Technischer Datenschutz · Risiko und DSFA
Risiken technisch beschreiben – damit Ihr Datenschutzteam bewerten kann
Eine Risikobeurteilung ist nur so gut wie ihre technischen Fakten. Wir beschreiben Systeme, Datenflüsse und Risikoquellen, planen Abhilfemaßnahmen und liefern Dokumentationsgrundlagen für eine Datenschutz-Folgenabschätzung. Durchführung und Bewertung verantworten Sie mit Ihrem Datenschutzbeauftragten.
Beispiel: Risikomatrix nach DSK-Kurzpapier Nr. 18
Vier Szenarien, eingeordnet – und was Maßnahmen verschieben
Ein fiktives Datenschutzteam hat für die Beispielorganisation vier Szenarien eingeordnet und jede Stufe begründet. Welche Daten betroffen sind, wird aus der Verarbeitungsübersicht berechnet. Schalten Sie Maßnahmen zu: Die Matrix zeigt, ob sie die Eintrittswahrscheinlichkeit, die Schwere oder beides senken – und welches Restrisiko bleibt.
Risiko der Verarbeitung insgesamt (höchste Klasse der Einzelrisiken): hohes Risiko.
| groß | ||||
|---|---|---|---|---|
| substanziell | ||||
| überschaubar | ||||
| geringfügig | ||||
| Eintrittswahrscheinlichkeit | geringfügig | überschaubar | substanziell | groß |
Szenario 1
Notebook geht verloren
Notebook geht verloren: vorher hohes Risiko (substanziell × groß).
Betroffene Daten (berechnet)
KontaktdatenBewerbungsunterlagenBeschäftigtendatenBankverbindungGesundheitsdatenArt. 9Anfragen und KorrespondenzRechnungs- und Zahlungsdaten
Schwerefaktoren: besondere Kategorien (Art. 9) · Beschäftigte als schutzbedürftige Gruppe · Kopien an weiteren Orten
Einordnung des Beispielteams
- Eintrittswahrscheinlichkeit: substanziell. Geräte werden unterwegs genutzt; der TOM-Abgleich zeigt, dass nicht alle verschlüsselt sind.
- Schwere des möglichen Schadens: groß. Synchronisierte Personalordner enthalten Gesundheitsdaten von Beschäftigten.
Maßnahmen
Fiktive Beispielbewertung: Stufen und Begründungen hat kein reales Datenschutzteam vergeben, sie zeigen die Methode des DSK-Kurzpapiers Nr. 18. Wie Risiken in Ihrem Unternehmen einzuordnen sind, bewerten Sie mit Ihrem Datenschutzbeauftragten. ENTDECKE.digital bietet keine Rechtsberatung an.
Risikomatrix als Text
Matrix nach DSK-Kurzpapier Nr. 18 (Zeile = Schwere, Spalte = Eintrittswahrscheinlichkeit): groß: Risiko, Grenzfall: Risiko oder hohes Risiko, hohes Risiko, hohes Risiko; substanziell: Risiko, Risiko, Grenzfall: Risiko oder hohes Risiko, hohes Risiko; überschaubar: Grenzfall: geringes Risiko oder Risiko, Risiko, Risiko, Grenzfall: Risiko oder hohes Risiko; geringfügig: geringes Risiko, Grenzfall: geringes Risiko oder Risiko, Risiko, Risiko.
- Notebook geht verloren – Risikoquelle: Unbefugte Dritte (Verlust oder Diebstahl). Eintrittswahrscheinlichkeit substanziell (Geräte werden unterwegs genutzt; der TOM-Abgleich zeigt, dass nicht alle verschlüsselt sind.), Schwere des möglichen Schadens groß (Synchronisierte Personalordner enthalten Gesundheitsdaten von Beschäftigten.): hohes Risiko. Maßnahmen: Verschlüsselung auf allen Geräten, Status überwacht (Wahrscheinlichkeit −2); Personalordner nicht auf Notebooks synchronisieren (Schwere −2).
- Fernwartungszugang wird missbraucht – Risikoquelle: Dienstleister mit Wartungszugang. Eintrittswahrscheinlichkeit überschaubar (Seriöser Dienstleister, aber Zugang ohne Enddatum und ohne Freischaltung im Einzelfall.), Schwere des möglichen Schadens groß (Die Sicherung enthält Kopien aller Ablagen, auch der Personalordner.): Grenzfall: Risiko oder hohes Risiko. Maßnahmen: Zugang befristen und je Einsatz freischalten (Wahrscheinlichkeit −1); Sitzungen protokollieren und auswerten (Wahrscheinlichkeit −1).
