{
    "slug": "dsgvo-benachrichtigung-betroffener-art-34",
    "titre": "Benachrichtigung der betroffenen Person bei Datenschutzverletzung (Art. 34 DSGVO) – hohes Risiko, Ausnahmen, Fristen",
    "domaine": "datenschutz",
    "statut_juridique": "in_force",
    "niveau_autorite": "A",
    "description": "Art. 34 Abs. 1 DSGVO bestimmt: „Hat die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die persönlichen Rechte und…",
    "resume_court": "Art. 34 Abs. 1 DSGVO bestimmt: „Hat die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge, so benachrichtigt der Verantwortliche die betroffene Person unverzüglich von der Verletzung.\u0022 Die Benachrichtigungsschwelle liegt damit **höher** als die Meldeschwelle des Art. 33 DSGVO: Gemeldet wird an die Aufsichtsbehörde, sobald ein Risiko nicht auszuschließen ist – benachrichtigt werden die Betroffenen erst bei einem voraussichtlich **hohen** Risiko. Eine feste Stundenfrist wie die 72 Stunden des Art. 33 Abs. 1 DSGVO gibt es nicht; maßgeblich ist „unverzüglich\u0022. Die Benachrichtigung beschreibt in klarer und einfacher Sprache die Art der Verletzung und enthält zumindest die Angaben nach Art. 33 Abs. 3 lit. b, c und d DSGVO (Art. 34 Abs. 2).\n\nSie ist nach Art. 34 Abs. 3 DSGVO ausnahmsweise entbehrlich, wenn die Daten durch vorab getroffene Vorkehrungen – etwa Verschlüsselung – für Unbefugte unzugänglich waren (lit. a), das hohe Risiko durch nachfolgende Maßnahmen aller Wahrscheinlichkeit nach nicht mehr besteht (lit. b) oder die individuelle Benachrichtigung unverhältnismäßigen Aufwand verursachen würde (lit. c – dann öffentliche Bekanntmachung oder vergleichbar wirksame Maßnahme). Für Deutschland tritt mit § 29 Abs. 1 Satz 3 und 4 BDSG eine weitere Ausnahme bei gesetzlichen Geheimhaltungspflichten hinzu, die aber zurücktritt, wenn die Interessen der betroffenen Person überwiegen. Ein Verstoß gegen Art. 34 DSGVO ist nach Art. 83 Abs. 4 lit. a DSGVO mit Geldbußen bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes bewehrt.",
    "faits": [
        {
            "point": "Rechtsgrundlage",
            "valeur": "Art. 34 Verordnung (EU) 2016/679 (DSGVO), Erwägungsgründe 85–88 [BfDI, Textausgabe INFO 1, S. 178]",
            "autorite": "A"
        },
        {
            "point": "Auslösendes Kriterium",
            "valeur": "Verletzung mit voraussichtlich hohem Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen [Art. 34 Abs. 1 DSGVO]",
            "autorite": "A"
        },
        {
            "point": "Verpflichteter",
            "valeur": "der Verantwortliche (Art. 4 Nr. 7 DSGVO); Auftragsverarbeiter sind nach Art. 33 Abs. 2 DSGVO nur gegenüber dem Verantwortlichen meldepflichtig",
            "autorite": "A"
        },
        {
            "point": "Frist",
            "valeur": "„unverzüglich\u0022 – keine 72-Stunden-Frist wie in Art. 33 Abs. 1; nach EDSA „so schnell wie möglich\u0022 [EDSA-Leitlinien 9/2022, Rn. 83]",
            "autorite": "A"
        },
        {
            "point": "Verhältnis zu Art. 33",
            "valeur": "höhere Schwelle: Meldung an die Aufsicht bei Risiko, Benachrichtigung der Betroffenen erst bei hohem Risiko [EDSA-Leitlinien 9/2022, Rn. 82, 100]",
            "autorite": "A"
        },
        {
            "point": "Pflichtinhalt",
            "valeur": "Art der Verletzung in klarer und einfacher Sprache plus Angaben nach Art. 33 Abs. 3 lit. b, c, d: DSB-/Anlaufstellen-Kontakt, wahrscheinliche Folgen, ergriffene bzw. vorgeschlagene Maßnahmen [Art. 34 Abs. 2 DSGVO]",
            "autorite": "A"
        },
        {
            "point": "Ausnahme lit. a",
            "valeur": "vorab getroffene geeignete technische und organisatorische Sicherheitsvorkehrungen, die die Daten für Unbefugte unzugänglich machen, „etwa durch Verschlüsselung\u0022 [Art. 34 Abs. 3 lit. a DSGVO]",
            "autorite": "A"
        },
        {
            "point": "Ausnahme lit. b",
            "valeur": "nachfolgende Maßnahmen, durch die das hohe Risiko „aller Wahrscheinlichkeit nach nicht mehr besteht\u0022 [Art. 34 Abs. 3 lit. b DSGVO]",
            "autorite": "A"
        },
        {
            "point": "Ausnahme lit. c",
            "valeur": "unverhältnismäßiger Aufwand – dann öffentliche Bekanntmachung oder vergleichbar wirksame Maßnahme [Art. 34 Abs. 3 lit. c DSGVO]",
            "autorite": "A"
        },
        {
            "point": "Nationale Zusatzausnahme",
