IMEI-Check, Datenlöschung, Zertifizierung: So werden Elektronik-Retouren rechtssicher

Ein retourniertes Smartphone ist kein neutrales Handelsgut. Es ist ein Datenträger. Fotos, E-Mail-Konten, Zugangsdaten, Banking-Apps, Gesundheitsdaten aus Wearables — all das kann sich noch auf dem Gerät befinden, wenn es beim Händler oder Hersteller eintrifft. Wer solche Geräte prüft, aufbereitet und wieder in den Verkauf bringt, verarbeitet damit personenbezogene Daten im Sinne der DSGVO. Und zwar unabhängig davon, ob er das beabsichtigt oder nicht.

Genau hier entscheidet sich, ob Retourenmanagement ein kalkulierbarer Prozess ist oder ein Haftungsrisiko. Drei Bausteine machen den Unterschied: die Identitätsprüfung des Geräts, die zertifizierte Datenlöschung und die lückenlose Dokumentation.

Retournierte Geräte sind ein DSGVO-Fall — für Händler und Hersteller

Die DSGVO definiert in Art. 4 Nr. 2 auch das Löschen und die Vernichtung als Verarbeitung personenbezogener Daten. Wer ein retourniertes Gerät refurbished und weiterverkauft, ohne die Daten des Vorbesitzers nachweisbar zu entfernen, verstößt gegen die Grundsätze aus Art. 5 DSGVO und gegen die Pflicht zu technischen und organisatorischen Maßnahmen aus Art. 32 DSGVO.

Die Konsequenzen sind konkret:

• Bußgelder: Art. 83 DSGVO sieht bei Verstößen gegen die Sicherheit der Verarbeitung Bußgelder von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes vor — bei Verstößen gegen die Verarbeitungsgrundsätze bis zu 20 Mio. Euro oder 4 %.
• Meldepflichten: Gelangt ein ungelöschtes Gerät an einen Dritten, liegt in der Regel eine meldepflichtige Datenschutzverletzung nach Art. 33 DSGVO vor — mit 72-Stunden-Frist gegenüber der Aufsichtsbehörde.
• Zivilrechtliche Ansprüche: Betroffene können nach Art. 82 DSGVO Schadensersatz verlangen, auch für immaterielle Schäden.

Wichtig: Die Verantwortung endet nicht mit der Beauftragung eines Dienstleisters. Wer Retourenaufbereitung auslagert, braucht einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO — und bleibt als Verantwortlicher in der Pflicht, den Dienstleister sorgfältig auszuwählen und zu kontrollieren.

IMEI- und Seriennummern-Prüfung: Herkunft klären, bevor das Gerät in den Prozess geht

Bevor ein Gerät gelöscht, geprüft oder aufbereitet wird, muss seine Identität feststehen. Bei Mobilgeräten ist die IMEI der Schlüssel, bei Notebooks und Smart-Home-Geräten die Seriennummer. Die Prüfung leistet zwei Dinge:

• Sperrlisten-Abgleich: Geräte, die als gestohlen oder verloren gemeldet sind, tauchen in Sperrregistern auf — etwa in den branchenweiten Blocklisten der GSMA. Auch aktive Aktivierungssperren (etwa herstellerseitige Kontobindungen) müssen erkannt werden, bevor das Gerät in den Wiederverkauf geht. Ein gesperrtes Gerät weiterzuverkaufen schadet dem Käufer, dem eigenen Ruf und kann strafrechtlich relevant werden.
• Lückenlose Nachverfolgbarkeit: Erst die eindeutige Geräteidentität erlaubt es, jeden Prozessschritt — Eingang, Prüfung, Löschung, Instandsetzung, Ausgang — einem konkreten Gerät zuzuordnen. Ohne diese Zuordnung ist kein Löschnachweis belastbar.

