Kurzdefinition: Art. 34 DSGVO regelt die Information der Betroffenen nach einer Datenpanne. Hat eine Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten zur Folge, muss der Verantwortliche die betroffenen Personen unverzüglich benachrichtigen. [N-DSGVO-34]
Der Normwortlaut
Art. 34 Abs. 1 DSGVO bestimmt: Hat die Verletzung „voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge“, so „benachrichtigt der Verantwortliche die betroffene Person unverzüglich von der Verletzung“. Die Benachrichtigung beschreibt die Art der Verletzung in klarer und einfacher Sprache. [N-DSGVO-34]
Wann müssen Betroffene informiert werden?
Bei voraussichtlich hohem Risiko. Anders als die Meldung an die Aufsichtsbehörde setzt die Benachrichtigung der betroffenen Person ein hohes Risiko für ihre Rechte und Freiheiten voraus. Erst diese erhöhte Schwelle löst die Pflicht aus, die Betroffenen selbst zu informieren. [N-DSGVO-34] [N-DSGVO-33]
Was ist der Unterschied zu Art. 33 DSGVO?
Adressat und Schwelle. Art. 33 DSGVO regelt die Meldung an die Aufsichtsbehörde — grundsätzlich binnen 72 Stunden, sofern die Verletzung nicht voraussichtlich zu keinem Risiko führt. Art. 34 DSGVO betrifft die Benachrichtigung der Betroffenen und greift erst bei voraussichtlich hohem Risiko. Eine Datenpanne kann also meldepflichtig sein, ohne dass die Betroffenen zu informieren sind. [N-DSGVO-34] [N-DSGVO-33]
Gibt es Ausnahmen von der Benachrichtigungspflicht?
Ja. Nach Art. 34 Abs. 3 DSGVO ist die Benachrichtigung nicht erforderlich, wenn geeignete Schutzmaßnahmen die Daten unverständlich gemacht haben (etwa Verschlüsselung), wenn nachträgliche Maßnahmen das hohe Risiko voraussichtlich abwenden oder wenn die Benachrichtigung einen unverhältnismäßigen Aufwand bedeuten würde; dann tritt eine öffentliche Bekanntmachung an ihre Stelle. [N-DSGVO-34]
Wann ist die betroffene Person zu benachrichtigen?
Bei hohem Risiko. Nach Art. 34 Abs. 1 DSGVO benachrichtigt der Verantwortliche die betroffene Person, wenn die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für ihre persönlichen Rechte und Freiheiten zur Folge hat. [N-DSGVO-34]
Wie schnell muss benachrichtigt werden?
Unverzüglich. Art. 34 Abs. 1 DSGVO verlangt die unverzügliche Benachrichtigung der betroffenen Person. Die Benachrichtigung soll ihr ermöglichen, sich vor möglichen Folgen zu schützen. [N-DSGVO-34]
Wie muss die Benachrichtigung formuliert sein?
Klar und einfach. Die Benachrichtigung beschreibt die Art der Verletzung in klarer und einfacher Sprache. Die betroffene Person soll die Lage ohne Fachkenntnisse verstehen können. [N-DSGVO-34]
Häufige Fehlannahmen
- „Jede Datenpanne muss den Betroffenen gemeldet werden.“ Nein. Erst ein voraussichtlich hohes Risiko für die Rechte und Freiheiten löst die Benachrichtigungspflicht aus. [N-DSGVO-34]
- „Art. 33 und Art. 34 DSGVO verlangen dasselbe.“ Nein. Art. 33 betrifft die Meldung an die Aufsichtsbehörde, Art. 34 die Benachrichtigung der Betroffenen bei hohem Risiko. [N-DSGVO-34] [N-DSGVO-33]
- „Auch für die Betroffenen-Benachrichtigung gilt die 72-Stunden-Frist.“ Nein. Art. 34 DSGVO verlangt eine unverzügliche Benachrichtigung, enthält aber keine starre 72-Stunden-Grenze wie Art. 33. [N-DSGVO-34]
- „Bei verschlüsselten Daten muss immer benachrichtigt werden.“ Nicht zwingend. Vorab getroffene geeignete Schutzmaßnahmen wie Verschlüsselung können die Pflicht nach Art. 34 Abs. 3 DSGVO entfallen lassen. [N-DSGVO-34]
- „Jeden Betroffenen muss man einzeln benachrichtigen.“ Nicht in jedem Fall. Wäre die individuelle Benachrichtigung mit unverhältnismäßigem Aufwand verbunden, genügt eine öffentliche Bekanntmachung. [N-DSGVO-34]
Was die Geschäftsleitung tun sollte
- Risiko bewerten. Nach einer Panne das Risiko für die Betroffenen einschätzen.
- Schwellen trennen. Meldung an die Behörde und Benachrichtigung der Betroffenen getrennt prüfen.
- Schutzmaßnahmen belegen. Verschlüsselung und Folgemaßnahmen dokumentieren.
- Klar kommunizieren. Benachrichtigungen verständlich und unverzüglich versenden.
Für die Geschäftsleitung
Art. 34 DSGVO ist die zweite Stufe der Reaktion auf eine Datenpanne: Während die Behörde grundsätzlich zu informieren ist, werden die Betroffenen erst bei hohem Risiko benachrichtigt. Für das Unternehmen kommt es auf die saubere Risikobewertung an — und auf Schutzmaßnahmen wie Verschlüsselung, die die Benachrichtigungspflicht im Ernstfall sogar entfallen lassen können.
Quellen
- [N-DSGVO-34] Art. 34 DSGVO (Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person). Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
- [N-DSGVO-33] Art. 33 DSGVO (Meldung von Verletzungen an die Aufsichtsbehörde). Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
