(1) Die Verarbeitung von Personalaktendaten im Auftrag der personalverwaltenden Behörde ist nur zulässig, soweit sie

1. 1.

   für die Bewilligung, Festsetzung oder Zahlbarmachung von Geldleistungen,

2. 2.

   zur Durchführung bestimmter ärztlicher Untersuchungen, die für die Erfüllung der Aufgaben des ärztlichen Dienstes notwendig sind,

3. 3.

   für die automatisierte Erledigung von Aufgaben oder

4. 4.

   für die Verrichtung technischer Hilfstätigkeiten durch automatisierte Einrichtungen

erforderlich ist, und wenn der Auftraggeber die Einhaltung der beamten- und datenschutzrechtlichen Vorschriften durch den Auftragnehmer regelmäßig kontrolliert.

(2) Die Auftragserteilung bedarf der vorherigen Zustimmung der obersten Dienstbehörde. Zu diesem Zweck hat der Auftraggeber rechtzeitig vor der Auftragserteilung schriftlich mitzuteilen

1. 1.

   den Auftragnehmer, die von diesem getroffenen technischen und organisatorischen Maßnahmen und die ergänzenden Festlegungen nach Absatz 4,

2. 2.

   die Aufgabe, zu deren Erfüllung der Auftragnehmer die Daten verarbeiten soll,

3. 3.

   die Art der Daten, die für den Auftraggeber verarbeitet werden sollen, und den Kreis der Beschäftigten, auf den sich diese Daten beziehen, sowie

4. 4.

   die beabsichtigte Erteilung von Unteraufträgen durch den Auftragnehmer.

Soweit der Auftragnehmer eine nichtöffentliche Stelle ist, ist vorab die Landesbeauftragte oder der Landesbeauftragte für Datenschutz zu unterrichten.

(3) Eine nichtöffentliche Stelle darf nur beauftragt werden, wenn

1. 1.

   beim Auftraggeber sonst Störungen im Geschäftsablauf auftreten können oder der Auftragnehmer die übertragenen Aufgaben erheblich kostengünstiger erledigen kann und

2. 2.

   die beim Auftragnehmer mit der Datenverarbeitung beauftragten Beschäftigten besonders auf den Schutz der Personalaktendaten verpflichtet sind.

(4) In dem Auftrag ist insbesondere schriftlich festzulegen

1. 1.

   der Gegenstand und die Dauer des Auftrags,

2. 2.

   der Umfang, die Art und der Zweck der vorgesehenen Datenverarbeitung, die Art der Daten und der Kreis der Betroffenen,

3. 3.

   die nach § 11 Absatz 2 des Saarländischen Datenschutzgesetzes zu treffenden technischen und organisatorischen Maßnahmen,

4. 4.

   die Berichtigung, Löschung und Sperrung von Daten,

5. 5.

   die von dem Auftragnehmer vorzunehmenden Kontrollen der Datenverarbeitung,

6. 6.

   die etwaige Berechtigung zur Begründung von Unterauftragsverhältnissen,

7. 7.

   die Kontrollrechte des Auftraggebers und die entsprechenden Duldungs- und Mitwirkungspflichten des Auftragnehmers,

8. 8.

   mitzuteilende Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen gegen Vorschriften zum Schutz personenbezogener Daten oder gegen die im Auftrag getroffenen Festlegungen,

9. 9.

   der Umfang der Weisungsbefugnisse, die sich der Auftraggeber gegenüber dem Auftragnehmer vorbehält,

10. 10.

    die Verpflichtung des Auftragnehmers, den Auftraggeber unverzüglich darauf hinzuweisen, wenn er der Ansicht ist, dass eine Weisung des Auftraggebers gegen dieses Gesetz oder andere Vorschriften über den Datenschutz verstößt,

11. 11.

    die Rückgabe überlassener Datenträger und die Löschung beim Auftragnehmer gespeicherter Daten, sobald diese für die Erfüllung des Auftrags nicht mehr benötigt werden, spätestens nach Beendigung des Auftrags.

Soweit der Auftragnehmer eine nichtöffentliche Stelle ist, ist er zudem vertraglich zu verpflichten, die Bestimmungen über den Umgang mit Personalaktendaten nach diesem Gesetz einzuhalten und sich der Kontrolle durch die Landesbeauftragte oder durch den Landesbeauftragten für Datenschutz nach Maßgabe des Saarländischen Datenschutzgesetzes zu unterwerfen.

(5) Der Auftragnehmer darf die Daten nur im Rahmen der Weisungen des Auftraggebers verarbeiten. Ist er der Ansicht, dass eine Weisung des Auftraggebers gegen dieses Gesetz oder andere Vorschriften über den Datenschutz verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen. Der Auftragnehmer darf die Daten nur für die im Auftrag festgelegten Zwecke verwenden und nur für die im Auftrag festgelegte Dauer speichern.

(6) Die Rechte der betroffenen Person nach dem Saarländischen Datenschutzgesetz sind gegenüber dem Auftraggeber geltend zu machen.

(7) Unteraufträge dürfen nur mit vorheriger schriftlicher Zustimmung des Auftraggebers erteilt werden. Der Auftragnehmer hat in diesem Fall vertraglich sicherzustellen, dass die vereinbarten Regelungen zwischen Auftraggeber und Auftragnehmer auch gegenüber dem Unterauftragnehmer gelten.