(1)
Die Justizvollzugsbehörden dürfen personenbezogene Daten durch andere Personen oder Stellen im Auftrag verarbeiten lassen. Dies gilt auch für Test- und Freigabeverfahren, Prüfungs- und Wartungsarbeiten sowie vergleichbare Hilfstätigkeiten einschließlich der Fernwartung.
(2)
In den Fällen des Absatzes 1 bleiben die Justizvollzugsbehörden für die Einhaltung der Bestimmungen dieses Gesetzes und anderer Vorschriften über den Datenschutz verantwortlich. Die Rechte der betroffenen Person auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Schadensersatz sind in diesem Fall gegenüber den Justizvollzugsbehörden geltend zu machen.
(3)
Die Justizvollzugsbehörden dürfen nur solche Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten beauftragen, die mit geeigneten technischen und organisatorischen Maßnahmen sicherstellen, dass die Verarbeitung im Einklang mit den gesetzlichen Anforderungen erfolgt und der Schutz der Rechte der betroffenen Person gewährleistet wird.
(4)
Auftragsverarbeiter dürfen weitere Auftragsverarbeiter ohne vorherige schriftliche Genehmigung der Justizvollzugsbehörden nicht in Anspruch nehmen. Vor jeder beabsichtigten Änderung in Bezug auf die Hinzuziehung oder die Ersetzung anderer Auftragsverarbeiter sind die Justizvollzugsbehörden zu unterrichten.
(5)
Zieht ein Auftragsverarbeiter einen weiteren Auftragsverarbeiter hinzu, so legt er diesem dieselben Verpflichtungen aus seinem Vertrag mit den Justizvollzugsbehörden nach Absatz 6 auf, die auch für ihn gelten, soweit diese Pflichten für den weiteren Auftragsverarbeiter nicht schon aufgrund anderer Vorschriften verbindlich sind. Erfüllt ein weiterer Auftragsverarbeiter diese Verpflichtungen nicht, so haftet auch der ihn beauftragende Auftragsverarbeiter gegenüber den Justizvollzugsbehörden für die Einhaltung der Pflichten des weiteren Auftragsverarbeiters.
(6)
Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines schriftlichen Vertrags oder eines anderen Rechtsinstruments, der oder das den Auftragsverarbeiter an die Justizvollzugsbehörden bindet und den Gegenstand, die Dauer, die Art und den Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Rechte und Pflichten der Justizvollzugsbehörden festlegt. Der Vertrag oder das andere Rechtsinstrument enthalten insbesondere, dass der Auftragsverarbeiter
1.
nur auf dokumentierte Weisung der Justizvollzugsbehörden handelt; ist der Auftragsverarbeiter der Auffassung, dass eine Weisung rechtswidrig ist, hat er die Justizvollzugsbehörde, welche die Weisung erteilt hat, unverzüglich zu informieren,
2.
gewährleistet, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet werden, soweit sie keiner angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen,
3.
die Justizvollzugsbehörden mit geeigneten Mitteln dabei unterstützt, die Einhaltung der Bestimmungen über die Rechte der betroffenen Person zu gewährleisten,
4.
alle personenbezogenen Daten nach Abschluss der Erbringung der Verarbeitungsleistungen nach Wahl der Justizvollzugsbehörden zurückgibt oder löscht und bestehende Kopien vernichtet, soweit nicht nach einer Rechtsvorschrift eine Verpflichtung zur Speicherung der Daten besteht,
5.
den Justizvollzugsbehörden alle erforderlichen Informationen, insbesondere die nach § 43 erstellten Protokolle, zum Nachweis der Einhaltung seiner Pflichten zur Verfügung stellt,
6.
Überprüfungen, die von den Justizvollzugsbehörden oder einem von diesen hierzu Beauftragten durchgeführt werden, ermöglicht und dazu beiträgt,
7.
die in den Absätzen 4 und 5 genannten Bedingungen für die Inanspruchnahme der Dienste eines weiteren Auftragsverarbeiters einhält,
8.
alle nach § 41 erforderlichen Maßnahmen ergreift und
9.
unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen die Justizvollzugsbehörden bei der Einhaltung der in den §§ 41, 42 und 65 Abs. 1 Nr. 1 und 5 genannten Pflichten unterstützt.
(7)
Ein Auftragsverarbeiter, der die Zwecke und Mittel der Verarbeitung unter Verstoß gegen die Bestimmungen der Absätze 4 bis 6 bestimmt, gilt in Bezug auf diese Verarbeitung als Verantwortlicher.
(8)
§ 19 gilt entsprechend.