Wer IT-Hardware ausmustert, übergibt einem Dienstleister zwei sensible Dinge zugleich: die auf den Geräten gespeicherten Daten und den verbliebenen Restwert der Hardware. Genau deshalb ist die Auswahl eines ITAD-Anbieters keine reine Preisfrage, sondern eine Sicherheits- und Compliance-Entscheidung. Wer hier den günstigsten statt den nachweisbar sichersten Partner wählt, riskiert Datenschutzverstöße und Reputationsschäden – und verschenkt häufig bares Geld. Dieser Leitfaden zeigt, woran Sie einen vertrauenswürdigen IT-Verwertungspartner erkennen, welche Zertifizierungen wirklich zählen und welche Nachweise Sie einfordern sollten.
Warum ist die Wahl des ITAD-Anbieters eine Sicherheits- und Compliance-Entscheidung?
Weil die datenschutzrechtliche Verantwortung bei Ihnen als Unternehmen bleibt – auch dann, wenn ein Dritter die Geräte abholt und verwertet. ITAD steht für „IT Asset Disposition“, also den strukturierten Prozess, ausgemusterte IT-Hardware sicher außer Betrieb zu nehmen, Daten zu löschen und Geräte entweder wiederzuvermarkten oder fachgerecht zu recyceln. Übergeben Sie ein Notebook oder eine Festplatte an einen Dienstleister, geben Sie die physische Kontrolle ab – die rechtliche Pflicht zum Schutz personenbezogener Daten nicht.
Das Risiko ist real und gut dokumentiert. Laut einer vielzitierten Untersuchung des Datenlöschungs-Spezialisten Blancco fanden sich auf rund 48 Prozent untersuchter gebrauchter Festplatten und etwa 35 Prozent gebrauchter Mobilgeräte noch lesbare Restdaten – und das, obwohl bei einem Großteil zuvor Löschversuche unternommen worden waren. Einfaches Formatieren oder das Verschieben in den Papierkorb entfernt Daten eben nicht zuverlässig. Wandern solche Datenträger ungeprüft in den Zweitmarkt, drohen Bußgelder nach Art. 32 DSGVO (Sicherheit der Verarbeitung) sowie ein Vertrauensverlust, der sich kaum beziffern lässt.
Ein seriöser ITAD-Partner reduziert genau dieses Risiko – aber nur, wenn er seine Prozesse belegen kann. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt, die Löschung und Vernichtung von Datenträgern nachvollziehbar zu dokumentieren. Wer keine Nachweise liefert, verlagert das Risiko nicht – er versteckt es nur. Bei GCT gilt deshalb der Grundsatz: Sicherheit vor Tempo, und Vertrauen schlägt Marketing.
Welche Zertifizierungen sollte ein seriöser ITAD-Anbieter vorweisen?
Achten Sie auf eine Kombination aus Informationssicherheits-, Datenlöschungs- und Umweltzertifizierungen – eine einzelne Plakette genügt nicht. Zertifikate sind kein Selbstzweck: Sie belegen, dass ein Anbieter regelmäßig von unabhängiger Stelle auditiert wird und definierte Verfahren tatsächlich einhält. Die folgenden Standards haben sich international als Orientierung etabliert:
- ISO/IEC 27001 – das maßgebliche Managementsystem für Informationssicherheit. Es zeigt, dass Datensicherheit organisatorisch verankert ist und nicht erst bei der Löschung beginnt.
- ADISA – ein auf die ITAD-Branche spezialisierter Standard, der Datensicherheits- und Verwertungsprozesse unabhängig und wiederkehrend prüft. Er gilt vielen Einkäufern als verlässlicher Indikator für einen seriösen Anbieter.
- R2v3 und e-Stewards – international anerkannte Standards für verantwortungsvolle Wiederverwendung und Recycling von Elektronik. Sie adressieren Umwelt-, Arbeitsschutz- und Exportauflagen.
- NAID AAA – fokussiert speziell auf nachweisbar sichere Datenvernichtungsprozesse.
Entscheidend ist weniger die einzelne Abkürzung als die Frage: Deckt das Zertifikats-Portfolio beide Risikoseiten ab – die Datensicherheit und die umweltgerechte Verwertung? Bitten Sie um aktuelle Zertifikate samt Gültigkeitsdatum und prüfen Sie, auf welche Standorte und Prozesse sie sich genau beziehen. Ein Anbieter, der hier ausweicht oder nur „nach DSGVO“ als Marketingfloskel anführt, ist ein Warnsignal.
