Risikobewertung bei einer Datenschutzverletzung

Die Risikobewertung ist die zentrale Weiche im Umgang mit einer Datenschutzverletzung. Aus ihr ergibt sich, ob nur dokumentiert, an die Aufsichtsbehörde gemeldet oder zusätzlich die betroffenen Personen benachrichtigt werden müssen. Diese Seite zeigt das dreistufige Modell und das praktische Vorgehen in drei Schritten.

1. Wofür die Risikobewertung entscheidet

Die DSGVO arbeitet mit zwei Schwellen. Die Meldepflicht nach Art. 33 Abs. 1 DSGVO entfällt nur, wenn die Verletzung voraussichtlich nicht zu einem Risiko führt. Die Benachrichtigungspflicht nach Art. 34 Abs. 1 DSGVO entsteht erst, wenn die Verletzung voraussichtlich ein hohes Risiko zur Folge hat. Daraus ergeben sich drei Stufen mit unterschiedlichen Rechtsfolgen.

Die Dokumentation nach Art. 33 Abs. 5 DSGVO ist auf allen drei Stufen Pflicht. Die Bewertung selbst ist eine Prognose: Es geht nicht um Gewissheit, sondern um die nach methodisch nachvollziehbarer Analyse zu erwartende Entwicklung. Sie erfolgt in drei Schritten.

2. Schritt 1: Beurteilungsgrundlage gewinnen

Zunächst werden die für das Risiko erheblichen tatsächlichen Umstände erfasst. Diese bilden die Grundlage der anschließenden Analyse. Die Aufsichtsbehörden und der EDPB nennen übereinstimmend die folgenden Faktoren (EDPB, Leitlinien 9/2022, Rn. 105 ff.):

• Art der Verletzung. Eine Offenlegung von Gesundheitsdaten gegenüber Unbefugten hat andere Folgen als der bloße, vorübergehende Verlust derselben Daten.
• Art, Sensibilität und Umfang der Daten. Je sensibler die Daten, desto höher das Risiko. Besondere Bedeutung haben besondere Kategorien (Art. 9 DSGVO), Ausweis- und Finanzdaten. Eine Kombination mehrerer Datenarten ist regelmäßig sensibler als ein einzelnes Element, weil sie etwa Identitätsdiebstahl ermöglicht.
• Identifizierbarkeit der Betroffenen. Wie leicht lassen sich aus den Daten konkrete Personen bestimmen? Eine angemessene Verschlüsselung oder Pseudonymisierung senkt die Identifizierbarkeit.
• Schwere der Folgen. Drohen Diskriminierung, Identitätsdiebstahl, finanzielle Verluste, Rufschädigung oder die Offenlegung von Berufsgeheimnissen?
• Besondere Eigenschaften der Betroffenen. Kinder und andere schutzbedürftige Personen können stärker gefährdet sein.
• Besondere Eigenschaften des Verantwortlichen. Eine medizinische Einrichtung verarbeitet typischerweise sensiblere Daten als ein Newsletter-Versender.
• Zahl der betroffenen Personen. Mehr Betroffene bedeuten in der Regel weitreichendere Folgen; im Einzelfall kann aber schon die Betroffenheit einer einzigen Person ein hohes Risiko begründen.

3. Schritt 2: Risikoanalyse aus Schwere und Wahrscheinlichkeit

Aus der Beurteilungsgrundlage werden die möglichen Nachteile für die Betroffenen abgeleitet und bewertet. In Betracht kommen physische, materielle und immaterielle Schäden, also Vermögens- wie Nichtvermögensschäden. Jeder mögliche Nachteil wird in zwei Dimensionen eingeschätzt:

• Schwere: Wie schwer wiegt der Nachteil für die betroffene Person, wenn er eintritt?
• Eintrittswahrscheinlichkeit: Wie wahrscheinlich ist es, dass er eintritt?

Schadensmindernde Maßnahmen, die bereits gewirkt haben, sind dabei zu berücksichtigen. Hat sich ein Nachteil bereits verwirklicht, beschränkt sich die Bewertung insoweit auf die Schwere; für noch nicht eingetretene Folgen bleibt es bei der Bewertung von Schwere und Wahrscheinlichkeit. Bestehen Unsicherheiten bei der Einschätzung, ist jeweils der höhere Grad zu wählen.

4. Schritt 3: Gesamtbewertung mit der Risikomatrix

In der Gesamtbewertung werden Schwere und Eintrittswahrscheinlichkeit zusammengeführt und einer der drei Risikostufen zugeordnet. Eine feinere Abstufung als kein Risiko, Risiko und hohes Risiko ist für die Anwendung der Art. 33, 34 DSGVO nicht erforderlich. Die folgende Matrix bildet die typische Zuordnung ab.

Lesehilfe: 1 = kein oder geringes Risiko (nur Dokumentation), 2 = Risiko (Meldung nach Art. 33), 3 = hohes Risiko (Meldung nach Art. 33 und Benachrichtigung nach Art. 34). Bereits eingetretene Nachteile mit mindestens überschaubarer Schwere begründen ein hohes Risiko.

