¶ Benachrichtigung betroffener Personen
Beispieldokument: Nicht freigegebenes Muster für die fiktive „Muster GmbH“. Es enthält keine realen Betroffenen, Textbausteine, Kanäle oder freigegebenen Ausnahmen.
Schwelle: Eine Benachrichtigung erfolgt ohne unangemessene Verzögerung, wenn die Verletzung voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen zur Folge hat.
Zweck: Die Information soll Betroffene in die Lage versetzen, konkrete Schutzmaßnahmen zu ergreifen – nicht nur eine Rechtspflicht formal erfüllen.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | DSGVO-VF-06-04 |
| Dokumentenart | Musterverfahren für Betroffenenbenachrichtigung nach Artikel 34 |
| Wiki.js-Pfad | /DSGVO/06-Datenschutzverletzungen/Benachrichtigung-betroffener-Personen |
| Verantwortlich | festzulegende Datenschutzkoordination mit Kommunikation und Incident Lead |
| Fachlich geprüft durch | Datenschutzbeauftragte/r, Recht, Informationssicherheit, Fachbereich und Barrierefreiheits-/Sprachrolle |
| Freigabe durch | dokumentierte befugte Rolle gemäß Eskalationsmatrix |
| Status | Entwurf – Schwellen, Textfreigabe, Kanäle, Sprachen und Vertretungen nicht organisationsbezogen bestätigt |
| Version | 1.0 |
| Stand | 09.08.2026 |
| Gültig ab | Nach Zielgruppentest, Kanaltest und formaler Freigabe |
| Nächste Prüfung | Mindestens jährlich sowie nach Vorfällen, Übungen oder Kontaktänderungen |
| Schutzklasse | Vertraulich; Empfängerlisten, Kontaktwege, Betroffenenreaktionen und Nachweise geschützt |
| DSGVO-Bezug | Erwägungsgründe 85 und 86 sowie Artikel 12 und 34 DSGVO |
| Schnittstellen | Risikobewertung, Behördenmeldung, Register, Kommunikation, Identitätsprüfung und Lessons Learned |
Die Benachrichtigung erklärt verständlich, was geschehen ist, welche Folgen möglich sind und wie sich Betroffene konkret schützen können. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Entscheidungsprüfung
Dokumentiert werden:
- Incident-ID und aktuelle Risikobewertung,
- betroffene Gruppen, Schutzbedürftigkeit und Erreichbarkeit,
- warum ein hohes Risiko wahrscheinlich oder nicht wahrscheinlich ist,
- Dringlichkeit möglicher Schutzhandlungen,
- mögliche Ausnahme nach Artikel 34 Absatz 3,
- Abstimmung mit Aufsichts-, Strafverfolgungs- oder Sicherheitsbehörden, soweit erforderlich,
- Entscheidung, Zeitpunkt, Freigabe und Review.
Die Behördenmeldung und die Betroffenenbenachrichtigung haben unterschiedliche Schwellen und werden getrennt entschieden.
¶ 2. Pflichtinhalt
In klarer und einfacher Sprache enthält die Benachrichtigung mindestens:
- Art der Datenschutzverletzung,
- Name und Kontaktdaten der oder des Datenschutzbeauftragten oder einer anderen Anlaufstelle,
- Beschreibung der wahrscheinlichen Folgen,
- ergriffene oder vorgeschlagene Maßnahmen einschließlich Folgenminderung.
Ergänzt werden konkrete, priorisierte Selbstschutzmaßnahmen, Zeitbezug, sichere Kontaktwege, Aktualisierungsweg und Hinweise auf mögliche Betrugsversuche.
¶ 3. Inhaltsqualität
- Tatsachen, bestätigte Schätzungen und offene Punkte unterscheiden.
- Keine Schuldzuweisung, Verharmlosung oder unklare Fachsprache.
- Keine neuen sensiblen Daten oder Zugangsdaten offenlegen.
- Handlungsanweisungen realistisch, kostenlos und zugänglich gestalten.
- Zielgruppen, Sprachen, Behinderungen und digitale Zugänglichkeit berücksichtigen.
