Der Datenschutzbehörde sind folgende Informationen zu geben:
- Beschreibung der Art der Datenschutzverletzung
- Name Datenschutzbeauftragter der/die über den Vorfall Auskunft geben kann
- Beschreibung der wahrscheinlichen Folgen für Betroffene
- Beschreibung der ergriffenen Maßnahmen
- Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Daten-Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze
Die Meldung hat binnen 72 Stunden zu erfolgen, kann aber - abhängig vom Sachverhalt - auch schrittweise erfolgen. Nur wenn die Ermittlung der Datenschutzverletzung aufwändig ist oder sonstige Unklarheiten bestehen, kann die Meldug später erfolgen. Die Verspätung ist jedoch zu begründen.
Die Meldepflicht besteht auch dann, wenn dem Verantwortlichen kein Verschulden an der Datenschutzverletzung trifft, auch weil sich eine von ihm verwendete Software oder Hardware nachträglich als fehlerhaft oder unzuverlässig entpuppt.