(1) Werden personenbezogene Daten im Auftrag der Polizei durch andere Personen oder Stellen verarbeitet, hat die Polizei für die Einhaltung der Vorschriften dieses Gesetzes und anderer Vorschriften über den Datenschutz zu sorgen. Die Rechte der betroffenen Person auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Schadensersatz sind in diesem Fall gegenüber der Polizei geltend zu machen.

(2) Die Polizei darf nur solche Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten beauftragen, die mit geeigneten technischen und organisatorischen Maßnahmen sicherstellen, dass die Verarbeitung im Einklang mit den gesetzlichen Anforderungen erfolgt und der Schutz der Rechte der betroffenen Personen gewährleistet wird.

(3) Auftragsverarbeiter dürfen ohne vorherige schriftliche Genehmigung der Polizei keine weiteren Auftragsverarbeiter hinzuziehen. Hat die Polizei dem Auftragsverarbeiter eine allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter erteilt, hat der Auftragsverarbeiter die Polizei über jede beabsichtigte Hinzuziehung oder Ersetzung zu informieren. Die Polizei kann in diesem Fall die Hinzuziehung oder Ersetzung untersagen.

(4) Zieht ein Auftragsverarbeiter einen weiteren Auftragsverarbeiter hinzu, so hat er diesem dieselben Verpflichtungen aus seinem Vertrag mit der Polizei nach Absatz 5 aufzuerlegen, die auch für ihn gelten, soweit diese Pflichten für den weiteren Auftragsverarbeiter nicht schon aufgrund anderer Vorschriften verbindlich sind. Erfüllt ein weiterer Auftragsverarbeiter diese Verpflichtungen nicht, so haftet der ihn beauftragende Auftragsverarbeiter gegenüber der Polizei für die Einhaltung der Pflichten des weiteren Auftragsverarbeiters.

(5) Die Verarbeitung durch einen Auftragsverarbeiter hat auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments zu erfolgen, der oder das den Auftragsverarbeiter an die Polizei bindet und der oder das den Gegenstand, die Dauer, die Art und den Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Rechte und Pflichten der Polizei festlegt. Der Vertrag oder das andere Rechtsinstrument haben insbesondere vorzusehen, dass der Auftragsverarbeiter

1. 1.

   nur auf dokumentierte Weisung der Polizei handelt; ist der Auftragsverarbeiter der Auffassung, dass eine Weisung rechtswidrig ist, hat er die Polizei unverzüglich zu informieren;

2. 2.

   gewährleistet, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet werden, soweit sie keiner angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;

3. 3.

   die Polizei mit geeigneten Mitteln dabei unterstützt, die Einhaltung der Bestimmungen über die Rechte der betroffenen Person zu gewährleisten;

4. 4.

   alle personenbezogenen Daten nach Abschluss der Erbringung der Verarbeitungsleistungen nach Wahl der Polizei zurückgibt oder löscht und bestehende Kopien vernichtet, wenn nicht nach einer Rechtsvorschrift eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht;

5. 5.

   der Polizei alle erforderlichen Informationen, insbesondere die nach § 81 generierten Protokolle, zum Nachweis der Einhaltung seiner Pflichten zur Verfügung stellt;

6. 6.

   Überprüfungen, die von der Polizei oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, ermöglicht und dazu beiträgt;

7. 7.

   die in den Absätzen 3 und 4 aufgeführten Bedingungen für die Inanspruchnahme der Dienste eines weiteren Auftragsverarbeiters einhält;

8. 8.

   alle nach § 63 erforderlichen Maßnahmen ergreift und

9. 9.

   unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen der Polizei bei der Einhaltung der in den §§ 63 bis 65 sowie 82 und 86 genannten Pflichten unterstützt.

(6) Der Vertrag oder ein anderes Rechtsinstrument im Sinne des Absatzes 5 sind schriftlich oder elektronisch abzufassen. Soweit aufzubewahrende Unterlagen der oder dem Landesbeauftragten für Datenschutz und Informationsfreiheit vorzulegen sind, ist § 147 Absatz 5 Abgabenordnung entsprechend anwendbar.

(7) Ein Auftragsverarbeiter, der unter Verstoß gegen diese Bestimmung die Zwecke und Mittel der Verarbeitung bestimmt, gilt in Bezug auf diese Verarbeitung als verantwortlich im Sinne des Absatzes 1 Satz 2.