(1) Für die Aufnahme von Leistungsanträgen bei dem Versicherungsamt oder der Gemeindebehörde und die Übermittlung der Anträge an den Träger der Rentenversicherung kann ein automatisiertes Verfahren eingerichtet werden, das es dem Versicherungsamt oder der Gemeindebehörde ermöglicht, die für das automatisierte Verfahren erforderlichen Daten der Versicherten, aus der Stammsatzdatei der Datenstelle der Rentenversicherung (§ 150 Abs. 2) und dem Versicherungskonto (§ 149 Abs. 1) abzurufen, wenn die Versicherten oder anderen Leistungsberechtigten ihren Wohnsitz oder gewöhnlichen Aufenthalt, ihren Beschäftigungsort oder Tätigkeitsort im Bezirk des Versicherungsamtes oder in der Gemeinde haben.

(2) Aus der Stammsatzdatei dürfen nur die in § 150 Abs. 2 Nr. 1 bis 4 genannten Daten abgerufen werden. Aus dem Versicherungskonto dürfen nur folgende Daten und die Angabe des aktuell kontoführenden Rentenversicherungsträgers abgerufen werden:

• 1. Datum des letzten Zuzugs aus dem Ausland unter Angabe des Staates,
• 2. Datum der letzten Kontoklärung,
• 3. Anschrift,
• 4. Datum des Eintritts in die Versicherung,
• 5. Lücken im Versicherungsverlauf, an deren Klärung der Versicherte noch nicht mitgewirkt hat,
• 6. Kindererziehungszeiten und Berücksichtigungszeiten,
• 7. Berufsausbildungszeiten,
• 8. Wartezeitauskunft zu der beantragten Rente einschließlich der Wartezeiterfüllung nach § 52,
• 9. die zuständigen Einzugsstellen mit Angabe des jeweiligen Zeitraums.

(3) Die Deutsche Rentenversicherung Bund erstellt im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik ein Sicherheitskonzept für die Einrichtung des automatisierten Verfahrens, das insbesondere die nach den Artikeln 24, 25 und 32 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1; L 314 vom 22.11.2016, S. 72; L 127 vom 23.5.2018, S. 2) in der jeweils geltenden Fassung erforderlichen technischen und organisatorischen Maßnahmen enthalten muss. Wenn sicherheitserhebliche Änderungen am automatisierten Verfahren vorgenommen werden oder das Sicherheitskonzept aus einem sonstigen Grund nicht geeignet ist, die Datensicherheit zu gewährleisten, spätestens jedoch alle vier Jahre, ist das Sicherheitskonzept im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik zu aktualisieren. Zur Herstellung des Einvernehmens prüft das Bundesamt für Sicherheit in der Informationstechnik das Sicherheitskonzept. Einrichtung des Verfahrens und die Anwendung des aktualisierten Sicherheitskonzeptes nach Satz 2 bedürfen der vorherigen Zustimmung der Aufsichtsbehörden der Stellen, die Daten nach Absatz 1 zum automatisierten Abruf bereitstellen. Die Zustimmung ist unter Vorlage des Sicherheitskonzeptes und Beifügung der Erklärung des Bundesamtes für Sicherheit in der Informationstechnik über die Herstellung des Einvernehmens zu beantragen. Die Zustimmung gilt als erteilt, wenn die Aufsichtsbehörde nicht innerhalb einer Frist von drei Monaten nach Vorlage des Antrags eine andere Entscheidung trifft. Die Aufsichtsbehörde kann den Betrieb des Verfahrens untersagen, wenn eine Aktualisierung des Sicherheitskonzeptes nach Satz 2 nicht erfolgt.