¶ Datenschutz-Risikoregister
Beispielregister: Diese Seite ist ein Strukturmuster für die fiktive „Muster GmbH“. Sie enthält keine realen Verarbeitungen, Risiken, Bewertungen, Maßnahmen oder Freigaben.
Betroffenenperspektive: Bewertet werden mögliche Auswirkungen auf Rechte und Freiheiten natürlicher Personen. Unternehmens-, Projekt- oder Informationssicherheitsrisiken können Eingaben liefern, ersetzen diese Perspektive aber nicht.
Rechtsgrenze: Eine interne Restrisikoentscheidung kann weder eine fehlende Rechtsgrundlage noch eine unzulässige Verarbeitung oder gesetzlich vorgeschriebene Schutzmaßnahme ersetzen.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | DSGVO-REG-05-01 |
| Dokumentenart | Datenschutz-Risikoregister |
| Wiki.js-Pfad | /DSGVO/05-Risiken-DSFA-und-TOM/Datenschutz-Risikoregister |
| Verantwortlich | festzulegende Datenschutzkoordination / Prozesseigner / Risikoeigentümer |
| Fachlich geprüft durch | Datenschutzbeauftragte/r, sofern benannt, Rechtsfunktion, Informationssicherheit und betroffene Fachrollen |
| Freigabe durch | Geschäftsführung beziehungsweise dokumentierte befugte Leitung |
| Status | Entwurf – keine realen Risiken, Bewertungen, Maßnahmen oder Restrisikoentscheidungen bestätigt |
| Version | 0.5 |
| Stand | 08.08.2026 |
| Gültig ab | Nach Freigabe der Methodik, Skalen, Befugnisse, DSFA-Schnittstelle und Registerpflege |
| Nächste Prüfung | Kontinuierlich sowie mindestens turnusmäßig und bei wesentlichen Änderungen, Vorfällen oder neuen Erkenntnissen |
| Schutzklasse | Vertraulich; vollständige Risikoanalysen, Systeme, Schwachstellen, Personenbezug und Nachweise geschützt |
| DSGVO-Bezug | Erwägungsgründe 75, 76, 77 und 84 sowie Artikel 24, 25, 32, 35 und 36 DSGVO |
| Schnittstellen | VVT, Rechtsgrundlagen, DSFA-Screening, TOM, Projekte, Lieferanten, Transfers, Vorfälle, Betroffenenrechte und ISMS |
Das Register verbindet konkrete Verarbeitungen mit Risikoszenarien, Auswirkungen für Menschen, Maßnahmen, Restrisiko und DSFA-Entscheidung. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Zweck und Einordnung
Das Register führt erkannte Datenschutzrisiken nachvollziehbar von ihrer Quelle bis zur geprüften Behandlung. Es unterstützt die Rechenschaftspflicht und verbindet operative Entscheidungen mit VVT, DSFA, TOM und Wirksamkeitsnachweisen.
Das Risikoregister ersetzt weder:
- die Prüfung der Rechtmäßigkeit,
- das DSFA-Screening,
- eine erforderliche Datenschutz-Folgenabschätzung,
- die Risikobewertung einer Datenschutzverletzung,
- eine Informationssicherheits-Risikobewertung.
¶ 2. Führende Bezugsobjekte
Jeder Eintrag wird mindestens einem konkreten Bezugsobjekt zugeordnet:
- Verarbeitungstätigkeit und VVT-ID,
- Projekt, Produkt oder System,
- Empfänger, Auftragsverarbeiter oder Transfer,
- Betroffenenrecht oder Datenschutzgrundsatz,
- Änderung, Vorfall, Beschwerde oder Feststellung.
Sammelrisiken ohne nachvollziehbaren Umfang werden aufgeteilt oder ausdrücklich begrenzt.
¶ 3. Risikoszenario formulieren
Ein Risikoszenario beschreibt:
- Quelle oder Ursache: wodurch die Gefahr entsteht,
- Ereignis: was mit personenbezogenen Daten oder einer Verarbeitung geschehen kann,
- betroffene Personen und Rechte: wer und welche Rechte betroffen sein können,
- Folgen: welche körperlichen, materiellen oder immateriellen Nachteile entstehen können.
