(1) Die Bundesanstalt übernimmt im Rahmen der Gesamtrechtsnachfolge (§ 21 Abs. 1) die Funktion als Verantwortliche gemäß Art. 4 Z 7 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 04.05.2016 S. 1, in der Fassung der Berichtigung ABl. Nr. L 74 vom 04.03.2021 S. 35, (im Folgenden: DSGVO) für die im Bereich der KZ-Gedenkstätte Mauthausen am Tage vor der Gesamtrechtsnachfolge verarbeiteten Daten.

(2) Die Bundesanstalt ist ermächtigt, personenbezogene Daten zu verarbeiten soweit dies zur Erfüllung der ihr übertragenen Aufgaben (§ 3) erforderlich ist. Davon erfasst ist insbesondere auch das Recht, geeignete Personen und Einrichtungen zur Verarbeitung personenbezogener Daten aus historischen Quellen zu beauftragen.

(3) Die Bundesanstalt ist zur Auskunftserteilung an Betroffene und zur Übermittlung personenbezogener Daten von Überlebenden (wie insbesondere Namen und Identitäten von ehemaligen Gefangenen des KZ Mauthausen und seiner Außenlager) oder anderer Personen mit Bezug zum KZ Mauthausen oder seiner Außenlager an Verwandte von Betroffenen, oder an Dritte für Zwecke wissenschaftlicher Untersuchungen befugt. In allen genannten Fällen ist die Identität in geeigneter Form nachzuweisen.

(4) Protokolldaten über tatsächlich durchgeführte Verarbeitungsvorgänge, wie insbesondere Änderungen, Abfragen und Übermittlungen, sind drei Jahre lang aufzubewahren.