            "valeur": "§ 29 Abs. 1 Satz 3 BDSG bei gesetzlicher oder wesensmäßiger Geheimhaltungspflicht; Rückausnahme in Satz 4, wenn die Interessen der betroffenen Person überwiegen [gesetze-im-internet.de, bdsg_2018/__29.html]",
            "autorite": "A"
        },
        {
            "point": "Befugnis der Aufsichtsbehörde",
            "valeur": "kann die Nachholung der Benachrichtigung verlangen oder per Beschluss feststellen, dass eine Ausnahme des Abs. 3 vorliegt [Art. 34 Abs. 4 DSGVO]",
            "autorite": "A"
        },
        {
            "point": "Nachweispflicht",
            "valeur": "der Verantwortliche muss belegen können, dass mindestens eine Ausnahme des Abs. 3 erfüllt ist (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO) [EDSA-Leitlinien 9/2022, Rn. 98]",
            "autorite": "A"
        },
        {
            "point": "Bußgeldrahmen",
            "valeur": "bis 10.000.000 EUR oder bis 2 % des gesamten weltweit erzielten Jahresumsatzes des Vorjahres, je nachdem welcher Betrag höher ist [Art. 83 Abs. 4 lit. a DSGVO; BfDI, Infoblatt Datenschutzverstöße]",
            "autorite": "A"
        },
        {
            "point": "Paralleles Regime für Strafverfolgung/Justiz",
            "valeur": "§ 66 BDSG (Teil 3 BDSG, JI-Richtlinie): Benachrichtigung bei „erheblicher Gefahr für Rechtsgüter\u0022 [gesetze-im-internet.de, bdsg_2018/__66.html]",
            "autorite": "A"
        }
    ],
    "sources": [
        {
            "titre": "Bundesdatenschutzgesetz (BDSG), § 29 – Rechte der betroffenen Person und aufsichtsbehördliche Befugnisse im Fall von Geheimhaltungspflichten (Abs. 1 Satz 3 und 4 zu Art. 34 DSGVO)",
            "url": "https://www.gesetze-im-internet.de/bdsg_2018/__29.html",
            "autorite": "A"
        },
        {
            "titre": "Bundesdatenschutzgesetz (BDSG), § 66 – Benachrichtigung betroffener Personen bei Verletzungen des Schutzes personenbezogener Daten (Teil 3 BDSG, JI-Richtlinie)",
            "url": "https://www.gesetze-im-internet.de/bdsg_2018/__66.html",
            "autorite": "A"
        },
        {
            "titre": "BfDI – Amtliche Textausgabe „DSGVO/BDSG\u0022 (INFO 1), Art. 34 DSGVO auf S. 178, Erwägungsgründe 86–88 ab S. 108, Art. 83 Abs. 4 auf S. 231 (PDF)",
            "url": "https://www.bfdi.bund.de/SharedDocs/Downloads/DE/Broschueren/INFO1.pdf?__blob=publicationFile\u0026v=23",
            "autorite": "A"
        },
        {
            "titre": "BfDI – Informationen zu Meldungen von Datenschutzverstößen (Fristen, Mindestinhalt, Bußgeldrahmen)",
            "url": "https://www.bfdi.bund.de/infoblatt_datenschutzverstoesse",
            "autorite": "A"
        },
        {
            "titre": "Europäischer Datenschutzausschuss (EDSA/EDPB) – Leitlinien 9/2022 für die Meldung von Verletzungen des Schutzes personenbezogener Daten gemäß der DSGVO, Version 2.0, angenommen am 28.03.2023, Abschnitt III und Anhang B (PDF)",
            "url": "https://www.edpb.europa.eu/system/files/2024-10/edpb_guidelines_202209_personal_data_breach_notification_v2.0_de_0.pdf",
            "autorite": "A"
        },
        {
            "titre": "Datenschutzkonferenz (DSK) – Kurzpapier Nr. 18 „Risiko für die Rechte und Freiheiten natürlicher Personen\u0022 (PDF)",
            "url": "https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_18.pdf",
            "autorite": "A"
        },
        {
            "titre": "Bayerisches Landesamt für Datenschutzaufsicht – Datenpanne melden",
            "url": "https://www.lda.bayern.de/de/datenpanne.html",
            "autorite": "A"
        },
        {
            "titre": "Landesbeauftragte für Datenschutz und Informationsfreiheit NRW – Meldepflicht für Verantwortliche",
            "url": "https://www.ldi.nrw.de/kontakt/meldepflicht-fuer-verantwortliche-verletzungen-des-schutzes-personenbezogener-daten",
            "autorite": "A"
        }
    ],
    "faq": [
        {
            "question": "Was regelt Benachrichtigung der betroffenen Person bei Datenschutzverletzung (Art. 34 DSGVO) – hohes Risiko, Ausnahmen, Fristen?",
            "reponse": "Art. 34 Abs. 1 DSGVO bestimmt: „Hat die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge, so benachrichtigt der Verantwortliche die betroffene Person unverzüglich von der Verletzung.\u0022 Die Benachrichtigungsschwelle liegt damit höher als die Meldeschwelle des Art."
