IT-Abholung im Unternehmen: ausgemusterte Hardware sicher übergeben

Zwischen dem Moment, in dem ausgemusterte Notebooks auf einer Palette den Serverraum verlassen, und dem Moment, in dem das Löschprotokoll im Postfach des IT-Leiters liegt, klafft in vielen Unternehmen eine Lücke. Sie ist selten dokumentiert, fast nie versichert und in Audits regelmäßig der Punkt, an dem die Antworten unpräzise werden. Die IT-Abholung im Unternehmen ist deshalb kein reines Logistikthema, sondern ein Sicherheitsprozess mit klarer Beweislast. Wer sie sauber aufsetzt, schützt nicht nur personenbezogene Daten, sondern sichert auch den Restwert der Geräte — denn beides entscheidet sich in denselben 48 Stunden.

Dieser Beitrag zeigt, wo die typischen Bruchstellen liegen, welche Nachweise Sie von einem Verwertungspartner verlangen sollten und wie Sie den Abholtag intern so vorbereiten, dass am Ende Soll- und Ist-Liste übereinstimmen.

Warum ist die IT-Abholung der kritischste Moment im Ausmusterungsprozess?

Weil in diesem Zeitfenster sämtliche Schutzmechanismen des Unternehmens gleichzeitig ausfallen. Solange ein Gerät im Rack oder am Arbeitsplatz steht, greifen Zutrittskontrolle, Netzwerksegmentierung, Endpoint-Monitoring und Asset-Management. Sobald dieselben Geräte gestapelt im Flur, in der Tiefgarage oder auf einer Laderampe stehen, gilt davon nichts mehr. Sie sind physisch zugänglich, oft unbeaufsichtigt und in der Regel niemandem mehr namentlich zugeordnet.

Hinzu kommt eine Fehlannahme, die sich hartnäckig hält: dass ausgemusterte Hardware „leer“ sei. In der Praxis enthalten Altgeräte häufig noch lokale Exporte aus ERP- und CRM-Systemen, zwischengespeicherte Zugangsdaten, Browserprofile, VPN-Zertifikate oder Wiederherstellungsschlüssel. Ein Notebook, das seit sechs Monaten im Schrank liegt, ist datenschutzrechtlich kein Möbelstück, sondern ein Datenträger. Ob am Ende gelöscht oder vernichtet wird, ist eine nachgelagerte Entscheidung — die Verantwortung beginnt deutlich früher. Wie beide Wege sich unterscheiden, haben wir in unserem Beitrag zu zertifizierter Datenlöschung im Vergleich zum Schreddern aufgeschlüsselt.

Fachlich gilt der Transit als die Phase, in der die Verfügungsgewalt am häufigsten verloren geht: Hier wechseln Geräte mehrfach den Verantwortungsbereich, ohne dass die Übergänge sauber protokolliert werden. Genau deshalb setzen anerkannte Branchenstandards an dieser Stelle an — und nicht erst im Löschzentrum.

Wer haftet, wenn Geräte auf dem Transport verschwinden?

Verantwortlich bleibt im Regelfall Ihr Unternehmen als datenschutzrechtlich Verantwortlicher. Mit der Übergabe an einen Dienstleister geben Sie die physische Kontrolle ab, nicht aber die Pflicht, personenbezogene Daten zu schützen. Fehlen belastbare Nachweise darüber, welche Geräte übergeben wurden und was mit ihnen geschehen ist, lässt sich im Ernstfall weder gegenüber einer Aufsichtsbehörde noch gegenüber Betroffenen sauber argumentieren.

Praktisch bedeutet das drei Dinge. Erstens: Sobald ein Dienstleister datenhaltige Geräte lagert, prüft, löscht oder vermarktet, liegt in aller Regel eine Auftragsverarbeitung vor — ein Vertrag nach Art. 28 DSGVO gehört damit zur Grundausstattung, inklusive benannter Subunternehmer. Der beauftragte Spediteur ist dabei nicht zu vergessen. Zweitens: Die technischen und organisatorischen Maßnahmen müssen den Transport tatsächlich abdecken und nicht nur das Rechenzentrum des Dienstleisters beschreiben. Drittens: Geht eine Sendung verloren, laufen Meldefristen — die 72-Stunden-Frist für die Meldung einer Datenschutzverletzung beginnt mit der Kenntnis, nicht mit der Klärung.

