¶ Datenschutz-Risikomethodik
Beispieldokument: Diese Methodik ist ein nicht freigegebener Musterentwurf für die fiktive „Muster GmbH“. Skalen, Klassen, Befugnisse und Fristen müssen vor betrieblicher Nutzung organisationsbezogen festgelegt und genehmigt werden.
Betroffenenperspektive: Bewertet werden mögliche Auswirkungen auf Rechte und Freiheiten natürlicher Personen. Schäden für das Unternehmen sind nur insoweit relevant, wie sie das Szenario oder die Schutzmöglichkeiten beeinflussen.
DSFA-Regel: Ein rechnerischer Risikowert entscheidet nicht allein über die Pflicht zur Datenschutz-Folgenabschätzung. Artikel 35 DSGVO, konkrete Verarbeitungsmerkmale und aktuelle Aufsichtslisten werden gesondert geprüft.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | DSGVO-MA-05-01 |
| Dokumentenart | Methodik zur Bewertung von Datenschutzrisiken |
| Wiki.js-Pfad | /DSGVO/05-Risiken-DSFA-und-TOM/Datenschutz-Risikomethodik |
| Verantwortlich | festzulegende Datenschutzkoordination / Risikomanagement |
| Fachlich geprüft durch | Datenschutzbeauftragte/r, sofern benannt, Rechtsfunktion, Informationssicherheit und betroffene Fachrollen |
| Freigabe durch | Geschäftsführung beziehungsweise dokumentierte befugte Leitung |
| Status | Entwurf – Skalen, Klassen, Schwellen, Befugnisse und Fristen nicht organisationsbezogen freigegeben |
| Version | 0.4 |
| Stand | 08.08.2026 |
| Gültig ab | Nach fachlicher Prüfung, Praxistest, Kalibrierung und formaler Freigabe |
| Nächste Prüfung | Mindestens jährlich sowie bei Rechts-, Aufsichts-, Methoden- oder wesentlichen Prozessänderungen |
| Schutzklasse | Intern; konkrete Bewertungen, Systeme, Schwachstellen und Nachweise vertraulich |
| DSGVO-Bezug | Erwägungsgründe 75, 76, 77 und 84 sowie Artikel 24, 25, 32, 35 und 36 DSGVO |
| Schnittstellen | Datenschutz-Risikoregister, VVT, DSFA, TOM, Projekte, Lieferanten, Transfers, Vorfälle und ISMS |
Die Methodik macht Annahmen, Bewertung, Maßnahmenwirkung, Restrisiko und DSFA-Eskalation nachvollziehbar. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Zweck
Die Methodik schafft einen einheitlichen und prüfbaren Bewertungsrahmen für Datenschutzrisiken. Sie soll vergleichbare Entscheidungen unterstützen, ohne fachliches Urteil durch eine Punktzahl zu ersetzen.
Ergebnisse werden im Datenschutz-Risikoregister dokumentiert.
¶ 2. Methodische Grundsätze
- konkrete Verarbeitung statt abstrakter Organisationseinheit bewerten,
- Perspektive betroffener Personen einnehmen,
- Ursache, Ereignis und Folgen getrennt beschreiben,
- Annahmen und Quellen sichtbar machen,
- Wahrscheinlichkeit und Schwere getrennt begründen,
- nur nachgewiesen wirksame Maßnahmen risikomindernd berücksichtigen,
- Restrisiko nach Maßnahmen neu bewerten,
- Rechtmäßigkeit und DSFA-Pflicht unabhängig prüfen,
- Unsicherheit nicht stillschweigend als niedrige Wahrscheinlichkeit behandeln.
¶ 3. Bewertungsanlässe
Eine Bewertung wird insbesondere ausgelöst durch:
- neue oder wesentlich geänderte Verarbeitung,
- Projekt, Produkt, System oder Algorithmus,
- neue Daten, Zwecke, Personen- oder Empfängergruppen,
- neue Auftragsverarbeiter, Unterauftragnehmer oder Drittlandtransfers,
- Änderung von Rechtsgrundlage, Speicherfrist oder Zugriff,
- Datenschutzverletzung, Beschwerde oder Kontrollfeststellung,
- unwirksame Maßnahme oder neue Bedrohungsinformation,
- DSFA-Screening oder geplante Ausnahmeentscheidung.
