1 Das Bearbeiten von Personendaten kann durch Vereinbarung oder Gesetz Dritten übertragen werden, wenn:

1. die Daten nur so bearbeitet werden, wie der Auftraggeber selbst es tun dürfte; und
2. keine gesetzliche oder vertragliche Geheimhaltungspflicht es verbietet.

2 Der Auftraggeber muss sich insbesondere vergewissern, dass der Dritte die Datensicherheit gewährleistet.

3 Dritte können dieselben Rechtfertigungsgründe geltend machen wie der Auftraggeber.