Bei der Aussonderung von Computern, Servern, Smartphones und Datenträgern endet die Verantwortung eines Unternehmens nicht mit der Abholung. Im Audit zählt vielmehr, ob sich lückenlos belegen lässt, was mit den Geräten, den darauf gespeicherten Daten und den enthaltenen Stoffen geschehen ist. Fehlen Übergabeprotokolle, Löschberichte oder Entsorgungsnachweise, bleibt eine wichtige Kontrollfrage offen: Wurde die IT sicher gelöscht, ordnungsgemäß vernichtet, wiederverwendet oder tatsächlich recycelt? Unternehmen sollten deshalb bereits vor dem ersten Abtransport eine belastbare Dokumentationskette festlegen. Der folgende Überblick zeigt, welche Unterlagen 2026 typischerweise bereitliegen sollten und wie Datenschutz, Abfallrecht, Logistik und Kreislaufwirtschaft in einem prüffähigen Prozess zusammengeführt werden.
Auditfeste Nachweise für ausgemusterte IT
Ein Audit beginnt nicht beim Entsorger, sondern bei der internen Aussonderungsentscheidung. Für jedes Projekt sollte nachvollziehbar sein, welche Geräte oder Anlagen ausgemustert wurden, aus welchem Standort sie stammen und wer die Freigabe erteilt hat. Bewährt haben sich Inventarlisten mit Asset-Nummern, Gerätetyp, Seriennummer, Standort, Eigentümer, Aussonderungsgrund und Status. Bei Servern, Storage-Systemen und Netzwerkkomponenten sollten zusätzlich verbaute Festplatten, SSDs, Bandmedien oder Speicherkarten erfasst werden. Diese Liste bildet die Verbindung zwischen IT-Asset-Management, Datenschutz und Entsorgungsauftrag.Für den Datenschutz ist zunächst die interne Vorgabe entscheidend: Sie sollte festlegen, wann eine sichere Datenlöschung genügt und wann eine physische Datenträgervernichtung erforderlich ist. Das hängt unter anderem vom Schutzbedarf, von der Verschlüsselung, vom Zustand des Datenträgers und vom vorgesehenen weiteren Lebenszyklus ab. Eine bloße Zurücksetzung auf Werkseinstellungen ist kein belastbarer Nachweis für eine vollständige Löschung. Das BSI weist darauf hin, dass bei der Weitergabe gebrauchter Geräte spezielle Löschverfahren erforderlich sind und die physische Vernichtung die sicherste Variante sein kann, wenn ein Datenträger nicht weiter genutzt werden soll.In der Dokumentation sollten deshalb Löschprotokolle oder Vernichtungsnachweise enthalten sein. Ein aussagekräftiger Nachweis benennt mindestens Auftraggeber, Datum, Verfahren, betroffene Geräte oder Datenträger, Serien- oder Inventarnummern sowie das Ergebnis der Maßnahme. Bei einer softwaregestützten Löschung gehören möglichst auch das eingesetzte Verfahren, die Version der Löschsoftware und eine Erfolgsbestätigung dazu. Wird nach DIN 66399 vernichtet, sollte der Nachweis die vereinbarte Schutzklasse, Sicherheitsstufe und die Form der Vernichtung ausweisen. Die DIN 66399 ist dabei eine technische Norm und kein eigenständiges Gesetz. Ihre Anwendung muss zum Schutzbedarf und zur unternehmensinternen Sicherheitsvorgabe passen.Ebenso wichtig ist die lückenlose Transport- und Übergabekette. Dazu gehören Auftrag oder Leistungsbeschreibung, Abholprotokoll, Übergabeschein, Angaben zu Abholort und Empfänger, gegebenenfalls eine Behälter- oder Plombennummer sowie die Dokumentation des Transports. Bei sensibler IT ist festzuhalten, wer die Geräte übergeben und angenommen hat. Sicherheitstransporte, gesicherte