Bei einer Datenpanne brauchen betroffene Menschen eine Information, mit der sie ihre Lage einschätzen und geeignete Schritte unternehmen können. Eine Nachricht über eine „technische Unregelmäßigkeit“ hilft wenig, wenn tatsächlich Zugangsdaten oder vertrauliche Unterlagen offengelegt wurden. Artikel 34 DSGVO verlangt bei voraussichtlich hohem Risiko eine unverzügliche Benachrichtigung in klarer und einfacher Sprache.
Die Entscheidung unterscheidet sich von der Meldung an die Datenschutzaufsicht nach Artikel 33. Beide können parallel erforderlich sein, haben aber unterschiedliche Schwellen, Empfänger und Inhalte. Dieser Leitfaden behandelt die Information der Betroffenen: von der Risikoprüfung über die drei gesetzlichen Ausnahmen bis zur überprüften Zustellung und einem ausgefüllten Nachrichtenbeispiel.
Die beiden Meldeentscheidungen getrennt führen
Nach Artikel 33 DSGVO meldet der Verantwortliche eine Verletzung unverzüglich und möglichst binnen 72 Stunden nach Kenntnis an die zuständige Aufsichtsbehörde, es sei denn, ein Risiko für die Rechte und Freiheiten natürlicher Personen ist voraussichtlich unwahrscheinlich. Wird später gemeldet, sind die Gründe der Verzögerung beizufügen. Artikel 34 setzt für die Information der Personen ein voraussichtlich hohes Risiko voraus.
Die interne Entscheidung sollte daher zwei getrennte Felder enthalten: „Aufsicht informieren“ und „Betroffene informieren“. Ein an die Behörde übermitteltes Formular ersetzt die zweite Nachricht nicht. Umgekehrt entbindet ein Kundenrundschreiben nicht von einer erforderlichen Behördenmeldung. Das Muster für die Datenpannenmeldung unterstützt den ersten Vorgang; die nachstehenden Schritte gestalten den zweiten.
Ein Auftragsverarbeiter informiert den Verantwortlichen nach Artikel 33 Absatz 2 unverzüglich nach Kenntnis einer Verletzung. Er wartet nicht zunächst ab, ob er selbst das Risiko für Kunden hoch genug findet. Wer im konkreten Vorfall Nachrichten vorbereitet und versendet, kann organisatorisch vereinbart werden. Die rechtliche Verantwortung des Verantwortlichen wird dadurch nicht pauschal auf den Dienstleister verlagert.
Hohes Risiko anhand möglicher Folgen bewerten
Die Risikobewertung fragt nach Auswirkungen auf Menschen, nicht nur nach der Schwere des IT-Schadens. Relevant sind Datenart, Identifizierbarkeit, mögliche Empfänger, Missbrauchsmöglichkeiten, Eintrittswahrscheinlichkeit und Schwere der Folgen. Zahl und Situation der Betroffenen können die Bewertung verändern. Eine einzelne offengelegte Information kann bereits erhebliche Folgen haben; geringe Fallzahlen sind keine automatische Entwarnung.
Die EDSA-Leitlinien 9/2022 zur Meldung von Datenschutzverletzungen behandeln auch Verfügbarkeitsverletzungen. Der Ausfall wichtiger Behandlungsinformationen kann Menschen gefährden, obwohl keine Veröffentlichung nachgewiesen ist. Vertraulichkeits-, Integritäts- und Verfügbarkeitsfolgen werden deshalb getrennt untersucht und anschließend gemeinsam bewertet.
Ein Punkteschema darf diese Begründung unterstützen. Eine frei erfundene Regel wie „drei rote Felder lösen Artikel 34 aus“ ist jedoch keine gesetzliche Schwelle. Das Team muss erklären, welcher konkrete Schaden wie wahrscheinlich werden kann und welche Schutzmaßnahmen tatsächlich greifen. Besondere Datenkategorien nach Artikel 9 verdienen sorgfältige Betrachtung, führen aber nicht ohne Kontext zu einer mechanischen Bewertung jedes Vorfalls.
