(1) Bei der Verarbeitung personenbezogener Daten in Anwendung dieser Verordnung haben die Organisatoren einer Bürgerinitiative und die zuständigen Behörden des Mitgliedstaats die Richtlinie 95/46/EG und die auf ihrer Grundlage erlassenen einzelstaatlichen Vorschriften einzuhalten.

(2) Für die Zwecke der Verarbeitung personenbezogener Daten gelten die Organisatoren einer Bürgerinitiative und die gemäß Artikel 15 Absatz 2 benannten zuständigen Behörden als für die Verarbeitung personenbezogener Daten Verantwortliche gemäß Artikel 2 Buchstabe d der Richtlinie 95/46/EG.

(3) Die Organisatoren stellen sicher, dass die für eine bestimmte Bürgerinitiative gesammelten personenbezogenen Daten für keinen anderen Zweck als die angegebene Unterstützung für diese Initiative verwendet werden, und vernichten alle im Zusammenhang mit dieser Initiative erhaltenen Unterstützungsbekundungen sowie etwaige Kopien davon spätestens einen Monat nach Einreichung dieser Initiative bei der Kommission gemäß Artikel 9 bzw. 18 Monate nach Registrierung einer geplanten Bürgerinitiative; hierbei gilt das jeweils frühere Datum.

(4) Die zuständige Behörde verwendet die für eine bestimmte Bürgerinitiative erhaltenen personenbezogenen Daten ausschließlich zum Zweck der Überprüfung der Unterstützungsbekundungen gemäß Artikel 8 Absatz 2 und vernichtet alle Unterstützungsbekundungen sowie etwaige Kopien davon spätestens einen Monat nach Ausstellung der im genannten Artikel genannten Bescheinigung.

(5) Unterstützungsbekundungen für eine bestimmte Bürgerinitiative und Kopien derselben dürfen über die in den Absätzen 3 und 4 genannten Fristen hinaus aufbewahrt werden, wenn dies für die Zwecke der rechtlichen oder verwaltungstechnischen Vorgänge im Zusammenhang mit der geplanten Bürgerinitiative notwendig ist. Die Organisatoren und die zuständige Behörde vernichten alle Unterstützungsbekundungen sowie etwaige Kopien derselben spätestens eine Woche nach Abschluss der genannten Verfahren durch eine endgültige Beschlussfassung.

(6) Die Organisatoren ergreifen angemessene technische und organisatorische Maßnahmen, um personenbezogene Daten vor zufälliger oder unrechtmäßiger Zerstörung, zufälligem Verlust, unberechtigter Änderung, unberechtigter Weitergabe oder unberechtigtem Zugang zu schützen, insbesondere wenn im Rahmen der Verarbeitung Daten in einem Netz übertragen werden, und vor jeder anderen Form der unrechtmäßigen Verarbeitung zu schützen.