(1) Die Erhebung und Verwendung von Personalaktendaten im Auftrag der personalverwaltenden Behörde ist nur zulässig,

1. 1.

   soweit sie erforderlich ist

   1. a)

      für die Bewilligung, Festsetzung oder Zahlbarmachung von Geldleistungen,

   2. b)

      für die automatisierte Erledigung von Aufgaben oder

   3. c)

      zur Durchführung bestimmter ärztlicher Untersuchungen, die für die Erfüllung der Aufgaben des ärztlichen Dienstes erforderlich sind, und

2. 2.

   wenn der Auftraggeber die Einhaltung der beamten- und datenschutzrechtlichen Vorschriften durch den Auftragnehmer regelmäßig kontrolliert.

(2) ¹Die Auftragserteilung bedarf der vorherigen Zustimmung der obersten Dienstbehörde. ²Zu diesem Zweck hat der Auftraggeber der obersten Dienstbehörde rechtzeitig vor der Auftragserteilung schriftlich mitzuteilen:

1. 1.

   den Auftragnehmer, die von diesem getroffenen technischen und organisatorischen Maßnahmen und die ergänzenden Festlegungen nach Absatz 3,

2. 2.

   die Aufgabe, zu deren Erfüllung der Auftragnehmer die Daten erheben oder verwenden soll,

3. 3.

   die Art der Daten, die für den Auftraggeber erhoben oder verwendet werden sollen, und den Kreis der Beschäftigten, auf den sich diese Daten beziehen, sowie

4. 4.

   die beabsichtigte Erteilung von Unteraufträgen durch den Auftragnehmer.

³Ist der Auftragnehmer eine öffentliche Stelle, gelten für ihn die Sätze 1 und 2 mit der Maßgabe entsprechend, dass die Mitteilung an die für diese Stelle zuständige oberste Bundesbehörde zu richten ist.

(3) ¹In dem Auftrag nach § 11 Absatz 2 Satz 2 des Bundesdatenschutzgesetzes ist festzulegen, dass die Kontrollrechte des behördlichen Datenschutzbeauftragten der Stelle auch gegenüber dem Auftragnehmer bestehen. ²Soweit der Auftragnehmer eine nichtöffentliche Stelle ist, ist auch festzulegen, dass der Auftragnehmer eine Kontrolle durch den oder die Bundesbeauftragten für den Datenschutz und die Informationsfreiheit nach den §§ 21 und 24 bis 26 Absatz 1 bis 4 des Bundesdatenschutzgesetzes zu dulden hat.

(4) Eine nichtöffentliche Stelle darf nur beauftragt werden, wenn

1. 1.

   beim Auftraggeber sonst Störungen im Geschäftsablauf auftreten können oder der Auftragnehmer die übertragenen Aufgaben erheblich kostengünstiger erledigen kann und

2. 2.

   die beim Auftragnehmer mit der Datenverarbeitung beauftragten Beschäftigten besonders auf den Schutz der Personalaktendaten verpflichtet sind.

(5) ¹Der Auftragnehmer darf die Daten nur im Rahmen der Weisungen des Auftraggebers erheben oder verwenden. ²Ist er der Ansicht, dass eine Weisung des Auftraggebers gegen dieses Gesetz oder andere Vorschriften über den Datenschutz verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen. ³Der Auftragnehmer darf die Daten nur für die im Auftrag festgelegten Zwecke verwenden und nur für die im Auftrag festgelegte Dauer speichern.

(6) Die Rechte der betroffenen Person nach dem Bundesdatenschutzgesetz sind gegenüber dem Auftraggeber geltend zu machen.

(7) Unteraufträge dürfen nur mit vorheriger Zustimmung des Auftraggebers erteilt werden.