(1) Hat eine Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die Rechtsgüter betroffener Personen zur Folge, so hat die Polizei die betroffenen Personen unverzüglich über die Verletzung zu benachrichtigen.

(2) Die Benachrichtigung nach Absatz 1 hat in klarer und einfacher Sprache die Art der Verletzung des Schutzes personenbezogener Daten zu beschreiben und zumindest die in § 88 Absatz 2 Nummern 2 bis 4 genannten Informationen und Maßnahmen zu enthalten.

(3) Von der Benachrichtigung nach Absatz 1 kann abgesehen werden, wenn

1. 1.

   die Polizei geeignete technische und organisatorische Sicherheitsvorkehrungen getroffen hat und diese Vorkehrungen auf die von der Verletzung betroffenen Daten angewandt wurden,

2. 2.

   die Polizei durch im Anschluss an die Verletzung getroffene Maßnahmen sichergestellt hat, dass aller Wahrscheinlichkeit nach kein hohes Risiko im Sinne des Absatzes 1 mehr besteht, oder

3. 3.

   dies mit einem unverhältnismäßigen Aufwand verbunden wäre; in diesem Fall hat stattdessen eine öffentliche Bekanntmachung oder eine ähnliche Maßnahme zu erfolgen, durch die die betroffenen Personen vergleichbar wirksam informiert werden.

(4) Für die Benachrichtigung der betroffenen Personen nach Absatz 1 gilt § 91 Absatz 4 entsprechend. Sind Daten aus verdeckten und eingriffsintensiven Maßnahmen von einer Verletzung im Sinne des Absatzes 1 betroffen, findet § 86 Absatz 3 entsprechende Anwendung. Im Fall der Einschränkung der Benachrichtigung gilt § 93 Absatz 2 entsprechend.