Telefon Ihre Organisation mit lesbaren Daten verlässt, haben Sie eine Datenpanne, die nur darauf wartet, entdeckt zu werden. Das verlangt eine konforme Entsorgung wirklich, und diese Unterlagen beweisen sie.
Die DSGVO endet nicht am Lagerraum
Zwei DSGVO-Grundsätze begleiten Ihre Hardware bis zum Schluss. Speicherbegrenzung (Art. 5.1.e): Personenbezogene Daten dürfen nicht länger aufbewahrt werden als nötig, auch nicht auf ausgemusterten Datenträgern im Keller. Integrität und Vertraulichkeit (Art. 5.1.f): Schutz vor unbefugtem Zugriff, auch auf ein entsorgtes oder weiterverkauftes Gerät.
Dazu kommt die Rechenschaftspflicht (Art. 5.2): Sie müssen Konformität nachweisen können. Es genügt nicht, dass Daten vernichtet wurden, Sie müssen belegen können, dass es geschah. Deshalb ist die Dokumentation genauso wichtig wie die Vernichtung selbst.
Löschung oder physische Vernichtung, was verlangt die DSGVO?
Die DSGVO ist technologieneutral: Sie verlangt geeignete Maßnahmen, keine bestimmte Methode. In der Praxis erfüllen zwei Ansätze die Anforderung. Zertifizierte Software-Löschung überschreibt den gesamten Datenträger und verifiziert das Ergebnis, das Gerät bleibt nutzbar, was Wiederverwendung und Verkauf ermöglicht. Physische Vernichtung schreddert oder zerstört den Datenträger selbst, die richtige Wahl für defekte Platten und hochsensible Daten.
Ein professioneller Partner nutzt beides: verifizierte Löschung, wo Wiederverwendung möglich ist, physische Vernichtung, wo nicht oder wo das Risikoprofil es verlangt. Entscheidend für die Konformität: Die Methode ist pro Datenträger dokumentiert, und die Löschung wird verifiziert, nicht angenommen.
Die drei Dokumente, die Ihr Auditor sehen will
Erstens: eine registrierte Eingangsliste, jedes Gerät und jeder Datenträger bei der Übergabe per Seriennummer erfasst, damit keine Lücke bleibt zwischen dem, was Ihr Gebäude verließ, und dem, was verarbeitet wurde.
Zweitens: ein Vernichtungszertifikat, mit der pro Datenträger angewendeten Methode (verifizierte Löschung oder physische Vernichtung), dem Zeitpunkt und dem Ergebnis.
Drittens: ein Abschlussbericht, der Verbleib jedes erfassten Geräts: aufbereitet und verkauft, gespendet oder recycelt. Zusammen bilden diese drei Dokumente eine geschlossene Nachweiskette von Ihrem Büro bis zum Abschlussbericht. Legen Sie sie zu Ihren DSGVO-Unterlagen (Verarbeitungsverzeichnis, Art. 30).
Die fünf häufigsten Entsorgungsfehler
Erstens: sich auf Werksresets oder Formatierung verlassen, mit kostenlosen Tools wiederherstellbar. Zweitens: alte Geräte 'vorläufig' in einem ungesicherten Raum lagern, die Daten bleiben die ganze Zeit Ihre Haftung. Drittens: Geräte ohne dokumentierte Löschung an Mitarbeiter oder Umzugsfirmen abgeben. Viertens: an einen Aufkäufer verkaufen, der keine Zertifikate pro Gerät liefert. Fünftens: alles blind vernichten, Sie verbrennen Restwert, der die Kosten hätte decken können, ohne zusätzliche Konformität zu gewinnen.
Was Nicht-Konformität wirklich kostet
DSGVO-Bußgelder können bis zu 4% des weltweiten Jahresumsatzes oder 20 Millionen Euro erreichen, und die Entsorgung von Datenträgern ist ein dokumentiertes Prüfthema in der EU. Die realistischen Kosten kommen aber meist früher: Ein verlorener oder weiterverkaufter Datenträger mit Kundendaten ist eine meldepflichtige Datenpanne, mit Forensik, Meldungen und Reputationsschaden. Verglichen damit ist professionelle Vernichtung mit vollständiger Dokumentation eine der günstigsten Versicherungen der IT.
Häufig gestellte Fragen
Reicht BitLocker oder Festplattenverschlüsselung für DSGVO-konforme Entsorgung?
Verschlüsselung ist ein starker Schutz während der Lebensdauer eines Geräts, ersetzt bei der Entsorgung aber keine dokumentierte Vernichtung: Schlüssel können leaken, Implementierungen altern, und mit 'die Platte war vermutlich verschlüsselt' weisen Sie keine Konformität nach. Verifizierte Löschung oder physische Vernichtung, pro Datenträger dokumentiert, ist der belastbare Weg.
Wer ist nach DSGVO verantwortlich, wenn wir die Entsorgung auslagern?
Sie bleiben der Verantwortliche. Auslagern verschiebt die Arbeit, nicht die Rechenschaftspflicht, genau deshalb wählen Sie einen Partner, der jede Seriennummer erfasst und Ihnen Zertifikate und einen Abschlussbericht für Ihren Auditor übergibt.
Brauchen wir ein Zertifikat für jede einzelne Festplatte?
Best Practice ist ein Vernichtungsnachweis pro Datenträger, verknüpft mit der Seriennummer. Eine einzige Erklärung 'alles wurde gelöscht' für eine ganze Charge lässt Lücken, die einem Auditor, oder Gericht, auffallen.
Wie schnell können ausgemusterte Geräte in Belgien abgeholt werden?
GreenByte holt vor Ort ab, in ganz Belgien und Frankreich, montags bis samstags von 07:00 bis 20:00, ab einer Palette bis zur kompletten Büroräumung. Fordern Sie ein kostenloses Angebot an, Antwort innerhalb eines Werktags.
Lieber direkt sprechen?