(1) Wer nummerngebundene interpersonelle Telekommunikationsdienste oder Dienste, die ganz oder überwiegend in der Übertragung von Signalen bestehen, erbringt und dabei Rufnummern vergibt, hat die nach § 172 Absatz 1, 2 und 4 erhobenen Daten unverzüglich in Kundendateien zu speichern, in die auch Rufnummern und Rufnummernkontingente, die zur weiteren Vermarktung oder sonstigen Nutzung an andere Anbieter von Telekommunikationsdiensten vergeben werden, sowie bei portierten Rufnummern die aktuelle Portierungskennung aufzunehmen sind. Der Verpflichtete kann auch eine andere Stelle nach Maßgabe des Artikels 28 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1; L 314 vom 22.11.2016, S. 72; L 127 vom 23.5.2018, S. 2) beauftragen, die Kundendateien zu führen. Für die Berichtigung und Löschung der in den Kundendateien gespeicherten Daten gilt § 172 Absatz 4 und 6 entsprechend. In Fällen portierter Rufnummern sind die Rufnummer und die zugehörige Portierungskennung erst nach Ablauf des Jahres zu löschen, das dem Zeitpunkt folgt, zu dem die Rufnummer wieder an den Netzbetreiber zurückgegeben wurde, dem sie ursprünglich zugeteilt worden war.

(2) Der Verpflichtete hat zu gewährleisten, dass

1. 1. die Bundesnetzagentur jederzeit Daten aus den Kundendateien automatisiert im Inland abrufen kann,
2. 2. der Abruf von Daten unter Verwendung unvollständiger Abfragedaten oder die Suche mittels einer Ähnlichenfunktion erfolgen kann.

Der Verpflichtete und sein Beauftragter haben durch technische und organisatorische Maßnahmen sicherzustellen, dass ihnen die abgerufenen Daten nicht zur Kenntnis gelangen können.

(3) Die Bundesnetzagentur darf Daten aus den Kundendateien nur abrufen, soweit die Kenntnis der Daten erforderlich ist

1. 1. für die Verfolgung von Ordnungswidrigkeiten oder Verstößen nach diesem Gesetz oder nach dem Gesetz gegen den unlauteren Wettbewerb,
2. 2. für die Erledigung von Auskunftsersuchen der in Absatz 4 genannten Stellen.

Die ersuchende Stelle prüft unverzüglich, inwieweit sie die als Antwort übermittelten Daten benötigt; nicht benötigte Daten löscht sie unverzüglich; dies gilt auch für die Bundesnetzagentur für den Abruf von Daten nach Satz 1 Nummer 1.

(4) Auskünfte aus den Kundendateien nach Absatz 1 werden den folgenden Stellen nach Absatz 7 jederzeit erteilt, soweit die Auskünfte zur Erfüllung ihrer gesetzlichen Aufgaben erforderlich sind und die Ersuchen an die Bundesnetzagentur im automatisierten Auskunftsverfahren vorgelegt werden:

1. 1. den Gerichten und Strafverfolgungsbehörden,
2. 2. den Polizeivollzugsbehörden des Bundes und der Länder für Zwecke der Gefahrenabwehr,
3. 3. dem Zollkriminalamt und den Zollfahndungsämtern für Zwecke eines Strafverfahrens sowie dem Zollkriminalamt zur Vorbereitung und Durchführung von Maßnahmen nach § 72 des Zollfahndungsdienstgesetzes,
4. 4. den Verfassungsschutzbehörden des Bundes und der Länder, dem Militärischen Abschirmdienst, dem Bundesnachrichtendienst,
5. 5. den Notrufabfragestellen nach § 164 sowie der Abfragestelle für die Rufnummer 124 124,
6. 6. der Bundesanstalt für Finanzdienstleistungsaufsicht,
7. 7. den Behörden der Zollverwaltung für die in § 2 Absatz 1 des Schwarzarbeitsbekämpfungsgesetzes genannten Zwecke über zentrale Abfragestellen,
8. 8. den nach Landesrecht für die Verfolgung und Ahndung von Ordnungswidrigkeiten zuständigen Behörden für die in § 2 Absatz 3 des Schwarzarbeitsbekämpfungsgesetzes genannten Zwecke über zentrale Abfragestellen sowie
9. 9. den für die Verfolgung und Ahndung von Ordnungswidrigkeiten nach § 81 Absatz 1 bis 3 des Gesetzes gegen Wettbewerbsbeschränkungen zuständigen Kartellbehörden.

