(1) Der gemäß § 16 benannte Zuständige hat nach Maßgabe des jeweiligen Standes der Technik und der organisatorischen Möglichkeiten den Zugriffsschutz zu personenbezogenen Daten und die erforderlichen Datensicherheitsmaßnahmen zu organisieren und umzusetzen. Er hat insbesondere die Zuständigkeiten und Regeln für die Programmverwaltung für das ZPR oder für die Abfrage aus dem ZPR in seinem Bereich festzulegen sowie die Voraussetzungen für den physischen Zugriff auf die Daten des ZPR in seinem Zuständigkeitsbereich zu schaffen.

(2) Über die getroffenen Datensicherheitsmaßnahmen sind Aufzeichnungen zu führen, die mindestens drei und höchstens sechs Jahre nach Ablauf der Gültigkeit der Datensicherheitsmaßnahmen aufzubewahren sind.