- Identität nur angemessen prüfen; keine zusätzlichen Datenrisiken erzeugen.
¶ 4. Kanalwahl
Der Kanal muss Betroffene wirksam und rechtzeitig erreichen. Möglich sind persönliches Konto, Brief, E-Mail, SMS, Telefon oder andere sichere direkte Wege. Webseitenhinweis oder Pressemitteilung ersetzen die direkte Kommunikation nur bei der gesetzlichen Ausnahme unverhältnismäßigen Aufwands und müssen gleich wirksam informieren.
Der gewählte Kanal wird gegen Phishingrisiko, Aktualität der Kontaktdaten, Vertraulichkeit, Zustellnachweis, Reichweite und Barrierefreiheit geprüft.
¶ 5. Ausnahmen nach Artikel 34 Absatz 3
Eine Benachrichtigung kann entfallen, wenn nachweislich:
- geeignete Schutzmaßnahmen auf die betroffenen Daten angewandt waren und sie für Unbefugte unverständlich machen, etwa wirksame Verschlüsselung ohne kompromittierten Schlüssel,
- nachträgliche Maßnahmen sicherstellen, dass das hohe Risiko voraussichtlich nicht mehr besteht,
- die individuelle Information unverhältnismäßigen Aufwand erfordern würde; dann erfolgt eine öffentliche oder ähnlich wirksame Information.
Jede Ausnahme wird eng, faktenbasiert, befugt und überprüfbar begründet. Die Aufsichtsbehörde kann eine Benachrichtigung verlangen.
¶ 6. Vorbereitung und Freigabe
| Prüffeld | Nachweis |
|---|---|
| Zielgruppe | Datenquelle, Umfang, Sondergruppen und Dublettenbehandlung |
| Inhalt | Pflichtangaben, Schutzmaßnahmen, Hilfe und Aktualisierungsweg |
| Sprache | Verständlichkeit, Übersetzungen und Barrierefreiheit |
| Kanal | Sicherheit, Reichweite, Absenderauthentizität und Ausfallweg |
| Support | Briefing, Kapazität, Eskalation und Dokumentation |
| Freigabe | Fach-, Rechts-, Datenschutz- und Kommunikationsprüfung |
| Zeitpunkt | Dringlichkeit, Versandfenster und begründete Verzögerung |
¶ 7. Versand und Nachsteuerung
Gespeichert werden freigegebene Fassung, Zielgruppe, Versandzeit, Kanal, Zustellstatus, Rückläufer und Supportreaktionen. Neue Erkenntnisse werden mit einer klar gekennzeichneten Aktualisierung kommuniziert.
Reaktionen können neue Risikohinweise liefern und werden in Bewertung, Register und Maßnahmensteuerung zurückgeführt.
¶ 8. Von der Risikobewertung zur hilfreichen Nachricht
Die Benachrichtigung ist keine Pressemitteilung und kein juristischer Selbstschutz. Sie soll betroffene Menschen befähigen, sich vor möglichen Folgen zu schützen. Inhalt und Kanal richten sich deshalb nach Personengruppe, möglichen Schäden, Dringlichkeit, Sprache, Barrierefreiheit und Gefahr durch zusätzliche Betrugsversuche.
| Leserfrage | Erwartete Antwort |
|---|---|
| Was ist passiert? | klare Beschreibung der Verletzung ohne unnötige technische Details |
| Welche meiner Daten sind betroffen? | konkrete Datenkategorien und soweit möglich Umfang |
| Was kann daraus entstehen? | realistische Folgen, nicht nur abstrakte Risiken |
| Was hat die Organisation getan? | wirksame Eindämmung und Schutzmaßnahmen |
| Was soll ich jetzt tun? | priorisierte, praktisch umsetzbare Schritte |
| Wo erhalte ich Hilfe? | erreichbarer Kontakt, Referenz und barrierearmer Kanal |
¶ 8.1 Schutz vor Folgeschäden
Bei kompromittierten Zugangsdaten werden Passwortwechsel, Mehrfaktor-Authentisierung und Erkennung von Phishing konkret erklärt. Bei Finanz- oder Identitätsrisiken werden geeignete Kontakt- und Beobachtungsschritte genannt, ohne Verantwortung auf die Person abzuwälzen. Warnungen enthalten keine anklickbaren Links oder Anhänge, die selbst wie Phishing wirken, wenn ein sichererer Weg möglich ist.