Beispielstruktur – ohne reale Bewertung:
Weil
[Ursache]besteht, kann[Ereignis]eintreten. Dadurch können[Personengruppe]insbesondere[Folgen für Rechte und Freiheiten]erleiden.
¶ 4. Mögliche Auswirkungen für Menschen
Je nach Verarbeitung werden insbesondere betrachtet:
- Verlust von Kontrolle über personenbezogene Daten,
- Identitätsdiebstahl, Betrug oder finanzieller Verlust,
- Diskriminierung oder ungerechtfertigte Benachteiligung,
- Rufschädigung oder Offenbarung vertraulicher Umstände,
- Einschränkung von Rechten, Chancen oder Dienstleistungen,
- Überwachung, Profilbildung oder unerwartete Verknüpfung,
- körperliche, psychische oder soziale Nachteile,
- besondere Auswirkungen auf Kinder, Beschäftigte, Patienten oder andere abhängige Personen.
Auch langfristige, kumulative und schwer rückgängig zu machende Folgen werden berücksichtigt.
¶ 5. Pflichtfelder des Registers
| Feldgruppe | Mindestinhalt |
|---|---|
| Identifikation | Risiko-ID, Titel, Status und Erfassungsdatum |
| Bezug | VVT, Prozess, Projekt, System, Lieferant oder Vorfall |
| Personen | betroffene Gruppen und besondere Schutzbedürftigkeit |
| Szenario | Ursache, Ereignis und mögliche Folgen |
| Rechte | betroffene Grundsätze, Rechte und Freiheiten |
| Ausgangsrisiko | Wahrscheinlichkeit, Schwere, Begründung und Quellen |
| bestehende Maßnahmen | tatsächlich wirksame und nachgewiesene Kontrollen |
| Behandlung | zusätzliche Maßnahmen, Owner, Frist und Status |
| Restrisiko | erneute Bewertung nach wirksamer Umsetzung |
| DSFA | Screening, Ergebnis, Begründung und Referenz |
| Entscheidung | Freigabe, Auflage, Eskalation, Nichtbeginn oder Beendigung |
| Review | Termin, Änderungsauslöser und Verlauf |
¶ 6. Bewertungssystem
Die organisationsbezogene Methodik wird auf der Seite Datenschutz-Risikomethodik gelenkt. Das Register verwendet erst nach deren Freigabe verbindliche Skalen und Schwellen.
Als Strukturmuster können Wahrscheinlichkeit und Schwere jeweils auf einer vierstufigen Skala bewertet werden:
| Stufe | Wahrscheinlichkeit – Orientierung | Schwere – Orientierung |
|---|---|---|
| 1 | unter den konkreten Umständen wenig plausibel | begrenzte, kurzfristige und leicht behebbare Nachteile |
| 2 | möglich, aber nicht regelmäßig zu erwarten | spürbare Nachteile mit beherrschbarem Aufwand |
| 3 | plausibel oder wiederkehrend | erhebliche, länger wirkende oder schwer behebbare Nachteile |
| 4 | wahrscheinlich, häufig oder bereits eingetreten | sehr schwere, dauerhafte, breite oder kaum umkehrbare Nachteile |
Die Einstufung wird begründet. Zahlen erzeugen keine Scheingenauigkeit und ersetzen keine fachliche Bewertung.
¶ 7. Verstärkende und abschwächende Faktoren
Berücksichtigt werden unter anderem:
- Umfang, Dauer und Häufigkeit der Verarbeitung,
- Anzahl der betroffenen Personen,
- Sensibilität und Verknüpfbarkeit der Daten,
- Abhängigkeit oder Schutzbedürftigkeit der Personen,
- Beobachtbarkeit, Überraschung und fehlende Wahlmöglichkeiten,
- Reichweite von Empfängern und Weiterverwendung,
- technische Exposition und Angriffsfläche,
- Korrekturmöglichkeiten und Geschwindigkeit der Abhilfe,
- tatsächlich wirksame Gestaltung und Schutzmaßnahmen.
Eine sehr schwere mögliche Auswirkung kann auch bei geringer Wahrscheinlichkeit eine vertiefte Behandlung oder DSFA-Prüfung erfordern.
