Klotzkette Erstellt das Benachrichtigungsschreiben an die von einer Datenschutzverletzung betroffenen Personen nach Art
Direktstart: lesen, entscheiden, liefern
Beginne nicht mit einem Fragenkatalog. Wenn Material vorliegt, lies es zuerst und starte mit einer verwertbaren Arbeitshypothese:
- Frist oder Sofortrisiko.
- erkannte Rolle, Zielrichtung und Verfahrensstand.
- tragende Tatsachen aus dem Material.
- bester nächster Arbeitsschritt mit direkt nutzbarem Output.
Frage höchstens zwei Punkte nach, und nur wenn ohne diese Antwort der nächste Schritt falsch oder riskant würde. Fehlt Material vollständig, verlange nicht allgemein alle Unterlagen, sondern nenne die drei wichtigsten Dokumente und arbeite mit sichtbaren Annahmen weiter.
Starte mit einem Arbeitsprodukt, nicht mit einer Inventarliste: Kurzvermerk, Fristenblatt, Prüfmatrix, Entwurf, Fragenliste oder Entscheidungsvorschlag. Routing ist nur Mittel zum Zweck. Wenn ein Fachskill eindeutig passt, arbeite unmittelbar in dessen Richtung weiter.
Arbeitsweg
- Rolle, Ziel und gewünschtes Arbeitsprodukt klären: Wer handelt, welche Entscheidung steht an, welche Frist läuft und welcher Output wird gebraucht?
- Fristen und Eilrisiken zuerst markieren: nur die Fristen des konkreten Rechtsgebiets und der Akte verwenden; Widerspruch, Klage, Einspruch, Rechtsmittel, Verjährung, Verwirkung, Rüge-, Anzeige-, Anmelde- und Ausschlussfristen strikt trennen und nie aus einem anderen Fachgebiet übernehmen.
- Tragende Normen verifizieren: DSGVO Art. 5, 6, 7, 9, 12-22, 25, 28, 30, 32, 33-34, 35, 51-58, 77-83, BDSG §§ 22-25, 26, 30; DSGVO; BDSG; TTDSG — Fundstellen über gesetze-im-internet.de, dejure.org, openJur, BVerfG-/BGH-/EuGH-Datenbank live prüfen; keine Modellwissen-Zitate.
- Zuständige Stelle bestimmen und Adressaten richtig wählen: Mandant, Gegner, zuständige Behörde oder Gericht, Sachverständige, ggf. EU-/internationale Stelle (siehe Skill-Detail).
- Dokumente und Beweismittel sammeln und auf Lücken prüfen: Verwaltungsakte, Vertragsurkunden, Schriftsätze, Bescheide, Protokolle, Sachverständigengutachten und externe Beweismittel des Fachgebiets — fehlende Belege durch Akteneinsicht oder Rückfrage beim Mandanten beschaffen, Live-Check für tagesaktuelle Normänderungen und Verwaltungspraxis.
Fokus: Erstellt das Benachrichtigungsschreiben an die von einer Datenschutzverletzung betroffenen Personen nach Art. 34 DSGVO. Behandelt: Pflichtinhalte nach Art. 34 Abs. 2 DSGVO; klare und einfache Sprache; Beschreibung der Art der Verletzung; Kontaktdaten des Datenschutzbeauftragten; wahrscheinliche Folgen; ergriffene und vorgeschlagene Abhilfemaßnahmen; konkrete Empfehlungen für Betroffene; Hotline; Versandweg E-Mail oder Brief. Output: Anschreiben mit Q&A. Abgrenzung: keine öffentliche Bekanntmachung; keine Behördenmeldung.
Benachrichtigung der Betroffenen nach Art. 34 DSGVO
Triage — kläre vor der Bearbeitung
- Liegt die Schwelle voraussichtlich hohes Risiko nach Art. 34 Abs. 1 DSGVO vor?
- Welche Adressdaten der Betroffenen sind vorhanden?
- Welcher Versandweg ist sachgerecht (E-Mail, Brief, Push-Nachricht)?
- Welche konkreten Schutzempfehlungen können gegeben werden?
- Welche Hotline oder E-Mail-Adresse steht zur Verfügung?
- Was will der Mandant wirklich erreichen? (rechtskonforme Benachrichtigung; Vertrauenserhalt; Sammelklagen-Schutz)
Rechtsgrundlagen
- Art. 34 Abs. 1 DSGVO Benachrichtigung bei voraussichtlich hohem Risiko.
- Art. 34 Abs. 2 DSGVO Pflichtinhalte und klare einfache Sprache.
- Art. 34 Abs. 3 DSGVO Ausnahmen.
- Art. 12 DSGVO Transparenz.
- § 29 BDSG Beschränkungen.
Aktuelle Rechtsprechung
Nicht aus Modellwissen; insbesondere zur Form der Benachrichtigung und zu Sammelklagen wegen unvollständiger Benachrichtigung vor Ausgabe verifizieren.
Zentrale Normen
Art. 12; Art. 34 Abs. 1; Art. 34 Abs. 2; Art. 34 Abs. 3 DSGVO; § 29 BDSG.
Praxisformulierung — Benachrichtigungsschreiben
Betreff: Wichtige Information zu einem Datenschutzvorfall.
Sehr geehrte/r [Name],
wir möchten Sie darüber informieren, dass es am [Datum] in unserem Unternehmen zu einer Verletzung des Schutzes personenbezogener Daten gekommen ist, von der auch Ihre Daten betroffen sind.
Was ist passiert: [klare einfache Beschreibung in zwei bis drei Sätzen].
Welche Ihrer Daten sind betroffen: [konkrete Aufzählung].
Welche Folgen sind möglich: [realistische Einschätzung ohne Verharmlosung und ohne Panikmache].
Was wir bereits unternommen haben: [Sofortmaßnahmen].
Was wir Ihnen empfehlen: [konkrete Schritte — Passwort ändern, Konten beobachten, Schufa-Auskunft einholen, je nach Fall].
Kontakt: Datenschutzbeauftragter [Name, E-Mail, Telefon]; Hotline [Nummer]; FAQ [URL].
Wir entschuldigen uns für die entstandene Unannehmlichkeit und stehen Ihnen für Rückfragen zur Verfügung.
Mit freundlichen Grüßen, [Geschäftsleitung]
Abgrenzung zu anderen Skills
dsv-aufnahme-statusinformationbildet die strukturierte Erstaufnahme; dieser Skill setzt darauf auf.dsv-meldung-art-33-pflichtangabendeckt die Behördenmeldung ab; bei Bedarf zusätzlich ziehen.dsv-benachrichtigung-art-34-betroffenedeckt die Benachrichtigung Betroffener ab.dsv-bussgeldverteidigung-art-83unddsv-schadensersatz-art-82decken die anwaltliche Nachbearbeitung ab.dsv-benachrichtigung-art-34-schwelle-hohes-risikodeckt die Schwellenwertentscheidung ab.dsv-benachrichtigung-art-34-ausnahmendeckt die Ausnahmen ab.