Wenn Personen in der Datenschutzerklärung angegeben haben, dass sie informiert werden wollen, sonst nicht

Nie, die betroffenen Personen sind nicht zu informieren sondern nur die zuständige Aufsichtsbehörde

Immer

Wenn die Verletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge hat