Pile of documents with a green sheet symbolising GDPR compliance

DSGVO & nDSG

Datenschutz bei End-of-Life-IT

Wie Datenschutzvorschriften für sichere Vernichtung, Datenlöschung und die Entsorgung von IT-Assets gelten

Wenn IT-Assets ihr Lebensende erreichen, sind sie nicht automatisch von Datenschutzvorgaben ausgenommen.

Enthalten diese Assets noch personenbezogene Daten oder vertrauliche Informationen, unterliegen sie weiterhin der DSGVO und dem nDSG.
Für Organisationen, die in der Schweiz, Frankreich, den Benelux-Staaten, Deutschland und Italien tätig sind, ist es entscheidend zu verstehen, wie DSGVO und nDSG auf End-of-Life-IT anzuwenden sind. Diese Seite erläutert die praktische Anwendung, die wichtigsten operativen Entscheidungspunkte und wie ein strukturierter Ansatz aus sicherer Vernichtung, zertifizierter Datenlöschung und dokumentierter Rückverfolgbarkeit das regulatorische Risiko senkt.

Warum Datenschutzvorgaben wichtig sind

Am Lebensende enthalten viele Geräte und Speichermedien noch personenbezogene, vertrauliche oder sensible Informationen. Smartphones, Laptops, Server, Festplatten und Backups können jahrelange Kundendaten, Personalakten, Finanzinformationen oder Geschäftsgeheimnisse enthalten.
Werden diese Assets ohne geeignete Datenschutzkontrollen behandelt, drohen Organisationen mehrere Risiken:

Regulatorisches Risiko

Die DSGVO gilt für jede Organisation, die personenbezogene Daten in EU-Märkten verarbeitet, das nDSG für Organisationen, die solche Daten in der Schweiz verarbeiten. Beide Regelwerke begründen die Verantwortlichkeit des Verantwortlichen. Verstösse können hohe Bussen, angeordnete Audits und Reputationsschäden nach sich ziehen.
Risiko von Datenpannen

Jedes ohne sichere Handhabung transportierte Asset ist ein Schwachpunkt. Im Transit, im Lager oder in unkontrollierten Händen werden datentragende Geräte zu Einfallstoren für Datenpannen. Die DSGVO verlangt vom Verantwortlichen geeignete technische und organisatorische Massnahmen zum Schutz der Daten.
Reputations- und Betriebsrisiko

Datenpannen, die nach der Entsorgung von Assets entdeckt werden, schädigen das Kundenvertrauen und führen zu behördlichen Untersuchungen und Haftung. Intern wird eine schwache End-of-Life-Governance bei Audits, Verwaltungsratsprüfungen oder behördlichen Anfragen sichtbar und beschädigt die Glaubwürdigkeit gegenüber Stakeholdern.
Verantwortungskette

DSGVO und nDSG verlangen von Verantwortlichen, Aufzeichnungen zu führen und die Einhaltung nachzuweisen. End-of-Life-Prozesse sollten klare, dokumentierte Nachweise liefern: welche Daten sich auf welchen Assets befanden, wie sie behandelt wurden und wer sie gehandhabt hat. Vage Versprechen einer "sicheren Entsorgung" genügen diesen Anforderungen nicht.

Verstösse gegen die DSGVO können hohe finanzielle Sanktionen nach sich ziehen.

Asset-Identifikation

Welche Geräte enthalten noch personenbezogene oder sensible Daten? Nicht alle Assets bergen dasselbe Risiko. Ein öffentlicher Webserver enthält möglicherweise keine personenbezogenen Daten, ein Mitarbeiterarbeitsplatz sehr wahrscheinlich schon. Diese Bewertung bestimmt die Dringlichkeit der Behandlung und die Sicherheitsstufe.
Wahl des Behandlungswegs

Ist die Datensensibilität bestimmt, ergibt sich der Behandlungsweg. Weniger sensible Assets können vor Wiederverkauf oder Recycling für eine zertifizierte Datenlöschung (mit NIST SP 800-88-konformen Methoden) infrage kommen. Sensiblere Assets erfordern eine physische Vernichtung (nach ISO 21964 zertifizierte Methoden).
Kontrolle von Transport und Handhabung

Jedes Asset im Transit oder in der Zwischenlagerung vor der Behandlung ist ein Schwachpunkt. Weniger Transport, sichere Abholprotokolle und die Aufbewahrung in kontrollierten Räumlichkeiten senken das Risiko von Datenpannen. Datentragende Geräte sollten nicht über weite Strecken transportiert werden.
Dokumentation und Rückverfolgbarkeit

DSGVO und nDSG erwarten von Verantwortlichen Aufzeichnungen über die Datenverarbeitung. End-of-Life-Prozesse sollten klare Nachweise liefern: Asset-Inventar, Behandlungsmethode, Vernichtungs- oder Löschzertifikate und endgültiger Verbleib. Diese Dokumentation unterstützt interne Audits und behördliche Anfragen.
Einbindung in die Governance

Entscheidungen zur End-of-Life-IT sollten in die übergeordnete Datenschutz- und Sicherheits-Governance eingebunden sein. Aufbewahrungsrichtlinien legen fest, wann Assets ausgemustert werden dürfen, Sicherheitsrichtlinien definieren zulässige Vernichtungs- oder Löschmethoden und die IT-Beschaffung sollte von Lieferanten eine sichere End-of-Life-Handhabung verlangen.

