(1)Werden personenbezogene Daten im Auftrag der Polizei durch andere Personen oder Stellen verarbeitet, hat die Polizei für die Einhaltung der Vorschriften dieses Gesetzes und anderer Vorschriften über den Datenschutz zu sorgen. Die Rechte der betroffenen Person auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Schadensersatz sind in diesem Fall gegenüber der Polizei geltend zu machen.

(2)Die Polizei darf nur solche Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten beauftragen, die mit geeigneten technischen und organisatorischen Maßnahmen sicherstellen, dass die Verarbeitung im Einklang mit den gesetzlichen Anforderungen erfolgt und der Schutz der Rechte der betroffenen Personen gewährleistet wird.

(3)Auftragsverarbeiter dürfen ohne vorherige schriftliche Genehmigung der Polizei keine weiteren Auftragsverarbeiter hinzuziehen. Hat die Polizei dem Auftragsverarbeiter eine allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter erteilt, hat der Auftragsverarbeiter die Polizei über jede beabsichtigte Hinzuziehung oder Ersetzung zu informieren. Die Polizei kann in diesem Fall die Hinzuziehung oder Ersetzung untersagen.

(4)Zieht ein Auftragsverarbeiter einen weiteren Auftragsverarbeiter hinzu, so hat er diesem dieselben Verpflichtungen aus seinem Vertrag mit der Polizei nach Absatz 5 aufzuerlegen, die auch für ihn gelten, soweit diese Pflichten für den weiteren Auftragsverarbeiter nicht schon aufgrund anderer Vorschriften verbindlich sind. Erfüllt ein weiterer Auftragsverarbeiter diese Verpflichtungen nicht, so haftet der ihn beauftragende Auftragsverarbeiter gegenüber der Polizei für die Einhaltung der Pflichten des weiteren Auftragsverarbeiters.

(5)Die Verarbeitung durch einen Auftragsverarbeiter hat auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments zu erfolgen, der oder das den Auftragsverarbeiter an die Polizei bindet und der oder das den Gegenstand, die Dauer, die Art und den Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Rechte und Pflichten der Polizei festlegt. Der Vertrag oder das andere Rechtsinstrument haben insbesondere vorzusehen, dass der Auftragsverarbeiter

(6)Der Vertrag oder ein anderes Rechtsinstrument im Sinne des Absatzes 5 sind schriftlich oder elektronisch abzufassen. Soweit aufzubewahrende Unterlagen der oder dem Landesbeauftragten für Datenschutz und Informationsfreiheit vorzulegen sind, ist § 147 Absatz 5 Abgabenordnung entsprechend anwendbar.

(7)Ein Auftragsverarbeiter, der unter Verstoß gegen diese Bestimmung die Zwecke und Mittel der Verarbeitung bestimmt, gilt in Bezug auf diese Verarbeitung als verantwortlich im Sinne des Absatzes 1 Satz 2.