Eine zweite Rechtsschicht wird oft übersehen: Werden Altgeräte abfallrechtlich als Abfall eingestuft, unterliegen Sammler und Beförderer je nach Einstufung der Anzeige nach § 53 KrWG beziehungsweise der Erlaubnispflicht nach § 54 KrWG. Werden funktionsfähige Geräte dagegen angekauft und als Ware weitergehandelt, greift ein anderer Rahmen. Diese Unterscheidung hat spürbare Folgen für Dokumentation und Nachweisführung — und ist einer der Gründe, warum Buyback und Entsorgung nicht dieselbe Dienstleistung sind. Dieser Beitrag ersetzt keine Rechtsberatung; die Einordnung Ihres konkreten Falls gehört mit Datenschutzbeauftragtem und Rechtsberatung abgestimmt.

Was bedeutet Chain of Custody bei der IT-Abholung konkret?

Chain of Custody heißt: Für jedes Gerät ist zu jedem Zeitpunkt dokumentiert, wer es in Verantwortung hatte — lückenlos von der Erfassung im Unternehmen bis zum Löschnachweis. Der Begriff stammt aus der Beweissicherung, und genau darum geht es auch hier: Sie müssen im Zweifel belegen können, was passiert ist, statt es plausibel zu vermuten.

In der Praxis lässt sich die Kette in sechs Stationen zerlegen. Jede davon erzeugt einen Beleg, der später zusammenpassen muss:

• Erfassung: Seriennummern und Asset-Tags werden vor der Abholung erfasst — nicht geschätzte Stückzahlen, sondern identifizierbare Geräte.
• Bereitstellung: Die Geräte lagern bis zur Übergabe in einem verschlossenen, zutrittsbeschränkten Bereich, nicht im offenen Flur.
• Versiegelung: Datenhaltige Geräte werden in tamper-evidenten Behältern oder Gitterboxen mit dokumentierten Siegelnummern verpackt.
• Übergabe: Ein Übergabeprotokoll wird beidseitig gezeichnet, inklusive Fahrer, Kennzeichen, Siegelnummern und Zeitstempel.
• Transport: Der Transport erfolgt nachverfolgbar, ohne ungeplante Zwischenlagerung und mit benanntem Verantwortlichen.
• Wareneingang: Beim Empfänger wird gegen die Soll-Liste abgeglichen; Abweichungen werden innerhalb einer vereinbarten Frist gemeldet.

Der letzte Punkt ist der wichtigste und wird am häufigsten weggelassen. Ein Prozess ohne verbindliche Fehlmengenmeldung ist keine Kette, sondern eine Hoffnung. Erst der dokumentierte Soll-Ist-Abgleich macht aus einer Abholung einen prüfbaren Vorgang — und liefert nebenbei die Datengrundlage, auf der später Löschprotokolle und Gutschriften aufsetzen.

Vor Ort löschen oder beim Dienstleister — was ist sinnvoller?

Das hängt vom Schutzbedarf, der Stückzahl und dem Zeitdruck ab; eine pauschal richtige Antwort gibt es nicht. Beide Varianten sind etabliert, sie verschieben lediglich, wo das Risiko getragen wird.

Die Löschung vor Ort bietet die höchste Kontrolle: Kein Datenträger verlässt das Gebäude in einem Zustand, in dem er noch auslesbar wäre. Der Preis dafür sind Rüstzeit, gebundene interne Ressourcen und ein deutlich höherer Aufwand pro Gerät — bei mehreren hundert Assets wird das schnell zum Projekt. Die Löschung beim Dienstleister skaliert dagegen, ist in der Regel wirtschaftlicher und liefert standardisierte Protokolle, verlangt aber eine belastbare Chain of Custody für genau die Strecke dazwischen.

In vielen Fällen ist der Mittelweg der pragmatische: Datenträger mit hohem Schutzbedarf werden vor Ort ausgebaut oder kryptografisch gelöscht, der restliche Bestand geht versiegelt in die standardisierte Verarbeitung. Das BSI empfiehlt im IT-Grundschutz ohnehin, Löschen und Vernichten organisatorisch zu regeln und nachvollziehbar zu dokumentieren — welcher Weg gewählt wird, ist zweitrangig gegenüber der Frage, ob er verbindlich festgelegt und belegt ist. Eine gute Orientierung bietet das IT-Grundschutz-Kompendium des BSI mit seinem Baustein zum Löschen und Vernichten.

Welche Nachweise sollten Sie bei der Abholung verlangen?