¶ 8.2 Zielgruppe und Reichweite
Die Organisation nutzt keine grobe Gesamtzahl, wenn unterschiedliche Gruppen verschieden betroffen sind. Inhalt und Handlungsempfehlung können nach Datensatz, Region, Alter, Sprache oder Risiko variieren. Minderjährige, Beschäftigte, Menschen mit Behinderung oder Personen in Abhängigkeitsverhältnissen erhalten geeignete Kommunikation und Unterstützung.
¶ 9. Qualitätsprüfung mit Lesertest
Vor Versand liest eine nicht am Vorfall beteiligte Person den Text. Sie soll ohne Zusatzwissen erklären können, was passiert ist, welche Daten betroffen sind, welche Folgen möglich sind und welche drei nächsten Schritte wichtig sind. Unklare Fachbegriffe, beschönigende Passivformulierungen und widersprüchliche Zahlen werden korrigiert.
Der Test umfasst außerdem Absendererkennbarkeit, sichere Domain, Hotline, Übersetzungen, mobile Darstellung, barrierearme Fassung, Rückläufer und erwartetes Anfragevolumen. Kommunikation und Support erhalten denselben freigegebenen Faktenstand. Eine FAQ darf neue Tatsachen nicht abweichend darstellen.
¶ 9.1 Direkte oder öffentliche Kommunikation
Öffentliche Bekanntmachung oder vergleichbar wirksame Maßnahme wird nur bei unverhältnismäßigem Aufwand einer individuellen Benachrichtigung und unter den gesetzlichen Voraussetzungen geprüft. Sie muss die betroffenen Personen mit vergleichbarer Wirksamkeit erreichen. Eine allgemeine Meldung auf einer selten besuchten Webseite genügt nicht automatisch.
¶ 9.2 Nachweis und Nachsteuerung
Die Akte enthält Entscheidung, Textversionen, Zielgruppen, Versandzeitpunkt, Kanal, Rückläufer, Supportfragen und Korrekturen. Neue Erkenntnisse können eine Ergänzung erforderlich machen. Fehlende Zustellung bei einer Hochrisikogruppe führt zu einem alternativen Kontaktweg, soweit rechtlich und tatsächlich möglich.
¶ 10. Verknüpfte Seiten
- Bewertung von Datenschutzverletzungen
- Meldung an die Aufsichtsbehörde
- Datenschutzverletzungsregister
- Kontakt- und Eskalationslisten
- Betroffenenanfragen und Identitätsprüfung
¶ 11. Offizielle Grundlagen
- DSGVO, insbesondere Artikel 12 und 34 – EUR-Lex
- EDSA-Leitlinien 9/2022 – finale Version 2.0
- EDSA-Leitlinien 01/2021 mit Fallbeispielen
¶ 12. Weiterführende Informationen von SMCT MANAGEMENT
Unterstützung bei verständlicher Betroffenenkommunikation, Risikobewertung und Incident-Übungen
Erstgespräch unter info@smct-management.de vereinbaren
¶ 13. Änderungshistorie
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe |
|---|---|---|---|---|
| 1.0 | 09.08.2026 | Leserorientierte Nachricht, Schutz vor Folgeschäden, Zielgruppenprüfung, Lesertest und Nachsteuerung ergänzt | Datenschutzkoordination / Musterrolle | Ausstehend |
| 0.1 | 08.08.2026 | Musterverfahren mit Hochrisikoentscheidung, Pflichtinhalt, verständlicher Sprache, Kanalwahl, Artikel-34-Ausnahmen, Versand und Nachsteuerung erstellt | Datenschutzkoordination / Musterrolle | Ausstehend |