IT ausgemustert, und dann fragt der Prüfer: Welche Belege Sie wirklich brauchen

Kurz gesagtSie brauchen sieben Belege, die aufeinander verweisen: Inventarliste, Vertrag zur Auftragsverarbeitung, Übergabeschein, Löschprotokoll je Seriennummer, Vernichtungszertifikat für nicht löschbare Datenträger, Gutschrift oder Verkaufsbeleg und Ihren eigenen Abgleich. Der Abgleich entscheidet: Er zeigt dem Prüfer, dass jede Seriennummer der Liste einen Endbeleg hat.

Die alten Notebooks sind abgeholt, das Projekt ist abgehakt. Monate später fragt die Revision oder der Wirtschaftsprüfer nach: Wo sind die 240 Geräte geblieben, und wie belegen Sie, dass die Daten darauf gelöscht sind? Die Antwort steht in sieben Belegen, wenn sie aufeinander verweisen.

Warum müssen Sie die Löschung selbst belegen?

Nach Art. 5 Abs. 2 DSGVO ist der Verantwortliche für die Einhaltung der Datenschutzgrundsätze verantwortlich und muss sie nachweisen können. Art. 24 Abs. 1 verlangt Maßnahmen, mit denen Sie diesen Nachweis erbringen können, und ihre Überprüfung, wo nötig. Die Datenschutzkonferenz (DSK) stellt klar: Die Nachweispflicht umfasst auch die Arbeit eines Auftragsverarbeiters. Wer einen Dienstleister beauftragt, gibt sie nicht ab.

Die DSK zählt die „Datenträgerentsorgung durch Dienstleister“ ausdrücklich zur Auftragsverarbeitung. Art. 28 DSGVO verlangt dafür einen Vertrag, schriftlich oder elektronisch, und erlaubt nur Dienstleister, die hinreichende Garantien für geeignete Schutzmaßnahmen bieten. Zwei Vertragspflichten tragen Ihren Nachweis: Nach Abschluss der Leistung löscht der Dienstleister die Daten oder gibt sie zurück, nach Ihrer Wahl (Art. 28 Abs. 3 lit. g). Und er stellt Ihnen alle Informationen zum Nachweis zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen (lit. h). Steht beides im Vertrag, können Sie Löschnachweise verlangen. Weitere Auftragsverarbeiter, etwa einen Vernichtungsbetrieb, darf er nur mit Ihrer vorherigen Genehmigung, schriftlich oder elektronisch, einsetzen (Art. 28 Abs. 2).

Im Verzeichnis von Verarbeitungstätigkeiten beschreiben Sie nach Art. 30 Löschfristen und technische und organisatorische Maßnahmen. Die DSK nennt als solche Maßnahmen die „Inventarisierung der Informationstechnik“ und Festlegungen zu Löschverfahren und zur Beauftragung von Dienstleistern. Die Ausnahme für Unternehmen unter 250 Beschäftigten greift laut DSK selten, etwa wegen der regelmäßigen Lohnabrechnung. Art. 32 Abs. 1 lit. d verlangt schließlich ein Verfahren, um die Wirksamkeit dieser Maßnahmen regelmäßig zu überprüfen.

Welche sieben Belege bilden einen vollständigen Nachweis?

Zusammen ergeben die sieben Belege die Nachweiskette. Die dritte Spalte zeigt, woran ein Prüfer einen schwachen Beleg erkennt.

Inventarliste

Ohne Liste gibt es nichts, wogegen sich die übrigen Belege prüfen lassen. Sie braucht je Gerät mindestens Typ, Modell und Seriennummer, bei Servern auch die einzelnen Laufwerke (Inventarisierung). Wer die Liste erst aus den Protokollen des Dienstleisters zusammensetzt, prüft die Protokolle gegen sich selbst.

Vertrag zur Auftragsverarbeitung

Der Vertrag zur Auftragsverarbeitung erlaubt einem Dritten, Ihre Datenträger zu verarbeiten. Nachträglich unterschrieben hilft er für die Zeit davor wenig. Er entfällt nur, wenn Sie selbst nachweislich gelöscht haben, bevor die Geräte das Haus verlassen.

Löschprotokoll

Das Löschprotokoll muss sich einem einzelnen Datenträger zuordnen lassen, über die Seriennummer, bei Smartphones zusätzlich über die IMEI. Es nennt Verfahren mit Standard und Stufe, etwa NIST SP 800-88 Purge, Zeitpunkt und Ergebnis. Welche Felder hineingehören, zeigt der Beitrag Löschprotokoll: Was drinstehen muss.

Vernichtungszertifikat

Defekte Festplatten oder Speicher, die sich nicht ansprechen lassen, werden physisch zerstört. Der Beleg dafür ist ein Zertifikat zur Datenträgervernichtung. Stehen darin Seriennummern, setzen Sie den Datenträger in der Liste auf „vernichtet“ statt auf „gelöscht“.

