(1) Die Erteilung eines Auftrags zur Verarbeitung von Personalaktendaten einschließlich der Inanspruchnahme einer weiteren Auftragsverarbeiterin oder eines weiteren Auftragsverarbeiters im Sinne des Artikels 28 der Verordnung (EU) 2016/679 ist nur zulässig, wenn
- 1.
die dort genannten Voraussetzungen vorliegen und
- 2.
die oberste Dienstbehörde der Auftragserteilung zugestimmt hat.
Die personalverwaltende Behörde hat die Einhaltung der beamten- und datenschutzrechtlichen Vorschriften durch die Auftragsverarbeiterin oder den Auftragsverarbeiter regelmäßig zu kontrollieren.