Festplatten und SSDs DSGVO-konform entsorgen: löschen oder vernichten?

Im Serverraum steht eine Kiste ausgebauter Datenträger, und irgendwann fällt die Frage: schreddern lassen oder löschen? Beides ist zulässig. Die DSGVO schreibt kein Verfahren vor — sie verlangt ein angemessenes Schutzniveau und den Nachweis, dass es eingehalten wurde.

Genau deshalb ist das keine Glaubensfrage, sondern eine Abwägung — mit erheblichen Kostenunterschieden.

Was die Verordnung tatsächlich verlangt

Zwei Vorschriften sind maßgeblich. Artikel 32 DSGVO verlangt Maßnahmen, die dem Risiko angemessen sind und dem Stand der Technik entsprechen — ohne einen Katalog vorzugeben und ohne das Wort „Vernichtung“ zu nennen. Artikel 5 Absatz 2 ergänzt die Rechenschaftspflicht: Sie müssen belegen können, was mit welchem Datenträger geschehen ist.

Daraus folgt der eigentliche Maßstab. Nicht die Wahl zwischen Löschen und Vernichten entscheidet über die Rechtskonformität, sondern ob das Ergebnis zum Schutzbedarf passt und ob es dokumentiert ist. Ein geschredderter Datenträger ohne Nachweis ist im Streitfall schlechter aufgestellt als ein gelöschter mit Protokoll.

Drei Wege — einer davon zählt nicht

Formatieren reicht nicht. Die Schnellformatierung, das Löschen der Partition oder eine Neuinstallation entfernen im Wesentlichen das Inhaltsverzeichnis. Die Daten selbst bleiben physikalisch vorhanden und lassen sich mit frei verfügbaren Werkzeugen rekonstruieren. Das ist kein Grenzfall, sondern der Normalfall — und als Maßnahme nach Artikel 32 untauglich.

Zertifizierte Software-Löschung. Der Datenträger wird vollständig überschrieben oder über die vom Hersteller vorgesehenen Sanitize-Kommandos geleert, und das Ergebnis wird anschließend verifiziert. Entscheidend ist dieser letzte Schritt: ohne Verifikation ist es eine Behauptung. Der Datenträger bleibt dabei funktionsfähig und damit verkäuflich.

Physische Vernichtung. Der Datenträger wird mechanisch zerkleinert. Das Ergebnis ist endgültig und danach Schrott, der nach Gewicht abgerechnet wird. Richtig ist dieser Weg immer dann, wenn eine Löschung technisch nicht möglich ist oder eine interne Vorgabe sie ausschließt.

Festplatte und SSD sind nicht dasselbe

Dieser Punkt wird in der Praxis am häufigsten übersehen, und zwar in beide Richtungen.

Beim Löschen ist die klassische Festplatte der einfache Fall: Sie ist magnetisch, ein vollständiger Überschreibvorgang erfasst jeden adressierbaren Sektor. Nach NIST 800-88 gilt bei modernen Laufwerken ein einzelner Durchgang als ausreichend; die vielfache Überschreibung nach DoD 5220.22-M stammt aus der Zeit deutlich geringerer Schreibdichten.

Bei SSDs und NVMe-Laufwerken liegt es anders. Der Controller entscheidet selbst, in welche Zellen geschrieben wird — Wear-Leveling, Over-Provisioning und ausgelagerte defekte Blöcke sind von außen nicht adressierbar. Blindes Überschreiben erreicht deshalb nicht zwangsläufig jede Zelle. Richtig sind die Sanitize-Kommandos des Herstellers oder, bei selbstverschlüsselnden Laufwerken, das Verwerfen des Schlüssels (Crypto-Erase). Bei Flash-Speicher zählt also das verwendete Verfahren, nicht die Zahl der Durchläufe.

Beim Vernichten kehrt sich das Verhältnis um. Eine Festplatte ist zerstört, wenn die Magnetscheibe zerstört ist. Bei einer SSD kann ein einzelner unversehrter Speicherchip weiterhin Daten enthalten — die Partikel müssen also deutlich kleiner sein. Wer SSDs vernichten lässt, sollte sich die vereinbarte Sicherheitsstufe ansehen und nicht annehmen, dass dieselbe Anlage für beides passt.

DIN 66399 in einem Absatz

Die Norm sortiert Datenträger nach Materialklassen — H für Festplatten, E für elektronische Datenträger wie SSDs und Speicherkarten, O für optische Medien, P für Papier — und definiert sieben Sicherheitsstufen. Welche Stufe nötig ist, ergibt sich aus der Schutzklasse der Daten: personenbezogene Daten liegen üblicherweise in Schutzklasse 2, besonders schützenswerte Daten wie Gesundheitsdaten in Schutzklasse 3.