Wo reißen Nachweise in der Praxis?

Drei Notebooks gehen „schnell mal“ ohne Vertrag mit. Damit fehlt die Grundlage für alle weiteren Belege.

Das Vernichtungszertifikat stammt von einem Betrieb, den Sie nie genehmigt haben. Fragen Sie deshalb vor der Abholung, wer vernichtet.

Auf der Liste stehen 240 Geräte, auf dem Übergabeschein 236, Protokolle gibt es für 231. Solange die Differenz nicht schriftlich erklärt ist, bleibt jedes fehlende Gerät für den Prüfer ein offener Datenträger.

Der Vertrag liegt beim Einkauf, die Protokolle im Postfach der IT. Die DSK empfiehlt, die Datenschutzdokumentation an zentraler Stelle zu pflegen.

Wie wird aus Belegen ein Nachweis?

Den Nachweis bildet erst der Abgleich. Nehmen Sie die Inventarliste und tragen Sie zu jeder Seriennummer ein, ob sie auf dem Übergabeschein steht und welcher Endbeleg dazu gehört: Löschprotokoll oder Vernichtungszertifikat.

Am Ende darf keine Zeile leer bleiben. Bleibt eine leer, fragen Sie nach, solange sich alle Beteiligten erinnern. Halten Sie das Ergebnis mit Datum und Namen der Person fest, die abgeglichen hat. Dieses Dokument zeigt dem Prüfer, dass Ihr Unternehmen die Kontrolle selbst ausgeübt hat.

Wie lange heben Sie die Belege auf?

Für die Buchhaltung gelten § 147 AO und § 257 HGB: Buchungsbelege wie Gutschriften und Rechnungen acht Jahre, Inventare zehn Jahre, empfangene Geschäftsbriefe sechs Jahre. Kreditinstitute, Versicherungsunternehmen und Wertpapierinstitute bewahren Buchungsbelege nach § 257 Abs. 4 HGB zehn Jahre auf. Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem die Unterlage entstanden ist. Einzelheiten stehen unter Aufbewahrungsfristen.

Für Vertrag, Übergabeschein und Löschprotokolle nennt die DSGVO keine eigene Frist; Sie brauchen sie, solange Sie die Löschung nachweisen wollen. Legen Sie die Dauer in Ihrem Löschkonzept präzise fest, ein allgemeiner Verweis auf Aufbewahrungspflichten genügt laut DSK nicht. Bewahren Sie alle Belege eines Vorgangs gemeinsam auf, damit kein Teil früher vernichtet wird.

Was Sie jetzt tun sollten

1. Letzte Ausmusterung nachprüfen. Legen Sie die Belege Ihres jüngsten Vorgangs nebeneinander und gleichen Sie die Seriennummern ab.
2. Vorlage für die Inventarliste anlegen. Spalten für Seriennummer, Übergabe, Endbeleg und Bemerkung. So entsteht der Abgleich nebenbei.
3. Vertrag zur Bedingung machen. Kein Gerät mit Daten verlässt das Haus ohne unterschriebenen Vertrag zur Auftragsverarbeitung, auch nicht drei Notebooks. Prüfen Sie darin Löschung nach Abschluss, Nachweis- und Prüfrechte und die Genehmigung von Unterauftragnehmern.
4. Einzelnachweise verlangen. Keine Sammelbestätigung annehmen: ein Protokoll je Seriennummer, ein Zertifikat für jeden vernichteten Datenträger.
5. Einen Ablageort bestimmen. Alle Belege eines Vorgangs in einem Ordner, mit Verweis im Verzeichnis.
6. Ablauf schriftlich festhalten. Die Checkliste zur IT-Ausmusterung eignet sich als Grundlage für eine eigene Arbeitsanweisung.

So belegen wir eine Ausmusterung

Vor jeder Abholung von Geräten mit Daten schließen wir einen Vertrag zur Auftragsverarbeitung. Für Berufsgeheimnisträger wie Praxen und Kanzleien unterschreiben wir vorher zusätzlich eine Verpflichtung zur Geheimhaltung nach § 203 StGB. Bei der Abholung erhalten Sie einen Übergabeschein. Gelöscht wird in Deutschland mit Securaze nach NIST SP 800-88 Purge, jedes Gerät bekommt sein Löschprotokoll mit Seriennummer. Nicht löschbare Datenträger werden bei zertifizierten deutschen Recycling-Partnern physisch vernichtet, mit Zertifikat. Für angekaufte Geräte erhalten Sie eine Gutschrift. Wie der Ablauf insgesamt aussieht, steht unter Firmen-IT ausmustern und Datenlöschung.

Keine Rechtsberatung. Stand der Angaben: 7. Oktober 2026.