Verantwortung endet nicht an der Laderampe

Wer Geräte abgibt, gibt die Daten nicht ab. Die Verantwortung bleibt beim Unternehmen — bis die Löschung nachgewiesen ist.

Es ist ein verbreitetes Missverständnis: Sobald die Geräte auf dem Lkw sind, ist das Thema erledigt. Datenschutzrechtlich ist es das nicht. Verantwortlich für die Verarbeitung personenbezogener Daten bleibt das Unternehmen, das sie erhoben hat — auch dann, wenn die Datenträger inzwischen bei einem Dienstleister liegen.

Was das praktisch bedeutet

Erstens: Der Dienstleister, der löscht, handelt in Ihrem Auftrag. Das ist eine Auftragsverarbeitung, und dafür braucht es eine Vereinbarung. Ohne diese Vereinbarung ist die Übergabe der Datenträger selbst der angreifbare Punkt — unabhängig davon, wie sauber später gelöscht wird.

Zweitens: Sie müssen die Auswahl des Dienstleisters begründen können. Nicht mit einer Werbeaussage, sondern mit nachvollziehbaren Angaben zum Verfahren und zu den Nachweisen.

Drittens: Sie brauchen den Nachweis der Löschung, nicht der Übergabe. Beides zu unterscheiden ist der wichtigste Schritt.

Die zwei Zeitfenster, die niemand plant

Zwischen dem Ausmustern und der Abholung liegen häufig Wochen. In dieser Zeit stehen Geräte mit vollständigen Datenbeständen in einem Raum, der oft weniger gesichert ist als der Serverraum — manchmal im Flur, manchmal im Keller. Das ist das erste Fenster.

Das zweite liegt zwischen Abholung und Löschung. Auch dort existieren die Daten noch. Wer belastbar arbeiten will, klärt vorab, wie die Geräte in dieser Phase gelagert werden und wie lange die Phase dauern darf.

Eine kurze Prüfliste

• Auftragsverarbeitungsvereinbarung liegt vor, bevor Geräte übergeben werden.
• Sammelstelle für ausgemusterte Geräte ist verschlossen und Zutritt geregelt.
• Zeitraum zwischen Ausmusterung und Löschung ist begrenzt und dokumentiert.
• Nachweis je Gerät ist vereinbart — nicht Nachweis je Lieferung.
• Bei defekten Datenträgern ist der Weg der Zerstörung beschrieben.
• Der Vorgang ist im Verzeichnis der Verarbeitungstätigkeiten erfasst.

Warum das kein Papierkram ist

Diese Punkte kosten in der Vorbereitung einen halben Tag. Im Ernstfall entscheiden sie darüber, ob Sie einen dokumentierten Prozess vorweisen oder eine Erinnerung. Der Unterschied ist erheblich — und er lässt sich nachträglich nicht herstellen.