(1) In Beihilfeangelegenheiten ist die Verarbeitung von Personalaktendaten im Auftrag der oder des Verantwortlichen gemäß Artikel 28 der Datenschutz-Grundverordnung zulässig, wenn sie erfolgt

1. 1.

   für die Festsetzung, Anordnung oder Zahlbarmachung von Geldleistungen,

2. 2.

   für die überwiegend automatisierte Erledigung von Aufgaben oder

3. 3.

   zur Verrichtung technischer Hilfstätigkeiten durch überwiegend automatisierte Einrichtungen.

(2) Die oder der Verantwortliche hat die Einhaltung der beamten- und datenschutzrechtlichen Vorschriften durch den Auftragsverarbeiter regelmäßig zu kontrollieren.

(3) Die Auftragserteilung bedarf im staatlichen Bereich der vorherigen Zustimmung des Staatsministeriums der Finanzen. Zu diesem Zweck hat die oder der Verantwortliche dem Staatsministerium der Finanzen rechtzeitig vor der Auftragserteilung mitzuteilen:

1. 1.

   den Auftragsverarbeiter und die von diesem getroffenen technischen und organisatorischen Maßnahmen,

2. 2.

   die Aufgabe, zu deren Erfüllung der Auftragsverarbeiter die Daten verarbeiten soll, sowie

3. 3.

   die Art der Daten, die für die Verantwortlichen erhoben oder verwendet werden sollen, und den Kreis der Beschäftigten, auf den sich diese Daten beziehen.

(4) Eine Auftragserteilung darf im staatlichen Bereich nur an eine öffentliche Stelle erfolgen. Öffentliche Stellen im Sinne des Satzes 1 sind die Behörden des Bundes, eines Landes, einer Gemeinde, eines Gemeindeverbandes und sonstiger der Aufsicht des Bundes oder eines Landes unterstehenden Körperschaften, Anstalten und Stiftungen des öffentlichen Rechts. Abweichend davon ist eine Auftragserteilung im staatlichen Bereich auch an nichtöffentliche Stellen zulässig, wenn sie als unterstützende Dienstleistung im Rahmen der überwiegend automatisierten Erledigung von Beihilfeangelegenheiten zur Realisierung erheblich wirtschaftlicherer Arbeitsabläufe bei der automatisierten Bearbeitung von Teilprozessen in der Beihilfe erforderlich ist. Eine Auftragserteilung an eine nichtöffentliche Stelle setzt voraus, dass die bei ihr zur Verarbeitung von Personalaktendaten befugten Personen nach dem Verpflichtungsgesetz vom 2. März 1974 (BGBl. I S. 469, 547), das durch § 1 Nummer 4 des Gesetzes vom 15. August 1974 (BGBl. I S. 1942) geändert worden ist, in der jeweils geltenden Fassung, zur Sicherstellung des Datenschutzes verpflichtet werden. Eine Auftragserteilung an eine nichtöffentliche Stelle ist nur zulässig, wenn der Auftragnehmer seinen Unternehmenssitz in der Europäischen Union hat und die Datenverarbeitung im Inland stattfindet. Der nichtöffentliche Auftragnehmer hat die Kontrolle der oder des Sächsischen Datenschutzbeauftragten nach Maßgabe der datenschutzrechtlichen Bestimmungen zu dulden. Die Erteilung eines Datenverarbeitungsunterauftrags durch den nichtöffentlichen Auftragnehmer bedarf der Zustimmung des Auftraggebers. In diesem Falle gelten die Sätze 3 bis 6 entsprechend.