¶ 4. Schritt 1 – Kontext bestimmen
Mindestens zu dokumentieren sind:
- Zweck, Erforderlichkeit und erwarteter Nutzen der Verarbeitung,
- Art, Umfang, Umstände und Dauer,
- Datenarten, Quellen und Verknüpfungen,
- betroffene Personen und Abhängigkeitsverhältnisse,
- Systeme, Empfänger, Orte und Zugriffe,
- rechtliche, technische und organisatorische Rahmenbedingungen,
- bestehende Kontrollen und deren Nachweise,
- Bewertungsstichtag, Quellen und Unsicherheiten.
Unvollständiger Kontext führt zum Status Bewertung unvollständig.
¶ 5. Schritt 2 – Risikoszenario bilden
Das Szenario folgt der Struktur:
Aufgrund von
[Ursache oder Rahmenbedingung]kann[Ereignis]eintreten. Für[betroffene Personengruppe]können daraus[materielle oder immaterielle Folgen]entstehen.
Ein Szenario enthält nicht nur eine Schwachstelle wie „fehlende Verschlüsselung“, sondern die mögliche Auswirkung für Menschen.
Mehrere wesentlich unterschiedliche Folgen werden getrennt bewertet, wenn Wahrscheinlichkeit, Schwere oder Maßnahmen voneinander abweichen.
¶ 6. Schritt 3 – betroffene Rechte und Folgen
Geprüft werden insbesondere:
- Privatsphäre und Vertraulichkeit,
- informationelle Selbstbestimmung und Kontrolle,
- Gleichbehandlung und Schutz vor Diskriminierung,
- freie Meinungsäußerung, Bewegungs- oder Vereinigungsfreiheit,
- Zugang zu Leistung, Beschäftigung, Versicherung oder Kredit,
- körperliche Unversehrtheit und persönliche Sicherheit,
- Schutz des Eigentums und vor Identitätsmissbrauch,
- wirksame Ausübung von Betroffenenrechten.
Folgen können einzeln gering erscheinen, sich aber durch Dauer, Wiederholung, Reichweite oder Verknüpfung verstärken.
¶ 7. Schritt 4 – Wahrscheinlichkeit bewerten
Die Wahrscheinlichkeit beschreibt, wie plausibel das Ereignis unter den konkreten Umständen innerhalb des betrachteten Zeitraums ist.
| Stufe | Bezeichnung | Orientierung |
|---|---|---|
| 1 | gering | Ereignis ist unter den konkreten Umständen wenig plausibel; wirksame Kontrollen und geringe Exposition sind belegt |
| 2 | möglich | Ereignis kann eintreten, ist aber nicht regelmäßig zu erwarten; einzelne Voraussetzungen oder Unsicherheiten bestehen |
| 3 | erhöht | Ereignis ist plausibel, wiederkehrend oder durch erkennbare Schwächen begünstigt |
| 4 | hoch | Ereignis ist wahrscheinlich, häufig, bereits eingetreten oder kaum kontrollierbar |
Berücksichtigt werden unter anderem Exposition, Zugriffsbreite, Komplexität, Akteursfähigkeiten, Änderungsdynamik, bekannte Vorfälle und Wirksamkeit bestehender Kontrollen.
¶ 8. Schritt 5 – Schwere bewerten
Die Schwere beschreibt das Ausmaß möglicher Nachteile für betroffene Personen, nicht Kosten oder Reputationsschäden des Unternehmens.
| Stufe | Bezeichnung | Orientierung |
|---|---|---|
| 1 | begrenzt | kurzfristige, lokal begrenzte und leicht behebbare Nachteile |
| 2 | spürbar | erkennbare Nachteile mit zumutbarem Korrekturaufwand oder begrenzter Dauer |
| 3 | erheblich | länger wirkende, schwer behebbare, wirtschaftliche, soziale oder persönliche Nachteile |
| 4 | sehr schwer | dauerhafte, breite, existenzielle, körperliche oder kaum umkehrbare Folgen |
Die höchste plausible Folge wird nicht durch eine durchschnittliche Auswirkung verwässert. Besonders schutzbedürftige Gruppen werden ausdrücklich berücksichtigt.