¶ 8. Beispiel-Risikomatrix
Die folgende Matrix ist ein nicht freigegebenes Orientierungsmuster. Sie stellt keine gesetzliche Schwelle dar.
| Schwere \ Wahrscheinlichkeit | 1 | 2 | 3 | 4 |
|---|---|---|---|---|
| 4 – sehr schwer | 4 | 8 | 12 | 16 |
| 3 – erheblich | 3 | 6 | 9 | 12 |
| 2 – spürbar | 2 | 4 | 6 | 8 |
| 1 – begrenzt | 1 | 2 | 3 | 4 |
Mögliche interne Klassen müssen vor Nutzung fachlich freigegeben werden. Ein hoher Matrixwert ist ein starkes Signal, aber die DSFA-Pflicht wird zusätzlich anhand von Artikel 35, Aufsichtslisten und den konkreten Merkmalen geprüft.
¶ 9. Ausgangsrisiko und Restrisiko
- Ausgangsrisiko: Bewertung der konkreten Verarbeitung mit den zum Bewertungszeitpunkt bereits tatsächlich vorhandenen Basiskontrollen.
- Restrisiko: erneute Bewertung, nachdem zusätzliche Maßnahmen vollständig umgesetzt und auf Wirksamkeit geprüft wurden.
Geplante, bestellte oder nur vertraglich zugesagte Maßnahmen senken das Restrisiko nicht vor nachgewiesener Umsetzung.
¶ 10. Behandlungsoptionen
| Option | Anwendung |
|---|---|
| vermeiden | Verarbeitung, Funktion, Datenumfang oder Empfänger nicht einsetzen |
| gestalten | Zweck, Datenfluss, Voreinstellung oder Architektur datenschutzfreundlich ändern |
| reduzieren | technische, organisatorische, vertragliche oder rechtliche Maßnahmen umsetzen |
| beschränken | Zugriff, Dauer, Datenarten, Personengruppen oder Reichweite begrenzen |
| beenden | bestehende Verarbeitung kontrolliert einstellen und Daten löschen oder zurückgeben |
| Restrisiko entscheiden | nur bei rechtmäßiger Verarbeitung, erfüllten Mindestpflichten und innerhalb dokumentierter Befugnis |
Verantwortung und Rechenschaftspflicht werden nicht auf Dienstleister oder Versicherungen übertragen.
¶ 11. Maßnahmensteuerung
Jede Maßnahme enthält:
- eindeutige Maßnahmen-ID,
- Bezug zum konkreten Risikoszenario,
- erwartete Wirkung auf Wahrscheinlichkeit oder Schwere,
- verantwortliche Rolle und Stellvertretung,
- Frist, Ressourcen und Abhängigkeiten,
- Umsetzungsstatus,
- Wirksamkeitskriterium und Nachweis,
- Termin der Neubewertung.
Eine Maßnahme wird erst nach Wirksamkeitsprüfung als abgeschlossen bewertet.
¶ 12. DSFA-Screening
Für jeden relevanten Eintrag wird geprüft, ob die Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten verursacht. Berücksichtigt werden insbesondere:
- gesetzlich genannte Fälle nach Artikel 35 Absatz 3,
- systematische und umfassende Bewertung persönlicher Aspekte,
- umfangreiche Verarbeitung besonderer Kategorien oder Strafdaten,
- systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche,
- Kombination mehrerer risikoverstärkender Kriterien,
- Positiv- und Negativlisten der zuständigen Aufsichtsbehörden,
- neue Technik, besonders schutzbedürftige Personen oder schwer vermeidbare Wirkungen.
Das Ergebnis lautet nicht automatisch „keine DSFA“, nur weil einzelne Matrixwerte niedrig sind. Screening, Begründung und Review werden im DSFA-Prüfregister geführt.
¶ 13. Hohes Restrisiko und vorherige Konsultation
Ergibt eine DSFA, dass trotz geplanter Maßnahmen ein hohes Risiko verbleibt, wird vor Beginn der Verarbeitung die vorherige Konsultation nach Artikel 36 DSGVO geprüft und fachlich gesteuert.
Eine Managemententscheidung allein ersetzt diese gesetzliche Prüfung nicht.
