Entwurf

Bundesgesetz, mit dem das Bundes-Stiftungs- und Fondsgesetz 2015, das Gedenkstättengesetz, das Meldegesetz 1991, das Passgesetz 1992, das Personenstandsgesetz 2013, das Vereinsgesetz 2002, das Waffengesetz 1996, das Zivildienstgesetz, das BFA-Verfahrensgesetz, das Fremdenpolizeigesetz 2005, das Niederlassungs- und Aufenthaltsgesetz, das Grundversorgungsgesetz – Bund 2005, das Grenzkontrollgesetz, das Staatsbürgerschaftsgesetz 1985, das Sicherheitspolizeigesetz, das Polizeiliche Staatsschutzgesetz, das Polizeikooperationsgesetz, das EU-Polizeikooperationsgesetz, das Bundespräsidentenwahlgesetz 1971, das Europäische-Bürgerinitiative-Gesetz, das Europa, Wählerevidenzgesetz, die Europawahlordnung, die Nationalrats-Wahlordnung 1992, das Volksabstimmungsgesetz 1972, das Volksbefragungsgesetz 1989, das Volksbegehrengesetz 2018 und das Wählerevidenzgesetz 2018 geändert werden (Datenschutz-Anpassungsgesetz – Inneres)

Der Nationalrat hat beschlossen:

Inhaltsverzeichnis

Art.	Gegenstand / Bezeichnung
1	Änderung des Bundes-Stiftungs- und Fondsgesetzes 2015
2	Änderung des Gedenkstättengesetzes
3	Änderung des Meldegesetzes 1991
4	Änderung des Passgesetzes 1992
5	Änderung des Personenstandsgesetzes 2013
6	Änderung des Pyrotechnikgesetzes 2010
7	Änderung des Vereinsgesetzes 2002
8	Änderung des Waffengesetzes 1996
9	Änderung des Zivildienstgesetzes 1986
10	Änderung des BFA-Verfahrensgesetzes
11	Änderung des Fremdenpolizeigesetzes 2005
12	Änderung des Niederlassungs- und Aufenthaltsgesetzes
13	Änderung des Grundversorgungsgesetzes – Bund 2005
14	Änderung des Grenzkontrollgesetzes
15	Änderung des Staatsbürgerschaftsgesetzes 1985
16	Änderung des Sicherheitspolizeigesetzes
17	Änderung des Polizeilichen Staatsschutzgesetzes
18	Änderung des Polizeikooperationsgesetzes
19	Änderung des EU-Polizeikooperationsgesetzes
20	Änderung des Bundespräsidentenwahlgesetzes 1971
21	Änderung des Europäischen-Bürgerinitiativen-Gesetzes
22	Änderung des Europa-Wählerevidenzgesetzes
23	Änderung der Europawahlordnung
24	Änderung der Nationalrats-Wahlordnung 1992
25	Änderung des Volksabstimmungsgesetzes 1972
26	Änderung des Volksbefragungsgesetzes 1989
27	Änderung des Volksbegehrengesetzes 2018
28	Änderung des Wählerevidenzgesetzes 2018

Artikel 1

Änderung des Bundes-Stiftungs- und Fondsgesetzes 2015

Das Bundes-Stiftungs- und Fondsgesetz 2015 (BStFG 2015), BGBl. I Nr. 160/2015, zuletzt geändert durch BGBl. I Nr. 120/2016, wird wie folgt geändert:

1. In § 22 Abs. 2a wird das Wort „Dritter“ durch die Wortfolge „dritter Personen“ ersetzt.

2. In § 22 Abs. 3 wird das Wort „verwenden“ durch das Wort „verarbeiten“ ersetzt.

3. In § 28 Abs. 2 wird das Wort „vorzulegen“ durch die Wortfolge „zu übermitteln“ ersetzt.

4. Dem § 32 wird folgender Abs. 4 angefügt:

„(4) § 22 Abs. 2a und 3 sowie § 28 Abs. 2 in der Fassung des Bundesgesetzes BGBl. I Nr. XX/2018 treten mit 25. Mai 2018 in Kraft.“

Artikel 2

Änderung des Gedenkstättengesetzes

Das Gedenkstättengesetz – GStG, BGBl. I Nr. 74/2016, wird wie folgt geändert:

1. In § 14 Abs. 2 wird die Wortfolge „zu Beginn des dritten Quartals“ durch die Wortfolge „sechs Wochen vor Beginn des nächsten Kalenderjahres“ ersetzt.

2. § 29 Abs. 1 lautet:

„(1) Die Bundesanstalt übernimmt im Rahmen der Gesamtrechtsnachfolge (§ 21 Abs. 1) die Funktion als Verantwortliche gemäß Art. 4 Z 7 der Verordnung (EU) Nr. 679/2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 27.04.2016 S. 1, (im Folgenden: DSGVO) für die im Bereich der KZ-Gedenkstätte Mauthausen am Tage vor der Gesamtrechtsnachfolge verarbeiteten Daten.“

3. In § 29 Abs. 2 wird nach dem Wort „Aufgaben“ der Klammerausdruck „(3)“ eingefügt und das Wort „Bearbeitung“ durch das Wort „Verarbeitung“ ersetzt.

4. In § 29 Abs. 3 entfällt die Wortfolge „oder Weitergabe“.

5. Dem § 29 wird folgender Abs. 4 angefügt:

„(4) Protokolldaten über tatsächlich durchgeführte Verarbeitungsvorgänge, wie insbesondere Änderungen, Abfragen und Übermittlungen, sind zwei Jahre lang aufzubewahren.“

6. Dem § 37 wird folgender Abs. 3 angefügt:

„(3) § 14 Abs. 2 sowie § 29 in der Fassung des Bundesgesetzes BGBl. I Nr. XX/2018 treten mit 25. Mai 2018 in Kraft.“

Artikel 3

Änderung des Meldegesetzes 1991

Das Meldegesetz 1991 (MeldeG), BGBl. Nr. 9/1992, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 120/2016, wird wie folgt geändert:

1. Im Inhaltsverzeichnis wird im Eintrag zum 2. Abschnitt das Wort „Verwenden“ durch das Wort „Verarbeiten“ ersetzt.

2. Im Inhaltsverzeichnis lauten die Einträge zu § 14 bis § 16a:

„§ 14	Lokales Melderegister
§ 15	Berichtigung des lokalen Melderegisters
§ 16	Zentrales Melderegister
§ 16a	Zulässigkeit der Verarbeitung der Daten des Zentralen Melderegisters“

3. In § 4 Abs. 4 sowie in § 4a Abs. 2 wird das Wort „Betreibers“ durch die Wortfolge „Bundesministers für Inneres“ ersetzt.

4. In § 4a Abs. 1 idF BGBl. I Nr. 120/2016, § 14 Abs. 1a sowie in § 16 Abs. 7 wird das Wort „Betreiber“ durch das Wort „Auftragsverarbeiter“ in der jeweils grammatikalisch richtigen Form ersetzt.

5. In § 4a Abs. 3 sowie in § 11 Abs. 3 wird jeweils das Wort „zuzuleiten“ durch die Wortfolge „zu übermitteln“ ersetzt.

6. In § 10 Abs. 1 wird die Wortfolge „dessen Form sowie Datensicherheitsmaßnahmen“ durch die Wortfolge „sowie dessen Form“ ersetzt.

7. In der Überschrift zum 2. Abschnitt wird das Wort „Verwenden“ durch das Wort „Verarbeiten“ ersetzt.

8. Die Überschrift zu § 14 lautet:

„Lokales Melderegister“

9. § 14 Abs. 1 erster Satz lautet:

„Die Meldebehörden haben die Meldedaten aller bei ihnen angemeldeten Menschen einschließlich der zugehörigen Abmeldungen zu verarbeiten (lokales Melderegister); sie sind ermächtigt, Daten eines angemeldeten Menschen mit Hinweisen auf Verwaltungsverfahren (Behörde, Aktenzeichen, Datum der Speicherung) zu verknüpfen.“

10. In § 14 Abs. 1a sowie in § 16 Abs. 6 wird jeweils das Wort „überlassen“ durch das Wort „übermitteln“ ersetzt.

11. In § 14 Abs. 4 wird die Wortfolge „evident gehaltenen“ durch das Wort „verarbeiteten“ sowie das Wort „verwendet“ durch das Wort „verarbeitet“ ersetzt.

12. Dem § 14 wird folgender Abs. 5 angefügt:

„(5) Protokolldaten über tatsächlich durchgeführte Verarbeitungsvorgänge, wie insbesondere Änderungen, Abfragen und Übermittlungen, sind zwei Jahre lang aufzubewahren.“

13. Die Überschrift zu § 15 lautet:

„Berichtigung des lokalen Melderegisters“

14. In § 15 Abs. 1a wird die Wortfolge „Einschau halten“ durch die Wortfolge „Einsicht nehmen“ ersetzt.

15. Die Überschrift zu § 16 lautet:

„Zentrales Melderegister“

16. § 16 Abs. 1 und 2 lauten:

„§ 16. (1) Die Meldebehörden sind als gemeinsam Verantwortliche gemäß Art. 4 Z 7 iVm Art. 26 Abs. 1 DSGVO ermächtigt, für die Zwecke der Führung des Zentralen Melderegisters ihre Meldedaten –mit Ausnahme der Angaben zum Religionsbekenntnis – samt allenfalls bestehende Auskunftssperren sowie zugehörige Abmeldungen gemeinsam zu verarbeiten (Zentrales Melderegister). Die Meldebehörden haben dem Bundesminister für Inneres ihre Meldedaten gemäß dem ersten Satz zu übermitteln. Der Hauptwohnsitz eines Menschen oder jener Wohnsitz, an dem dieser Mensch zuletzt mit Hauptwohnsitz gemeldet war, kann abgefragt werden, wenn der Anfragende den Menschen durch Vor- und Familiennamen sowie zumindest ein weiteres Merkmal, wie etwa das bPK für die Verwendung im privaten Bereich (§ 14 des E-Government-Gesetzes – E-GovG, BGBl. I Nr. 10/2004), Geburtsdatum, Geburtsort oder einen bisherigen Wohnsitz, im Hinblick auf alle im ZMR verarbeiteten Gesamtdatensätze eindeutig bestimmen kann. Wird dieses bPK zur Identifizierung des Betroffenen angegeben, so muss der Anfragende auch seine eigene Stammzahl zwecks Überprüfung der Richtigkeit des bPK zur Verfügung stellen.

(2) Die Erfüllung von Informations-, Auskunfts-, Berichtigungs-, Löschungs- und sonstigen Pflichten nach den Bestimmungen der DSGVO gegenüber dem Betroffenen obliegt jedem Verantwortlichen hinsichtlich jener Daten, die im Zusammenhang mit den von ihm geführten Verfahren oder den von ihm gesetzten Maßnahmen verarbeitet werden. Nimmt ein Betroffener unter Nachweis seiner Identität ein Recht nach der DSGVO gegenüber einem gemäß dem ersten Satz unzuständigen Verantwortlichen wahr, ist er an den zuständigen Verantwortlichen zu verweisen.“

17. In § 16 wird nach dem Abs. 2 folgender Abs. 2a eingefügt:

„(2a) Der Bundesminister für Inneres übt die Funktion des Auftragsverarbeiters gemäß Art. 4 Z 8 iVm Art. 28 Abs. 1 DSGVO aus. Er ist in dieser Funktion verpflichtet, die Datenschutzpflichten gemäß Art. 28 Abs. 3 lit. a bis h DSGVO wahrzunehmen.“

18. § 16 Abs. 5 lautet:

„(5) Näheres über die Vorgangsweise bei Verarbeitung der Daten nach Abs. 1 hat der Bundesminister für Inneres durch Verordnung festzulegen.“

19. Dem § 16 wird folgender Abs. 8 angefügt:

„(8) Hinsichtlich der Verarbeitung personenbezogener Daten nach diesem Bundesgesetz besteht kein Widerspruchsrecht gemäß Art. 21 DSGVO.“

20. In der Überschrift zu § 16a wird die Wortfolge „des Verwendens“ durch die Wortfolge „der Verarbeitung“ ersetzt.

21. In § 16a entfällt der Abs. 1.

22. § 16a Abs. 2 erster Satz lautet:

„Der Bundesminister für Inneres hat als Auftragsverarbeiter die Auswählbarkeit der Meldedaten aus der gesamten Menge nach dem Namen der An- und Abgemeldeten vorzusehen.“

23. In § 16a Abs. 3 wird das Zitat „§ 48a des Datenschutzgesetzes 2000 – DSG 2000“ durch das Zitat „§§ 10 sowie 36 ff des Datenschutzgesetzes – DSG“ ersetzt.

24. In § 16a Abs. 4 wird das Zitat „Gerichtskommissärsgesetzes“ durch das Zitat „Gerichtskommissärsgesetzes (GKG), BGBl. Nr. 343/1970,“ ersetzt.

25. In § 16a Abs. 6 lautet der Einleitungsteil:

„Näheres über die Vorgangsweise bei dem in Abs. 4 und 5 vorgesehenen Verarbeiten von Daten, die Voraussetzungen, insbesondere im Hinblick auf Datensicherheitsmaßnahmen, unter denen eine Abfrageberechtigung für Private eingeräumt werden kann, und die Kosten der Eröffnung dieser Berechtigung, sind vom Bundesminister für Inneres durch Verordnung festzulegen, wobei für das Verarbeiten von Daten für Private insbesondere vorzusehen ist, dass seitens des Antragstellers sichergestellt wird, dass“

26. In § 16a Abs. 6 Z 3 wird das Wort „Verwendung“ durch das Wort „Verarbeitung“ ersetzt.

27. In § 16a Abs. 6 Z 5 wird das Wort „Verwendungsvorgänge“ durch das Wort „Verarbeitungsvorgänge“ ersetzt.

28. Dem § 16a wird folgender Abs. 12 angefügt:

„(12) Die Protokollierungsregelungen des § 14 Abs. 5 finden auch auf das Zentrale Melderegister Anwendung.“

29. In § 16b Abs. 2 wird die Wortfolge „zur Verfügung zu stellen“ durch die Wortfolge „zu übermitteln“ ersetzt.

30. § 16b Abs. 3 zweiter Satz lautet:

„Die Daten sind so zu übermitteln, dass sie für den Empfänger pseudonymisierte personenbezogene Daten sind und der Empfänger die Identität des Betroffenen mit rechtlich zulässigen Mitteln nicht bestimmen kann, sofern der Personenbezug für die Durchführung einer statistischen Erhebung nicht unerlässlich ist.“

31. § 16b Abs. 4 lautet:

„(4) Soweit für die Zwecke der §§ 7 f DSG Daten von mehr als einem Verantwortlichen zu übermitteln sind, kommt diese Aufgabe dem Bundesminister für Inneres zu.“

32. Dem§ 16b wird folgender Abs. 5 angefügt:

„(5) Soweit personenbezogene Daten zu wissenschaftlichen oder historischen Forschungszwecken oder statistischen Zwecken verarbeitet werden, kommen dem Betroffenen die Rechte gemäß Art. 15, 16, 18 und 21 DSGVO nicht zu.“

33. Der bisherige Inhalt des § 16c erhält die Absatzbezeichnung „(1)“.

34. In § 16c Abs. 1 wird das Wort „Datenanwendung“ durch das Wort „Datenverarbeitung“ ersetzt.

35. Dem § 16c werden folgende Abs. 2 und 3 angefügt:

„(2) Für sonstige Rechtsträger, soweit diese zur Vollziehung von Gesetzen berufen sind, gilt Abs. 1 nur insoweit, als diesem Rechtsträger ausschließlich Änderungen zu Vornamen, Familiennamen, akademischen Graden sowie zum Hauptwohnsitz übermittelt werden. Am Änderungsdienst als Verantwortliche des privaten Bereichs Teilnehmende haben gemäß § 14 E-GovG ihre Stammzahl im Errechnungsvorgang für das bPK zur Verfügung zu stellen.

(3) Nach Maßgabe der technischen Möglichkeiten ist der Bundesminister für Inneres ermächtigt, die nähere organisatorische und technische Ausgestaltung, die Höhe des Kostenersatzes sowie den Zeitpunkt, ab dem der Änderungsdienst für sonstige Rechtsträger gemäß Abs. 2 zur Verfügung steht, durch Verordnung festzulegen.“

36. In § 17 Abs. 5 wird das Wort „mitzuteilen“ durch die Wortfolge „zu übermitteln“ ersetzt.

37. In § 20 Abs. 1 wird das Wort „benützen“ durch das Wort „verarbeiten“ ersetzt.

38. In § 20 Abs. 3 wird das Wort „Anlaß“ durch das Wort „Anlass“ sowie das Wort „verwenden“ durch das Wort „verarbeiten“ ersetzt.

39. Dem § 23 werden folgende Abs. 18 und 19 angefügt:

„(18) § 4 Abs. 4, § 4a Abs. 1 idF BGBl. I Nr. 120/2016, § 4a Abs. 2 und 3, § 10 Abs. 1, § 11 Abs. 3, die Überschrift zum 2. Abschnitt samt Eintrag im Inhaltsverzeichnis, die Überschrift zu § 14 samt Eintrag im Inhaltsverzeichnis, § 14 Abs. 1, 1a, 4 und 5, die Überschrift zu § 15 samt Eintrag im Inhaltsverzeichnis, § 15 Abs. 1a, die Überschrift zu § 16 samt Eintrag im Inhaltsverzeichnis, § 16 Abs. 1 bis 2a sowie 5 bis 8, die Überschrift zu § 16a samt Eintrag im Inhaltsverzeichnis, § 16a Abs. 2 bis 4, 6 und 12, § 16b Abs. 2 bis 5, § 16c, § 17 Abs. 5, § 20 Abs. 1 und 3 in der Fassung des Bundesgesetzes BGBl. I Nr. XX/2018 treten mit 25. Mai 2018 in Kraft. Gleichzeitig tritt § 16a Abs. 1 außer Kraft.

(19) Die Änderung des § 16c in der Fassung des Bundesgesetzes BGBl. I Nr. 120/2016 tritt mit Ablauf des Tages der Kundmachung außer Kraft.“

Artikel 4

Änderung des Passgesetzes 1992

Das Passgesetz 1992, BGBl. I Nr. 839/1992, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 52/2015, wird wie folgt geändert:

1. Im Inhaltsverzeichnis wird in den Einträgen zu § 22a und § 22b jeweils das Wort „Verwendung“ durch das Wort „Verarbeitung“ ersetzt.

2. Dem § 3 Abs. 5a werden folgende Sätze angefügt:

„Zur Abnahme der Papillarlinienabdrücke dürfen nur geeignete und besonders geschulte Bedienstete, die der Verschwiegenheitspflicht unterliegen, ermächtigt werden. Die Abnahme der Papillarlinienabdrücke hat unter Achtung der Menschenwürde und mit möglichster Schonung der Person zu erfolgen.“

3. In § 3 Abs. 6 wird die Wortfolge „der Daten“ durch die Wortfolge „dieser Daten“, die Wortfolge „weiter zu geben“ durch die Wortfolge „zu übermitteln“ sowie das Wort „überlassenen“ durch das Wort „übermittelten“ ersetzt.

4. In § 3 Abs. 6, 8 und 9, § 17 Abs. 2 sowie in § 22a Abs. 1 wird das Wort „Dienstleister“ durch das Wort „Auftragsverarbeiter“ in der jeweils grammatikalisch richtigen Form ersetzt.

5. In § 3 Abs. 7 wird die Wortfolge „sicher zu stellen“ durch das Wort „sicherzustellen“ ersetzt.

6. In 3 Abs. 8 wird der Verweis „§§ 10 und 11 des Datenschutzgesetzes 2000, BGBl. I Nr. 165/1999,“ durch den Verweis „Verordnung (EU) Nr. 679/2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 27.04.2016 S. 1, (im Folgenden: DSGVO)“ sowie das Zitat „Absatz 5“ durch das Zitat „Abs. 5“ ersetzt.

7. In § 16 Abs. 3 wird das Wort „Papillarlinenabdrücke“ durch das Wort „Papillarlinienabdrücke“ sowie das Wort „weiterzuleiten“ durch die Wortfolge „zu übermitteln“ ersetzt.

8. § 16 Abs. 6 lautet:

„(6) Die Bundesrechenzentrum GmbH hat als Auftragsverarbeiterin bei der Führung von Datenverarbeitungen gemäß § 22a und § 22b gegen Entgelt mitzuwirken. Sie ist in dieser Funktion verpflichtet, die Datenschutzpflichten gemäß Art. 28 Abs. 3 lit. a bis h DSGVO wahrzunehmen.“

9. In § 17 Abs. 2 wird das Wort „Daten“ durch die Wortfolge „personenbezogenen Daten“ ersetzt.

10. In der Überschrift zu § 22a, in der Überschrift zu § 22b sowie in § 22b Abs. 2 letzter Satz wird jeweils das Wort „Verwendung“ durch das Wort „Verarbeitung“ ersetzt.

11. In § 22a Abs. 1 wird das Wort „übermitteln“ durch das Wort „überlassen“ ersetzt.

12. In § 22a Abs. 3 und Abs. 4, § 22b Abs. 3 sowie in § 22d Abs. 2 wird das Wort „verwenden“ durch das Wort „verarbeiten“ in der jeweils grammatikalisch richtigen Form ersetzt.

13. § 22a wird folgender Abs. 6 angefügt:

„(6) Protokolldaten über tatsächlich durchgeführte Verarbeitungsvorgänge, wie insbesondere Änderungen, Abfragen und Übermittlungen sind zwei Jahre lang aufzubewahren.“

14. § 22b Abs. 1 lautet:

„(1) Die Passbehörden sind als gemeinsam Verantwortliche gemäß Art. 4 Z 7 iVm Art. 26 Abs. 1 DSGVO ermächtigt, die für die Wahrnehmung der ihnen nach diesem Bundesgesetz übertragenen Aufgaben erforderlichen personenbezogenen Daten nach § 22a Abs. 1 mit Ausnahme der lit. k sowie ab dem Zeitpunkt der Ausstellung

                a) die Ausstellungsbehörde,

               b) das Ausstellungsdatum,

                c) die Pass- oder Personalausweisnummer,

               d) die Gültigkeitsdauer,

                e) den Geltungsbereich,

                f) das bereichsspezifische Personenkennzeichen (bPK, § 9 E‑Government-Gesetz),

               g) besondere für das Ausstellungsverfahren notwendige Informationen sowie

               h) einen Vermerk über ein laufendes Verfahren nach diesem Bundesgesetz

gemeinsam zu verarbeiten. Zweck dieser Verarbeitung ist es, eine Behörde gemäß Abs. 4 über die erfolgte Ausstellung eines Reisepasses oder Personalausweises oder über ein Verfahren nach diesem Bundesgesetz in Kenntnis zu setzen.“

15. Nach § 22b Abs. 1 werden folgende Abs. 1a und 1b eingefügt:

„(1a) Die Erfüllung von Informations-, Auskunfts-, Berichtigungs-, Löschungs- und sonstigen Pflichten nach den Bestimmungen der DSGVO gegenüber dem Betroffenen obliegt jedem Verantwortlichen hinsichtlich jener Daten, die im Zusammenhang mit den von ihm geführten Verfahren oder den von ihm gesetzten Maßnahmen verarbeitet werden. Nimmt ein Betroffener unter Nachweis seiner Identität ein Recht nach der DSGVO gegenüber einem gemäß dem ersten Satz unzuständigen Verantwortlichen wahr, ist er an den zuständigen Verantwortlichen zu verweisen.

