DORA und DSGVO können dieselbe technische Maßnahme betreffen und trotzdem unterschiedliche Entscheidungen verlangen. Ein Protokollsystem unterstützt die Erkennung von IKT-Vorfällen; zugleich verarbeitet es möglicherweise personenbezogene Daten von Beschäftigten und Kunden. Ein gemeinsames Sicherheitsprojekt muss deshalb sowohl seine betriebliche Wirksamkeit als auch die Zulässigkeit und Begrenzung dieser Datenverarbeitung erklären.
Für ein erfasstes Finanzunternehmen ersetzt DORA die DSGVO nicht. Die sinnvolle Abstimmung verwendet gemeinsame Tatsachen und Nachweise, bewahrt aber die jeweiligen Rechtsgrundlagen, Prüfmaßstäbe und Zuständigkeiten. An einem fiktiven Sicherheitsmonitoring für ein Kundenportal lässt sich zeigen, welche Informationen gemeinsam genutzt werden können und welche Fragen eigenständig bleiben.
Anwendbarkeit und Rolle am Anfang festlegen
Die DSGVO richtet sich nach ihrem sachlichen und räumlichen Anwendungsbereich sowie der konkreten Verarbeitung personenbezogener Daten. Sie ist nicht einfach ein Gesetz für sämtliche „EU-Daten“. Auch ein außereuropäischer Sachverhalt muss nach Artikel 3 eingeordnet werden; umgekehrt ist nicht jede anonyme technische Information personenbezogen.
DORA, Verordnung (EU) 2022/2554, enthält in Artikel 2 Kategorien erfasster Einrichtungen und Ausnahmen. Finanzunternehmen und IKT-Drittdienstleister haben dabei nicht pauschal identische Pflichten. Das Aufsichtsregime für als kritisch eingestufte Anbieter und die Pflichten eines Finanzunternehmens zur Steuerung seiner Dienstleister sind getrennte Teile der Verordnung.
Im Beispiel wird angenommen, dass ein Finanzunternehmen dem allgemeinen DORA-Rahmen unterliegt und für sein Kundenportal datenschutzrechtlich verantwortlich ist. Ein externer Sicherheitsdienst verarbeitet bestimmte Protokolle nach Weisung. Diese Annahmen werden in der realen Projektakte anhand tatsächlicher Tätigkeit und vertraglicher sowie technischer Gestaltung geprüft. Sie werden nicht aus dem Produktnamen oder dem Etikett „Fintech“ abgeleitet.
Gemeinsame Kontrollen, unterschiedliche Prüfziele
DORA betrachtet die digitale operationale Resilienz der erfassten Finanzleistungen. Die DSGVO schützt die Rechte und Freiheiten natürlicher Personen bei der Verarbeitung ihrer Daten. Verfügbarkeit, Integrität und Vertraulichkeit können beiden Zielen dienen. Eine identische technische Kontrolle kann daher in zwei rechtlichen Bewertungen als Nachweis verwendet werden.
| Gemeinsamer Gegenstand | DORA-Frage | DSGVO-Frage |
|---|---|---|
| Kundenportal | Welche Funktion und welche IKT-Abhängigkeiten müssen widerstandsfähig sein? | Welche personenbezogenen Daten werden zu welchen Zwecken verarbeitet? |
| Anmeldeprotokolle | Erkennt das Monitoring relevante Abweichungen und Ausfälle? | Welche Protokollfelder sind erforderlich, wer darf sie sehen und wie lange? |
| Externer Sicherheitsdienst | Ist der Dienst geeignet, überwacht und gegebenenfalls ersetzbar? | Welche Rolle hat er und liegen erforderliche Weisungen, Verträge und Schutzmaßnahmen vor? |
| Wiederherstellung | Wird eine nutzbare Leistung innerhalb geeigneter Ziele wiederhergestellt? | Bleiben personenbezogene Daten geschützt, richtig und angemessen verfügbar? |
| Vorfallakte | Ist ein IKT-Vorfall nach den DORA-Kriterien zu klassifizieren und zu melden? | Liegt eine Datenschutzverletzung vor, welches Risiko entsteht und welche Information ist erforderlich? |
Die Tabelle ist keine gegenseitige Anerkennung vollständiger Compliance. Ein bestandener Wiederherstellungstest beantwortet etwa nicht, ob die ursprüngliche Erhebung bestimmter Verhaltensdaten notwendig war. Umgekehrt sagt eine tragfähige Rechtsgrundlage wenig darüber aus, ob ein Ausweichsystem praktisch funktioniert.
