(1) Bei einer Erhebung personenbezogener Daten gemäß § 16a Absatz 1, §§ 17 bis 21 und 31 sind zu protokollieren
- 1. das zur Datenerhebung eingesetzte Mittel,
- 2. der Zeitpunkt des Einsatzes,
- 3. die Angaben, die die Feststellung der erhobenen Daten ermöglichen und
- 4. die Organisationseinheit, die die Maßnahme durchführt.
(2) Zudem sind je nach Durchführung der konkreten Maßnahme die betroffenen Personen im Sinne des § 33 Absatz 1 zu dokumentieren.
(3) Nachforschungen zur Feststellung der Identität einer in § 33 Absatz 1 Nummer 4 und 7 bezeichneten Person sind nur vorzunehmen, wenn dies unter Berücksichtigung der Eingriffsintensität der Maßnahme gegenüber dieser Person, des Aufwands für die Feststellung ihrer Identität sowie der daraus für diese oder andere Personen folgenden Beeinträchtigungen geboten ist. Die Zahl der Personen, deren Protokollierung unterblieben ist, ist im Protokoll anzugeben.
(4) Die Protokolldaten dürfen nur verwendet werden für Zwecke der Benachrichtigung nach § 33 und um der betroffenen Person oder der oder dem Landesbeauftragten für Datenschutz und Informationsfreiheit die Prüfung zu ermöglichen, ob die Maßnahmen rechtmäßig durchgeführt worden sind. Sie sind bis zum Abschluss der Kontrolle nach § 33c aufzubewahren und sodann automatisiert zu löschen, es sei denn, dass sie für den in Satz 1 genannten Zweck noch erforderlich sind.
(5) § 55 des Datenschutzgesetzes Nordrhein-Westfalen bleibt unberührt.