Ist Device-as-a-Service DSGVO-konform? Ja, mit dem richtigen Vertrag

Device-as-a-Service ist DSGVO-konform, wenn drei Punkte geregelt sind: ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, eine offene Liste der Unterauftragnehmer und eine nachweisbare Datenlöschung bei jeder Geräterückgabe. Verantwortlich für die Daten bleibt dein Unternehmen. Ein Device-as-a-Service-Anbieter wie Everphone verarbeitet sie in deinem Auftrag.

Die Frage kommt meistens aus der Datenschutzabteilung oder Legal, kurz bevor der Vertrag unterschrieben werden soll. Fremde Geräte, ein externer Dienstleister, Daten von Angestellten: Das klingt nach Risiko.

Unsere Haltung: Gemietete Geräte sind datenschutzrechtlich oft sauberer als gekaufte. Der Grund ist unspektakulär. Bei der Miete ist die Rückgabe ein geregelter Prozess mit Löschung und Nachweis. Gekaufte Altgeräte landen dagegen gern in einer Schublade, ungelöscht und vergessen. Das gilt aber nur, wenn der Vertrag es festschreibt.

Wer bei Device-as-a-Service für den Datenschutz verantwortlich ist

Dein Unternehmen bleibt Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Der DaaS-Anbieter ist für alle Daten, die er in deinem Auftrag verarbeitet, Auftragsverarbeiter nach Art. 4 Nr. 8 und Art. 28 DSGVO. Er darf sie nur nach deiner Weisung nutzen.

Das klingt abstrakt, wird aber konkret, sobald du dir anschaust, wo im Gerätealltag personenbezogene Daten anfallen:

Die letzte Zeile ist die heikelste. Ein Firmenhandy trägt E-Mails, Kontakte, Chats und Fotos. Wer es zurücknimmt, hat für einen Moment Zugriff auf all das.

Für Vertrags- und Rechnungsdaten deines Unternehmens handelt der Anbieter übrigens in eigener Verantwortung, nicht im Auftrag. Das ist normal und braucht keinen eigenen Vertrag.

Was im Auftragsverarbeitungsvertrag für Mietgeräte stehen muss

Ohne Auftragsverarbeitungsvertrag (AVV) ist die Zusammenarbeit nicht DSGVO-konform. Art. 28 Abs. 3 DSGVO schreibt die Mindestinhalte vor. Für Device-as-a-Service kommt es vor allem auf fünf Punkte an.

1. Weisungsbindung und Zweck: Der Anbieter nutzt Daten deiner Angestellten nur für Versand, Support und Rückgabe, nicht für eigene Auswertungen oder Werbung.
2. Technische und organisatorische Maßnahmen nach Art. 32 DSGVO: Verschlüsselung, Zugriffsrechte, Protokollierung. Ein ISO-27001-Zertifikat ist hier ein guter Beleg, ersetzt aber nicht die konkrete Beschreibung.
3. Unterauftragsverarbeiter: Logistik, MDM-Plattform, Reparatur, Löschsoftware. Du musst wissen, wer das ist, und neuen Partnern widersprechen können.
4. Löschung oder Rückgabe nach Vertragsende (Art. 28 Abs. 3 lit. g): Das betrifft die Daten im Portal ebenso wie die Inhalte auf den Geräten.
5. Nachweise und Kontrollrechte: Der Anbieter muss dir belegen können, dass er sich an den Vertrag hält.

Ein Beispiel macht Punkt 3 greifbar. Wenn ein Paketdienst ein Gerät zu Lena ins Homeoffice bringt, kennt er ihren Namen und ihre Privatadresse. Dieser Paketdienst gehört auf die Liste der Unterauftragnehmer.

Die Datenschutzkonferenz hat die Anforderungen im Kurzpapier Nr. 13 zur Auftragsverarbeitung zusammengefasst. Nimm es als Gegencheck für den Vertragsentwurf deines Anbieters.

