--- title: Benachrichtigung der betroffenen Person bei Datenschutzverletzung (Art. 34 DSGVO) – hohes Risiko, Ausnahmen, Fristen seo_title: Benachrichtigung der betroffenen Person bei… slug: dsgvo-benachrichtigung-betroffener-art-34 topic: datenschutz legal_status: in_force authority_level: A valid_from: 2018-05-25 valid_to: null last_reviewed: 2026-09-01 status: aktuell license: CC-BY-4.0 url: https://nexvyra.de/fakten/dsgvo-benachrichtigung-betroffener-art-34.md wikidata_subjects: [Q1172506, Q107357247, Q729649, Q26877724] factcheck_status: ok --- # Benachrichtigung der betroffenen Person bei Datenschutzverletzung (Art. 34 DSGVO) – hohes Risiko, Ausnahmen, Fristen ## Kurzantwort Art. 34 Abs. 1 DSGVO bestimmt: „Hat die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge, so benachrichtigt der Verantwortliche die betroffene Person unverzüglich von der Verletzung." Die Benachrichtigungsschwelle liegt damit **höher** als die Meldeschwelle des Art. 33 DSGVO: Gemeldet wird an die Aufsichtsbehörde, sobald ein Risiko nicht auszuschließen ist – benachrichtigt werden die Betroffenen erst bei einem voraussichtlich **hohen** Risiko. Eine feste Stundenfrist wie die 72 Stunden des Art. 33 Abs. 1 DSGVO gibt es nicht; maßgeblich ist „unverzüglich". Die Benachrichtigung beschreibt in klarer und einfacher Sprache die Art der Verletzung und enthält zumindest die Angaben nach Art. 33 Abs. 3 lit. b, c und d DSGVO (Art. 34 Abs. 2). Sie ist nach Art. 34 Abs. 3 DSGVO ausnahmsweise entbehrlich, wenn die Daten durch vorab getroffene Vorkehrungen – etwa Verschlüsselung – für Unbefugte unzugänglich waren (lit. a), das hohe Risiko durch nachfolgende Maßnahmen aller Wahrscheinlichkeit nach nicht mehr besteht (lit. b) oder die individuelle Benachrichtigung unverhältnismäßigen Aufwand verursachen würde (lit. c – dann öffentliche Bekanntmachung oder vergleichbar wirksame Maßnahme). Für Deutschland tritt mit § 29 Abs. 1 Satz 3 und 4 BDSG eine weitere Ausnahme bei gesetzlichen Geheimhaltungspflichten hinzu, die aber zurücktritt, wenn die Interessen der betroffenen Person überwiegen. Ein Verstoß gegen Art. 34 DSGVO ist nach Art. 83 Abs. 4 lit. a DSGVO mit Geldbußen bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes bewehrt. ## Kernfakten | Punkt | Wert | |---|---| | Rechtsgrundlage | Art. 34 Verordnung (EU) 2016/679 (DSGVO), Erwägungsgründe 85–88 [BfDI, Textausgabe INFO 1, S. 178] | | Auslösendes Kriterium | Verletzung mit voraussichtlich **hohem** Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen [Art. 34 Abs. 1 DSGVO] | | Verpflichteter | der Verantwortliche (Art. 4 Nr. 7 DSGVO); Auftragsverarbeiter sind nach Art. 33 Abs. 2 DSGVO nur gegenüber dem Verantwortlichen meldepflichtig | | Frist | „unverzüglich" – keine 72-Stunden-Frist wie in Art. 33 Abs. 1; nach EDSA „so schnell wie möglich" [EDSA-Leitlinien 9/2022, Rn. 83] | | Verhältnis zu Art. 33 | höhere Schwelle: Meldung an die Aufsicht bei Risiko, Benachrichtigung der Betroffenen erst bei hohem Risiko [EDSA-Leitlinien 9/2022, Rn. 82, 100] | | Pflichtinhalt | Art der Verletzung in klarer und einfacher Sprache **plus** Angaben nach Art. 33 Abs. 3 lit. b, c, d: DSB-/Anlaufstellen-Kontakt, wahrscheinliche Folgen, ergriffene bzw. vorgeschlagene Maßnahmen [Art. 34 Abs. 2 DSGVO] | | Ausnahme lit. a | vorab getroffene geeignete technische und organisatorische Sicherheitsvorkehrungen, die die Daten für Unbefugte unzugänglich machen, „etwa durch Verschlüsselung" [Art. 34 Abs. 3 lit. a DSGVO] | | Ausnahme