(1) Der Bundesminister für Inneres, das Bundesamt, die Vertretungsbehörden, die Behörden nach dem NAG und die Landespolizeidirektionen sind als gemeinsam Verantwortliche gemäß Art. 4 Z 7 in Verbindung mit Art. 26 Abs. 1 DSGVO ermächtigt, personenbezogene Daten von Fremden (§ 27 Abs. 1) gemeinsam in der Art zu verarbeiten, dass jeder Verantwortliche auch auf jene Daten in der Datenverarbeitung Zugriff hat, die dieser von den anderen Verantwortlichen zur Verfügung gestellt wurden (Zentrales Fremdenregister).

(2) Die Erfüllung von Auskunfts-, Informations-, Berichtigungs-, Löschungs- und sonstigen Pflichten nach den Bestimmungen der DSGVO gegenüber dem Betroffenen obliegt jedem Verantwortlichen nur hinsichtlich jener Daten, die im Zusammenhang mit den von ihm geführten Verfahren oder den von ihm gesetzten Maßnahmen verarbeitet werden. Nimmt ein Betroffener unter Nachweis seiner Identität ein Recht nach der DSGVO gegenüber einem gemäß dem ersten Satz unzuständigen Verantwortlichen wahr, ist er an den zuständigen Verantwortlichen zu verweisen.

(3) Der Bundesminister für Inneres übt die Funktion des Auftragsverarbeiters gemäß Art. 4 Z 8 in Verbindung mit Art. 28 Abs. 1 DSGVO aus. Er ist in dieser Funktion verpflichtet, die Datenschutzpflichten gemäß Art. 28 Abs. 3 lit. a bis h DSGVO wahrzunehmen. Zudem ist er berechtigt, weitere Auftragsverarbeiter in Anspruch zu nehmen.

(4) Sind die Voraussetzungen für die Speicherung personenbezogener Daten im Zentralen Fremdenregister weggefallen oder werden diese Daten sonst nicht mehr benötigt, so ist deren weitere Verarbeitung auf Fälle einzuschränken, in denen die Richtigkeit einer beabsichtigten anderen Speicherung gemäß Abs. 1 zu kontrollieren ist. Nach Ablauf von zwei Jahren ab Einschränkung der Verarbeitung sind die Daten auch physisch zu löschen.

(5) Die gemäß Abs. 1 Verantwortlichen sind verpflichtet, unbefristete, im Zentralen Fremdenregister verarbeitete personenbezogene Daten, die seit sechs Jahren unverändert geblieben sind, daraufhin zu überprüfen, ob die Voraussetzungen für eine Einschränkung der Verarbeitung dieser Daten gemäß Abs. 4 erster Satz vorliegen. Nach Ablauf weiterer drei Monate ist die Verarbeitung dieser Daten gemäß Abs. 4 erster Satz einzuschränken, es sei denn, der Verantwortliche hätte vorher bestätigt, dass der für die Speicherung maßgebliche Grund weiterhin besteht. Löschungspflichten gemäß § 23 Abs. 6 bleiben unberührt.

(6) Sobald erkennungsdienstliche Daten im Zentralen Fremdenregister verarbeitet werden, sind sie in der lokalen Anwendung zu löschen.

(7) Für in dem Zentralen Fremdenregister verarbeitete Daten gilt § 23 Abs. 6.