Der DORA-Risikomanagementrahmen sollte solche Beziehungen ausdrücklich abbilden. Die Datenschutzakte kann denselben Systemnachweis referenzieren, ergänzt aber die eigenen Fragen und Schlussfolgerungen.
Beispiel: Protokollierung eines Kundenportals begrenzen
Das Projekt möchte ungewöhnliche Anmeldungen und unzulässige Zugriffe erkennen. Der erste technische Vorschlag sieht vor, sämtliche Seitenaufrufe, vollständige Formularinhalte und Sitzungskennungen zentral an den Sicherheitsdienst zu senden. Das Datenschutzteam fragt, welche dieser Informationen für die definierten Erkennungsregeln tatsächlich gebraucht werden.
Die gemeinsam ausgearbeitete Entscheidung lautet im Beispiel: Erfasst werden die notwendige Kontokennung, Ereignistyp, Zeitpunkt, Ergebnis der Anmeldung und die für die konkrete Sicherheitsanalyse erforderlichen technischen Angaben. Vollständige Antragsinhalte und Zugangstoken werden nicht regulär in das zentrale Monitoring übertragen. Die Protokollierung wird mit erfundenen Eingaben überprüft, um unbeabsichtigte Inhaltsübernahme zu erkennen.
Die Sicherheitsfunktion bestätigt, welche Erkennungsregeln mit dem begrenzten Datensatz funktionieren. Ist für eine besondere Untersuchung ein zusätzlicher Umfang nötig, wird dies als gesonderter begrenzter Vorgang mit Freigabe, Zweck und Löschereignis organisiert. „DORA verlangt Monitoring“ dient nicht als pauschale Begründung für die dauerhafte Sammlung sämtlicher Kundeninteraktionen.
Die Rechtsgrundlage der Protokollverarbeitung wird für den tatsächlichen Zweck geprüft. Eine einschlägige gesetzliche Verpflichtung kann relevant sein, muss aber mit der notwendigen Verarbeitung verbunden werden. Ein allgemeiner Verweis auf Compliance ersetzt weder die Bestimmung der Pflicht noch die Erforderlichkeitsprüfung. Werden weitere Zwecke wie Leistungsbewertung verfolgt, benötigen sie eine eigene Prüfung.
Bestandsdaten verbinden, Registerzwecke erhalten
Das Verzeichnis nach Artikel 30 DSGVO und das Informationsregister nach Artikel 28 Absatz 3 DORA sind unterschiedliche Dokumentationen. Das eine beschreibt Verarbeitungstätigkeiten, das andere vertragliche Vereinbarungen über IKT-Dienstleistungen. Eine gemeinsame Datenbasis kann Namen, Leistung, Standort und Ansprechpartner wiederverwenden, muss aber die unterschiedlichen Beziehungen und Pflichtfelder abbilden.
Im Beispiel verweist die Verarbeitungstätigkeit „Sicherheitsmonitoring Kundenportal“ auf den Sicherheitsdienst und die betroffenen Datenkategorien. Der DORA-Eintrag ordnet dieselbe Vereinbarung den unterstützten Funktionen zu. Eine Änderung des Unterauftragnehmers kann beide Ansichten betreffen; eine neue Datenschutzrechtsgrundlage ändert dagegen nicht automatisch die DORA-Kritikalität.
Die Verantwortlichen prüfen zudem, ob eine Verarbeitung tatsächlich in einen gemeinsam genutzten Datensatz gehört. Nicht jede manuelle Tätigkeit verwendet einen IKT-Drittdienstleister, und nicht jeder technische Vertrag enthält personenbezogene Daten. Eine pauschale Zusammenführung zu einem einzigen undifferenzierten „Compliance-Register“ würde solche Unterschiede verdecken.
