Benachrichtigung betroffener Personen

Die Schwelle des hohen Risikos prüfen

Art. 34 DSGVO betrifft Verletzungen, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge haben. Diese Schwelle ist von der Meldefrage nach Art. 33 zu unterscheiden. Untersuchen Sie Datenarten, mögliche Folgen, betroffene Personen und wirksame Schutzmaßnahmen. Ein erheblicher Unternehmensschaden ist dafür nicht der alleinige Maßstab. Die Bewertung muss erkennen lassen, weshalb gerade die Folgen für Personen eine direkte Information erfordern oder eine gesetzliche Ausnahme in Betracht kommt.

Unverzügliche Information gesondert planen

Eine erforderliche Benachrichtigung erfolgt unverzüglich. Die 72-Stunden-Regel der Behördenmeldung ist keine allgemeine Frist für die Information betroffener Personen. Organisieren Sie deshalb die Prüfung parallel zur technischen Bearbeitung und möglichen Meldung. Berücksichtigen Sie, welche Information Menschen bereits zum eigenen Schutz benötigen. Ein noch nicht abgeschlossener interner Bericht rechtfertigt nicht automatisch das Abwarten. Notwendige Abstimmung und spätere Ergänzungen werden so geplant, dass verständliche und verlässliche Hinweise möglichst rechtzeitig bei den betroffenen Personen ankommen.

Inhalt klar und handlungsorientiert formulieren

Beschreiben Sie die Art der Verletzung in klarer und einfacher Sprache. Die einschlägigen Angaben umfassen insbesondere eine Kontaktstelle, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen. Vermeiden Sie ungesicherte Versprechen und technische Formulierungen ohne erkennbare Bedeutung. Wenn Personen selbst etwas tun können, müssen die Hinweise zum konkreten Risiko passen. Eine allgemeine Unternehmensmitteilung ohne die erforderlichen Angaben erfüllt diesen Zweck nicht automatisch. Die Nachricht soll Orientierung geben und zugleich bestätigte Erkenntnisse von noch offenen Fragen unterscheiden.

Ausnahmen anhand wirksamer Maßnahmen bewerten

Art. 34 Absatz 3 nennt besondere Voraussetzungen für eine entbehrliche individuelle Benachrichtigung. Dazu können geeignete Maßnahmen gehören, die Daten für Unbefugte unverständlich machen, oder nachfolgende Maßnahmen, die ein hohes Risiko beseitigen. Das muss tatsächlich zum Vorfall passen. Ein pauschaler Hinweis auf Verschlüsselung reicht nicht für jede Konstellation. Bei unverhältnismäßigem Aufwand ist eine öffentliche Bekanntmachung oder ähnlich wirksame Maßnahme vorgesehen. Die Ausnahme bedeutet daher nicht, dass hohe Kosten eine Information der Personen ersatzlos entfallen lassen.

Beispiel: Zugangsdaten offengelegt

Ein Vorfall betrifft Zugangsdaten eines Kundenportals. Das Unternehmen prüft Nutzbarkeit, weitere Datenzugriffe und mögliche Folgen. Falls eine Benachrichtigung erforderlich ist, beschreibt sie die festgestellte Situation und geeignete Schritte, etwa eine sichere Änderung betroffener Zugangsdaten. Die Nachricht vermeidet neue riskante Links oder die Anforderung vertraulicher Informationen. Das Beispiel zeigt, wie Risikobewertung, tatsächliche Schutzmaßnahmen und verständliche Hinweise zusammenwirken müssen, damit die Kommunikation den Betroffenen praktische Orientierung gibt und nicht nur einen Vorfall abstrakt bekannt macht.

Versand und Rückfragen nachvollziehbar begleiten

Wählen Sie geeignete Kontaktwege und dokumentieren Sie Inhalt, Zeitpunkt und Empfängerkreis. Prüfen Sie, wie Rückfragen beantwortet und weitere Erkenntnisse mitgeteilt werden. Die Aufsichtsbehörde kann im gesetzlichen Rahmen Einfluss auf die Benachrichtigung nehmen. Ergebnis ist eine begründete Entscheidung mit einem umsetzbaren Informationsablauf. Eine Vorlage ersetzt dabei keine Prüfung der betroffenen Personen und Risiken. Die Dokumentation sollte vielmehr zeigen, weshalb der gewählte Weg die erforderliche Information tatsächlich vermitteln kann und welche ergänzenden Maßnahmen noch vorgesehen sind.

Checkliste für Ihre Vorbereitung

• Bewertung des hohen Risikos
• Geprüfte Schutzmaßnahmen und mögliche Ausnahmen
• Benachrichtigung mit Kontaktstelle und Empfehlungen
• Empfängerkreis, Versandweg und Rückfragenprozess

Ordnen Sie Dokumente nach Datum. Unklare Angaben werden als offen markiert; Originale und vollständige Anlagen helfen bei der konkreten Prüfung.

Häufige Fragen

Fachliche Einordnung

Grundlagen: Art. 33 DSGVO; Art. 34 DSGVO; EDSA: Leitlinien zur Meldung von Datenschutzverletzungen. Die allgemeinen Informationen ersetzen keine Prüfung Ihrer Unterlagen. Zuständigkeit und erforderliche Fristen werden im konkreten Auftrag geklärt.

• Art. 33 DSGVO – Art. 33 DSGVO
• Art. 34 DSGVO – Art. 34 DSGVO
• EDSA: Leitlinien zur Meldung von Datenschutzverletzungen – EDSA: Leitlinien zur Meldung von Datenschutzverletzungen