(1) Automatisierte Verfahren sind vor ihrem erstmaligen Einsatz und nach wesentlichen Änderungen hinsichtlich einer wirksamen Umsetzung von technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Datenverarbeitung von dem Verantwortlichen oder einer von ihm beauftragten Person freizugeben. Das Testverfahren ist zu dokumentieren.

(2) Die Landesregierung regelt durch Verordnung die Anforderungen an das Sicherheitskonzept sowie die Freigabe automatisierter Verfahren und weitere Einzelheiten einer ordnungsgemäßen Datenverarbeitung durch die öffentlichen Stellen. Die oder der Landesbeauftragte für Datenschutz ist anzuhören.

(3) Ein automatisiertes Verfahren, das mehreren Verantwortlichen gemeinsam die Verarbeitung personenbezogener Daten (gemeinsames Verfahren) oder die Übermittlung personenbezogener Daten durch Abruf (Abrufverfahren) ermöglicht, darf eingerichtet werden, soweit dies unter Berücksichtigung der schutzwürdigen Interessen der betroffenen Personen und der Aufgaben der beteiligten Stellen angemessen ist.

(4) Für Verfahren nach Absatz 3 kann die zuständige oberste Landesbehörde durch Verordnung Regelungen im Sinne von Artikel 26 Absatz 1 der Verordnung (EU) 2016/679 festlegen und eine zentrale Stelle bestimmen, der die Verantwortung für die Gewährleistung der Ordnungsmäßigkeit des automatisierten Verfahrens übertragen wird.

(5) Absatz 3 gilt nicht für den Abruf aus Datenbeständen, die jedermann ohne oder nach besonderer Zulassung zur Benutzung offen stehen oder deren Veröffentlichung zulässig wäre.