¶ 14. Statusmodell
| Status | Bedeutung |
|---|---|
| Erfasst | Szenario angelegt; Vollständigkeitsprüfung offen |
| In Bewertung | Quellen, Wahrscheinlichkeit, Schwere und DSFA-Bezug werden geprüft |
| Behandlung offen | zusätzliche Maßnahmen sind beschlossen, aber noch nicht wirksam bestätigt |
| Eskaliert | hohes Risiko, Fristüberschreitung oder Grundsatzentscheidung erfordert Befassung |
| Restrisiko geprüft | Maßnahmen wirksam nachgewiesen und Risiko neu bewertet |
| Überwacht | Verarbeitung zulässig fortgeführt; Review und Auslöser aktiv |
| Nicht begonnen | Verarbeitung wegen fehlender Rechtmäßigkeit oder unzureichendem Schutz nicht gestartet |
| Beendet | Verarbeitung kontrolliert eingestellt; Abschlussnachweise vorhanden |
¶ 15. Leeres Registermuster
Die Zeile dient ausschließlich der Struktur. Sie enthält keine Bewertung und darf nicht als Nachweis verwendet werden.
| Risiko-ID | VVT / Bezug | Risikoszenario | Personen / Folgen | Ausgangsrisiko | Maßnahmen | Restrisiko | DSFA | Owner | Status / Review |
|---|---|---|---|---|---|---|---|---|---|
[DS-RIS-YYYY-NNN] |
[Referenz] |
[Ursache – Ereignis – Folge] |
[Gruppen / mögliche Nachteile] |
[W / S / Begründung] |
[IDs / Status] |
[W / S / Begründung] |
[Screening / Referenz] |
[Rolle] |
[Status / Datum] |
¶ 16. Rollen und Befugnisse
| Rolle | Aufgabe |
|---|---|
| Prozesseigner | Verarbeitung, Zweck, Kontext und Änderungen vollständig beschreiben |
| Risikoeigentümer | Szenario, Behandlung, Ressourcen und Review verantworten |
| Datenschutzkoordination | Register, Methodik, Schnittstellen und Fristen steuern |
| Informationssicherheit / IT | technische Ursachen, Maßnahmen und Wirksamkeit bewerten |
| Rechtsfunktion | Rechtmäßigkeit, Rechte und gesetzliche Grenzen prüfen |
| Datenschutzbeauftragte/r | beraten, überwachen und DSFA-Prozess unterstützen, sofern benannt |
| befugte Leitung | Ressourcen, Nichtbeginn, Auflagen und rechtmäßige Restrisikoentscheidung treffen |
Beratung und Überwachung des Datenschutzbeauftragten werden nicht mit der operativen Risikoeigentümerschaft vermischt.
¶ 17. Änderungen und Review
Eine Neubewertung erfolgt insbesondere bei:
- neuem oder geändertem Zweck,
- neuen Daten, Personengruppen oder Empfängern,
- System-, Algorithmus- oder Voreinstellungsänderungen,
- neuen Standorten, Transfers oder Unterauftragnehmern,
- Vorfällen, Beschwerden oder Betroffenenanfragen,
- neuer Rechtsprechung, Aufsichtspraxis oder Rechtslage,
- unwirksamen Maßnahmen oder veränderten Bedrohungen,
- Änderung der DSFA-Einstufung.
Risiko-IDs werden nicht wiederverwendet. Geschlossene Einträge bleiben gemäß festgelegter Aufbewahrung nachvollziehbar.
¶ 18. Schnittstelle zum ISMS
Das ISMS-Risikoregister bewertet Risiken für Informationswerte und Unternehmensziele. Gemeinsame Ursachen und Maßnahmen können referenziert werden, zum Beispiel Verlust von Vertraulichkeit, Integrität oder Verfügbarkeit.
Das Datenschutz-Risikoregister ergänzt zwingend:
- betroffene Personen und Rechte,
- mögliche materielle und immaterielle Folgen,
- DSFA-Screening und datenschutzrechtliche Entscheidung,
- spezifische Schutz- und Transparenzmaßnahmen.
Eine gemeinsame Maßnahme erhält in beiden Registern passende Referenzen und getrennte Wirksamkeitsaussagen.
¶ 19. Geschützte Nachweise
- vollständige Risikoanalyse und Quellen,
- VVT-, System-, Projekt- und Lieferantenreferenzen,
- Bewertungsbegründungen und fachliche Beiträge,
- DSFA-Screening und gegebenenfalls DSFA,
- Maßnahmen, Konfigurationen, Tests und Wirksamkeitsnachweise,
- Entscheidungen, Auflagen und Freigaben,
- Änderungen, Vorfälle, Reviews und Abschlussnachweise.