(1b) Der Bundesminister für Inneres übt die Funktion des Auftragsverarbeiters gemäß Art. 4 Z 8 iVm Art. 28 Abs. 1 DSGVO aus. Er ist in dieser Funktion verpflichtet, die Datenschutzpflichten gemäß Art. 28 Abs. 3 lit. a bis h DSGVO wahrzunehmen. In dieser Funktion hat er datenqualitätssichernde Maßnahmen zu setzen, wie insbesondere Hinweise auf eine mögliche Identität zweier ähnlicher Datensätze oder die Schreibweise von Adressen zu geben.“

16. In § 22b Abs. 2 wird die Wortfolge „Versagungs und Entziehungsgründe“ durch die Wortfolge „Versagungs- und Entziehungsgründe“ ersetzt.

17. In § 22b Abs. 3 letzter Satz, § 22b Abs. 4 zweiter Satz, § 22c Abs. 4 sowie in § 22d Abs. 2 wird jeweils vor dem Wort „Daten“ das Wort „personenbezogenen“ eingefügt.

18. Dem § 22b wird folgender Abs. 6 angefügt:

„(6) Hinsichtlich der Verarbeitung personenbezogener Daten nach diesem Bundesgesetz besteht kein Widerspruchsrecht gemäß Art. 21 DSGVO.“

19. In § 22d Abs. 2 werden das Wort „Gemeinschaftsebene“ durch das Wort „Unionsebene“, die Wortfolge „zur Verfügung gestellt“ durch das Wort „übermittelt“ sowie das Wort „innergemeinschaftlichen“ durch das Wort „unionsrechtlichen“ ersetzt.

20. Dem § 25 wird folgender Abs. 17 angefügt:

„(17) § 3 Abs. 5a bis 9, § 16 Abs. 3, 5 und 6, § 17 Abs. 2, Überschrift und Eintrag im Inhaltsverzeichnis zu § 22a, § 22a Abs. 1 sowie Abs. 3, 4 und 6, Überschrift und Eintrag im Inhaltsverzeichnis zu § 22b, § 22b Abs. 1 bis 4 und Abs. 6, § 22c Abs. 4 sowie § 22d Abs. 2 in der Fassung des Bundesgesetzes BGBl. I Nr. XX/2018 treten mit 25. Mai 2018 in Kraft.“

Artikel 5

Änderung des Personenstandsgesetzes 2013

Das Personenstandsgesetz 2013 (PStG 2013), BGBl. I Nr. 16/2013, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 120/2016, wird wie folgt geändert:

1. Im Inhaltsverzeichnis lautet der Eintrag zum 4. Hauptstück sowie zum 1. Abschnitt des 4. Hauptstücks:

„4. HAUPTSTÜCK VERARBEITEN DER PERSONENSTANDSDATEN, PERSONENSTANDSURKUNDEN UND BESTÄTIGUNGEN

1. Abschnitt Verarbeiten der personenbezogenen Daten des ZPR“

2. Im Inhaltsverzeichnis lautet der Eintrag zu § 48:

„§ 48.

Übermittlung im Wege des ZPR“

3. In § 7 Abs. 3 wird die Wortfolge „bekannt gegeben“ durch das Wort „bereitgestellt“ ersetzt.

4. In § 8 wird das Wort „mitzuteilen“ jeweils durch die Wortfolge „zu übermitteln“ ersetzt.

5. In § 9 Abs. 1 sowie in § 28 Abs. 1 wird das Wort „Betreiber“ durch das Wort „Auftragsverarbeiter“ ersetzt.

6. In § 9 Abs. 5, § 46 Abs. 3 erster Satz, § 58 Abs. 1 sowie in § 61 Abs. 2 wird das Wort „Daten“ durch die Wortfolge „personenbezogene Daten“ in der jeweils grammatikalisch richtigen Form ersetzt.

7. In § 9 Abs. 5 sowie in § 28 Abs. 5 wird das Wort „bekanntgegeben“ durch das Wort „bereitgestellt“ ersetzt.

8. In § 9 Abs. 5 wird nach der Wortfolge „in verschlüsselter Form“ die Wortfolge „zu statistischen Zwecken“ eingefügt.

9. In § 9 Abs. 6 wird das Wort „Bekanntgabe“ durch das Wort „Bereitstellung“ ersetzt.

10. In § 11 Abs. 4 wird nach dem Wort „Religionsbekenntnis“ die Wortfolge „von sich aus“ eingefügt.

11. In § 12, § 31 sowie in § 61 Abs. 1 wird das Wort „überlassen“ durch das Wort „übermitteln“ ersetzt.

12. In § 20 Abs. 5 sowie in § 27 Abs. 4 wird jeweils vor der Wortfolge „ein Religionsbekenntnis“ die Wortfolge „von sich aus“ eingefügt.

13. In § 27 Abs. 1 Z 2 wird das Wort „allgemeine“ durch das Wort „allgemeinen“ ersetzt.

14. In § 28 Abs. 5 wird nach dem Wort „können“ die Wortfolge „zu statistischen Zwecken“ eingefügt.

15. In § 41 Abs. 3 sowie in § 61 Abs. 6 wird das Wort „zuzuleiten“ durch die Wortfolge „zu übermitteln“ ersetzt.

16. In § 42 Abs. 3 entfällt die Wortfolge „auf Antrag oder“.

17. In § 43 Abs. 1, § 47 Abs. 1 sowie in § 61 Abs. 5 wird das Wort „verwenden“ durch das Wort „verarbeiten“ ersetzt.

18. § 44 samt Überschrift lautet:

„Zentrales Personenstandsregister (ZPR)

§ 44. (1) Die Personenstandsbehörden sind als gemeinsam Verantwortliche gemäß Art. 4 Z 7 iVm Art. 26 Abs. 1 der Verordnung (EU) Nr. 679/2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 27.04.2016 S. 1, (im Folgenden: DSGVO) ermächtigt, allgemeine und besondere Personenstandsdaten für die Wahrnehmung der ihnen nach diesem Bundesgesetz übertragenen Aufgaben gemeinsam zu verarbeiten (Zentrales Personenstandsregister – ZPR).

(1a) Die Erfüllung von Informations-, Auskunfts-, Berichtigungs-, Löschungs- und sonstigen Pflichten nach den Bestimmungen der DSGVO gegenüber dem Betroffenen obliegt jedem Verantwortlichen hinsichtlich jener Daten, die im Zusammenhang mit den von ihm geführten Verfahren oder den von ihm gesetzten Maßnahmen verarbeitet werden. Nimmt ein Betroffener unter Nachweis seiner Identität ein Recht nach der DSGVO gegenüber einem gemäß dem ersten Satz unzuständigen Verantwortlichen wahr, ist er an den zuständigen Verantwortlichen zu verweisen.

(2) Im zentralen Personenstandsregister können Zeitpunkt und Ort des Todes einer Person abgefragt werden, wenn der Anfragende die Person durch die Namen sowie zumindest ein weiteres Merkmal im Hinblick auf alle im ZPR verarbeiteten Gesamtdatensätze eindeutig bestimmen kann. Wird ein bPK für die Verwendung im privaten Bereich zur Identifizierung des Betroffenen angegeben, so muss der Anfragende auch seine eigene Stammzahl zum Zwecke der Überprüfung der Richtigkeit des bPK zur Verfügung stellen. Die für die Abfrage zu entrichtenden Kosten sind vom Bundesminister für Inneres im Einvernehmen mit dem Bundesminister für Finanzen durch Verordnung festzulegen. Die Abfrage ist von sämtlichen Gebühren und Verwaltungsabgaben befreit.

(3) Der Bundesminister für Inneres übt die Funktion des Auftragsverarbeiters gemäß Art. 4 Z 8 iVm Art. 28 Abs. 1 DSGVO aus. Er ist in dieser Funktion verpflichtet, die Datenschutzpflichten gemäß Art. 28 Abs. 3 lit. a bis h DSGVO wahrzunehmen. In dieser Funktion hat er datenqualitätssichernde Maßnahmen zu setzen, wie insbesondere Hinweise auf eine mögliche Identität zweier ähnlicher Datensätze oder die Schreibweise von Adressen zu geben.

(4) Eine Vereinbarung zur Kostenbeteiligung der anderen Gebietskörperschaften im Ausmaß der zu erwartenden Nutzung durch diese ist zulässig.

(5) Protokolldaten über tatsächlich durchgeführte Verarbeitungsvorgänge, wie insbesondere Änderungen, Abfragen und Übermittlungen, sind zwei Jahre lang aufzubewahren.

(6) Hinsichtlich der Verarbeitung personenbezogener Daten nach diesem Bundesgesetz besteht kein Widerspruchsrecht gemäß Art. 21 DSGVO.“

19. In § 45 Abs. 3 wird die Wortfolge „bekannt geben“ durch das Wort „bereitgestellt“ ersetzt.

20. § 45 Abs. 3 letzter Satz lautet:

„Die Daten sind so zu übermitteln, dass sie für den Empfänger pseudonymisierte Daten sind und der Empfänger die Identität des Betroffenen mit rechtlich zulässigen Mitteln nicht bestimmen kann.“

21. Dem § 45 wird folgender Abs. 4 angefügt:

„(4) Die Protokollierungsregelungen des § 44 Abs. 5 finden auch auf das Lokale Personenstandsregister Anwendung.“

22. In der Überschrift zum 4. Hauptstück wird das Wort „VERWENDEN“ durch das Wort „VERARBEITEN“ ersetzt.

23. In der Überschrift zum 1. Abschnitt des 4. Hauptstückes wird das Wort „Verwenden“ durch das Wort „Verarbeiten“ ersetzt und wird das Wort „Daten“ durch die Wortfolge „personenbezogenen Daten“ ersetzt.

24. § 46 Abs. 1 und Abs. 2 lauten:

„(1) Die Personenstandsbehörden sind berechtigt, Auskünfte aus dem ZPR zu erteilen.

(2) Der Bundesminister für Inneres hat die Auswählbarkeit der Personenstandsdaten aus der gesamten Menge der gespeicherten Daten nach Namen der Eingetragenen vorzusehen.“

25. In § 46 Abs. 3 zweiter Satz wird die Wortfolge „der Sicherheitspolizei und Strafrechtspflege oder soweit dies gesetzlich vorgesehen ist“ durch die Wortfolge „der Sicherheitspolizei, der Strafrechtspflege oder soweit dies gesetzlich vorgesehen ist“ ersetzt.

26. In § 46 Abs. 4 wird das Wort „übergeben“ durch das Wort „übermitteln“ ersetzt.

27. In § 47 Abs. 4 wird nach der Abkürzung „ZPR“ die Wortfolge „gemäß § 44 Abs. 2“ eingefügt.

28. In § 47 Abs. 4 wird das Wort „Verwendung“ durch das Wort „Verarbeitung“ und das Wort „Verwendungsvorgänge“ durch das Wort „Verarbeitungsvorgänge“ ersetzt.

29. In der Überschrift zu § 48 wird die Wortfolge „Zur-Verfügung-Stellen“ durch das Wort „Übermittlung“ ersetzt.

30. In § 48 Abs. 1, 2, 5, 7, 8 und 9 sowie in § 51 Abs. 1 wird die Wortfolge „zur Verfügung zu stellen“ jeweils durch die Wortfolge „zu übermitteln“ ersetzt.

31. In § 48 Abs. 3 wird die Wortfolge „stehen Daten nach Abs. 2 insofern zur Verfügung“ durch die Wortfolge „werden Daten nach Abs. 2 insofern übermittelt“ ersetzt.

32. In § 48 Abs. 3 wird die Wendung „– AlVG“ durch den Klammerausdruck „(AlVG)“ sowie die Wendung „– AuslBG“ durch den Klammerausdruck „(AuslBG)“ ersetzt.

33. In § 48 Abs. 4 lautet:

„(4) Den Sicherheitsbehörden sind Daten zu allen Änderungen von Namen von Personen, die das 14. Lebensjahr vollendet haben, sowie zum Tod einer Person im Wege des Bundesministers für Inneres als Auftragsverarbeiter gemäß § 57 und § 75 des Sicherheitspolizeigesetzes (SPG), BGBl. Nr. 566/1991, zu übermitteln, um diese mit den Daten dieser Datenverarbeitungen automatisiert abzugleichen und im Bedarfsfall für die jeweiligen Verantwortlichen zu aktualisieren.“

34. Nach § 48 Abs. 4 wird folgender Abs. 4a eingefügt:

„(4a) Dem Strafregisteramt der Landespolizeidirektion Wien sind Daten zu allen Änderungen von Namen von Personen, die das 14. Lebensjahr vollendet haben, sowie zum Tod einer Person im Wege des Bundesministers für Inneres als Auftragsverarbeiter gemäß § 1 Abs. 3 des Strafregistergesetzes 1968, BGBl. Nr. 277/1968, zu übermitteln, um diese mit den Daten dieser Datenverarbeitungen automatisiert abzugleichen und im Bedarfsfall für die jeweiligen Verantwortlichen zu aktualisieren.“

35. In § 48 Abs. 9 wird nach der Wendung „Asylgesetzes 2005“ der Klammerausdruck „(AsylG 2005)“, nach der Wendung „Fremdenpolizeigesetzes 2005“ der Klammerausdruck „(FPG)“ sowie nach der Wendung „Niederlassungs- und Aufenthaltsgesetzes“ der Klammerausdruck „(NAG)“ eingefügt.

36. § 48 Abs. 10 entfällt.

37. In § 48 erhalten die Abs. 11 bis 13 die Absatzbezeichnungen „(10)“, „(11)“ und „(12)“ und in den nunmehrigen Abs. 10 und 11 wird die Wortfolge „zur Verfügung gestellt“ durch das Wort „übermittelt“ ersetzt.

38. Der nunmehrige § 48 Abs. 12 lautet:

„(12) Die in den Abs. 1 bis 11 vorgesehene Übermittlung von Daten darf nur erfolgen, wenn und sobald dies für die jeweilige Stelle zur Erfüllung einer gesetzlichen Aufgabe erforderlich ist. In den gemäß Abs. 1, 2, 3, 5, 7, 8, 9, 10 und 11 genannten Fällen erfolgt sie periodisch auf elektronischem Weg in geeigneter Form. Im Übrigen sind Übermittlungen nur zulässig, wenn hierfür eine ausdrückliche gesetzliche Ermächtigung besteht.“

39. In § 49 wird vor der Wortfolge „jenen ordentlichen Gerichten“ die Wortfolge „im Anlassfall“ eingefügt sowie die Wortfolge „zur Verfügung zu stellen“ durch die Wortfolge „zu übermitteln“ ersetzt.

40. § 50 samt Überschrift lautet:

„Änderungsdienst

§ 50. Der Bundesminister für Inneres kann, soweit zulässigerweise eine personenbezogene Datenverarbeitung geführt wird, auf Verlangen die Änderungen dieser Daten gegen Kostenersatz insofern zu übermitteln, als die jeweiligen verschlüsselten bPK der geänderten Datensätze bekannt gegeben werden. Werden bPK für die Verwendung im privaten Bereich bekannt gegeben, können die Daten zum Tod einer Person gegen Kostenersatz übermittelt werden. § 48 bleibt unberührt.“

41. In § 52 Abs. 2 wird die Wendung „– AußStrG“ durch den Klammerausdruck „(AußStrG)“ ersetzt.

42. § 52 Abs. 4 lautet:

„(4) Soweit für die Zwecke der §§ 7 f DSG personenbezogene Daten von mehr als einem Verantwortlichen zu übermitteln sind, kommen diese dem Bundesminister für Inneres als Auftragsverarbeiter zu.“

43. Nach § 52 Abs. 4 wird folgender Abs. 4a eingefügt:

„(4a) Soweit personenbezogene Daten zu wissenschaftlichen oder historischen Forschungszwecken oder statistischen Zwecken verarbeitet werden, kommen dem Betroffenen die Rechte gemäß Art. 15, 16, 18 und 21 DSGVO nicht zu.“

44. In § 52 Abs. 5 Z 3 wird die Wendung „30 Jahren“ durch die Wendung „30 Jahre“ ersetzt.

45. In § 53 Abs. 7 sowie in § 58 Abs. 2 wird das Wort „Betreibers“ durch die Wortfolge „Bundesministers für Inneres“ ersetzt.

46. Dem § 58 Abs. 2 wird folgender Satz angefügt:

„Dies gilt auch für Abfragen gemäß § 44 Abs. 2.“

47. In § 61 Abs. 1 wird das Wort „überlassen“ durch das Wort „übermitteln“ ersetzt.

48. In § 61 Abs. 4 wird nach dem Zitat „BGBl. I Nr. 135/2009“ ein Beistrich eingefügt.

49. In § 61 entfällt der Abs. 7.

50. In § 72 entfällt der Abs. 3.

51. In § 72 erhalten die Abs. 4, 5, 6, 7, 8 und 9 die Absatzbezeichnungen „(3)“, „(4)“, „(5)“, „(6)“, „(7)“ und „(8)“.

52. Dem § 72 wird folgender Abs. 9 angefügt:

„(9) § 7 Abs. 3, § 8, § 9 Abs. 1, 5 und 6, § 11 Abs. 4, § 12, § 20 Abs. 5, § 27 Abs. 1 und 4, § 28 Abs. 1 und 5, § 31, § 41 Abs. 3, § 42 Abs. 3, § 43 Abs. 1, § 44 samt Überschrift, § 45 Abs. 3 und 4, die Überschrift zum 4. Hauptstück samt Eintrag im Inhaltsverzeichnis, die Überschrift zum 1. Abschnitt des 4. Hauptstücks samt Eintrag im Inhaltsverzeichnis, § 46, § 47 Abs. 1 und 4, die Überschrift zu § 48 samt Eintrag im Inhaltsverzeichnis, § 48 Abs. 1 bis 5 sowie 7 bis 12, § 49, § 50 samt Überschrift, § 51 Abs. 1, § 52 Abs. 2, 4 bis 5, § 53 Abs. 7, § 58, § 61 Abs. 1, 2, 4, 5 und 6 sowie § 72 Abs. 3 bis 8 treten mit 25. Mai 2018 in Kraft, gleichzeitig tritt § 61 Abs. 7 außer Kraft.“

Artikel 6

Änderung des Pyrotechnikgesetzes 2010

Das Pyrotechnikgesetz 2010 (PyroTG), BGBl. I Nr. 131/2009, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 163/2015, wird wie folgt geändert:

1. In § 10 Abs. 1 erster Satz, Abs. 3 Z 4 sowie Abs. 4 zweiter Satz wird das Wort „Daten“ durch die Wortfolge „personenbezogene Daten“ in der jeweils grammatikalisch richtigen Form ersetzt.

2. § 10 Abs. 3 Z 1 und 2 lauten:

         „1. die personenbezogenen Daten nur zum festgelegten Zweck, in ihrem Wirkungsbereich und im Einklang mit den Bestimmungen der Verordnung (EU) Nr. 679/2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 27.04.2016 S. 1, (im Folgenden: DSGVO) sowie des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999, zu verarbeiten,

           2. die personenbezogenen Daten vor unberechtigter Verarbeitung zu sichern, insbesondere durch organisatorische und technische Vorkehrungen sicherzustellen, dass der Zutritt zu Räumen, in denen sich eine Zugriffsmöglichkeit auf die übermittelten personenbezogenen Daten befindet, nur von in ihrem Auftrag Tätigen möglich ist,“

3. § 19 Abs. 4 lautet:

„(4) Für die drucktechnische und elektronische Einbringung der Daten gemäß Abs. 2 in den Pyrotechnik-Ausweis bedienen sich die Behörden eines gemeinsamen Auftragsverarbeiters. Der Bundesminister für Inneres ist ermächtigt, für die Behörden nach Maßgabe der Bestimmungen der DSGVO betreffend die Erzeugung der Pyrotechnik-Ausweise eine Vereinbarung mit dem Auftragsverarbeiter abzuschließen. Der Auftragsverarbeiter hat die beim Verarbeitungsvorgang neu entstehenden Daten den Behörden zu übermitteln; diese Daten sowie alle ihm für seine Aufgabe übermittelten Daten hat der Auftragsverarbeiter zu löschen, sobald er diese nicht mehr benötigt, spätestens jedoch nach Ablauf von zwei Monaten nach Versendung des Pyrotechnik-Ausweises. Der Auftragsverarbeiter hat die Versendung des Pyrotechnik-Ausweises entsprechend der Zustellverfügung der Behörde für diese zu veranlassen.“

4. Dem § 45 wird folgender Abs. 7 angefügt:

„(7) § 10 Abs. 1, 3 und 4 sowie § 19 Abs. 4 in der Fassung des Bundesgesetzes BGBl. I Nr. XX/2018 treten mit 25. Mai 2018 in Kraft.“

Artikel 7

Änderung des Vereinsgesetzes 2002

Das Vereinsgesetz 2002 (VerG 2002), BGBl. I Nr. 66/2002, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 22/2015, wird wie folgt geändert:

1. Im Inhaltsverzeichnis lauten die Einträge zum 3. Abschnitt sowie zu § 15:

„3. Abschnitt
Vereinsregister und Datenverarbeitung

              § 15.    Verarbeitung besonderer Kategorien personenbezogener Daten“

2. Im Inhaltsverzeichnis lautet der Eintrag zu § 17:

             „§ 17.    Erteilung von Auskünften aus dem Lokalen Vereinsregister“

3. Im Inhaltsverzeichnis lautet der Eintrag zu § 19:

             „§ 19.    Erteilung von Auskünften aus dem Zentralen Vereinsregister“

4. § 15 samt Überschriften lautet:

„3. Abschnitt

Vereinsregister und Datenverarbeitung

Verarbeitung besonderer Kategorien personenbezogener Daten

§ 15. Personenbezogene Daten gemäß § 16 Abs. 1 dürfen die Vereinsbehörden im Interesse der Offenlegung der für den Rechtsverkehr bedeutsamen Tatsachen sowie im Interesse der Ausschließlichkeit der Vereinsnamen (§ 4 Abs. 1) auch dann verarbeiten, wenn es sich im Hinblick auf den aus seinem Namen erschließbaren Zweck eines Vereins (§ 4 Abs. 1) um besondere Kategorien personenbezogener Daten im Sinne des Art. 9 der Verordnung (EU) Nr. 679/2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 27.04.2016 S. 1, (im Folgenden: DSGVO) handelt.“

5. Der Einleitungssatz zu § 16 Abs. 1 lautet:

„Die Vereinsbehörden haben für die in ihrem örtlichen Wirkungsbereich ansässigen Vereine zur Erfüllung ihrer gesetzlich übertragenen Aufgaben folgende Vereinsdaten in einem Register zu verarbeiten:“

6. In § 16 Abs. 1 Z 3 wird das Zitat „§ 18 Abs. 3“ durch das Zitat „§ 18 Abs. 2“ ersetzt.

7. In § 16 Abs. 4 entfällt die Wortfolge „auf Antrag oder“.

8. In § 16 Abs. 5 wird die Wortfolge „Evidenzen beziehungsweise Datenanwendungen“ durch das Wort „Datenverarbeitungen“, die Wortfolge „In-Kraft-Treten“ durch das Wort „Inkrafttreten“ sowie das Wort „verwenden“ durch das Wort „verarbeiten“ ersetzt.