Praktische Folge für die Beschaffung: Ein Vernichtungsnachweis sollte Materialklasse und Stufe nennen. Die Formulierung „DSGVO-konform vernichtet“ allein sagt über das erreichte Schutzniveau nichts aus.

Was die Pauschalregel kostet

Viele Unternehmen haben intern festgelegt, dass Datenträger grundsätzlich vernichtet werden. Das ist bequem und nachvollziehbar, hat aber einen Preis, der selten gegengerechnet wird.

• Eine gelöschte, funktionsfähige SSD oder Festplatte ist Stückware mit Marktwert — nachzulesen in den Ankaufspreisen für Stückware.
• Ein vernichteter Datenträger ist Schrott nach Gewicht — ein Bruchteil davon.
• Die Vernichtung selbst kostet zusätzlich Geld.

Die Pauschalregel zahlt also doppelt: Vernichtungskosten plus entgangener Erlös. Einen rechtlichen Vorteil bringt sie nicht, wenn eine dokumentierte Löschung vorliegt — der Nachweis ist in beiden Fällen das, worauf es ankommt.

Die Regel, die sich in der Praxis bewährt, ist schlichter: löschen, was gelöscht werden kann; vernichten, was nicht mehr ansprechbar ist.

Wie wir damit umgehen

Auf Wunsch löschen wir übergebene Datenträger mit Blancco. Sie erhalten pro Datenträger einen Löschnachweis als PDF mit Hersteller, Modell, Seriennummer, Verfahren und Ergebnis — also ein Dokument je Seriennummer, nicht eine Sammelbestätigung für die Palette. Unser Prozess von der Annahme über die Löschung bis zum Nachweis ist von der DEKRA Assurance Services GmbH zertifiziert (Zert.-Nr. 990978265).

Datenträger, die nicht mehr ansprechbar sind, lassen sich nicht softwareseitig löschen. Sie werden vernichtet — die physische Vernichtung führt ein zertifizierter Partner für uns durch; eine eigene Vernichtungsanlage betreiben wir nicht. Auf Wunsch geben wir Ihnen defekte Datenträger stattdessen zurück. Kein Datenträger wird ohne Löschnachweis oder Vernichtung weiterverkauft.

Zwei Klarstellungen, damit Sie richtig kalkulieren. Die zertifizierte Löschung ist eine separate, kostenpflichtige Dienstleistung und nicht Bestandteil des Ankaufs. Und: Die Blancco-Verfahren erfüllen BSI-Empfehlungen sowie NIST 800-88 und DoD 5220.22-M — eine BSI- oder ISO-27001-Zertifizierung des gesamten Unternehmens besteht bei uns nicht. Das ist ein Unterschied, der in Vergabeunterlagen gelegentlich verschwimmt. Wenn Ihr Compliance-Rahmen genau das verlangt, sprechen Sie uns bitte vorab an.

Einzelheiten zum Verfahren, zum Zertifikat und zum Nachweis stehen auf der Seite Datensicherheit.

Was in die Vereinbarung gehört

Die Verantwortung für die Daten bleibt bei Ihnen. Eine Löschung oder Vernichtung im Auftrag wird in der Regel als Auftragsverarbeitung behandelt, weshalb ein Vertrag nach Artikel 28 DSGVO dazugehört. Sinnvoll ist, zusätzlich diese Punkte schriftlich festzuhalten:

• wo der Übergabepunkt liegt und wer den Transport verantwortet,
• in welcher Frist gelöscht oder vernichtet wird,
• in welcher Form der Nachweis erfolgt — je Datenträger oder pauschal,
• wie mit nicht löschbaren Datenträgern verfahren wird,
• ob Subunternehmer eingesetzt werden; bei der physischen Vernichtung ist das die Regel und sollte benannt sein.

Kurz entschieden

• Funktionsfähig, Erlös erwünscht → löschen mit Nachweis je Seriennummer.
• Defekt oder nicht ansprechbar → vernichten.
• Interne Vorgabe verlangt Vernichtung → vernichten, aber Materialklasse und Sicherheitsstufe festlegen statt sie vorauszusetzen.
• Höchster Schutzbedarf → löschen und anschließend vernichten; das ist zulässig und sauber, kostet aber den Wiederverkaufswert.
• Unklar, was in der Kiste liegt → Liste schicken, wir sortieren es mit Ihnen.

Material anbieten — nennen Sie dabei, ob eine Löschung mit Nachweis gewünscht ist. Wir melden uns in der Regel innerhalb eines Werktages. Wir kaufen ausschließlich von Gewerbetreibenden.

Dieser Beitrag gibt den Stand im Oktober 2026 wieder und dient der Orientierung. Er ist keine Rechtsberatung; für die Bewertung Ihres konkreten Falls ziehen Sie bitte Ihren Datenschutzbeauftragten oder anwaltlichen Rat hinzu.