Datenpannen bewältigen: So gehen Sie bei Schutzverletzun ... / 3 Bewertung der Schutzverletzung und des Risikos

Zentraler Anknüpfungspunkt, um den Vorfall zu beurteilen und um die Frage zu beantworten, ob überhaupt eine Meldung an die Aufsichtsbehörde und zusätzlich an die Betroffenen erfolgen muss, ist dann das Risiko, das durch die Schutzverletzung besteht oder zu erwarten ist.

Die Datenschutz-Grundverordnung fordert mit Erwägungsgrund 76 objektive Kriterien, um festzustellen, ob ein Risiko oder ein hohes Risiko vorliegt (Prognosepflicht). Dies dürfte einer der wichtigsten Erwägungsgründe der Grundverordnung sein. Denn eine Risikobewertung "nach Bauchgefühl" oder "Erfahrung" ist nicht ausreichend. Valide Ansätze müssen die Risiken für die Rechte und Freiheiten natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten berücksichtigen.

3.1 Was bedeutet "Risiko"?

Für die Entwicklung eines Datenschutzkonzepts ist eine Risikoanalyse notwendig, um Risiken für personenbezogene Daten zu verstehen. Die DSGVO definiert den Risikobegriff nicht explizit. Jedoch hat die Datenschutzkonferenz, das Gremium der unabhängigen deutschen Datenschutzaufsichtsbehörden von Bund und Ländern, den Begriff im Kurzpapier Nr. 18 beschrieben (letztes Update: 2023).

Das Gremium definiert ein Risiko als "(…) das Bestehen der Möglichkeit des Eintritts eines Ereignisses, das selbst einen Schaden, einschließlich ungerechtfertigter Beeinträchtigung von Rechten und Freiheiten natürlicher Personen darstellt oder zu einem weiteren Schaden für eine oder mehrere natürliche Personen führen kann."^[1].

Demnach besteht ein Risiko grundsätzlich aus 2 Komponenten: der Schwere eines möglichen Schadens und der Wahrscheinlichkeit,...