(1) Die Verarbeitung von Personalaktendaten im Auftrag der personalverwaltenden Behörde ist nur zulässig,

1. 1.

   soweit die Voraussetzungen der Artikel 28 und 29 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/ EG (Datenschutz-Grundverordnung) vom 27. April 2016 (ABl. EU L 119 vom 4. Mai 2016, S. 1; L 314 vom 22.11.2016, S. 72) vorliegen,

2. 2.

   soweit sie erforderlich ist

   1. a)

      für die Bewilligung, Festsetzung oder Zahlbarmachung von Geldleistungen,

   2. b)

      für die automatisierte Erledigung von Aufgaben,

   3. c)

      für die Verrichtung technischer Hilfstätigkeiten durch automatisierte Einrichtungen oder

   4. d)

      zur Durchführung bestimmter ärztlicher Untersuchungen, die für die Erfüllung der Aufgaben des ärztlichen Dienstes erforderlich sind, und

3. 3.

   wenn der Verantwortliche die Einhaltung der beamten- und datenschutzrechtlichen Vorschriften durch den Auftragsverarbeiter regelmäßig kontrolliert.

(2) Die Auftragserteilung einschließlich aller Unterauftragserteilungen bedarf der vorherigen Zustimmung der obersten Dienstbehörde.

(3) Eine nichtöffentliche Stelle darf nur beauftragt werden, wenn

1. 1.

   beim Verantwortlichen sonst Störungen im Geschäftsablauf auftreten können oder der Auftragsverarbeiter die übertragenen Aufgaben erheblich kostengünstiger erledigen kann,

2. 2.

   der Auftragsverarbeiter sich vertraglich verpflichtet, die Bestimmungen über den Umgang mit Personalaktendaten nach diesem Gesetz einzuhalten und

3. 3.

   die beim Auftragsverarbeiter mit der Datenverarbeitung beauftragten Beschäftigten besonders auf den Schutz der Personalaktendaten verpflichtet sind.