IT-Altgeräte sicher entsorgen – inklusive Datenschutz & Recycling-Checkliste für Unternehmen

In nahezu jedem Unternehmen stapeln sich ausrangierte Laptops, alte Server oder veraltete Drucker. Doch wohin mit diesen Geräten, wenn sie nicht mehr benötigt werden? Eine unsachgemäße Entsorgung birgt nicht nur ökologische, sondern auch erhebliche rechtliche und sicherheitsrelevante Risiken. Sensible Daten können selbst auf vermeintlich gelöschten Geräten wiederhergestellt werden – mit fatalen Folgen für Datenschutz und Unternehmensreputation. Gleichzeitig verlangt das Elektro- und Elektronikgerätegesetz (ElektroG), über die Stiftung EAR, eine regelkonforme Entsorgung und Nachweisführung.

Warum das Löschen allein nicht reicht: Die größten Datenschutzrisiken beim Geräteaustausch

Viele Unternehmen gehen davon aus, dass das einfache Löschen von Dateien oder das Zurücksetzen auf Werkseinstellungen ausreicht, um Daten sicher von IT-Altgeräten zu entfernen. Diese Annahme ist jedoch trügerisch. In der Realität lassen sich Informationen mit gängigen Wiederherstellungsprogrammen oft problemlos rekonstruieren – selbst nach einem vollständigen Reset. Insbesondere Festplatten, SSDs, USB-Sticks und multifunktionale Bürodrucker speichern Daten oft über mehrere Ebenen hinweg. Auch Metadaten, temporäre Dateien oder inaktive Partitionen enthalten sensible Informationen, die ein erhebliches Datenschutzrisiko darstellen.

Das größte Problem entsteht, wenn Geräte ohne professionelle Datenlöschung weiterverkauft, gespendet oder entsorgt werden. Angreifer benötigen keine besonderen Vorkenntnisse, um unverschlüsselte Kundendaten, interne Verträge oder Mitarbeiterinformationen wieder sichtbar zu machen. Dies kann nicht nur zu Imageschäden führen, sondern auch empfindliche Bußgelder nach sich ziehen – insbesondere unter Berücksichtigung der DSGVO.

Unternehmen sind deshalb verpflichtet, bereits vor dem physischen Abtransport eines Geräts sicherzustellen, dass keine wiederherstellbaren Datenreste vorhanden sind. Eine sichere Datenvernichtung kann durch mehrfaches Überschreiben, den Einsatz spezieller Löschsoftware oder physische Zerstörung erfolgen. Wichtig: Die gewählte Methode muss dokumentiert und nachvollziehbar sein. Besonders bei Geräten mit personenbezogenen Daten ist ein zertifizierter Nachweis unerlässlich. Denn: Nur die technische Unbrauchbarmachung der gespeicherten Informationen bietet echten Datenschutz.

Rechtslage im Überblick: Was das ElektroG und die DSGVO zur IT-Entsorgung vorschreiben

Die rechtlichen Anforderungen an die Entsorgung von IT-Altgeräten sind komplex und greifen aus verschiedenen Richtungen – vor allem aus dem Elektro- und Elektronikgerätegesetz (ElektroG) sowie der Datenschutz-Grundverordnung (DSGVO). Beide Regelwerke betreffen Unternehmen unmittelbar und verpflichten sie zu einem sorgfältigen und nachvollziehbaren Umgang mit ausgedienten IT-Geräten.

Das ElektroG verlangt von Unternehmen, die Elektrogeräte in Verkehr bringen, eine Registrierung bei der Stiftung EAR. Dies gilt nicht nur für Hersteller, sondern auch für Importeure und Händler. Auch Firmen, die Geräte in eigenen Marken produzieren oder von Drittanbietern beziehen, sind registrierungspflichtig. Die Stiftung EAR übernimmt dabei die Marktüberwachung und stellt sicher, dass Altgeräte umweltgerecht entsorgt und die Rücknahmeverpflichtungen erfüllt werden. Nicht registrierte Unternehmen verstoßen gegen geltendes Recht – mit potenziell hohen Bußgeldern und Vertriebsverboten.