Beispiel: Ein kompromittiertes Servicekonto
Ein fiktiver Anbieter für Beratungsleistungen entdeckt, dass ein fremder Zugriff auf ein Servicekonto stattgefunden hat. Über dieses Konto wurden Nachrichten mit Namen, Kontaktdaten und vertraulichen Beratungsunterlagen abgerufen. Die Untersuchung bestätigt einen Export bestimmter Nachrichten. Das Team kann eine Gruppe von Empfängern anhand der betroffenen Vorgänge bestimmen.
Die Bewertung hält fest: Die Unterlagen lassen sich unmittelbar zuordnen; einzelne Inhalte können eine persönliche Notlage erkennen lassen. Es besteht ein Risiko gezielter Täuschung, Bloßstellung und weiterer Kontaktaufnahme unter Nutzung echter Vorgangsdetails. Die Sperrung des Kontos verhindert neue Abrufe, beseitigt aber nicht die bereits erfolgte Offenlegung. Das Team bewertet das verbleibende Risiko für diese Gruppe als hoch und bereitet die direkte Benachrichtigung vor.
Eine andere Gruppe hat ausschließlich allgemeine Terminbestätigungen in einem getrennten, nach den bisherigen Befunden nicht abgerufenen Bereich. Sie wird nicht ohne Prüfung als gleichermaßen betroffen bezeichnet. Das Team dokumentiert, welche Abgrenzung gesichert ist und welche noch untersucht wird. Ändern neue Erkenntnisse den Umfang, muss es die Auswahl und Kommunikation entsprechend aktualisieren.
Ausnahme eins: Tatsächlich wirksame Schutzmaßnahmen
Artikel 34 Absatz 3 Buchstabe a betrifft geeignete technische und organisatorische Schutzmaßnahmen, die auf die betroffenen Daten angewandt wurden. Insbesondere nennt die Vorschrift Maßnahmen, die Daten für Unbefugte unverständlich machen, etwa Verschlüsselung. Entscheidend ist die konkrete Wirkung im Vorfall.
Ein verlorener, wirksam verschlüsselter Datenträger mit weiterhin geschütztem Schlüssel ist anders zu bewerten als eine Datenbank, auf die ein Angreifer über ein bereits authentisiertes Anwendungskonto im Klartext zugreifen konnte. Ein Zertifikat für die Transportverschlüsselung sagt nichts darüber aus, ob der Angreifer Inhalte nach der Anmeldung lesen konnte. Ebenso reicht das Wort „verschlüsselt“ in einer Systembeschreibung nicht, wenn Schlüssel oder aktive Sitzungen mit kompromittiert wurden.
Die Ausnahme wird deshalb mit Nachweisen geprüft: Welche Daten waren in welchem Zustand geschützt? Welche Schlüssel und Konten waren erreichbar? Gab es Klartextkopien? Bestehen unabhängig davon Integritäts- oder Verfügbarkeitsfolgen? Die Planung der Verschlüsselung sollte diese Fragen schon vor einem Vorfall beantworten. Auch die Entscheidung über Artikel 33 bleibt eine eigene risikobezogene Prüfung.
Ausnahme zwei: Nachträgliche Maßnahmen beseitigen das hohe Risiko
Artikel 34 Absatz 3 Buchstabe b greift, wenn nachträgliche Maßnahmen sicherstellen, dass sich das hohe Risiko voraussichtlich nicht mehr verwirklicht. Das ist mehr als die allgemeine Feststellung „Wir haben die Schwachstelle geschlossen“. Eine geschlossene Sicherheitslücke verhindert möglicherweise weitere Abflüsse, nimmt aber bereits verbreitete Unterlagen nicht zurück.
Im Servicekonto-Beispiel reicht die Passwortänderung deshalb nicht aus. Das Team muss die Folgen des nachgewiesenen Exports weiterhin berücksichtigen. Eine Löschungsbestätigung eines einzelnen versehentlichen Empfängers kann in einem anderen Sachverhalt relevant sein; ihre Belastbarkeit hängt aber davon ab, wer die Daten erhalten hat, welche Nutzung möglich war und ob weitere Kopien bestehen.
