Was für Vorkehrungen müssen getroffen werden?

Öffentliche oder nicht-öffentliche Stellen die Umgang mit personenbezogenen Daten haben, müssen entsprechende technische oder organisatorische Maßnahmen treffen, damit die Schutzinteressen, die durch dieses Gesetz bestimmt sind, eingehalten werden können. (z.B. verschließbare Aktenschränke)

§ Gesetzestext - §9 BDSG

Öffentliche und nicht-öffentliche Stellen, die selbst oder im Auftrag personenbezogene Daten erheben, verarbeiten oder nutzen, haben die technischen und organisatorischen Maßnahmen zu treffen, die erforderlich sind, um die Ausführung der Vorschriften dieses Gesetzes, insbesondere die in der Anlage zu diesem Gesetz genannten Anforderungen, zu gewährleisten. Erforderlich sind Maßnahmen nur, wenn ihr Aufwand in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck steht.