¶ 9. Modulierende Faktoren
¶ 9.1 Verstärkend
- große Zahl betroffener Personen,
- sensible oder hoch verknüpfbare Daten,
- Kinder, Beschäftigte, Patienten oder andere abhängige Personen,
- systematische Beobachtung oder Profilbildung,
- lange Dauer, hohe Frequenz oder breite Empfängerkette,
- fehlende Transparenz oder geringe Einflussmöglichkeit,
- schwer erkennbare oder nicht rückholbare Verarbeitung,
- Drittlandzugriff oder komplexe technische Abhängigkeit.
¶ 9.2 Abschwächend
- belastbare Datenminimierung,
- wirksame Pseudonymisierung oder Anonymisierung,
- technisch erzwungene Zugriffsbeschränkung,
- kurze und kontrollierte Speicherdauer,
- verständliche Wahl- und Widerspruchsmöglichkeiten,
- schnelle Erkennung, Korrektur und Begrenzung,
- nachgewiesen wirksame Kontrollen.
Faktoren werden nicht doppelt in Wahrscheinlichkeit und Schwere eingerechnet, ohne dies zu erklären.
¶ 10. Risikowert und Matrix
Als internes Orientierungsmuster gilt:
Risikowert = Wahrscheinlichkeit × Schwere
| Schwere \ Wahrscheinlichkeit | 1 | 2 | 3 | 4 |
|---|---|---|---|---|
| 4 – sehr schwer | 4 | 8 | 12 | 16 |
| 3 – erheblich | 3 | 6 | 9 | 12 |
| 2 – spürbar | 2 | 4 | 6 | 8 |
| 1 – begrenzt | 1 | 2 | 3 | 4 |
¶ 11. Interne Risikoklassen
Die folgenden Klassen sind Musterwerte und vor Nutzung zu kalibrieren und freizugeben:
| Wert | Klasse | Mindestreaktion |
|---|---|---|
| 1–3 | niedrig | dokumentieren, angemessene Basiskontrollen und Review |
| 4–6 | mittel | Maßnahmenbedarf prüfen, Owner und Termin festlegen |
| 8–9 | hoch | vertiefte Behandlung, formale Eskalation und DSFA-Screening |
| 12–16 | sehr hoch | Verarbeitung nicht beginnen beziehungsweise beschränken; DSFA und Leitungsentscheidung erforderlich |
Nur die tatsächlich möglichen Produktwerte treten auf. Die Klassen sind keine gesetzlichen Grenzwerte.
¶ 12. Ausgangsrisiko
Das Ausgangsrisiko beschreibt den aktuellen Zustand vor zusätzlichen Maßnahmen. Bereits bestehende Kontrollen dürfen berücksichtigt werden, wenn:
- sie für die konkrete Verarbeitung gelten,
- sie vollständig umgesetzt sind,
- ihre Wirkung nachvollziehbar ist,
- ein aktueller Nachweis vorliegt.
Nicht umgesetzte Planmaßnahmen werden gesondert ausgewiesen.
¶ 13. Maßnahmen auswählen
Maßnahmen werden gezielt einer Ursache, Wahrscheinlichkeit oder Auswirkung zugeordnet. Kategorien sind:
- rechtliche und vertragliche Maßnahmen,
- Datenschutz durch Technikgestaltung und Voreinstellungen,
- Datenminimierung, Pseudonymisierung und Verschlüsselung,
- Berechtigungen, Protokollierung und Trennung,
- Transparenz, Wahlmöglichkeiten und Betroffenenrechte,
- organisatorische Kontrollen, Schulungen und Eskalation,
- Lieferanten-, Transfer-, Lösch- und Notfallmaßnahmen.
Die Maßnahme beschreibt erwartete Wirkung, Owner, Frist, Ressourcen und Nachweis.
¶ 14. Wirksamkeit prüfen
Eine Maßnahme gilt erst als risikomindernd, wenn Umsetzung und Wirkung geprüft wurden. Geeignete Nachweise können sein:
- technische Konfiguration und Test,
- Prozessstichprobe oder Fallprüfung,
- Protokoll, Messwert oder Kontrollbericht,
- unabhängiger Prüfbericht mit passendem Geltungsbereich,
- dokumentierter Praxistest von Rechten, Löschung oder Exit.