Wie Katana Digital die Einhaltung des Datenschutzes unterstützt

Das Betriebsmodell von Katana Digital basiert auf der sicheren Handhabung von End-of-Life-IT, mit besonderem Fokus auf Datenschutz, betriebliche Kontrolle und dokumentierte Rückverfolgbarkeit.

Vor-Ort-Vernichtung
Für datentragende Geräte, die physisch vernichtet werden müssen, führt Katana Digital ISO 21964-zertifizierte Schredderungen direkt an Ihrem Standort durch. Dieses Modell adressiert zwei zentrale Compliance-Anliegen:
- Assets mit personenbezogenen Daten verlassen Ihre Räumlichkeiten vor der Vernichtung nie. Das beseitigt das Transportrisiko und wahrt die Kontrolle über die Chain of Custody
- Ihr Team kann die Vorgänge beaufsichtigen und die sichere Ausführung unmittelbar überprüfen
Zertifizierte Datenlöschung
Für Assets, die sich statt für eine physische Vernichtung für eine Datenlöschung eignen, wendet Katana Digital Löschmethoden gemäss NIST SP 800-88 und IEEE 2883 an:
- Die zertifizierte Löschung liefert den dokumentierten Nachweis, dass personenbezogene Daten unwiderruflich entfernt wurden
- Löschzertifikate unterstützen Compliance-Aufzeichnungen und regulatorische Dokumentation
- Assets gelangen erst nach zertifizierter Löschung in Zweitmärkte (Remarketing)

Inventar- und Logistikmanagement
Katana Digital führt detaillierte Aufzeichnungen je Asset, von der Übernahme bis zur abschliessenden Behandlung:
- Der Abgleich der Seriennummern stellt sicher, dass jedes Asset erfasst und nachgewiesen ist
- Sichere Abholprotokolle minimieren die Exposition vor der Behandlung
- Tracking und Dokumentation erfüllen die Anforderungen an die Chain of Custody

1

Datensensibilität bestimmen

Führen Sie ein Daten-Audit durch: Welche Assets enthalten personenbezogene oder vertrauliche Daten? Diese Bewertung bestimmt, ob zertifizierte Löschung oder physische Vernichtung angemessen ist.
2

Passenden Behandlungsweg wählen

Legen Sie für jede Asset-Kategorie fest, ob sichere Löschung (NIST SP 800-88) oder physische Vernichtung (ISO 21964) angemessen ist, je nach Datensensibilität und Risikobereitschaft.
3

Transportrisiko minimieren

Behandeln Sie datentragende Geräte so nah wie möglich am Einsatzort. Vermeiden Sie unnötige Handhabung und dokumentieren Sie klar, wer Assets wann gehandhabt hat.
4

Dokumentation und Zertifikate führen

DSGVO und nDSG erwarten von Verantwortlichen Aufzeichnungen: Asset-Inventar, angewandte Behandlungsmethoden und Entsorgungsnachweise (Zertifikate, endgültiger Verbleib).
5

In die Daten-Governance einbinden

Verknüpfen Sie End-of-Life-Prozesse mit Aufbewahrungsrichtlinien, Sicherheitsstandards, Beschaffungsanforderungen und Compliance-Rahmenwerken. Integrieren Sie dies in jährliche Compliance-Reviews.

Häufige Fragen

Die Verantwortung für personenbezogene Daten bleibt bei der Organisation. Katana Digital ist ein spezialisierter Dienstleister für die sichere End-of-Life-Behandlung, ersetzt aber nicht Ihre Rolle als Verantwortlicher im Sinne der DSGVO oder des nDSG.

Angebot anfordern
Datentragende Geräte werden an Ihrem Standort vernichtet und reisen daher nie intakt. Ihr Team kann den Vorgang beaufsichtigen, und das Vernichtungszertifikat dokumentiert, was wie und wann behandelt wurde.
Ja. Jedes Projekt liefert Aufzeichnungen je Asset, Vernichtungs- oder Löschzertifikate und Angaben zum endgültigen Verbleib, die Sie in Ihren Compliance-Unterlagen aufbewahren können.
Wir sind keine Anwaltskanzlei und leisten keine Rechtsberatung. Wir helfen Ihnen, am Lebensende geeignete technische und organisatorische Massnahmen umzusetzen, und liefern die Dokumentation, die Ihre Rechts- und Compliance-Teams benötigen.