- Bewerbung an falschen Empfänger – Risikoquelle: Beschäftigte (Versehen). Eintrittswahrscheinlichkeit substanziell (Bewerbungen werden als Anhang zwischen Postfächern weitergeleitet.), Schwere des möglichen Schadens substanziell (Lebenslauf und Zeugnisse sind umfangreiche, persönliche Unterlagen.): Grenzfall: Risiko oder hohes Risiko. Maßnahmen: Bewerbungen im Portal teilen statt per E-Mail (Wahrscheinlichkeit −2); Warnhinweis bei externen Empfängern (Wahrscheinlichkeit −1).
- Schadsoftware verschlüsselt die Dateiablage – Risikoquelle: Cyberkriminelle. Eintrittswahrscheinlichkeit substanziell (Angriffe über E-Mail sind verbreitet; die Ablage ist für alle Beschäftigten erreichbar.), Schwere des möglichen Schadens substanziell (Ohne getestete Wiederherstellung droht dauerhafter Verlust, darunter Personalunterlagen.): Grenzfall: Risiko oder hohes Risiko. Maßnahmen: Getestete Wiederherstellung der Ablage (Schwere −1); Mehr-Faktor-Anmeldung und getrennte Verwaltungskonten (Wahrscheinlichkeit −1).
Risikobeurteilung
Phasen der Risikobeurteilung und unser technischer Beitrag
Die Phasen folgen dem DSK-Kurzpapier Nr. 18. In jeder Phase steht, was wir technisch beitragen.
Sachverhalt beschreiben
Grundlage ist eine konkrete Beschreibung der Verarbeitung. Wir liefern Systeme, Datenflüsse, Speicherorte und Zugriffe.
Risiken identifizieren
Welche Ereignisse können zu einem Schaden führen, und wodurch? Das Kurzpapier nennt als Risikoquellen unter anderem Beschäftigte, Angreifer von außen, Kommunikationspartner, Hersteller und Dienstleister sowie technische Fehlfunktionen und höhere Gewalt. Wir beschreiben, wo diese Quellen in Ihren Systemen ansetzen.
Wahrscheinlichkeit und Schwere abschätzen
Ihr Datenschutzteam schätzt ab und begründet; wir liefern technische Fakten, etwa wie leicht ein Szenario technisch eintreten kann.
Risikostufe zuordnen
Die Zuordnung zu geringem Risiko, Risiko oder hohem Risiko nehmen Sie mit Ihrem Datenschutzbeauftragten vor.
Risiko eindämmen
Wir planen technische und organisatorische Maßnahmen, die Wahrscheinlichkeit oder Schwere senken, und setzen sie um.
Restrisiko dokumentieren
Was nach den Maßnahmen bleibt, wird bewertet und dokumentiert. Die Entscheidung über den Umgang damit liegt bei Ihrem Unternehmen.
Fachliche Empfehlung
Was die Schwere eines möglichen Schadens bestimmt
Die Schwere ist im Einzelfall nach Art, Umfang, Umständen und Zwecken der Verarbeitung zu bestimmen. Das Kurzpapier Nr. 18 nennt wesentliche Faktoren – technische Fakten zu jedem davon liefert eine Bestandsaufnahme.
Besonders geschützte Daten
Daten nach Art. 9 und 10 DSGVO, etwa Gesundheitsdaten. Technisch entscheidend: wo sie überall liegen – auch als Kopie.
Schutzbedürftige Personengruppen
Zum Beispiel Kinder oder Beschäftigte.
Eindeutig identifizierende Daten
Unveränderliche Kennungen wiegen schwerer als pseudonymisierte Daten.
Automatisierte Bewertung
Systematische Bewertung persönlicher Aspekte, auf deren Grundlage Entscheidungen mit erheblicher Wirkung fallen.
Kaum umkehrbarer Schaden
Wenn sich ein Schaden nicht beheben lässt oder Betroffene die Verarbeitung kaum prüfen können. Eine getestete Wiederherstellung macht etwa einen Datenverlust umkehrbar.
Umfang
Anzahl der betroffenen Personen, Datensätze und Merkmale sowie die geografische Abdeckung; ebenso eine mögliche systematische Überwachung.
Art. 35 Abs. 7 DSGVO
Dokumentationsgrundlagen für die Datenschutz-Folgenabschätzung
Eine Folgenabschätzung enthält nach Art. 35 Abs. 7 DSGVO mindestens vier Bestandteile. Die Kennzeichnung zeigt, wo wir technisch zuarbeiten und wo die Bewertung bei Ihnen liegt.
Systematische Beschreibung der Verarbeitung und ihrer Zwecketechnischer Beitrag
Wir beschreiben Systeme, Datenflüsse und Schnittstellen vollständig; die Zwecke legt Ihr Unternehmen fest.
