Datenlöschung DSGVO: Warum Standardlöschung im Audit oft versagt

Ein mittelständisches Unternehmen aus Baden-Württemberg tauscht 220 Notebooks aus. Die IT-Abteilung formatiert die Festplatten, dokumentiert nichts, verkauft die Geräte über eine Kleinanzeige. Neun Monate später meldet sich ein Kunde: Auf einem der Geräte lassen sich mit einer handelsüblichen Recovery-Software noch Vertragsdaten wiederherstellen. Der Datenschutzbeauftragte erfährt davon erst durch die Presseanfrage.

Diese Situation ist kein Einzelfall. Sie ist der Normalfall, wenn Unternehmen Datenlöschung DSGVO-konform umsetzen wollen, aber den Unterschied zwischen "gelöscht" und "physikalisch nicht mehr rekonstruierbar" nicht kennen.

Die DSGVO selbst schreibt keine konkrete Löschmethode vor. Sie verlangt in Art. 17 lediglich die Löschung personenbezogener Daten, sobald der Zweck der Verarbeitung entfällt. Genau diese Unschärfe wird vielen Unternehmen zum Verhängnis – denn "Löschung" wird juristisch als Ergebnis definiert, nicht als Methode. Ob dieses Ergebnis erreicht wurde, muss im Zweifel nachgewiesen werden. Und genau da beginnt die eigentliche Arbeit.

Was bedeutet Datenlöschung im DSGVO-Kontext wirklich?

Datenlöschung im Sinne der DSGVO bezeichnet die technisch vollständige und dauerhafte Unkenntlichmachung personenbezogener Daten, sodass eine Wiederherstellung mit vertretbarem Aufwand ausgeschlossen ist. Eine einfache Formatierung oder das Verschieben in den Papierkorb erfüllt diese Anforderung nicht.

Warum Formatierung und Werksreset in der Praxis nicht ausreichen

Formatierung löscht keine Daten. Sie entfernt lediglich den Verweis im Dateisystem, während die eigentlichen Bitmuster auf dem Datenträger physisch erhalten bleiben. Genau deshalb funktionieren Recovery-Tools so zuverlässig – sie suchen nicht nach gelöschten Dateien, sondern nach Datenresten, die nie wirklich verschwunden waren.

Bei SSDs kommt eine zusätzliche Komplikation hinzu, die in vielen Löschkonzepten schlicht übersehen wird. Durch Wear-Leveling-Mechanismen im Controller werden Schreibvorgänge über die gesamte Zellstruktur verteilt. Ein einzelner Löschbefehl auf Betriebssystemebene erreicht dadurch nicht zwangsläufig alle physischen Speicherzellen, in denen ursprünglich Daten lagen. Software-Löschung muss deshalb auf ATA Secure Erase oder vergleichbare Controller-Befehle zurückgreifen – nicht auf einfaches Überschreiben, wie es bei HDDs noch funktioniert.

Insider-Beobachtung: In der Praxis zeigt sich, dass etwa jede zehnte SSD in größeren Chargen nicht über Standardmethoden erfolgreich gelöscht werden kann – meist wegen defekter Sektoren, gesperrter Bereiche oder Controller-Fehlern. Genau hier entstehen die Fälle, die später bei einem Audit zum Problem werden, weil niemand dokumentiert hat, was mit diesen Ausnahmen passiert ist.

Welche Risiken entstehen bei fehlerhafter oder unvollständiger Löschung?

Der letzte Punkt wird regelmäßig unterschätzt. Ein Auditor prüft selten, ob die Löschung technisch perfekt war. Er prüft, ob sie nachvollziehbar dokumentiert ist. Ohne lückenlosen Zertifikatsnachweis pro Gerät – nicht pro Charge – gilt der Prozess als nicht auditierbar. Das ist der Unterschied zwischen einer guten Absicht und einer belastbaren Compliance-Dokumentation.

Interne Löschung vs. professionelle Umsetzung im Vergleich

Die fünf häufigsten Fehler bei der Umsetzung

• Fehlende Gerätebezogenheit – Löschzertifikate werden pauschal für ganze Chargen ausgestellt statt pro Seriennummer.
• Keine Definition für Fehlerfälle – Was passiert mit Datenträgern, die sich nicht löschen lassen? Ohne klare Eskalationsregel bleibt diese Frage offen bis zum Audit.
• Unterschätzte Backup-Kopien – Cloud-Snapshots, Image-Backups oder Testumgebungen enthalten oft dieselben Daten, werden aber nicht in den Löschprozess einbezogen.
• Lückenhafte Transportdokumentation – Zwischen Abholung und Löschung liegt oft ein Zeitfenster, in dem niemand nachweisen kann, wo sich die Geräte befanden.
• Verwechslung von Löschung und Anonymisierung – Beide Begriffe werden häufig synonym verwendet, obwohl die DSGVO unterschiedliche Anforderungen daran stellt.

Expert Tipp: Fordern Sie von jedem Dienstleister eine Musterdokumentation an, bevor Sie den ersten Auftrag vergeben. Ein seriöser Anbieter zeigt Ihnen anstandslos ein anonymisiertes Beispielzertifikat mit Seriennummer, Löschmethode, Zeitstempel und Verifikationsstatus.

