Immer mehr Kanzleien setzen Microsoft 365 als zentrale Arbeitsplattform ein – sei es für Kommunikation, Dokumentenablage oder Kollaboration. Doch wer keine Risikoanalyse durchführt, riskiert mehr als nur eine Datenschutzrüge. Steuerberater und Rechtsanwälte sind sowohl an die DSGVO als auch an strenge berufsrechtliche Verschwiegenheitspflichten gebunden. Ohne fundierte Bewertung der eingesetzten Clouddienste können Bußgelder, Haftungsfälle und berufsrechtliche Sanktionen drohen.
Die Pflicht zur Risikoanalyse ist in mehreren Normen verankert. Für Kanzleien bedeutet dies: Datenschutz-Compliance ist nicht optional, sondern eine gesetzliche Anforderung.
Doch was genau versteht man unter einer Risikoanalyse im datenschutzrechtlichen Kontext? Eine ausführliche Einführung dazu findet sich im Blogbeitrag „Schutzschild für Ihre Daten“
Relevante Vorschriften sind u. a.:
Eine Risikoanalyse ist die Grundlage, um geeignete technische und organisatorische Maßnahmen (TOMs) risikoorientiert auszuwählen. Sie macht sichtbar, welche Gefahren für personenbezogene Daten bestehen, und ermöglicht es, diese gezielt mit angemessenen Maßnahmen zu behandeln.
Ohne dokumentierte Risikoanalyse kann nicht nachgewiesen werden, dass Datenschutzrisiken korrekt bewertet wurden – ein Verstoß gegen die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Mit ihr hingegen lässt sich nachvollziehbar darlegen, warum bestimmte Maßnahmen erforderlich sind, wie Risiken kontrolliert werden und dass die Umsetzung verhältnismäßig und wirksam erfolgt.
Datenschutz-Aufsichtsbehörden können Bußgelder verhängen, wenn keine Risikoanalyse durchgeführt oder dokumentiert wurde. Besonders relevant ist dies bei:
Beispiele für Bußgeldrahmen:
|
Artikel DSGVO |
Beschreibung |
Mögliche Strafe |
|
Art. 32 DSGVO |
Fehlende Sicherheitsmaßnahmen |
bis zu 10 Mio. € oder 2 % des Jahresumsatzes |
|
Art. 5, 24 DSGVO |
Fehlende Rechenschaftslegung |
ebenfalls bis zu 10 Mio. € oder 2 % |
Wichtig: Schon die unterlassene Risikoanalyse stellt eine eigenständige Datenschutzverletzung dar – unabhängig davon, ob eine konkrete Datenpanne vorliegt.
Neben der DSGVO sind auch die berufsrechtlichen Pflichten zu beachten:
Ein Mandant, dessen Daten infolge einer fehlenden Risikoanalyse kompromittiert wurden, kann Schadensersatzansprüche nach Art. 82 DSGVO geltend machen.
„Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadensersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.“
(Art. 82 DSGVO im Volltext)
Gerichte haben wiederholt betont, dass schon unzureichende technische und organisatorische Maßnahmen Schadensersatzansprüche auslösen können:
Diese Beispiele verdeutlichen: Eine fehlende oder unzureichende Risikoanalyse kann bereits als Datenschutzverletzung gelten – und auch ohne massive Datenpanne zu erheblichen Ersatzforderungen führen.
Die Risikoanalyse ist kein theoretisches Konstrukt, sondern ein praktisches Schutzinstrument für Kanzleien. Sie ermöglicht es, Microsoft 365 rechts- und berufsrechtskonform einzusetzen. Sie hilft auch vor Kauf einer Softwarelösung oder Auswahl eines Anbieters festzustellen, ob die Lösung für die individuellen Bedürfnisse des Unternehmens passend ist und welche Risiken die Wahl mit sich bringt und wie man das ganze ggf. konfigurieren muss. Wesentliche Schritte sind:
So wird die Risikoanalyse zur Schlüsselfunktion, um die Anforderungen aus DSGVO, BDSG und Berufsrecht zu erfüllen.
Wer sich näher mit der Risikoanalyse für Microsoft 365 im Kanzleiumfeld befassen möchte, sollte sich professionelle Unterstützung sichern.