(1) Hat eine Verletzung des Schutzes personenbezogener Daten voraussichtlich eine hohe Gefährdung für Rechtsgüter betroffener Personen zur Folge, hat die verantwortliche Stelle diese Personen unverzüglich über den Vorfall zu benachrichtigen.

(2) Die Benachrichtigung nach Absatz 1 hat in allgemein verständlicher Weise die Art der Verletzung des Schutzes personenbezogener Daten zu beschreiben und zumindest die folgenden Angaben zu enthalten:

1. 1.

   den Namen und die Kontaktdaten der oder des behördlichen Datenschutzbeauftragten oder einer sonstigen Person oder Stelle, die weitere Informationen erteilen kann,

2. 2.

   eine Beschreibung der wahrscheinlichen Folgen der Verletzung und

3. 3.

   eine Beschreibung der von der verantwortlichen Stelle ergriffenen oder vorgeschlagenen Maßnahmen zur Behandlung der Verletzung und der getroffenen Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

(3) Die Benachrichtigung der betroffenen Personen nach Absatz 1 kann zurückgestellt oder eingeschränkt werden oder unterbleiben, soweit und solange

1. 1.

   die Benachrichtigung die öffentliche Sicherheit gefährden oder sonst dem Wohle des Bundes oder eines Landes Nachteile bereiten würde,

2. 2.

   die personenbezogenen Daten oder die Tatsache ihrer Verarbeitung nach einer Rechtsvorschrift geheim zu halten sind,

3. 3.

   die Benachrichtigung die Sicherheit von Datenverarbeitungssystemen gefährden würde,

4. 4.

   die Benachrichtigung die Rechtsgüter einer anderen Person gefährden würde oder

5. 5.

   die Benachrichtigung die Erfüllung der Aufgaben nach diesem Gesetz gefährden oder wesentlich erschweren würde

und soweit nicht die Interessen der betroffenen Person aufgrund der von der Verletzung ausgehenden Gefährdung im Sinne des Absatzes 1 überwiegen.

(4) Die Benachrichtigung nach Absatz 1 kann unterbleiben, wenn

1. 1.

   die verantwortliche Stelle für die von der Verletzung betroffenen Daten geeignete technische und organisatorische Sicherheitsvorkehrungen getroffen hat; dies gilt insbesondere für Vorkehrungen wie Verschlüsselungen, durch die die Daten für unbefugte Personen unzugänglich gemacht wurden;

2. 2.

   die verantwortliche Stelle durch unmittelbar im Anschluss an die Verletzung getroffene Maßnahmen sichergestellt hat, dass aller Wahrscheinlichkeit nach keine Gefährdung im Sinne des Absatzes 1 mehr besteht, oder

3. 3.

   dies, insbesondere wegen der Vielzahl betroffener Personen, mit einem unverhältnismäßigen Aufwand verbunden wäre; in diesem Fall hat die verantwortliche Stelle die Verletzung nach Maßgabe des Absatzes 2 öffentlich bekannt zu machen oder eine ähnlich wirksame Maßnahme zur Information zu ergreifen.

(5) Wenn die verantwortliche Stelle die betroffenen Personen über eine Verletzung des Schutzes personenbezogener Daten nicht benachrichtigt hat, kann die oder der Landesbeauftragte für den Datenschutz die Nachholung von der verantwortlichen Stelle verlangen oder förmlich feststellen, dass ihrer oder seiner Auffassung nach die in Absatz 4 genannten Voraussetzungen nicht erfüllt sind. Hierbei hat sie oder er die Wahrscheinlichkeit zu berücksichtigen, dass die Verletzung eine Gefährdung im Sinne des Absatzes 1 zur Folge hat.

(6) In einem Straf- oder Ordnungswidrigkeitenverfahren gegen die meldepflichtige oder benachrichtigende Person oder einen ihrer in § 52 Absatz 1 der Strafprozessordnung bezeichneten Angehörigen darf eine Benachrichtigung nach Absatz 1 nur mit Zustimmung der meldepflichtigen oder benachrichtigenden Person verwendet werden.