Benachrichtigung betroffener Personen

Die Benachrichtigung betroffener Personen nach Art. 34 DSGVO ist die direkte Information über eine Verletzung des Schutzes personenbezogener Daten. Der Verantwortliche muss sie unverzüglich über die Datenschutzverletzung informieren, wenn diese voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten mit sich bringt. Die Schwelle liegt damit höher als bei der Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO. Die Datenpannen und Meldepflichten ordnen beide Pflichten ein.

Die Information ist nicht erforderlich, wenn die betroffenen Daten durch geeignete Maßnahmen, etwa eine wirksame Verschlüsselung, für Unbefugte unverständlich waren, wenn nachträgliche Maßnahmen das hohe Risiko voraussichtlich beseitigt haben oder wenn eine individuelle Benachrichtigung mit unverhältnismäßigem Aufwand verbunden wäre. Im dritten Fall muss eine gleich wirksame öffentliche Mitteilung oder vergleichbare Maßnahme sicherstellen, dass die betroffenen Personen erreicht werden. Die 72-Stunden-Frist nach Art. 33 DSGVO betrifft die Meldung an die Aufsichtsbehörde und gilt nicht automatisch für diese Benachrichtigung.

Die Benachrichtigung muss die Art der Datenschutzverletzung in klarer und einfacher Sprache erklären. Sie enthält zumindest eine Kontaktmöglichkeit, die voraussichtlichen Folgen sowie die ergriffenen oder geplanten Maßnahmen zur Behebung und gegebenenfalls zur Minderung nachteiliger Auswirkungen. Je nach Vorfall können konkrete Schutzmaßnahmen wie eine Änderung des Passworts erforderlich sein. Für die Einordnung der betroffenen Person und ihrer Rechte bietet das Thema Betroffenenrechte und Auskunft weitere Orientierung.