(1) Die Polizei hat sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung angemessene Vorkehrungen zu treffen, die geeignet sind, Datenschutzgrundsätze wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen, um den gesetzlichen Anforderungen zu genügen und die Rechte der betroffenen Personen zu schützen. Sie hat hierbei den Stand der Technik, die Implementierungskosten und die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Gefährdung für die Rechtsgüter der betroffenen Personen zu berücksichtigen.

(2) Die Polizei hat geeignete technische und organisatorische Maßnahmen zu treffen, die sicherstellen, dass durch Voreinstellung grundsätzlich nur solche personenbezogenen Daten verarbeitet werden, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist. Diese Verpflichtung gilt für die Menge der erhobenen personenbezogenen Daten, den Umfang deren Verarbeitung, deren Speicherdauer und deren Zugänglichkeit oder Zugriffsmöglichkeit. Die Maßnahmen müssen insbesondere sicherstellen, dass personenbezogene Daten durch Voreinstellungen nicht ohne Eingreifen der Person einer unbestimmten Anzahl von Personen zugänglich gemacht werden können.

(3) Die Polizei ermöglicht, dass alle Beschäftigten der Polizei der oder dem Datenschutzbeauftragten sowie der Landesbeauftragten für Datenschutz und Informationsfreiheit vertrauliche Hinweise über die im Verantwortungsbereich der Polizei erfolgende mögliche Verstöße gegen Datenschutzvorschriften ohne Einhaltung des Dienstwegs zuleiten können. Den Beschäftigten der Polizei dürfen aufgrund eines Hinweises nach Satz 1 im Dienst keine rechtlichen oder tatsächlichen Nachteile entstehen. Sofern eine beschäftige Person der Polizei darlegt, dass ihr ein Nachteil nach Satz 2 entstanden ist und sie eine vertrauliche Meldung nach Satz 1 gemacht hat, trägt die Polizei die Beweislast dafür, dass sie die beschäftige Person nicht wegen der vertraulichen Meldung benachteiligt hat. Die Ermächtigung zur Strafverfolgung nach § 353b Absatz 4 Satz 2 Nummer 3 des Strafgesetzbuchs wird im Falle der zulässigen Ausübung des Rechts nach Satz 1 nicht erteilt.

(4) Die Polizei berichtet dem für Datenschutz zuständigen Ausschuss der Bürgerschaft kalenderjährlich über die nach Absatz 1 getroffenen Vorkehrungen und aufgenommenen Garantien, über die nach Absatz 2 getroffenen technischen und organisatorischen Maßnahmen sowie über den Umfang der nach Absatz 3 eingegangenen vertraulichen Hinweise.