(5) Das Bundesministerium für Digitales und Staatsmodernisierung wird ermächtigt, im Einvernehmen mit dem Bundeskanzleramt, dem Bundesministerium des Innern, dem Bundesministerium der Justiz und für Verbraucherschutz, dem Bundesministerium der Finanzen sowie dem Bundesministerium der Verteidigung eine Rechtsverordnung mit Zustimmung des Bundesrates zu erlassen, in der Folgendes geregelt wird:

1. 1. die wesentlichen Anforderungen an die technischen Verfahren
   1. a) zur Übermittlung der Ersuchen an die Bundesnetzagentur,
   2. b) zur Abfrage der Daten durch die Bundesnetzagentur bei den Verpflichteten und deren Antwort an die Bundesnetzagentur einschließlich der für die Abfrage zu verwendenden Datenarten und
   3. c) zur Übermittlung der Ergebnisse des Abrufs von der Bundesnetzagentur an die ersuchenden Stellen,
2. 2. die zu beachtenden Sicherheitsanforderungen,
3. 3. für Auskünfte und Abrufe mit unvollständigen Abfragedaten und für die Suche mittels einer Ähnlichenfunktion
   1. a) die Mindestanforderungen an den Umfang der einzugebenden Daten zur möglichst genauen Bestimmung der gesuchten Person,
   2. b) die Zeichen, die in Ersuchen verwendet werden dürfen,
   3. c) Anforderungen an den Einsatz sprachwissenschaftlicher Verfahren, die gewährleisten, dass unterschiedliche Schreibweisen eines Personen-, Straßen- oder Ortsnamens sowie Abweichungen, die sich aus der Vertauschung, Auslassung oder Hinzufügung von Namensbestandteilen ergeben, in die Suche und das Suchergebnis einbezogen werden,
   4. d) die zulässige Menge der an die Bundesnetzagentur zu übermittelnden Antwortdatensätze sowie
4. 4. wer abweichend von Absatz 1 Satz 1 aus Gründen der Verhältnismäßigkeit keine Kundendateien für das automatisierte Auskunftsverfahren vorhalten muss; in diesen Fällen gilt § 172 Absatz 1 Satz 4 entsprechend.

Im Übrigen können in der Rechtsverordnung auch Einschränkungen der Abfragemöglichkeit für die in Absatz 4 Nummer 5 bis 9 genannten Stellen auf den für diese Stellen erforderlichen Umfang geregelt werden.

(6) Die technischen Einzelheiten des automatisierten Auskunftsverfahrens legt die Bundesnetzagentur unter Beteiligung der betroffenen Verbände und der berechtigten Stellen in einer Technischen Richtlinie fest, die bei Bedarf an den Stand der Technik anzupassen ist. Die Verpflichteten nach den Absätzen 1 und 2 und die berechtigten Stellen haben die Anforderungen der Technischen Richtlinie spätestens ein Jahr nach deren Inkrafttreten zu erfüllen, es sei denn, in der Technischen Richtlinie ist eine davon abweichende Umsetzungsfrist festgelegt worden. Nach dieser Richtlinie gestaltete mängelfreie technische Einrichtungen müssen im Falle einer Änderung der Technischen Richtlinie spätestens drei Jahre nach deren Inkrafttreten die geänderten Anforderungen erfüllen.

(7) Auf Ersuchen der in Absatz 4 genannten Stellen hat die Bundesnetzagentur die entsprechenden Datensätze aus den Kundendateien nach Absatz 1 abzurufen und als Ergebnis an die ersuchende Stelle zu übermitteln. Sie prüft die Zulässigkeit der Übermittlung nur, soweit hierzu ein besonderer Anlass besteht. Die Verantwortung für die Zulässigkeit der Übermittlung tragen

1. 1. in den Fällen des Absatzes 3 Satz 1 Nummer 1 die Bundesnetzagentur und
2. 2. in den Fällen des Absatzes 3 Satz 1 Nummer 2 die in Absatz 4 genannten Stellen.

(8) Die Bundesnetzagentur protokolliert für Zwecke der Datenschutzkontrolle durch die jeweils zuständige Stelle bei jedem Abruf

1. 1. den Zeitpunkt,
2. 2. die bei der Durchführung des Abrufs verwendeten Daten,
3. 3. die abgerufenen Daten,
4. 4. ein die abrufende Person eindeutig bezeichnendes Datum sowie
5. 5. die ersuchende Stelle, deren Aktenzeichen und ein die ersuchende Person eindeutig bezeichnendes Datum.

Eine Verwendung der Protokolldaten für andere Zwecke ist unzulässig. Die Protokolldaten sind nach einem Jahr zu löschen.

(9) Der Verpflichtete nach den Absätzen 1 und 2 hat alle technischen Vorkehrungen in seinem Verantwortungsbereich auf seine Kosten zu treffen, die für die Erteilung der Auskünfte nach dieser Vorschrift erforderlich sind. Dazu gehören auch die Anschaffung der zur Sicherstellung der Vertraulichkeit und des Schutzes vor unberechtigten Zugriffen erforderlichen Geräte, die Einrichtung eines geeigneten Telekommunikationsanschlusses sowie die laufende Bereitstellung dieser Vorkehrungen nach Maßgaben der Rechtsverordnung nach Absatz 5 und der Technischen Richtlinie nach Absatz 6. Eine Entschädigung für im automatisierten Auskunftsverfahren erteilte Auskünfte wird den Verpflichteten nicht gewährt.