Wie professionelle Datenerasure-Prozesse in der Praxis ablaufen

Ein belastbarer Prozess folgt in der Regel diesem Ablauf: Abholung mit dokumentierter Chain of Custody, Erfassung jeder Seriennummer, zertifizierte Löschung nach anerkanntem Standard wie Blancco, automatisierte Verifikation des Löschergebnisses und abschließend ein individuelles Zertifikat pro Gerät. Erst danach folgt die Entscheidung über Remarketing oder physische Zerstörung.

Praxisbeobachtung: Viele Unternehmen stellen erst im Audit fest, dass ihr bisheriger Dienstleister zwar "zertifiziert löscht", aber keine Verifikation nach der Löschung durchführt. Löschung ohne Verifikation ist wie ein Vertrag ohne Unterschrift – die Absicht war vorhanden, der Nachweis fehlt.

Checkliste: Fünf Fragen an jeden ITAD-Anbieter

• Erhalte ich ein Löschzertifikat pro Seriennummer oder nur pro Charge?
• Nach welchem Standard wird gelöscht – DIN 66399, NIST 800-88 oder herstellereigene Methoden?
• Wie wird mit Datenträgern umgegangen, die sich nicht softwareseitig löschen lassen?
• Ist die Chain of Custody ab Abholung lückenlos dokumentiert?
• Wird das Löschergebnis technisch verifiziert oder nur protokolliert?

Mini-Fallstudie: Wenn ein einzelnes Gerät zum Problem wird

Situation: Ein Logistikunternehmen ersetzt 400 Notebooks im Rahmen eines IT-Refreshs.

Herausforderung: Eine SSD-Charge zeigt nach dem Löschversuch einen Controller-Fehler; die Standardlöschung schlägt fehl.

Entscheidung: Statt das Gerät unbemerkt weiterzugeben, wird es aus dem Remarketing-Prozess genommen und physisch zerstört, dokumentiert mit separatem Zertifikat.

Ergebnis: Beim folgenden ISO-27001-Audit gilt genau dieser Einzelfall als Nachweis für einen funktionierenden Eskalationsprozess – nicht als Schwachstelle.

Lektion: Ausnahmen sind kein Makel im Prozess. Fehlende Dokumentation der Ausnahme ist es.

Was Unternehmen jetzt konkret tun sollten

Prüfen Sie zunächst, ob Ihr aktueller Prozess gerätebezogene Zertifikate ausstellt. Wenn nicht, ist das der erste Punkt, den Sie beim nächsten Hardware-Refresh ändern sollten. Second IT begleitet Unternehmen genau an dieser Stelle – von der zertifizierten Löschung nach Blancco-Standard bis zur vollständigen Chain-of-Custody-Dokumentation, kombiniert mit fachgerechtem IT-Remarketing oder zertifizierter Entsorgung.

Wer Datenlöschung DSGVO-konform, auditfähig und wirtschaftlich sinnvoll umsetzen will, sollte den Prozess nicht als reine IT-Aufgabe betrachten, sondern als Teil der gesamten Asset-Lifecycle-Strategie – von der Beschaffung bis zur Kreislaufwirtschaft.

FAQ

Reicht eine Formatierung der Festplatte für die DSGVO aus?

Nein. Formatierung entfernt lediglich die Dateizuordnung, die eigentlichen Daten bleiben physisch auf dem Datenträger erhalten. Für eine DSGVO-konforme Löschung ist ein zertifiziertes Überschreibverfahren oder eine physische Zerstörung notwendig, das den Wiederherstellungsaufwand praktisch ausschließt.

Wann ist eine zertifizierte Datenlöschung gesetzlich verpflichtend?

Verpflichtend wird sie immer dann, wenn personenbezogene Daten auf einem Datenträger gespeichert waren und dieser den Verantwortungsbereich des Unternehmens verlässt – etwa beim Verkauf, Leasingrückgabe oder Entsorgung. Die Nachweispflicht ergibt sich aus der Rechenschaftspflicht nach Art. 5 DSGVO.

Was passiert, wenn eine SSD sich nicht löschen lässt?

In diesem Fall reicht Software-Löschung nicht aus. Die Festplatte sollte physisch zerstört werden, idealerweise mit dokumentiertem Einzelnachweis. Ein seriöser ITAD-Partner erkennt solche Fälle automatisch während der Verifikation und eskaliert sie, statt sie unbemerkt durchlaufen zu lassen.

Welchen Unterschied macht ein Zertifikat nach DIN 66399?

Die DIN 66399 definiert Sicherheitsstufen für die Vernichtung von Datenträgern, abhängig von der Schutzklasse der Daten. Ein Zertifikat nach diesem Standard belegt nachvollziehbar, welche Methode und welches Sicherheitsniveau angewendet wurde – ein wichtiges Argument gegenüber Aufsichtsbehörden.

Lohnt sich professionelle Datenlöschung finanziell überhaupt?

Ja, meist sogar doppelt. Zum einen vermeidet sie Bußgeldrisiken und Reputationsschäden. Zum anderen ermöglicht sie überhaupt erst den Wiederverkauf der Geräte im Remarketing, da Käufer ein lückenloses Löschzertifikat verlangen – ohne dieses bleibt oft nur die Entsorgung als Option.