(1) Hat eine Verletzung des Schutzes personenbezogener Daten voraussichtlich eine erhebliche Gefahr für Rechtsgüter betroffener Personen zur Folge, so hat die Polizei die betroffenen Personen unverzüglich zu benachrichtigen.

(2) Die Benachrichtigung nach Absatz 1 hat in klarer und einfacher Sprache die Art der Verletzung und ergänzend zumindest folgende Informationen zu enthalten:

1. 1.

   den Namen und die Kontaktdaten des oder der Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen,

2. 2.

   eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten und

3. 3.

   eine Beschreibung der von der Polizei ergriffenen oder vorgeschlagenen Maßnahmen zur Behandlung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls der Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

(3) Eine Benachrichtigung gemäß Absatz 1 entfällt, wenn

1. 1.

   die Polizei geeignete technische und organisatorische Sicherheitsvorkehrungen getroffen hat und diese Vorkehrungen auf die von der Verletzung betroffenen personenbezogenen Daten angewandt wurden. Dies gilt insbesondere für Vorkehrungen wie Verschlüsselungen, durch die die Daten für ıcinbefugte Personen unzugänglich gemacht wuren,

2. 2.

   die Polizei durch die im Anschluss an die Verletzung getroffenen Maßnahmen sichergestellt hat, dass aller Wahrscheinlichkeit nach keine erhebliche Gefahr mehr im Sinne des Absatz 1 besteht, oder

3. 3.

   dies mit einem unverhältnismäßigen Aufwand verbunden wäre; in diesem Fall hat stattdessen durch die Polizei eine öffentliche Bekanntmachung oder ähnliche Maßnahme zu erfolgen, durch die die betroffenen Personen vergleichsweise wirksam informiert werden.

Die Gründe der Entscheidung sind zu dokumentieren.

(4) Die Polizei kann eine Benachrichtigung unter den in § 48 Absatz 2 des Datenschutzgesetzes Nordrhein-Westfalen genannten Voraussetzungen aufschieben, einschränken oder unterlassen, soweit nicht die Interessen der betroffenen Personen aufgrund der von der Verletzung ausgehenden erheblichen Gefahr im Sinne des Absatz 1 überwiegen. Die Gründe der Entscheidung sind zu dokumentieren.

(5) Wenn der Verantwortliche die betroffene Person über eine Verletzung des Schutzes personenbezogener Daten nicht benachrichtigt hat, kann die oder der Landesbeauftragte für Datenschutz und Informationsfreiheit verlangen, dies nachzuholen oder verbindlich feststellen, dass bestimmte der in Absatz 3 genannten Voraussetzungen erfüllt sind. Hierbei hat sie oder er die Wahrscheinlichkeit zu berücksichtigen, mit der die Verletzung des Schutzes personenbezogener Daten zu einer erheblichen Gefahr im Sinne des Absatzes 1 führt. § 59 des Datenschutzgesetzes Nordrhein-Westfalen bleibt unberührt.