(1) Die zuständigen Behörden eines Mitgliedstaats dürfen personenbezogene Daten nur im Einzelfall an Drittstaaten übermitteln, wobei die Anforderungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des RatesVerordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1). erfüllt sein müssen. Die zuständigen Behörden müssen sicherstellen, dass eine solche Übermittlung für die Zwecke dieser Verordnung erforderlich ist und der Drittstaat die Daten nicht in einen weiteren Drittstaat übermittelt, außer wenn dies ausdrücklich schriftlich genehmigt wurde und die von der zuständigen Behörde des Mitgliedstaats festgelegten Bedingungen erfüllt sind.

(2) Die zuständigen Behörden eines Mitgliedstaats legen die von einer zuständigen Aufsichtsbehörde eines anderen Mitgliedstaats übermittelten personenbezogenen Daten nur dann einer zuständigen Behörde eines Drittstaats offen, wenn sie die ausdrückliche Zustimmung der zuständigen Behörde erhalten hat, von der die Daten stammen, und die Daten gegebenenfalls nur zu den Zwecken offengelegt werden, für die die zuständige Behörde ihre Zustimmung erteilt hat.