lit. b | nachfolgende Maßnahmen, durch die das hohe Risiko „aller Wahrscheinlichkeit nach nicht mehr besteht" [Art. 34 Abs. 3 lit. b DSGVO] | | Ausnahme lit. c | unverhältnismäßiger Aufwand – dann öffentliche Bekanntmachung oder vergleichbar wirksame Maßnahme [Art. 34 Abs. 3 lit. c DSGVO] | | Nationale Zusatzausnahme | § 29 Abs. 1 Satz 3 BDSG bei gesetzlicher oder wesensmäßiger Geheimhaltungspflicht; Rückausnahme in Satz 4, wenn die Interessen der betroffenen Person überwiegen [gesetze-im-internet.de, bdsg_2018/__29.html] | | Befugnis der Aufsichtsbehörde | kann die Nachholung der Benachrichtigung verlangen oder per Beschluss feststellen, dass eine Ausnahme des Abs. 3 vorliegt [Art. 34 Abs. 4 DSGVO] | | Nachweispflicht | der Verantwortliche muss belegen können, dass mindestens eine Ausnahme des Abs. 3 erfüllt ist (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO) [EDSA-Leitlinien 9/2022, Rn. 98] | | Bußgeldrahmen | bis 10.000.000 EUR oder bis 2 % des gesamten weltweit erzielten Jahresumsatzes des Vorjahres, je nachdem welcher Betrag höher ist [Art. 83 Abs. 4 lit. a DSGVO; BfDI, Infoblatt Datenschutzverstöße] | | Paralleles Regime für Strafverfolgung/Justiz | § 66 BDSG (Teil 3 BDSG, JI-Richtlinie): Benachrichtigung bei „erheblicher Gefahr für Rechtsgüter" [gesetze-im-internet.de, bdsg_2018/__66.html] | ## Geltungsbereich Art. 34 DSGVO gilt für jeden **Verantwortlichen** im Anwendungsbereich der DSGVO, unabhängig von Größe, Rechtsform oder Beschäftigtenzahl – also für Unternehmen, Vereine, Freiberufler und öffentliche Stellen gleichermaßen. Anknüpfungspunkt ist eine „Verletzung des Schutzes personenbezogener Daten" im Sinne von Art. 4 Nr. 12 DSGVO, d. h. eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Daten führt. Die Pflicht greift **zusätzlich** zur Meldung nach Art. 33 DSGVO und ersetzt sie nicht: Bei hohem Risiko sind sowohl die Aufsichtsbehörde als auch die betroffenen Personen zu informieren. Der BfDI fasst den risikobasierten Ansatz so zusammen: Eine Meldung an die Aufsicht kann nur ausnahmsweise unterbleiben, wenn der Vorfall voraussichtlich nicht zu einem Risiko führt; ist der Vorfall „voraussichtlich sogar mit einem hohen Risiko für die betroffenen Personen verbunden, hat der Verantwortliche zusätzlich die betroffenen Personen zu benachrichtigen". Ein **Auftragsverarbeiter** ist nicht Adressat von Art. 34 DSGVO. Er benachrichtigt nach Art. 33 Abs. 2 DSGVO unverzüglich den Verantwortlichen; ob und wie die Betroffenen benachrichtigt werden, entscheidet der Verantwortliche. Für Verarbeitungen zur Strafverfolgung und Gefahrenabwehr nach der JI-Richtlinie gilt statt Art. 34 DSGVO die inhaltsgleich aufgebaute Norm des § 66 BDSG, die allerdings an eine „erhebliche Gefahr für Rechtsgüter betroffener Personen" anknüpft. ## Wann liegt ein „hohes Risiko" vor? Der Begriff des Risikos ist in der DSGVO nicht definiert. Die Datenschutzkonferenz (DSK) leitet aus den Erwägungsgründen 75 und 94 Satz 2 DSGVO folgende Definition ab: Ein Risiko ist „das Bestehen der Möglichkeit des Eintritts eines Ereignisses, das selbst einen Schaden (einschließlich ungerechtfertigter Beeinträchtigung von Rechten und Freiheiten natürlicher Personen) darstellt oder zu einem weiteren Schaden für eine oder mehrere natürliche Personen führen kann". Es habe zwei Dimensionen: die **Schwere** des Schadens und die **Wahrscheinlichkeit** seines Eintritts (DSK, Kurzpapier Nr. 18). Nach den EDSA-Leitlinien 9/2022 besteht ein solches Risiko, „wenn