Selbstauskünfte und Richtlinien ohne Umsetzungsbezug genügen nicht allein.
¶ 15. Restrisiko
Nach wirksamer Umsetzung werden Wahrscheinlichkeit, Schwere und Faktoren vollständig neu bewertet. Das Restrisiko wird nicht durch bloßen Abzug eines pauschalen Maßnahmenwertes berechnet.
Bleibt ein unvertretbares oder hohes Risiko, folgen zusätzliche Gestaltung, Beschränkung, Nichtbeginn, Beendigung oder gesetzlich erforderliche Konsultation.
¶ 16. DSFA-Screening unabhängig durchführen
Die DSFA-Prüfung berücksichtigt unabhängig vom Matrixwert:
- Artikel 35 Absatz 1 und Absatz 3 DSGVO,
- Art, Umfang, Umstände und Zwecke,
- systematische Bewertung, Überwachung oder Profilbildung,
- umfangreiche sensible Daten oder Strafdaten,
- neue Technologien und innovative Kombinationen,
- schutzbedürftige Personen und Machtungleichgewicht,
- Abgleich, Verknüpfung, Reichweite und Verhinderung von Rechten,
- aktuelle Positiv- und Negativlisten der zuständigen Aufsichtsbehörden.
Die Entscheidung wird im DSFA-Prüfregister mit Muss-Fällen, Aufsichtslisten, EDSA-Kriterien, Begründung und Review geführt. Die vollständigen Screeningunterlagen verbleiben in der geschützten Risikodokumentation.
¶ 17. Vorherige Konsultation
Ergibt eine DSFA ein hohes Restrisiko, das auch mit vorgesehenen Maßnahmen nicht ausreichend gemindert werden kann, wird vor der Verarbeitung die vorherige Konsultation nach Artikel 36 DSGVO geprüft und eingeleitet.
Eine interne Risikoakzeptanz ersetzt die Konsultationspflicht nicht.
¶ 18. Entscheidungs- und Akzeptanzregeln
| Restrisikoklasse | Musterbefugnis | Mindestanforderung |
|---|---|---|
| niedrig | Risikoeigentümer innerhalb freigegebener Grenzen | Begründung und Reviewtermin |
| mittel | Prozesseigner und Datenschutzkoordination | Maßnahmenprüfung, dokumentierte Entscheidung und Frist |
| hoch | befugte Leitung nach Datenschutz- und Rechtsprüfung | DSFA-Screening, Behandlungsplan, enge Überwachung |
| sehr hoch | keine reguläre Freigabe durch bloße Akzeptanz | Nichtbeginn, Umgestaltung oder gesetzlich erforderliche DSFA/Konsultation |
Diese Befugnisse sind Muster und müssen organisationsbezogen freigegeben werden. Rechtswidrige Verarbeitungen und nicht erfüllte Mindestpflichten sind nicht akzeptierbar.
¶ 19. Unsicherheit und konservative Bewertung
Fehlen belastbare Informationen, wird:
- die Unsicherheit dokumentiert,
- keine unbegründete Niedrigeinstufung vorgenommen,
- gezielte Informationsbeschaffung als Maßnahme festgelegt,
- bei hoher möglicher Schwere vorsichtig bewertet,
- der Produktivstart gegebenenfalls zurückgestellt.
¶ 20. Aggregation und Abhängigkeiten
Einzelrisiken werden nicht isoliert betrachtet, wenn gemeinsame Ursachen, kumulative Wirkungen oder derselbe Personenkreis betroffen sind. Abhängigkeiten zwischen Systemen, Lieferanten, Datenquellen und Maßnahmen werden referenziert.
Eine niedrige Einzelbewertung kann durch Kombination mehrerer Verarbeitungen zu einem höheren Gesamtrisiko führen.
