(1)
Werden personenbezogene Daten im Auftrag durch andere Personen oder Stellen verarbeitet, hat die jeweilige Polizeibehörde (Auftragsgeberin) für die Einhaltung der Vorschriften dieses Gesetzes und anderer Vorschriften über den Schutz personenbezogener Daten zu sorgen. Die Rechte der betroffenen Person auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Schadensersatz sind in diesem Fall gegenüber der Auftragsgeberin geltend zu machen.
(2)
Die Auftragsgeberin darf nur solche Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten beauftragen, die mit geeigneten technischen und organisatorischen Maßnahmen sicherstellen, dass die Verarbeitung im Einklang mit den gesetzlichen Anforderungen erfolgt und der Schutz der Rechte der betroffenen Person gewährleistet wird.
(3)
Auftragsverarbeiter dürfen ohne vorherige schriftliche oder elektronische Genehmigung der Auftragsgeberin keine weiteren Auftragsverarbeiter hinzuziehen. Wurde dem Auftragsverarbeiter eine allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter erteilt, hat der Auftragsverarbeiter die Auftragsgeberin über jede beabsichtigte Hinzuziehung oder Ersetzung zu informieren. In diesem Fall kann die Hinzuziehung oder Ersetzung untersagt werden.
(4)
Zieht ein Auftragsverarbeiter einen weiteren Auftragsverarbeiter hinzu, so hat er diesem dieselben Verpflichtungen aus dem Vertrag oder Rechtsinstrument nach Absatz 5 aufzuerlegen, die auch für ihn gelten, soweit diese Pflichten für den weiteren Auftragsverarbeiter nicht schon aufgrund anderer Vorschriften verbindlich sind. Erfüllt ein weiterer Auftragsverarbeiter diese Verpflichtungen nicht, so haftet der ihn beauftragende Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des weiteren Auftragsverarbeiters.
(5)
Die Verarbeitung durch einen Auftragsverarbeiter hat auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments zu erfolgen, der oder das den Auftragsverarbeiter an die Auftragsgeberin bindet und der oder das den Gegenstand, die Dauer, die Art und den Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Rechte und Pflichten der Auftragsgeberin festlegt. Der Vertrag oder das andere Rechtsinstrument haben insbesondere vorzusehen, dass der Auftragsverarbeiter
1.
nur auf dokumentierte Weisung der Auftragsgeberin handelt; ist der Auftragsverarbeiter der Auffassung, dass eine Weisung rechtswidrig ist, hat er die Auftragsgeberin unverzüglich zu informieren,
2.
gewährleistet, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet werden, soweit sie keiner angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen,
3.
die Auftragsgeberin mit geeigneten Mitteln dabei unterstützt, die Einhaltung der Bestimmungen über die Rechte der betroffenen Person zu gewährleisten,
4.
alle personenbezogenen Daten nach Abschluss der Erbringung der Verarbeitungsleistungen nach Wahl der Auftragsgeberin zurückgibt oder löscht und bestehende Kopien vernichtet, wenn nicht nach einer Rechtsvorschrift eine Verpflichtung zur Speicherung der Daten besteht,
5.
der Auftragsgeberin alle erforderlichen Informationen, insbesondere die gemäß § 27 Absatz 1 erstellten Protokolldaten, zum Nachweis der Einhaltung seiner Pflichten zur Verfügung stellt,
6.
Überprüfungen, die von der Auftragsgeberin oder einer oder einem von dieser beauftragten Prüferin oder Prüfer durchgeführt werden, ermöglicht und dazu beiträgt,
7.
die in den Absätzen 3 und 4 aufgeführten Bedingungen für die Inanspruchnahme der Dienste eines weiteren Auftragsverarbeiters einhält,
8.
alle nach § 53 erforderlichen Maßnahmen ergreift und
9.
unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen die Auftragsgeberin bei der Einhaltung der in den §§ 55, 58 und 61 genannten Pflichten unterstützt.
(6)
Der Vertrag nach Absatz 5 ist schriftlich oder elektronisch abzufassen.
(7)
Ein Auftragsverarbeiter, der die Zwecke und Mittel der Verarbeitung unter Verstoß gegen diese Vorschrift bestimmt, gilt in Bezug auf diese Verarbeitung als Verantwortlicher im Sinne des § 2 Absatz 8.
(8)
Sofern die Vorschriften dieses Gesetzes auf den Auftragsverarbeiter keine Anwendung finden, ist vertraglich sicherzustellen, dass er sich der Kontrolle der oder des Landesbeauftragten für Datenschutz unterwirft und die Vorschriften dieses Gesetzes befolgt. Die Auftragsgeberin hat die Landesbeauftragte oder den Landesbeauftragten für Datenschutz über die Beauftragung zu unterrichten. Der Gerichtsstand muss in der Bundesrepublik Deutschland belegen sein. Die Beauftragung eines in einem Drittstaat im Sinne des § 49 Absatz 1 Satz 1 ansässigen Auftragsverarbeiters ist nicht zulässig.