(1) Die Erteilung eines Auftrags zur Verarbeitung von Personalaktendaten einschließlich der Inanspruchnahme einer weiteren Auftragsverarbeiterin oder eines weiteren Auftragsverarbeiters im Sinne des Artikels 28 der Verordnung (EU) 2016/679 ist nur zulässig, wenn 
- 1.
- die dort genannten Voraussetzungen vorliegen und 
- 2.
- die oberste Dienstbehörde der Auftragserteilung zugestimmt hat. 
Die personalverwaltende Behörde hat die Einhaltung der beamten- und datenschutzrechtlichen Vorschriften durch die Auftragsverarbeiterin oder den Auftragsverarbeiter regelmäßig zu kontrollieren.