Bewertung von Notwendigkeit und VerhältnismäßigkeitBewertung durch Sie und DSB
Eine rechtliche Bewertung. Wir können technische Alternativen aufzeigen, die mit weniger Daten auskommen.
Bewertung der Risiken für die betroffenen Personengemeinsam
Wir liefern technische Risikoquellen und Szenarien; bewertet wird durch Ihr Unternehmen mit dem Datenschutzbeauftragten.
Geplante Abhilfemaßnahmentechnischer Beitrag
Wir planen technische und organisatorische Maßnahmen und setzen sie um – siehe TOM.
Wann eine DSFA nötig ist
Schwellwertanalyse: entscheiden, begründen, dokumentieren
Eine Folgenabschätzung ist durchzuführen, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat (Art. 35 Abs. 1 DSGVO). Ob das der Fall ist, ergibt sich nach der Datenschutzkonferenz aus einer Schwellwertanalyse. Die deutschen Aufsichtsbehörden haben zudem eine Liste von Verarbeitungen veröffentlicht, für die eine Folgenabschätzung durchzuführen ist.
Wichtig: Die Entscheidung für oder gegen eine Folgenabschätzung ist mit den maßgeblichen Gründen schriftlich zu dokumentieren (DSK-Kurzpapier Nr. 5). Für diese Entscheidung liefern wir die technische Beschreibung; treffen und begründen müssen sie Ihr Unternehmen und Ihr Datenschutzbeauftragter.
Die Datenschutzkonferenz empfiehlt ein interdisziplinäres Team mit Kompetenzen in Datenschutz, Risikoermittlung und Fachprozessen; Hersteller von IT-Systemen oder Dienstleister können einbezogen werden. In diesem Team übernehmen wir die technische Rolle.
Häufige Fragen
Erstellen Sie die Datenschutz-Folgenabschätzung für uns?
Nein, nicht als Ganzes. Wir erstellen die technischen Teile – Beschreibung, Risikoquellen, Maßnahmen – und arbeiten im Team mit Ihrem Datenschutzbeauftragten. Die Bewertung von Notwendigkeit, Verhältnismäßigkeit und Risiken sowie die Freigabe der Verarbeitung liegen bei Ihrem Unternehmen.
Lässt sich das Risiko nicht einfach berechnen?
Nur in wenigen Ausnahmefällen. Das Kurzpapier Nr. 18 hält fest, dass sich Eintrittswahrscheinlichkeit und Schwere kaum mathematisch fassen lassen; die Einordnung in Stufen ist trotzdem nach objektiven Kriterien vorzunehmen und zu begründen. Felder mit zwei Farben in der Matrix sind Grenzfälle, die eine Einzelfallbetrachtung verlangen.
Lohnt sich eine Risikoanalyse auch ohne Pflicht zur Folgenabschätzung?
Ja. Das Risiko ist nach der Datenschutzkonferenz nicht nur für die Folgenabschätzung maßgeblich, sondern etwa auch für Datenschutz durch Technikgestaltung (Art. 25) und die Sicherheit der Verarbeitung (Art. 32). Eine technische Risikoanalyse hilft, Maßnahmen angemessen auszuwählen.
Was passiert, wenn ein hohes Risiko bleibt?
Bleibt trotz Maßnahmen ein hohes Restrisiko, sieht Art. 36 DSGVO die vorherige Konsultation der zuständigen Aufsichtsbehörde durch den Verantwortlichen vor. Diesen Schritt und die Entscheidung darüber verantworten Ihr Unternehmen und Ihr Datenschutzbeauftragter.
Ist die Folgenabschätzung nach dem Start erledigt?
Nein. Die Datenschutzkonferenz beschreibt sie als fortlaufenden Prozess: Ändern sich Risiken oder die Verarbeitung, ist sie zu überprüfen und anzupassen. Wir halten die technische Beschreibung bei Systemänderungen aktuell.
Verwandte Themen
Dieselbe Organisation, andere Blickwinkel
IT-Bestandsaufnahme
Die Beschreibung der Verarbeitung ist die erste Phase jeder Risikobeurteilung.
Technische und organisatorische Maßnahmen
Ob die geplanten Maßnahmen tatsächlich wirken, zeigt der Abgleich zwischen Beschreibung und System.
Datenschutzfreundliche Systemgestaltung
Weniger Daten und weniger Kopien senken die Schwere schon vor dem Start eines Systems.
Berechtigungs- und Zugriffskonzepte
Unbefristete Dienstleisterzugänge und Direktrechte sind typische technische Risikoquellen.
Risiken technisch fundiert beschreiben?
Wir besprechen, welche Verarbeitung ansteht und wer beteiligt ist – gern direkt mit Ihrem Datenschutzbeauftragten. Telefon 07131-618726-0.