Festplatten DSGVO-konform löschen: Software oder Vernichtung?
Wann zertifizierte Löschsoftware reicht, wann physisch vernichtet wird – und welcher Nachweis zählt.
Kurz gesagt: Funktionsfähige Festplatten und SSDs werden DSGVO-konform mit zertifizierter Löschsoftware nach BSI-Standard gelöscht – mit einem Löschzertifikat für jeden Datenträger. Physisch nach DIN 66399 vernichtet wird, was sich nicht löschen lässt: defekte, fest verbaute oder gesperrte Datenträger. Formatieren oder das Löschen von Dateien reicht nicht.
Warum Formatieren nicht reicht
Wer Dateien löscht oder einen Datenträger formatiert, entfernt in der Regel nur die Verweise auf die Daten. Die Daten selbst bleiben gespeichert und lassen sich mit frei erhältlichen Werkzeugen wiederherstellen. Für ausgemusterte Firmengeräte ist das ein echtes Risiko: Kundendaten, Personalakten und Zugangsdaten verlassen das Haus.
Die DSGVO verlangt, personenbezogene Daten durch geeignete technische und organisatorische Maßnahmen zu schützen (Art. 5 Abs. 1 lit. f und Art. 32 DSGVO) und sie zu löschen, wenn sie nicht mehr gebraucht werden (Art. 17 DSGVO). Verstöße können Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes nach sich ziehen (Art. 83 DSGVO). Das Elektro- und Elektronikgerätegesetz (ElektroG) stellt außerdem klar: Für das Löschen personenbezogener Daten auf Altgeräten sind die Endnutzer selbst verantwortlich.
Weg 1: Löschen mit zertifizierter Software
Bei der softwarebasierten Löschung überschreibt eine zertifizierte Löschsoftware den gesamten Datenträger nach einem festgelegten Verfahren – bei uns nach BSI-GS bzw. BSI-GSK, den Verfahren des Bundesamts für Sicherheit in der Informationstechnik. SSDs lassen sich nicht zuverlässig durch einfaches Überschreiben löschen, weil sie Daten intern auf Bereiche verteilen, die dabei nicht erreicht werden; für sie kommen Verfahren zum Einsatz, die für Flash-Speicher ausgelegt sind.
Zu jeder Löschung erzeugt die Software ein Löschzertifikat mit Gerät, Datenträger, Seriennummer, Verfahren und Zeitpunkt. Der Vorteil: Der Datenträger bleibt intakt, das Gerät kann weiterverwendet oder verkauft werden.
Weg 2: Physische Vernichtung nach DIN 66399
Lässt sich ein Datenträger nicht softwarebasiert löschen – weil er defekt, fest verbaut oder durch ein Passwort gesperrt ist –, wird er physisch vernichtet. Maßgeblich ist dafür die DIN 66399. Sie gilt allein für die Vernichtung, nicht für die Löschung.
- Schutzklassen 1 bis 3 beschreiben den Schutzbedarf der Daten: normal, hoch, sehr hoch.
- Sicherheitsstufen 1 bis 7 legen fest, wie gründlich vernichtet wird – je höher die Stufe, desto gründlicher die Zerstörung und desto kleiner die zulässigen Partikel.
- Materialklassen unterscheiden die Datenträger, etwa H für Festplatten mit magnetischem Datenträger und E für elektronische Datenträger wie SSDs, USB-Sticks und Speicherkarten.
Wir vernichten bis Sicherheitsstufe H-5. Vernichtete Datenträger weisen wir in unserem Entsorgungszertifikat gesondert aus.
Beide Wege im Vergleich
| Merkmal | Löschen mit Software | Physische Vernichtung |
|---|---|---|
| Geeignet für | funktionsfähige Festplatten und SSDs | defekte, fest verbaute oder gesperrte Datenträger |
| Maßstab | BSI-GS bzw. BSI-GSK | DIN 66399, bei uns bis H-5 |
| Nachweis | Löschzertifikat je Datenträger | gesondert im Entsorgungszertifikat |
| Datenträger danach | weiter nutzbar, Ankauf möglich | zerstört, das Material wird verwertet |
So gehen wir vor
- Sie schicken uns eine kurze Liste oder ein paar Fotos – hilfreich, aber keine Voraussetzung.
- Wir holen kostenlos ab, in Berlin und Brandenburg. Bei der Übergabe zählen wir die Geräte und halten sie auf einem Abholschein fest; eine Ausfertigung bleibt bei Ihnen.
- Jeder Datenträger wird zertifiziert gelöscht oder – wenn das nicht geht – nach DIN 66399 vernichtet.
- Sie erhalten die Löschzertifikate und unser Entsorgungszertifikat.
Mehr zu den Leistungen: Sichere Datenlöschung · Festplattenvernichtung · Was in einem Löschzertifikat stehen muss
Quellen
Die genannten Vorschriften im amtlichen Wortlaut:
- Datenschutz-Grundverordnung (DSGVO), EUR-Lex
- Art. 32 DSGVO – Sicherheit der Verarbeitung
- Elektro- und Elektronikgerätegesetz (ElektroG)
Häufige Fragen
Reicht es, eine Festplatte zu formatieren?
Nein. Beim Formatieren werden meist nur die Verweise auf die Daten entfernt, die Daten selbst lassen sich wiederherstellen. DSGVO-konform ist eine Löschung mit zertifizierter Software oder die physische Vernichtung.
Müssen defekte Festplatten vernichtet werden?
Wenn sie sich nicht vollständig löschen lassen, ja. Sie werden physisch nach DIN 66399 vernichtet und im Entsorgungszertifikat gesondert ausgewiesen.
Kann ich gelöschte Geräte weiterverkaufen?
Ja. Nach der zertifizierten Löschung bleibt das Gerät nutzbar. Wir kaufen Apple-Geräte bis fünf Jahre und Windows-Geräte bis drei Jahre ab Kaufdatum an.