(1) Im Fall einer Verletzung des Schutzes personenbezogener Daten hat unbeschadet des § 16a sowie unbeschadet der Bestimmungen des Datenschutzgesetzes 2000 der Betreiber öffentlicher Kommunikationsdienste unverzüglich die Datenschutzkommission von dieser Verletzung zu benachrichtigen. Ist anzunehmen, dass durch eine solche Verletzung Personen in ihrer Privatsphäre oder die personenbezogenen Daten selbst beeinträchtigt werden, hat der Betreiber auch die betroffenen Personen unverzüglich von dieser Verletzung zu benachrichtigen.       

(2) Der Betreiber öffentlicher Kommunikationsdienste kann von einer Benachrichtigung der betroffenen Personen absehen, wenn der Datenschutzkommission nachgewiesen wird, dass er geeignete technische Schutzmaßnahmen getroffen hat und dass diese Maßnahmen auf die von der Sicherheitsverletzung betroffenen Daten angewendet worden sind. Diese technischen Schutzmaßnahmen müssen jedenfalls sicherstellen, dass die Daten für unbefugte Personen nicht zugänglich sind.     

(3) Unbeschadet der Verpflichtung des Betreibers nach Abs. 1 zweiter Satz kann die Datenschutzkommission den Betreiber öffentlicher Kommunikationsdienste – nach Berücksichtigung der wahrscheinlichen nachteiligen Auswirkungen der Verletzung – auch auffordern, eine Benachrichtigung durchzuführen.     

(4) In der Benachrichtigung an die betroffenen Personen sind jedenfalls die Art der Verletzung des Schutzes personenbezogener Daten zu beschreiben, Kontaktstellen zu nennen, bei denen weitere Informationen erhältlich sind, und Maßnahmen zur Begrenzung der möglichen nachteiligen Auswirkungen der Verletzung des Schutzes personenbezogener Daten zu empfehlen. In der Benachrichtigung an die Datenschutzkommission sind zusätzlich die Folgen der Verletzung des Schutzes personenbezogener Daten und die vom Betreiber öffentlicher Kommunikationsdienste nach der Verletzung vorgeschlagenen oder ergriffenen Maßnahmen darzulegen.     

(5) Nähere Einzelheiten, insbesondere Form, Verfahrensweise oder Voraussetzungen für die Benachrichtigung bei einer Sicherheitsverletzung, kann der Bundeskanzler durch Verordnung festlegen. Die Datenschutzkommission kann im Einzelfall auch entsprechende Anordnungen treffen, um eine den Auswirkungen der Sicherheitsverletzung angemessene Benachrichtigung der betroffenen Personen sicherzustellen. Sie kann auch Leitlinien im Zusammenhang mit Sicherheitsverletzungen erstellen.     

(6) Die Betreiber öffentlicher Kommunikationsdienste haben ein Verzeichnis der Verletzungen des Schutzes personenbezogener Daten zu führen. Es hat Angaben zu den Umständen der Verletzungen, zu deren Auswirkungen und zu den ergriffenen Abhilfemaßnahmen zu enthalten und muss geeignet sein, der Datenschutzkommission die Prüfung der Einhaltung der Bestimmungen gemäß Abs. 1 bis 4 zu ermöglichen.

(7) Die Datenschutzkommission hat die Regulierungsbehörde über jene Sicherheitsverletzungen zu informieren, die für die Erfüllung der der Regulierungsbehörde durch § 16a übertragenen Aufgaben notwendig sind.