Nexvyra

Benachrichtigung der betroffenen Person bei Datenschutzverletzung (Art. 34 DSGVO) – hohes Risiko, Ausnahmen, Fristen

Inhaltlich verantwortet von Andreas Warkentin (warepoint-media GbR) · zuletzt geprüft am 2026-09-01 · Quellenautorität A (amtliche Primärquelle) Fehler melden ✉

Kurzantwort

Art. 34 Abs. 1 DSGVO bestimmt: „Hat die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge, so benachrichtigt der Verantwortliche die betroffene Person unverzüglich von der Verletzung." Die Benachrichtigungsschwelle liegt damit höher als die Meldeschwelle des Art. 33 DSGVO: Gemeldet wird an die Aufsichtsbehörde, sobald ein Risiko nicht auszuschließen ist – benachrichtigt werden die Betroffenen erst bei einem voraussichtlich hohen Risiko. Eine feste Stundenfrist wie die 72 Stunden des Art. 33 Abs. 1 DSGVO gibt es nicht; maßgeblich ist „unverzüglich". Die Benachrichtigung beschreibt in klarer und einfacher Sprache die Art der Verletzung und enthält zumindest die Angaben nach Art. 33 Abs. 3 lit. b, c und d DSGVO (Art. 34 Abs. 2).

Sie ist nach Art. 34 Abs. 3 DSGVO ausnahmsweise entbehrlich, wenn die Daten durch vorab getroffene Vorkehrungen – etwa Verschlüsselung – für Unbefugte unzugänglich waren (lit. a), das hohe Risiko durch nachfolgende Maßnahmen aller Wahrscheinlichkeit nach nicht mehr besteht (lit. b) oder die individuelle Benachrichtigung unverhältnismäßigen Aufwand verursachen würde (lit. c – dann öffentliche Bekanntmachung oder vergleichbar wirksame Maßnahme). Für Deutschland tritt mit § 29 Abs. 1 Satz 3 und 4 BDSG eine weitere Ausnahme bei gesetzlichen Geheimhaltungspflichten hinzu, die aber zurücktritt, wenn die Interessen der betroffenen Person überwiegen. Ein Verstoß gegen Art. 34 DSGVO ist nach Art. 83 Abs. 4 lit. a DSGVO mit Geldbußen bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes bewehrt.