Sammelstellen und getrennte Behandlung von noch nicht gelöschten Datenträgern reduzieren das Risiko, dass Geräte zwischen Abholung und Verarbeitung unkontrolliert zugänglich sind.Aus abfallrechtlicher Sicht sollten Unternehmen den Status des beauftragten Dienstleisters und der vorgesehenen Anlage prüfen. Bei einem zertifizierten Entsorgungsfachbetrieb gehören Zertifikate, Geltungsbereich und gegebenenfalls relevante Betriebs- oder Annahmegenehmigungen in die Lieferantenakte. Für die Entsorgung sind außerdem Abfallschlüssel, Mengen- oder Wiegebelege, Übernahmescheine und Entsorgungsnachweise aufzubewahren. Bei gefährlichen Abfällen gelten besondere Nachweis- und Registeranforderungen. Nicht jede Alt-IT ist automatisch gefährlicher Abfall; die Einstufung hängt von Gerät, Schadstoffgehalt und Abfallbeschaffenheit ab. Deshalb sollte sie fachlich geprüft und nicht pauschal angenommen werden.Auch die Behandlung nach der Annahme muss nachvollziehbar bleiben. Ein allgemeiner Vermerk „recycelt“ reicht im Audit meist nicht aus. Besser sind Angaben dazu, welche Mengen zur Vorbereitung zur Wiederverwendung, zum Recycling oder zur sonstigen Verwertung gelangten und welche Reststoffe beseitigt wurden. Bei wiederverwendbaren Geräten sollte dokumentiert sein, dass die Datenlöschung vor der Weitergabe abgeschlossen wurde. Bei Elektroaltgeräten sind die Anforderungen des Elektro- und Elektronikgerätegesetzes und der europäischen WEEE-Vorgaben zu berücksichtigen. Separat erfasste Batterien und Akkus sollten nicht undifferenziert mit der übrigen IT behandelt werden. Ihre Sammlung, Lagerung und Behandlung unterliegen dem europäischen Batterierecht und können zusätzliche Angaben zu Kategorie, Zustand und Verbleib erfordern.Bei grenzüberschreitenden Verbringungen ist besondere Sorgfalt notwendig. Seit dem 21. Mai 2026 gilt die Verordnung (EU) 2024/1157 über die Verbringung von Abfällen als zentraler europäischer Rahmen. Je nach Abfallart, Zielstaat, Transportweg und Behandlungsverfahren können Informationspflichten oder vorherige Zustimmungen erforderlich sein. Die Abwicklung wird zunehmend digital über das System DIWASS unterstützt. Unternehmen sollten daher klären, ob die IT tatsächlich als Produkt zur Wiederverwendung oder als Abfall transportiert wird und welche Unterlagen den Versand begleiten.Für die Auditvorbereitung empfiehlt sich eine digitale Nachweisakte pro Aussonderungsprojekt. Sie sollte Inventarliste, Freigabe, Datenschutzbewertung, Auftrag, Transport- und Übergabeprotokolle, Lösch- oder Vernichtungsnachweise, Wiege- und Entsorgungsbelege sowie Angaben zur weiteren Behandlung enthalten. Zusätzlich sollte ein Verantwortlicher benannt sein, der fehlende Dokumente nachfordert und Aufbewahrungsfristen mit Datenschutz-, Steuer- und Qualitätsvorgaben abstimmt. Entwicklungen wie der AI Act oder der Cyber Resilience Act betreffen nicht automatisch jeden Entsorgungsvorgang. Sie zeigen jedoch, dass Anforderungen an Nachvollziehbarkeit, sichere Prozesse und Lieferketten weiter zunehmen. Corebo unterstützt Unternehmen dabei mit dokumentierter Abholung, sicherer Datenlöschung, Datenträgervernichtung nach DIN 66399, IT-Rückbau, Entsorgungs- und Vernichtungsnachweisen sowie der fachgerechten Zuführung zur Wiederverwendung oder zum Recycling.