Bei Everphone gehört ein AVV zum Rahmenvertrag.

Datenlöschung bei Geräterückgabe: der kritischste Moment

Die Rückgabe ist der Punkt, an dem DaaS datenschutzrechtlich gewinnt oder verliert. Entscheidend ist nicht nur, dass gelöscht wird. Entscheidend ist, dass du es pro Gerät belegen kannst.

Technisch ist die Löschung bei aktuellen Smartphones solide. Bei iPhones und iPads vernichtet „Alle Inhalte und Einstellungen löschen“ die Schlüssel im verschlüsselten Speicher, so beschreibt es Apple. Die Daten sind danach nicht mehr lesbar.

Das Problem liegt woanders. Nach Art. 5 Abs. 2 DSGVO musst du nachweisen können, dass du Daten korrekt behandelt hast. Ein Werksreset, den irgendwer irgendwann gemacht hat, ist kein Nachweis. Ein Löschprotokoll mit Seriennummer, Datum und Verfahren schon.

Typisches Szenario: Jemand aus dem Vertrieb verlässt das Unternehmen, das Diensthandy landet im Schrank der IT. Drei Monate später weiß niemand mehr, ob es gelöscht ist. Genau diese Lücke schließt ein geregelter Rückgabeprozess.

Zum Vergleich: Bei Everphone werden zurückgegebene Geräte mit der Software unseres Partners Blancco zertifiziert gelöscht und danach refurbisht, ohne Extrakosten.

Frag deinen Anbieter auch, was mit Geräten passiert, die sich nicht mehr einschalten lassen. Dann hilft keine Software mehr, sondern nur die physische Vernichtung des Speichers. Mehr zu Löschverfahren und Entsorgung findest du im Beitrag Handy sicher entsorgen.

MDM und Sicherheitskonzept bei Device-as-a-Service

Ein Mobile Device Management ist die wichtigste technische Maßnahme, um Firmenhandys DSGVO-konform zu betreiben. Es erzwingt Verschlüsselung und Code-Sperre, verteilt Updates und kann ein verlorenes Gerät aus der Ferne löschen.

Bei Device-as-a-Service gibt es zwei Varianten. Entweder registriert der Anbieter die Geräte in deinem eigenen MDM, und deine IT behält die Verwaltung. Oder der Anbieter übernimmt das MDM als Managed Service. Dann ist er auch für diese Daten Auftragsverarbeiter, und das gehört in den AVV.

In beiden Fällen gilt: Das MDM sieht nur, was es für die Sicherheit braucht. Mit Arbeitsprofilen unter Android oder User Enrollment bei Apple bleiben private Fotos und Chats für die IT unsichtbar. Wie das funktioniert, steht in So trennst du geschäftliche und private Daten auf Smartphones. Die DSGVO-Grundsätze fürs MDM selbst erklärt der Beitrag DSGVO und Mobile Device Management.

Ein Punkt wird oft übersehen: Viele MDM-Plattformen kommen aus den USA. Datenübermittlungen dorthin sind zulässig, wenn der Dienst unter dem EU-US Data Privacy Framework zertifiziert ist. Das Gericht der EU hat diesen Rahmen am 3. September 2025 bestätigt (Rechtssache T-553/23). Frag trotzdem nach, wo die Daten liegen und welche Absicherung greift, falls der Rahmen kippt.

Checkliste: So prüfst du einen DaaS-Anbieter auf DSGVO-Konformität

Diese Fragen kannst du jedem Anbieter vor Vertragsschluss stellen. Fehlt eine klare Antwort, ist das ein Warnsignal.

