Geräte abgeben, Risiken eliminieren: Was beim Ankauf gebrauchter IT wirklich zählt

 Jedes Jahr landen Zehntausende Notebooks, Server und Mobilgeräte in deutschen Unternehmenskellern – vergessen, aber keineswegs harmlos. Die Festplatten ticken wie Zeitbomben. Denn wer glaubt, ein gelöschtes Gerät sei ein sicheres Gerät, hat die Datenschutzgrundverordnung (DSGVO) schlicht nicht gelesen.

Das Problem ist strukturell. IT-Abteilungen kämpfen gegen Refresh-Zyklen, Budgetdruck und immer komplexere Compliance-Anforderungen. Der Ankauf geräte-Prozess – also die geordnete Übergabe ausgedienter Hardware an einen zertifizierten Dienstleister – wird dabei häufig als lästige Nacharbeit behandelt. Dabei ist er das Gegenteil: ein kritischer Kontrollpunkt im IT-Lifecycle.

Warum der falsche Entsorgungsweg Unternehmen ruinieren kann

Das DSGVO-Risiko: Keine Kleinigkeit

Artikel 83 DSGVO kennt keine Milde. Datenschutzverletzungen, die auf unsachgemäß entsorgter Hardware zurückzuführen sind, können Bußgelder von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes nach sich ziehen – je nachdem, welcher Betrag höher ist. Kein Rechtsabteilungsleiter will diesen Satz zweimal lesen müssen.

Aber das eigentliche Risiko sitzt tiefer. Wir sprechen über Geräte, die jahrelang im produktiven Einsatz waren: Notebooks von Vertrieblern mit Kundendaten, Server mit HR-Informationen, Tablets aus der Produktion mit Fertigungsgeheimnissen. Ein einziger Laptop, der über einen grauen Kanal weitergegeben wird, reicht für einen handfesten Compliance-Vorfall.

Software-Löschung? Nicht immer ausreichend

Hier ein Insider-Detail, das in den meisten Beratungsgesprächen fehlt: Software-basierte Datenlöschung versagt zuverlässig bei beschädigten SSDs. Defekte Sektoren werden vom Betriebssystem schlicht ausgespart. Das Datenvernichtungsprotokoll sieht sauber aus – die Daten sind es nicht. Wer diesen Punkt übersieht, unterschreibt einen Audit-Trail, der im Ernstfall nicht hält.

BSI-Richtlinien (konkret: BSI-Grundschutz, Baustein CON.6) fordern deshalb eine Kombination aus verifizierten Löschverfahren und lückenlosem Seriennummern-Tracking. Jedes Gerät muss rückverfolgbar sein – von der Abholung bis zur finalen Verwertung oder physischen Vernichtung.

Was professioneller Ankauf geräte in der Praxis bedeutet

Nicht jeder, der „Recycling" sagt, meint dasselbe

Der Markt ist voll von Anbietern, die auf ihrer Website mit Zertifikaten werben. Grüne Banner, ISO-Logos, Nachhaltigkeitsversprechen. Doch ein Zertifikat ist nur so gut wie der Prozess dahinter. Die entscheidenden Fragen, die ein IT-Manager stellen sollte:

• Wer führt die Datenlöschung durch – der Anbieter selbst oder ein unbekannter Subunternehmer?
• Existiert ein lückenloser Audit-Trail mit Geräte-Seriennummern und Zeitstempeln?
• Wird ein rechtskonformes Datenvernichtungsprotokoll ausgestellt, das im Falle einer Behördenprüfung standhält?
• Ist der Anbieter als Entsorgungsfachbetrieb anerkannt?

Greenwashing im ITAD-Bereich ist keine Seltenheit. Manche Anbieter sammeln Geräte ein, exportieren sie unkontrolliert in Drittländer und nennen das „Remarketing". Was dann mit den Daten passiert, weiß niemand.

Der Remarketing-Prozess: Wo Nachhaltigkeit und Datenschutz zusammenkommen

Professioneller Ankauf geräte bedeutet: Ein zertifizierter Dienstleister übernimmt die Hardware, prüft jedes Gerät technisch, löscht die Daten nachweisbar gemäß BSI-Richtlinien und führt anschließend einen strukturierten Remarketing-Prozess durch. Geräte, die noch marktfähig sind, werden aufbereitet und einem zweiten Lebenszyklus zugeführt. Der wirtschaftliche Gegenwert – der Ankaufspreis – fließt an das Unternehmen zurück.

Das ist kein Widerspruch zur Compliance. Es ist deren logische Verlängerung.

Second IT: Lifecycle Management ohne blinde Flecken

Second IT hat sich auf genau diesen Prozess spezialisiert – vom ersten Beratungsgespräch bis zum finalen Datenvernichtungsprotokoll. Keine ausgelagerten Subunternehmer an kritischen Stellen. Eigene Logistik, eigene Löschinfrastruktur, eigenes Kundenportal für Echtzeit-Tracking.

Was den Unterschied macht

Seriennummern-Tracking ab Abholung. Jedes Gerät wird beim Ankauf geräte sofort erfasst – Seriennummer, Modell, Zustand. Keine anonymen Paletten, keine Lücken im Audit-Trail. Das ist der Unterschied zwischen einem Protokoll, das vor einer Datenschutzbehörde Bestand hat, und einem, das es nicht tut.

