Auftragsverarbeitungsvertrag bei der IT-Verwertung: Wann Sie einen AVV brauchen

Wenn ein Dienstleister ausgemusterte Notebooks, Server oder Diensthandys abholt, verlässt nicht nur Hardware das Haus. In aller Regel verlassen auch Daten das Unternehmen — Kundenstammdaten auf einem Vertriebsnotebook, Personalakten auf einem Fileserver, Kontakte und Nachrichten auf einem Diensthandy. Genau an dieser Stelle greift Artikel 28 der DSGVO, und zwar unabhängig davon, ob die Geräte anschließend gelöscht, vernichtet oder wiedervermarktet werden.

In der Praxis wird der Auftragsverarbeitungsvertrag — kurz AVV — häufig zu spät gedacht. Er wandert erst dann auf den Tisch, wenn die Paletten bereits gepackt sind oder der Spediteur vor der Rampe steht. Dieser Beitrag ordnet ein, wann bei der IT-Verwertung ein AVV zwingend nötig ist, was darin stehen muss und woran Sie erkennen, ob ein Verwertungspartner das Thema ernst nimmt. Hinweis: Dieser Beitrag gibt allgemeine Orientierung und ersetzt keine Rechtsberatung im Einzelfall.

Brauchen Sie für die IT-Verwertung einen Auftragsverarbeitungsvertrag?

Ja — sobald ein externer Dienstleister Datenträger übernimmt, auf denen sich personenbezogene Daten befinden oder befinden könnten. Die deutschen Aufsichtsbehörden zählen die Entsorgung, Vernichtung und Löschung von Datenträgern ausdrücklich zu den Standardfällen der Auftragsverarbeitung. Der Landesbeauftragte für den Datenschutz Niedersachsen nennt sie in seinen FAQ zu Artikel 28 DSGVO als regelmäßiges Beispiel.

Entscheidend ist dabei nicht der Zweck des Auftrags, sondern der Zugriff. Auch wenn Ihr Ziel ausdrücklich nicht die Vernichtung, sondern die Wiedervermarktung der Geräte ist, liegt zwischen Abholung und Löschung ein Zeitfenster, in dem ein Dritter faktische Verfügungsgewalt über Ihre Daten hat. Transport, Zwischenlagerung, Wareneingang, Diagnose — in jeder dieser Stationen ist das Notebook physisch beim Dienstleister und die Festplatte noch nicht überschrieben. Ohne AVV verarbeitet dieser Dienstleister Ihre Daten ohne vertragliche Grundlage.

Ein häufiger Irrtum lautet: Wenn wir vor der Übergabe selbst löschen, brauchen wir keinen Vertrag. Das kann im Einzelfall zutreffen — setzt aber voraus, dass die Löschung nachweislich vollständig war, auf allen verbauten Datenträgern, inklusive zweiter SSD im Notebook, Cache-Modulen in RAID-Controllern und internem Speicher von Multifunktionsdruckern. Wer diesen Nachweis nicht lückenlos führen kann, sollte den AVV vorsorglich abschließen. Er kostet nichts außer Sorgfalt und schließt genau die Lücke, die im Ernstfall teuer wird.

Warum der Verkauf der Geräte Sie nicht aus der Verantwortung entlässt

Der Eigentumsübergang an der Hardware ändert nichts an Ihrer datenschutzrechtlichen Verantwortlichkeit für die darauf gespeicherten Daten. Das ist der zentrale Denkfehler bei Buyback-Modellen: Weil Geld fließt und ein Kaufvertrag entsteht, fühlt sich der Vorgang wie ein sauberer Schnitt an. Datenschutzrechtlich ist er das nicht. Verantwortlicher im Sinne der DSGVO bleiben Sie — für die Rechtmäßigkeit der Verarbeitung, für die Betroffenenrechte und für die Meldung eines Vorfalls an die Aufsichtsbehörde.

In der Rechtsprechung ist bereits entschieden worden, dass sich ein Unternehmen dieser Verantwortung nicht durch den pauschalen Verweis auf den Vertragspartner entziehen kann. Eine Klausel, die die Löschpflicht formlos auf den Käufer abwälzt, wirkt wie ein Haftungsausschluss — und läuft dem Schutzzweck der Verordnung zuwider. Auch die Auslagerung an einen Auftragsverarbeiter entbindet den Verantwortlichen nicht: Er bleibt Adressat der Auskunfts-, Berichtigungs- und Löschansprüche betroffener Personen.

Praktisch heißt das: Wenn ein ehemaliger Mitarbeiter Monate nach der Ausmusterung sein Diensthandy im Kleinanzeigenmarkt wiederfindet und seine Fotos noch darauf sind, klingelt das Telefon bei Ihnen — nicht beim Aufkäufer. Wie sich das für mobile Endgeräte konkret absichern lässt, haben wir im Beitrag zum Verkauf von Firmenhandys und Diensthandys beschrieben.