Parallel dazu verpflichtet die DSGVO Unternehmen, personenbezogene Daten auf IT-Systemen so zu verarbeiten, dass unbefugte Dritte keinen Zugriff erhalten – auch nach Außerbetriebnahme. Dies bedeutet, dass nicht nur der Betrieb, sondern auch die Entsorgung datenschutzkonform gestaltet sein muss. Die Verantwortung für eine sichere Datenlöschung verbleibt beim Unternehmen – unabhängig davon, ob die Geräte verkauft, gespendet oder recycelt werden.

Von zertifizierten Entsorgern bis Datenvernichtung: So gestalten Sie den Entsorgungsprozess rechtssicher

Ein rechtssicherer Entsorgungsprozess beginnt nicht erst bei der Abholung alter Geräte, sondern bereits bei der Planung ihrer Ausmusterung. Unternehmen sollten klare interne Abläufe definieren, um sicherzustellen, dass kein Gerät ohne vorherige Datenlöschung oder Bewertung das Haus verlässt. Der erste Schritt ist dabei die Bestandsaufnahme: Welche Geräte sind betroffen, welche enthalten besonders sensible Daten und wie ist deren Zustand?

Nach der Bewertung erfolgt die Auswahl eines geeigneten Entsorgungspartners. Hierbei sollten Sie ausschließlich mit zertifizierten Entsorgungsfachbetrieben arbeiten, die nach § 56 KrWG (Kreislaufwirtschaftsgesetz) anerkannt sind. Diese Fachbetriebe bieten nicht nur sichere Transport- und Entsorgungswege, sondern übernehmen auch die datenschutzkonforme Vernichtung. Achten Sie darauf, dass Ihnen Löschprotokolle oder Vernichtungszertifikate ausgestellt werden – diese dienen als Nachweis im Rahmen der DSGVO und bei möglichen Prüfungen.

Für besonders kritische Daten empfiehlt sich die physische Zerstörung der Datenträger, z. B. durch Schreddern oder Entmagnetisieren. Alternativ bieten spezialisierte Anbieter die Datenlöschung mittels Software nach anerkannten Standards wie BSI, DoD oder NIST an.

Ein interner Verantwortlicher – idealerweise aus der IT- oder Datenschutzabteilung – sollte den gesamten Ablauf koordinieren und dokumentieren. Dazu gehört auch die Kommunikation mit dem Dienstleister, die Erstellung eines Übergabeprotokolls und die Archivierung der Vernichtungsnachweise.

So stellen Sie sicher, dass die Entsorgung nicht nur umweltfreundlich, sondern auch rechtlich unangreifbar erfolgt – und gleichzeitig Ihre Unternehmensdaten geschützt bleiben.

Download: Die praktische Checkliste zur sicheren und nachhaltigen IT-Altgeräteentsorgung im Unternehmen

Damit Sie in Ihrem Unternehmen keine Schritte übersehen, haben wir eine umfassende Checkliste zur sicheren Entsorgung von IT-Altgeräten zusammengestellt. Diese dient als praxisorientierte Handlungsanleitung – von der ersten Erfassung bis zum endgültigen Nachweis.

Die Checkliste umfasst folgende Punkte:

1. Geräteerfassung:

• Welche Geräte sollen entsorgt werden?
• Liegen vertrauliche Daten vor?

2. Datenträgeranalyse und -sicherung:

• Backup notwendig?
• Wer ist verantwortlich für die Löschung?

3. Datenvernichtung:

• Welche Methode (Software, physisch)?
• Gibt es ein Löschprotokoll oder Zertifikat?

4. Auswahl des Entsorgers:

• Ist der Anbieter zertifiziert?
• Sind DSGVO-Anforderungen abgedeckt?

5. Dokumentation:

• Wurden alle Schritte protokolliert?
• Wo und wie werden Nachweise archiviert?

6. EAR-relevante Prüfung:

• Ist das Gerät registrierungspflichtig?

Besteht eine Rücknahmeverpflichtung laut ElektroG?

Mit dieser Checkliste stellen Sie sicher, dass alle rechtlichen, ökologischen und sicherheitsrelevanten Aspekte berücksichtigt werden – egal, ob es sich um Einzelgeräte oder eine komplette Büroflotte handelt. Der strukturierte Ablauf spart nicht nur Zeit, sondern beugt auch Bußgeldern und Reputationsschäden vor. Laden Sie die Checkliste herunter, passen Sie sie an Ihre Unternehmensprozesse an und setzen Sie auf dokumentierte Sicherheit bei jeder Entsorgung.