BSI-konforme Löschung – auch bei SSD-Schäden. Second IT setzt auf mehrstufige Prüfverfahren. Geräte, deren Speicher sich nicht softwarebasiert zertifiziert löschen lassen, werden physisch vernichtet – dokumentiert, zertifiziert, revisionssicher.

Fairer Ankaufspreis durch strukturierte Bewertung. Marktgerechte Bewertung statt Pauschalangebote. Wer 200 Notebooks abgibt, bekommt keinen Preis wie für fünf. Das Volumen zählt, die Kategorie zählt, der Zustand zählt – und all das fließt transparent in die Kalkulation ein.

Kundenportal mit Echtzeit-Einblick. Kein Rätselraten, wo die eigenen Geräte gerade stecken. Das Second IT B2B-Portal zeigt den aktuellen Status jedes Geräts – für IT-Manager, die Rechenschaft ablegen müssen, kein Nice-to-have, sondern ein Must-have.

Praktische Handlungsempfehlungen für IT-Entscheider

Wer heute noch keinen dokumentierten Prozess für die Hardware-Verwertung hat, sollte drei Dinge sofort klären:

Erstens: Welche Geräte liegen im Lager oder sind im nächsten Refresh-Zyklus fällig? Eine schlichte Asset-Liste reicht als Ausgangspunkt.

Zweitens: Verfügt der aktuelle Dienstleister über ein anerkanntes Datenvernichtungsprotokoll, das im Ernstfall vor der Datenschutzbehörde trägt? Falls die Antwort unsicher ist, ist das bereits eine Antwort.

Drittens: Wird der wirtschaftliche Restwert der Geräte systematisch gehoben? Viele Unternehmen verschenken buchstäblich Geld, weil sie Altgeräte entsorgen statt verwerten.

FAQ: Häufige Fragen zum professionellen Ankauf gebrauchter IT-Geräte

Wie läuft der Ankauf geräte bei einem professionellen ITAD-Dienstleister konkret ab?

Der Prozess beginnt mit einer strukturierten Anfrage – idealerweise mit einer Asset-Liste, die Gerätekategorien, Stückzahlen und ungefähren Zustand enthält. Darauf folgt ein Angebot mit transparenter Bewertungslogik. Nach Beauftragung übernimmt der Dienstleister die Logistik, erfasst jedes Gerät per Seriennummern-Tracking, führt die zertifizierte Datenlöschung durch und stellt ein rechtskonformes Datenvernichtungsprotokoll aus. Der Auszahlungsbetrag wird nach Prüfung überwiesen. Der gesamte Vorgang sollte vollständig dokumentiert und über ein Kundenportal nachverfolgbar sein.

Was passiert mit Geräten, die sich nicht mehr softwarebasiert löschen lassen?

Das ist eine Frage, die viele Anbieter lieber vermeiden. Bei beschädigten Speichermedien – insbesondere SSDs mit defekten Sektoren – greift eine rein softwarebasierte Löschung nicht zuverlässig. Professionelle Dienstleister wie Second IT setzen in solchen Fällen auf physische Datenvernichtung nach BSI-Richtlinien: Schreddern oder Degaussing, dokumentiert und zertifiziert. Nur so ist sichergestellt, dass das ausgestellte Protokoll auch rechtlich belastbar ist.

Welche Zertifizierungen sollte ein ITAD-Anbieter nachweisen können?

Mindestens sollte ein anerkanntes Verfahren zur Datenlöschung (z. B. nach BSI-Grundschutz oder NIST 800-88) dokumentiert sein. Darüber hinaus ist die Anerkennung als Entsorgungsfachbetrieb relevant, ebenso wie Zertifizierungen nach ISO 27001 (Informationssicherheit) und ISO 14001 (Umweltmanagement). Ein pauschales „wir sind zertifiziert" ohne konkrete Benennung der Standards ist kein ausreichender Nachweis und sollte kritisch hinterfragt werden.

Wie hoch ist der typische Restwert gebrauchter Unternehmens-IT?

Das variiert stark nach Gerätekategorie, Alter und Zustand. Ein drei Jahre alter Business-Laptop in gutem Zustand erzielt im Remarketing-Prozess deutlich mehr als ein fünf Jahre altes Konsumergerät. Server-Hardware mit hoher Konfiguration kann überraschend wertvoll sein, selbst wenn sie intern als veraltet gilt. Pauschalaussagen helfen hier nicht – eine seriöse Bewertung erfordert die genaue Spezifikation. Grundsätzlich gilt: Je strukturierter und vollständiger die Gerätedaten bei der Anfrage, desto präziser und fairer das Angebot.

Müssen Unternehmen bei der Hardware-Übergabe die DSGVO aktiv nachweisen?

Ja. Die DSGVO legt die Nachweispflicht auf den Verantwortlichen – also das Unternehmen, nicht den Dienstleister. Das bedeutet: Im Falle einer Prüfung muss das Unternehmen belegen können, dass die Datenvernichtung ordnungsgemäß erfolgt ist. Ein lückenhafter oder fehlender Audit-Trail ist kein Kavaliersdelikt. Das Datenvernichtungsprotokoll des beauftragten Dienstleisters ist dabei das zentrale Dokument – es sollte jedes einzelne Gerät mit Seriennummer, Löschverfahren und Datum ausweisen.