Ab welchem Moment beginnt die Auftragsverarbeitung?

Mit der Übergabe der Geräte — nicht mit dem Start des Löschvorgangs. Diese Unterscheidung wird in Verträgen regelmäßig unsauber abgebildet: Der AVV beschreibt die Löschung detailliert, schweigt aber zu Transport und Zwischenlagerung. Dabei ist die Strecke zwischen Ihrer Rampe und dem Löschplatz des Dienstleisters statistisch der verwundbarste Teil des gesamten Prozesses. Hier gehen Geräte verloren, hier werden Paletten umgeladen, hier ist die Zuständigkeit am unklarsten.

Ein belastbarer AVV setzt deshalb früher an. Er regelt, wie die Geräte übergeben werden, wer die Übernahme quittiert, ob in verschlossenen Behältern oder verplombten Rollcontainern transportiert wird und innerhalb welcher Frist nach Wareneingang die Löschung erfolgt. Je kürzer dieses Fenster vertraglich definiert ist, desto kleiner das Risiko. Wie eine saubere Übergabe operativ aussieht, beschreibt unser Beitrag zur IT-Abholung im Unternehmen.

Was muss in einem AVV für die IT-Verwertung stehen?

Artikel 28 Absatz 3 DSGVO gibt einen festen Pflichtkatalog vor, den jeder Auftragsverarbeitungsvertrag abbilden muss — unabhängig von der Branche. Der Gesetzestext zu Art. 28 DSGVO nennt diese Punkte ausdrücklich:

• Gegenstand, Dauer, Art und Zweck der Verarbeitung — bei der Verwertung also etwa: Löschung und Wiedervermarktung ausgemusterter Endgeräte
• Art der personenbezogenen Daten und Kategorien betroffener Personen (Mitarbeitende, Kunden, Bewerber)
• Weisungsgebundenheit des Dienstleisters und Dokumentation der Weisungen
• Vertraulichkeitsverpflichtung der eingesetzten Personen
• Technische und organisatorische Maßnahmen nach Art. 32 DSGVO — konkret beschrieben, nicht als Floskel
• Regelungen zu Unterauftragnehmern inklusive Genehmigungs- und Informationspflichten
• Unterstützungspflichten bei Betroffenenrechten und bei Meldungen nach Art. 33 und 34 DSGVO
• Löschung oder Rückgabe der Daten nach Abschluss des Auftrags
• Kontroll- und Auditrechte des Verantwortlichen, inklusive Vor-Ort-Prüfung

Dieser Katalog ist die Pflicht. Die Kür — und der Punkt, an dem sich seriöse Verwertungspartner von reinen Aufkäufern unterscheiden — sind die verwertungsspezifischen Ergänzungen. Dazu gehören der Bezug auf Seriennummern statt auf Stückzahlen, ein definierter Umgang mit defekten oder nicht löschbaren Datenträgern, die vereinbarte Sicherheitsstufe für die physische Vernichtung, die maximale Verweildauer ungelöschter Geräte im Lager sowie die Frage, was passiert, wenn beim Wareneingang mehr oder weniger Geräte ankommen als auf dem Lieferschein stehen.

Gerade der letzte Punkt wird unterschätzt. Eine Mengendifferenz zwischen Übergabeprotokoll und Wareneingang ist datenschutzrechtlich ein meldepflichtiger Verdachtsfall — und lässt sich nur klären, wenn beide Seiten von Anfang an dieselbe Assetliste führen. Wer seine ausgemusterten Geräte ohnehin sauber im IT-Asset-Management erfasst, hat diesen Teil bereits erledigt; wie das gelingt, zeigt unser Beitrag zum IT-Asset-Management und der Restwertsicherung.

Was ein Löschzertifikat wirklich belegt — und was nicht

Ein Löschzertifikat belegt einen technischen Vorgang an einem konkreten Datenträger. Es ersetzt keinen Vertrag, und es ersetzt vor allem nicht die Prüfung, ob der Vorgang überhaupt angemessen war. Zwei Dokumente werden hier oft verwechselt: Das Zertifikat ist der Nachweis der Durchführung, der AVV ist die Rechtsgrundlage der Beauftragung. Aufsichtsbehörden fragen im Zweifel nach beidem.

