§ 163 Abs 1 TKG 2021 verpflichtet Betreiber öffentlicher Kommunikationsdienste zur Erlassung von Datensicherheitsmaßnahmen für jeden der von ihnen erbrachten Dienste. Besteht ein besonderes Risiko zur Verletzung der Vertraulichkeit, so hat der Betreiber den Nutzer nach § 163 Abs 2 TKG 2021 über dieses Risiko und – wenn das Risiko außerhalb des Anwendungsbereichs der vom Betreiber zu treffenden Maßnahmen liegt – über mögliche Abhilfen einschließlich deren Kosten zu unterrichten. Darüber hinaus haben Betreiber öffentlicher Kommunikationsdienste durch Datensicherheitsmaßnahmen gemäß § 163 Abs 3 TKG 2021 Folgendes zu gewährleisten:
- die Sicherstellung, dass nur ermächtigte Personen für rechtlich zulässige Zwecke Zugang zu personenbezogenen Daten erhalten,
- den Schutz gespeicherter oder übermittelter personenbezogener Daten vor unbeabsichtigter oder unrechtmäßiger Zerstörung, unbeabsichtigtem Verlust oder unbeabsichtigter Veränderung und unbefugter oder unrechtmäßiger Speicherung oder Verarbeitung, unbefugtem oder unberechtigtem Zugang oder unbefugter oder unrechtmäßiger Weitergabe,
- die Umsetzung eines Sicherheitskonzepts für die Verarbeitung personenbezogener Daten.
Die von Betreibern öffentlicher Kommunikationsdienste getroffenen Datensicherheitsmaßnahmen kann die RTR-GmbH als zuständige Regulierungsbehörde gemäß § 163 Abs 3 TKG 2021 prüfen und Empfehlungen in Bezug auf das zu erreichende Sicherheitsniveau abgeben. Zur Prüfung der getroffenen Datensicherheitsmaßnahmen kann die RTR-GmbH den Betreiber zur Erteilung der erforderlichen Auskünfte gemäß § 181 TKG 2021 auffordern.