die Datenschutzverletzung zu einem physischen, materiellen oder immateriellen Schaden für die Personen führen könnte, deren personenbezogene Daten beeinträchtigt wurden" – genannt werden Diskriminierung, Identitätsdiebstahl oder -betrug, finanzielle Verluste und Rufschädigung (Rn. 102). Sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO betroffen, steigt die Risikobewertung entsprechend. Anhang B der EDSA-Leitlinien enthält eine nicht erschöpfende Beispielliste. Daraus (Auswahl): - **Cyberangriff auf einen Onlinedienst mit Datenabfluss:** Meldung an die Aufsichtsbehörde ja; Benachrichtigung der Betroffenen ja, abhängig von der Art der beeinträchtigten Daten und wenn schwerwiegende Folgen zu erwarten sind (Beispiel ii). - **Ransomware-Angriff ohne Backup, Daten nicht wiederherstellbar:** Meldung ja (Verlust der Datenverfügbarkeit); Benachrichtigung der Betroffenen ja, abhängig von Art der Daten und Auswirkungen der Nichtverfügbarkeit. Mit funktionierendem Backup und zeitnaher Wiederherstellung wären beide Schritte nicht erforderlich gewesen (Beispiel iv). - **Veröffentlichung von Benutzernamen, Passwörtern und Kaufhistorie nach Angriff auf einen Online-Marktplatz:** Meldung an die federführende Aufsichtsbehörde; Benachrichtigung der Betroffenen ja, „denn der Vorfall könnte zu einem hohen Risiko führen" (Beispiel vi). - **Diebstahl eines verschlüsselten USB-Sticks mit vorhandener Sicherungskopie:** weder Meldung noch Benachrichtigung, solange der Schlüssel nicht beeinträchtigt wurde (Beispiel i). - **Kurzer Stromausfall im Callcenter:** weder Meldung noch Benachrichtigung, aber Dokumentationspflicht nach Art. 33 Abs. 5 DSGVO (Beispiel iii). ## Ausnahmen Art. 34 Abs. 3 DSGVO nennt abschließend drei Bedingungen, unter denen die Benachrichtigung nicht erforderlich ist; es genügt, dass **eine** davon erfüllt ist: 1. **Lit. a – Schutzvorkehrungen vor dem Vorfall.** Der Verantwortliche hat geeignete technische und organisatorische Sicherheitsvorkehrungen getroffen und diese auf die betroffenen Daten angewandt, „insbesondere solche, durch die die personenbezogenen Daten für alle Personen, die nicht zum Zugang [...] befugt sind, unzugänglich gemacht werden, etwa durch Verschlüsselung". Der EDSA nennt dem Stand der Technik entsprechende Verschlüsselung oder Tokenisierung (Rn. 97). 2. **Lit. b – Risikobeseitigung nach dem Vorfall.** Der Verantwortliche hat durch nachfolgende Maßnahmen sichergestellt, dass das hohe Risiko „aller Wahrscheinlichkeit nach nicht mehr besteht" – etwa, wenn die Person mit unbefugtem Zugang sofort ermittelt wurde und Maßnahmen gegen sie ergriffen wurden, bevor sie die Daten verwenden konnte (Rn. 97). 3. **Lit. c – unverhältnismäßiger Aufwand.** In diesem Fall „hat stattdessen eine öffentliche Bekanntmachung oder eine ähnliche Maßnahme zu erfolgen, durch die die betroffenen Personen vergleichbar wirksam informiert werden". Der EDSA nennt als Beispiel den Verlust der Kontaktdaten durch den Vorfall selbst. Hinzu tritt in Deutschland **§ 29 Abs. 1 Satz 3 BDSG**: Die Pflicht zur Benachrichtigung nach Art. 34 DSGVO besteht ergänzend zu Art. 34 Abs. 3 DSGVO nicht, „soweit durch die Benachrichtigung Informationen offenbart würden, die nach einer Rechtsvorschrift oder ihrem Wesen nach, insbesondere wegen der überwiegenden berechtigten Interessen eines Dritten, geheim gehalten werden müssen". Satz 4 enthält die Rückausnahme: Abweichend davon ist zu benachrichtigen, „wenn die Interessen der betroffenen Person, insbesondere unter Berücksichtigung drohender Schäden, gegenüber dem Geheimhaltungsinteresse überwiegen". Ein zeitlicher **Aufschub** ist nach Erwägungsgrund 88 DSGVO möglich, soweit eine frühzeitige Offenlegung Ermittlungen der Strafverfolgungsbehörden unnötig behindern würde; anschließend ist umgehend zu benachrichtigen (EDSA-Leitlinien 9/2022, Rn. 95). ## Häufige Fehler - **Die 72-Stunden-Frist auf Art. 34 übertragen.