9. Dem § 16 wird folgender Abs. 6 angefügt:

„(6) Protokolldaten über tatsächlich durchgeführte Verarbeitungsvorgänge, wie insbesondere Änderungen, Abfragen und Übermittlungen, sind zwei Jahre lang aufzubewahren.“

10. Die Überschrift zu § 17 lautet:

„Erteilung von Auskünften aus dem Lokalen Vereinsregister“

11. § 17 Abs. 1 lautet:

„(1) Die Vereinsbehörden haben auf Verlangen aus dem Lokalen Vereinsregister jedermann über die in § 16 Abs. 1 Z 1 bis 7, 10 bis 13 und 16 angeführten Daten eines nach

           1. seiner ZVR-Zahl (§ 18 Abs. 2) oder

           2. seinem Namen oder

           3. Namensbestandteilen, allenfalls ergänzt mit dem Vereinssitz,

eindeutig bestimmbaren Vereins (Einzelabfrage) Auskunft zu erteilen, soweit nicht auf Grund einer Auskunftssperre gegenüber Dritten gemäß Abs. 6 vorzugehen ist.“

12. In § 17 Abs. 2 entfällt die Wortfolge „die Bestimmungen des § 26 DSG 2000 und“.

13. In § 17 Abs. 4 wird die Wortfolge „sensibler Daten“ durch die Wortfolge „besonderer Kategorien personenbezogener Daten“ ersetzt.

14. In § 17 Abs. 8 wird nach dem Wort „einholt“ ein Beistrich eingefügt.

15. § 18 samt Überschrift lautet:

„Zentrales Vereinsregister

§ 18. (1) Die Vereinsbehörden erster Instanz sind als gemeinsam Verantwortliche gemäß Art. 4 Z 7 iVm Art. 26 Abs. 1 DSGVO ermächtigt, die für die Wahrnehmung der ihnen nach diesem Bundesgesetz übertragenen Aufgaben erforderlichen personenbezogenen Daten gemeinsam zu verarbeiten (Zentrales Vereinsregister) Die Vereinsbehörden haben dem Bundesminister für Inneres für die Zwecke der Führung des Zentralen Vereinsregisters ihre Vereinsdaten gemäß § 16 Abs. 1 Z 1 bis 17 im Wege der Datenfernübertragung zu übermitteln.

(1a) Die Erfüllung von Informations-, Auskunfts-, Berichtigungs-, Löschungs- und sonstigen Pflichten nach den Bestimmungen der DSGVO gegenüber dem Betroffenen obliegt jedem Verantwortlichen hinsichtlich jener Daten, die im Zusammenhang mit den von ihm geführten Verfahren oder den von ihm gesetzten Maßnahmen verarbeitet werden. Nimmt ein Betroffener unter Nachweis seiner Identität ein Recht nach der DSGVO gegenüber einem gemäß dem ersten Satz unzuständigen Verantwortlichen wahr, ist er an den zuständigen Verantwortlichen zu verweisen.

(1b) Der Bundesminister für Inneres übt die Funktion des Auftragsverarbeiters gemäß Art. 4 Z 8 iVm Art. 28 Abs. 1 DSGVO aus. Er ist in dieser Funktion verpflichtet, die Datenschutzpflichten gemäß Art. 28 Abs. 3 lit. a bis h DSGVO wahrzunehmen.

(2) Der Bundesminister für Inneres hat zur Sicherung der Unverwechselbarkeit der erfassten Vereine bei Führung des ZVR für die Vereinsbehörden jedem Verein eine fortlaufende Vereinsregisterzahl (ZVR-Zahl) beizugeben, die keine Informationen über den Betroffenen enthält. Die ZVR-Zahl ist der zuständigen Vereinsbehörde zu melden. Die ZVR-Zahl ist von den Vereinen im Rechtsverkehr nach außen zu führen.

(3) Die Protokollierungsregelungen des § 16 Abs. 6 finden auch auf das Zentrale Vereinsregister Anwendung.

(4) Hinsichtlich der Verarbeitung personenbezogener Daten nach diesem Bundesgesetz besteht kein Widerspruchsrecht gemäß Art. 21 DSGVO.“

16. § 19 samt Überschrift lautet:

„Erteilung von Auskünften aus dem Zentralen Vereinsregister

§ 19. (1) Für die Erteilung von Auskünften aus dem Zentralen Vereinsregister gilt § 17 sinngemäß, wobei diese ‑ abweichend von § 9 Abs. 3 ‑ unabhängig vom Sitz eines Vereins von jeder Vereinsbehörde zu erteilen sind.

(2) Der Bundesminister für Inneres ist ermächtigt, Organen von Gebietskörperschaften auf Verlangen sowie Körperschaften öffentlichen Rechts auf deren Antrag eine Abfrage im Zentralen Vereinsregister in der Weise zu eröffnen, dass sie, soweit dies zur Besorgung einer gesetzlich übertragenen Aufgabe erforderlich ist, die dort verarbeiteten Daten ‑ ausgenommen jene nach § 16 Abs. 1 Z 9 und 15 ‑ eines eindeutig nach seiner ZVR-Zahl (§ 18 Abs. 2) oder seinem Namen oder Namensbestandteilen, allenfalls ergänzt mit dem Vereinssitz, bestimmbaren Vereins im Datenfernverkehr ermitteln können.

(3) Unbeschadet der Bestimmungen des Abs. 2 ist der Bundesminister für Inneres ermächtigt, jedermann die gebührenfreie Abfrage der im ZVR verarbeiteten Daten von Vereinen, für die keine Auskunftssperre gemäß § 17 Abs. 4 besteht, im Weg des Datenfernverkehrs zu eröffnen (Online-Einzelabfrage).

(4) Nach Maßgabe der technischen Möglichkeiten können Änderungen im ZVR, die sonst auf Grund von Mitteilungen gemäß § 14 Abs. 2 und 3 vorgenommen werden, durch einen vom Verein der Behörde namhaft gemachten organschaftlichen Vertreter unter Verwendung der Bürgerkarte (E‑GovG, BGBl. I Nr. 10/2004) für die Behörde vorgenommen werden. Auf diese Weise durchgeführte Änderungen sind unverzüglich den lokalen Vereinsregistern zu übermitteln.

(5) Der Österreichischen Nationalbank sind gegen Ersatz der dafür anfallenden Kosten die Daten aus dem Zentralen Vereinsregister zur Erfüllung ihrer gesetzlich oder unionsrechtlich übertragenen Aufgaben nach Maßgabe der technischen Möglichkeiten im Datenfernverkehr zu übermitteln.“

17. § 31 Z 4 lit. e lautet:

              „e) die ZVR-Zahl nicht gemäß § 18 Abs. 2 letzter Satz führt oder“

18. Dem § 33 wird folgender Abs. 14 angefügt:

„(14) Die Überschrift zum 3. Abschnitt samt Eintrag im Inhaltsverzeichnis, § 15 samt Überschrift und Eintrag im Inhaltsverzeichnis, § 16 Abs. 1 sowie 4 bis 6, die Überschrift zu § 17 samt Eintrag im Inhaltsverzeichnis, § 17 Abs. 1, 2, 4 und 8, § 18 samt Überschrift, § 19 samt Überschrift und Eintrag im Inhaltsverzeichnis sowie § 31 Z 4 lit. e in der Fassung des Bundesgesetzes BGBl. I Nr. XX/2018 treten mit 25. Mai 2018 in Kraft.“

Artikel 8

Änderung des Waffengesetzes 1996

Das Waffengesetz 1996 (WaffG), BGBl. I Nr. 12/1997, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 120/2016, wird wie folgt geändert:

1. Im Inhaltsverzeichnis lautet der Eintrag zum 11. Abschnitt:

„11. Abschnitt Verarbeitung personenbezogener Daten im Rahmen der Waffenpolizei“

2. § 21 Abs. 5 und 6 lauten:

„(5) Die Waffenbesitzkarte und der Waffenpass haben Namen, Geburtsdatum und Lichtbild des Antragstellers, die Anzahl der genehmigten Schusswaffen, die Bezeichnung der ausstellenden Behörde, das Datum der Ausstellung, die Unterschrift des Inhabers, ein Feld für behördliche Eintragungen, sowie die Registernummer des Verantwortlichen gemäß Art. 4 Z 7 der Verordnung (EU) Nr. 679/2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 27.04.2016 S. 1, (im Folgenden: DSGVO) zu enthalten und entsprechende Sicherheitsmerkmale aufzuweisen. Die nähere Gestaltung der Waffenbesitzkarte und des Waffenpasses wird durch Verordnung des Bundesministers für Inneres bestimmt.

(6) Für die drucktechnische und elektronische Einbringung der Daten gemäß Abs. 5 in die Waffenbesitzkarte und den Waffenpass bedienen sich die Behörden eines gemeinsamen Auftragsverarbeiters. Der Bundesminister für Inneres ist ermächtigt, für die Behörden nach Maßgabe der Bestimmungen der DSGVO betreffend die Erzeugung von Waffenbesitzkarten und Waffenpässen eine Vereinbarung mit dem Auftragsverarbeiter abzuschließen. Der Auftragsverarbeiter hat die beim Verarbeitungsvorgang neu entstehenden Daten den Behörden zu übermitteln; diese Daten sowie alle ihm für seine Aufgabe übermittelten Daten hat der Auftragsverarbeiter zu löschen, sobald er diese nicht mehr benötigt, spätestens jedoch nach Ablauf von zwei Monaten nach Versendung der Waffenbesitzkarte oder des Waffenpasses. Der Auftragsverarbeiter hat die Versendung der Waffenbesitzkarte oder des Waffenpasses entsprechend der Zustellverfügung der Behörde für diese zu veranlassen.“

3. In § 32 Abs. 2 entfällt die Wortfolge „und Datensicherheitsmaßnahmen“.

4. Die Überschrift zum 11. Abschnitt lautet:

„11. Abschnitt

Verarbeitung personenbezogener Daten im Rahmen der Waffenpolizei“

5. In § 54 Abs. 1 wird das Wort „verwenden“ durch das Wort „verarbeiten“ ersetzt.

6. In § 54 Abs. 1 wird die Wortfolge „nicht unverhältnismäßig“ durch das Wort „verhältnismäßig“ ersetzt.

7. In § 54 Abs. 2 wird das Wort „Dritter“ durch die Wortfolge „dritter Personen“ ersetzt.

8. In § 54 wird nach Abs. 2 folgender Abs. 2a eingefügt:

„(2a) Hinsichtlich der Verarbeitung personenbezogener Daten nach diesem Bundesgesetz besteht kein Widerspruchsrecht gemäß Art. 21 DSGVO.“

9. § 54 Abs. 3 lautet:

„(3) Die Bundesrechenzentrums GmbH hat als Auftragsverarbeiterin bei der Führung von Datenverarbeitungen gemäß § 55 gegen Entgelt mitzuwirken. Sie ist in dieser Funktion verpflichtet, die Datenschutzpflichten gemäß Art. 28 Abs. 3 lit. a bis h DSGVO wahrzunehmen.“

10. § 55 Abs. 1 bis 3 lauten:

„(1) Die Waffenbehörden sind als gemeinsam Verantwortliche gemäß Art. 4 Z 7 iVm Art. 26 Abs. 1 DSGVO ermächtigt, die für die Wahrnehmung der ihnen nach diesem Bundesgesetz übertragenen Aufgaben erforderlichen personenbezogenen Daten zum Betroffenen

           1. Namen,

           2. Geschlecht,

           3. frühere Namen,

           4. Geburtsdatum und -ort,

           5. Wohnanschrift,

           6. Staatsangehörigkeit,

           7. Namen der Eltern,

           8. Aliasdaten,

           9. Daten, die für dessen Berechtigung, Waffen, Munition oder Kriegsmaterial zu erwerben, einzuführen, zu besitzen oder zu führen sowie für die Verwahrung gemäß § 41 maßgeblich sind, wie insbesondere die Begründung, die Rechtfertigung oder den Bedarf und

         10. Waffendaten, insbesondere Art, Kaliber, Marke, Type und Herstellungsnummer der Waffe

ermitteln und im Rahmen einer Zentralen Informationssammlung gemeinsam zu verarbeiten. Personenbezogene Daten dritter Personen dürfen nur verarbeitet werden, wenn bei Fahndungsabfragen deren Auswählbarkeit aus der Gesamtmenge der gespeicherten Daten nicht vorgesehen ist.

(1a) Die Erfüllung von Informations-, Auskunfts-, Berichtigungs-, Löschungs- und sonstigen Pflichten nach den Bestimmungen der DSGVO gegenüber dem Betroffenen obliegt jedem Verantwortlichen hinsichtlich jener Daten, die im Zusammenhang mit den von ihm geführten Verfahren oder den von ihm gesetzten Maßnahmen verarbeitet werden. Nimmt ein Betroffener unter Nachweis seiner Identität ein Recht nach der DSGVO gegenüber einem gemäß dem ersten Satz unzuständigen Verantwortlichen wahr, ist er an den zuständigen Verantwortlichen zu verweisen.

(2) Der Bundesminister für Inneres übt die Funktion des Auftragsverarbeiters gemäß Art. 4 Z 8 iVm Art. 28 Abs. 1 DSGVO aus. Er ist in dieser Funktion verpflichtet, die Datenschutzpflichten gemäß Art. 28 Abs. 3 lit. a bis h DSGVO wahrzunehmen.

(3) Gewerbetreibende, die zum Handel mit nichtmilitärischen Schusswaffen berechtigt und gemäß § 32 ermächtigt sind, Registrierungen für die jeweils zuständige Waffenbehörde im Wege des Datenfernverkehrs vorzunehmen, werden insoweit als Auftragsverarbeiter gemäß Art. 4 Z 8 der DSGVO tätig. Sie sind in dieser Funktion verpflichtet, die Datenschutzpflichten gemäß Art. 28 Abs. 3 lit. a bis h DSGVO wahrzunehmen. Für die Durchführung der Registrierung dürfen ihnen die Daten gemäß Abs. 1 Z 1 bis 7 sowie allenfalls vorhandene Informationen über Waffenverbote übermittelt werden.“

11. In § 55 Abs. 4 entfällt der erste Satz.

12. In § 55 Abs. 4 wird die Wendung „– WG 2001“ durch den Klammerausdruck „(WG 2001)“ ersetzt.

13. In § 55 Abs. 4 wird nach dem Zitat „BGBl. I Nr. 86/2000“ ein Beistrich eingefügt.

14. In § 55 Abs. 5 wird die Wortfolge „evident gehalten“ durch das Wort „verarbeitet“ ersetzt.

15. In § 55 Abs. 5 und 7 wird jeweils das Wort „Auftraggeber“ durch das Wort „Verantwortliche“ ersetzt.

16. In § 55 Abs. 5, 6, 8 und 9 wird vor dem Wort „Daten“ das Wort „personenbezogenen“ in der jeweils grammatikalisch richtigen Form eingefügt.

17. In § 55 Abs. 6 wird das Zitat „§ 26 DSG 2000“ durch das Zitat „Art. 15 DSGVO“ ersetzt.

18. In § 55 Abs. 8 wird die Wortfolge „zur Verfügung gestellt“ durch das Wort „übermittelt“ ersetzt.

19. In § 55 Abs. 9 wird das Zitat „§ 14 Abs. 4 DSG 2000“ durch das Zitat „Abs. 10“ sowie das Wort „habe“ durch das Wort „haben“ ersetzt.

20. Dem § 55 wird folgender Abs. 10 angefügt:

„(10) Protokolldaten über tatsächlich durchgeführte Verarbeitungsvorgänge, wie insbesondere Änderungen, Abfragen und Übermittlungen, sind zwei Jahre lang aufzubewahren.“

21. Dem § 62 wird folgender Abs. 19 angefügt:

„(19) § 21 Abs. 5 und 6, § 32 Abs. 2, die Überschrift zum 11. Abschnitt samt Eintrag im Inhaltsverzeichnis, § 54, § 55 in der Fassung des Bundesgesetzes BGBl. I Nr. XX/2018 treten mit 25. Mai 2018 in Kraft.“

Artikel 9

Änderung des Zivildienstgesetzes 1986

Das Zivildienstgesetz 1986 (ZDG), BGBl. Nr. 679/1986, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 146/2015, wird wie folgt geändert:

1. § 5 Abs. 2 erster und zweiter Satz lauten:

„Die Zivildiensterklärung ist in unmittelbarem Anschluss an das Stellungsverfahren an die Stellungskommission, sonst an das nach dem Hauptwohnsitz des Wehrpflichtigen zuständige Militärkommando schriftlich zu übermitteln oder mündlich zu Protokoll zu geben. Wird eine Zivildiensterklärung innerhalb der Frist des § 1 Abs. 2 an die Zivildienstserviceagentur übermittelt, so gilt dies als rechtzeitige Übermittlung.“

2. In § 5 Abs. 3 wird das Wort „weiterzuleiten“ jeweils durch die Wortfolge „zu übermitteln“ ersetzt.

3. In § 5 Abs. 3 entfällt die Wortfolge „sein Religionsbekenntnis,“ sowie der letzte Satz.

4. In § 5 Abs. 4 wird die Wortfolge „zur Kenntnis zu bringen“ durch die Wortfolge „zu übermitteln“ ersetzt.

5. In § 6 Abs. 4 wird das Wort „zurückzusenden“ durch die Wortfolge „zurück zu übermitteln“ ersetzt.

6. In § 6 Abs. 5 wird das Wort „geleisteten“ durch das Wort „abgeleisteten“ ersetzt.

7. In § 8 entfällt der Abs. 7.

8. In § 21 entfällt der Abs. 5.

9. In § 31 Abs. 3 entfällt die Wortfolge „nach Anhörung des Unabhängigen Beirates für Zivildienstbeschwerdeangelegenheiten“.

10. § 34b Abs. 1 lautet:

„(1) Der Zivildienstpflichtige, der einen außerordentlichen Zivildienst gemäß § 21 Abs. 1 leistet, hat für die Dauer eines solchen Dienstes Anspruch auf Entschädigung oder Fortzahlung der Dienstbezüge, wie er einem Wehrpflichtigen zusteht, der gemäß § 2 Abs. 1 lit. a WG 2001 einen Einsatzpräsenzdienst leistet.“

11. In § 34b entfällt der Abs. 3.

12. Die Überschrift zum Abschnitt IXa lautet:

„Abschnitt IXa

Datenverarbeitung“

13. § 57a Abs. 1 lautet:

„(1) Die Zivildienstserviceagentur darf personenbezogene Daten nur verarbeiten, wenn es zur Vollziehung des Zivildienstgesetzes erforderlich ist. Insbesondere darf sie folgende Daten von Zivildienstwerbern und Zivildienstpflichtigen sowie von Rechtsträgern und Einrichtungen nur verarbeiten, soweit dies zur Wahrnehmung der ihr gesetzlich übertragenen Aufgaben eine wesentliche Voraussetzung bildet:

           1. Identitäts- sowie Erreichbarkeitsdaten,

           2. Daten über die gesundheitliche Eignung,

           3. Daten über besondere Kenntnisse und Fertigkeiten,

           4. das bereichsspezifische Personenkennzeichen (bPK, § 9 E-Government-Gesetz [E-GovG], BGBl. I Nr. 10/2004),

           5. Daten, die für die Ableistung des ordentlichen Zivildienstes erforderlich sind,

           6. Daten für die Abwicklung von Personalangelegenheiten vor oder während der Ableistung des ordentlichen Zivildienstes, wie Versetzung, Nichteinrechnung, Unterbrechung, Entlassung sowie Abwesenheiten (zB aufgrund von Unfall oder Krankheit),

           7. Daten zum Erlöschen der Zivildienstpflicht,

           8. Bezeichnung, Adresse und sonstige Daten zu Rechtsträgern und Einrichtungen,

           9. Daten des Verfahrens zur Feststellung und zum Widerruf der Zivildienstpflicht,

         10. Daten des Verfahrens zur Zuweisung zur Ableistung des ordentlichen Zivildienstes sowie

         11. Daten für die Abwicklung eines Aufschubs- und Befreiungsverfahrens.“

14. In § 57a wird nach Abs. 1 folgender Abs. 1a eingefügt:

„(1a) Eine manuelle Verarbeitung von Daten gemäß Abs. 1 Z 2 ist lediglich für Zwecke der Feststellung der gesundheitlichen Eignung zur Dienstleistung und insoweit zulässig, als dies für die Zivildienstverwaltung unerlässlich ist. Eine automationsunterstützte Verarbeitung von diesen Daten ist jedenfalls unzulässig.“

15. Dem § 57a Abs. 2 wird folgender Satz angefügt:

„Eine Übermittlung von Daten gemäß Abs. 1 Z 2 ist jedenfalls unzulässig.“

16. Im Einleitungsteil zu § 57a Abs. 3 wird das Wort „der“ durch das Wort „dieser“ ersetzt.

17. § 57a Abs. 3 Z 3 lautet:

         „3. die ordentlichen Gerichte, soweit diese im Rahmen von Strafverfahren gemäß §§ 58 und 59 ZDG oder Auskünften in Zusammenhang mit Verfahren gemäß § 6 Abs. 3 ZDG tätig werden, die Verwaltungsgerichte in den Ländern sowie das Bundesverwaltungsgericht, soweit diese im Rahmen einer Beschwerde nach diesem Bundesgesetz tätig werden;“

18. In § 57a Abs. 5 wird die Wortfolge „evident zu halten“ durch die Wortfolge „zu speichern“ ersetzt.

19. Dem § 57a werden folgende Abs. 6 und 7 angefügt:

„(6) Protokolldaten über tatsächlich durchgeführte Verarbeitungsvorgänge, wie insbesondere Änderungen, Abfragen und Übermittlungen, sind zwei Jahre lang aufzubewahren.

(7) Hinsichtlich der Verarbeitung personenbezogener Daten nach diesem Bundesgesetz besteht kein Widerspruchsrecht gemäß Art. 21 DSGVO.“

20. Dem § 76b wird folgender Abs. 12 angefügt:

„(12) Soweit das Religionsbekenntnis vor Inkrafttreten des Bundesgesetzes BGBl. I Nr. XX/2018 automationsunterstützt verarbeitet wurde, ist dieses umgehend zu löschen.“

21. Dem § 76c wird folgender Abs. 35 angefügt:

„(35) § 5 Abs. 2 bis 4, § 6 Abs. 4 und 5, § 31 Abs. 3, § 34b Abs. 1, die Überschrift zu Abschnitt IXa, § 57a Abs. 1 bis 3 und 5 bis 7 und § 76b Abs. 12 in der Fassung des Bundesgesetzes BGBl. I Nr. XX/2017 treten mit 25. Mai 2018 in Kraft. Gleichzeitig treten § 8 Abs. 7, § 21 Abs. 5 und § 34b Abs. 3 außer Kraft.“

Artikel 10

Änderung des BFA‑Verfahrensgesetzes

Das BFA‑Verfahrensgesetz (BFA‑VG), BGBl. I Nr. 87/2012, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 145/2017, wird wie folgt geändert:

1. Im Inhaltsverzeichnis lautet der Eintrag zu § 23:

„§ 23.

Verarbeiten personenbezogener Daten“

2. Im Inhaltsverzeichnis lauten die Einträge zu §§ 26 bis 28:

„§ 26.	Zentrales Fremdenregister
§ 27.	Datenverarbeitung im Rahmen des Zentralen Fremdenregisters
§ 28.	Zentrale Verfahrensdatei“

3. Im Inhaltsverzeichnis lautet der Eintrag zu § 32:

„§ 32.