Wie erkennen Sie eine lückenlose Datenlöschung – und welchen Nachweis brauchen Sie?
Eine sichere Datenlöschung orientiert sich an anerkannten Standards und mündet in einem gerätebezogenen Löschnachweis – einem Zertifikat pro Seriennummer. Im deutschsprachigen Raum war lange die Norm DIN 66399 mit ihren Schutzklassen (1 bis 3) und Sicherheitsstufen (1 bis 7) der Bezugspunkt für die Vernichtung von Datenträgern. DIN hat die Norm 2023 zurückgezogen; das zugrunde liegende Konzept lebt jedoch in der internationalen Norm ISO/IEC 21964 weiter, die seit 2018 die Übersetzung von DIN 66399 darstellt. Für die rein logische Löschung (Wiping) sind zusätzlich Frameworks wie NIST 800-88 oder IEEE 2883-2022 etabliert, die je nach Medientyp definieren, wie zuverlässig Daten beseitigt werden.
Für Sie als Auftraggeber zählt am Ende vor allem eines: ein belastbarer, prüffähiger Nachweis. Seriöse Anbieter dokumentieren je Datenträger Typ, Seriennummer, Datum, Methode und Ergebnis der Löschung und stellen darüber ein Zertifikat aus. Software-gestützte Löslösungen wie Blancco erlauben es zudem, Daten zu beseitigen, ohne das Gerät physisch zu zerstören – ein wichtiger Unterschied, denn ein zertifiziert gelöschtes, intaktes Notebook lässt sich wiedervermarkten, ein geschredderter Datenträger nicht. Datensicherheit und Werterhalt schließen sich also nicht aus, sofern der Prozess stimmt.
Warum ist eine lückenlose Aufbewahrungskette entscheidend?
Weil ein Gerät vom Abtransport bis zur Löschung jederzeit zuordenbar sein muss – jede Lücke in dieser Kette ist eine potenzielle Datenschutzlücke. Die sogenannte Chain of Custody (Aufbewahrungskette) protokolliert, wer ein Asset wann übernommen, transportiert und bearbeitet hat. Ein vertrauenswürdiger ITAD-Partner kann diese Kette seriennummerngenau belegen: vom versiegelten oder GPS-getrackten Transport über die Erfassung im Wareneingang bis zur dokumentierten Löschung oder Vernichtung.
Fragen Sie konkret nach: Werden Geräte beim Wareneingang einzeln erfasst? Gibt es ein revisionssicheres Protokoll? Ist auf Wunsch eine Vor-Ort-Löschung oder ein begleiteter Transport möglich? Anbieter, die diese Fragen souverän und mit Beispielen beantworten, geben Ihnen die Audit-Sicherheit, die Sie gegenüber Datenschutzaufsicht, Wirtschaftsprüfung und Geschäftsführung brauchen. Wer dagegen nur vage auf „interne Prozesse“ verweist, kann Ihnen im Ernstfall nichts belegen.
Buyback statt Vernichtung: Wie passen Werterhalt und Datensicherheit zusammen?
Ein professioneller Verwertungspartner verbindet zertifizierte Datenlöschung mit Wiedervermarktung – statt funktionsfähige Hardware vorschnell zu schreddern. Genau hier liegt der wirtschaftliche Hebel, den viele Unternehmen verschenken. Wird ein Datenträger zertifiziert gelöscht statt physisch zerstört, bleibt der Gerätewert erhalten und fließt über ein Buyback-Modell an Sie zurück. Aus einem reinen Kostenposten „Entsorgung“ wird so eine Einnahmequelle – bei gleichzeitig höherer Datensicherheit und einer deutlich besseren CO₂-Bilanz, weil die längere Nutzung eines Geräts ressourcenschonender ist als jedes Recycling.
