So läuft es heute in den meisten Unternehmen
Der Anlass ist konkret. Ein neues Bewerbermanagement soll eingeführt werden, die Zeiterfassung bekommt eine Standortfunktion, oder das Marketing möchte Kundendaten auswerten und daraus Segmente bilden. Irgendwann fällt der Satz „Da brauchen wir wohl eine Risikoanalyse" – und damit beginnt die Suche nach der Datei vom letzten Mal.
Gefunden wird in aller Regel eine Excel-Bewertungsmatrix. Sie heißt „Risikobewertung_Bewerbermanagement.xlsx" oder „Risiko_Zeiterfassung_2024.xlsx" und liegt im Ordner „Datenschutz/Risiken" auf dem Gruppenlaufwerk. Der Aufbau ist immer ähnlich: eine Spalte für das Risikoereignis, eine für die Eintrittswahrscheinlichkeit, eine für die Schadenshöhe, daneben das Produkt aus beiden Werten und eine bedingte Formatierung, die die Zeile grün, gelb oder rot einfärbt. Ganz rechts steht eine Spalte „Maßnahmen", in der als Fließtext notiert ist, was man tun könnte.
Für die Datenschutz-Folgenabschätzung kommt ein zweites Dokument dazu, meist ein Word-Formular aus einem Seminar oder von einem Fachverband: „DSFA_Vorlage.docx". Es wird kopiert, umbenannt, an den Fall angepasst und am Ende als PDF abgelegt. Die beiden Dateien haben miteinander nichts zu tun, außer dass dieselbe Person sie ausfüllt.
Kopiert wird dabei nicht nur die Vorlage, sondern jedes Mal auch die Skala. Weil die Matrix für jeden Fall neu gebaut wird, arbeitet die eine Analyse mit drei Stufen, die nächste mit fünf, und in einer dritten steht in der Spalte Eintrittswahrscheinlichkeit plötzlich „mittel bis hoch". Die Farben suggerieren eine Vergleichbarkeit, die es nicht gibt.
Was dabei regelmäßig unter den Tisch fällt
Die Vorfrage, ob für die Verarbeitung überhaupt eine Folgenabschätzung erforderlich ist, wird meistens im Kopf beantwortet. Jemand liest Art. 35 Abs. 3 DSGVO, wirft einen Blick in die Liste der zuständigen Aufsichtsbehörde, kommt zu dem Ergebnis „hier nicht" – und hält genau dieses Ergebnis nirgends fest. Später ist nicht mehr unterscheidbar, ob sorgfältig geprüft oder schlicht nicht daran gedacht wurde.
Auch die beschlossenen Maßnahmen bleiben in der Spalte ganz rechts stehen. Dort stehen sie als Absichtserklärung: Zugriffsrechte einschränken, Löschroutine einrichten, Verschlüsselung prüfen. Ohne Namen, ohne Termin, ohne Status. Und was nach Umsetzung dieser Maßnahmen an Risiko übrig bleibt, wird gar nicht erst notiert.
Der Moment, in dem es auffällt
Auffällig wird das selten im Tagesgeschäft. Es fällt in drei Situationen auf: im Audit, wenn nach der Bewertungsmethodik gefragt wird; in einer Kundenprüfung, wenn ein Nachweis für die Angemessenheit der Maßnahmen verlangt wird; und beim Wechsel der Person, die bisher bewertet hat.
Dann lautet die Frage nicht „Haben Sie eine Risikoanalyse?", sondern „Nach welcher Methode haben Sie bewertet, welches Restrisiko haben Sie akzeptiert – und wer hat das entschieden?" Auf diese drei Fragen hat eine Sammlung einzelner Tabellen keine Antwort.
Die Analyse
Fünf Probleme, die jede Bewertungsmatrix erzeugt
Sie hängen nicht an der Sorgfalt der bewertenden Person, sondern daran, dass jede Analyse als eigenes Dokument entsteht und nach der Bewertung endet.
Risikoanalysen in preeco ansehenJede Analyse hat ihre eigene Skala
Drei Stufen hier, fünf Stufen dort, dazwischen freie Textwerte. Ergebnisse aus zwei Analysen lassen sich damit nicht gegeneinanderstellen. Die Frage, welche von zwanzig Verarbeitungen die kritischste ist, bleibt unbeantwortbar.
Die Schwellwertanalyse wird nicht dokumentiert
Die Prüfung, ob nach Art. 35 DSGVO eine Folgenabschätzung nötig ist, findet im Kopf statt. Fällt sie negativ aus, entsteht kein Dokument – und damit auch kein Nachweis. Im Audit ist eine sorgfältige Prüfung dann nicht von einer unterlassenen zu unterscheiden.