Die Akte benennt die Maßnahme, ihren Zeitpunkt und den Nachweis ihrer Wirkung. Ungeklärte Hoffnungen werden nicht als gesicherte Risikobeseitigung dokumentiert. Gerade bei laufenden Ermittlungen ist eine klare Trennung zwischen bestätigten Tatsachen, plausiblen Annahmen und offenen Fragen erforderlich.
Ausnahme drei: Gleich wirksame öffentliche Information
Würde die individuelle Benachrichtigung einen unverhältnismäßigen Aufwand verursachen, verlangt Artikel 34 Absatz 3 Buchstabe c stattdessen eine öffentliche Bekanntmachung oder eine ähnliche Maßnahme, die Personen ebenso wirksam informiert. Diese Alternative bedeutet nicht, dass die Information vollständig entfällt.
Eine große Zahl Betroffener macht Einzelmitteilungen nicht automatisch unverhältnismäßig. Verfügbare Kontakte, bestehende Nutzerkanäle und tatsächliche Zustellmöglichkeiten müssen betrachtet werden. Ein unauffälliger Hinweis in einem selten besuchten Pressebereich erreicht die Betroffenen möglicherweise nicht. Das Team begründet, weshalb die gewählte Kombination aus Hinweisen im Dienst, öffentlicher Information und gegebenenfalls direkter Ansprache wirksam ist.
Die öffentliche Darstellung darf dabei keine zusätzliche Datenpanne auslösen. Namen, Falllisten oder intime Kategorien einzelner Personen werden nicht veröffentlicht, um die Betroffenheit leichter erkennbar zu machen. Ein geschützter Kontaktweg kann helfen, individuelle Fragen zu klären, ohne weitere Informationen offen zugänglich zu machen.
Unverzüglich informieren und Unsicherheit klar benennen
Artikel 34 enthält keine feste Frist von 72 Stunden und keine allgemeine Erlaubnis, mehrere Tage abzuwarten. Der erforderliche Zeitpunkt richtet sich nach unverzüglichem Handeln im konkreten Fall. Die Behördenmeldung ist kein Grund, eine bereits erforderliche Warnung zurückzuhalten. Interne Abstimmungswege müssen so organisiert sein, dass eine verständliche, sachlich richtige Nachricht schnell freigegeben werden kann.
Noch offene Einzelheiten werden kenntlich gemacht. „Nach unserem bisherigen Kenntnisstand wurden folgende Unterlagen abgerufen“ ist sinnvoll, wenn der Satz den belegten Stand wiedergibt. Dagegen darf „Es gibt keinen Hinweis auf Missbrauch“ nicht den Eindruck erwecken, die bereits feststehende Offenlegung sei folgenlos. Der Untersuchungsstand kann sich ändern; dann braucht die Organisation einen verlässlichen Aktualisierungsweg.
Kommunikation, IT und Datenschutz arbeiten mit derselben freigegebenen Faktenübersicht. Die Kundenbetreuung erhält rechtzeitig Erläuterungen für Rückfragen. Werden mehrere gesetzliche Meldewege relevant, hilft die Koordination von DORA-, NIS2- und DSGVO-Vorfallmeldungen, gemeinsame Fakten bei getrennten rechtlichen Entscheidungen zu nutzen.
Ausgefüllte Nachricht für den Beispielfall
Die folgende Nachricht illustriert den beschriebenen fiktiven Sachverhalt. Vor einer tatsächlichen Verwendung müssen Unternehmen, Zeitraum, Datenumfang, Maßnahmen und erreichbare Kontaktstelle konkret eingesetzt und überprüft werden.
Betreff: Wichtige Information zu einem unbefugten Zugriff auf Ihre Beratungsunterlagen
„Wir informieren Sie, weil ein unbefugter Zugriff auf unser Servicekonto auch einen Vorgang mit Ihren Daten betroffen hat. Nach den bisher bestätigten Protokollen wurden Nachrichten aus diesem Vorgang abgerufen und exportiert. Dazu gehören Ihr Name, Ihre Kontaktadresse und die von Ihnen übermittelten Beratungsunterlagen. Wir untersuchen, ob weitere Nachrichten betroffen sind.
