§ 90. (1) Die Pflicht zur Erlassung von Datensicherheitsmaßnahmen im Sinne des § 21 des Datenschutzgesetzes im Zusammenhang mit der Erbringung eines Telekommunikationsdienstes obliegt jedem Betreiber jeweils für jeden von ihm erbrachten Dienst.

(2) Unbeschadet des Abs. 1 hat der Betreiber in jenen Fällen, in denen ein besonderes Risiko der Verletzung der Vertraulichkeit besteht, die Teilnehmer über dieses Risiko und über mögliche Abhilfen einschließlich deren Kosten zu unterrichten.