Ob und wem Meldung von der Datenpanne zu machen ist, hängt maßgeblich vom Vorliegen eines Risikos und von dessen Höhe ab (vgl. Art. 33, 34 DSGVO). Dieses Risiko ist stets aus Sicht der betroffenen Personen zu beurteilen, es geht hier also nicht um das Risiko für den Anwalt oder die Kanzlei.
Die Risikoeinstufung erfolgt mit Hilfe der folgenden Formel (vgl. Art. 32 Abs. 1 i.V.m. ErwGr. 75 S. 1 DSGVO):
Eintrittswahrscheinlichkeit einer Bedrohung x Schwere der Auswirkung = Höhe des Risikos
In ErwGr. 75 nennt die DSGVO folgende potenzielle Risiken, die hier als Abwägungskriterien berücksichtigt werden sollten:
- Diskriminierung
- Identitätsdiebstahl oder -betrug
- finanzieller Verlust
- Rufschädigung
- Verlust der Vertraulichkeit von einem Berufsgeheimnis unterliegenden Daten
- unbefugte Aufhebung der Pseudonymisierung
- sonstige erhebliche wirtschaftliche oder gesellschaftlichen Nachteile
- unzulässige Beschränkung der Rechte und Freiheiten von Betroffenen
- Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) oder Daten bzgl. strafrechtlicher Verurteilungen bzw. Straftaten (Art. 10 DSGVO)
- Verarbeitung von Daten schutzbedürftiger Personen (insb. von Kindern)
- Verarbeitung einer großen Menge von Daten
- große Anzahl von Betroffenen
- Bewertung persönlicher Aspekte (zur Erstellung persönlicher Profile), insb. von Arbeitsleistung, wirtschaftlicher Lage, Gesundheit, persönlichen Vorlieben/Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort bzw. Ortswechsel
Es ist davon auszugehen, dass durch eine Datenpanne bei den davon betroffenen Personen grds. ein physischer, materieller oder immaterieller Schaden entstehen kann. Für eine Risikoeinschätzung ist nach Maßgabe von ErwGr. 85 DSGVO zu überprüfen, ob es bei den Betroffenen aufgrund der Datenpanne zu einem der folgenden Nachteile kommen kann:
- Verlust der Kontrolle über die eigenen Daten
- Einschränkung ihrer Betroffenenrechte
- Diskriminierung
- Identitätsdiebstahl oder -betrug
- finanzieller Verlust
- unbefugte Aufhebung der Pseudonymisierung
- Rufschädigung
- Verlust der Vertraulichkeit von Daten, die einem Berufsgeheimnis unterliegen
- andere erhebliche wirtschaftliche oder gesellschaftliche Nachteile für die Betroffenen
Praxistipp:
Insbesondere der Aspekt des Verlusts der Vertraulichkeit von einem Berufsgeheimnis unterliegenden Daten ist bei einer Datenpanne in der Anwaltskanzlei regelmäßig erfüllt, jedenfalls wenn auch Mandantendaten betroffen sind. Sehr häufig gehen damit noch weitere potenzielle Schäden einher, sodass nicht immer, aber doch recht häufig von einem erhöhten Risiko ausgegangen werden muss.
Für beide Faktoren der o.a. Formel, also die Eintrittswahrscheinlichkeit einer Bedrohung und die Schwere der Auswirkung, lassen sich unterschiedliche Schweregrade festlegen, nämlich beispielsweise die folgenden:
- geringfügig (Wert: 1)
- überschaubar (Wert: 2)
- gravierend (Wert: 3)
- groß (Wert: 4)
Hinweis:
Es kommt nicht darauf an, ob Sie diese 4x4-Matrix oder eine eigene verwenden. Sie können beispielsweise auch eine 3x3- oder eine 5x5-Matrix sowie andere Formulierungen für die einzelnen Stufen/Schweregrade nutzen. Entscheidend ist allerdings, dass Sie Ihre Methode einheitlich und konsequent verwenden. Die meisten Datenschutzaufsichtsbehörden, wie etwa auch das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), orientieren sich allerdings an einer 4x4-Matrix, da alles andere zu grob bzw. zu fein unterteilt und daher in der Praxis nicht ganz so gut zu handhaben ist. Zudem hat eine Matrix mit einer Dimension von 4x4 keine exakte Mitte, sodass Sie dadurch gezwungen werden, sich für eine bestimmte Tendenz zu entscheiden.
Die Werte der o.a. Formel können auf eine Risiko-Matrix übertragen werden, die wie folgt aussehen kann:
| |
Eintrittswahrscheinlichkeit |
| Geringfügig |
Überschaubar |
Gravierend |
Groß |
| Schwere des Schadens |
Geringfügig |
1* |
2* |
3** |
4** |
| Überschaubar |
2* |
4** |
6** |
8** |
| Gravierend |
3** |
6** |
9*** |
12*** |
| Groß |
4** |
8*** |
12*** |
16*** |
- Anm.: * = geringes Risiko, ** = mittleres Risiko, ***= hohes Risiko
Wird eine Datenpanne z.B. mit einer großen Auswirkung (4), aber nur mit einer überschaubaren (2) Eintrittswahrscheinlichkeit bewertet, ergibt sich als Produkt der Wert 8. Übertragen in die Risiko-Matrix ergäbe dies eine Datenpanne im hohen (***) Bereich, sodass nicht nur von einem „normalen”, sondern von einem hohen Risiko auszugehen ist. Somit wäre in diesem Beispiel eine Meldung sowohl an die Aufsichtsbehörde als auch an die Betroffenen erforderlich.
Beispiel:
Beim Einkaufen im Supermarkt verlieren Sie Ihr beruflich genutztes Smartphone, auf dem unverschlüsselt und ohne Zugangscode die Daten aller Mandanten inkl. Bankverbindung und Gesundheitsdaten gespeichert sind; eine solche ungesicherte Speicherung dieser Daten ist ausdrücklich NICHT zu empfehlen und soll hier nur als exemplarischer Sachverhalt dienen. Aufgrund der Sensibilität der Daten (Gesundheitsdaten als Art.-9-Daten sowie Bankdaten) ist ein hoher Schweregrad (4) anzunehmen. Die Wahrscheinlichkeit, dass ein unbefugter Dritte das Smartphone finde...