5. Welche Faktoren die Einstufung kippen

In den von den Aufsichtsbehörden und vom EDPB aufbereiteten Fällen entscheiden immer wieder dieselben wenigen Faktoren darüber, ob nur dokumentiert, gemeldet oder zusätzlich benachrichtigt wird (EDPB, Leitlinien 01/2021). Wer einen Vorfall einordnet, sollte diese Punkte gezielt prüfen:

• Sicherungskopie vorhanden? Lassen sich die Daten zeitnah wiederherstellen, sinkt das Risiko aus einem Verfügbarkeitsverlust deutlich.
• Datenabfluss (Exfiltration) oder nur Verschlüsselung? Wurden Daten nur verschlüsselt, ist die Lage günstiger als bei zusätzlichem Abfluss.
• Verschlüsselung oder Hashing nach Stand der Technik, Schlüssel und Salt intakt? Dann sind die Daten für Unbefugte unzugänglich.
• Besondere Kategorien (Art. 9 DSGVO) betroffen? Gesundheits-, Finanz- oder Ausweisdaten heben das Risiko deutlich an.
• Kontaktdaten der Betroffenen mit offengelegt? Sie ermöglichen Folgeangriffe wie Phishing und erhöhen das Risiko.
• Zahl der Betroffenen. Viele Betroffene bedeuten weitreichendere Folgen; im Einzelfall genügt aber schon eine Person.
• Betriebs- oder Versorgungsunterbrechung? Verzögerte Behandlungen oder Zahlungen verschärfen die Folgen erheblich.
• Schutzbedürftige Personen? Daten über Kinder oder andere besonders Schutzbedürftige erhöhen das Gefährdungsrisiko.
• Vertrauenswürdiger Empfänger? Ein zur Verschwiegenheit verpflichteter Empfänger, der die Daten löscht, kann die Schwere der Folgen beseitigen.

6. Fallbeispiele zur Orientierung

Der EDPB hat typische Fallgruppen mit der jeweiligen Bewertung versehen. Sie ersetzen die Einzelfallprüfung nicht, geben aber eine belastbare Orientierung (EDPB, Leitlinien 01/2021; Leitlinien 9/2022, Anhang B). Jede Änderung der Umstände kann zu einer anderen Einstufung führen.

Auch in den Fällen ohne Meldepflicht bleibt die interne Dokumentation Pflicht. Beim Postversandfehler kann zudem eine Information der Betroffenen sinnvoll oder nötig sein, etwa weil ihre Mitwirkung zur Rücksendung oder Löschung erforderlich ist, ohne dass damit zugleich die Benachrichtigungspflicht nach Art. 34 DSGVO ausgelöst wäre. Bei der offenen Sammel-E-Mail hängt die Einstufung von Zahl und Sensibilität der Adressaten ab.

7. Drei Fälle im Detail

Die folgenden, an den EDPB-Fallgruppen orientierten Beispiele zeigen, wie die Faktoren zusammenwirken (EDPB, Leitlinien 01/2021).

Fall 1: Fehlversand per E-Mail. Sachverhalt: Eine Mitarbeiterin verschickt eine Teilnehmerliste mit 15 Namen und zwei Angaben zu Ernährungsvorlieben versehentlich an die Teilnehmer statt an das Hotel und bittet sofort um Löschung. Bewertung: Geringe Datenmenge, keine schwerwiegenden Folgen, sofortige Eindämmung. Konsequenz: Kein meldepflichtiges Risiko, nur interne Dokumentation. Anders liegt es, wenn eine E-Mail Namen und Sozialversicherungsnummern zehntausender Personen offenlegt: Dann sind Meldung und Benachrichtigung erforderlich.

Fall 2: Verlorenes Gerät. Sachverhalt: Ein Tablet mit Daten über Kinder einer Kindertagesstätte wird gestohlen; es ist verschlüsselt, passwortgeschützt und es existiert eine Sicherungskopie, die Daten werden zusätzlich aus der Ferne gelöscht. Bewertung: Verschlüsselung und Sicherungskopie schließen das Risiko praktisch aus. Konsequenz: Nur Dokumentation. Wird dagegen ein unverschlüsseltes Notebook mit Daten zahlreicher Kunden gestohlen, sind Meldung und Benachrichtigung erforderlich.

Fall 3: Übernommenes E-Mail-Konto (Business E-Mail Compromise). Sachverhalt: Über ein kompromittiertes Konto richtet ein Angreifer heimliche Weiterleitungsregeln ein, fängt Rechnungen ab und versendet gefälschte Zahlungsaufforderungen; abgeflossen sind auch Namen und Lohndaten von Beschäftigten. Bewertung: Vertraulichkeitsverletzung mit Finanz- und Beschäftigtendaten, Gefahr von Betrug und Identitätsmissbrauch. Konsequenz: Meldung an die Aufsichtsbehörde und Benachrichtigung aller betroffenen Beschäftigten, nicht nur derjenigen mit offengelegten Lohndaten.

8. Sonderfälle

Verschlüsselung und Pseudonymisierung. Sind die betroffenen Daten mit einem dem Stand der Technik entsprechenden Verfahren verschlüsselt und ist der Schlüssel nicht kompromittiert, sind die Daten für Unbefugte unzugänglich; das Risiko aus der Vertraulichkeitsverletzung sinkt auf ein Mindestmaß. Das kann die Benachrichtigung der Betroffenen entbehrlich machen (Art. 34 Abs. 3 lit. a DSGVO). Zu beachten bleibt aber die Verfügbarkeit: Existiert keine Sicherungskopie der verschlüsselten Daten, kann gerade der Verlust der Verfügbarkeit ein meldepflichtiges Risiko begründen.

Vertrauenswürdiger Empfänger. Gelangen Daten versehentlich an einen Empfänger, zu dem ein Vertrauensverhältnis besteht (etwa eine falsche interne Abteilung oder ein regelmäßig beauftragter Dienstleister, der zur Verschwiegenheit verpflichtet ist), und kommt dieser einer Aufforderung zur Löschung oder Rücksendung nach, kann dies die Schwere der Folgen beseitigen. Dass eine Verletzung stattgefunden hat und zu dokumentieren ist, ändert das nicht.