(1) Automatisierte Verfahren zur Verarbeitung personenbezogener Daten dürfen unter Beachtung des § 36 Absatz 1 bis 4 nur eingeführt werden, wenn dies unter Berücksichtigung der schutzwürdigen Interessen der betroffenen Personen und der Aufgaben der beteiligten Stellen angemessen ist.

(2) Ein automatisiertes Verfahren nach Absatz 1 kann auch in Form eines Verfahrens,

1. 1.

   das die Übermittlung personenbezogener Daten durch Abruf ermöglicht (Abrufverfahren),

2. 2.

   bei dem mehrere verantwortliche Stellen gemeinsam die Verarbeitung personenbezogener Daten ermöglichen (Verbundverfahren) oder

3. 3.

   das aus mindestens zwei eigenständigen automatisierten Teilverfahren mit jeweils eigenen verantwortlichen Stellen besteht (gemeinsames Verfahren),

eingerichtet werden. Abrufverfahren können insbesondere zwischen Polizeidienststellen, zwischen Ordnungsbehörden sowie zwischen Ordnungsbehörden und der Polizei vereinbart werden; der Abruf durch andere als die genannten Stellen ist nur aufgrund besonderer Rechtsvorschriften zulässig. Der Empfänger trägt die Verantwortung für die Rechtmäßigkeit des Abrufs. Einen Datenverbund, der eine automatisierte Datenübermittlung zwischen Polizeidienststellen des Landes und Polizeidienststellen des Bundes und der Länder ermöglicht und zur Erfüllung polizeilicher Aufgaben, die überörtliche Bedeutung haben, erforderlich ist, darf nur durch das Ministerium für Inneres, Bau und Digitalisierung als oberste Landesbehörde vereinbart werden.

(3) Werden in automatisierten Verfahren die Zwecke und die Mittel der Verarbeitung von zwei oder mehr verantwortlichen Stellen gemeinsam festgelegt, gelten sie als gemeinsam verantwortliche Stellen. Gemeinsam verantwortliche Stellen haben ihre jeweiligen Aufgaben und datenschutzrechtlichen Verantwortlichkeiten in transparenter Form in einer Vereinbarung festzulegen, soweit diese nicht bereits in Rechtsvorschriften festgelegt sind. Aus der Vereinbarung muss insbesondere hervorgehen, wer welchen allgemeinen Informationspflichten gemäß § 46 nachzukommen hat und wie und gegenüber wem betroffene Personen ihre Rechte wahrnehmen können. In der Vereinbarung ist eine Anlaufstelle für die betroffenen Personen anzugeben. Eine entsprechende Vereinbarung hindert die betroffene Person nicht, ihre Rechte gegenüber jeder der gemeinsam verantwortlichen Stellen geltend zu machen. Soweit Anliegen nicht bei der Anlaufstelle eingehen, sind diese ihr zuzuleiten. Betrifft die Vereinbarung die Verarbeitung von Daten außerhalb des Anwendungsbereichs der Richtlinie (EU) 2016/680, ist der wesentliche Inhalt der Vereinbarung den betroffenen Personen öffentlich zur Verfügung zu stellen. Wesentlich sind dabei nur solche Teile der Vereinbarung, die die betroffenen Personen zur Wahrnehmung ihrer Rechte benötigen und deren Kenntnis die Aufgabenwahrnehmung der verantwortlichen Stellen nicht wesentlich erschweren.

(4) Die verantwortliche Stelle ist verpflichtet, für jedes von ihr eingesetzte automatisierte Verfahren, bei dem personenbezogene Daten verarbeitet werden, in einer Verfahrensbeschreibung festzulegen:

1. 1.

   die Bezeichnung des Verfahrens und der verarbeitenden Stelle,

2. 2.

   den Zweck und die Rechtsgrundlage der Verarbeitung,

3. 3.

   die Kategorien der personenbezogenen Daten,

4. 4.

   die Kategorien der Betroffenen,

5. 5.

   Prüffristen nach § 45a oder Speicherungsdauer,

6. 6.

   die Kategorien der Empfänger, denen die Daten übermittelt werden,

7. 7.

   geplante Datenübermittlungen an Staaten und Stellen nach § 39d Absatz 1, einschließlich deren Bezeichnung,

8. 8.

   Angaben nach § 45b Absatz 4,

9. 9.

   eine Beschreibung der technischen und organisatorischen Maßnahmen nach den §§ 46d bis 46i und

10. 10.

    besondere Regelungen über die Verarbeitung von Daten, die nach dem 2. Unterabschnitt (§§ 27 bis 35) erhoben wurden, insbesondere zum Verhältnis von Speicherinhalt und Abrufberechtigung.

Die Verfahrensbeschreibung ist elektronisch zu führen und laufend auf dem neuesten Stand zu halten.

(5) Vor dem erstmaligen Einsatz eines Verfahrens nach Absatz 1 oder dessen wesentlicher Änderung ist die oder der Landesbeauftragte für den Datenschutz zu beteiligen.

(6) Die Verfahrensbeschreibung ist in das Verzeichnis der Verarbeitungstätigkeiten der verantwortlichen Stelle (§ 45c) aufzunehmen.

(7) Das Ministerium für Inneres, Bau und Digitalisierung regelt das Nähere durch Verwaltungsvorschrift.