(1)
Die Erteilung eines Auftrags zur Verarbeitung von Personalaktendaten einschließlich der Inanspruchnahme eines weiteren Auftragsverarbeiters im Sinne des Artikels 28 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1; L 314 vom 22.11.2016, S. 72; L 127 vom 23.5.2018, S. 2) in der jeweils geltenden Fassung ist zulässig,
1.
soweit die Verarbeitung erforderlich ist für die überwiegend automatisierte Erledigung von Aufgaben und
2.
wenn die in den Artikeln 28 und 29 der Verordnung (EU) 2016/679 genannten Voraussetzungen vorliegen.
Der Verantwortliche hat die Einhaltung der beamten- und datenschutzrechtlichen Vorschriften durch den Auftragsverarbeiter regelmäßig zu kontrollieren.
(2)
Die Erteilung des Auftrags einschließlich der Erteilung eines Unterauftrags bedarf der vorherigen Zustimmung der obersten Dienstbehörde.
(3)
Eine nichtöffentliche Stelle darf nur beauftragt werden, wenn
1.
beim Verantwortlichen anderenfalls Störungen im Geschäftsablauf auftreten können oder der Auftragsverarbeiter die übertragenen Aufgaben erheblich wirtschaftlicher erledigen kann und
2.
die beim Auftragsverarbeiter mit der Datenverarbeitung beauftragten Beschäftigten besonders auf den Schutz der Personalaktendaten verpflichtet sind.