(1) Das RDZ handelt bei der Wahrnehmung seiner Aufgaben für die Vertragspartner in Form der Auftragsdatenverarbeitung. Der Vertragspartner, der eine Maßnahme durch das RDZ vornehmen lässt, ist Auftraggeber. Das RDZ ist Auftragnehmer.

(2) Das RDZ ist an die Vorgaben und Weisungen des Vertragspartners gebunden. Dem RDZ steht bezüglich Anordnung, Durchführung und Löschung keine eigene Entscheidungskompetenz zu. Die jeweiligen landesrechtlichen Regelungen des Gefahrenabwehrrechtes sowie die der Strafprozessordnung bleiben unberührt.

(3) Für die Rechtmäßigkeit der Anordnung und Durchführung der in Artikel 1 Absatz 2 beschriebenen Eingriffe ist der Auftraggeber verantwortlich. Dies gilt insbesondere für die Erhebung und Verarbeitung daraus gewonnener Daten als auch für die Löschung von Erkenntnissen aus dem Kernbereich privater Lebensgestaltung. Der Auftragnehmer hat bei der Durchführung der Maßnahme das für den Auftraggeber geltende Datenschutzrecht anzuwenden.

(4) Die Auftragsdatenverarbeitung setzt den Abschluss bilateraler Rahmenverträge zwischen Auftraggeber und Auftragnehmer voraus. Die Verträge werden jeweils von der Leitung der Landeskriminalämter abgeschlossen.

(5) Einzelheiten zum Datenschutz werden in einem Datenschutzkonzept geregelt. Das Datenschutzkonzept und seine Änderungen beschließen die Mitglieder des Beirates des RDZ mehrheitlich.