Zulässigkeit der Verarbeitung der Daten des Zentralen Melderegisters“

4. In § 2 Abs. 2 wird nach dem Zitat „15, 18“ das Zitat „und 24“ eingefügt.

5. In § 13 Abs. 1 entfällt die Wendung „, insbesondere an einer erkennungsdienstlichen Behandlung“.

6. In der Überschrift des § 23 wird das Wort „Verwenden“ durch das Wort „Verarbeiten“, in der Überschrift des § 27 das Wort „Datenverwendung“ durch das Wort „Datenverarbeitung“ und in der Überschrift des § 32 das Wort „Verwendung“ durch das Wort „Verarbeitung“ ersetzt.

7. In § 23 Abs. 1 wird das Wort „verwenden“ durch das Wort „verarbeiten“ ersetzt.

8. In § 23 Abs. 2 wird das Wort „Dritter“ durch die Wendung „dritter Personen“, die Wendung „diesen Dritten“ durch die Wendung „diese dritte Person“ und das Wort „Auftraggeber“ durch das Wort „Verantwortlichen“ ersetzt.

9. In § 23 erhält der bisherige Abs. 3 die Absatzbezeichnung „(6)“ und werden nach Abs. 2 folgende Abs. 3 bis 5 eingefügt:

„(3) Hinsichtlich der Verarbeitung personenbezogener Daten nach diesem Bundesgesetz besteht kein Widerspruchsrecht gemäß Art. 21 DSGVO. Darüber ist der Betroffene in geeigneter Weise zu informieren.

(4) Eine Auskunftserteilung gemäß Art. 15 DSGVO hat zu unterbleiben, soweit dies

           1. zum Schutz der nationalen Sicherheit und Landesverteidigung,

           2. zum Schutz der öffentlichen Sicherheit,

           3. zum Schutz der verfassungsmäßigen Einrichtungen der Republik Österreich,

           4. zum Schutz der Betroffenen oder der Rechte und Freiheiten anderer Personen, oder

           5. aus sonstigen überwiegenden öffentlichen Interessen

notwendig und verhältnismäßig ist.

(5) Im Falle einer Nichterteilung der Auskunft gemäß Abs. 4 hat der Verantwortliche den Betroffenen schriftlich über diese und die dafür maßgeblichen Gründe zu informieren, es sei denn, die Erteilung dieser Information würde den in Abs. 4 genannten Zwecken zuwiderlaufen. Diesfalls sind die für die Nichterteilung der Auskunft maßgeblichen Gründe mit Aktenvermerk festzuhalten.“

10. In § 23 Abs. 6 (neu) wird in Z 1 die Wendung „als Fremden“ durch die Wendung „als Fremdem“ ersetzt.

11. In § 24 wird in Abs. 1 im Einleitungsteil nach der Wendung „vollendet hat,“ die Wortfolge „zum Zweck der Feststellung seiner Identität“ eingefügt und in Z 2 nach dem Wort „Asylberechtigten“ die Wendung „oder subsidiär Schutzberechtigten“ eingefügt sowie das Zitat „§ 3 Abs. 4“ durch das Zitat „§ 3a“ ersetzt.

12. Nach § 24 Abs. 3 wird folgender Abs. 3a eingefügt:

„(3a) Zur Durchführung der erkennungsdienstlichen Behandlung dürfen nur geeignete und besonders geschulte Bedienstete, welche der Verschwiegenheitspflicht unterliegen, ermächtigt werden. Die erkennungsdienstliche Behandlung hat unter Achtung der Menschenwürde und mit möglichster Schonung der Person zu erfolgen.“

13. In § 24 Abs. 4 wird das Zitat „§§ 64 und 65 Abs. 4, 5 erster Satz und Abs. 6 Sicherheitspolizeigesetz (SPG), BGBl. Nr. 566/1991, sowie § 73 Abs. 7 SPG“ durch das Zitat „§§ 64 Abs. 1 bis 5, 65 Abs. 4 und Abs. 6 sowie 73 Abs. 7 Sicherheitspolizeigesetz (SPG), BGBl. Nr. 566/1991,“ ersetzt und nach dem Wort „gelten“ die Wortfolge „mit der Maßgabe, dass an die Stelle der Sicherheitsbehörden die nach diesem Bundesgesetz zuständigen Behörden treten“ eingefügt.

14. In den Überschriften der §§ 26 und 28 entfällt jeweils die Wendung „; Informationsverbundsystem“.

15. § 26 lautet:

„(1) Der Bundesminister für Inneres, das Bundesamt, die Vertretungsbehörden, die Behörden nach dem NAG und die Landespolizeidirektionen sind als gemeinsam Verantwortliche gemäß Art. 4 Z 7 iVm Art. 26 Abs. 1 DSGVO ermächtigt, personenbezogene Daten von Fremden (§ 27 Abs. 1) gemeinsam zu verarbeiten (Zentrales Fremdenregister).

(2) Die Erfüllung von Auskunfts-, Informations-, Berichtigungs-, Löschungs- und sonstigen Pflichten nach den Bestimmungen der DSGVO gegenüber dem Betroffenen obliegt jedem Verantwortlichen nur hinsichtlich jener Daten, die im Zusammenhang mit den von ihm geführten Verfahren oder den von ihm gesetzten Maßnahmen verarbeitet werden. Nimmt ein Betroffener unter Nachweis seiner Identität ein Recht nach der DSGVO gegenüber einem gemäß dem ersten Satz unzuständigen Verantwortlichen wahr, ist er an den zuständigen Verantwortlichen zu verweisen.

(3) Der Bundesminister für Inneres übt die Funktion des Auftragsverarbeiters gemäß Art. 4 Z 8 iVm Art. 28 Abs. 1 DSGVO aus. Er ist in dieser Funktion verpflichtet, die Datenschutzpflichten gemäß Art. 28 Abs. 3 lit. a bis h DSGVO wahrzunehmen.

(4) Sind die Voraussetzungen für die Speicherung personenbezogener Daten im Zentralen Fremdenregister weggefallen oder werden diese Daten sonst nicht mehr benötigt, so hat der Auftragsverarbeiter deren weitere Verarbeitung durch die gemäß Abs. 1 Verantwortlichen auf Fälle einzuschränken, in denen die Richtigkeit einer beabsichtigten anderen Speicherung gemäß Abs. 1 zu kontrollieren ist. Nach Ablauf von zwei Jahren ab Einschränkung der Verarbeitung sind die Daten auch physisch zu löschen.

(5) Die gemäß Abs. 1 Verantwortlichen sind verpflichtet, unbefristete, im Zentralen Fremdenregister verarbeitete personenbezogene Daten, die seit sechs Jahren unverändert geblieben sind, daraufhin zu überprüfen, ob die Voraussetzungen für eine Einschränkung der Verarbeitung dieser Daten gemäß Abs. 4 Satz 1 vorliegen. Nach Ablauf weiterer drei Monate ist die Verarbeitung dieser Daten gemäß Abs. 4 Satz 1 einzuschränken, es sei denn, der Verantwortliche hätte vorher bestätigt, dass der für die Speicherung maßgebliche Grund weiterhin besteht. Löschungspflichten gemäß § 23 Abs. 6 bleiben unberührt.

(6) Sobald erkennungsdienstliche Daten im Zentralen Fremdenregister verarbeitet werden, sind sie in der lokalen Anwendung zu löschen.

(7) Für in dem Zentralen Fremdenregister verarbeitete Daten gilt § 23 Abs. 6.“

16. In § 27 Abs. 1 entfällt der Schlussteil und lautet der Einleitungsteil:

„Im Zentralen Fremdenregister dürfen folgende personenbezogene Daten von Fremden gemeinsam verarbeitet werden:“

17. In § 27 Abs. 1 wird in Z 5 nach dem Wort „Wohnanschriften“ die Wendung „im Bundesgebiet und im Ausland“ eingefügt, in Z 10 die Wendung „sensibler Daten“ durch die Wendung „Gesundheitsdaten (Art. 9 DSGVO)“ und das Wort „Verwendung“ durch das Wort „Verarbeitung“ ersetzt, entfällt in Z 20 der Beistrich am Ende der Ziffer und wird in Z 21 am Ende der Ziffer ein Punkt angefügt.

18. In § 27 Abs. 3 wird das Wort „Dritter“ durch die Wendung „dritter Personen“, die Wendung „diesen Dritten“ durch die Wendung „diese dritte Person“ und das Wort „Auftraggeber“ durch das Wort „Verantwortlichen“ ersetzt.

19. In § 27 Abs. 4 entfallen der zweite und der letzte Satz.

20. Dem § 27 wird folgender Abs. 5 angefügt:

„(5) Protokolldaten über tatsächlich durchgeführte Verarbeitungsvorgänge, wie insbesondere Änderungen, Abfragen und Übermittlungen, sind zwei Jahre lang aufzubewahren.“

21. § 28 lautet:

„(1) Das Bundesamt ist ermächtigt, die von ihm ermittelten Informationen zum Verfahrensstand (Verfahrensdaten), insbesondere über Anträge, Entscheidungen, Rechtsmittel, Abschiebungen und freiwillige Rückkehren, zu verarbeiten (Zentrale Verfahrensdatei).

(2) Der Bundesminister für Inneres übt die Funktion des Auftragsverarbeiters gemäß Art. 4 Z 8 iVm Art. 28 Abs. 1 DSGVO aus. Er ist in dieser Funktion verpflichtet, die Datenschutzpflichten gemäß Art. 28 Abs. 3 lit. a bis h DSGVO wahrzunehmen.

(3) Das Bundesamt ist ermächtigt, von den Behörden nach dem NAG sowie von den Landespolizeidirektionen verarbeitete Verfahrensdaten zu ermitteln, wenn dies zur Erfüllung seiner Aufgaben unbedingt erforderlich ist.

(4) Abfragen aus der Zentralen Verfahrensdatei sind nur zulässig, wenn der Fremde zumindest nach dem Namen, einer ihm zugeordneten Zahl oder einem Papillarlinienabdruck bestimmt wird. Soweit nicht ein Papillarlinienabdruck als Auswahlkriterium verwendet wird, dürfen Papillarlinienabdrücke und die Unterschrift nur beauskunftet werden, wenn dies eine notwendige Voraussetzung für die Erfüllung einer behördlichen Aufgabe darstellt.

(5) Für in der Zentralen Verfahrensdatei verarbeitete personenbezogene Daten gilt § 23 Abs. 6. Löschungspflichten nach anderen bundes- oder landesgesetzlichen Vorschriften bleiben unberührt.

(6) Protokolldaten über tatsächlich durchgeführte Verarbeitungsvorgänge, wie insbesondere Änderungen, Abfragen und Übermittlungen, sind zwei Jahre lang aufzubewahren.“

22. In § 29 Abs. 1, 2 und 3 wird nach dem Wort „verarbeiteten“ jeweils das Wort „personenbezogenen“ eingefügt.

23. In § 29 Abs. 1 Z 4 wird nach dem Wort „Länder“ die Wendung „und dem Bundesverwaltungsgericht“ eingefügt.

24. In § 29 Abs. 1 wird nach Z 5 wird folgende Z 5a eingefügt:

       „5a. der Volksanwaltschaft (Art. 148a ff B‑VG),“

25. In § 29 Abs. 1 wird in Z 18 der Punkt am Ende der Ziffer durch einen Beistrich ersetzt und folgende Z 19 angefügt:

       „19. dem Bundesminister für Inneres.“

26. In § 29 Abs. 2 entfällt in Z 4 am Ende der Ziffer das Wort „und“, in Z 5 wird der Punkt durch die Wendung „, und“ ersetzt und folgende Z 6 angefügt:

         „6. den für die Gewährung von Sozial- oder sonstigen Transferleistungen zuständigen Stellen.“

27. In § 30 Abs. 6 wird nach der Wendung „an einen Fremden“ die Wendung „sowie den Verlust der Staatsbürgerschaft gemäß § 26 StbG“ eingefügt.

28. In § 31 Abs. 3 wird die Wendung „der Sperre gemäß § 26 Abs. 2“ durch die Wendung „einer Einschränkung gemäß § 26 Abs. 4“ ersetzt.

29. In § 33 Abs. 1 entfällt die Wortfolge „und ein mit Österreich vergleichbares Datenschutzniveau vorhanden ist“ und wird die Wortfolge „, die für die in § 29 genannten Zwecke benötigt werden,“ durch die Wendung „ an bestimmte Empfänger“ ersetzt.

30. In § 33 Abs. 2 wird die Wendung „Zentralen Informationssammlung verwendet“ durch die Wortfolge „Zentralen Verfahrensdatei (§ 28) und im Zentralen Fremdenregister (§ 26) nach Maßgabe der DSGVO verarbeitet“ ersetzt.

31. In § 33 Abs. 3 wird die Wendung „nicht zulässig“ durch die Wendung „gemäß Art. 49 Abs. 1 lit. d DSGVO zulässig“ ersetzt und entfällt nach der Wendung „soweit es sich“ das Wort „nicht“.

32. In § 33 Abs. 4 wird nach dem Wort „jedoch“ die Wendung „gemäß Art. 49 Abs. 1 lit. d DSGVO“ eingefügt.

33. In § 33 Abs. 5 Z 3 entfällt die Wendung „in erster Instanz – wenn auch nicht rechtskräftig –“, nach der Wortfolge „der Antrag auf internationalen Schutz“ wird die Wendung „– wenn auch nicht rechtskräftig –“ eingefügt und entfällt der letzte Satz.

34. Dem § 33 Abs. 5 wird folgender Schlussteil angefügt:

„Der Umstand, dass ein Antrag auf internationalen Schutz gestellt wurde, darf bei einer solchen Übermittlung keinesfalls hervorkommen.“

35. Dem § 56 wird folgender Abs. 11 angefügt:

„(11) Die §§ 2 Abs. 2, 13 Abs. 1, die Überschrift zu § 23, §§ 23 Abs. 1 bis 6, 24 Abs. 1, 3a und 4, 26 samt Überschrift, die Überschrift zu § 27, §§ 27 Abs. 1, 3, 4 und 5, 28 samt Überschrift, 29 Abs. 1 bis 3, 30 Abs. 6, 31 Abs. 3, die Überschrift zu § 32, § 33 Abs. 1 bis 5 sowie die Einträge im Inhaltsverzeichnis zu §§ 23, 26, 27, 28 und 32 in der Fassung des Bundesgesetzes BGBl. I Nr. XX/2018 treten mit 25. Mai 2018 in Kraft.“

Artikel 11

Änderung des Fremdenpolizeigesetzes 2005

Das Fremdenpolizeigesetz 2005 (FPG), BGBl. I Nr. 100/2005, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 145/2017, wird wie folgt geändert:

1. Im Inhaltsverzeichnis lauten die Einträge zu §§ 98 und 99:

„§ 98.	Verarbeiten personenbezogener Daten
§ 99.	Verarbeiten erkennungsdienstlicher Daten“

2. Im Inhaltsverzeichnis entfällt der Eintrag zu § 102.

3. Im Inhaltsverzeichnis lautet der Eintrag zu § 104:

„§ 104.

Zentrale Verfahrensdatei“

4. Im Inhaltsverzeichnis lautet der Eintrag zu § 107:

„§ 107.

Zulässigkeit der Verarbeitung der Daten des Zentralen Melderegisters“

5. In § 2 Abs. 4 wird in Z 23 am Ende der Ziffer der Punkt durch einen Strichpunkt ersetzt und folgende Z 24 angefügt:

       „24. DSGVO: die Verordnung (EU) Nr. 679/2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz‑Grundverordnung), ABl. L 119 vom 04.05.2016 S. 1 in der geltenden Fassung.“

6. In den Überschriften zu §§ 98 und 99 wird das Wort „Verwenden“ jeweils durch das Wort „Verarbeiten“ und in der Überschrift zu § 107 das Wort „Verwendung“ durch das Wort „Verarbeitung“ ersetzt.

7. In § 98 Abs. 1 wird das Wort „verwenden“ durch das Wort „verarbeiten“ ersetzt und folgender letzter Satz angefügt:

„§ 23 Abs. 3 bis 5 BFA-VG gilt.“

8. In § 98 Abs. 2 wird die Wendung „personenbezogene Daten Dritter“ durch die Wendung „personenbezogene Daten dritter Personen“ sowie die Wendung „diesen Dritten“ durch die Wendung „diese dritte Person“ ersetzt.

9. In § 99 Abs. 1 wird im Einleitungsteil nach dem Wort „Fremden“ die Wortfolge „zum Zweck der Feststellung seiner Identität“ eingefügt.

10. Nach § 99 Abs. 2 wird folgender Abs. 2a eingefügt:

„(2a) Zur Durchführung der erkennungsdienstlichen Behandlung dürfen nur geeignete und besonders geschulte Bedienstete, welche der Verschwiegenheitspflicht unterliegen, ermächtigt werden. Die erkennungsdienstliche Behandlung hat unter Achtung der Menschenwürde und mit möglichster Schonung der Person zu erfolgen.“

11. In § 99 Abs. 5 wird der Verweis „§§ 64 und 65 Abs. 4, 5, 1. Satz und 6 sowie § 73 Abs. 7“ durch den Verweis „§§ 64, 65 Abs. 4 und Abs. 6 sowie 73 Abs. 7“ ersetzt und wird nach dem Wort „gelten“ die Wortfolge „mit der Maßgabe, dass an die Stelle der Sicherheitsbehörden die nach diesem Bundesgesetz zuständigen Behörden treten“ eingefügt.

12. § 100 Abs. 1 lautet:

„(1) Die Landespolizeidirektionen haben einen Fremden, den sie einer erkennungsdienstlichen Behandlung zu unterziehen haben, hierzu aufzufordern.“

13. In § 100 Abs. 4 entfällt der letzte Satz.

14. § 102 samt Überschrift entfällt.

15. In der Überschrift zu § 104 entfällt die Wendung „; Informationsverbundsystem“.

16. § 104 Abs. 1 lautet:

„(1) Die Landespolizeidirektionen und der Bundesminister für Inneres sind als gemeinsam Verantwortliche gemäß Art. 4 Z 7 iVm Art. 26 Abs. 1 DSGVO ermächtigt, die von ihnen ermittelten Informationen zum Verfahrensstand (Verfahrensdaten), insbesondere über Anträge, Entscheidungen, Rechtsmittel, Zurückschiebungen, Zurückweisungen und strafbare Handlungen, gemeinsam zu verarbeiten (Zentrale Verfahrensdatei).“

17. In § 104 erhalten die bisherigen Abs. 2, 3 und 4 die Absatzbezeichnungen „(4)“, „(5)“ und „(6)“ und werden folgende Abs. 2 und 3 eingefügt:

„(2) Die Erfüllung von Auskunfts-, Informations-, Berichtigungs-, Löschungs- und sonstigen Pflichten nach den Bestimmungen der DSGVO gegenüber dem Betroffenen obliegt jedem Verantwortlichen nur hinsichtlich jener Daten, die im Zusammenhang mit den von ihm geführten Verfahren oder den von ihm gesetzten Maßnahmen verarbeitet werden. Nimmt ein Betroffener unter Nachweis seiner Identität ein Recht nach der DSGVO gegenüber einem gemäß dem ersten Satz unzuständigen Verantwortlichen wahr, ist er an den zuständigen Verantwortlichen zu verweisen.

(3) Der Bundesminister für Inneres übt zudem die Funktion des Auftragsverarbeiters gemäß Art. 4 Z 8 iVm Art. 28 Abs. 1 DSGVO aus. Er ist in dieser Funktion verpflichtet, die Datenschutzpflichten gemäß Art. 28 Abs. 3 lit. a bis h DSGVO wahrzunehmen.“

18. In § 104 Abs. 5 (neu) wird das Wort „zentralen“ durch das Wort „Zentralen“ und die Wortfolge „soweit dies zur Besorgung einer nach diesem Bundesgesetz übertragenen Aufgabe erforderlich ist und“ durch das Wort „wenn“ ersetzt sowie folgender letzter Satz angefügt:

„Soweit nicht ein Papillarlinienabdruck als Auswahlkriterium verwendet wird, dürfen Papillarlinienabdrücke und die Unterschrift nur beauskunftet werden, wenn dies eine notwendige Voraussetzung für die Erfüllung einer behördlichen Aufgabe darstellt.“

19. In § 104 Abs. 6 (neu) wird das Wort „zentralen“ durch das Wort „Zentralen“ ersetzt und nach dem Wort „verarbeitete“ das Wort „personenbezogene“ eingefügt sowie folgender letzter Satz angefügt:

„Löschungspflichten nach anderen bundes- oder landesgesetzlichen Vorschriften bleiben unberührt.“

20. Nach § 104 Abs. 6 (neu) wird folgender Abs. 7 angefügt:

„(7) Protokolldaten über tatsächlich durchgeführte Verarbeitungsvorgänge, wie insbesondere Änderungen, Abfragen und Übermittlungen, sind zwei Jahre lang aufzubewahren.“

21. In § 105 Abs. 1 wird die Wendung „unter Mitteilung der“ durch die Wendung „einschließlich der dafür“ ersetzt.

22. In § 108 Abs. 1 wird das Wort „Regierungsübereinkommen“ durch das Wort „Staatsverträgen“ ersetzt und nach der Wendung „in Abs. 2 genannten“ das Wort „personenbezogenen“ eingefügt.

23. In § 108 Abs. 3 wird die Wendung „Zentralen Informationssammlung“ durch die Wortfolge „Zentralen Verfahrensdatei (§ 104) und dem Zentralen Fremdenregister (§ 27 BFA-VG) nach Maßgabe der DSGVO“ ersetzt.

24. § 108 Abs. 4 entfällt.

25. Dem § 126 wird folgender Abs. 21 angefügt:

„(21) Die §§ 2 Abs. 4 Z 23 und 24, die Überschrift zu § 98, § 98 Abs. 1 und 2, die Überschrift zu § 99, §§ 99 Abs. 1, 2a und 5, 100 Abs. 1 und 4, die Überschrift zu § 104, §§ 104 Abs. 1 bis 7, 105 Abs. 1, die Überschrift zu § 107, § 108 Abs. 1 und 3 sowie die Einträge im Inhaltsverzeichnis zu §§ 98, 99, 104 und 107 in der Fassung des Bundesgesetzes BGBl. I Nr. XX/2018 treten mit 25. Mai 2018 in Kraft. §§ 102 samt Überschrift und 108 Abs. 4 sowie der Eintrag im Inhaltsverzeichnis zu § 102 in der Fassung vor Inkrafttreten des Bundesgesetzes BGBl. I Nr. XX/2018 treten mit Ablauf des 24. Mai 2018 außer Kraft.“

Artikel 12

Änderung des Niederlassungs- und Aufenthaltsgesetzes

Das Niederlassungs- und Aufenthaltsgesetz (NAG), BGBl. I Nr. 100/2005 zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 145/2017, wird wie folgt geändert:

1. Im Inhaltsverzeichnis lautet der Eintrag zur Überschrift des 7. Hauptstückes des 1. Teiles:

„7. Hauptstück: Verarbeiten personenbezogener Daten“

2. Im Inhaltsverzeichnis lauten die Einträge zu §§ 35 und 36:

„§ 35	Verarbeiten erkennungsdienstlicher Daten
§ 36	Zentrale Verfahrensdatei“

3. Im Inhaltsverzeichnis lautet der Eintrag zu § 39:

„§ 39

Zulässigkeit der Verarbeitung der Daten des Zentralen Melderegisters“

4. In § 2 Abs. 1 wird in Z 20 am Ende der Ziffer der Punkt durch einen Strichpunkt ersetzt und nach Z 20 folgende Z 21 angefügt:

       „21. DSGVO: die Verordnung (EU) Nr. 679/2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz‑Grundverordnung), ABl. L 119 vom 04.05.2016 S. 1 in der geltenden Fassung.“

5. In der Überschrift des 7. Hauptstückes des 1. Teiles wird das Wort „Verwenden“ durch das Wort „Verarbeiten“ ersetzt.

6. In § 34 Abs. 1 wird nach dem Wort „Bundesgesetz“ die Wendung „sowie die Verwaltungsgerichte der Länder“ eingefügt, das Wort „verwenden“ durch das Wort „verarbeiten“ ersetzt und folgender letzter Satz angefügt:

„§ 23 Abs. 3 bis 5 BFA-VG gilt.“

7. In § 34 Abs. 2 wird nach dem Wort „Bundesgesetz“ die Wendung „sowie die Verwaltungsgerichte der Länder“ eingefügt, das Wort „Dritter“ durch die Wendung „dritter Personen“ sowie die Wendung „diesen Dritten“ durch die Wendung „diese dritte Person“ ersetzt und entfällt der letzte Satz.