** Die 72 Stunden stehen in Art. 33 Abs. 1 DSGVO und gelten nur für die Meldung an die Aufsichtsbehörde. Art. 34 Abs. 1 verlangt „unverzüglich" ohne feste Obergrenze – nach Erwägungsgrund 86 kann bei drohendem unmittelbarem Schaden eine sofortige Benachrichtigung geboten sein, in anderen Konstellationen eine längere Frist gerechtfertigt sein. - **Jede gemeldete Datenpanne auch den Betroffenen mitteilen.** Der EDSA weist ausdrücklich darauf hin, dass für die Benachrichtigung eine höhere Schwelle gilt und Betroffene „nicht mit unnötigen Benachrichtigungen überfrachtet" werden sollen (Rn. 82). - **Die Benachrichtigung in einem Newsletter oder Standardanschreiben verstecken.** Nach EDSA-Leitlinien 9/2022 Rn. 89 sollte die Benachrichtigung durch eine eigens für diesen Zweck erstellte Mitteilung erfolgen und nicht zusammen mit anderen Informationen wie regelmäßigen Updates oder Newslettern verschickt werden. - **Nur eine Pressemitteilung oder einen Blogbeitrag veröffentlichen.** Das ist laut EDSA „kein wirksames Mittel", um Betroffene in Kenntnis zu setzen (Rn. 90). Die öffentliche Bekanntmachung ist nur bei unverhältnismäßigem Aufwand nach Art. 34 Abs. 3 lit. c DSGVO ein zulässiger Ersatz. - **Den kompromittierten Kanal für die Benachrichtigung nutzen.** Verantwortliche sollten Kommunikationskanäle vermeiden, die durch die Verletzung beeinträchtigt wurden, weil Angreifer sie nutzen könnten, um sich als der Verantwortliche auszugeben (Rn. 92). - **Das Absehen von der Benachrichtigung nicht dokumentieren.** Wer sich auf Art. 34 Abs. 3 DSGVO stützt, muss dies gegenüber der Aufsichtsbehörde nachweisen können (Rn. 98); unabhängig davon besteht die interne Dokumentationspflicht für **jede** Verletzung nach Art. 33 Abs. 5 DSGVO. - **Verschlüsselung pauschal als Freibrief behandeln.** Der EDSA weist darauf hin, dass Daten je nach Produkt nur im ausgeschalteten Zustand verschlüsselt sein können, dass „Standardschlüssel" geändert werden müssen und dass als angemessen eingestufte Verfahren später überholt sein können. ## Beispiel Ein Online-Händler stellt am Montag um 09:00 Uhr fest, dass Angreifer die Kundendatenbank ausgeleitet haben; betroffen sind Namen, Anschriften, E-Mail-Adressen und gehashte Passwörter von 40.000 Kundinnen und Kunden. - **Art. 33 DSGVO:** Die Meldung an die zuständige Aufsichtsbehörde muss unverzüglich, möglichst bis Donnerstag 09:00 Uhr (72 Stunden nach Kenntnis) erfolgen; liegen noch nicht alle Angaben vor, ist eine schrittweise Meldung nach Art. 33 Abs. 4 DSGVO zulässig. - **Art. 34 DSGVO:** Da Zugangsdaten und Kontaktdaten offengelegt wurden und Identitätsmissbrauch sowie Phishing drohen, ist von einem hohen Risiko auszugehen (vgl. EDSA-Leitlinien 9/2022, Anhang B, Beispiel vi). Die 40.000 Betroffenen sind unverzüglich zu benachrichtigen – nicht erst nach Ablauf der 72 Stunden. - **Inhalt:** eine gesonderte E-Mail in klarer und einfacher Sprache mit Beschreibung des Vorfalls, Kontaktdaten des Datenschutzbeauftragten, den wahrscheinlichen Folgen (z. B. Phishing, Credential Stuffing) und den