¶ 21. Dokumentation und Nachvollziehbarkeit
Jede Bewertung enthält:
- Risiko-ID und Bezugsobjekt,
- Bewertende, Datum und Version,
- Kontext, Szenario und Folgen,
- Quellen, Annahmen und Unsicherheiten,
- Wahrscheinlichkeit und Schwere mit Begründung,
- Ausgangsrisiko und bestehende Kontrollen,
- Maßnahmen, Nachweise und Restrisiko,
- DSFA-Screening und Entscheidung,
- Freigabe, Bedingungen und nächsten Review.
¶ 22. Kalibrierung und Qualitätssicherung
Vor Freigabe und anschließend regelmäßig werden Beispielbewertungen durch mehrere Rollen verglichen. Abweichungen dienen zur Schärfung von Skalen und Beispielen.
Qualitätssicherung prüft insbesondere:
- konsistente Betroffenenperspektive,
- vergleichbare Anwendung der Skalen,
- Vermeidung von Doppelzählungen,
- Begründung statt reiner Zahlenwerte,
- korrekte DSFA-Eskalation,
- Wirksamkeitsnachweise statt Planannahmen.
¶ 23. Review und Änderungsauslöser
Die Methodik wird überprüft bei:
- Rechts- oder Aufsichtsänderungen,
- neuen verbindlichen Leitlinien,
- erkennbaren Fehlklassifizierungen,
- Audit- oder DSFA-Feststellungen,
- Vorfällen mit unerwarteter Schwere,
- Änderungen der Organisations- oder Freigabestruktur.
Registereinträge werden zusätzlich bei jeder wesentlichen Änderung ihres Bezugsobjekts neu bewertet.
¶ 24. Verknüpfte Seiten
| Seite | Funktion |
|---|---|
| Datenschutz-Risikoregister | operative Dokumentation der Bewertungen und Maßnahmen |
| Verzeichnis von Verarbeitungstätigkeiten | Kontext, Zweck, Daten, Personen, Systeme und Empfänger |
| Datenschutzleitlinie | Grundsätze, Verantwortlichkeit und Risikoorientierung |
| ISMS-Methodik der Risikobewertung | Unternehmens- und Informationssicherheitsrisiken als getrennte Schnittstelle |
| Datenschutz-Folgenabschätzung | vertiefte Bewertung und Behandlung voraussichtlich hoher Risiken |
| DSFA-Prüfregister | Muss-Fälle, Aufsichtslisten, EDSA-Kriterien, begründete Entscheidung und Review |
| Technische und organisatorische Maßnahmen | Maßnahmenbestand, Risikozuordnung, Status und Wirksamkeit |
¶ 25. Offizielle Grundlagen
- DSGVO mit Erwägungsgründen 75, 76, 77 und 84 sowie Artikeln 24, 25, 32, 35 und 36 – EUR-Lex
- EDSA: Datenschutz-Folgenabschätzung und hohes Risiko
- EDSA-Leitlinien 4/2019 zu Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen – finale Fassung
¶ 26. Weiterführende Informationen von SMCT MANAGEMENT
Unterstützung bei Datenschutz-Risikomethodik, Register, DSFA, TOM und Wirksamkeitsprüfung
- Datenschutzmanagement
- Datenschutz-Leistungen
- Technische und organisatorische Maßnahmen nach Artikel 32 DSGVO
Erstgespräch unter info@smct-management.de vereinbaren
¶ 27. Änderungshistorie
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe |
|---|---|---|---|---|
| 0.4 | 08.08.2026 | TOM-Verzeichnis als führende Quelle für Maßnahmenstatus und belastbare Wirksamkeitsnachweise verknüpft | Datenschutzkoordination / Musterrolle | Ausstehend |
| 0.3 | 08.08.2026 | Datenschutz-Folgenabschätzung als vertieftes Bewertungs- und Entscheidungsverfahren verknüpft | Datenschutzkoordination / Musterrolle | Ausstehend |
| 0.2 | 08.08.2026 | DSFA-Prüfregister als führende Dokumentation für Screening, Entscheidung, Begründung und Review verknüpft | Datenschutzkoordination / Musterrolle | Ausstehend |
| 0.1 | 08.08.2026 | Muster-Methodik mit 4x4-Skalen, Risikoklassen, Maßnahmenwirkung, Restrisiko und eigenständigem DSFA-Screening erstellt | Datenschutzkoordination / Musterrolle | Ausstehend |