Das öffentliche Wiki enthält Methodik und leere Struktur; reale Risiko- und Sicherheitsdetails verbleiben in der geschützten Ablage.
¶ 20. Qualitätskontrolle
- Bezieht sich der Eintrag auf eine konkrete Verarbeitung oder Änderung?
- Ist das Szenario aus Ursache, Ereignis und Folgen verständlich formuliert?
- Werden Folgen aus Sicht betroffener Personen statt nur des Unternehmens bewertet?
- Sind Wahrscheinlichkeit, Schwere und Faktoren nachvollziehbar begründet?
- Werden nur tatsächlich wirksame Maßnahmen risikomindernd berücksichtigt?
- Ist das Restrisiko nach Umsetzung neu bewertet?
- Wurde die DSFA-Pflicht unabhängig von einer bloßen Punktzahl geprüft?
- Sind Owner, Fristen, Befugnisse und Reviews wirksam gesteuert?
- Stimmen Register, VVT, DSFA, TOM und technische Praxis überein?
¶ 21. Verknüpfte Seiten
| Seite | Funktion |
|---|---|
| Verzeichnis von Verarbeitungstätigkeiten | Verarbeitung, Zweck, Daten, Personen, Systeme und Empfänger |
| Datenschutzleitlinie | Grundsätze, Verantwortlichkeit und Risikoorientierung |
| Dokumenten- und Nachweislenkung | Version, Status, Schutz und Nachweisreferenzen |
| ISMS-Risikoregister | Unternehmens- und Informationssicherheitsrisiken als Schnittstelle |
| Datenschutz-Risikomethodik | verbindliche Skalen, Klassen, Befugnisse, Maßnahmenwirkung und Review |
| Datenschutz-Folgenabschätzung | vertiefte Bewertung, Maßnahmen und Entscheidung bei voraussichtlich hohem Risiko |
| DSFA-Prüfregister | Muss-Fälle, Aufsichtslisten, EDSA-Kriterien, begründete Entscheidung und Review |
| Technische und organisatorische Maßnahmen | Maßnahmen-IDs, Geltungsbereich, Status, Nachweise und Wirksamkeit |
¶ 22. Offizielle Grundlagen
- DSGVO mit Erwägungsgründen 75, 76, 77 und 84 sowie Artikeln 24, 25, 32, 35 und 36 – EUR-Lex
- EDSA: Datenschutz-Folgenabschätzung und hohes Risiko
- EDSA-Leitlinien 4/2019 zu Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen – finale Fassung
¶ 23. Weiterführende Informationen von SMCT MANAGEMENT
Unterstützung bei Datenschutz-Risikobewertung, DSFA, TOM und nachvollziehbaren Entscheidungsprozessen
- Datenschutzmanagement
- Datenschutz-Leistungen
- Technische und organisatorische Maßnahmen nach Artikel 32 DSGVO
Erstgespräch unter info@smct-management.de vereinbaren
¶ 24. Änderungshistorie
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe |
|---|---|---|---|---|
| 0.5 | 08.08.2026 | TOM-Verzeichnis als führender Nachweis für zugeordnete Maßnahmen und ihre Wirksamkeit verknüpft | Datenschutzkoordination / Musterrolle | Ausstehend |
| 0.4 | 08.08.2026 | Datenschutz-Folgenabschätzung als vertiefte Behandlung verknüpfter hoher Risiken verknüpft | Datenschutzkoordination / Musterrolle | Ausstehend |
| 0.3 | 08.08.2026 | DSFA-Prüfregister als führender Nachweis für Screeningentscheidung und Review verknüpft | Datenschutzkoordination / Musterrolle | Ausstehend |
| 0.2 | 08.08.2026 | Datenschutz-Risikomethodik als verbindliche Bewertungsgrundlage verknüpft | Datenschutzkoordination / Musterrolle | Ausstehend |
| 0.1 | 08.08.2026 | Leeres Musterregister für Datenschutzrisiken, Maßnahmen, Restrisiko, DSFA-Screening und Review erstellt | Datenschutzkoordination / Musterrolle | Ausstehend |