Die Meldung geht an die Aufsichtsbehörde. Die Benachrichtigung der Betroffenen ist etwas anderes: Sie ist nur bei einem hohen Risiko nötig, dann aber unverzüglich und in klarer, einfacher Sprache.
Warum das wichtig ist
Zwei Pflichten, zwei Adressaten, zwei Schwellen. Die Meldung an die Behörde entfällt nur, wenn die Verletzung „voraussichtlich nicht zu einem Risiko" führt. Die Benachrichtigung der Betroffenen wird erst bei einem „voraussichtlich hohen Risiko" fällig.
Bei der Benachrichtigung nennt das Gesetz ausdrücklich keine Stundenzahl — nur „unverzüglich". Dieser Kurs nennt deshalb an dieser Stelle bewusst keine Frist.
Was in die Benachrichtigung gehört, steht im Gesetz: die Art der Verletzung in klarer und einfacher Sprache, Ansprechpartner, voraussichtliche Folgen und ergriffene Maßnahmen.
Was das Gesetz sagt
Art. 34 Abs. 1 DSGVO
„Hat die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge, so benachrichtigt der Verantwortliche die betroffene Person unverzüglich von der Verletzung."
Art. 34 Abs. 2 DSGVO
„Die in Absatz 1 genannte Benachrichtigung der betroffenen Person beschreibt in klarer und einfacher Sprache die Art der Verletzung des Schutzes personenbezogener Daten"
Art. 33 Abs. 2 DSGVO
„Wenn dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt wird, meldet er diese dem Verantwortlichen unverzüglich."
So macht man es richtig
Die Meldung an die Behörde macht die zuständige Stelle, nicht Sie.
Betroffene niemals eigenmächtig informieren — eine ungeschickte Nachricht vergrößert den Schaden.
Wenn ein Dienstleister die Panne hatte: Er muss es Ihnen unverzüglich melden. Fragen Sie nach, wenn er zögert.
Was bei Missachtung droht
Art. 83 Abs. 4 lit. a DSGVO: bis zu 10 Millionen Euro oder 2 Prozent — für Art. 33 und Art. 34 gleichermaßen. Unabhängig davon bleibt der Schadenersatzanspruch der Betroffenen nach Art. 82 Abs. 1, der ausdrücklich auch immaterielle Schäden erfasst.
