Art. 34 DSGVO

Regelungsgehalt

Während Art. 33 DSGVO die Meldung an die Behörde regelt, verpflichtet Art. 34 DSGVO zur Benachrichtigung der betroffenen Personen. Voraussetzung ist ein voraussichtlich hohes Risiko für die Rechte und Freiheiten der Betroffenen. Die Benachrichtigung muss unverzüglich erfolgen, eine starre 72-Stunden-Frist gilt hier nicht, jede Verzögerung wird aber kritisch bewertet.

Wann ein hohes Risiko vorliegt

Maßstab sind Art der Daten, Identifizierbarkeit, Dauerhaftigkeit möglicher Folgen und Schwere des Schadens. Hoch ist das Risiko insbesondere bei Sozialdaten, Gesundheitsdaten, Finanzdaten, Identitätsdaten in Kombination mit Geburtsdatum oder bei Daten besonders schutzbedürftiger Personen.

Bei einem Ransomware-Vorfall mit Datenabfluss ist regelmäßig vom hohen Risiko auszugehen, weil die abgeflossenen Daten typischerweise zur Erpressung Einzelner oder zur Vorbereitung weiterer Straftaten verwendet werden können.

Ausnahmen

Eine Benachrichtigung kann unterbleiben, wenn die Daten durch geeignete technische Maßnahmen wie starke Verschlüsselung unzugänglich gemacht wurden, wenn nachträglich Maßnahmen ergriffen wurden, die das hohe Risiko entfallen lassen, oder wenn die individuelle Benachrichtigung einen unverhältnismäßigen Aufwand bedeuten würde. In diesem Fall tritt eine öffentliche Bekanntmachung an die Stelle der Einzelbenachrichtigung.

Inhalt der Benachrichtigung

Die Benachrichtigung muss in klarer und einfacher Sprache erfolgen. Sie enthält Art der Verletzung, Kontaktdaten der Anlaufstelle, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Maßnahmen. Empfehlungen zur Schadensbegrenzung, etwa Passwortwechsel oder Aufmerksamkeit für Phishing, gehören in jede Benachrichtigung mit hohem Risiko.

Praxis

Aufsichtsbehörden können anordnen, dass eine Benachrichtigung nachgeholt wird, wenn der Verantwortliche das hohe Risiko zu Unrecht verneint hat. Eine sorgfältig dokumentierte Risikobewertung ist daher zentral. Sie sollte schriftlich vorliegen und Faktoren wie Datenkategorien, Umfang, mutmaßliche Empfängerseite und Eindämmungsmaßnahmen würdigen.