Belastbar ist ein Löschnachweis dann, wenn er gerätebezogen ist — ein Zertifikat je Datenträger, mit Seriennummer, Zeitstempel, eingesetztem Verfahren und Ergebnisstatus. Eine Sammelbestätigung über „40 Notebooks“ ist im Prüfungsfall wenig wert, weil sie keinem einzelnen Gerät zugeordnet werden kann. Für die physische Vernichtung liefert die DIN 66399 (international ISO/IEC 21964) den Rahmen mit ihren Schutzklassen und Sicherheitsstufen; für die softwareseitige Löschung geben das BSI und international der Standard NIST SP 800-88 anerkannte Verfahren vor.

Welches Verfahren angemessen ist, hängt vom Schutzbedarf ab — nicht jeder Datenträger muss geschreddert werden, und pauschale Vernichtung vernichtet vor allem Restwert. Die Abwägung zwischen zertifizierter Löschung und physischer Zerstörung haben wir ausführlich im Beitrag Zertifizierte Datenlöschung oder Schreddern aufgeschlüsselt.

Unterauftragnehmer — der blinde Fleck in der Verwertungskette

Kaum ein Verwerter erbringt die gesamte Kette selbst. Transport, Zwischenlagerung, Refurbishing, Bauteilrückgewinnung und finales Recycling verteilen sich in der Regel auf mehrere Unternehmen. Jedes davon, das mit ungelöschten Datenträgern in Berührung kommt, ist ein Unterauftragnehmer im Sinne von Art. 28 Abs. 2 und 4 DSGVO — und muss vertraglich auf dasselbe Schutzniveau verpflichtet sein.

Fragen Sie deshalb vor der ersten Abholung nach einer aktuellen Liste der eingesetzten Unterauftragnehmer, nach dem Verfahren bei Wechseln und danach, an welcher Stelle der Kette die Löschung tatsächlich stattfindet. Ein Anbieter, der auf diese Frage ausweichend antwortet, hat entweder keine Übersicht über seine eigene Kette oder möchte sie nicht offenlegen. Beides ist ein Ausschlusskriterium. Welche weiteren Kriterien bei der Auswahl zählen, fasst unsere Checkliste zur ITAD-Anbieterauswahl zusammen.

Ein zweiter blinder Fleck ist der grenzüberschreitende Transport. Verlässt Hardware mit ungelöschten Datenträgern die EU, kommen die Vorgaben zu Drittlandtransfers nach Kapitel V der DSGVO hinzu — ein Thema, das im Standard-AVV vieler Anbieter schlicht nicht abgebildet ist. Wer international verwertet, sollte diesen Punkt ausdrücklich adressieren.

Welche Risiken entstehen, wenn der AVV fehlt?

Ein fehlender oder unvollständiger AVV ist ein eigenständiger Verstoß — er wird also auch dann geahndet, wenn nie ein Datenschutzvorfall eingetreten ist. Der Bußgeldrahmen des Art. 83 Abs. 4 lit. a DSGVO reicht bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. In der Praxis liegen die verhängten Beträge deutlich darunter: Dokumentiert sind Fälle im niedrigen vierstelligen Bereich ebenso wie fünfstellige Bußgelder, abhängig von Schwere und Unternehmensgröße. Die Pflicht trifft dabei beide Seiten — Auftraggeber und Dienstleister.

Wirtschaftlich relevanter ist meist die zweite Ebene. Ein fehlender AVV kann zivilrechtliche Schadenersatzansprüche betroffener Personen stützen, er fällt in jeder ISO-27001- oder TISAX-Prüfung auf, und er wird in Ausschreibungen zunehmend explizit abgefragt. Wer öffentliche Auftraggeber oder regulierte Branchen beliefert, riskiert an dieser Stelle nicht ein Bußgeld, sondern den Auftrag. Wie sich die Verwertung dokumentationsfest aufsetzen lässt, damit sie auch im Nachhaltigkeitsbericht trägt, zeigt unser Beitrag zum CSRD-Nachweis bei der IT-Verwertung.

Wie Sie den AVV sauber in den Verwertungsprozess einbauen

Der AVV gehört an den Anfang des Prozesses, nicht ans Ende. Die folgende Reihenfolge hat sich in der Praxis bewährt:

1. Vor der Anfrage: Schutzbedarf der betroffenen Gerätegruppen festlegen — welche Datenkategorien sind realistisch betroffen, welche Löschtiefe ist angemessen.
2. Vor der Beauftragung: AVV-Entwurf des Dienstleisters anfordern und gegen den Katalog des Art. 28 Abs. 3 DSGVO prüfen; Datenschutzbeauftragte oder Datenschutzkoordination einbinden.
3. Vor der Abholung: Unterauftragnehmerliste, TOM-Beschreibung und Löschverfahren schriftlich fixieren; Löschfrist nach Wareneingang vereinbaren.
4. Bei der Übergabe: Assetliste mit Seriennummern beidseitig quittieren, Transportsicherung dokumentieren.
5. Nach der Löschung: gerätebezogene Löschnachweise einholen und mit der Assetliste abgleichen; Differenzen sofort klären.
6. Zum Abschluss: Verwertungs- und Vernichtungsnachweise zusammen mit dem AVV in der Datenschutzdokumentation ablegen.

