Der Verantwortliche und der Auftragsbearbeiter müssen technische und organisatorische Massnahmen treffen, damit die bearbeiteten Daten ihrem Schutzbedarf entsprechend:

1. nur Berechtigten zugänglich sind (Vertraulichkeit);
2. verfügbar sind, wenn sie benötigt werden (Verfügbarkeit);
3. nicht unberechtigt oder unbeabsichtigt verändert werden (Integrität);
4. nachvollziehbar bearbeitet werden (Nachvollziehbarkeit).