Altgerät mit Daten verloren oder ungelöscht verkauft: Was jetzt nach DSGVO zu tun ist

Kurz gesagtGeht ein Altgerät mit personenbezogenen Daten verloren oder gelangt es ungelöscht an Unbefugte, ist das eine Datenschutzverletzung. Sie dokumentieren sie immer und melden sie unverzüglich, möglichst binnen 72 Stunden, der Aufsicht, außer es droht voraussichtlich kein Risiko, etwa weil das Gerät sicher verschlüsselt war, der Schlüssel bei Ihnen blieb und eine Sicherung existiert.

Nach dem Umzug fehlt ein Karton mit drei Notebooks. Oder ein ausgemusterter PC taucht in einer Kleinanzeige auf, und der Käufer meldet sich, weil noch die Lohnbuchhaltung darauf liegt. In beiden Fällen läuft ab dem Moment, in dem Sie es sicher wissen, eine Frist. Bis dahin klären Sie das Risiko für die Betroffenen und bereiten die Meldung vor.

Ist das überhaupt eine Datenschutzverletzung?

Art. 4 Nr. 12 DSGVO definiert sie als Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung personenbezogener Daten führt. Ein Versehen genügt. Der Europäische Datenschutzausschuss (EDSA) nennt als Beispiel ausdrücklich ein Gerät mit einer Kopie der Kundendatenbank, das verloren geht oder gestohlen wird. Mehr zum Begriff steht im Glossar unter Datenschutzverletzung.

Für Altgeräte heißt das:

• Verloren oder gestohlen: ein Verlust. Art. 4 Nr. 12 nennt den Verlust neben der Offenlegung. Ob jemand die Daten gelesen hat, ist dafür unerheblich.
• Ungelöscht verkauft oder verschenkt: eine unbefugte Offenlegung. Ein ehrlicher Käufer, der sich meldet, senkt das Risiko, beseitigt die Verletzung aber nicht.
• Versehentlich ungelöscht an einen bekannten Partner gegangen, der dafür keinen Auftrag hatte, etwa an den Leasinggeber: Auch das ist eine Verletzung. Der EDSA lässt hier aber zu, das Vertrauensverhältnis in der Risikobewertung zu berücksichtigen (mehr dazu unten).

Lagen auf dem Gerät keine personenbezogenen Daten, etwa nur ein frisch installiertes Betriebssystem, liegt keine Datenschutzverletzung vor. Halten Sie fest, woraus Sie das schließen, etwa aus dem Löschprotokoll.

Wann die 72 Stunden beginnen

Die Frist läuft ab Kenntnis. Nach den Leitlinien 9/2022 des EDSA ist das der Zeitpunkt, ab dem Sie hinreichende Gewissheit haben, dass ein Vorfall personenbezogene Daten betroffen hat. Bei einem Hinweis dürfen Sie zuerst kurz prüfen. Während dieser Prüfung gilt die Verletzung noch nicht als bekannt. Die Prüfung muss aber sofort beginnen und soll nur in Ausnahmefällen länger dauern.

Beim Verlust zieht der EDSA die Grenze eng: Wer einen unverschlüsselten USB-Stick vermisst, hat in dem Moment Kenntnis, in dem er den Verlust bemerkt. Für ein fehlendes unverschlüsseltes Notebook sollten Sie denselben Maßstab anlegen.

Vollständig sein muss die erste Meldung nicht:

1. Schrittweise melden. Nach Art. 33 Abs. 4 DSGVO dürfen Sie Angaben ohne unangemessene weitere Verzögerung nachreichen. Sagen Sie schon in der ersten Meldung, dass weitere folgen.
2. Verspätung begründen. Melden Sie nach mehr als 72 Stunden, fügen Sie eine Begründung bei (Art. 33 Abs. 1).
3. Entwarnung nachmelden. Taucht der Karton wieder auf, teilen Sie das der Behörde mit und bitten um Änderung der Meldung. Für eine Meldung, die sich später als unbegründet erweist, gibt es laut EDSA keine Strafe.

