(1) Die Datenverarbeitung muss so organisiert sein, dass bei der Verarbeitung, der Kenntnisnahme im Rahmen der Aufgabenerfüllung und der Einsichtnahme die Trennung der Daten nach den jeweils verfolgten Zwecken und nach unterschiedlichen betroffenen Personen möglich ist.
(2) Die Anstalt bestellt eine behördliche IT-Sicherheitsbeauftragte oder einen behördlichen IT-Sicherheitsbeauftragten.