Verlangen Sie Dokumente, die im Streitfall Bestand haben — nicht Zusicherungen im Verkaufsgespräch. Die folgende Liste hat sich als Mindeststandard bewährt und lässt sich direkt in eine Ausschreibung oder Lieferantenprüfung übernehmen:

• Übergabeprotokoll auf Seriennummernebene — beidseitig gezeichnet, mit Datum, Fahrer und Siegelnummern.
• Auftragsverarbeitungsvertrag nach Art. 28 DSGVO inklusive vollständiger Liste der eingesetzten Subunternehmer, auch der Spedition.
• Beschreibung der technischen und organisatorischen Maßnahmen, die den Transport und die Zwischenlagerung ausdrücklich einschließt.
• Löschprotokoll je Gerät mit Seriennummer, angewandtem Verfahren, Zeitpunkt und Ergebnis — pauschale Sammelbestätigungen genügen nicht.
• Verbindliche Frist für Abweichungs- und Fehlmengenmeldungen nach Wareneingang, vertraglich fixiert.
• Nachweise über Versicherungsschutz für Transport und Zwischenlagerung, mit realistischer Deckungssumme.
• Zertifizierungen und Auditnachweise, etwa ISO 27001 für Informationssicherheit sowie branchenspezifische Standards wie ADISA, NAID AAA oder R2v3 — jeweils mit gültigem Zertifikat und passendem Geltungsbereich.
• Abfallrechtliche Anzeige oder Erlaubnis nach §§ 53, 54 KrWG, sofern Teile der Sendung als Abfall eingestuft werden.

Achten Sie beim letzten Punkt auf den Geltungsbereich der Zertifikate. Ein Zertifikat, das nur den Hauptstandort abdeckt, sagt wenig über den Umschlagplatz aus, an dem Ihre Geräte tatsächlich stehen. Welche weiteren Kriterien bei der Auswahl zählen, haben wir in der Checkliste zur Auswahl eines ITAD-Anbieters zusammengestellt.

Wie bereiten Sie den Abholtag intern vor?

Mit einer Vorbereitung, die spätestens zwei Wochen vorher beginnt. Der häufigste Grund für Chaos am Abholtag ist nicht der Dienstleister, sondern eine unvollständige interne Freigabe. Diese Reihenfolge hat sich bewährt:

1. Inventarliste erstellen — Seriennummern, Modelle, Zustand, Standort. Diese Liste ist später Ihre Soll-Vorgabe beim Abgleich.
2. Geräte aus den Management-Systemen lösen — MDM, Intune, Apple Business Manager und vor allem die Aktivierungssperre. Details dazu im Beitrag zum Ausmustern von Apple-Geräten.
3. Zubehör bündeln — Netzteile, Dockingstationen und Caddies gehören dazu; ihr Fehlen mindert den erzielbaren Preis spürbar.
4. Sammelbereich sichern — ein abschließbarer Raum mit dokumentiertem Zutritt, nicht der Gang vor der Teeküche.
5. Verpackung klären — Palettenmaße, Gitterboxen, Stapelhöhe und Sicherung im Vorfeld mit dem Partner abstimmen.
6. Logistik am Standort abstimmen — Rampe, Aufzug, Zeitfenster, Werkschutz und ein namentlicher Ansprechpartner vor Ort.
7. Kaufmännische Freigabe einholen — Anlagenbuchhaltung und Steuerthemen vorab klären; die Grundlagen dazu im Beitrag zu Buchwert, Umsatzsteuer und Buchung beim Hardwareverkauf.
8. Protokolle vorbereiten — Übergabeprotokoll und Siegelliste ausgedruckt bereitlegen, nicht erst am Fahrzeug suchen.

Ein Detail mit großer Wirkung: Benennen Sie eine einzige Person, die am Abholtag zeichnungsberechtigt ist. Sobald drei Abteilungen gleichzeitig zuständig sind, unterschreibt am Ende niemand — und das Protokoll bleibt unvollständig.

Was kostet eine schlecht organisierte IT-Abholung?

Deutlich mehr, als die eingesparte Vorbereitungszeit wert ist — und der Schaden entsteht auf zwei Ebenen gleichzeitig. Auf der Sicherheitsebene stehen Meldepflichten, Bußgeldrisiken und der Aufwand einer forensischen Rekonstruktion, die ohne saubere Übergabedokumentation kaum durchführbar ist. Auf der wirtschaftlichen Ebene sinkt schlicht der Erlös.