Die Bewertung kennt die Verarbeitung nicht
Datenkategorien, betroffene Personen, Empfänger und vorhandene Schutzmaßnahmen werden in die Tabelle abgeschrieben. Ändert sich die Verarbeitungstätigkeit, bleibt die Analyse auf dem alten Stand stehen, ohne dass es jemand bemerkt.
Maßnahmen ohne Verantwortliche und Termin
Was in der Spalte „Maßnahmen" steht, ist eine Absicht, keine Aufgabe. Ohne zuständige Person und Fälligkeit wird sie nicht nachgehalten. Bei der nächsten Bewertung steht dieselbe Maßnahme erneut in der Spalte – wieder als Vorschlag.
Restrisiko und Wiederholung fehlen
Nach den Maßnahmen wird nicht noch einmal bewertet, also bleibt offen, was an Risiko übrig ist und wer es akzeptiert hat. Und wenn sich die Verarbeitung später ändert, läuft niemand die Analyse erneut durch.
Der Soll-Prozess in sechs Schritten
Eine belastbare Risikobewertung unterscheidet sich von einer Ampeltabelle nicht durch mehr Zahlen, sondern durch eine feste Methodik. Diese sechs Schritte beschreiben sie – unabhängig vom Werkzeug.
1. Die Schwellwertanalyse dokumentieren, nicht nur denken. Vor jeder Bewertung steht die Frage, ob nach Art. 35 Abs. 1 DSGVO überhaupt eine Datenschutz-Folgenabschätzung erforderlich ist. Diese Vorprüfung gehört an die Verarbeitungstätigkeit, zusammen mit den geprüften Kriterien und dem Ergebnis. Ein dokumentiertes „nicht erforderlich" ist ein Nachweis, ein gedachtes ist keiner.
2. Eine Skala für alle Analysen festlegen. Eintrittswahrscheinlichkeit und Schadenshöhe werden einmal definiert – gleiche Stufenzahl, gleiche Bedeutung je Stufe, gleiche Matrix. Erst dann bedeutet ein rotes Feld in zwei verschiedenen Analysen dasselbe, und erst dann ergibt eine Priorisierung über alle Verarbeitungen hinweg Sinn.
3. Den Schutzbedarf nach Schutzzielen bestimmen. Vertraulichkeit, Integrität und Verfügbarkeit werden getrennt eingestuft, über Schadensszenarien statt über ein Bauchgefühl. Das ersetzt die unbeantwortbare Pauschalfrage „Wie kritisch ist das?" durch drei Fragen, die ein Fachbereich tatsächlich beantworten kann. In preeco | datenschutz erfolgt die Einstufung über eine Schadensszenarien-Matrix nach dem Maximumprinzip; verknüpfte Systeme werden inklusive Kumulationseffekt berücksichtigt.
4. Die Analyse an der Verarbeitung verankern. Datenkategorien, betroffene Personen, Rechtsgrundlagen, Empfänger und die getroffenen technischen und organisatorischen Maßnahmen stehen bereits im Verzeichnis der Verarbeitungstätigkeiten. Eine Analyse, die darauf verweist statt sie abzuschreiben, altert nicht getrennt von der Verarbeitung, die sie bewertet.
5. Maßnahmen mit Verantwortlichen und Terminen versehen. Jede Maßnahme zur Risikoreduzierung bekommt eine zuständige Person und ein Datum. Damit wird aus einer Zeile in der Tabelle ein nachhaltbarer Vorgang – und aus der nächsten Bewertung eine Fortschreibung statt einer Wiederholung.
6. Restrisiko festhalten und Wiedervorlage setzen. Nach Umsetzung der Maßnahmen wird erneut bewertet. Das verbleibende Risiko wird ausdrücklich dokumentiert und von einer benannten Person akzeptiert. Bleibt trotz Maßnahmen ein hohes Risiko bestehen, sieht Art. 36 DSGVO die vorherige Konsultation der Aufsichtsbehörde vor. Art. 35 Abs. 11 DSGVO verlangt zudem eine Überprüfung, wenn sich das mit der Verarbeitung verbundene Risiko ändert – deshalb gehört an das Ende jeder Analyse eine Wiedervorlage.
