Muss ich die betroffenen Personen selbst bei einer Datenpanne informieren?

Bei hohem Risiko für die betroffenen Personen gilt die Pflicht

Ja, wenn ein Datenschutzvorfall wahrscheinlich ein hohes Risiko für die Rechte und Freiheiten der Personen birgt, deren Daten betroffen sind, dann besteht die Pflicht, diese Personen selbst darüber zu informieren. Dies ist unabhängig von der Meldung an die Aufsichtsbehörde, die bereits bei einer niedrigeren Schwelle — schlicht "Risiko" — innerhalb von 72 Stunden erfolgen muss. Bei der Information der betroffenen Person selbst liegt der Maßstab höher: es geht um Situationen, in denen ohne Eingriff ernsthafte negative Folgen eintreten können, wie Identitätsdiebstahl, finanzielle Schäden oder Rufschädigungen. Die betroffene Person wird dann in klarer und einfacher Sprache darüber informiert, was geschehen ist, welche zu erwartenden Folgen es gibt, welche Anlaufstelle für weitere Informationen zur Verfügung steht und welche Maßnahmen ergriffen werden oder wurden, um Schäden zu begrenzen.

Es gibt Ausnahmen, bei denen diese individuelle Informationspflicht entfällt. Das ist der Fall, wenn angemessene Sicherheitsmaßnahmen — etwa Verschlüsselung — die Daten für denjenigen unverständlich machten, der kein Zugriff darauf hatte, wenn nachträglich ergriffene Maßnahmen dazu führen, dass das hohe Risiko wahrscheinlich nicht mehr eintritt, oder wenn eine individuelle Information unverhältnismäßig großen Aufwand erfordern würde. In diesem letzten Fall können eine öffentliche Mitteilung oder eine vergleichbar wirksame Maßnahme die individuelle Benachrichtigung jeder betroffenen Person ersetzen.

Die Grundlage: Artikel 34 DSGVO, neben Artikel 33

Diese Verpflichtung ergibt sich aus Artikel 34 der DSGVO, der die individuelle Informationspflicht neben Artikel 33 regelt, der die Meldung an die Aufsichtsbehörde betrifft — zwei separate Verpflichtungen mit je eigener Schwelle. Was ein Datenschutzvorfall genau ist und wie die Risikobewertung durchgeführt wird, ist auf der Website der niederländischen Datenschutzbehörde zu Datenschutzvorfällen erläutert. Die Pflicht aus Artikel 34 selbst ist in der gesamten EU gleich, da die DSGVO unmittelbar anwendbar ist; nur der Meldeweg zur Aufsichtsbehörde unterscheidet sich je Land — in den Niederlanden zur Autoriteit Persoonsgegevens, in Deutschland zur Aufsichtsbehörde des Bundeslandes, in dem die Niederlassung ansässig ist.