Das Verzeichnis der Verarbeitungstätigkeiten behält deshalb seine fachliche Logik. Für den Lieferantenbereich ergänzt das DORA-Drittparteirisikomanagement die Vertrags-, Konzentrations- und Ausstiegsperspektive.
Verträge als abgestimmtes Paket prüfen
Liegt Auftragsverarbeitung vor, benötigt die Beziehung die Anforderungen aus Artikel 28 DSGVO. DORA ergänzt im einschlägigen Fall seine eigenen Vertragsanforderungen aus Artikel 30. Eine gemeinsame Vertragsstruktur mit passenden Anlagen ist möglich, wenn die Pflichten eindeutig zugeordnet und tatsächlich erfüllt werden. Ein bestehender Auftragsverarbeitungsvertrag enthält nicht automatisch einen belastbaren DORA-Ausstiegsplan.
Im Monitoring-Beispiel werden dokumentierte Weisungen, Datenkategorien und Löschung mit Leistungszielen, Erreichbarkeit, Vorfallunterstützung und dem erforderlichen Übergang zu einem Ersatzdienst verbunden. Der Vertrag benennt, welche Informationen der Dienst liefern muss, damit das Finanzunternehmen selbst rechtzeitig entscheiden kann. Er gewährt nicht dem Dienstleister die pauschale Befugnis, Meldungen nach eigener Zweckmäßigkeit zurückzuhalten.
Für Unterauftragnehmer werden die jeweils einschlägigen Regeln gesondert geprüft. Eine datenschutzrechtliche allgemeine Genehmigung mit Informations- und Widerspruchsmechanismus ist nicht automatisch deckungsgleich mit sämtlichen DORA-Anforderungen an die konkrete Untervergabe. Die tatsächlichen Dienste, Orte und Abhängigkeiten müssen in beiden Prüfungen stimmen.
Risikoanalyse und DSFA aufeinander beziehen
Eine DORA-Risikoanalyse beschreibt IKT-Szenarien und Auswirkungen auf Funktionen und Leistungen. Eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO untersucht bei voraussichtlich hohem Risiko insbesondere Notwendigkeit, Verhältnismäßigkeit, Risiken für Personen und Gegenmaßnahmen. Nicht jedes DORA-Projekt löst automatisch eine DSFA aus; deren Erforderlichkeit muss geprüft werden.
Für das Kundenportal wird beispielsweise ein kompromittiertes privilegiertes Konto als gemeinsames Szenario betrachtet. Die IKT-Bewertung untersucht Ausfall, Manipulation und Wiederherstellung. Die Datenschutzbewertung ergänzt, welche Personen durch unzulässigen Zugriff, falsche Daten oder fehlende Verfügbarkeit beeinträchtigt werden können. Eine Matrix über den Umsatzverlust des Unternehmens kann diese zweite Betrachtung nicht ersetzen.
Die DSFA kann technische Kontrollergebnisse übernehmen, muss aber ihre eigenen gesetzlichen Inhalte enthalten. Verbleibt trotz vorgesehener Maßnahmen ein entsprechendes hohes Risiko, ist die vorherige Konsultation gesondert zu prüfen. Ein positiver DORA-Projektbeschluss erledigt diese Frage nicht.
Vorfälle mit gemeinsamen Tatsachen und eigenen Entscheidungen bearbeiten
Ein Angreifer verändert im Beispiel Portalberechtigungen. Die Erstbewertung sammelt Zeitpunkte, betroffene Systeme, Funktionen, Datensätze und bestätigte Auswirkungen. Die DORA-Verantwortlichen prüfen die maßgeblichen Klassifizierungskriterien. Die Datenschutzfunktion untersucht, ob eine Verletzung nach Artikel 4 Nummer 12 DSGVO vorliegt und welches Risiko für Personen entsteht.
Eine Datenpanne führt nicht automatisch zu einem schwerwiegenden DORA-Vorfall. Ebenso kann ein erheblicher IKT-Ausfall DORA-relevant sein, ohne dass sich sämtliche Voraussetzungen einer Datenschutzmeldung ergeben. Bei einem Ausfall personenbezogener Daten sind deren Verfügbarkeitsfolgen allerdings ausdrücklich zu prüfen; fehlender Datenabfluss ist keine allgemeine Entwarnung.