Kernfakten

PunktWert
RechtsgrundlageArt. 34 Verordnung (EU) 2016/679 (DSGVO), Erwägungsgründe 85–88 [BfDI, Textausgabe INFO 1, S. 178]
Auslösendes KriteriumVerletzung mit voraussichtlich hohem Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen [Art. 34 Abs. 1 DSGVO]
Verpflichteterder Verantwortliche (Art. 4 Nr. 7 DSGVO); Auftragsverarbeiter sind nach Art. 33 Abs. 2 DSGVO nur gegenüber dem Verantwortlichen meldepflichtig
Frist„unverzüglich" – keine 72-Stunden-Frist wie in Art. 33 Abs. 1; nach EDSA „so schnell wie möglich" [EDSA-Leitlinien 9/2022, Rn. 83]
Verhältnis zu Art. 33höhere Schwelle: Meldung an die Aufsicht bei Risiko, Benachrichtigung der Betroffenen erst bei hohem Risiko [EDSA-Leitlinien 9/2022, Rn. 82, 100]
PflichtinhaltArt der Verletzung in klarer und einfacher Sprache plus Angaben nach Art. 33 Abs. 3 lit. b, c, d: DSB-/Anlaufstellen-Kontakt, wahrscheinliche Folgen, ergriffene bzw. vorgeschlagene Maßnahmen [Art. 34 Abs. 2 DSGVO]
Ausnahme lit. avorab getroffene geeignete technische und organisatorische Sicherheitsvorkehrungen, die die Daten für Unbefugte unzugänglich machen, „etwa durch Verschlüsselung" [Art. 34 Abs. 3 lit. a DSGVO]
Ausnahme lit. bnachfolgende Maßnahmen, durch die das hohe Risiko „aller Wahrscheinlichkeit nach nicht mehr besteht" [Art. 34 Abs. 3 lit. b DSGVO]
Ausnahme lit. cunverhältnismäßiger Aufwand – dann öffentliche Bekanntmachung oder vergleichbar wirksame Maßnahme [Art. 34 Abs. 3 lit. c DSGVO]
Nationale Zusatzausnahme§ 29 Abs. 1 Satz 3 BDSG bei gesetzlicher oder wesensmäßiger Geheimhaltungspflicht; Rückausnahme in Satz 4, wenn die Interessen der betroffenen Person überwiegen [gesetze-im-internet.de, bdsg_2018/__29.html]
Befugnis der Aufsichtsbehördekann die Nachholung der Benachrichtigung verlangen oder per Beschluss feststellen, dass eine Ausnahme des Abs. 3 vorliegt [Art. 34 Abs. 4 DSGVO]
Nachweispflichtder Verantwortliche muss belegen können, dass mindestens eine Ausnahme des Abs. 3 erfüllt ist (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO) [EDSA-Leitlinien 9/2022, Rn. 98]
Bußgeldrahmenbis 10.000.000 EUR oder bis 2 % des gesamten weltweit erzielten Jahresumsatzes des Vorjahres, je nachdem welcher Betrag höher ist [Art. 83 Abs. 4 lit. a DSGVO; BfDI, Infoblatt Datenschutzverstöße]
Paralleles Regime für Strafverfolgung/Justiz§ 66 BDSG (Teil 3 BDSG, JI-Richtlinie): Benachrichtigung bei „erheblicher Gefahr für Rechtsgüter" [gesetze-im-internet.de, bdsg_2018/__66.html]

Geltungsbereich

Art. 34 DSGVO gilt für jeden Verantwortlichen im Anwendungsbereich der DSGVO, unabhängig von Größe, Rechtsform oder Beschäftigtenzahl – also für Unternehmen, Vereine, Freiberufler und öffentliche Stellen gleichermaßen. Anknüpfungspunkt ist eine „Verletzung des Schutzes personenbezogener Daten" im Sinne von Art. 4 Nr. 12 DSGVO, d. h. eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Daten führt.

Die Pflicht greift zusätzlich zur Meldung nach Art. 33 DSGVO und ersetzt sie nicht: Bei hohem Risiko sind sowohl die Aufsichtsbehörde als auch die betroffenen Personen zu informieren. Der BfDI fasst den risikobasierten Ansatz so zusammen: Eine Meldung an die Aufsicht kann nur ausnahmsweise unterbleiben, wenn der Vorfall voraussichtlich nicht zu einem Risiko führt; ist der Vorfall „voraussichtlich sogar mit einem hohen Risiko für die betroffenen Personen verbunden, hat der Verantwortliche zusätzlich die betroffenen Personen zu benachrichtigen".

Ein Auftragsverarbeiter ist nicht Adressat von Art. 34 DSGVO. Er benachrichtigt nach Art. 33 Abs. 2 DSGVO unverzüglich den Verantwortlichen; ob und wie die Betroffenen benachrichtigt werden, entscheidet der Verantwortliche. Für Verarbeitungen zur Strafverfolgung und Gefahrenabwehr nach der JI-Richtlinie gilt statt Art. 34 DSGVO die inhaltsgleich aufgebaute Norm des § 66 BDSG, die allerdings an eine „erhebliche Gefahr für Rechtsgüter betroffener Personen" anknüpft.

Wann liegt ein „hohes Risiko" vor?

Der Begriff des Risikos ist in der DSGVO nicht definiert. Die Datenschutzkonferenz (DSK) leitet aus den Erwägungsgründen 75 und 94 Satz 2 DSGVO folgende Definition ab: Ein Risiko ist „das Bestehen der Möglichkeit des Eintritts eines Ereignisses, das selbst einen Schaden (einschließlich ungerechtfertigter Beeinträchtigung von Rechten und Freiheiten natürlicher Personen) darstellt oder zu einem weiteren Schaden für eine oder mehrere natürliche Personen führen kann". Es habe zwei Dimensionen: die Schwere des Schadens und die Wahrscheinlichkeit seines Eintritts (DSK, Kurzpapier Nr. 18).