Melden oder nicht: die Risikoabwägung

Art. 33 und 34 DSGVO knüpfen an das Risiko für die Rechte und Freiheiten der betroffenen Personen an. Davon hängt ab, was Sie tun müssen:

Für Altgeräte entscheiden vor allem diese Fragen:

• Welche Daten lagen darauf? Kontaktdaten wiegen weniger als Gesundheitsdaten, Personalakten oder Kontoverbindungen, Kombinationen mehr als Einzelangaben.
• Wie viele Personen sind betroffen? Ein lokal gespeichertes Postfach oder eine exportierte Kundenliste zählt mit, auch wenn das Gerät nur einer Person gehörte.
• War das Gerät wirklich verschlüsselt? BitLocker oder FileVault schützen nur, wenn weder Kennwort noch Wiederherstellungsschlüssel mitgegangen sind. Der EDSA warnt zudem: Ein Gerät kann im ausgeschalteten Zustand verschlüsselt sein, im Stand-by aber nicht. Wer fälschlich auf Verschlüsselung vertraut und nicht meldet, verstößt gegen Art. 33.
• Gibt es die Daten noch anderswo? Ohne Sicherung kommt zum Vertraulichkeitsproblem ein Verlust der Verfügbarkeit hinzu.
• Wer hat das Gerät jetzt? Bei einem bekannten Empfänger, zu dem eine laufende Geschäftsbeziehung besteht, darf nach dem EDSA berücksichtigt werden, dass er die Daten zurückgibt oder sicher vernichtet. Das kann das Risiko so weit senken, dass Meldung und Benachrichtigung entfallen. Bei einem unbekannten Käufer fehlt diese Beziehung.

Welche Stufe Ihr Fall erreicht, bewerten Sie selbst und halten die Gründe fest. Im Zweifel empfiehlt der EDSA, sicherheitshalber zu melden.

Was in die Meldung gehört und wohin sie geht

Melden muss der Verantwortliche, also Ihr Unternehmen. Ein Auftragsverarbeiter, etwa ein Entsorger, muss Ihnen eine Verletzung nach Art. 33 Abs. 2 unverzüglich mitteilen, ohne selbst das Risiko zu prüfen. Ihre 72 Stunden beginnen nach dem EDSA grundsätzlich mit dieser Mitteilung. Legen Sie die Meldewege deshalb im Auftragsverarbeitungsvertrag fest.

Für Unternehmen ist grundsätzlich die Datenschutzbehörde des Landes zuständig (§ 40 Abs. 1 BDSG), bei mehreren Niederlassungen im Inland die am Ort der Hauptniederlassung (§ 40 Abs. 2). Laut BfDI gibt es einige Ausnahmen. In Nordrhein-Westfalen ist das die LDI NRW mit einem Webformular. Nach Art. 33 Abs. 3 enthält die Meldung mindestens:

• die Art der Verletzung, möglichst mit Kategorien und ungefährer Zahl der Betroffenen und Datensätze
• Namen und Kontaktdaten des Datenschutzbeauftragten oder einer anderen Anlaufstelle
• die wahrscheinlichen Folgen
• die ergriffenen oder geplanten Maßnahmen

Ungefähre Zahlen genügen. Für Altgeräte gehören dazu: Gerätetyp, Seriennummer, letzter bekannter Standort, Zeitpunkt des Verlusts oder Verkaufs, Verschlüsselungsstatus und die Konten, die Sie seitdem gesperrt haben. Diese Angaben haben Sie nur, wenn jedes Gerät mit Seriennummer, Nutzer und Standort in Ihrer Inventarisierung steht.

Wann Sie die Betroffenen benachrichtigen müssen

Bei voraussichtlich hohem Risiko benachrichtigen Sie die Personen unverzüglich, in klarer und einfacher Sprache (Art. 34 Abs. 1 und 2). Die Nachricht nennt die Art der Verletzung, eine Anlaufstelle, die wahrscheinlichen Folgen und Ihre Maßnahmen. Der EDSA verlangt eine eigene Mitteilung, etwa per E-Mail oder Brief, nicht versteckt im Newsletter. Eine Pressemitteilung oder ein Blogbeitrag allein reicht nicht.

