(1) Die Polizei hat Verletzungen des Schutzes personenbezogener Daten unverzüglich und möglichst innerhalb von 72 Stunden, nachdem ihr diese bekannt wurden, der oder dem Landesbeauftragten für Datenschutz und Informationsfreiheit zu melden, es sei denn, dass die Verletzung voraussichtlich keine Gefahr für die Rechtsgüter natürlicher Personen darstellt. Erfolgt die Meldung nach Satz 1 nicht innerhalb von 72 Stunden, ist dieser eine Begründung für die Verzögerung beizufügen.

(2) Ein Auftragsverarbeiter hat die Verletzung des Schutzes personenbezogener Daten unverzüglich nachdem ihm diese bekannt wird, der Polizei zu melden.

(3) Die Meldung nach Absatz 1 enthält mindestens folgende Informationen:

1. 1.

   eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Anzahl der betroffenen Personen, der betroffenen Kategorien personenbezogener Daten und der ungefähren Anzahl der betroffenen personenbezogenen Datensätze,

2. 2.

   Name und Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Person oder Stelle, die weitere Informationen erteilen kann,

3. 3.

   eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten,

4. 4.

   eine Beschreibung der von der Polizei ergriffenen oder vorgeschlagenen Maßnahmen zur Behandlung der Verletzung des Schutzes personenbezogener Daten und der getroffenen Maßnahmen zur Abmilderung seiner möglichen nachteiligen Auswirkungen und

5. 5.

   eine Mitteilung, ob die Polizei die betroffenen Personen nach § 65 unterrichtet hat oder unterrichten wird.

(4) Wenn die Informationen nicht mit der Meldung bereitgestellt werden können, hat die Polizei diese Informationen unverzüglich nachzureichen, sobald sie ihr vorliegen.

(5) Die Polizei hat Datenschutzverletzungen nach Absatz 1 einschließlich aller im Zusammenhang mit ihnen stehenden Tatsachen, deren Auswirkungen und der ergriffenen Abhilfemaßnahmen zu dokumentieren. Diese Dokumentation ist der oder dem Landesbeauftragten für Datenschutz und Informationsfreiheit auf Verlangen zur Überprüfung der Einhaltung der Bestimmungen von Absatz 1 bis 4 zur Verfügung zu stellen.

(6) Soweit bei einer Datenschutzverletzung nach Absatz 1 personenbezogene Daten betroffen sind, die von einer Stelle oder an eine Stelle in einem anderen Mitgliedstaat der Europäischen Union übermittelt wurden, werden die in Absatz 3 genannten Informationen dieser Stelle unverzüglich übermittelt.