Dieser Ablauf klingt aufwendiger, als er ist. Einmal aufgesetzt, trägt er für jede weitere Ausmusterungswelle — und er verwandelt einen jährlich wiederkehrenden Diskussionspunkt in eine dokumentierte Routine.

Vertrauen schlägt Marketing — auch im Vertragswerk

Ein Verwertungspartner, der Ihnen von sich aus einen vollständigen AVV vorlegt, seine Unterauftragnehmer benennt und gerätebezogene Nachweise liefert, sagt damit mehr über seine Prozesse aus als jedes Zertifikatslogo auf der Startseite. Umgekehrt ist der Satz „das machen wir immer so, da hatten wir noch nie Probleme“ kein Sicherheitsversprechen, sondern eine Risikoübernahme auf Ihre Kosten.

Bei Global Circular Tech betrachten wir die datenschutzrechtliche Absicherung deshalb nicht als Beiwerk zum Ankauf, sondern als Teil der Leistung. Werterhalt und Datensicherheit sind kein Zielkonflikt: Geräte, die sauber dokumentiert und fachgerecht gelöscht werden, lassen sich anschließend am höchsten wiedervermarkten. Wie das in der Praxis mit einem etablierten Partnernetzwerk funktioniert, zeigt unsere Seite zur nachhaltigen Verwertung von IT-Hardware gemeinsam mit BKN.

Sie planen eine Ausmusterung und möchten vorab klären, wie die vertragliche Absicherung und der Löschnachweis in Ihrem Fall aussehen sollten? Sprechen Sie uns an — unverbindlich und ohne Verkaufsdruck.

Häufige Fragen zum Auftragsverarbeitungsvertrag bei der IT-Verwertung

Ist ein AVV auch nötig, wenn wir die Festplatten vor der Abholung ausbauen?

Bauen Sie sämtliche Datenträger aus und behalten sie im Haus, verarbeitet der Dienstleister keine personenbezogenen Daten mehr — ein AVV ist dann in der Regel entbehrlich. Voraussetzung ist, dass wirklich alle Speicher entfernt wurden, einschließlich zweiter SSDs, eingebauter eMMC-Speicher, Cache-Module und interner Speicher von Druckern oder Multifunktionsgeräten. Da dieser Nachweis in der Praxis schwer lückenlos zu führen ist, empfiehlt sich der AVV vorsorglich.

Reicht ein Löschzertifikat statt eines Auftragsverarbeitungsvertrags?

Nein. Das Löschzertifikat dokumentiert die Durchführung eines technischen Vorgangs, der AVV schafft die Rechtsgrundlage für die Beauftragung. Beide Dokumente erfüllen unterschiedliche Zwecke und ersetzen einander nicht. Aufsichtsbehörden fragen im Prüfungsfall typischerweise nach beidem.

Wer muss den AVV bereitstellen — wir oder der Dienstleister?

Die Pflicht zum Abschluss trifft beide Seiten. In der Praxis legt meist der Dienstleister einen Entwurf vor, weil er die technischen und organisatorischen Maßnahmen beschreiben muss. Die inhaltliche Prüfung und die Verantwortung für die Angemessenheit bleiben jedoch beim beauftragenden Unternehmen als Verantwortlichem.

Gilt der AVV auch, wenn wir die Geräte verkaufen und nicht entsorgen?

Ja, sofern der Käufer die Geräte mit noch vorhandenen Daten übernimmt. Der Eigentumsübergang an der Hardware beendet die datenschutzrechtliche Verantwortlichkeit für die Daten nicht. Erst wenn die Löschung nachweislich abgeschlossen ist, endet die Verarbeitung personenbezogener Daten durch den Dienstleister.

Wie lange müssen wir AVV und Löschnachweise aufbewahren?

Eine feste gesetzliche Frist speziell für Löschnachweise gibt es nicht. Da Sie Ihre Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO belegen können müssen, ist eine Aufbewahrung über die gesamte Vertragsdauer hinaus üblich; in der Praxis orientieren sich viele Unternehmen an handels- und steuerrechtlichen Fristen. Klären Sie die konkrete Dauer mit Ihrer Datenschutzbeauftragung ab.

Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für die Bewertung Ihres konkreten Einzelfalls wenden Sie sich bitte an Ihre Datenschutzbeauftragung oder an eine spezialisierte Rechtsberatung.