Warum die Methodik mehr zählt als die einzelne Zahl
Keine Aufsichtsbehörde und kein Auditor wird Ihnen vorrechnen, dass eine Eintrittswahrscheinlichkeit statt mit drei besser mit vier bewertet wäre. Geprüft wird etwas anderes: ob überhaupt eine nachvollziehbare Methode existiert, ob sie durchgängig angewendet wurde und ob die daraus gezogenen Schlüsse zu den getroffenen Maßnahmen passen.
Genau das ist der Punkt, an dem einzelne Tabellen scheitern. Zehn Analysen mit zehn Skalen ergeben keine Methodik, sondern zehn Einzelmeinungen. Eine feste Skala dagegen macht auch eine unsichere Schätzung belastbar, weil sie im Verhältnis zu allen anderen Bewertungen steht. Das gilt für die Folgenabschätzung nach Art. 35 DSGVO ebenso wie für ein Transfer Impact Assessment oder eine Lieferantenbewertung.
Vorher und nachher im direkten Vergleich
| Kriterium | Vorher: Bewertungsmatrix in Excel | Nachher: methodische Risikoanalyse |
|---|---|---|
| Methodik | Pro Fall neu gebaut, Skala je nach Vorlage | Einheitliche Skala und Matrix für alle Analysen |
| Schwellwertanalyse | Im Kopf geprüft, nicht festgehalten | Dokumentierte Vorprüfung an der Verarbeitungstätigkeit |
| Datengrundlage | Angaben aus dem Verzeichnis abgeschrieben | Verknüpfung mit Verarbeitung, Empfängern und Maßnahmen |
| Schutzbedarf | Ein pauschales Kritikalitätsurteil | Getrennt nach Vertraulichkeit, Integrität, Verfügbarkeit |
| Maßnahmen | Freitext in der letzten Spalte | Maßnahme mit verantwortlicher Person und Termin |
| Restrisiko | Wird nicht erneut bewertet | Nach Maßnahmen bewertet, dokumentiert und akzeptiert |
| Wiederholung | Nur bei erneutem Anlass | Wiedervorlage und Neubewertung bei Änderungen |
| Nachweisfähigkeit | Datei mit unbekanntem Stand | Freigegebene Revision mit Risikokartierung, als PDF oder DOCX |
In der Praxis
So sieht das in preeco | datenschutz aus
Die drei Bausteine, die den beschriebenen Prozess tragen.
Risikoanalyse und Folgenabschätzungen
Geführtes Formular für die DSFA nach Art. 35 DSGVO und das TIA nach Schrems II, grafische Risikokartierung als Risikomatrix, Maßnahmen mit Verantwortlichen und Fristen sowie automatische Revision bei jeder Freigabe.
Verarbeitungstätigkeiten und Systeme
Die Schwellwert-Analyse sitzt direkt in der Verarbeitungstätigkeit, ihr Ergebnis fließt in die Prüfung nach Art. 35 ein. Die Schutzbedarfsfeststellung stuft Vertraulichkeit, Integrität und Verfügbarkeit über eine Schadensszenarien-Matrix ein.
TOMs und Regelwerke
Technische und organisatorische Maßnahmen nach Art. 32 DSGVO werden strukturiert erfasst und mit den Verarbeitungstätigkeiten verknüpft, für die sie gelten. Die Risikoanalyse bewertet damit den tatsächlichen Ist-Stand statt einer Annahme.
Was der Umstieg praktisch bedeutet
Der häufigste Einwand lautet, alle bisherigen Bewertungen müssten dann neu gemacht werden. Das ist nicht nötig. Sinnvoll ist der umgekehrte Weg: Sie legen zuerst die Skala fest, die künftig für alle Analysen gilt, und überführen dann die Verarbeitungen, die ohnehin anstehen – neue Systeme, anstehende Überprüfungen, alles mit erkennbar hohem Risiko. Der Bestand zieht im Turnus nach.
Der Aufwand liegt dabei selten in der Technik. Er liegt in den Festlegungen: Wie viele Stufen soll die Skala haben, was bedeutet die höchste Schadensstufe für Ihr Unternehmen konkret, und wer darf ein Restrisiko akzeptieren? Diese drei Antworten sind die eigentliche Arbeit. Sind sie einmal getroffen, ist jede weitere Analyse eine Anwendung statt einer Neukonstruktion.
Drei Fehler, die den Umstieg unnötig schwer machen
Die Skala zu fein bauen. Eine zehnstufige Bewertung erzeugt Scheingenauigkeit und Diskussionen über Nachkommastellen. Drei bis fünf klar beschriebene Stufen je Achse sind in der Praxis belastbarer, weil sie tatsächlich einheitlich angewendet werden.
