Citation: BGE 144 I 126 E. 11.2e

geschützt werden. Geschuldet ist kein absoluter Schutz; vielmehr müssen die technischen und organisatorischen Massnahmen bei gesamthafter Beurteilung unter der Berücksichtigung des Zwecks, der Art und des Umfangs der Datenbearbeitung, der abschätzbaren Risiken für die betroffenen Personen und dem Stand der Technik angemessen sein (Art. 8 Abs. 2 VDSG; vgl. DAVID ROSENTHAL, Handkommentar zum Datenschutzgesetz, 2008, N. 3 f. zu Art. 7 DSG; BRUNO BAERISWYL, in: Datenschutzgesetz [DSG], 2015, N. 22 zu Art. 7 DSG). Solche Massnahmen sollen insbesondere bei automatisierten Datensammlungen und Informationssystemen verhindern, dass Daten unrechtmässig bearbeitet werden. Zu diesem Zweck definiert Art. 9 Abs. 1 VDSG verschiedene Zielsetzungen, die unter Beachtung des Verhältnismässigkeitsgebots umzusetzen sind. Dazu gehören namentlich Datenträger-, Transport-, Bekanntgabe-, Speicher-, Benutzer- und Zugriffskontrollen (zur Erläuterung dieser Begriffe vgl. Kommentar des Bundesamts für Justiz zur VDSG vom 14. Juni 2011, Ziff. 6.1.2; CHRISTA STAMM-PFISTER, in: Basler Kommentar, Datenschutzgesetz, Öffentlichkeitsgesetz, 3. Aufl. 2014, N. 25 ff. zu Art. 7 DSG; ROSENTHAL, a.a.O., N. 19 zu Art. 7 DSG). Als technische oder organisatorische Schutzmassnahmen in Betracht fallen beispielsweise Zugriffsbeschränkungen, Filter (wie z.B. Firewalls), Datenverschlüsselungen, sichere Systemkonfigurationen, Software zum Schutz vor Computerviren, -angriffen oder -spionage, Schulungen des Personals, Kontrollen und Protokollierungen (vgl. dazu auch Art. 10 VDSG; EGMR-Urteile Zakharov gegen Russland , § 272; Kennedy gegen Grossbritannien , § 165; ROSENTHAL, a.a.O., N. 8 f. zu Art. 7 DSG; BAERISWYL, a.a.O., N. 19 f. zu Art. 7 DSG).