8. Nach § 34 Abs. 2 wird folgender Abs. 3 angefügt:

„(3) Die Verfahrensdaten sind zu löschen, sobald sie nicht mehr benötigt werden, spätestens fünfzehn Jahre nach Eintritt der Rechtskraft der Entscheidung.“

9. In der Überschrift des § 35 wird das Wort „Verwenden“ durch das Wort „Verarbeiten“ ersetzt.

10. Nach § 35 Abs. 1 wird folgender Abs. 1a eingefügt:

„(1a) Zur Durchführung der erkennungsdienstlichen Behandlung dürfen nur geeignete und besonders geschulte Bedienstete, welche der Verschwiegenheitspflicht unterliegen, ermächtigt werden. Die erkennungsdienstliche Behandlung hat unter Achtung der Menschenwürde und mit möglichster Schonung der Person zu erfolgen.“

11. In § 35 Abs. 2 wird das Zitat „§§ 64 und 65 Abs. 4 bis 6 sowie § 73 Abs. 7“ durch das Zitat „§§ 64 Abs. 1 bis 5, 65 Abs. 4 und Abs. 6 sowie 73 Abs. 7“ ersetzt und wird nach dem Wort „gelten“ die Wortfolge „mit der Maßgabe, dass an die Stelle der Sicherheitsbehörden die nach diesem Bundesgesetz zuständigen Behörden treten“ eingefügt.

12. § 36 samt Überschrift lautet:

„Zentrale Verfahrensdatei

(1) Die Behörden nach diesem Bundesgesetz und die Verwaltungsgerichte der Länder sind als gemeinsam Verantwortliche gemäß Art. 4 Z 7 iVm Art. 26 Abs. 1 DSGVO ermächtigt, die von ihnen ermittelten Informationen zum Verfahrensstand (Verfahrensdaten), insbesondere über Anträge, Entscheidungen und Rechtsmittel, gemeinsam in der Art zu verarbeiten, dass jeder Verantwortliche auch auf jene Daten in der Datenverarbeitung Zugriff hat, die dieser von den anderen Verantwortlichen zur Verfügung gestellt wurden (Zentrale Verfahrensdatei). Die Verarbeitung der Verfahrensdaten durch die Verwaltungsgerichte der Länder erfolgt im Rahmen der Justizverwaltung.

(2) Die Erfüllung von Auskunfts-, Informations-, Berichtigungs-, Löschungs- und sonstigen Pflichten nach den Bestimmungen der DSGVO gegenüber dem Betroffenen obliegt jedem Verantwortlichen hinsichtlich jener Daten, die im Zusammenhang mit den von ihm geführten Verfahren verarbeitet werden. Nimmt ein Betroffener unter Nachweis seiner Identität ein Recht nach der DSGVO gegenüber einem gemäß dem ersten Satz unzuständigen Verantwortlichen wahr, ist er an den zuständigen Verantwortlichen zu verweisen.

(3) Der Bundesminister für Inneres übt die Funktion des Auftragsverarbeiters gemäß Art. 4 Z 8 iVm Art. 28 Abs. 1 DSGVO aus. Er ist in dieser Funktion verpflichtet, die Datenschutzpflichten gemäß Art. 28 Abs. 3 lit. a bis h DSGVO wahrzunehmen.

(4) Die Behörden nach diesem Bundesgesetz und die Verwaltungsgerichte der Länder sind ermächtigt, vom Bundesamt für Fremdenwesen und Asyl, vom Bundesverwaltungsgericht und von den Landespolizeidirektionen verarbeitete Verfahrensdaten zu ermitteln, wenn dies zur Erfüllung ihrer Aufgaben unbedingt erforderlich ist. Die Ermittlung der Verfahrensdaten durch die Verwaltungsgerichte der Länder erfolgt im Rahmen der Justizverwaltung.

(5) Abfragen aus der Zentralen Verfahrensdatei sind nur zulässig, wenn der Fremde zumindest nach dem Namen, einer ihm zugeordneten Zahl oder einem Papillarlinienabdruck bestimmt wird. Soweit nicht ein Papillarlinienabdruck als Auswahlkriterium verwendet wird, dürfen Papillarlinienabdrücke und die Unterschrift nur beauskunftet werden, wenn dies eine notwendige Voraussetzung für die Erfüllung einer behördlichen Aufgabe darstellt.

(6) Für in der Zentralen Verfahrensdatei verarbeitete Daten gilt § 34 Abs. 3. Löschungspflichten nach anderen bundes- oder landesgesetzlichen Vorschriften bleiben unberührt.

(7) Die Behörden nach diesem Bundesgesetz sind ermächtigt, die in der Zentralen Verfahrensdatei verarbeiteten Daten zum Wohnsitz des Fremden durch regelmäßigen und automatischen Abgleich mit den im Zentralen Melderegister verarbeiteten Daten zu aktualisieren. Dabei ist nach Maßgabe der technischen Möglichkeiten das Verfahren gemäß § 16c Meldegesetz 1991 anzuwenden.

(8) Protokolldaten über tatsächlich durchgeführte Verarbeitungsvorgänge, wie insbesondere Änderungen, Abfragen und Übermittlungen, sind zwei Jahre lang aufzubewahren.“

13. In § 37 Abs. 1 wird das Wort „überlassen“ durch das Wort „übermitteln“ ersetzt.

14. In § 38 Abs. 1 wird das Wort „Regierungsübereinkommen“ durch das Wort „Staatsverträgen“ ersetzt und nach dem Wort „verarbeiteten“ das Wort „personenbezogenen“ eingefügt.

15. In § 38 Abs. 2 wird die Wendung „Zentralen Informationssammlung“ durch die Wendung „Zentralen Verfahrensdatei (§ 36) und dem Zentralen Fremdenregister (§ 26 BFA-VG) nach Maßgabe der DSGVO“ ersetzt.

16. In § 38 Abs. 3 entfällt die Wortfolge „zu empfangen und“.

17. In der Überschrift des § 39 wird das Wort „Verwendung“ durch das Wort „Verarbeitung“ und das Wort „zentralen“ durch das Wort „Zentralen“ ersetzt.

18. In § 39 wird das Wort „zentralen“ jeweils durch das Wort „Zentralen“ ersetzt.

19. § 40 Abs. 3 entfällt.

20. § 82 wird folgender Abs. 26 angefügt:

„(26) § 2 Abs. 1 Z 20 und 21, die Überschrift des 7. Hauptstückes des 1. Teiles, § 34 Abs. 1 bis 3, die Überschrift zu § 35, die §§ 35 Abs. 1a und 2, 36 samt Überschrift, 37 Abs. 1, 38 Abs. 1 bis 3 und 39 samt Überschrift sowie die Einträge im Inhaltsverzeichnis zur Überschrift des 7. Hauptstückes des 1. Teiles und zu §§ 35, 36 und 39 in der Fassung des Bundesgesetzes BGBl. I Nr. XX/2018 treten mit 25. Mai 2018 in Kraft. § 40 Abs. 3 in der Fassung vor Inkrafttreten des Bundesgesetzes BGBl. I Nr. XX/2018 tritt mit Ablauf des 24. Mai 2018 außer Kraft.“

Artikel 13

Änderung des Grundversorgungsgesetzes-Bund 2005

Das Grundversorgungsgesetz-Bund 2005 (GVG-B 2005), BGBl. Nr. 405/1991, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 145/2017, wird wie folgt geändert:

1. In § 1 wird in Z 7 am Ende der Ziffer der Punkt durch einen Strichpunkt ersetzt und folgende Z 8 angefügt:

         „8. DSGVO: die Verordnung (EU) Nr. 679/2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz‑Grundverordnung), ABl. L 119 vom 04.05.2016 S. 1 in der geltenden Fassung.“

2. § 8 samt Überschrift lautet:

„Betreuungsinformationssystem und Datenschutzbestimmungen

§ 8. (1) Das Bundesamt, die mit der Versorgung von Fremden gemäß Art. 2 Abs. 1 der Grundversorgungsvereinbarung betrauten Dienststellen der Länder und der Bundesminister für Inneres sind als gemeinsam Verantwortliche gemäß Art. 4 Z 7 iVm Art. 26 Abs. 1 DSGVO ermächtigt, personenbezogene Daten von zu versorgenden Menschen gemeinsam zu verarbeiten (Betreuungsinformationssystem). Die Daten haben sich dabei auf die für die Versorgung relevanten Umstände zu beziehen, wie insbesondere Namen, Geburtsdaten, persönliche Kennzeichen, Herkunftsland, Dokumentendaten, Berufsausbildung, Religionsbekenntnis, Volksgruppe und Gesundheitszustand. § 23 Abs. 3 bis 5 BFA‑VG gilt.

(2) Die Behörde ist ermächtigt, aus dem Zentralen Fremdenregister (§ 26 BFA-VG) die gemäß § 27 Abs. 1 Z 1 bis 11 BFA-VG verarbeiteten Daten sowie die gemäß § 28 Abs. 1 BFA-VG verarbeiteten Verfahrensdaten zu ermitteln, soweit dies eine wesentliche Voraussetzung für die Erfüllung ihrer Aufgaben nach diesem Bundesgesetz darstellt.

(3) Darüber hinaus sind die Behörde und der Bundesminister für Inneres für Zwecke der Abrechnung gemäß Art. 10 f Grundversorgungsvereinbarung ermächtigt, personenbezogene Daten von Fremden gemäß Art. 2 Abs. 1 Grundversorgungsvereinbarung automationsunterstützt zu verarbeiten.

(4) Die Erfüllung von Auskunfts-, Informations-, Berichtigungs-, Löschungs- und sonstigen Pflichten nach den Bestimmungen der DSGVO gegenüber dem Betroffenen obliegt jedem Verantwortlichen nur hinsichtlich jener Daten, die im Zusammenhang mit den von ihm geführten Verfahren oder den von ihm gesetzten Maßnahmen verarbeitet werden. Nimmt ein Betroffener unter Nachweis seiner Identität ein Recht nach der DSGVO gegenüber einem gemäß dem ersten Satz unzuständigen Verantwortlichen wahr, ist er an den zuständigen Verantwortlichen zu verweisen.

(5) Der Bundesminister für Inneres übt die Funktion des Auftragsverarbeiters gemäß Art. 4 Z 8 iVm Art. 28 Abs. 1 DSGVO aus. Er ist in dieser Funktion verpflichtet, die Datenschutzpflichten gemäß Art. 28 Abs. 3 lit. a bis h DSGVO wahrzunehmen.

(6) Der Auftragsverarbeiter kann im Zusammenwirken mit dem jeweiligen Verantwortlichen durch Stichproben überprüfen, ob die Verarbeitung der Daten nach Abs. 1 und 3 im dortigen Bereich den einschlägigen Bestimmungen entsprechend zum Zwecke der Vollziehung dieses Gesetzes, der Art. 6, 7, 8, 10 und 11 der Grundversorgungsvereinbarung oder der Vollziehung der diese Vereinbarung umsetzenden Landesgesetze erfolgt und die erforderlichen Datensicherheitsmaßnahmen (Art. 32 DSGVO) ergriffen worden sind.

(7) Die gemeinsam Verantwortlichen (Abs. 1) dürfen Daten nach Abs. 1 an beauftragte Rechtsträger des Bundes nach § 4 oder der Länder nach Art. 4 Abs. 2 der Grundversorgungsvereinbarung, an die für die Gewährung von Leistungen der Bedarfsorientierten Mindestsicherung zuständigen Stellen, an das Arbeitsmarktservice, an die Sozialversicherungsträger, an die Finanzämter, an die Bezirksverwaltungsbehörden als Gesundheitsbehörden, an die Sicherheitsbehörden, an die Jugendwohlfahrtsbehörden, an den Österreichischen Integrationsfonds, an das Amt des Hochkommissärs der Vereinten Nationen für Flüchtlinge in Österreich, an das Bundesverwaltungsgericht und an ausländische Asylbehörden übermitteln, soweit diese sie zur Erfüllung der ihnen übertragenen Aufgaben benötigen.

(8) Der Hauptverband und der jeweils zuständige österreichische Sozialversicherungsträger haben der Behörde und dem Bundesminister für Inneres Daten über Versicherungsverhältnisse von nach der Grundversorgungsvereinbarung betreuten Fremden zu übermitteln, soweit diese sie zur Erfüllung der ihnen übertragenen Aufgaben benötigen.

(9) Abfragen aus dem Betreuungsinformationssystem sind nur zulässig, soweit dies zur Erfüllung einer gesetzlich übertragenen Aufgabe erforderlich ist und der Fremde zumindest nach dem Namen oder einer ihm zugeordneten Zahl bestimmt wird.

(10) Daten nach Abs. 1 und 3 sind zwei Jahre nach Ende der Versorgung zu löschen, soweit sie nicht über diesen Zeitpunkt hinaus in anhängigen Verfahren oder zum Zwecke der Verrechnung gemäß Art. 11 Grundversorgungsvereinbarung benötigt werden.

(11) Die Behörden des Bundes, der Länder und Gemeinden und die Geschäftsstellen des Arbeitsmarktservice, die rechtmäßig über Daten verfügen, sind ermächtigt und auf Anfrage verpflichtet, diese Daten der Behörde, dem Bundesminister für Inneres und den mit der Versorgung von Fremden gemäß Art. 2 Abs. 1 der Grundversorgungsvereinbarung betrauten Dienststellen der Länder zu übermitteln, sofern diese für die Gewährung der Versorgung benötigt werden. Die übermittelten Daten sind unverzüglich zu löschen, wenn sie für die Erfüllung des konkreten Zwecks nicht mehr benötigt werden.

(12) Die Organe der Betreuungseinrichtungen haben der Behörde grobe Verstöße gegen die Hausordnung (§ 5 Abs. 3) zu melden.

(13) Daten zur und die Änderung der Wohnanschrift im Betreuungsinformationssystem werden automationsunterstützt der Zentralen Verfahrensdatei gemäß § 28 BFA-VG zur Verfügung gestellt und aktualisiert.

(14) Protokolldaten über tatsächlich durchgeführte Verarbeitungsvorgänge, wie insbesondere Änderungen, Abfragen und Übermittlungen, sind zwei Jahre lang aufzubewahren.“

3. Dem § 16 wird folgender Abs. 22 angefügt:

„(22) § 1 Z 7 und 8 sowie § 8 samt Überschrift in der Fassung des Bundesgesetzes BGBl. I Nr. XX/2018 treten mit 25. Mai 2018 in Kraft.“

Artikel 14

Änderung des Grenzkontrollgesetzes

Das Grenzkontrollgesetz (GrekoG), BGBl. Nr. 435/1996, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 145/2017, wird wie folgt geändert:

1. Im Inhaltsverzeichnis lautet der Eintrag zu § 15:

„§ 15.

Verarbeiten personenbezogener Daten“

2. In § 12 Abs. 2 wird im Schlussteil nach dem Wort „einzusetzen“ die Wortfolge „und personenbezogene Daten zu verarbeiten, auch wenn es sich dabei um erkennungsdienstliche Daten (§ 2 Abs. 5 Z 4 Fremdenpolizeigesetz 2005 – FPG, BGBl. I Nr. 100/2005) handelt“ eingefügt und lautet der vierte Satz:

„Mit dem Einsatz der Mittel darf erst nach Ablauf dieser Frist oder nach Vorliegen einer entsprechenden Äußerung des Rechtsschutzbeauftragten begonnen werden, es sei denn, dies wäre zur Aufrechterhaltung der öffentlichen Ruhe, Ordnung und Sicherheit unmittelbar erforderlich.“

3. In § 12a Abs. 2 wird folgender letzter Satz angefügt:

„Die §§  64 Abs. 1 bis 5, 65 Abs. 4 und 73 Abs. 7 SPG gelten mit der Maßgabe, dass an die Stelle der Sicherheitsbehörden die nach diesem Bundesgesetz zuständigen Behörden treten.“

4. In § 12a Abs. 3 wird in Z 1 das Zitat „BGBl. Nr. 839“ durch das Zitat „BGBl. Nr. 839/1992“ und in Z 2 das Wort „Datenanwendung“ durch das Wort „Datenverarbeitung“ ersetzt.

5. Dem § 12a wird folgender Abs. 7 angefügt:

„(7) Zur Durchführung der erkennungsdienstlichen Behandlung dürfen nur geeignete und besonders geschulte Bedienstete, welche der Verschwiegenheitspflicht unterliegen, ermächtigt werden. Die erkennungsdienstliche Behandlung hat unter Achtung der Menschenwürde und mit möglichster Schonung der Person zu erfolgen.“

6. In der Überschrift zu § 15 wird das Wort „Verwenden“ durch das Wort „Verarbeiten“ ersetzt.

7. In § 15 Abs. 1 Z 1 das Wort „verwenden“ durch das Wort „verarbeiten“ ersetzt.

8. In § 15 Abs. 1 Z 2 wird der Ausdruck „automatisationsunterstützt“ durch den Ausdruck „automationsunterstützt“ ersetzt.

9. Dem § 15 Abs. 1 wird folgender Schlussteil angefügt:

„§ 23 Abs. 3 bis 5 BFA-VG gilt."

10. § 18 wird folgender Abs. 10 angefügt:

„(10) Die §§ 12 Abs. 2, 12a Abs. 2, 3 und 7, die Überschrift zu § 15, § 15 Abs. 1 und der Eintrag im Inhaltsverzeichnis zu § 15 in der Fassung des Bundesgesetzes BGBl. I Nr. XX/2018 treten mit 25. Mai 2018 in Kraft.“

Artikel 15

Änderung des Staatsbürgerschaftsgesetzes 1985

Das Staatsbürgerschaftsgesetz 1985 (StbG), BGBl. Nr. 311/1985, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 68/2017, wird wie folgt geändert:

1. In § 39a Abs. 1 wird die Wendung „verwenden und speichern“ durch das Wort „verarbeiten“ ersetzt und folgender letzter Satz angefügt:

„§ 23 Abs. 3 bis 5 BFA‑Verfahrensgesetz (BFA‑VG), BGBl. I Nr. 87/2012, gilt.“

2. In § 39a Abs. 2 wird folgender letzter Satz angefügt:

„Zur Durchführung der erkennungsdienstlichen Behandlung dürfen nur geeignete und besonders geschulte Bedienstete, welche der Verschwiegenheitspflicht unterliegen, ermächtigt werden. Die erkennungsdienstliche Behandlung hat unter Achtung der Menschenwürde und mit möglichster Schonung der Person zu erfolgen.“

3. In § 39a Abs. 3 wird das Zitat „§§ 64 Abs. 1 bis 5, 65 Abs. 4 und 5 erster Satz sowie § 73 Abs. 7“ durch das Zitat „§§ 64 Abs. 1 bis 5, 65 Abs. 4 und 73 Abs. 7“ ersetzt und nach dem Wort „gelten“ die Wortfolge „mit der Maßgabe, dass an die Stelle der Sicherheitsbehörden die nach diesem Bundesgesetz zuständigen Behörden und Berufsvertretungsbehörden treten“ eingefügt.

4. In § 56a Abs. 1 wird im Einleitungsteil nach dem Wort „sind“ die Wortfolge „als gemeinsam Verantwortliche gemäß Art. 4 Z 7 der Verordnung (EU) Nr. 679/2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz‑Grundverordnung), ABl. L 119 vom 04.05.2016 S. 1 in der geltenden Fassung (DSGVO),“ eingefügt und entfällt im Schlussteil die Wendung „in einem Informationsverbundsystem (§ 4 Z 13 des Datenschutzgesetzes 2000 – DSG 2000, BGBl. I Nr. 165/1999)“.

5. Nach § 56a Abs. 1 wird folgender Abs. 1a eingefügt:

„(1a) Die Erfüllung von Auskunfts-, Informations-, Berichtigungs-, Löschungs- und sonstigen Pflichten nach den Bestimmungen der DSGVO obliegt jedem Verantwortlichen nur gegenüber jenen Betroffenen, für die er gemäß § 49 Abs. 2 Evidenzstelle ist. Nimmt ein Betroffener unter Nachweis seiner Identität ein Recht nach der DSGVO gegenüber einem gemäß dem ersten Satz unzuständigen Verantwortlichen in Bezug auf Daten gemäß Abs. 1 wahr, ist er an den zuständigen Verantwortlichen zu verweisen.“

6. § 56a Abs. 2 lautet:

„(2) Der Bundesminister für Inneres übt die Funktion des Auftragsverarbeiters gemäß Art. 4 Z 8 iVm Art. 28 Abs. 1 DSGVO aus. Er ist in dieser Funktion verpflichtet, die Datenschutzpflichten gemäß Art. 28 Abs. 3 lit. a bis h DSGVO wahrzunehmen. Staatsbürgerschaftsbehörden haben dem Bundesminister für Inneres für die Zwecke des ZSR ihre Staatsbürgerschaftsdaten zu übermitteln.“

7. In § 56b Abs. 4 wird das Wort „übergeben“ durch das Wort „übermitteln“ ersetzt.

8. In § 56b Abs. 6 wird der Ausdruck „ZPR“ durch die Wendung „Zentralen Personenstandsregister (§ 44 PStG 2013)“ ersetzt.