Nach Artikel 33 DSGVO wird unverzüglich und möglichst binnen 72 Stunden nach Kenntnis gemeldet, sofern ein Risiko nicht voraussichtlich unwahrscheinlich ist. Artikel 34 verlangt bei voraussichtlich hohem Risiko eine unverzügliche Betroffeneninformation, vorbehaltlich seiner genau zu prüfenden Ausnahmen. DORA hat eigene gestufte Berichtspflichten und Zeitpunkte. Die konkrete Fristenführung erläutert die Koordination von Vorfallmeldungen.
Die Kommunikationsfassung für Kunden muss ihre tatsächliche Situation erklären. Sie ist nicht einfach eine Kopie des technischen Behördenberichts. Dafür kann der Ablauf zur Benachrichtigung Betroffener verwendet werden. Beide Berichtsvorgänge referenzieren dieselbe bestätigte Faktenversion, damit spätere Korrekturen nachvollziehbar bleiben.
Verantwortlichkeiten ohne Interessenkonflikte organisieren
Das DORA-Leitungsorgan verantwortet die einschlägigen Regelungen des IKT-Risikomanagements. Der datenschutzrechtlich Verantwortliche bleibt für seine Verarbeitung rechenschaftspflichtig. Der Datenschutzbeauftragte berät und überwacht innerhalb seiner gesetzlichen Rolle; er sollte nicht ohne Prüfung zum Entscheider über sämtliche Zwecke und Mittel des Monitorings gemacht werden.
Im Beispiel betreibt die IT die Kontrolle, der Fachbereich beschreibt die notwendige Leistung, die Sicherheitsfunktion bewertet die Erkennungswirkung und die Datenschutzfunktion prüft die Datenverarbeitung. Die zuständige Leitung entscheidet über Ressourcen und verbleibende operative Risiken. Eine vorgesehene unabhängige Prüfung darf nicht allein durch die Person erfolgen, die ihre eigene Umsetzung freigegeben hat.
Für wesentliche Änderungen gibt es einen gemeinsamen Termin, aber getrennte dokumentierte Prüfergebnisse. Wird etwa die Analyse um neue Verhaltensmerkmale erweitert, werden sowohl die Erkennungsregeln als auch Erforderlichkeit, Information und mögliche Folgen für Personen überprüft. Die gemeinsame Sitzung spart Koordination; sie hebt die unterschiedlichen Verantwortlichkeiten nicht auf.
Das Ergebnis als vollständige Projektentscheidung festhalten
Die Freigabe des fiktiven Monitorings enthält den begrenzten Datenumfang, geprüfte Erkennungsregeln, Zugriffsrollen, Aufbewahrungsentscheidung und die dazugehörigen Vertragsnachweise. Eine Wiederherstellungsprüfung zeigt, dass der Dienst wieder nutzbar ist. Eine zusätzliche Datenprüfung bestätigt, dass der Wiederanlauf keine unbegrenzte Übernahme alter Protokolle und keine Rückkehr bereits ausgeschlossener Felder verursacht.
Offene Fragen erhalten benannte Verantwortliche und nachvollziehbare Bedingungen. Im Beispiel bleibt eine zusätzliche Analysefunktion deaktiviert, bis ihr Zweck und Umfang getrennt geprüft sind. Der operative Sicherheitsnutzen wird dadurch nicht pauschal verneint; er muss konkret nachgewiesen und mit der notwendigen Datenverarbeitung verbunden werden.
Die abschließende Qualitätskontrolle fragt daher bei jedem wiederverwendeten Nachweis: Welche Anforderung belegt er tatsächlich, für welchen Umfang und mit welcher aktuellen Fassung? So entsteht ein gemeinsames Arbeitsverfahren, das technische Erkenntnisse mehrfach nutzt und dennoch belastbare Antworten auf die unterschiedlichen Pflichten aus DORA und DSGVO liefert.