Citation: BGE 144 I 126 E. 11.2

bzw. Ziff. 14.2), das ohnehin für Datenbearbeitungen durch private Personen oder Bundesorgane gilt (Art. 2 Abs. 1 DSG). Nach dessen Art. 7 müssen Personendaten durch angemessene technische und organisatorische Massnahmen gegen unbefugtes Bearbeiten geschützt werden, wobei der Bundesrat nähere Bestimmungen über die Mindestanforderungen an die Datensicherheit erlässt. Gemäss Art. 20 VDSG treffen die verantwortlichen Bundesorgane die nach den Art. 8-10 VDSG erforderlichen technischen und organisatorischen Massnahmen zum Schutz der Persönlichkeit und der Grundrechte der Personen, über die Daten bearbeitet werden (Satz 1). Diese Bestimmung gilt nach den zutreffenden und unbestritten gebliebenen Ausführungen der Vorinstanz auch für die Fernmeldedienstanbieterinnen, zumal sie bei der Speicherung und Aufbewahrung von Randdaten des Fernmeldeverkehrs mit öffentlichen Aufgaben des Bundes betraut worden sind (Art. 3 lit. h DSG; vgl. E. 12.7.3 des angefochtenen Entscheids). Wer Personendaten bearbeitet bzw. ein Datenkommunikationsnetz betreibt, hat nach Art. 8 Abs. 1 VDSG für die Vertraulichkeit, Verfügbarkeit und Integrität der Daten zu BGE 144 I 126 S. 149 sorgen, um einen angemessenen Datenschutz zu gewährleisten. Die Systeme müssen dabei insbesondere gegen unbefugte oder zufällige Vernichtung (lit. a), zufälligen Verlust (lit. b), technische Fehler (lit. c), Fälschungen, Diebstahl oder widerrechtliche Verwendung (lit.