9. § 56b wird folgender Abs. 8 angefügt:

„(8) Protokolldaten über tatsächlich durchgeführte Verarbeitungsvorgänge, wie insbesondere Änderungen, Abfragen und Übermittlungen, sind zwei Jahre lang aufzubewahren.“

10. Dem § 64a wird folgender Abs. 27 angefügt:

„(27) Die §§ 39a Abs. 1 bis 3, 56a Abs. 1 bis 2 sowie 56b Abs. 4, 6 und 8 in der Fassung des Bundesgesetzes BGBl. I Nr. XX/2018 treten mit 25. Mai 2018 in Kraft.“

Artikel 16

Änderung des Sicherheitspolizeigesetzes

Das Sicherheitspolizeigesetz (SPG), BGBl. Nr. 566/1991, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 130/2017, wird wie folgt geändert:

1. Im Inhaltsverzeichnis wird im Eintrag zum 4. Teil das Wort „Verwenden“ durch das Wort „Verarbeiten“ ersetzt.

2. Im Inhaltsverzeichnis lautet der Eintrag zu § 53a:

           „§ 53a.    Datenverarbeitungen der Sicherheitsbehörden“

3. Im Inhaltsverzeichnis lautet der Eintrag zu § 58e:

           „§ 58e.    Zentrale Datenverarbeitung zur Einsatzunterstützung“

4. Im Inhaltsverzeichnis lautet der Eintrag zu § 59:

             „§ 59.    Richtigstellung, Aktualisierung und Protokollierung bei Datenverarbeitungen gemeinsam Verantwortlicher“

5. Im Inhaltsverzeichnis lautet der Eintrag zu § 63:

             „§ 63.    Pflicht zur Richtigstellung, Löschung und Protokollierung“

6. Im Inhaltsverzeichnis lautet der Eintrag zu § 68:

             „§ 68.    Erkennungsdienstliche Maßnahmen auf Antrag oder mit Einwilligung Zustimmung des Betroffenen“

7. Im Inhaltsverzeichnis lautet der Eintrag zu § 70:

             „§ 70.    Spurenausscheidungsevidenz“

8. § 7 Abs. 4 lautet:

„(4) Soweit ein ärztlicher Dienst eingerichtet ist, hat dieser an der Feststellung der geistigen und körperlichen Eignung von Aufnahmewerbern in den Exekutivdienst und von Bewerbern für bestimmte Verwendungen, unbeschadet der Mitwirkungsbefugnisse des Bundeskanzleramtes nach dem Ausschreibungsgesetz 1989 (AusG), BGBl. Nr. 85/1989, mitzuwirken. Zu diesem Zweck dürfen unter Einbindung von Polizeiärzten als medizinische Sachverständige zur Feststellung der geistigen und körperlichen Eignung auch Gesundheitsdaten im Sinne des Art. 4 Z 15 der Verordnung (EU) Nr. 679/2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz‑Grundverordnung), ABl. L 119 vom 04.05.2016 S. 1, nach Maßgabe des Art. 9 Abs. 2 lit. h iVm Abs. 3 der Verordnung (EU) Nr. 679/2016 verarbeitet werden, soweit diese zur Beurteilung der Eignung für den Exekutivdienst erforderlich sind. Die näheren Bestimmungen über die Durchführung der Eignungsprüfung und die Erstellung und Auswertung der Tests sind durch Verordnung des Bundesministers für Inneres festzusetzen.“

9. In § 13a werden in Abs. 2 und 3 jeweils das Wort „Verwendung“ durch das Wort „Verarbeitung“ und in Abs. 3 das Zitat „§ 14 DSG 2000“ durch das Zitat „§ 54 Datenschutzgesetz – DSG, BGBl. I Nr. 165/1999,“ ersetzt sowie in Abs. 3 nach der Wortfolge „Daten, zu sichern“ ein Beistrich und die Wortfolge „sofern nicht Art. 32 der Verordnung (EU) Nr. 679/2016 unmittelbar zur Anwendung kommt“ eingefügt.

10. In § 13a wird nach Abs. 3 folgender Abs. 4 angefügt:

„(4) Die Protokollaufzeichnungen gemäß § 50 DSG für Datenverarbeitungen nach Abs. 1 und 2 sind zwei Jahre aufzubewahren und danach zu löschen.“

11. In § 35a Abs. 5 wird das Wort „Dienstleister“ durch das Wort „Auftragsverarbeiter“ ersetzt.

12. In der Überschrift des 4. Teils wird das Wort „Verwenden“ durch das Wort „Verarbeiten“ ersetzt.

13. § 51 lautet:

„§ 51. (1) Die Sicherheitsbehörden haben beim Verarbeiten (§ 36 Abs. 2 Z 2 DSG) personenbezogener Daten die Verhältnismäßigkeit (§ 29) zu beachten. Die Verarbeitung besonderer Kategorien personenbezogener Daten gemäß § 39 DSG ist zulässig, soweit dies zur Erfüllung der Aufgaben im Rahmen der Sicherheitspolizei unbedingt erforderlich ist; dabei sind angemessene Vorkehrungen zur Wahrung der Geheimhaltungsinteressen der Betroffenen zu treffen.

(2) Sofern nicht ausdrücklich anderes angeordnet wird, finden auf das Verarbeiten personenbezogener Daten die Bestimmungen des Datenschutzgesetzes Anwendung.

(3) Sofern nicht ausdrücklich anderes angeordnet wird, übt der Bundesminister für Inneres die Funktion des Auftragsverarbeiters gemäß § 36 Abs. 2 Z 9 iVm § 48 DSG aus. Abweichend von § 48 Abs. 2 DSG kann der Auftragsverarbeiter nach Erteilung einer allgemeinen schriftlichen Genehmigung des Verantwortlichen weitere Auftragsverarbeiter hinzuziehen. In diesem Fall obliegt es dem Auftragsverarbeiter, den Verantwortlichen über jede beabsichtigte wesentliche Änderung zu unterrichten.

(4) Bei Datenverarbeitungen von gemeinsam Verantwortlichen (§ 47 DSG) obliegt jedem Verantwortlichen die Erfüllung von Pflichten nach den §§ 42 bis 45 DSG nur hinsichtlich der von ihm ursprünglich verarbeiteten Daten. Nimmt ein Betroffener unter Nachweis seiner Identität ein Recht nach den §§ 43 bis 45 DSG gegenüber einem unzuständigen gemeinsam Verantwortlichen wahr, ist er an den zuständigen gemeinsam Verantwortlichen zu verweisen, sofern nicht ein Fall des § 43 Abs. 4 DSG vorliegt.“

14. In § 52 wird das Wort „verwendet“ durch das Wort „verarbeitet“ ersetzt.

15. In § 53 werden Abs. 1 und 2 jeweils die Wortfolge „ermitteln und weiterverarbeiten“ durch das Wort „verarbeiten“, in Abs. 3a das Klammerzitat „BGBl. I Nr. 70“ durch das Klammerzitat „BGBl. I Nr. 70/2003“, in Abs. 4 die Wortfolge „ermitteln und weiterzuverarbeiten“ durch das Wort „verarbeiten“ sowie in Abs. 5 das Wort „verwenden“ durch das Wort „verarbeiten“ und die Wortfolge „Verwendung von Daten“ durch die Wortfolge „Verarbeitung von personenbezogenen Bilddaten“ ersetzt.

16. In der Überschrift des § 53a wird das Wort „Datenanwendungen“ durch das Wort „Datenverarbeitungen“ ersetzt.

17. In § 53a Abs. 2 entfällt der Beistrich und die anschließende Wortfolge „auch wenn es sich um besonders schutzwürdige Daten im Sinne des § 4 Z 2 DSG 2000 handelt“.

18. § 53a Abs. 5 erster Satz lautet:

„Datenverarbeitungen gemäß Abs. 1 dürfen durch mehrere Sicherheitsbehörden als gemeinsam Verantwortliche geführt werden, soweit dies wegen eines sprengelübergreifenden Einsatzes erforderlich ist.“

19. § 53a Abs. 5a erster Satz lautet:

„Datenverarbeitungen gemäß Abs. 1a zum Schutz von verfassungsmäßigen Einrichtungen und ihrer Handlungsfähigkeit (§ 22 Abs. 1 Z 2), der Vertreter ausländischer Staaten, internationaler Organisationen und anderer Völkerrechtssubjekte (§ 22 Abs. 1 Z 3) sowie von kritischen Infrastrukturen (§ 22 Abs. 1 Z 6) dürfen durch den Bundesminister für Inneres und den Landespolizeidirektionen als gemeinsam Verantwortliche geführt werden.“

20. § 53a Abs. 6 erster Satz lautet:

„Datenverarbeitungen gemäß Abs. 2 dürfen durch mehrere Sicherheitsbehörden als gemeinsam Verantwortliche geführt werden, soweit eine solche für den Zweck des Abs. 2 erforderlich ist.“

21. In § 53b wird die Wortfolge „ermitteln und weiterzuverarbeiten“ durch das Wort „verarbeiten“ ersetzt.

22. In § 54 wird in den Abs. 5, 6 und 7 jeweils das Wort „verwendet“ durch das Wort „verarbeitet“ ersetzt.

23. In § 54b wird in Abs. 1 die Wortfolge „sensible und strafrechtsbezogene Daten“ durch die Wortfolge „besondere Kategorien personenbezogener Daten (§ 39 DSG)“ ersetzt und entfällt in Abs. 3 der erste Satz.

24. In § 55 Abs. 4 wird jeweils das Wort „ermittelt“ durch das Wort „verarbeitet“ ersetzt.

25. In § 55a Abs. 4 wird das Wort „Zustimmung“ durch das Wort „Einwilligung“ ersetzt.

26. In § 55b Abs. 1 wird jeweils das Wort „Zustimmung“ durch das Wort „Einwilligung“ sowie das Wort „Zustimmungserklärung“ durch das Wort „Einwilligungserklärung“ ersetzt.

27. § 56 Abs. 1 Z 1 lautet:

         „1. wenn der Betroffene in die Übermittlung ‑ bei besonderen Kategorien personenbezogener Daten (§ 39 DSG) ausdrücklich ‑ eingewilligt hat, wobei ein Widerruf jederzeit möglich ist und die Unzulässigkeit der weiteren Verarbeitung der Daten bewirkt;“

28. § 56 Abs. 1 Z 5 lautet:

         „5. wenn lebenswichtige Interessen eines Menschen die Übermittlung erfordern;“

27. § 56 Abs. 1 Z 7 lautet:

         „7. für Zwecke wissenschaftlicher Forschung und Statistik;“

29. In § 56 Abs. 1 lautet der Schlussteil:

„Für die Übermittlung personenbezogener Daten für Zwecke der internationalen polizeilichen Amtshilfe sind die Bestimmungen des Polizeikooperationsgesetzes – PolKG, BGBl. I Nr. 104/1997, anzuwenden.“

30. § 56 Abs. 2 entfällt.

31. § 56 Abs. 3 lautet:

„(3) Erweisen sich übermittelte personenbezogene Daten im Nachhinein als unvollständig oder unrichtig, so ist unverzüglich gemäß § 37 Abs. 8 und 9 DSG vorzugehen.“

32. § 56 Abs. 5 erster Satz lautet:

„Die Übermittlung personenbezogener Daten nach Abs. 1 Z 3a ist erst zulässig, wenn sich der Österreichische Fußballbund und die Österreichische Fußball-Bundesliga vertraglich gegenüber dem Bundesminister für Inneres verpflichtet haben,

           1. die Daten nur zum festgelegten Zweck, in ihrem Wirkungsbereich und im Einklang mit den Bestimmungen der Verordnung (EU) 2016/679 zu verarbeiten,

           2. die Daten vor unberechtigter Verarbeitung zu sichern, insbesondere durch organisatorische und technische Vorkehrungen sicherzustellen, dass der Zutritt zu Räumen, in denen sich eine Zugriffsmöglichkeit auf die übermittelten Daten befindet, nur von in ihrem Auftrag Tätigen möglich ist,

           3. ihren Löschungsverpflichtungen nachzukommen,

           4. jede Verarbeitung der Daten in ihrem Wirkungsbereich zu protokollieren und

           5. den Sicherheitsbehörden Zutritt zu Räumen und Zugriff auf Datenverarbeitungsgeräte zu gewähren und ihnen auf Verlangen die notwendigen Auskünfte zu erteilen, soweit dies zur Überprüfung der Einhaltung der in Z 1 bis 4 normierten Pflichten erforderlich ist.“

33. In § 57 Abs. 1 wird im Einleitungssatz das Wort „Datenanwendung“ durch das Wort „Datenverarbeitung“ ersetzt, nach der Wortfolge „dürfen die Sicherheitsbehörden“ die Wortfolge „als gemeinsam Verantwortliche“ und nach der Wortfolge „Auskünfte auch an andere Behörden“ das Wort „gemeinsam“ eingesetzt sowie in Z 10a das Wort „zugestimmt“ durch das Wort „eingewilligt“ ersetzt.

34. In § 57 Abs. 2 wird nach der Wortfolge „dürfen die Sicherheitsbehörden“ die Wortfolge „als gemeinsam Verantwortliche“ eingefügt sowie das Wort „speichern“ durch die Wortfolge „gemeinsam verarbeiten“ und die Wortfolge „zu vergleichen“ durch das Wort „abzugleichen“ ersetzt.

35. In § 57 Abs. 3 wird die Wortfolge „zu benützen und zu vergleichen“ durch die Wortfolge „zu verarbeiten“ ersetzt.

36. In § 58 Abs. 1 wird die Wortfolge „evident gehalten“ durch das Wort „verarbeitet“ ersetzt.

37. In § 58 Abs. 2 entfällt im ersten Satz die Wortfolge „als Auftraggeber“ und wird im letzten Satz das Wort „Auftraggeber“ durch das Wort „Verantwortliche“ ersetzt.

38. § 58a lautet:

„§ 58a. Die Sicherheitsbehörden sind als gemeinsam Verantwortliche ermächtigt, für die Organisation des Streifen- und Überwachungsdienstes (§ 5 Abs. 3), für Zwecke der Gefahrenabwehr (§ 21 Abs. 1 und 2) und der Vorbeugung vor gefährlichen Angriffen (§ 22 Abs. 2 und 3) auch mittels Kriminalitätsanalyse hinsichtlich sämtlicher angezeigter, von Amts wegen zu verfolgender und vorsätzlich begangener gerichtlich strafbarer Handlungen folgende Informationen gemeinsam zu verarbeiten: strafbare Handlung samt näherer Umstände und Sachverhaltsbeschreibung, Tatort und Zeit, betroffenes Gut (Markenname) oder Firmenbezeichnung und hinsichtlich allfälliger Verdächtiger Anzahl, Nationalität, Geschlecht und Alter sowie Geschäftszahl, Dienststelle und Sachbearbeiter. Die Abfrageberechtigungen im Zusammenhang mit Sexualstraftaten nach dem 10. Abschnitt des Strafgesetzbuches sind auf jenen Personenkreis einzuschränken, der mit der Bearbeitung dieser strafbaren Handlungen befasst ist. Die Daten sind nach 18 Monaten zu löschen.“

39. § 58b Abs. 1 lautet:

„(1) Die Sicherheitsbehörden sind als gemeinsam Verantwortliche ermächtigt, für die Administration des Vollzugs und die Evidenthaltung der in Hafträumen der Landespolizeidirektionen oder Bezirksverwaltungsbehörden angehaltenen Menschen eine Datenverarbeitung gemeinsam zu führen. Zu diesen Zwecken dürfen sie personenbezogene Daten über angehaltene Menschen einschließlich eines anlässlich der Aufnahme anzufertigenden Lichtbildes verarbeiten, soweit sie sich auf strafbare Handlungen oder auch für den Vollzug relevante Lebensumstände einschließlich ihres Gesundheitszustandes und ihrer ethnischen oder religiösen Zugehörigkeit beziehen.“

40. § 58c lautet:

„§ 58c. (1) Die Sicherheitsbehörden sind als gemeinsam Verantwortliche ermächtigt, für den Vollzug von § 38a hinsichtlich Personen, gegen die sich eine Maßnahme nach § 38a richtet, Identifikationsdaten einschließlich der Erreichbarkeitsdaten und Vormerkungen wegen Gewaltdelikten, Angaben zu Grund und Umfang (räumlich und zeitlich) der verhängten Maßnahme einschließlich früherer Maßnahmen gemäß § 38a und Verfahrensdaten, sowie hinsichtlich zu schützender Menschen ausschließlich Alter, Geschlecht, Staatsangehörigkeit sowie Angehörigkeitsverhältnis zum Gefährder gemeinsam zu verarbeiten.

(2) Übermittlungen von Daten gemäß Abs. 1 sind an Sicherheitsbehörden für Zwecke des Vollzugs der §§ 8 und 12 Waffengesetz 1996, BGBl. I Nr. 12/1997, sowie an Staatsanwaltschaften und ordentliche Gerichte für Zwecke der Strafrechtspflege zulässig. Sofern besondere gesetzliche Regelungen dies vorsehen, ist darüber hinaus eine Übermittlung dieser Daten auch an Kinder- und Jugendhilfeträger in Angelegenheiten der Kinder- und Jugendhilfe zulässig.

(3) Die Daten sind zu löschen, wenn ein Betretungsverbot gemäß § 38a Abs. 6 aufgehoben wurde. Sonst sind die Daten von Personen, gegen die sich eine Maßnahme nach § 38a richtet, und der jeweils Gefährdeten ein Jahr nach Aufnahme in die zentrale Gewaltschutzdatei zu löschen, im Falle mehrerer Speicherungen ein Jahr nach der letzten.“

41. In § 58d Abs. 1 lautet der Einleitungsteil:

„Die Sicherheitsbehörden sind als gemeinsam Verantwortliche ermächtigt, zur Vorbeugung und Verhinderung von mit Strafe bedrohten Handlungen gegen Leib und Leben sowie gegen die sexuelle Integrität und Selbstbestimmung unter Androhung oder Anwendung von Gewalt sowie zur frühzeitigen Erkennung von diesbezüglichen Serienzusammenhängen mittels Analyse personenbezogene Daten gemeinsam zu verarbeiten. Es dürfen Informationen zu Tötungsdelikten, Sexualstraftaten unter Anwendung von Gewalt, Vermisstenfällen, wenn die Gesamtumstände auf ein Verbrechen hindeuten, und zu verdächtigem Ansprechen von Personen, wenn konkrete Anhaltspunkte für eine mit sexuellem Motiv geplante mit Strafe bedrohte Handlung vorliegen, verarbeitet werden. Nachstehende Datenarten dürfen zu den ausgewiesenen Betroffenenkreisen verarbeitet werden:“

42. § 58e samt Überschrift lautet:

„Zentrale Datenverarbeitung zur Einsatzunterstützung

§ 58e. (1) Der Bundesminister für Inneres und die Landespolizeidirektionen sind als gemeinsam Verantwortliche ermächtigt, für die Administration von Notrufen (§§ 5 Abs. 7, 92a) sowie für die Unterstützung bei der Koordination von Einsätzen Daten über Personen sowie Sachen und Gebäude gemeinsam zu verarbeiten. Es dürfen zu Personen, die von einem Notruf oder Einsatz betroffen sind, die erforderlichen Identifikations- und Erreichbarkeitsdaten einschließlich Daten gemäß § 98 TKG 2003 und soweit erforderlich besondere Kategorien personenbezogener Daten (§ 39 DSG) verarbeitet werden. Darüber hinaus dürfen die erforderlichen Sachdaten einschließlich KFZ-Kennzeichen, der Mindestdatensatz eines eCalls, Daten zu Zeit, Ort, Grund und Art des Einsatzes, Erreichbarkeitsdaten von sonstigen zu verständigenden Stellen (Abs. 3) sowie Verwaltungsdaten verarbeitet werden.

(2) Die gemäß § 93 Abs. 3 TKG 2003 im Rahmen der Entgegennahme von Notrufen aufgezeichneten Gespräche sind nach drei Monaten, die übrigen Daten nach Beendigung und Evaluierung des Einsatzes, längstens jedoch nach 18 Monaten zu löschen.

(3) Übermittlungen der gemäß Abs. 1 und 2 verarbeiteten Daten sind an Sicherheitsbehörden für Zwecke der Sicherheitsverwaltung und Strafrechtspflege, an Staatsanwaltschaften und ordentliche Gerichte für Zwecke der Strafrechtspflege, an sonstige Notrufdienste sowie an sonstige Stellen zulässig, soweit dies zur Abwehr einer Gefahr, zur Hilfeleistung oder für die Verrechnung erforderlich ist.“

43. § 59 Abs. 1 samt Überschrift lautet:

„Richtigstellung, Aktualisierung und Protokollierung bei Datenverarbeitungen gemeinsam Verantwortlicher

§ 59. (1) Die Sicherheitsbehörden haben als gemeinsam Verantwortliche die von ihnen in Datenverarbeitungen gemeinsam verarbeiteten Daten unter den Voraussetzungen der §§ 61 und 63 Abs. 1 und 3 zu aktualisieren oder richtig zu stellen und zu protokollieren. Eine Aktualisierung oder Richtigstellung von Namen, Geschlecht, früheren Namen, Staatsangehörigkeit, Geburtsdatum, Geburtsort und Wohnanschrift, Namen der Eltern und Aliasdaten darf auch jede andere Sicherheitsbehörde vornehmen. Hievon ist jene Sicherheitsbehörde, die die Daten ursprünglich verarbeitet hat, zu informieren. Bei Einstellung von Ermittlungen oder Beendigung eines Verfahrens einer Staatsanwaltschaft oder eines Strafgerichtes hat die Sicherheitsbehörde die Daten, die sie verarbeitet hat, durch Anmerkung der Einstellung oder Verfahrensbeendigung und des bekannt gewordenen Grundes zu aktualisieren.“

44. § 59 Abs. 2 entfällt und Abs. 3 lautet:

„(3) Erweisen sich aus Datenverarbeitungen gemäß Abs. 1 übermittelte personenbezogene Daten im Nachhinein als unvollständig oder unrichtig, so ist die Richtigstellung oder Aktualisierung in allen Auskünften, die nach der Richtigstellung oder Aktualisierung erfolgen, zu kennzeichnen.“

45. In § 60 Abs. 2 wird das Wort „ermitteln“ durch das Wort „verarbeiten“ und das Wort „Verarbeitung“ durch das Wort „Datenverarbeitung“ ersetzt.

46. In § 61 wird das Wort „verwendeten“ durch das Wort „verarbeiteten“ ersetzt.

47. § 63 samt Überschrift lautet:

„Pflicht zur Richtigstellung, Löschung und Protokollierung

§ 63. (1) Wird festgestellt, dass unrichtige oder entgegen den Bestimmungen dieses Bundesgesetzes verarbeitete personenbezogene Daten verarbeitet werden, so ist unverzüglich eine Richtigstellung oder Löschung vorzunehmen. Desgleichen sind personenbezogene Daten zu löschen, sobald sie für die Erfüllung der Aufgabe, für die sie verwendet worden sind, nicht mehr benötigt werden, es sei denn, für ihre Löschung wäre eine besondere Regelung getroffen worden.

(2) Die Sicherheitsbehörden haben automationsunterstützt verarbeitete personenbezogene Daten, die sechs Jahre unverändert geblieben sind, daraufhin zu überprüfen, ob diese nicht gemäß Abs. 1 richtig zu stellen oder zu löschen sind. Für Daten, die in der Zentralen Informationssammlung verarbeitet werden, gelten die §§ 58 und 59.

(3) § 50 DSG gilt mit der Maßgabe, dass die Zuordnung zu einem bestimmten Organwalter bei automatisierten Abfragen nicht erforderlich ist. Die Protokollaufzeichnungen sind zwei Jahre aufzubewahren und danach zu löschen. Von der Protokollierung ausgenommen sind automatisierte Abfragen gemäß § 54 Abs. 4b, es sei denn, es handelt sich um einen Trefferfall.“

48. § 64 Abs. 2 lautet:

„(2) Erkennungsdienstliche Maßnahmen sind technische Verfahren zur Feststellung von biometrischen oder genetischen Daten (§ 36 Abs. 2 Z 12 und 13 DSG), wie insbesondere die Abnahme von Papillarlinienabdrücken, die Vornahme von Mundhöhlenabstrichen, die Herstellung von Abbildungen, die Vornahme von Messungen oder die Erhebung von Stimmproben, sowie die Feststellung äußerlicher körperlicher Merkmale und die Erhebung von Schriftproben eines Menschen zum Zweck der Wiedererkennung.“

49. In § 65 werden in Abs. 2 die Wortfolge „eines bestimmten gefährlichen Angriffes“ durch die Wort folge „einer mit gerichtlicher Strafe bedrohten vorsätzlichen Handlung“ und die Wortfolge „den gefährlichen Angriff“ durch die Wortfolge „diese Handlung“ sowie in Abs. 6 das Wort „sensibler“ durch die Wortfolge „besonderer Kategorien personenbezogener“, das Wort „Verwendung“ durch das Wort „Verarbeitung“ und die Wortfolge „anderer notwendig ist“ durch die Wortfolge „erforderlich ist,“ ersetzt.