Die Schwellwertanalyse überspringen. Wer sofort mit der Folgenabschätzung beginnt, hat später keinen Nachweis, warum sie für diese und nicht für jene Verarbeitung erstellt wurde. Gerade das negative Ergebnis ist der Nachweis, der im Audit gebraucht wird.
Die Analyse ohne den Fachbereich führen. Eintrittswahrscheinlichkeiten kennt die Abteilung, die den Prozess betreibt, nicht der Datenschutz. Ohne sie entsteht eine methodisch saubere Bewertung mit falschen Eingangswerten.
Woran Sie erkennen, dass es Zeit ist
Eine Excel-Matrix ist kein Fehler. Sie wird zum Risiko, sobald mindestens einer dieser Punkte zutrifft:
- Zwei Ihrer Analysen verwenden unterschiedliche Skalen.
- Sie können nicht belegen, warum für eine Verarbeitung keine DSFA erstellt wurde.
- Maßnahmen aus einer alten Bewertung tauchen in der nächsten unverändert wieder auf.
- Für keine Ihrer Verarbeitungen ist dokumentiert, wer das Restrisiko akzeptiert hat.
- Nach einer Änderung an einer Verarbeitung wurde die zugehörige Analyse nicht erneut durchlaufen.
Trifft davon nichts zu, ist Ihre Methodik in Ordnung. Trifft davon zwei oder mehr zu, dokumentieren Ihre Analysen bereits weniger, als sie kosten.
FAQ
Häufige Fragen zu Risikoanalyse und DSFA
Eine DSFA ist nach Art. 35 Abs. 1 DSGVO erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Art. 35 Abs. 3 DSGVO nennt dafür Regelbeispiele, etwa systematische und umfassende Bewertungen mit automatisierten Entscheidungen, die umfangreiche Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO oder die systematische weiträumige Überwachung öffentlich zugänglicher Bereiche. Ergänzend veröffentlichen die Aufsichtsbehörden Listen von Verarbeitungen, für die eine DSFA verpflichtend ist. Die rechtliche Bewertung im Einzelfall bleibt beim Verantwortlichen.
Die Schwellwertanalyse ist die Vorprüfung, ob für eine Verarbeitung eine Folgenabschätzung nötig ist. Die DSGVO schreibt für diese Vorprüfung keine bestimmte Form vor, verlangt über die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO aber, dass Sie Ihre Entscheidungen belegen können. Praktisch heißt das: Halten Sie auch das Ergebnis „keine DSFA erforderlich" mit den geprüften Kriterien fest. Ohne diese Dokumentation lässt sich im Audit nicht zeigen, dass die Frage überhaupt gestellt wurde.
Für eine einzelne Bewertung ja – die DSGVO schreibt kein Werkzeug vor. Die Grenze liegt nicht bei der ersten Analyse, sondern bei der zehnten: Sobald Bewertungen untereinander vergleichbar sein sollen, Maßnahmen nachgehalten und Wiederholungen ausgelöst werden müssen, fehlen der Tabelle genau die Eigenschaften, auf die es ankommt. Entscheidend ist nicht das Format, sondern eine einheitliche Skala, ein dokumentiertes Restrisiko und ein belegbarer Stand.
Art. 35 Abs. 11 DSGVO verlangt eine Überprüfung, wenn sich das mit der Verarbeitung verbundene Risiko ändert – etwa bei einem neuen Dienstleister, einem geänderten Verarbeitungszweck, zusätzlichen Datenkategorien oder einer neuen technischen Umgebung. Einen starren Turnus nennt die Verordnung nicht. In der Praxis bewährt sich eine turnusmäßige Wiedervorlage zusätzlich zur anlassbezogenen Prüfung, damit die Bewertung nicht unbemerkt veraltet.
Verantwortlich für die Durchführung ist der Verantwortliche. Ist eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter benannt, ist nach Art. 35 Abs. 2 DSGVO deren Rat einzuholen. Fachlich beteiligt sein sollten außerdem der Bereich, der die Verarbeitung betreibt, und die IT – dort liegt das Wissen über Eintrittswahrscheinlichkeiten und über die tatsächlich umgesetzten Schutzmaßnahmen. Ergibt die Bewertung trotz geplanter Maßnahmen ein hohes Restrisiko, ist vor Beginn der Verarbeitung nach Art. 36 DSGVO die Aufsichtsbehörde zu konsultieren.
Ihre Bewertungsmethodik gemeinsam durchgehen
Bringen Sie eine bestehende Risikobewertung mit. In 30 Minuten klären wir Skala, Schwellwertanalyse und den Weg zum dokumentierten Restrisiko.