§ 46k SOG M-V – Auftragsverarbeitung

(1) Erfolgt die Verarbeitung personenbezogener Daten im Auftrag durch andere Personen oder Stellen, bleibt die beauftragende Stelle verantwortliche Stelle und hat für die Einhaltung der Vorschriften dieses Gesetzes und anderer Vorschriften über den Datenschutz zu sorgen. Die Rechte der betroffenen Personen auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Schadensersatz sind in diesem Fall gegenüber der verantwortlichen Stelle geltend zu machen.

(2) Die verantwortliche Stelle hat den Auftragsverarbeiter insbesondere unter Berücksichtigung der Art der zu verarbeitenden Daten sorgfältig auszuwählen. Der Auftragsverarbeiter muss mit geeigneten technischen und organisatorischen Maßnahmen sicherstellen können, dass die Verarbeitung im Einklang mit den gesetzlichen Anforderungen erfolgt und der Schutz der Rechte der betroffenen Personen gewährleistet wird. Die Einhaltung genehmigter Verhaltensregeln gemäß Artikel 40 der Verordnung (EU) 2016/679 oder eines genehmigten Zertifizierungsverfahrens gemäß Artikel 42 der Verordnung (EU) 2016/679 durch einen Auftragsverarbeiter kann als Umstand zur Begründung für dessen Geeignetheit im Sinne des Satzes 2 dienen.

(3) Auftragsverarbeiter dürfen ohne vorherige schriftliche Genehmigung der verantwortlichen Stelle keine weiteren Auftragsverarbeiter hinzuziehen. Hat die verantwortliche Stelle dem Auftragsverarbeiter eine allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter erteilt, hat der Auftragsverarbeiter die verantwortliche Stelle über jede beabsichtigte Hinzuziehung oder Ersetzung zu informieren. Die verantwortliche Stelle kann in diesem Fall die Hinzuziehung oder Ersetzung untersagen.

(4) Zieht ein Auftragsverarbeiter einen weiteren Auftragsverarbeiter hinzu, so hat er diesem dieselben Verpflichtungen aus seinem Vertrag mit der verantwortlichen Stelle nach Absatz 5 aufzuerlegen, die auch für ihn gelten, soweit diese Pflichten für den weiteren Auftragsverarbeiter nicht schon aufgrund anderer Vorschriften verbindlich sind. Absatz 2 gilt entsprechend. Erfüllt ein weiterer Auftragsverarbeiter diese Verpflichtungen nicht, so haftet der ihn beauftragende Auftragsverarbeiter gegenüber der verantwortlichen Stelle für die Einhaltung der Pflichten des weiteren Auftragsverarbeiters.

(5) Die Auftragsverarbeitung ist in einem Vertrag oder einer anderen verbindlichen Regelung auszugestalten, der oder die den Gegenstand, die Dauer, die Art und den Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Rechte und Pflichten der verantwortlichen Stelle festlegt. Der Vertrag oder die andere Regelung haben insbesondere vorzusehen, dass der Auftragsverarbeiter

1. 1.

   nur auf dokumentierte Weisung der verantwortlichen Stelle handelt; ist der Auftragsverarbeiter der Ansicht, dass eine Weisung des Auftraggebers gegen eine Vorschrift über den Datenschutz verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen;

2. 2.

   gewährleistet, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet werden, soweit sie keiner angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;

3. 3.

   die verantwortliche Stelle mit geeigneten Mitteln dabei unterstützt, die Einhaltung der Bestimmungen über die Rechte der betroffenen Person zu gewährleisten;

4. 4.

   alle personenbezogenen Daten nach Abschluss der Erbringung der Verarbeitungsleistungen nach Wahl der verantwortlichen Stelle zurückgibt oder löscht und bestehende Kopien vernichtet, wenn nicht nach einer Rechtsvorschrift eine Verpflichtung zur Speicherung der Daten besteht;

5. 5.

   der verantwortlichen Stelle alle erforderlichen Informationen, insbesondere die gemäß den §§ 46d bis 46f erstellten Dokumentationen und Protokolle, zum Nachweis der Einhaltung seiner Pflichten zur Verfügung stellt;

6. 6.

   Überprüfungen durch die verantwortliche Stelle, eine von dieser beauftragten Prüferin oder einen von dieser beauftragten Prüfer oder die Landesbeauftragte oder den Landesbeauftragten für den Datenschutz ermöglicht und diese unterstützt;

7. 7.

   die in den Absätzen 3 und 4 aufgeführten Bedingungen für die Inanspruchnahme der Dienste eines weiteren Auftragsverarbeiters einhält;

8. 8.

   alle gemäß § 46i erforderlichen Maßnahmen ergreift und

9. 9.

   unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen die verantwortliche Stelle bei der Einhaltung der in den §§ 45b, 46c, 46i, 48c und 48d genannten Pflichten unterstützt.

(6) Der Vertrag im Sinne des Absatzes 5 bedarf der Schriftform; § 3a des Landesverwaltungsverfahrensgesetzes gilt entsprechend. Die oder der Landesbeauftragte für den Datenschutz ist über die Beauftragung zu informieren.

(7) Ein Auftragsverarbeiter, der die Zwecke und Mittel der Verarbeitung unter Verstoß gegen diese Vorschrift bestimmt, gilt in Bezug auf diese Verarbeitung als verantwortliche Stelle.