        },
        {
            "question": "Für wen gilt Benachrichtigung der betroffenen Person bei Datenschutzverletzung (Art. 34 DSGVO)?",
            "reponse": "Art. 34 DSGVO gilt für jeden Verantwortlichen im Anwendungsbereich der DSGVO, unabhängig von Größe, Rechtsform oder Beschäftigtenzahl – also für Unternehmen, Vereine, Freiberufler und öffentliche Stellen gleichermaßen. Anknüpfungspunkt ist eine „Verletzung des Schutzes personenbezogener Daten\u0022 im Sinne von Art. 4 Nr. 12 DSGVO, d. h."
        },
        {
            "question": "Gibt es Ausnahmen bei Benachrichtigung der betroffenen Person bei Datenschutzverletzung (Art. 34 DSGVO)?",
            "reponse": "Art. 34 Abs. 3 DSGVO nennt abschließend drei Bedingungen, unter denen die Benachrichtigung nicht erforderlich ist; es genügt, dass eine davon erfüllt ist: 1. Lit. a – Schutzvorkehrungen vor dem Vorfall. Der Verantwortliche hat geeignete technische und organisatorische Sicherheitsvorkehrungen getroffen und diese auf die betroffenen Daten angewandt, „insbesondere solche, durch die die personenbezogenen Daten für alle…"
        },
        {
            "question": "Welche häufigen Fehler gibt es bei Benachrichtigung der betroffenen Person bei Datenschutzverletzung (Art. 34 DSGVO)?",
            "reponse": "Die 72-Stunden-Frist auf Art. 34 übertragen. Die 72 Stunden stehen in Art. 33 Abs. 1 DSGVO und gelten nur für die Meldung an die Aufsichtsbehörde. Art. 34 Abs. 1 verlangt „unverzüglich\u0022 ohne feste Obergrenze – nach Erwägungsgrund 86 kann bei drohendem unmittelbarem Schaden eine sofortige Benachrichtigung geboten sein, in anderen Konstellationen eine längere Frist gerechtfertigt sein."
        },
        {
            "question": "Wie sieht ein Praxisbeispiel für Benachrichtigung der betroffenen Person bei Datenschutzverletzung (Art. 34 DSGVO) aus?",
            "reponse": "Ein Online-Händler stellt am Montag um 09:00 Uhr fest, dass Angreifer die Kundendatenbank ausgeleitet haben; betroffen sind Namen, Anschriften, E-Mail-Adressen und gehashte Passwörter von 40.000 Kundinnen und Kunden. Art. 33 DSGVO: Die Meldung an die zuständige Aufsichtsbehörde muss unverzüglich, möglichst bis Donnerstag 09:00 Uhr (72 Stunden nach Kenntnis) erfolgen; liegen noch nicht alle Angaben vor, ist eine…"
        }
    ],
    "wikidata": [
        "Q1172506",
        "Q107357247",
        "Q729649",
        "Q26877724"
    ],
    "valid_from": "2018-05-25",
    "valid_to": null,
    "derniere_revision": "2026-10-23",
    "derniere_verification": "2026-10-23",
    "statut_factcheck": "ok",
    "url": "https://nexvyra.de/fakten/dsgvo-benachrichtigung-betroffener-art-34"
}