§ 28 BFA-VG

(1) Das Bundesamt ist ermächtigt, die von ihm ermittelten Informationen zum Verfahrensstand (Verfahrensdaten), insbesondere über Anträge, Entscheidungen, Rechtsmittel, Abschiebungen und freiwillige Rückkehren, einschließlich der für die Erlassung eines Bescheides gemäß § 2 Abs. 1c oder 1e GVG-B 2005 erforderlichen Angaben, zu verarbeiten (Zentrale Verfahrensdatei).

(2) Der Bundesminister für Inneres übt die Funktion des Auftragsverarbeiters gemäß Art. 4 Z 8 in Verbindung mit Art. 28 Abs. 1 DSGVO aus. Er ist in dieser Funktion verpflichtet, die Datenschutzpflichten gemäß Art. 28 Abs. 3 lit. a bis h DSGVO wahrzunehmen. Zudem ist er berechtigt, weitere Auftragsverarbeiter in Anspruch zu nehmen.

(3) Das Bundesamt ist ermächtigt, von den Behörden nach dem NAG sowie von den Landespolizeidirektionen verarbeitete Verfahrensdaten zu ermitteln, wenn dies zur Erfüllung seiner Aufgaben unbedingt erforderlich ist.

(4) Abfragen aus der Zentralen Verfahrensdatei sind nur zulässig, wenn der Fremde zumindest nach dem Namen, einer ihm zugeordneten Zahl oder einem Papillarlinienabdruck bestimmt wird. Soweit nicht ein Papillarlinienabdruck als Auswahlkriterium verwendet wird, dürfen Papillarlinienabdrücke und die Unterschrift nur beauskunftet werden, wenn dies eine notwendige Voraussetzung für die Erfüllung einer behördlichen Aufgabe darstellt.

(4a) Die Bundesagentur für Betreuungs- und Unterstützungsleistungen Gesellschaft mit beschränkter Haftung (§ 1 Abs. 1 BBU-Errichtungsgesetz, BGBl. I Nr. 53/2019) ist ermächtigt, personenbezogene Daten gemäß Abs. 1 in die Zentrale Verfahrensdatei einzutragen und wird insoweit als Auftragsverarbeiter gemäß Art. 4 Z 8 DSGVO tätig. Sie ist in dieser Funktion verpflichtet, die Datenschutzpflichten gemäß Art. 28 Abs. 3 lit. a bis h DSGVO wahrzunehmen, und ist bei der Vornahme solcher Eintragungen an die Weisungen des Bundesamtes als datenschutzrechtlich Verantwortlicher (Art. 4 Z 7 iVm Art. 26 Abs. 1 DSGVO) gebunden.

(5) Für in der Zentralen Verfahrensdatei verarbeitete personenbezogene Daten gilt § 23 Abs. 6. Löschungspflichten nach anderen bundes- oder landesgesetzlichen Vorschriften bleiben unberührt.

(6) Protokolldaten über tatsächlich durchgeführte Verarbeitungsvorgänge, wie insbesondere Änderungen, Abfragen und Übermittlungen, sind drei Jahre lang aufzubewahren.