1. Liegt ein AVV nach Art. 28 DSGVO vor, und deckt er Versand, Support, MDM und Rückgabe ab?
2. Gibt es eine aktuelle Liste aller Unterauftragsverarbeiter mit Sitz und Aufgabe?
3. Wo werden Portal- und MDM-Daten gespeichert? Welche Grundlage gilt für Transfers außerhalb der EU?
4. Welche Zertifizierung belegt die technischen Maßnahmen, etwa ISO 27001?
5. Mit welchem Verfahren wird bei der Rückgabe gelöscht? Gibt es ein Protokoll pro Seriennummer?
6. Was passiert mit defekten Geräten, die sich nicht löschen lassen?
7. Wie schnell meldet der Anbieter eine Datenpanne, damit du die 72-Stunden-Frist aus Art. 33 DSGVO halten kannst?
8. Wie werden Portaldaten nach Vertragsende gelöscht?

Everphone ist ISO-27001-zertifiziert. Die übrigen Antworten solltest du dir bei jedem Anbieter schriftlich geben lassen, auch bei uns.

Wann Device-as-a-Service datenschutzrechtlich die bessere Wahl ist

Device-as-a-Service lohnt sich datenschutzrechtlich vor allem dann, wenn deine IT heute keinen sauberen Prozess für Rückgaben und Altgeräte hat. Das betrifft den Zehn-Personen-Betrieb genauso wie den Konzern mit mehreren Standorten.

Ein externer Anbieter bringt Löschung, Nachweis und Gerätehistorie als Standard mit. Deine IT muss das nicht selbst aufbauen. Bei Audits zeigst du das Protokoll vor, statt nach einer Excel-Liste zu suchen.

Keine gute Idee ist DaaS bei einem Anbieter, der dir keinen AVV vorlegt oder seine Unterauftragnehmer nicht nennen will. Dann trägst du das Risiko, ohne es kontrollieren zu können. Verstöße gegen Art. 28 und Art. 32 kosten bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4 DSGVO).

Unsere Empfehlung: Lass den AVV vor der Unterschrift von der*dem Datenschutzbeauftragten prüfen und nimm die Checkliste oben ins Gespräch mit. Wie du Firmenhandys darüber hinaus absicherst, zeigt unser Whitepaper zur mobilen Sicherheit.

Häufige Fragen

Brauche ich für Device-as-a-Service einen Auftragsverarbeitungsvertrag?

Ja. Sobald der Anbieter Daten deiner Angestellten verarbeitet, etwa Namen und Lieferadressen oder Geräteinhalte bei der Rückgabe, ist ein AVV nach Art. 28 DSGVO Pflicht. Fehlt er, haftet dein Unternehmen als Verantwortlicher.

Reicht ein Werksreset vor der Rückgabe aus?

Technisch macht ein Werksreset die Daten auf aktuellen, verschlüsselten Smartphones unlesbar. Für die DSGVO fehlt aber der Nachweis. Besser ist eine zertifizierte Löschung durch den Anbieter mit Protokoll pro Gerät.

Muss der Betriebsrat zustimmen, wenn wir Mietgeräte mit MDM einführen?

In der Regel ja. Ein MDM ist eine technische Einrichtung, die sich zur Überwachung von Verhalten oder Leistung eignet. Dafür hat der Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG ein Mitbestimmungsrecht, unabhängig davon, ob die Geräte gekauft oder gemietet sind.

Was gilt, wenn ein gemietetes Firmenhandy verloren geht?

Prüfe, ob eine Datenpanne vorliegt, und melde sie bei einem Risiko innerhalb von 72 Stunden der Aufsichtsbehörde (Art. 33 DSGVO). War das Gerät verschlüsselt und per Code gesperrt, ist das Risiko meist gering. Mit einem MDM kannst du es zusätzlich aus der Ferne sperren oder löschen.

Ist Device-as-a-Service sicherer als gekaufte Geräte?

Die Geräte selbst sind dieselben. Sicherer wird DaaS durch die Prozesse: Jedes Gerät ist inventarisiert, im MDM registriert und wird bei Rückgabe nachweisbar gelöscht. Diese Prozesse kannst du auch mit gekauften Geräten aufbauen, musst sie dann aber selbst betreiben.