Betroffene nach einer Datenpanne benachrichtigen

Art. 34 DSGVO setzt später ein als die Meldung an die Aufsichtsbehörde: erst dann, wenn die Verletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge hat. Eine Stundenzahl kennt die Vorschrift nicht, sie sagt „unverzüglich“.

So geht es

1. Risiko getrennt bewertenMeldung und Benachrichtigung hängen an zwei verschiedenen Schwellen: Art. 33 an einem Risiko, Art. 34 an einem hohen Risiko. Wer beide an denselben Schalter hängt, verschärft die Rechtslage für den eigenen Betrieb.
2. Benachrichtigung schreibenIn klarer und einfacher Sprache die Art der Verletzung, dazu die Angaben aus Art. 33 Abs. 3 lit. b, c und d: Anlaufstelle, wahrscheinliche Folgen, ergriffene und gegebenenfalls abmildernde Maßnahmen.
3. Ausnahme dokumentierenGreift eine der Ausnahmen des Art. 34 Abs. 3 DSGVO, hält der Vorgang fest, welche und warum. Bei unverhältnismäßigem Aufwand tritt eine öffentliche Bekanntmachung an die Stelle der Einzelbenachrichtigung.
4. Nachweis behaltenMeldung, Benachrichtigung und die Gründe gegen eine Benachrichtigung liegen an derselben Panne. Die Dokumentationspflicht aus Art. 33 Abs. 5 DSGVO bleibt davon unberührt.

Was in die Benachrichtigung gehört

Art. 34 Abs. 2 DSGVO verlangt zweierlei: eine Beschreibung der Art der Verletzung in klarer und einfacher Sprache, und die Angaben aus Art. 33 Abs. 3 lit. b, c und d. Der Verweis geht ausdrücklich nicht auf lit. a – die Kategorien und die ungefähren Zahlen betroffener Personen und Datensätze gehören in die Meldung an die Aufsichtsbehörde und nicht in die Pflichtangaben gegenüber den Betroffenen. Eine Vorlage, die alle vier Buchstaben als Pflichtfelder ausgibt, verlangt zu viel.

Auch hier steht das Wort „zumindest“ im Text: Der Katalog ist ein Mindestinhalt, kein Vollständigkeitsnachweis. Und lit. b verlangt nicht zwingend einen Datenschutzbeauftragten, denn „oder einer sonstigen Anlaufstelle für weitere Informationen“ steht gleichrangig daneben.

Die drei Ausnahmen – und die vierte aus deutschem Recht

Die Benachrichtigung ist nicht erforderlich, wenn eine der drei Bedingungen des Art. 34 Abs. 3 DSGVO erfüllt ist: geeignete technische und organisatorische Vorkehrungen, die auf die von der Verletzung betroffenen Daten angewandt wurden, etwa Verschlüsselung (lit. a); nachfolgende Maßnahmen, durch die das hohe Risiko aller Wahrscheinlichkeit nach nicht mehr besteht (lit. b); oder ein unverhältnismäßiger Aufwand (lit. c). Eine genügt; eine Prüflogik, die alle drei verlangt, sperrt die Ausnahme faktisch.

lit. c befreit dabei nicht, sondern tauscht aus: Stattdessen hat eine öffentliche Bekanntmachung oder eine ähnliche Maßnahme zu erfolgen, durch die die betroffenen Personen vergleichbar wirksam informiert werden. Für deutsche Verantwortliche kommt eine vierte Ausnahme hinzu: § 29 Abs. 1 Satz 3 BDSG für Informationen, die geheim gehalten werden müssen – mit der Rückausnahme in Satz 4, sobald die Interessen der betroffenen Person überwiegen.

Die Frist, die es hier nicht gibt

Die 72 Stunden stehen in Art. 33 Abs. 1 DSGVO und betreffen die Aufsichtsbehörde. Art. 34 kennt keine Stundenangabe, sondern allein den Maßstab „unverzüglich“. Wer die 72 Stunden auf die Benachrichtigung überträgt, erfindet eine Frist; wer aus dem Fehlen einer Zahl „keine Eile“ liest, übersieht eine Pflicht.

Ebenso wenig überträgt sich die schrittweise Meldung: Sie ist eine Erleichterung des Art. 33 Abs. 4 und steht so nicht in Art. 34. Und die Aufsichtsbehörde hat nach Art. 34 Abs. 4 DSGVO zwei Befugnisse, nicht eine – sie kann die Benachrichtigung verlangen, sie kann aber auch durch Beschluss feststellen, dass eine der Voraussetzungen des Abs. 3 vorliegt. Auf diese Entscheidung zu warten, entlastet nicht: Benachrichtigt wird von sich aus.

Häufige Fragen

Ob ein hohes Risiko vorliegt, entscheidet der Verantwortliche. BetroffenenRecht24 dokumentiert Fristen und stellt Textbausteine bereit, es ist keine Rechtsberatung im Einzelfall; die Bewertung bleibt beim Verantwortlichen.