Nach den EDSA-Leitlinien 9/2022 besteht ein solches Risiko, „wenn die Datenschutzverletzung zu einem physischen, materiellen oder immateriellen Schaden für die Personen führen könnte, deren personenbezogene Daten beeinträchtigt wurden" – genannt werden Diskriminierung, Identitätsdiebstahl oder -betrug, finanzielle Verluste und Rufschädigung (Rn. 102). Sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO betroffen, steigt die Risikobewertung entsprechend.

Anhang B der EDSA-Leitlinien enthält eine nicht erschöpfende Beispielliste. Daraus (Auswahl):

Ausnahmen

Art. 34 Abs. 3 DSGVO nennt abschließend drei Bedingungen, unter denen die Benachrichtigung nicht erforderlich ist; es genügt, dass eine davon erfüllt ist:

  1. Lit. a – Schutzvorkehrungen vor dem Vorfall. Der Verantwortliche hat geeignete technische und organisatorische Sicherheitsvorkehrungen getroffen und diese auf die betroffenen Daten angewandt, „insbesondere solche, durch die die personenbezogenen Daten für alle Personen, die nicht zum Zugang [...] befugt sind, unzugänglich gemacht werden, etwa durch Verschlüsselung". Der EDSA nennt dem Stand der Technik entsprechende Verschlüsselung oder Tokenisierung (Rn. 97).
  2. Lit. b – Risikobeseitigung nach dem Vorfall. Der Verantwortliche hat durch nachfolgende Maßnahmen sichergestellt, dass das hohe Risiko „aller Wahrscheinlichkeit nach nicht mehr besteht" – etwa, wenn die Person mit unbefugtem Zugang sofort ermittelt wurde und Maßnahmen gegen sie ergriffen wurden, bevor sie die Daten verwenden konnte (Rn. 97).
  3. Lit. c – unverhältnismäßiger Aufwand. In diesem Fall „hat stattdessen eine öffentliche Bekanntmachung oder eine ähnliche Maßnahme zu erfolgen, durch die die betroffenen Personen vergleichbar wirksam informiert werden". Der EDSA nennt als Beispiel den Verlust der Kontaktdaten durch den Vorfall selbst.

Hinzu tritt in Deutschland § 29 Abs. 1 Satz 3 BDSG: Die Pflicht zur Benachrichtigung nach Art. 34 DSGVO besteht ergänzend zu Art. 34 Abs. 3 DSGVO nicht, „soweit durch die Benachrichtigung Informationen offenbart würden, die nach einer Rechtsvorschrift oder ihrem Wesen nach, insbesondere wegen der überwiegenden berechtigten Interessen eines Dritten, geheim gehalten werden müssen". Satz 4 enthält die Rückausnahme: Abweichend davon ist zu benachrichtigen, „wenn die Interessen der betroffenen Person, insbesondere unter Berücksichtigung drohender Schäden, gegenüber dem Geheimhaltungsinteresse überwiegen".

Ein zeitlicher Aufschub ist nach Erwägungsgrund 88 DSGVO möglich, soweit eine frühzeitige Offenlegung Ermittlungen der Strafverfolgungsbehörden unnötig behindern würde; anschließend ist umgehend zu benachrichtigen (EDSA-Leitlinien 9/2022, Rn. 95).

Häufige Fehler

Beispiel

Ein Online-Händler stellt am Montag um 09:00 Uhr fest, dass Angreifer die Kundendatenbank ausgeleitet haben; betroffen sind Namen, Anschriften, E-Mail-Adressen und gehashte Passwörter von 40.000 Kundinnen und Kunden.

Quellen

Änderungsverlauf

Stand