Hat die Datenschutzkommission gegen die Rechtmäßigkeit einer Ermittlung, Verarbeitung, Benützung oder Übermittlung von Daten von oder für Rechtsträger nach § 4 oder § 5 Bedenken, so hat sie diese Bedenken samt Begründung und einer Empfehlung über die Herstellung des rechtmäßigen Zustandes dem für den Auftrag zur betreffenden Verarbeitung zuständigen obersten Verwaltungsorgan mitzuteilen. Dieses Organ hat innerhalb einer angemessenen, jedoch zwölf Wochen nicht überschreitenden Frist entweder diesen Empfehlungen zu entsprechen und dies der Datenschutzkommission mitzuteilen oder schriftlich zu begründen, warum den Empfehlungen nicht entsprochen wurde.