ergriffenen Maßnahmen samt Empfehlung, Passwörter zurückzusetzen (Art. 34 Abs. 2 i. V. m. Art. 33 Abs. 3 lit. b–d DSGVO; EDSA-Leitlinien 9/2022, Rn. 87). - **Keine Ausnahme:** Art. 34 Abs. 3 lit. a DSGVO greift nicht, weil Namen und Anschriften im Klartext abgeflossen sind. Eine bloße Pressemitteilung genügt nicht, weil die Kontaktdaten der Betroffenen vorliegen und eine direkte Benachrichtigung damit keinen unverhältnismäßigen Aufwand verursacht. - **Dokumentation:** Der Vorfall, die Risikobewertung und die ergriffenen Maßnahmen sind nach Art. 33 Abs. 5 DSGVO intern zu dokumentieren. ## Quellen - Bundesdatenschutzgesetz (BDSG), § 29 – Rechte der betroffenen Person und aufsichtsbehördliche Befugnisse im Fall von Geheimhaltungspflichten (Abs. 1 Satz 3 und 4 zu Art. 34 DSGVO): https://www.gesetze-im-internet.de/bdsg_2018/__29.html - Bundesdatenschutzgesetz (BDSG), § 66 – Benachrichtigung betroffener Personen bei Verletzungen des Schutzes personenbezogener Daten (Teil 3 BDSG, JI-Richtlinie): https://www.gesetze-im-internet.de/bdsg_2018/__66.html - BfDI – Amtliche Textausgabe „DSGVO/BDSG" (INFO 1), Art. 34 DSGVO auf S. 178, Erwägungsgründe 86–88 ab S. 108, Art. 83 Abs. 4 auf S. 231 (PDF): https://www.bfdi.bund.de/SharedDocs/Downloads/DE/Broschueren/INFO1.pdf?__blob=publicationFile&v=23 - BfDI – Informationen zu Meldungen von Datenschutzverstößen (Fristen, Mindestinhalt, Bußgeldrahmen): https://www.bfdi.bund.de/infoblatt_datenschutzverstoesse - Europäischer Datenschutzausschuss (EDSA/EDPB) – Leitlinien 9/2022 für die Meldung von Verletzungen des Schutzes personenbezogener Daten gemäß der DSGVO, Version 2.0, angenommen am 28.03.2023, Abschnitt III und Anhang B (PDF): https://www.edpb.europa.eu/system/files/2024-10/edpb_guidelines_202209_personal_data_breach_notification_v2.0_de_0.pdf - Datenschutzkonferenz (DSK) – Kurzpapier Nr. 18 „Risiko für die Rechte und Freiheiten natürlicher Personen" (PDF): https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_18.pdf - Bayerisches Landesamt für Datenschutzaufsicht – Datenpanne melden: https://www.lda.bayern.de/de/datenpanne.html - Landesbeauftragte für Datenschutz und Informationsfreiheit NRW – Meldepflicht für Verantwortliche: https://www.ldi.nrw.de/kontakt/meldepflicht-fuer-verantwortliche-verletzungen-des-schutzes-personenbezogener-daten **Hinweis zur Quellenlage:** Ein Direktlink auf den amtlichen DSGVO-Volltext bei EUR-Lex wurde bewusst weggelassen. `eur-lex.europa.eu` antwortete bei der Prüfung am 01.09.2026 auf `legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679` mit HTTP 202 und leerem Body (vgl. AGENT_GUIDE-Befund vom 27.08.2026). Der wörtlich zitierte Verordnungstext stammt deshalb aus der amtlichen Textausgabe der BfDI (INFO 1); die nationale Norm ist über gesetze-im-internet.de verlinkt. ## Änderungsverlauf - 2026-09-01: Erstveröffentlichung der Faktenseite. Art. 34 DSGVO und Erwägungsgründe 86–88 verbatim aus der BfDI-Textausgabe INFO 1 übernommen, § 29 Abs. 1 Satz 3/4 und § 66 BDSG gegen gesetze-im-internet.de geprüft, EDSA-Leitlinien 9/2022 (Rn. 82–99, Anhang B) und DSK-Kurzpapier Nr. 18 ausgewertet, alle Quellen-URLs per curl auf HTTP 200 getestet. | change_type=initial_publication reviewed_by="Andreas Warkentin" field="topic_lifecycle" new="published" ## Stand - Stand: 2026-09-01 - Gültig ab: 2018-05-25 (Geltungsbeginn der DSGVO) - Status: aktuell - Quellenautorität: A (gesetze-im-internet.de/BDSG, BfDI-Textausgabe, EDSA-Leitlinien, DSK) - Lizenz: CC BY 4.0