Datenpanne: wann Sie die Betroffenen selbst informieren müssen

Bei einer Datenpanne denken die meisten an eine Frist: 72 Stunden. Sie gehört zu Art. 33 DSGVO und betrifft die Aufsichtsbehörde. Die zweite Frage kommt danach und wird oft übersprungen: Müssen die betroffenen Personen selbst informiert werden? Dafür gilt Art. 34 DSGVO, und er verlangt eine höhere Schwelle. Wer beide Prüfungen in eine zusammenzieht, informiert entweder zu viele Menschen oder zu wenige. Dieser Beitrag trennt die drei Stufen und zeigt, was in eine Benachrichtigung gehört.

Drei Stufen, drei Schwellen

Die DSGVO staffelt die Reaktion auf eine Verletzung des Schutzes personenbezogener Daten nach dem Risiko. Die drei Stufen bauen aufeinander auf, aber sie werden getrennt geprüft:

Die Dokumentationspflicht auf der untersten Stufe wird am häufigsten übersehen. Art. 33 Abs. 5 DSGVO verlangt sie immer, auch bei einer Panne, die niemandem schadet. Warum das kein Formalismus ist, steht in Datenpanne nicht meldepflichtig? Die Dokumentation bleibt Pflicht.

Wie das Risiko bewertet wird

Beide Begriffe beschreiben ein Risiko für die Rechte und Freiheiten natürlicher Personen. Maßgeblich sind nach den EDSA-Leitlinien 9/2022 (Rn. 105) die spezifischen Umstände des Vorfalls, und zwar die Schwere der möglichen Folgen zusammen mit der Wahrscheinlichkeit, dass diese Folgen eintreten.

Der Umfang der Daten und die Zahl der betroffenen Personen gehören ausdrücklich dazu, entscheiden aber nicht allein. Die Leitlinien halten beides nebeneinander fest: Im Allgemeinen sind die möglichen Folgen umso weitreichender, je mehr Personen betroffen sind, und zugleich kann eine Panne je nach Art der Daten sogar für eine einzige Person schwerwiegende Folgen haben (Rn. 118). Auch Art. 33 Abs. 3 lit. a DSGVO verlangt für die Meldung „soweit möglich“ die Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze. Eine hohe Zahl allein macht ein Risiko also nicht hoch, und eine niedrige macht es nicht klein.

Für die Praxis hilft es, die Frage umzudrehen: Was kann der Person konkret passieren, wenn genau diese Daten in genau diese Hände geraten sind? Ein Adressbestand ohne Zusatzangaben ist etwas anderes als eine Liste mit Gesundheitsdaten, und beide sind etwas anderes als ein Datensatz mit Zugangsdaten, die anderswo wiederverwendet werden.

Die EDSA-Leitlinien 9/2022 empfehlen in Rn. 105 bis 118, diese Kriterien in die Bewertung einzubeziehen:

• Art der Verletzung (Rn. 106): eine offengelegte Krankenakte wirkt anders als eine verlorene, die nur nicht mehr verfügbar ist.
• Art, Sensibilität und Umfang der Daten (Rn. 107 bis 110): Gesundheitsdaten, Ausweisdokumente und finanzielle Daten wie Kreditkarteninformationen heben das Risiko; Gesundheitsdaten zählen zu den besonderen Kategorien nach Art. 9 DSGVO. Eine Kombination mehrerer Angaben ist üblicherweise sensibler als ein einzelnes Element, und schon eine kleine Menge hochsensibler Daten kann große Auswirkungen haben.
• Identifizierbarkeit der Personen (Rn. 111 und 112): angemessen verschlüsselte Daten sind für Unbefugte unzugänglich, Pseudonymisierung senkt die Wahrscheinlichkeit einer Zuordnung, macht die Daten aber nicht für sich genommen unzugänglich.
• Schwere der Folgen (Rn. 113 bis 115): Identitätsdiebstahl, Rufschädigung, psychische Belastung. Auch die Dauerhaftigkeit zählt, und ein bekannter, vertrauenswürdiger Empfänger, der die Daten zurückgibt, kann die Folgen entfallen lassen.
• Besondere Eigenschaften der betroffenen Person (Rn. 116): Kinder und andere schutzbedürftige Menschen sind stärker gefährdet.
• Besondere Eigenschaften des Verantwortlichen (Rn. 117): eine medizinische Einrichtung verarbeitet andere Daten als der Verteiler einer Zeitung.
• Zahl der betroffenen Personen (Rn. 118): ein Kriterium unter mehreren, nie das einzige.

