DORA für Leasing und Factoring ab 2027: Was für die Entsorgung von Datenspeichern gilt

Kurz gesagtAb dem 1. Januar 2027 gilt für Finanzierungsleasing- und Factoringinstitute der vereinfachte IKT-Risikomanagementrahmen nach Art. 16 DORA. Art. 35 der Delegierten Verordnung (EU) 2024/1774 verlangt darin ein Verfahren zum sicheren Löschen nicht mehr benötigter Daten und eines zur sicheren Entsorgung von Datenspeichern mit vertraulichen Informationen.

Für Banken und Versicherer gilt DORA seit dem 17. Januar 2025. Finanzierungsleasing- und Factoringinstitute arbeiten bis zum 31. Dezember 2026 noch nach den Bankaufsichtlichen Anforderungen an die IT (BAIT). Ab dem 1. Januar 2027 gilt für sie der IKT-Risikomanagementrahmen aus DORA, und dazu gehört ein schriftlich festgelegter Weg für das Löschen von Daten und das Entsorgen von Datenspeichern. Wenn Sie in diesem Herbst Geräte ausmustern, können Sie diesen Weg schon vor dem Stichtag einmal vollständig durchlaufen und die Nachweise ablegen.

Was sich am 1. Januar 2027 ändert

Nach Angaben der BaFin wenden Finanzierungsleasing- und Factoringinstitute die BAIT an, bis die Übergangsfrist endet. Ab dem 1. Januar 2027 müssen sie ein IKT-Risikomanagement nach Art. 16 DORA betreiben und fallen nicht mehr unter die BAIT. Gemeint sind Institute mit Erlaubnis für Factoring (§ 1 Abs. 1a Satz 2 Nr. 9 KWG) oder Finanzierungsleasing (Nr. 10). Dieselbe Übergangsfrist nennt die BaFin unter anderem für Bürgschaftsbanken, Drittstaatenzweigstellen und Wohnungsunternehmen mit Spareinrichtung.

Ein Teil von DORA gilt schon heute. Die Meldepflichten für schwerwiegende IKT-bezogene Vorfälle aus Kapitel III der Verordnung sind nach § 65a Abs. 3 KWG seit dem 17. Januar 2025 anzuwenden.

Warum DORA überhaupt für Leasing und Factoring gilt

Art. 2 Abs. 1 DORA zählt 21 Arten von Unternehmen auf, für die die Verordnung gilt, von Kreditinstituten bis zu IKT-Drittdienstleistern. Leasing- und Factoringinstitute stehen nicht darin. Der deutsche Gesetzgeber hat die Anwendung deshalb im Kreditwesengesetz angeordnet.

Nach § 1a Abs. 2a KWG gelten für Institute außerhalb von Art. 2 DORA die Vorgaben der Verordnung und der darauf gestützten Rechtsakte. § 65a Abs. 3 KWG legt fest, dass das ab dem 1. Januar 2027 gilt. Die Pflicht kommt also aus einem deutschen Gesetz, ihr Inhalt aus der EU-Verordnung und ihren technischen Regulierungsstandards.

Der vereinfachte Rahmen: was entfällt und was bleibt

§ 1a Abs. 2a KWG mildert DORA für diese Institute an drei Stellen ab:

Ein Kleinstunternehmen ist nach Art. 3 Nr. 60 DORA ein Finanzunternehmen mit weniger als zehn Beschäftigten, dessen Jahresumsatz oder Jahresbilanzsumme 2 Mio. EUR nicht überschreitet.

Art. 16 Abs. 1 DORA verlangt einen soliden und dokumentierten Rahmen, ausdrücklich einschließlich des Schutzes der physischen Komponenten. Die Wirksamkeit der Kontrollen ist regelmäßig zu testen (Buchstabe g). Nach Abs. 2 wird der Rahmen regelmäßig und nach schwerwiegenden Vorfällen überprüft, und die Aufsicht kann einen Bericht darüber anfordern.

Was Art. 35 zur Entsorgung verlangt

Die Einzelheiten stehen in Titel III der Delegierten Verordnung (EU) 2024/1774. Nach Art. 35 Buchstabe e und f brauchen Sie zwei Verfahren:

• Löschen: ein Verfahren zur sicheren Löschung von Daten, die das Institut nicht mehr erheben oder speichern muss, in den eigenen Räumen und extern gespeichert.
• Entsorgen: ein Verfahren zur sicheren Entsorgung oder Außerbetriebnahme von Datenspeichern mit vertraulichen Informationen, ebenfalls in den eigenen Räumen und extern gelagert.

Die Pflicht erfasst damit auch Geräte außerhalb Ihrer Räume, etwa in einem Außenlager. Gelöscht werden Daten, die Sie nicht mehr aufbewahren müssen. Klären Sie deshalb vor jeder Ausmusterung, ob auf einem Gerät noch Daten mit laufenden Aufbewahrungsfristen liegen.

Bei der Entsorgung bringt der vereinfachte Rahmen keine Erleichterung. Für Banken und alle anderen Häuser mit dem vollen Rahmen verlangt Art. 11 Abs. 2 Buchstabe g und h derselben Verordnung dieselben zwei Verfahren fast wortgleich.

