(1) Automatisierte Verfahren, soweit sie auf oder durch mobile personenbezogene Datenträger ablaufen, dürfen von öffentlichen Stellen nur eingesetzt werden, wenn

1. 1.
   dies durch eine oder aufgrund einer Rechtsvorschrift vorgesehen ist,
2. 2.
   der Betroffene eingewilligt hat oder
3. 3.
   dies zur Kontrolle von zugangs- oder Zugriffsberechtigungen erfolgt, insbesondere in Durchführung technischer und organisatorischer Maßnahmen nach § 6.

(2) In solchen Verfahren dürfen nicht mehr personenbezogene Daten erhoben, verarbeitet oder genutzt werden, als für die nach Absatz 1 genannten Zwecke erforderlich sind.

(3) Die Stelle, die ein Verfahren nach Absatz 1 einsetzt oder ändert, muss den Betroffenen

• über ihre Identität und Anschrift,
• in allgemein verständlicher Form über die Funktionsweise des Datenträgers einschließlich der Art der zu verarbeitenden personenbezogenen Daten,
• darüber, wie er seine Rechte nach den §§ 15 und 16 ausüben kann, und
• über die bei Verlust oder Zerstörung des Datenträgers zu treffenden Maßnahmen

unterrichten, soweit er nicht bereits Kenntnis erlangt hat.

(4) Der Vorgang des Erhebens, Verarbeitens oder Nutzens muss für den Betroffenen erkennbar sein.