50. § 65 Abs. 5 entfällt.

51. In § 67 werden in Abs. 1 das Wort „Information“ durch die Wortfolge „Daten im Sinne des § 36 Abs. 2 Z 12 DSG“ und das Zitat „iSd“ durch die Wortfolge „im Sinne des“, in Abs. 2 das Wort „Information“ durch das Wort „Daten“ und die Wortfolge „ermittelt wurde, darf“ durch die Wortfolge „ermittelt wurden, dürfen“ sowie in Abs. 2 und 3 jeweils das Wort „Dienstleister“ durch das Wort „Auftragsverarbeiter“ ersetzt.

52. § 68 samt Überschrift lautet:

„Erkennungsdienstliche Maßnahmen auf Antrag oder mit Einwilligung des Betroffenen

§ 68. (1) Sofern jemand dies beantragt und einen Bedarf glaubhaft macht, sind die Sicherheitsbehörden ermächtigt, von ihm Abbildungen oder Papillarlinienabdrücke herzustellen, diese mit dessen Einwilligung gemäß § 75 Abs. 1 zu verarbeiten und ihm diese mit der Bestätigung auszufolgen, dass sie von ihm stammen.

(2) Der Antrag ist abzuweisen, wenn sich der Antragsteller über seine Person nicht genügend auszuweisen vermag.

(3) Die Sicherheitsbehörden sind ermächtigt, zum Zwecke der Vorbeugung gefährlicher Angriffe gegen Leben oder Gesundheit erkennungsdienstliche Daten eines Menschen, der befürchtet, Opfer eines Verbrechens zu werden, mit seiner Einwilligung zu ermitteln und gemäß § 75 Abs. 1 zu verarbeiten.

(4) Die Sicherheitsbehörden sind ermächtigt, für Zwecke des § 66 Abs. 1 erkennungsdienstliche Daten eines Menschen, der befürchtet, Opfer eines Unfalles zu werden, mit seiner Einwilligung zu ermitteln und gemäß § 75 Abs. 1 zu verarbeiten.

(5) Die Ermittlung erkennungsdienstlicher Daten gemäß Abs. 3 und 4 hat zu unterbleiben, wenn sich der Betroffene über seine Person nicht genügend auszuweisen vermag.“

53. In § 69 Abs. 2 werden das Wort „Zustimmung“ durch das Wort „Einwilligung“ und die Wortfolge „ermittelt und benützt“ durch das Wort „verarbeitet“ ersetzt.

54. § 70 samt Überschrift lautet:

„Spurenausscheidungsevidenz

§ 70. Der Bundesminister für Inneres ist ermächtigt, erkennungsdienstliche Daten, die von Organen der Sicherheitsbehörden gemäß § 65 Abs. 2 und § 67 Abs. 1 zweiter Satz ermittelt wurden, samt erkennungsdienstlichen Identitätsdaten (§ 65 Abs. 6) in einer Spurenausscheidungsevidenz zu verarbeiten, wenn diese durch ihre berufliche Tätigkeit regelmäßig Gelegenheit haben, im Zusammenhang mit der Klärung der Umstände einer mit gerichtlicher Strafe bedrohten vorsätzlichen Handlung solche Spuren zu hinterlassen. Eine Verarbeitung dieser Daten zu anderen Zwecken als jenen der Ermittlung ist unzulässig.“

55. In § 71 Abs. 5 wird das Wort „notwendig“ durch das Wort „erforderlich“ ersetzt.

56. § 73 Abs. 1 Z 5 lautet:

         „5. im Fall des § 65 Abs. 2, sobald sie ihre Funktion für den Anlassfall erfüllt haben, im Falle einer Verarbeitung der Daten in der Spurenausscheidungsevidenz nach § 70, sobald das Organ der Sicherheitsbehörde die berufliche Tätigkeit nicht mehr regelmäßig ausübt;“

57. § 75 Abs. 1 lautet:

„(1) Die Sicherheitsbehörden sind als gemeinsam Verantwortliche ermächtigt, die von ihnen gemäß den §§ 65 Abs. 1, 65a, 66 Abs. 1, 67 Abs. 1 erster Satz und Abs. 1a sowie § 68 ermittelten erkennungsdienstlichen Daten, die allenfalls vorhandenen erkennungsdienstlichen Identitätsdaten (§ 65 Abs. 6) und den für die Ermittlung maßgeblichen Grund im Rahmen einer Zentralen erkennungsdienstlichen Evidenz gemeinsam zu verarbeiten. Personenbezogene Daten, die Sicherheitsbehörden nach anderen Bestimmungen rechtmäßig ermittelt haben, dürfen sie in der zentralen erkennungsdienstlichen Evidenz weiterverarbeiten, wenn diese Verarbeitung für sicherheitspolizeiliche Zwecke in diesem Zeitpunkt zulässig wäre.“

58. In § 75 Abs. 2 wird die Wortfolge „zu benützen und zu vergleichen“ durch die Wortfolge „zu verarbeiten“ ersetzt.

59. § 76 lautet:

„§ 76. (1) Erkennungsdienstliche Maßnahmen über Antrag (§ 68 Abs. 1) sind von der Bezirksverwaltungsbehörde, innerhalb ihres örtlichen Wirkungsbereiches von der Landespolizeidirektion als Sicherheitsbehörde erster Instanz (§ 8) vorzunehmen, an die sich der Antragsteller wendet.

(2) Erkennungsdienstliche Maßnahmen mit Einwilligung des Betroffenen (§ 68 Abs. 3 und 4) sind von der Bezirksverwaltungsbehörde, innerhalb ihres örtlichen Wirkungsbereiches von der Landespolizeidirektion als Sicherheitsbehörde erster Instanz (§ 8) vorzunehmen, in deren Sprengel der Betroffene seinen Hauptwohnsitz hat oder der für seine Gefährdung maßgeblichen Tätigkeit nachgeht.

(3) Die Übermittlung erkennungsdienstlicher Daten obliegt im Falle des § 72 dem Bundesminister für Inneres, in den Fällen des § 71 Abs. 3 und 4 jener Sicherheitsbehörde, von der die maßgebliche Amtshandlung geführt wird.

(4) Die Verständigung von der Löschung der gemäß § 70 verarbeiteten erkennungsdienstlichen Daten aus der Spurenausscheidungsevidenz obliegt dem Bundesminister für Inneres. Die Verständigung gemäß § 73 Abs. 3 von der Löschung der Daten aus der Zentralen Erkennungsdienstlichen Evidenz obliegt jener Behörde, die sie dieser übermittelt hat.

(6) Die Löschung erkennungsdienstlicher Daten über Antrag des Betroffenen ist von der Landespolizeidirektion zu veranlassen, in deren Wirkungsbereich die Daten verarbeitet werden. Dieser obliegt die Information nach § 42 iVm § 45 DSG. Erfolgt die Verarbeitung durch den Bundesminister für Inneres als Verantwortlichen, so obliegt diesem die Behandlung des Antrags und die Information nach § 42 iVm § 45 DSG.“

60. § 80 lautet:

„§ 80. (1) Sofern Auskunft über die gemäß § 75 Abs. 1a verarbeiteten Daten begehrt wird, sind die Sicherheitsbehörden ermächtigt, vom Auskunftswerber Abbildungen oder Papillarlinienabdrücke herzustellen oder seine genetischen Daten zu ermitteln und auszuwerten, und diese Daten mit den gemäß § 75 Abs. 1a verarbeiteten Daten zu vergleichen. Von der Erteilung der Auskunft ist abzusehen, wenn der Auskunftswerber an der Ermittlung dieser Daten nicht mitgewirkt hat. Die aus Anlass des Auskunftsverlangens ermittelten Daten über den Auskunftswerber sind gesondert zu verwahren und dürfen innerhalb eines Zeitraums von einem Jahr, im Falle der Erhebung einer Beschwerde gemäß § 32 Abs. 1 Z 4 DSG an die Datenschutzbehörde bis zum rechtskräftigen Abschluss des Verfahrens, nicht vernichtet werden.

(2) Die Auskunft über erkennungsdienstliche Daten gemäß §§ 42 und 44 DSG ist von jener Landespolizeidirektion zu erteilen, in deren Wirkungsbereich die erkennungsdienstlichen Daten verarbeitet werden, wurden die Daten vom Bundesminister für Inneres verarbeitet, von diesem.“

61. § 90 lautet:

„§ 90. Die Datenschutzbehörde entscheidet gemäß § 32 Abs. 1 Z 4 DSG über Beschwerden wegen Verletzung von Rechten durch Verarbeiten personenbezogener Daten in Angelegenheiten der Sicherheitsverwaltung entgegen den Bestimmungen des Datenschutzgesetzes. Davon ausgenommen ist die Beurteilung der Rechtmäßigkeit der Ermittlung von Daten durch die Ausübung verwaltungsbehördlicher Befehls- und Zwangsgewalt.“

62. In § 91c Abs. 2 wird jeweils das Wort „Datenanwendung“ durch das Wort „Datenverarbeitung“ ersetzt.

63. § 91d Abs. 3 lautet:

„(3) Nimmt der Rechtsschutzbeauftragte wahr, dass durch Verarbeiten personenbezogener Daten Rechte von Betroffenen verletzt worden sind, die von dieser Verarbeitung keine Kenntnis haben, so ist er zu deren Information oder, sofern eine solche aus den Gründen des § 43 Abs. 4 des DSG nicht erfolgen kann, zur Erhebung einer Beschwerde an die Datenschutzbehörde nach § 90 verpflichtet. In einem solchen Verfahren vor der Datenschutzbehörde ist auf § 43 Abs. 4 DSG über die Beschränkung des Auskunftsrechtes Bedacht zu nehmen.“

64. Dem § 94 wird folgender Abs. 44 angefügt:

„(44) Die §§ 7 Abs. 4, 13 Abs. 2 bis 4, 35a Abs. 5, 51, 52, 53 Abs. 1, 2, 3a, 4 und 5, 53a Abs. 2, 5, 5a und 6 samt Überschrift, 53b, 54 Abs. 5, 6 und 7, 54b Abs. 1 und 3, 55 Abs. 4, 55a Abs. 4, 55b Abs. 1, 56 Abs. 1, 3 und 5, 57, 58, 58a, 58b Abs. 1, 58c, 58d Abs. 1, 58e samt Überschrift, 59 Abs. 1 und 3 samt Überschrift, 60 Abs. 2, 61, 63 samt Überschrift, 64 Abs. 2, 65 Abs. 2 und 6, 67, 68 samt Überschrift, 69 Abs. 2, 70 samt Überschrift, 71 Abs. 5, 73 Abs. 1 Z 5, 75 Abs. 1 und 2, 76, 80, 90, 91c Abs. 2 und 91d Abs. 3, die Überschrift des 4. Teils sowie die Einträge im Inhaltsverzeichnis zum 4. Teil sowie zu den §§ 53a, 58e, 59, 63, 68 und 70 in der Fassung des Bundesgesetzes BGBl. I Nr. XX/2018 treten mit 25. Mai 2018 in Kraft. Gleichzeitig treten die §§ 56 Abs. 2, 59 Abs. 2 und 65 Abs. 5 außer Kraft.“

Artikel 17

Änderung des Polizeilichen Staatsschutzgesetzes

Das Polizeiliche Staatsschutzgesetz (PStSG), BGBl. I Nr. 5/2016, wird wie folgt geändert:

1. In der Überschrift des 3. Hauptstücks wird das Wort „Verwenden“ durch das Wort „Verarbeiten“ ersetzt.

2. In § 9 Abs. 1 erster Satz wird das Wort „Verwenden“ durch die Wendung „Verarbeiten (§ 36 Abs. 2 Z 2 Datenschutzgesetz – DSG, BGBl. I Nr. 165/199)“ und im zweiten Satz die Wortfolge „Beim Verwenden sensibler und strafrechtlich relevanter Daten haben sie“ durch die Wortfolge „Die Verarbeitung besonderer Kategorien personenbezogener Daten gemäß § 39 DSG ist zulässig, soweit dies zur Erfüllung der Aufgabe unbedingt erforderlich ist; dabei sind“ ersetzt.

3. In § 9 Abs. 2 wird das Wort „verwendet“ durch das Wort „verarbeitet“ ersetzt.

4. Dem § 9 werden folgende Abs. 3 und 4 angefügt:

„(3) Protokollaufzeichnungen sind zwei Jahre aufzubewahren und danach zu löschen.

(4) Die Unterrichtungspflicht des § 45 Abs. 4 DSG gilt nicht, wenn die Erteilung dieser Information einem der in § 43 Abs. 4 DSG genannten Zwecke zuwiderliefe.“

5. In § 10 Abs. 1 wird im Einleitungsteil die Wortfolge „ermitteln und weiterverarbeiten“ durch das Wort „verarbeiten“ sowie in Z 4 der Beistrich durch einen Punkt ersetzt und es entfällt der Schlussteil.

6. In § 10 wird in Abs. 2 die Wortfolge „ermitteln und weiterverarbeiten“ durch das Wort „verarbeiten“ sowie in Abs. 4 das Wort „verwenden“ durch das Wort „verarbeiten“ und die Wortfolge „Verwendung von Daten“ durch die Wortfolge „Verarbeitung von personenbezogenen Bilddaten“ ersetzt.

7. Die Überschrift zu § 12 lautet:

„Datenverarbeitungen“

8. In § 12 Abs. 1 wird die Wortfolge „datenschutzrechtliche Auftraggeber in einem vom Bundesamt betriebenen Informationsverbundsystem“ durch die Wortfolge „gemeinsam Verantwortliche in einer Datenverarbeitung“ ersetzt.

9. In § 12 Abs. 1 lautet der Schlussteil:

„sowie tat- und fallbezogene Informationen und Verwaltungsdaten gemeinsam verarbeiten, die gemäß §§ 10 oder 11 oder auf Grundlage des SPG oder der StPO ermittelt und verarbeitet wurden. Der Bundesminister für Inneres übt die Funktion des Auftragsverarbeiters gemäß § 36 Abs. 2 Z 9 iVm § 48 DSG aus.“

10. In § 12 Abs. 2 wird das Wort „Datenanwendung“ durch das Wort „Datenverarbeitung“ und jeweils das Wort „Auftraggeber“ durch das Wort „Verantwortliche“ ersetzt sowie im letzten Satz nach der Wortfolge „der die Daten“ das Wort „ursprünglich“ eingefügt.

11. § 12 Abs. 5 lautet:

„(5) § 50 DSG iVm § 9 Abs. 3 zweiter Satz gilt mit der Maßgabe, dass auch eine Zuordnung der Abfrage oder Übermittlung zu einem bestimmten Organwalter möglich ist.“

12. Nach § 12 Abs. 7 wird folgender Abs. 8 angefügt:

„(8) Bei der Datenverarbeitung nach Abs. 1 obliegt jedem gemeinsam Verantwortlichen (§ 47 DSG) die Erfüllung von Pflichten nach den §§ 42 bis 45 DSG nur hinsichtlich der von ihm ursprünglich verarbeiteten Daten. Nimmt ein Betroffener unter Nachweis seiner Identität ein Recht nach den §§ 43 bis 45 DSG gegenüber einem unzuständigen gemeinsam Verantwortlichen wahr, ist er an den zuständigen gemeinsam Verantwortlichen zu verweisen, sofern nicht ein Fall des § 43 Abs. 4 DSG vorliegt.“

13. In § 13 Abs. 1 wird das Wort „ermittelten“ durch das Wort „verarbeiteten“, im dritten Satz das Wort „Weiterverarbeitung“ durch die Wortfolge „Verarbeitung weiterhin“ und im letzten Satz das Wort „Weiterverarbeitung“ durch „Verarbeitung“ ersetzt.

14. In § 13 Abs. 2 wird das Wort „verwendet“ durch das Wort „verarbeitet“ ersetzt.

15. In den §§ 14 Abs. 1 und 15 Abs. 1 wird jeweils das Wort „Datenanwendung“ durch das Wort „Datenverarbeitung“ ersetzt.

16. § 16 Abs. 1 lautet:

„(1) Nimmt der Rechtsschutzbeauftragte wahr, dass durch Verarbeiten personenbezogener Daten Rechte von Betroffenen einer Aufgabe nach § 6 Abs. 1 Z 1 oder 2 verletzt worden sind, die von dieser Verarbeitung keine Kenntnis haben, so ist er zu deren Information oder, sofern eine solche aus den Gründen des § 43 Abs. 4 DSG nicht erfolgen kann, zur Erhebung einer Beschwerde an die Datenschutzbehörde nach § 90 SPG verpflichtet. In einem solchen Verfahren vor der Datenschutzbehörde ist auf § 43 Abs. 4 DSG über die Beschränkung des Auskunftsrechtes Bedacht zu nehmen.“

17. In § 16 Abs. 3 wird das Zitat „§ 26 Abs. 2 DSG 2000“ durch das Zitat „§ 43 Abs. 4 DSG“ ersetzt.

18. Nach § 18 Abs. 2 wird folgender Abs. 3 angefügt:

„(3) Die Überschrift des 3. Hauptstücks, die §§ 9, 10 Abs. 1, 2 und 4, 12 Abs. 1, 2, 5 und 8 samt Überschrift, 13, 14 Abs. 1, 15 Abs. 1 sowie 16 Abs. 1 und 3 in der Fassung des Bundesgesetzes BGBl. I Nr. XX/2018 treten mit 25. Mai 2018 in Kraft.“

Artikel 18

Änderung des Polizeikooperationsgesetzes

Das Polizeikooperationsgesetz (PolKG), BGBl. I Nr. 104/1997, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 91/2017, wird wie folgt geändert:

1. Im Inhaltsverzeichnis lauten die Einträge zu §§ 8a und 9:

„§ 8a.	Teilnahme an internationalen Datenverarbeitungen
§ 9.	Verarbeitungsbeschränkung“

2. Im Inhaltsverzeichnis entfällt der Eintrag zu § 10.

3. In § 3 Abs. 2 Z 1 wird das Wort „Verwenden“ durch die Wortfolge „Verarbeiten (§ 36 Abs. 2 Z 2 Datenschutzgesetz – DSG, BGBl. I Nr. 165/1999)“ ersetzt.

4. In § 5 wird in Abs. 1 Z 2 das Wort „Verwenden“ durch das Wort „Verarbeiten“ und in Abs. 3 Z 1 das Wort „Verwenden“ durch „Verarbeiten“ ersetzt.

5. In § 7 wird in Abs. 1 das Wort „verwenden“ durch das Wort „verarbeiten“ und in Abs. 5 das Wort „Verwenden“ durch das Wort „Verarbeiten“ ersetzt.

6. § 8 lautet:

„§ 8. (1) Die Übermittlung personenbezogener Daten für Zwecke der Sicherheits- oder Kriminalpolizei (§ 1 Abs. 1 Z 1 und 2) ist zulässig

           1. an Sicherheitsbehörden anderer Mitgliedstaaten der Europäischen Union sowie an Europol unter denselben Voraussetzungen wie für Übermittlungen personenbezogener Daten an inländische Behörden gemäß den sicherheitspolizeilichen und strafprozessualen Vorschriften;

           2. an Sicherheitsbehörden von Drittstaaten oder Sicherheitsorganisationen gemäß § 2 Abs. 2 Z 2 und 3 unter den Voraussetzungen der §§ 58 und 59 DSG.

(2) Die Übermittlung personenbezogener Daten für Zwecke des Passwesens, der Fremdenpolizei und der Grenzkontrolle (§ 1 Abs. 1 Z 3) ist zulässig

           1. an Sicherheitsbehörden anderer Mitgliedstaaten der Europäischen Union sowie an Europol, soweit dies zur Erfüllung ihrer Aufgaben erforderlich ist;

           2. an Sicherheitsbehörden von Drittstaaten oder Sicherheitsorganisationen gemäß § 2 Abs. 2 Z 2 und 3 nach den Bestimmungen des Kapitels V der Verordnung (EU) Nr. 679/2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. L 119 vom 04.05.2016 S. 1.“

7. In der Überschrift zu § 8a wird das Wort „Informationsverbundsystemen“ durch das Wort „Datenverarbeitungen“ ersetzt.

8. § 8a Abs. 1 lautet:

„(1) Der Bundesminister für Inneres darf im Rahmen der internationalen polizeilichen Kooperation für Zwecke der Sicherheits- und Kriminalpolizei an gemeinsamen Datenverarbeitungen mit ausländischen Sicherheitsbehörden und Sicherheitsorganisationen teilnehmen. Eine gemeinsame Datenverarbeitung mit Sicherheitsbehörden von Drittstaaten oder Sicherheitsorganisationen gemäß § 2 Abs. 2 Z 2 und 3 ist bei Vorliegen der Voraussetzungen nach § 8 Abs. 1 Z 2 zulässig. Als Auftragsverarbeiter der Datenverarbeitungen dürfen Sicherheitsorganisationen und ausländische Sicherheitsbehörden herangezogen werden.“

9. In § 8a Abs. 2 wird im Einleitungsteil die Wortfolge „Auftraggeber in einem Informationsverbundsystem“ durch die Wortfolge „Verantwortlicher in einer Datenverarbeitung“ ersetzt sowie die Wortfolge „erforderlich sind“ angefügt.

10. In § 8a Abs. 2 wird in Z 1 die Wortfolge „Interpol oder“ durch die Wendung „Interpol;“ ersetzt sowie in Z 2 nach der Wendung „in Verbindung steht“ der Beistrich durch einen Strichpunkt ersetzt und die Wortfolge „die §§ 46, 47 zweiter und dritter Satz, 48, 59 Abs. 4 und 5 DSG sind nicht anzuwenden.“ angefügt.

11. In § 8a Abs. 2 wird im Schlussteil die Wendung „sensibler Daten (§ 4 Z 2 DSG 2000)“ durch die Wendung „besonderer Kategorien personenbezogener Daten (§ 39 DSG)“ und die Wendung „§ 26 DSG 2000 gilt“ durch die Wendung „Die §§ 42 ff DSG gelten“ ersetzt und es entfallen die Wortfolgen „erforderlich sind.“ und „als Auftraggeber“.12. In § 8a Abs. 3 wird die Wendung „im Informationsverbundsystem“ durch die Wortfolge „in einer Datenverarbeitung gemäß Abs. 1“ und das Wort „Verwendung“ durch das Wort „Verarbeitung“ ersetzt.

13. In § 8a Abs. 4 wird die Wendung „einem internationalen Informationsverbundsystem“ durch die Wendung „einer Datenverarbeitung gemäß Abs. 1“, die Wendung „im Informationsverbundsystem“ durch die Wendung „in einer Datenverarbeitung“ ersetzt und es entfällt die Wendung „als Auftraggeber“.

