1 Wer als Privatperson Personendaten bearbeitet oder ein Datenkommunikationsnetz zur Verfügung stellt, sorgt für die Vertraulichkeit, die Verfügbarkeit und die Integrität der Daten, um einen angemessenen Datenschutz zu gewährleisten. Insbesondere schützt er die Systeme gegen folgende Risiken:

1. unbefugte oder zufällige Vernichtung;
2. zufälligen Verlust;
3. technische Fehler;
4. Fälschung, Diebstahl oder widerrechtliche Verwendung;
5. unbefugtes Ändern, Kopieren, Zugreifen oder andere unbefugte Bearbeitungen.

2 Die technischen und organisatorischen Massnahmen müssen angemessen sein. Insbesondere tragen sie folgenden Kriterien Rechnung:

1. Zweck der Datenbearbeitung;
2. Art und Umfang der Datenbearbeitung;
3. Einschätzung der möglichen Risiken für die betroffenen Personen;
4. gegenwärtiger Stand der Technik.

3 Diese Massnahmen sind periodisch zu überprüfen.