(1) Automatisierte Verfahren, soweit sie auf oder durch mobile personenbezogene Datenträger ablaufen, dürfen von öffentlichen Stellen nur eingesetzt werden, wenn

1. 1.

   dies durch eine oder aufgrund einer Rechtsvorschrift vorgesehen ist,

2. 2.

   der Betroffene eingewilligt hat,

3. 3.

   dies zur Kontrolle von Zugangs- oder Zugriffsberechtigungen erfolgt, insbesondere in Durchführung technischer und organisatorischer Maßnahmen nach § 6 oder

4. 4.

   dies zum Nachweis erforderlich ist

   1. a)

      über An- und Abwesenheitszeiten,

   2. b)

      über die Inanspruchnahme von Berechtigungen oder Leistungen oder

   3. c)

      über die Eigenschaft der Zugehörigkeit zu einer bestimmten Personengruppe

      und keine Anhaltspunkte bestehen, dass schutzwürdige Interessen der Betroffenen entgegenstehen.

(2) In solchen Verfahren dürfen nicht mehr personenbezogene Daten erhoben, verarbeitet oder genutzt werden, als für die nach Absatz 1 genannten Zwecke erforderlich sind.

(3) Die Stelle, die ein Verfahren nach Absatz 1 einsetzt oder ändert, muss den Betroffenen

1. 1.

   über ihre Identität und Anschrift,

2. 2.

   in allgemein verständlicher Form über die Funktionsweise des Datenträgers einschließlich der Art der zu verarbeitenden personenbezogenen Daten,

3. 3.

   darüber, wie er seine Rechte nach den §§ 15 und 16 ausüben kann, und

4. 4.

   über die bei Verlust oder Zerstörung des Datenträgers zu treffenden Maßnahmen

unterrichten, soweit er nicht bereits Kenntnis erlangt hat.

(4) Der Vorgang des Erhebens, Verarbeitens oder Nutzens muss für den Betroffenen erkennbar sein.