Was in die Benachrichtigung gehört

Art. 34 Abs. 2 DSGVO verlangt eine Benachrichtigung in klarer und einfacher Sprache. Sie richtet sich an Menschen, nicht an eine Behörde, und das ändert den Ton: Der Adressat muss danach wissen, was er selbst tun soll.

Die Benachrichtigung erfolgt unverzüglich. Anders als bei der Meldung an die Aufsicht nennt Art. 34 Abs. 1 DSGVO keine Stundenzahl: Es gilt „ohne schuldhaftes Zögern“, nach den EDSA-Leitlinien 9/2022 (Rn. 83) also „so schnell wie möglich“.

Erwägungsgrund 86 DSGVO füllt das aus. Benachrichtigungen sollten „stets so rasch wie nach allgemeinem Ermessen möglich, in enger Absprache mit der Aufsichtsbehörde“ erfolgen. Um das Risiko eines unmittelbaren Schadens mindern zu können, müssten Betroffene danach sogar „sofort benachrichtigt werden“; eine längere Frist kann gerechtfertigt sein, wenn zuerst Maßnahmen gegen fortlaufende oder vergleichbare Verletzungen zu treffen sind. Eine feste Zahl von Tagen gibt keine dieser Quellen her, und wer sich eine setzt, verwechselt eine Obergrenze mit einer Erlaubnis.

Art. 34 Abs. 3 DSGVO nennt drei Bedingungen, unter denen die Betroffenen nicht benachrichtigt werden müssen. Es reicht, dass eine davon vorliegt:

• lit. a: Der Verantwortliche hatte geeignete technische und organisatorische Sicherheitsvorkehrungen getroffen und auf die betroffenen Daten angewandt, durch die diese für Unbefugte unzugänglich werden, etwa eine dem Stand der Technik entsprechende Verschlüsselung.
• lit. b: Durch nachfolgende Maßnahmen ist sichergestellt, dass das hohe Risiko aller Wahrscheinlichkeit nach nicht mehr besteht.
• lit. c: Die Benachrichtigung jedes Einzelnen wäre mit einem unverhältnismäßigen Aufwand verbunden. Dann hat nach dem Wortlaut des Gesetzes „stattdessen eine öffentliche Bekanntmachung oder eine ähnliche Maßnahme zu erfolgen, durch die die betroffenen Personen vergleichbar wirksam informiert werden“. Die öffentliche Bekanntmachung tritt also an die Stelle der einzelnen Benachrichtigung, sie ist kein Wahlrecht.

Wer sich auf eine der drei Bedingungen beruft, muss gegenüber der Aufsichtsbehörde nachweisen können, dass sie erfüllt ist. Das folgt aus dem Grundsatz der Rechenschaftspflicht und steht so in Rn. 98 der EDSA-Leitlinien 9/2022. Und die Entscheidung ist nicht endgültig: Hält die Aufsichtsbehörde das Risiko für hoch, kann sie die Benachrichtigung nach Art. 34 Abs. 4 DSGVO anordnen.

Der Ablauf in der ersten Woche

In der Praxis entscheidet die Reihenfolge, ob die 72 Stunden reichen. Diese Kette hat sich bewährt:

Wie die 72 Stunden genau gerechnet werden und warum Wochenenden mitzählen, steht in 72-Stunden-Frist bei einer Datenpanne; der Inhalt der Meldung an die Aufsicht in Datenpanne: Die 72-Stunden-Meldefrist nach Art. 33 DSGVO.

BetroffenenRecht24 führt jede Panne mit Kenntniszeitpunkt und laufender 72-Stunden-Frist. Der Melde-Check hält die drei beantworteten Fragen mit dem daraus abgeleiteten Ergebnis fest, dazu die Zeitstempel für die Meldung an die Aufsicht und für die Information der Betroffenen. Der Nachweis-Export gibt davon Kenntniszeitpunkt, Frist, Status und diese Zeitstempel als JSON aus; die einzelnen Antworten des Melde-Checks stehen nicht darin.