Diese Logik – Werterhalt vor Wertvernichtung – ist der Kern unserer Arbeit bei Global Circular Tech. Wie ein strukturierter Rückkaufprozess in der Praxis aussieht, zeigt unser Programm zur nachhaltigen IT-Hardware-Verwertung gemeinsam mit BKN. Auch für mobile Endgeräte gilt das Prinzip: Ausgemusterte iPhones und Smartphones lassen sich nach sicherer Löschung wirtschaftlich wiedervermarkten. Wer tiefer einsteigen möchte, warum Kreislaufwirtschaft mehr ist als Recycling, findet die Hintergründe in unserem Buch Circularity Unleashed.
Checkliste: Woran erkennen Sie einen unseriösen Anbieter?
Bevor Sie einen Vertrag unterschreiben, lohnt ein nüchterner Blick auf die Warnsignale. Wird einer der folgenden Punkte zutreffend, sollten Sie genauer hinsehen oder den Anbieter wechseln:
- Er kann keine aktuellen, standortbezogenen Zertifikate vorlegen oder verweist nur unspezifisch auf „DSGVO-Konformität“.
- Es gibt keinen gerätebezogenen Löschnachweis pro Seriennummer, sondern bestenfalls eine pauschale Sammelbestätigung.
- Die Aufbewahrungskette (Chain of Custody) lässt sich nicht lückenlos belegen.
- Der Anbieter wirbt mit einem auffällig niedrigen Preis, ohne den dahinterstehenden Sicherheits- und Verwertungsprozess transparent zu machen.
- Funktionsfähige Hardware wird pauschal geschreddert, statt Werterhalt durch Wiedervermarktung zu prüfen.
- Es bestehen keine klaren Regelungen zu Haftung und Versicherung für den Fall eines Datenvorfalls.
Diese Checkliste ersetzt keine Rechtsberatung, gibt Ihnen aber eine belastbare Grundlage, um Angebote sachlich zu vergleichen. Im Zweifel gilt: Lieber ein nachweisbarer Prozess als ein vermeintliches Schnäppchen.
Häufige Fragen zur Auswahl eines ITAD-Anbieters
Was bedeutet ITAD?
ITAD steht für „IT Asset Disposition“ – den strukturierten Prozess, ausgemusterte IT-Hardware sicher außer Betrieb zu nehmen, Daten normgerecht zu löschen und Geräte anschließend wiederzuvermarkten oder fachgerecht zu recyceln.
Welche Zertifizierung ist bei einem ITAD-Anbieter am wichtigsten?
Es gibt nicht die eine Zertifizierung. Achten Sie auf eine Kombination: ISO/IEC 27001 für Informationssicherheit, branchenspezifische Standards wie ADISA oder NAID AAA für die Datenlöschung sowie R2v3 oder e-Stewards für umweltgerechte Verwertung. Entscheidend ist, dass sowohl Datensicherheit als auch Recycling abgedeckt sind.
Reicht es, Festplatten und Geräte einfach zu formatieren?
Nein. Einfaches Formatieren oder Löschen entfernt Daten nicht zuverlässig – Untersuchungen finden regelmäßig lesbare Restdaten auf vermeintlich gelöschten Datenträgern. Sicher ist nur eine normgerechte Löschung nach anerkannten Standards mit anschließendem Nachweis.
Bekomme ich für jedes Gerät einen Löschnachweis?
Bei einem seriösen Anbieter ja. Sie sollten je Datenträger ein Zertifikat mit Seriennummer, Datum, Löschmethode und Ergebnis erhalten. Dieser Nachweis ist Ihre Absicherung gegenüber Datenschutzaufsicht und Wirtschaftsprüfung.
Ist physische Vernichtung sicherer als eine Software-Löschung?
Beide Wege können bei korrekter Durchführung ein hohes Sicherheitsniveau erreichen. Eine zertifizierte Software-Löschung hat jedoch den Vorteil, dass intakte Geräte erhalten bleiben und wiedervermarktet werden können – das verbindet Datensicherheit mit Werterhalt und einer besseren Ökobilanz.
Fazit: Die Wahl des ITAD-Anbieters entscheidet darüber, ob aus dem Ausmustern Ihrer IT ein Risiko oder ein Wertbeitrag wird. Prüfen Sie Zertifizierungen, fordern Sie gerätebezogene Nachweise und eine lückenlose Aufbewahrungskette ein – und bevorzugen Sie Werterhalt vor Vernichtung. Weiterführend: IT-Hardware nachhaltig verwerten, Smartphones wiedervermarkten oder direkt mit unserem Team sprechen.