Der Restwertverlust ist dabei der unterschätzte Posten. Geräte ohne Netzteil, mit Transportschäden durch unsachgemäße Stapelung oder mit unklarem Eigentumsstatus werden konservativer bewertet — teilweise erheblich. Dazu kommt der Zeitfaktor: Business-Hardware verliert kontinuierlich an Marktwert, und jede Woche zwischen Ausmusterung und Verwertung kostet real Geld. Wer Geräte erst monatelang im Lager sammelt, verkauft am Ende einen anderen Bestand als den, den er ausgemustert hat. Wie sich dieser Zusammenhang rechnen lässt, zeigt unser Beitrag zum Restwert gebrauchter Business-Hardware.

Genau hier trifft sich Sicherheit mit Wirtschaftlichkeit: Ein sauber dokumentierter Prozess ist die Voraussetzung dafür, dass Geräte überhaupt in die Wiedervermarktung gehen können statt in die Vernichtung. Werterhalt vor Wertvernichtung ist keine Haltungsfrage, sondern eine Frage der Nachweisführung. Wie das in einem partnerschaftlichen Modell aussieht, zeigt unser Ansatz zur nachhaltigen Verwertung von IT-Hardware.

Vertrauen schlägt Marketing: Woran Sie einen belastbaren Partner erkennen

An der Bereitschaft, sich messen zu lassen. Ein belastbarer Verwertungspartner beschreibt seinen Prozess nicht nur, er dokumentiert ihn — auf Seriennummernebene, mit benannten Subunternehmern und mit einer verbindlichen Regelung für den Fall, dass etwas fehlt. Er sagt Ihnen auch, was er nicht kann, statt jede Anforderung reflexartig zu bejahen.

Die unangenehmen Fragen sind deshalb die nützlichsten: Wer fährt tatsächlich, und ist das ein eigener Mitarbeiter oder ein Subunternehmer? Wo steht die Ware zwischen Abholung und Verarbeitung? Wie schnell erfahre ich von einer Fehlmenge, und was passiert dann? Wer diese Fragen ohne Zögern und mit Belegen beantwortet, hat den Prozess im Griff. Wer ausweicht, hat ihn nicht.

Häufige Fragen zur IT-Abholung im Unternehmen

Wer haftet, wenn während der IT-Abholung Geräte verloren gehen?

Datenschutzrechtlich bleibt in aller Regel Ihr Unternehmen als Verantwortlicher in der Pflicht, auch wenn ein Dienstleister die Geräte physisch in Besitz hat. Vertraglich lassen sich Haftung, Versicherungsschutz und Meldefristen im Auftragsverarbeitungsvertrag und im Rahmenvertrag konkretisieren. Eine belastbare Übergabedokumentation ist dabei die Grundlage jeder Zuordnung. Dies ist keine Rechtsberatung.

Brauche ich für eine IT-Abholung einen Auftragsverarbeitungsvertrag?

Sobald der Dienstleister datenhaltige Geräte lagert, prüft, löscht oder wiedervermarktet, liegt in der Regel eine Auftragsverarbeitung nach Art. 28 DSGVO vor. Eine reine Transportleistung kann anders zu bewerten sein — in der Praxis ist die Trennung selten sauber, weshalb ein Vertrag der sichere Weg ist. Die Bewertung im Einzelfall gehört zum Datenschutzbeauftragten.

Sollten Festplatten vor der Abholung ausgebaut werden?

Bei hohem Schutzbedarf ist der Ausbau oder eine kryptografische Löschung vor Ort sinnvoll, weil dann kein auslesbarer Datenträger das Gebäude verlässt. Bei größeren Stückzahlen ist das jedoch aufwendig und mindert zudem den Wiederverkaufswert der Geräte deutlich. Eine versiegelte Übergabe mit dokumentierter Chain of Custody ist in vielen Fällen die wirtschaftlichere Alternative.

Ab welcher Menge lohnt sich eine professionelle IT-Abholung?

Das hängt vom Anbieter und vom Gerätetyp ab. Branchenüblich rechnet sich eine Abholung meist ab Palettenmenge oder etwa ab mittleren zweistelligen Stückzahlen; bei hochwertigen Assets wie Servern oder Netzwerktechnik auch deutlich früher. Kleinere Bestände lassen sich häufig über Sammelabholungen oder versicherte Versandlösungen abbilden.

Wie schnell liegen die Löschnachweise nach der Abholung vor?

Das variiert je nach Anbieter, Stückzahl und Löschverfahren und reicht von wenigen Werktagen bis zu mehreren Wochen. Wichtiger als die reine Dauer ist eine vertraglich zugesagte Frist sowie ein Zwischenschritt: die Wareneingangsbestätigung mit Soll-Ist-Abgleich, die deutlich vor dem finalen Löschprotokoll vorliegen sollte.