Ein bestimmtes Löschverfahren schreibt Art. 35 nicht vor. Ihr Löschkonzept muss deshalb den Standard selbst nennen, zum Beispiel NIST SP 800-88, und regeln, was mit Datenträgern geschieht, die sich nicht löschen lassen.

Welche Artikel noch an der Ausmusterung hängen

Weitere Vorschriften aus Titel III betreffen den Weg eines Geräts bis zum Abgang:

Ein Löschprotokoll je Gerät mit Seriennummer lässt sich dem Eintrag aus Ihrer Inventarisierung zuordnen. Für vernichtete Datenträger kommt ein Vernichtungsnachweis dazu. Zusammen ergibt das eine Nachweiskette, die auch für den Test nach Art. 36 als Prüfmaterial dient.

Ist der Ausmusterungsdienstleister ein IKT-Drittdienstleister?

Die Einordnung ist offen, und wir legen uns nicht fest. Art. 3 Nr. 21 DORA definiert IKT-Dienstleistungen als digitale Dienste und Datendienste, die über IKT-Systeme dauerhaft bereitgestellt werden. Ausdrücklich eingeschlossen sind Hardware als Dienstleistung und Hardwaredienstleistungen. Ob das Abholen, Löschen und Verwerten von Altgeräten darunter fällt, beantwortet die Definition nicht eindeutig. Klären Sie die Einordnung mit Ihrer Compliance oder Ihrer Prüfungsgesellschaft und halten Sie das Ergebnis schriftlich fest.

Unabhängig davon bleibt das Verfahren nach Art. 35 Ihres. Nutzen Sie IKT-Dienstleistungen, bleiben Sie nach Art. 28 Abs. 1 Buchstabe a DORA in vollem Umfang für Ihre Pflichten verantwortlich. Binden Sie den Dienstleister deshalb vertraglich an Ihren Löschstandard und an Nachweise, die Sie ohne Nacharbeit ablegen können. Daneben gilt die DSGVO: Wer Geräte mit personenbezogenen Daten abgibt, braucht einen Auftragsverarbeitungsvertrag.

Eigene IT und Leasingrückläufer auseinanderhalten

Art. 35 betrifft Datenspeicher, die Daten Ihres Instituts tragen: Notebooks, Server, Speichersysteme und Firmenhandys. Geräte, die Leasingnehmer am Vertragsende zurückgeben, tragen deren Daten. Legen Sie schriftlich fest, ob und wie Sie solche Rückläufer in Ihr Verfahren einbeziehen. Was Leasingnehmer vor der Rückgabe beachten sollten, steht unter Leasingende.

Was Sie jetzt tun sollten

1. Einordnung klären. Prüfen Sie, ob Ihr Institut unter § 1a Abs. 2a KWG fällt und ob es ein Kleinstunternehmen nach Art. 3 Nr. 60 DORA ist.
2. Gerätebestand erfassen. Führen Sie jedes Gerät mit Datenspeicher mit Seriennummer, Standort und Klassifizierung, auch Geräte im Außenlager.
3. Beide Verfahren aufschreiben. Legen Sie für Löschen und Entsorgen getrennt fest: Standard, Zuständigkeit, Umgang mit defekten Datenträgern, Form des Nachweises, Prüfung der Aufbewahrungsfristen. Die Checkliste zur IT-Ausmusterung hilft beim Gliedern.
4. Klassifizierung abzeichnen lassen. Legen Sie sie der Geschäftsleitung zur Genehmigung nach Art. 28 Abs. 2 Buchstabe d vor.
5. Verfahren im Testplan verankern. Nehmen Sie eine Stichprobe gelöschter Datenträger in den Plan nach Art. 36 auf.
6. Altbestände vor dem Stichtag abbauen. Geräte, die schon im Lager liegen, sollten vor dem 1. Januar 2027 nach dem neuen Verfahren gelöscht und belegt sein.
7. Dienstleister einbinden. Fordern Sie vor dem ersten Auftrag ein Muster des Löschprotokolls an und prüfen Sie, ob Seriennummer und Löschstandard darin stehen. Halten Sie im Vertrag fest, welche Nachweise Sie je Gerät bekommen, und dokumentieren Sie die Einordnung nach Art. 3 Nr. 21 DORA.

So unterstützen wir Sie

Wir kaufen ausgemusterte IT an, vom einzelnen Gerät bis zum ganzen Lager. Vor jeder Abholung von Geräten mit Daten schließen wir einen Auftragsverarbeitungsvertrag. Auf Wunsch löschen wir bei Ihnen vor Ort. Gelöscht wird in Deutschland mit Securaze nach NIST SP 800-88 Purge. Sie bekommen einen Übergabeschein und für jedes Gerät ein Löschprotokoll mit Seriennummer. Nicht löschbare Datenträger werden bei zertifizierten deutschen Recycling-Partnern physisch vernichtet, mit Zertifikat. Mehr zu den Anforderungen im Finanzsektor lesen Sie unter Banken und Versicherungen, die Technik unter sichere Datenlöschung.

Keine Rechtsberatung. Stand der Angaben: 11. Oktober 2026.