Art. 34 Abs. 3 nennt drei Ausnahmen: Die Daten waren für Unbefugte unzugänglich, etwa durch Verschlüsselung. Ihre Maßnahmen danach haben das hohe Risiko beseitigt. Oder die einzelne Benachrichtigung wäre unverhältnismäßig aufwendig; dann tritt eine öffentliche Bekanntmachung an ihre Stelle. Die Behörde kann die Benachrichtigung nach Art. 34 Abs. 4 trotzdem anordnen.

Dokumentieren, auch wenn Sie nicht melden

Jede Verletzung gehört in Ihre Dokumentation, mit Fakten, Auswirkungen und Abhilfemaßnahmen (Art. 33 Abs. 5). Der EDSA empfiehlt, gerade die Entscheidung gegen eine Meldung zu begründen. Ein eigenes Register ist nicht nötig, die Einträge dürfen auch im Verzeichnis von Verarbeitungstätigkeiten stehen, wenn sie dort klar erkennbar sind.

Verstöße gegen die Melde- und Benachrichtigungspflicht können nach Angaben der BfDI mit bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs geahndet werden, je nachdem, welcher Betrag höher ist. Die Meldung und die Benachrichtigung selbst darf die Behörde in einem Bußgeldverfahren gegen Sie nur mit Ihrer Zustimmung verwenden (§ 43 Abs. 4 BDSG).

Was Sie jetzt tun sollten

1. Uhrzeit notieren. Halten Sie fest, wann und durch wen Sie von dem Vorfall erfahren haben.
2. Datenschutzbeauftragten einschalten. Wenn Sie einen haben, sofort. Der EDSA empfiehlt, ihn in den ganzen Ablauf einzubeziehen.
3. Gerät identifizieren. Seriennummer, Nutzer, Standort und Abgangsweg aus Inventar, Übergabeschein oder Kaufbeleg heraussuchen.
4. Zugänge sperren. Gerät in der Geräteverwaltung sperren oder fernlöschen, Kennwörter der zuletzt angemeldeten Konten ändern, VPN-Zertifikate widerrufen.
5. Verschlüsselung prüfen. War der Datenträger verschlüsselt, war das Gerät ausgeschaltet, wo liegen Kennwort und Wiederherstellungsschlüssel?
6. Bekannten Empfänger anschreiben. Bitten Sie Käufer oder Partner schriftlich um Rückgabe oder nachweisbare Vernichtung und heben Sie die Antwort auf.
7. Risiko bewerten und schriftlich festhalten. Welche Daten, wie viele Personen, wer hat das Gerät jetzt.
8. Melden, notfalls unvollständig. Ist ein Risiko nicht auszuschließen, melden Sie innerhalb von 72 Stunden und reichen Fehlendes nach.
9. Betroffene benachrichtigen, wenn das Risiko hoch ist und keine Ausnahme greift.
10. Ursache abstellen. Kein Gerät verlässt das Haus ohne geprüfte Löschung, denn formatiert ist nicht gelöscht. Gleichen Sie jedes Löschprotokoll gegen Ihr Inventar ab, damit die Nachweiskette lückenlos ist. Für Firmenhandys hilft Firmen-Smartphones ausmustern, für Umzüge Umzug und Standortschließung, für den ganzen Ablauf die Checkliste zur IT-Ausmusterung.

So arbeiten wir

Kein Fall ist dagegen die geplante Übergabe an einen Dienstleister, der die Geräte mit Vertrag zur Auftragsverarbeitung für Sie abholt und löscht. Vor jeder Abholung von Geräten mit Daten schließen wir einen Auftragsverarbeitungsvertrag. Auf Wunsch löschen wir bei Ihnen vor Ort, sonst in Deutschland mit Securaze nach NIST SP 800-88 Purge. Sie bekommen einen Übergabeschein und für jedes Gerät ein Löschprotokoll mit Seriennummer. Nicht löschbare Datenträger werden bei zertifizierten deutschen Recycling-Partnern physisch vernichtet, mit Zertifikat. Mehr zum Ablauf unter IT ausmustern und sichere Datenlöschung.

Keine Rechtsberatung. Stand der Angaben: 11. Oktober 2026.