§ 5 Informations- und Mitteilungspflichten des Verantwor ... / III. Ausnahmen von der Benachrichtigungspflicht

Rz. 208

Art. 34 Abs. 3 DSGVO und § 29 Abs. 1 S. 3 und 4 BDSG-Neu^[177] sehen Fallkonstellationen vor, in denen die Benachrichtigung der betroffenen Person gemäß Art. 34 Abs. 1 DSGVO unter bestimmten Bedingungen nicht erforderlich ist.

[177] Gesetz zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU.

1. Schutz der betroffenen Daten durch geeignete technische und organisatorische Maßnahmen, Art. 34 Abs. 3 lit. a) DSGVO

Rz. 209

Eine Benachrichtigungspflicht entfällt, wenn der Verantwortliche geeignete technische und organisatorische Sicherheitsvorkehrungen getroffen hat und diese Vorkehrungen auf die, von der Verletzung betroffenen personenbezogenen Daten angewandt wurden. Dies sind solche, durch die die personenbezogenen Daten für alle Personen, die nicht zum Zugang zu den personenbezogenen Daten befugt sind, unzugänglich gemacht werden.

Rz. 210

Die Norm hebt die Bedeutung der Etablierung eines hohen Sicherheitsniveaus innerhalb der Verarbeitung personenbezogener Daten hervor und sollte jedem Verantwortlichen ein Anreiz dazu sein, auch und vor allem in diesen Gesichtspunkt zu investieren. Dort, wo die Verletzung des Schutzes personenbezogener Daten zwar zu einem Zugriff durch unberechtigte Dritte geführt hat, die Daten aber vom Dritten nicht oder nur unter unverhältnismäßigem Aufwand ausgewertet oder sichtbar gemacht werden können, erübrigt sich eine Benachrichtigung der betroffenen Personen. Der Verordnungstext nennt hier konkret das Beispiel, dass es sich bei den betroffenen Daten um verschlüsselte Daten handelt. Dabei muss es sich um eine nach dem Stand der Technik sichere Verschlüsselung handeln.^[178] Der DES -Algorithmus sollte daher ebenso wenig Verwendung finden wie WEP- und WPA-Verschlüsselungen, die nach Lenhard^[179] "selbst von Laien mit einer Anleitung aus dem Internet in wenigen Minuten überwunden werden" können. Neben dem Einsatz von Verschlüsselungstechniken wäre auch der Einsatz bestimmter, nur beim Verantwortlichen eingesetzter und nur diesem bekannter "Dateiformate" denkbar, die sich auch nicht einfach in gängige maschinenlesbare Formate transferieren lassen. Dies wäre eine mögliche Schutzvorkehrung, die eine Benachrichtigungspflicht entfallen lassen könnte. Auch die Möglichkeit "Daten aus der Ferne zu löschen", bspw. beim Verlust oder Abhandenkommen mobiler Endgeräte, wie Laptops, Smart-Phones usw., könnte eine hinreichende Sicherheitsmaßnahme darstellen, soweit der Zugang zum Endgerät und seiner Speichermedien selbst hinreichend gesichert ist.

[178] Lenhard, a.a.O., Fn 979, weist zu Recht darauf hin, dass "der Stand der Technik sich ständig weiter[entwickelt]" und es durchaus denkbar ist, dass eine Methode, die in einem Moment als sicher bezeichnet wird, schon wenige Wochen später als veraltet gilt.

[179] Lenhard, a.a.O., Fn 979.

2. Nachfolgende Maßnahmen des Verantwortlichen, Art. 34 Abs. 3 lit. b) DSGVO

Rz. 211

Weiterhin ist eine Benachrichtigung nicht erforderlich, wenn der Verantwortliche durch (der Verletzung) nachfolgende Maßnahmen unverzüglich^[180] sichergestellt hat, dass das hohe Risiko für die Rechte und Freiheiten der betroffenen Personen aller Wahrscheinlichkeit nach nicht mehr besteht. Dies kann etwa in der Form passieren, dass bereits unmittelbar nach Bekanntwerden einer Verletzung Passwörter und sonstige Informationen umgehend zurückgesetzt wurden.

[180] Jandt, in: Kühling/Buchner (Hrsg.), DS-GVO, 2017, Art. 34 Rn 15, plädiert hier für eine Anwendung der 72-Stunden-Regel aus Art. 33 Abs. 1 DSGVO.

3. Unverhältnismäßiger Aufwand, Art. 34 Abs. 3 lit. c) DSGVO

Rz. 212

Eine individuelle Benachrichtigung der betroffenen Personen ist auch nicht erforderlich, wenn dies mit einem unverhältnismäßigen Aufwand verbunden wäre. Dies kann u.a. anzunehmen sein, wenn die Zahl der potentiell betroffenen Personen sehr hoch und der finanzielle Aufwand für den Verantwortlichen kaum überschaubar ist, sowie, wenn die potentiell betroffenen Personen für den Verantwortlichen (noch) nicht identifizierbar sind (z.B. bei Verlust oder unberechtigtem Zugriff auf Kreditkartendaten bei einem Inkassounternehmer, die mit einem Namen, nicht aber mit einer Anschrift der betroffenen Person verknüpft sind).

Rz. 213

In den Fällen, in denen eine individuelle Benachrichtigung jeder potentiell betroffenen Person nicht oder nur mit unverhältnismäßigem Aufwand möglich ist, hat der Verantwortliche stattdessen eine öffentliche Bekanntmachung oder eine ähnliche Maßnahme vorzunehmen, durch die die betroffenen Personen vergleichbar wirksam informiert werden. Dies kann durch entsprechende Mitteilungen in Tageszeitungen, dem Fernsehen und – je nach Branche – ggf. auch über das Internet geschehen, wobei gerade der letzte Fall deutlich macht, dass eine Beschränkung auf lediglich ein Medium immer die Gefahr birgt, dass betroffene Personen, für die selbiges nicht zugänglich ist, nicht "wirksam informiert" werden.

4. Geheimhaltungsinteressen, § 29 Abs. 1 S. 3 BDSG-Neu

Rz. 214

Die Pflicht zur Benachrichtigung gemäß Art. 34 DSGVO besteht ergänzend zu den in Art. 34 Abs. 3 DSGVO genannten Ausnahmen nicht, soweit durch die Benachrichtigung Informationen offenbart würden, die nach einer Rechtsvorschrift oder ihrem Wesen nach, insb...