Durch diese Informationen könnten Dritte Sie gezielt kontaktieren und dabei echte Einzelheiten Ihres Vorgangs verwenden. Es besteht außerdem das Risiko, dass vertrauliche Inhalte weitergegeben werden. Eine solche weitere Nutzung können wir derzeit weder bestätigen noch ausschließen.
Wir haben den betroffenen Zugang gesperrt, aktive Sitzungen beendet und die Zugriffswege überprüfen lassen. Die Untersuchung des Datenumfangs läuft weiter. Diese Maßnahmen verhindern weitere Zugriffe über das bekannte Konto; bereits exportierte Inhalte können dadurch nicht zurückgerufen werden.
Bitte seien Sie bei unerwarteten Nachrichten zu diesem Beratungsvorgang aufmerksam. Übermitteln Sie keine Zugangsdaten, Bestätigungscodes oder Zahlungen allein aufgrund einer solchen Nachricht. Nutzen Sie für Rückfragen unsere Ihnen bereits bekannte Kontaktmöglichkeit oder rufen Sie die Kontaktseite unseres Unternehmens selbst auf. Sie müssen wegen dieses Vorfalls kein Passwort für unseren Dienst ändern, sofern Sie von uns keine gesonderte, begründete Information über betroffene Zugangsdaten erhalten.
Unsere Datenschutzkontaktstelle beantwortet Fragen zum Vorfall und zu den betroffenen Unterlagen. Die konkrete Telefonnummer und E-Mail-Adresse stehen in dieser Nachricht. Über wesentliche neue Erkenntnisse informieren wir Sie über denselben verifizierten Kontaktweg.“
Die Formulierung gibt weder eine pauschale Entwarnung noch unpassende Handlungsanweisungen. Im echten Schreiben müssen die angekündigten Kontaktdaten tatsächlich enthalten sein; ein bloßer Verweis auf eine nicht benannte Stelle genügt nicht. Falls Zugangsdaten betroffen wären, müsste die Handlungsempfehlung entsprechend geändert werden.
Zustellung und Nachbearbeitung kontrollieren
Die Empfängerliste wird vor dem Versand gegen den bestätigten Umfang geprüft. Der Versand verwendet Einzeladressierung oder einen geeigneten Dienst ohne Offenlegung anderer Empfänger. Betreff und Vorschau sollten keine unnötigen vertraulichen Details zeigen, insbesondere wenn ein Postfach von mehreren Personen genutzt werden könnte.
Das Team kontrolliert Rückläufer, veraltete Adressen und erreichbare Alternativen. Personen mit unterschiedlichen Sprach- oder Kommunikationsbedürfnissen brauchen eine verständliche Information. Diese Prüfung wird aus der tatsächlichen Zielgruppe abgeleitet; eine formal verschickte Nachricht ist nicht automatisch eine wirksame Benachrichtigung.
Im Verletzungsregister bleiben die Risikobegründung, geprüfte Ausnahmen, freigegebene Textversion, Versandzeitpunkte und wesentlichen Zustellergebnisse dokumentiert. Eine pauschale gesetzliche Fünfjahresfrist für jede vollständige Kommunikationskopie folgt daraus nicht. Die Organisation legt eine zweckbezogene Aufbewahrung fest und vermeidet unnötige weitere Kopien vertraulicher Unterlagen.
Schließlich wird überprüft, ob spätere Erkenntnisse eine ergänzende Nachricht erfordern. Die Aufsichtsbehörde kann nach Artikel 34 Absatz 4 eine Benachrichtigung verlangen oder das Vorliegen einer Ausnahme beurteilen. Ein intern abgeschlossener Versandauftrag beendet deshalb nicht die Pflicht, das fortbestehende Risiko und den tatsächlichen Informationsstand der Betroffenen im Blick zu behalten.