§ 30 Unterrichtung der betroffenen Person

(1) Gefährdet eine Verletzung der Sicherheit personenbezogener Daten voraussichtlich die Rechtsgüter einer Person erheblich, so unterrichtet der Verantwortliche diese hierüber unverzüglich.

(2) Die Unterrichtung nach Absatz 1 enthält in klarer und einfacher Sprache die Art der Verletzung der Sicherheit personenbezogener Daten und zumindest die in § 29 Absatz 3 Satz 1 Nummer 2 bis 4 genannten Angaben. Ist die Unterrichtung der betroffenen Person mit einem unverhältnismäßigen Aufwand verbunden, stellt der Verantwortliche deren Unterrichtung durch eine öffentliche Bekanntgabe oder eine vergleichbare Maßnahme sicher.

(3) Von der Unterrichtung nach Absatz 1 kann abgesehen werden, wenn

bereits zuvor von dem Verantwortlichen für eine solche Verletzung der Sicherheit getroffene technische und organisatorische Maßnahmen, namentlich Verschlüsselungen, die betreffenden personenbezogenen Daten umfassen und diese so für unbefugte Personen unzugänglich gemacht wurden oder

der Verantwortliche die erhebliche Gefährdung nach Absatz 1 durch unmittelbar nach der Verletzung getroffene Maßnahmen voraussichtlich abgewendet hat.

(4) Die Unterrichtung nach Absatz 1 kann unter den Voraussetzungen des § 8 Absatz 2 aufgeschoben, eingeschränkt oder unterlassen werden.

(5) Hat der Verantwortliche die betroffene Person über eine Verletzung der Sicherheit personenbezogener Daten nicht unterrichtet, kann die oder der Landesbeauftragte unter Berücksichtigung der Wahrscheinlichkeit, mit der der Verstoß zu einer erheblichen Gefährdung der Rechtsgüter der betroffenen Person führt, von dem Verantwortlichen verlangen, dies nachzuholen, oder förmlich feststellen, dass nach ihrer oder seiner Auffassung die in Absatz 3 oder Absatz 4 genannten Voraussetzungen erfüllt sind.

Einzelnorm

Abschnitt 6

Behördliche Datenschutzbeauftragte