14. § 9 samt Überschrift lautet:

„Verarbeitungsbeschränkung

§ 9. Personenbezogene Daten, die von Sicherheitsorganisationen oder ausländischen Sicherheitsbehörden übermittelt worden sind, dürfen nur mit vorheriger Zustimmung der übermittelnden Stelle zu anderen als den der Übermittlung zugrundeliegenden Zwecken verarbeitet werden.“

15. § 10 samt Überschrift entfällt.

16. § 11 lautet:

„§ 11. § 50 DSG gilt mit der Maßgabe, dass die Zuordnung zu einem bestimmten Organwalter bei automatisierten Abfragen nicht erforderlich ist. Protokollaufzeichnungen sind, sofern völkerrechtlich nicht anderes vereinbart ist, mindestens zwei Jahre aufzubewahren.“

17. In § 12 wird nach der Wendung „maßgebliche Bestimmungen“ das Zitat „gemäß § 44 DSG“, nach der Wendung „zur Stellungnahme“ die Wortfolge „über das Vorliegen einer Voraussetzung gemäß § 43 Abs. 4 DSG“ sowie nach der Wendung „drei Monaten“ die Wendung „ab Einlangen“ eingefügt.

18. In § 18 Z 1 wird das Wort „Verwendung“ durch das Wort „Verarbeitung“ ersetzt.

19. Nach § 20 Abs. 9 wird folgender Abs. 10 angefügt:

„(10) Die §§ 3 Abs. 2 Z 1, 5 Abs. 1 Z 2 und Abs. 3 Z 1, 7 Abs. 1 und 5, 8, 8a samt Überschrift, 9 samt Überschrift, 11, 12 und 18 Z 1 sowie die Einträge im Inhaltsverzeichnis zu §§ 8a und 9 in der Fassung des Bundesgesetzes BGBl. I Nr. XX/2018 treten mit 25. Mai 2018 in Kraft. Gleichzeitig treten § 10 samt Überschrift sowie der Eintrag im Inhaltsverzeichnis zu § 10 außer Kraft.“

Artikel 19

Änderung des EU-Polizeikooperationsgesetzes

Das EU-Polizeikooperationsgesetz (EU-PolKG), BGBl. I Nr. 132/2009, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 101/2017, wird wie folgt geändert:

1. Im Inhaltsverzeichnis lautet der Eintrag zu § 6:

„§ 6.

Verarbeitung von Daten durch Sicherheitsbehörden“

2. Im Inhaltsverzeichnis lautet der Eintrag zu § 22:

„§ 22.

Verarbeitung der Daten der DNA-Analysedateien“

3. Im Inhaltsverzeichnis lautet der Eintrag zu § 24:

„§ 24.

Verarbeitung daktyloskopischer Daten“

4. In § 1 Abs. 2 wird die Wendung „Datenschutzgesetz 2000 (DSG 2000)“ durch die Wendung „Datenschutzgesetz (DSG)“ ersetzt.

5. In § 3 Abs. 1 und 3 wird jeweils das Wort „Verwendung“ durch das Wort „Verarbeitung“ ersetzt.

6. In § 4 Abs. 1 wird das Zitat „S. 1 – 11“ durch das Zitat „S. 1“ ersetzt.

7. In § 5 wird in Abs. 2 das Wort „verwenden“ durch das Wort „verarbeiten“ und in Abs. 4 das Klammerzitat „(§ 35 DSG 2000)“ durch das Klammerzitat „(§ 18 DSG)“ ersetzt.

8. In den Überschriften zu §§ 6, 22 und 24 wird jeweils das Wort „Verwendung“ durch das Wort „Verarbeitung“ ersetzt.

9. In § 6 wird in Abs. 1 das Wort „verwenden“ durch das Wort „verarbeiten“ und in den Abs. 2 und 3 jeweils das Wort „Verwendung“ durch das Wort „Verarbeitung“ ersetzt.

10. In § 26 wird das Wort „Verwendung“ durch das Wort „Verarbeitung“ ersetzt.

11. In § 33 Abs. 1 werden die Wendung „Auftraggeber im Sinne des § 4 DSG 2000“ durch die Wendung „Verantwortlicher im Sinne des § 36 Abs. 2 Z 8 DSG“, das Wort „Datenanwendung“ durch das Wort „Datenverarbeitung“ sowie die Wendung „weiter zu verarbeiten und zu verwenden“ durch die Wendung „zu verarbeiten“ ersetzt.

12. In § 33 wird in Abs. 3 jeweils das Wort „verwendet“ durch das Wort „verarbeitet“ und in Abs. 7 das Wort „weitergegeben“ durch das Wort „übermittelt“ ersetzt.

13. In § 43 wird das Zitat „§ 26 DSG 2000“ durch das Zitat „§ 44 DSG“ ersetzt und nach der Wortfolge „Gelegenheit zur Stellungnahme“ die Wortfolge „über das Vorliegen einer Voraussetzung gemäß § 43 Abs. 4 DSG“ eingefügt.

14. Nach § 46 Abs. 6 wird folgender Abs. 7 angefügt:

„(7) Die §§ 1 Abs. 2, 3 Abs. 1 und 3, 4 Abs. 1, 5 Abs. 2 und 4, 6 samt Überschrift, die Überschriften zu §§ 22 und 24, §§ 26, 33 Abs. 1, 3 und 7, 43 sowie die Einträge im Inhaltsverzeichnis zu den §§ 6, 22 und 24 in der Fassung des Bundesgesetzes BGBl. I Nr. XX/2018 treten mit 25. Mai 2018 in Kraft.“

Artikel 20

Änderung des Bundespräsidentenwahlgesetzes 1971

Das Bundespräsidentenwahlgesetz 1971 – BPräsWG, BGBl. 57/1971, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 120/2016, wird wie folgt geändert:

1. Nach § 25 wird folgender § 25a eingefügt:

„§ 25a. Hinsichtlich der Verarbeitung personenbezogener Daten nach diesem Bundesgesetz besteht kein Widerspruchsrecht gemäß Art. 21 der Verordnung (EU) Nr. 679/2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 27.04.2016 S. 1 (DSGVO).“

2. § 28 wird folgender Abs. 14 angefügt:

„(14) § 25a in der Fassung des Bundesgesetzes BGBl. I Nr. XX/2018 tritt mit 25. Mai 2018 in Kraft.“

Artikel 21

Änderung des Europäischen-Bürgerinitiativen-Gesetzes

Das Bundesgesetz über die Durchführung von Europäischen Bürgerinitiativen (Europäische-Bürgerinitiative-Gesetz – EBIG), BGBl. I Nr. 12/2012., zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 50/2016, wird wie folgt geändert:

1. In § 3 Abs. 2 wird das Wort „Dateien“ durch das Wort „Dateisystemen“ und die Wendung „einer Datenbank“ durch die Wendung „einem Dateisystem“ ersetzt.

2. In § 3 Abs. 6 wird die Wendung „der Datenbank“ durch die Wendung „des Dateisystems gemäß Abs. 2“ ersetzt.

3. In § 3 Abs. 8 wird die Wendung „die Datenbank“ durch die Wendung „das Dateisystem“ ersetzt.

4. § 3 wird folgender Abs. 9 angefügt:

„(9) Hinsichtlich der Verarbeitung personenbezogener Daten nach diesem Bundesgesetz besteht kein Widerspruchsrecht gemäß Art. 21 der Verordnung (EU) Nr. 679/2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 27.04.2016 S. 1 (DSGVO).“

5. § 10 wird folgender Abs. 4 angefügt:

„(4) § 3 Abs. 2, 6, 8 und 9 in der Fassung des Bundesgesetzes BGBl. I Nr. XX/2018 treten mit 25. Mai 2018 in Kraft.“

Artikel 22

Änderung des Europa-Wählerevidenzgesetzes

Das Bundesgesetz über die Führung ständiger Evidenzen der Wahl- und Stimmberechtigten bei Wahlen zum Europäischen Parlament (Europa-Wählerevidenzgesetz – EuWEG), BGBl. Nr. 118/1996, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 120/2016, wird wie folgt geändert:

1. In § 13 Abs. 4 wird das Wort „verwendet“ durch das Wort „verarbeitet“ ersetzt.

2. § 13 wird folgender Abs. 5 angefügt:

„(5) Hinsichtlich der Verarbeitung personenbezogener Daten nach diesem Bundesgesetz besteht kein Widerspruchsrecht gemäß Art. 21 der Verordnung (EU) Nr. 679/2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 27.04.2016 S. 1 (DSGVO).“

3. § 18 samt Überschrift lautet:

„Übergangsbestimmung

§ 18. Der Bund hat pro zum 31. Dezember 2016 und zum 31. Dezember 2017 erfasstem Unionsbürger, der nicht die österreichische Staatsangehörigkeit besitzt, eine Pauschalentschädigung in der Höhe von jeweils 0,50 Euro zu leisten.“

4. § 20 wird folgender Abs. 12 angefügt:

„(12) § 13 Abs. 4 und 5 und § 18 in der Fassung des Bundesgesetzes BGBl. I Nr. XX/2018 treten mit 25. Mai 2018 in Kraft.“

Artikel 23

Änderung der Europawahlordnung

Das Bundesgesetz über die Wahl der Mitglieder des Europäischen Parlaments (Europawahlordnung – EuWO), BGBl. Nr. 117/1996, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 120/2016, wird wie folgt geändert:

1. In § 11 Abs. 1 wird die Wendung „EDV-Applikation“ durch die Wendung „EDV-Datenverarbeitung“ ersetzt.

2. § 11 wird folgender Abs. 5 angefügt:

„(5) Hinsichtlich der Verarbeitung personenbezogener Daten nach diesem Bundesgesetz besteht kein Widerspruchsrecht gemäß Art. 21 der Verordnung (EU) Nr. 679/2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 27.04.2016 S. 1 (DSGVO).“

3. In § 34 Abs. 1 wird die Wendung „einer vom Zustellungsbevollmächtigten zur Verfügung gestellten Datei“ durch die Wendung „eines vom Zustellungsbevollmächtigten übermittelten Dateisystems“ ersetzt.

4. In § 39 Abs. 8 wird die Wendung „einer elektronischen Datei“ durch die Wendung „einem elektronischen Dateisystem“ ersetzt.

5. § 91 wird folgender Abs. 15 angefügt:

„(15) § 11 Abs. 1 und 5, § 34 Abs. 1, § 39 Abs. 8 und § 72 Abs. 6 in der Fassung des Bundesgesetzes BGBl. I Nr. XX/2018 treten mit 25. Mai 2018 in Kraft.“

Artikel 24

Änderung der Nationalrats-Wahlordnung 1992

Das Bundesgesetz über die Wahl des Nationalrates (Nationalrats-Wahlordnung 1992 – NRWO), BGBl. Nr. 471/1992, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 120/2016, wird wie folgt geändert:

1. In § 23 Abs. 1 wird die Wendung „EDV-Applikationen“ durch die Wendung „EDV-Datenverarbeitungen“ ersetzt.

2. § 23 wird folgender Abs. 5 angefügt:

„(5) Hinsichtlich der Verarbeitung personenbezogener Daten nach diesem Bundesgesetz besteht kein Widerspruchsrecht gemäß Art. 21 der Verordnung (EU) Nr. 679/2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 27.04.2016 S. 1 (DSGVO).“

3. In § 46 Abs. 1 wird die Wendung „einer vom Zustellungsbevollmächtigten zur Verfügung gestellten Datei“ durch die Wendung „eines vom Zustellungsbevollmächtigten übermittelten Dateisystems“ ersetzt.

4. In § 52 Abs. 7 wird die Wendung „einer elektronischen Datei“ durch die Wendung „einem elektronischen Dateisystem“ ersetzt.

5. In § 106 Abs. 5 wird die Wendung „einer vom Zustellungsbevollmächtigten zur Verfügung gestellten Datei“ durch die Wendung „eines vom Zustellungsbevollmächtigten übermittelten Dateisystems“ ersetzt.

6. § 129 wird folgender Abs. 12 angefügt:

„(12) § 23 Abs. 1 und 5, § 46 Abs. 1, § 52 Abs. 7 und § 106 Abs. 5 in der Fassung des Bundesgesetzes BGBl. I Nr. XX/2018 treten mit 25. Mai 2018 in Kraft.“

Artikel 25

Änderung des Volksabstimmungsgesetzes 1972

Das Volksabstimmungsgesetz 1972 – VAbstG, BGBl. 79/1973, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 106/2016, wird wie folgt geändert:

1. In § 6 Abs. 3 wird die Wendung „EDV-Applikation“ durch die Wendung „EDV-Datenverarbeitung“ ersetzt.

2. § 19 wird folgender Abs. 3 angefügt:

„(3) Hinsichtlich der Verarbeitung personenbezogener Daten nach diesem Bundesgesetz besteht kein Widerspruchsrecht gemäß Art. 21 der Verordnung (EU) Nr. 679/2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 27.04.2016 S. 1 (DSGVO).“

3. § 21 wird folgender Abs. 9 angefügt:

„(9) § 6 Abs. 3 und § 19 Abs. 3 in der Fassung des Bundesgesetzes BGBl. I Nr. XX/2018 treten mit 25. Mai 2018 in Kraft.“

Artikel 26

Änderung des Volksbefragungsgesetzes 1989

Das Volksbefragungsgesetz 1989 – VBefrG, BGBl. Nr. 356/1989, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 106/2016, wird wie folgt geändert:

1. In § 6 Abs. 3 wird die Wendung „EDV-Applikation“ durch die Wendung „EDV-Datenverarbeitung“ ersetzt.

2. § 20 wird folgender Abs. 4 angefügt:

„(4) Hinsichtlich der Verarbeitung personenbezogener Daten nach diesem Bundesgesetz besteht kein Widerspruchsrecht gemäß Art. 21 der Verordnung (EU) Nr. 679/2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 27.04.2016 S. 1 (DSGVO).“

3. § 21 wird folgender Abs. 10 angefügt:

„(10) § 6 Abs. 3 und § 20 Abs. 4 in der Fassung des Bundesgesetzes BGBl. I Nr. XX/2018 treten mit 25. Mai 2018 in Kraft.“

Artikel 27

Änderung des Volksbegehrengesetzes 2018

Das Volksbegehrengesetz 2018 – VoBeG, BGBl. I Nr. 106/2016, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 120/2016, wird wie folgt geändert:

1. In § 4 Abs. 4 wird folgender dritter Satz angefügt:

„Registrierungen von Volksbegehren und Vermerke über getätigte Unterstützungserklärungen sind zu löschen, wenn der Einleitungsantrag abgewiesen wurde und die Abweisung unanfechtbar feststeht.“

2. In § 5 Abs. 1 Z 1 wird das Wort „Datenanwendung“ durch das Wort „Datenverarbeitung“ ersetzt.

3. In § 5 Abs. 2, dritter Satz wird die Wendung „und der Gemeinde, bei der Unterstützungserklärung abgegeben wird, zu unterschreiben“ durch die Wendung „und der Gemeinde, bei der die Unterstützungserklärung abgegeben wird, angeführt sind, zu unterschreiben“ ersetzt.

4. In § 5 Abs. 2, vierter Satz wird das Wort „Datenanwendung“ durch das Wort „Datenverarbeitung“ ersetzt.

5. In § 5 Abs. 2 wird nach dem fünften Satz folgender neuer Satz eingefügt:

„Wenn ein Einleitungsantrag abgewiesen wurde und eine Anfechtung nicht mehr möglich ist oder ein Einleitungsantrag bis zum Ablauf des 31. Dezember des dem Jahr, in dem die Anmeldung vorgenommen wurde, folgenden Jahr nicht gestellt wurde, ist das unterschriebene Formular von der Gemeinde nach entsprechender Verständigung durch den Bundesminister für Inneres unverzüglich zu vernichten.“

6. In § 5 Abs. 3 wird das Wort „Stimmberechtigten“ durch das Wort „Unterstützungswilligen“ ersetzt.

7. In § 5 Abs. 4 wird das Wort „Stimmberechtigter“ durch das Wort „Unterstützungswilliger“ ersetzt und die Wendung „der Vorschriften des Abschnittes III“ entfällt.

8. In § 6 Abs. 1 wird das Wort „Datenanwendung“ durch das Wort „Datenverarbeitung“ ersetzt.

9. In § 11 Abs. 1 Z 1 wird das Wort „Anwendung“ durch das Wort „Datenverarbeitung“ und das Wort „Datenanwendung“ durch das Wort „Datenverarbeitung“ ersetzt.

10. In § 11 Abs. 2 wird die Wendung „zum Nationalrat wahlberechtigt ist (§ 21 Abs. 1 NRWO)“ durch die Wendung „stimmberechtigt ist (§ 7)“ ersetzt.

11. In § 11 Abs. 2, dritter Satz wird die Wendung „bei der die Eintragung getätigt wird, zu unterschreiben.“ durch die Wendung „bei der die Eintragung getätigt wird, angeführt sind, zu unterschreiben.“ ersetzt.

12. In § 11 Abs. 2, vierter Satz wird das Wort „Datenanwendung“ durch das Wort „Datenverarbeitung“ ersetzt.

13. § 11 wird folgender Abs. 5 angefügt:

„(5) Hinsichtlich der Verarbeitung personenbezogener Daten nach diesem Bundesgesetz besteht kein Widerspruchsrecht gemäß Art. 21 der Verordnung (EU) Nr. 679/2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 27.04.2016 S. 1 (DSGVO).“

14. In § 13 Abs. 1 wird das Wort „Datenanwendung“ durch das Wort „Datenverarbeitung“ ersetzt.

15. § 24 samt Überschrift lautet:

„Übergangsbestimmung

§ 24. Für die Durchführung des nach dem Volksbegehrengesetz 1973 vollzogenen Volksbegehrens, für das der Eintragungszeitraum von 23. Jänner bis 30. Jänner 2017 festgelegt war, hat der Bund an die Gemeinden eine Pauschalentschädigung in der Höhe von 0,38 Euro pro stimmberechtigt gewesener Person zu leisten. Die Pauschalentschädigungen sind innerhalb von zwei Jahren nach dem letzten Tag des Eintragungszeitraums an die Landeshauptmänner anzuweisen. Die Landeshauptmänner haben die Pauschalentschädigungen unverzüglich an die Gemeinden weiterzuleiten. Die Pauschalentschädigung für die Stadt Wien ist ebenfalls bis zu diesem Zeitpunkt vom Bundesminister für Inneres anzuweisen.“

16. § 26 erhält in seiner bisherigen Form die Absatzbezeichnung „(1)“ und es wird folgender Abs. 2 angefügt:

„(2) § 4 Abs. 4, § 5 Abs. 1, 2, 3 und 4, § 6 Abs. 1, § 11 Abs. 1, 2 und 5, § 13 Abs. 1 und § 24 in der Fassung des Bundesgesetzes BGBl. I Nr. XX/2018 treten mit 25. Mai 2018 in Kraft.“

Artikel 28

Änderung des Wählerevidenzgesetzes 2018

Das Bundesgesetz über die Führung ständiger Evidenzen der Wahl- und Stimmberechtigten (Wählerevidenzgesetz 2018 – WEviG), BGBl. I Nr. 106/2016., zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 120/2016, wird wie folgt geändert:

1. In § 2 Abs. 7 wird das Wort „verwendet“ durch das Wort „verarbeitet“ ersetzt.

2. § 4 Abs. 1 lautet:

„(1) Die Gemeinden haben die Wählerevidenzen im Sinne dieses Bundesgesetzes oder der Bestimmungen in anderen Bundesgesetzen, insbesondere des Europa-Wählerevidenzgesetzes, sowie aufgrund von entsprechend Art. 26a Abs. 2 des Bundes-Verfassungsgesetzes – B-VG, BGBl. Nr. 1/1930, bestehenden landesgesetzlichen Bestimmungen als gemeinsame Verantwortliche in der Datenverarbeitung „Zentrales Wählerregister“ (ZeWaeR) zu führen. Die Erfüllung von Informations-, Auskunfts-, Berichtigungs-, Löschungs- und sonstigen Pflichten nach den Bestimmungen der Verordnung (EU) Nr. 679/2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 27.04.2016 S. 1, (im Folgenden: DSGVO) gegenüber dem Betroffenen obliegt jedem Verantwortlichen hinsichtlich jener Daten, die im Zusammenhang mit den von ihm geführten Verfahren oder den von ihm gesetzten Maßnahmen verarbeitet werden. Nimmt ein Betroffener unter Nachweis seiner Identität ein Recht nach der DSGVO gegenüber einem unzuständigen Verantwortlichen wahr, ist er an den zuständigen Verantwortlichen zu verweisen. Soweit der Bundesminister für Inneres aufgrund bundesgesetzlicher oder landesgesetzlicher Vorschriften Daten des ZeWaeR zu verarbeiten hat, übt er die Funktion des Auftragsverarbeiters gemäß Art. 4 Z 8 iVm Art. 28 Abs. 1 DSGVO für die jeweilige Gemeinde aus und hat datenqualitätssichernde Maßnahmen zu setzen, wie insbesondere Hinweise auf eine mögliche Identität zweier ähnlicher Datensätze oder die Schreibweise von Adressen zu geben.“

3. § 4 Abs. 3 lautet:

„(3) Jede im ZeWaeR und jede auf Daten des ZeWaeR aufbauende Datenverarbeitung bedarf einer ausdrücklichen bundesgesetzlichen oder in Ausführung von Art. 26a Abs. 2 B-VG erlassenen ausdrücklichen landesgesetzlichen Grundlage. Alle Zugriffe auf das ZeWaeR und auf die auf das ZeWaeR aufbauenden Datenverarbeitungen sind zu protokollieren. Protokolldaten über tatsächlich durchgeführte Verarbeitungsvorgänge, wie insbesondere Änderungen, Abfragen und Übermittlungen, sind zwei Jahre lang aufzubewahren.“

4. In § 4 Abs. 4 wird das Wort „Datenanwendungen“ jeweils durch das Wort „Datenverarbeitungen“ ersetzt.

5. § 4 wird folgender Abs. 6 angefügt:

„(6) Hinsichtlich der Verarbeitung personenbezogener Daten nach diesem Bundesgesetz besteht kein Widerspruchsrecht gemäß Art. 21 der Verordnung (EU) Nr. 679/2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 27.04.2016 S. 1 (DSGVO).“

6. § 17 samt Überschrift lautet:

„Übergangsbestimmung

§ 17. Der Bund hat pro zum 31. Dezember 2016 und zum 31. Dezember 2017 aufgrund des Wählerevidenzgesetzes 1973 erfasster Person eine Pauschalentschädigung in der Höhe von jeweils 0,50 Euro zu leisten. Die Pauschalentschädigungen sind innerhalb von zwei Jahren nach dem jeweils genannten Zeitpunkt an die Landeshauptmänner anzuweisen. Die Landeshauptmänner haben die Pauschalentschädigungen unverzüglich an die Gemeinden weiterzuleiten. Die Pauschalentschädigung für die Stadt Wien ist ebenfalls bis zum jeweils genannten Zeitpunkt vom Bundesminister für Inneres anzuweisen.“

7. § 19 erhält in seiner bisherigen Form die Absatzbezeichnung „(1)“ und es wird folgender Abs. 2 angefügt:

„(2) § 2 Abs. 7, § 4 Abs. 1, 3, 4 und 6, § 17 und § 19 Abs. 1 in der Fassung des Bundesgesetzes BGBl. I Nr. XX/2018 treten mit 25. Mai 2018 in Kraft.“