In der Praxis heißt das: Jedes Gerät wird bei Wareneingang gescannt und erfasst, bevor irgendein anderer Arbeitsschritt beginnt. Das ist keine Bürokratie, sondern die Grundlage jedes späteren Nachweises.

Zertifizierte Datenlöschung: Ein Werksreset genügt nicht

Der verbreitetste Irrtum im Umgang mit Retouren: „Zurücksetzen auf Werkseinstellungen reicht." Das stimmt nicht zuverlässig. Ob ein Reset Daten tatsächlich unwiederbringlich entfernt, hängt von Gerätetyp, Betriebssystem und Verschlüsselungsstand ab — insbesondere bei älteren Geräten ohne durchgängige Speicherverschlüsselung können Daten rekonstruierbar bleiben. Für einen belastbaren Nachweis gegenüber Aufsichtsbehörden und Kunden ist ein undokumentierter Reset ohnehin wertlos.

Professionelle Datenlöschung orientiert sich an anerkannten technischen Standards — insbesondere NIST SP 800-88 (Guidelines for Media Sanitization) und IEEE 2883 (Standard for Sanitizing Storage). Entscheidend sind drei Merkmale:

1. Geeignetes Verfahren je Speichertyp: Flash-Speicher, SSDs und eingebettete Speicher verlangen andere Methoden als klassische Festplatten. Das Verfahren muss zum Medium passen.
2. Verifikation: Nach der Löschung wird geprüft, ob sie erfolgreich war — nicht angenommen.
3. Löschzertifikat: Pro Gerät wird ein Löschprotokoll erzeugt: Seriennummer/IMEI, eingesetztes Verfahren, Software und Version, Datum, Ergebnis der Verifikation, ausführende Stelle. Geräte, die sich nicht sicher löschen lassen, werden physisch vernichtet — und auch das wird dokumentiert und nach den Vorgaben der WEEE-Richtlinie bzw. des ElektroG entsorgt.

Was ein professioneller Dienstleister dokumentieren muss

Wer die Aufbereitung von Retouren an einen Partner gibt, sollte konkrete Nachweise verlangen. Ein seriöser Dienstleister kann ohne Zögern vorlegen:

• einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO samt Beschreibung der technischen und organisatorischen Maßnahmen,
• einen Audit-Trail pro Gerät: von der Wareneingangserfassung über IMEI-/Seriennummern-Prüfung und Löschung bis zur Ausgangsbuchung,
• Löschzertifikate nach anerkannten Standards, maschinenlesbar und archivierbar,
• geregelte Prozesse für Sonderfälle: gesperrte Geräte, nicht löschbare Geräte, Datenträgerausbau und -vernichtung,
• Zugriffs- und Sicherheitskonzepte für den Betrieb: Wer hat wann Zugang zu ungelöschten Geräten?

Fehlt einer dieser Punkte, trägt der Auftraggeber das Risiko mit. Denn gegenüber Kunden und Aufsichtsbehörden haftet zuerst der Händler oder Hersteller, dessen Name auf dem Gerät und auf der Rechnung steht — nicht der anonyme Subunternehmer.

Fazit: Rechtssicherheit ist ein Prozess, kein Zufall

Retournierte Elektronik ist wirtschaftlich zu wertvoll, um sie zu verschrotten — und rechtlich zu heikel, um sie unkontrolliert weiterzugeben. Wie sich professionelles Refurbishment auch betriebswirtschaftlich rechnet, haben wir in einem eigenen Beitrag gezeigt. Die Voraussetzung dafür ist ein Prozess, der Geräteidentität, Datenlöschung und Dokumentation von Anfang an zusammen denkt.

PST – Professional Support Technologies betreibt genau diesen Prozess: IMEI- und Seriennummern-Prüfung im Wareneingang, standardkonforme, protokollierte Datenlöschung und ein lückenloser Audit-Trail für jedes Gerät. Sprechen Sie mit uns, wenn Ihre Elektronik-Retouren rechtssicher und wirtschaftlich aufbereitet werden sollen.