(1) Erfolgt eine Verarbeitung im Auftrag einer oder eines Verantwortlichen, so arbeitet diese oder dieser nur mit Auftragsverarbeitern, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen dieser Verordnung erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet.
(2) Die Auftragsverarbeiterin oder der Auftragsverarbeiter nimmt keine weitere Auftragsverarbeiterin oder keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung der oder des Verantwortlichen in Anspruch. Im Fall einer allgemeinen schriftlichen Genehmigung informiert die Auftragsverarbeiterin oder der Auftragsverarbeiter die oder den Verantwortlichen immer über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung anderer Auftragsverarbeiterinnen oder Auftragsverarbeiter, wodurch die oder der Verantwortliche die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben.
(3) Die Verarbeitung durch eine Auftragsverarbeiterin oder einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments nach dem kirchlichen Recht, dem Recht der Europäischen Union oder dem Recht ihrer Mitgliedstaaten, der
bzw. das die Auftragsverarbeiterin oder den Auftragsverarbeiter in Bezug auf die oder den Verantwortlichen
bindet und in dem
a) Gegenstand der Verarbeitung
b) Dauer der Verarbeitung,
c) Art und Zweck der Verarbeitung,
d) die Art der personenbezogenen Daten,
e) die Kategorien betroffener Personen und
f) die Pflichten und Rechte der oder des Verantwortlichen festgelegt sind.
(4) Dieser Vertrag bzw. dieses andere Rechtsinstrument sieht insbesondere vor, dass die Auftragsverarbeiterin oder der Auftragsverarbeiter
a) die personenbezogenen Daten nur auf dokumentierte Weisung der oder des Verantwortlichen – auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation – verarbeitet, sofern er nicht durch das kirchliche Recht, das Recht der Europäischen Union oder das Recht ihrer Mitgliedstaaten, dem die Auftragsverarbeiterin oder der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist; in einem solchen Fall teilt die Auftragsverarbeiterin oder der Auftragsverarbeiter der oder dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen kirchlichen Interesses verbietet;
b) gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;
c) alle gemäß § 26 erforderlichen Maßnahmen ergreift;
d) die in den Absätzen 2 und 5 genannten Bedingungen für die Inanspruchnahme der Dienste eines weiteren Auftragsverarbeiters einhält;
e) angesichts der Art der Verarbeitung die Verantwortliche oder den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei unterstützt, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in den §§ 15 bis 25 genannten Rechte der betroffenen Person nachzukommen;
f) unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen den Verantwortlichen bei der Einhaltung der in den §§ 26, 33 bis 35 genannten Pflichten unterstützt;
g) nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten nach Wahl der oder des Verantwortlichen entweder löscht oder zurückgibt, sofern nicht nach dem kirchlichen Recht oder dem Recht der Europäischen Union oder dem Recht ihrer Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht;
h) der oder dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in diesem Paragraphen niedergelegten Pflichten zur Verfügung stellt und Überprüfungen – einschließlich Inspektionen –, die von der oder dem Verantwortlichen oder einem anderen von dieser oder diesem beauftragten prüfenden Person durchgeführt werden, ermöglicht und dazu beiträgt. Die Auftragsverarbeiterin oder der Auftragsverarbeiter informiert die oder den Verantwortlichen unverzüglich, falls sie oder er der Auffassung ist, dass eine Weisung gegen diese Verordnung oder gegen andere kirchliche Datenschutzbestimmungen oder Datenschutzbestimmungen der Europäischen Union oder ihrer Mitgliedstaaten verstößt.
(5) Nimmt die Auftragsverarbeiterin oder der Auftragsverarbeiter die Dienste einer weiteren Auftragsverarbeiterin oder eines weiteren Auftragsverarbeiters in Anspruch, um bestimmte Verarbeitungstätigkeiten im Namen der oder des Verantwortlichen auszuführen, so werden dieser weiteren Auftragsverarbeiterin oder diesem weiteren Auftragsverarbeiter im Wege eines Vertrags oder eines anderen Rechtsinstruments nach dem kirchlichen Recht oder dem Recht der Union oder dem Recht des betreffenden Mitgliedstaats der Europäischen
Union dieselben Datenschutzpflichten auferlegt, die in dem Vertrag oder anderen Rechtsinstrument zwischen der oder dem Verantwortlichen und der Auftragsverarbeiterin oder dem Auftragsverarbeiter gemäß den Absätzen 3 und 4 festgelegt sind, wobei insbesondere hinreichende Garantien dafür geboten werden müssen, dass die geeigneten technischen und organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung entsprechend den Anforderungen dieser Verordnung erfolgt. Kommt die weitere Auftragsverarbeiterin oder der weitere Auftragsverarbeiter ihren oder seinen Datenschutzpflichten nicht nach, so haftet die erste Auftragsverarbeiterin oder der erste Auftragsverarbeiter gegenüber der oder dem Verantwortlichen für die Einhaltung der Pflichten jener anderen Auftragsverarbeiterin
oder jenes anderen Auftragsverarbeiters.
(6) Die Einhaltung nach europäischem Recht genehmigter Verhaltensregeln oder eines nach europäischen Recht genehmigten Zertifizierungsverfahrens durch eine Auftragsverarbeiterin oder einen Auftragsverarbeiter kann als Faktor herangezogen werden, um hinreichende Garantien im Sinne der Absätze 1 und 5 nachzuweisen.
(7) Unbeschadet eines individuellen Vertrags zwischen der oder dem Verantwortlichen und der Auftragsverarbeiterin oder dem Auftragsverarbeiter kann der Vertrag oder das andere Rechtsinstrument im Sinne der Absätze 3, 4 und 5 ganz oder teilweise auf den in den Absatz 8 genannten Standardvertragsklauseln beruhen, auch wenn diese Bestandteil einer der oder dem Verantwortlichen oder der Auftragsverarbeiterin oder dem Auftragsverarbeiter erteilten Zertifizierung sind.
(8) Die Datenschutzaufsicht kann Standardvertragsklauseln zur Regelung der in den Absätzen 3 bis 5 genannten Fragen festlegen.
(9) Der Vertrag oder das andere Rechtsinstrument im Sinne der Absätze 3 bis 5 ist schriftlich abzufassen, was auch in einem elektronischen Format erfolgen kann. Maßgebend sind die Formvorschriften der §§ 126 ff. BGB.
(10) Eine Auftragsverarbeiterin oder ein Auftragsverarbeiter, die oder der unter Verstoß gegen diese Verordnung die Zwecke und Mittel der Verarbeitung bestimmt, gilt in Bezug auf diese Verarbeitung als Verantwortlicher.
(11) Die Auftragsverarbeiterin oder der Auftragsverarbeiter darf die Daten nur innerhalb der Mitgliedstaaten der Europäischen Union oder des Europäischen Wirtschaftsraums verarbeiten. Abweichend von Satz 1 ist die Verarbeitung in Drittstaaten zulässig, wenn ein Angemessenheitsbeschluss der Europäischen Kommission gemäß § 40 Absatz 1 vorliegt oder wenn die Datenschutzaufsicht selbst festgestellt hat, dass dort ein angemessenes Datenschutzniveau besteht.
(12) Die Absätze 1 bis 11 gelten entsprechend, wenn die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen durch andere Stellen im Auftrag vorgenommen wird und dabei ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann.