Die Begründung der Einstufung gehört daneben in Ihre eigene Dokumentation: Ein Freitextfeld dafür hat die App nicht. Die Bewertung im Einzelfall bleibt ohnehin Aufgabe des Verantwortlichen. Diese Software hält den Ablauf fest, sie trifft die Entscheidung nicht, und sie ersetzt keine Rechtsberatung.

Häufige Fragen

Wann müssen betroffene Personen über eine Datenpanne informiert werden?

Wenn die Verletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten zur Folge hat (Art. 34 Abs. 1 DSGVO). Das ist eine höhere Schwelle als bei der Meldung an die Aufsichtsbehörde, die schon bei einem wahrscheinlichen Risiko nach Art. 33 Abs. 1 DSGVO greift. Beide Prüfungen sind getrennt vorzunehmen. Die Benachrichtigung entfällt nur, wenn eine der drei Bedingungen des Art. 34 Abs. 3 DSGVO vorliegt.

Gilt für die Benachrichtigung der Betroffenen auch die 72-Stunden-Frist?

Nein. Die 72 Stunden gehören zur Meldung an die Aufsichtsbehörde nach Art. 33 Abs. 1 DSGVO. Art. 34 Abs. 1 DSGVO verlangt die Benachrichtigung der Betroffenen unverzüglich, also ohne schuldhaftes Zögern, ohne eine Stundenzahl zu nennen. Nach Erwägungsgrund 86 DSGVO sollen Benachrichtigungen stets so rasch wie nach allgemeinem Ermessen möglich und in enger Absprache mit der Aufsichtsbehörde erfolgen; um das Risiko eines unmittelbaren Schadens mindern zu können, nennt der Erwägungsgrund eine sofortige Benachrichtigung. Ein Erwägungsgrund verpflichtet nicht selbst, er legt die Vorschrift aus.

Wann darf die Benachrichtigung der Betroffenen unterbleiben?

Art. 34 Abs. 3 DSGVO nennt drei Bedingungen: geeignete Sicherheitsvorkehrungen, die die Daten für Unbefugte unzugänglich machen, etwa Verschlüsselung (lit. a); nachfolgende Maßnahmen, durch die das hohe Risiko aller Wahrscheinlichkeit nach nicht mehr besteht (lit. b); oder ein unverhältnismäßiger Aufwand (lit. c). Im letzten Fall hat stattdessen eine öffentliche Bekanntmachung oder eine vergleichbar wirksame Maßnahme zu erfolgen. Dass eine Bedingung vorliegt, muss der Verantwortliche nachweisen können.

Was muss in der Benachrichtigung stehen?

Eine Beschreibung der Art der Verletzung in klarer und einfacher Sprache, dazu die Angaben aus Art. 33 Abs. 3 lit. b bis d DSGVO: eine Kontaktstelle, etwa der Datenschutzbeauftragte, die wahrscheinlichen Folgen sowie die ergriffenen und vorgeschlagenen Maßnahmen. Entscheidend ist, dass die Person danach weiß, was sie selbst tun sollte.

Muss ich eine Panne dokumentieren, die nicht meldepflichtig ist?

Ja. Art. 33 Abs. 5 DSGVO verlangt die Dokumentation aller Verletzungen des Schutzes personenbezogener Daten, unabhängig davon, ob gemeldet wurde. Dazu gehört auch die Begründung, warum kein wahrscheinliches oder kein hohes Risiko angenommen wurde: Die EDSA-Leitlinien 9/2022 halten in Rn. 99 fest, dass eine unzureichend begründete Entscheidung gegen die Benachrichtigung Sanktionen nach sich ziehen kann.

Zählt die Zahl der betroffenen Personen für die Risikoeinstufung?

Ja, aber nicht allein. Die EDSA-Leitlinien 9/2022 führen die Zahl der betroffenen Personen in Rn. 118 als eines von mehreren Kriterien: Je mehr Personen betroffen sind, desto weitreichender sind im Allgemeinen die möglichen Folgen. Zugleich kann eine Panne je nach Art der Daten auch für eine einzige Person schwerwiegende Folgen haben. Entscheidend bleibt die Verbindung aus Schwere und Eintrittswahrscheinlichkeit der Folgen.

Das Wichtigste in Kürze

Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Die Bewertung im Einzelfall bleibt Aufgabe des Verantwortlichen – wenden Sie sich dafür an fachkundige Beratung.