(1) Die Verarbeitung von Personalaktendaten im Auftrag des Verantwortlichen gemäß Artikel 28 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4. Mai 2016, S. 1, ber. ABl. L 314 vom 22. November 2016, S. 72) ist zulässig,

1. 1.

   soweit sie erforderlich ist

   1. a)

      für die überwiegend automatisierte Erledigung von Aufgaben oder

   2. b)

      zur Verrichtung technischer Hilfstätigkeiten durch überwiegend automatisierte Einrichtungen, und

2. 2.

   wenn der Verantwortliche die Einhaltung der beamten- und datenschutzrechtlichen Vorschriften durch den Auftragsverarbeiter regelmäßig kontrolliert.

(2) Die Auftragserteilung einschließlich der Unterauftragserteilung bedarf der vorherigen Zustimmung der obersten Dienstbehörde. Zu diesem Zweck hat der Verantwortliche der obersten Dienstbehörde rechtzeitig vor der Auftragserteilung mitzuteilen:

1. 1.

   den Auftragsverarbeiter, die von diesem getroffenen technischen und organisatorischen Maßnahmen und die ergänzenden Festlegungen nach Artikel 28 der Verordnung (EU) 2016/679,

2. 2.

   die Aufgabe, zu deren Erfüllung der Auftragsverarbeiter die Daten verarbeiten soll,

3. 3.

   die Art der Daten, die für den Verantwortlichen verarbeitet werden sollen, und den Kreis der Beschäftigten, auf den sich diese Daten beziehen, sowie

4. 4.

   die beabsichtigte Erteilung von Unteraufträgen durch den Auftragsverarbeiter.

(3) Eine nichtöffentliche Stelle darf nur beauftragt werden, wenn

1. 1.

   beim Verantwortlichen sonst Störungen im Geschäftsablauf auftreten können oder der Auftragsverarbeiter die übertragenen Aufgaben erheblich wirtschaftlicher erledigen kann und

2. 2.

   die beim Auftragsverarbeiter mit der Datenverarbeitung beauftragten Beschäftigten besonders auf den Schutz der Personalaktendaten verpflichtet sind.