(1) Werden personenbezogene Daten im Auftrag der Polizei durch andere Personen oder Stellen innerhalb oder außerhalb der Polizei verarbeitet, hat die beauftragende Stelle für die Einhaltung der Vorschriften dieses Gesetzes zu sorgen. Die Polizei darf nur solche Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten beauftragen, die mit geeigneten technischen und organisatorischen Maßnahmen sicherstellen, dass die Verarbeitung im Einklang mit den gesetzlichen Anforderungen erfolgt und der Schutz der Rechte der betroffenen Personen gewährleistet wird.

(2) Die Polizei hat dafür Sorge zu tragen, dass der Auftragsverarbeiter und jede dem Auftragsverarbeiter unterstellte Person, die Zugang zu personenbezogenen Daten hat, diese Daten ausschließlich auf Weisung der Polizei verarbeiten dürfen, es sei denn, dass sie nach einer Rechtsvorschrift zur Verarbeitung verpflichtet sind.

(3) Die Verarbeitung durch einen Auftragsverarbeiter hat auf der Grundlage eines Vertrags oder eines sonstigen Rechtsinstruments zu erfolgen, der oder das den Auftragsverarbeiter an die Polizei bindet und der oder das den Gegenstand, die Dauer, die Art und den Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Rechte und Pflichten der Polizei festlegt. Der Vertrag oder das sonstige Rechtsinstrument ist schriftlich oder elektronisch abzufassen und hat insbesondere vorzusehen, dass der Auftragsverarbeiter

1. 1.

   nur auf dokumentierte Weisung der Polizei handelt und die Polizei unverzüglich zu informieren hat, wenn er der Auffassung ist, dass eine Weisung rechtswidrig ist,

2. 2.

   gewährleistet, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet werden, soweit sie keiner angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen,

3. 3.

   die Polizei mit geeigneten Mitteln dabei unterstützt, die Einhaltung der Bestimmungen über die Rechte der betroffenen Person zu gewährleisten,

4. 4.

   alle personenbezogenen Daten nach Abschluss der Erbringung der Verarbeitungsleistungen nach Wahl der Polizei zurückgibt oder löscht und bestehende Kopien vernichtet, wenn nicht nach einer Rechtsvorschrift eine Verpflichtung zur Speicherung der Daten besteht,

5. 5.

   die gemäß § 73 erforderlichen Protokolle erstellt und diese sowie alle sonstigen erforderlichen Informationen der Polizei zum Nachweis der Einhaltung ihrer Pflichten zur Verfügung stellt,

6. 6.

   Überprüfungen, die von der Polizei oder einem anderen von ihr beauftragten Prüfer oder von der Aufsichtsbehörde für den Datenschutz durchgeführt werden, ermöglicht und dazu beiträgt,

7. 7.

   alle gemäß § 78 erforderlichen Maßnahmen ergreift,

8. 8.

   unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen die Polizei bei der Einhaltung ihrer Pflichten aus diesem Gesetz unterstützt,

9. 9.

   eine Verletzung des Schutzes personenbezogener Daten unverzüglich der Polizei meldet,

10. 10.

    auf Anfrage mit der Aufsichtsbehörde für den Datenschutz bei der Erfüllung ihrer Aufgaben zusammenarbeitet und

11. 11.

    schriftlich oder elektronisch ein Verzeichnis aller Kategorien von Verarbeitungen führt, die er im Auftrag der Polizei durchführt und dieses Verzeichnis auf Anforderung der Aufsichtsbehörde für den Datenschutz zur Verfügung stellt. Das Verzeichnis hat zumindest die Angaben nach § 81 Absatz 1 Nummern 1, 2, 8 und 12 zu enthalten.

(4) Die Polizei hat den Auftragsverarbeiter zu verpflichten, ohne vorherige schriftliche Genehmigung der Polizei keine weiteren Auftragsverarbeiter hinzuzuziehen.