Artikel 24 EU-DSGVO: Verantwortung des für die Verarbeitung Verantwortlichen

Kommentar zu Art. 34 DSGVO

Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person

Was sagt Art. 34 DSGVO aus?

Artikel 34 DSGVO besagt, dass der Verantwortliche den Betroffenen bei Vorliegen bestimmter Voraussetzungen sofort benachrichtigen muss, wenn dessen Rechte verletzt worden sind. Dies gilt dann, wenn diese Verletzung voraussichtlich ein hohes Risiko für die Persönlichkeitsrechte und Freiheiten der betroffenen Person darstellt.

Diese Benachrichtigung enthält neben der Art der Datenschutzverletzung zumindest diese drei Punkte:

• Kontaktdaten des Datenschutzbeauftragten oder der sonstigen Auskunftsperson
• die Beschreibung der wahrscheinlichen Folgen der Datenschutzverletzung
• Aufzählung der Maßnahmen, mit denen die Datenschutzverletzung behoben und deren negative Folgen abgeschwächt werden sollen

Welcher Handlungsbedarf ergibt sich aus Art. 34 DSGVO für Ihr Unternehmen?

Grundsätzlich ist eine Benachrichtigung vorgesehen, wenn ein voraussichtlich hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen besteht. Absatz 3 nennt hier jedoch drei Ausnahmen von dieser Benachrichtigungspflicht. In diesen drei Fällen muss der Verantwortliche den Betroffenen nicht über die Datenschutzverletzung benachrichtigen. Demnach sollte Ihr Unternehmen geeignete Maßnahmen einsetzen, damit diese Benachrichtigung unterbleiben kann:

1. Sicherheitsvorkehrungen zum Schutz personenbezogener Daten treffen Dieser Punkt betrifft organisatorische und technische Sicherheitsvorkehrungen. So kann der Verantwortliche beispielsweise durch eine Verschlüsselung der Daten schon vor einer Verletzung verhindern, dass unbefugte Personen einen Zugriff auf die personenbezogenen Daten erhalten.
2. Nachträgliche Maßnahmen zur Risikovermeidung einsetzen Von dieser Ausnahme sind nachträgliche Maßnahmen erfasst. Demnach sollte Ihr Unternehmen nach der Verletzung geeignete Maßnahmen durchführen, die das hohe Sicherheitsrisiko für die Persönlichkeits- und Freiheitsrechte des Betroffenen ausschalten.
3. Datenschutzverletzung öffentlich bekannt machen

Wäre der Aufwand für die Benachrichtigung der betroffenen Person zu hoch, sollte der Verantwortliche die Datenschutzverletzung öffentlich bekannt machen. Es ist jede Maßnahme zulässig, die den Betroffenen wirksam informiert.

Wenn Sie unsicher sind, welche technischen und organisatorischen Maßnahmen Sie nach Art. 34 DSGVO einsetzen sollen, helfen wir Ihnen als Datenschutzexperten weiter.