Mehr Beschwerden, weniger Datenpannenmeldungen: Was Datenschutzkennzahlen Unternehmen wirklich sagen

Kennzahlen wirken objektiv. Trotzdem erzählen sie nie die ganze Geschichte. Der Tätigkeitsbericht des LfDI MV nennt für 2024 zwei auffällige Werte: Die Zahl der Eingaben und Beschwerden stieg von 898 im Jahr 2023 auf 969 im Jahr 2024. Gleichzeitig sank die Zahl der gemeldeten Datenschutzverletzungen nach Artikel 33 DSGVO von 401 auf 290. Diese Entwicklung lässt sich nicht mit einem einzigen Satz erklären. Mehr Beschwerden bedeuten nicht automatisch schlechteren Datenschutz, und weniger gemeldete Datenpannen bedeuten nicht automatisch weniger Sicherheitsvorfälle. Für Unternehmen ist deshalb entscheidend, Zahlen immer im Zusammenhang mit Prozessen, Meldekultur, technischer Sicherheit und interner Aufmerksamkeit zu betrachten.

Eine Beschwerde entsteht häufig dort, wo betroffene Personen eine Datenverarbeitung nicht verstehen, sich nicht ausreichend informiert fühlen oder ihre Rechte nicht wirksam wahrnehmen können. Steigende Beschwerdezahlen können deshalb verschiedene Ursachen haben. Möglich ist eine höhere Sensibilität der Bevölkerung. Möglich sind aber auch neue digitale Angebote, komplexere Verarbeitungen oder unklare Kommunikationsprozesse. Für Unternehmen folgt daraus: Nicht nur die Rechtsgrundlage zählt. Auch Transparenz, Erreichbarkeit und die Bearbeitung von Betroffenenanfragen beeinflussen, wie eine Datenverarbeitung wahrgenommen wird. Gute Datenschutzorganisation sollte daher nicht erst reagieren, wenn eine Beschwerde bei der Behörde eingeht.

Der Bericht stellt gleichzeitig einen Rückgang der Meldungen nach Artikel 33 DSGVO fest und verweist auf eine gestiegene Sensibilität der Verantwortlichen für die Sicherheit informationstechnischer Systeme. Daraus lässt sich nicht automatisch ableiten, dass jede Organisation sicherer geworden ist. Für das eigene Unternehmen sollte vielmehr geprüft werden, wie zuverlässig Sicherheitsvorfälle erkannt, intern eskaliert und datenschutzrechtlich bewertet werden. Ein niedriges Meldeaufkommen kann positiv sein, wenn Schutzmaßnahmen greifen. Es kann aber problematisch sein, wenn Vorfälle nicht erkannt oder nicht an die zuständigen Stellen weitergegeben werden. Deshalb sind interne Meldewege und eine funktionierende Incident-Response-Struktur wichtiger als eine möglichst kleine Zahl.

Wer Datenschutzkennzahlen nutzen will, muss festlegen, was tatsächlich gemessen wird. Eine Zahl wie 'fünf Datenschutzvorfälle' sagt wenig, wenn unklar ist, ob damit nur meldepflichtige Verletzungen oder alle internen Auffälligkeiten gemeint sind. Sinnvolle Kennzahlen können zum Beispiel die Bearbeitungszeit von Betroffenenanfragen, die Zahl offener Datenschutzmaßnahmen, die Aktualität von Verzeichniseinträgen, abgeschlossene Schulungen oder Ergebnisse von Wiederherstellungstests betreffen. Entscheidend ist, dass die Kennzahl eine konkrete Managementfrage beantwortet. Datenschutzreporting sollte nicht dazu dienen, möglichst viele Diagramme zu erzeugen.

Der Tätigkeitsbericht zeigt, dass Datenschutz und IT-Sicherheit eng zusammengehören. Unternehmen sollten deshalb Kennzahlen aus beiden Bereichen zusammen betrachten. Wenn beispielsweise technische Sicherheitsvorfälle sinken, gleichzeitig aber Beschwerden zu Auskunft und Transparenz steigen, liegt möglicherweise kein technisches, sondern ein organisatorisches Problem vor. Umgekehrt können wenige Beschwerden einen schlechten Sicherheitszustand nicht ausgleichen. Ein ausgewogenes Datenschutzreporting betrachtet deshalb Rechte der Betroffenen, technische Sicherheit, Organisation und Umsetzung gemeinsam. Besonders sinnvoll ist eine regelmäßige Besprechung mit der Geschäftsleitung, bei der nicht nur Zahlen, sondern Ursachen und Maßnahmen erläutert werden.