(1) Die Personenstandsbehörden sind als gemeinsam Verantwortliche gemäß Art. 4 Z 7 in Verbindung mit Art. 26 Abs. 1 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 4.5.2016 S. 1, (im Folgenden: DSGVO) ermächtigt, allgemeine und besondere Personenstandsdaten für die Wahrnehmung der ihnen nach diesem Bundesgesetz übertragenen Aufgaben gemeinsam in der Art zu verarbeiten, dass jeder Verantwortliche auch auf jene Daten in der Datenverarbeitung Zugriff hat, die dieser von den anderen Verantwortlichen zur Verfügung gestellt wurden (Zentrales Personenstandsregister – ZPR).

(1a) Die Erfüllung von Informations-, Auskunfts-, Berichtigungs-, Löschungs- und sonstigen Pflichten nach den Bestimmungen der DSGVO gegenüber dem Betroffenen obliegt jedem Verantwortlichen hinsichtlich jener Daten, die im Zusammenhang mit den von ihm geführten Verfahren oder den von ihm gesetzten Maßnahmen verarbeitet werden. Nimmt ein Betroffener unter Nachweis seiner Identität ein Recht nach der DSGVO gegenüber einem gemäß dem ersten Satz unzuständigen Verantwortlichen wahr, ist er an den zuständigen Verantwortlichen zu verweisen.

(2) Im zentralen Personenstandsregister können Zeitpunkt und Ort des Todes einer Person abgefragt werden, wenn der Anfragende die Person durch die Namen sowie zumindest ein weiteres Merkmal im Hinblick auf alle im ZPR verarbeiteten Gesamtdatensätze eindeutig bestimmen kann. Wird ein bPK für die Verwendung im privaten Bereich zur Identifizierung des Betroffenen angegeben, so muss der Anfragende auch seine eigene Stammzahl zum Zwecke der Überprüfung der Richtigkeit des bPK zur Verfügung stellen. Die für die Abfrage zu entrichtenden Kosten sind vom Bundesminister für Inneres im Einvernehmen mit dem Bundesminister für Finanzen durch Verordnung festzulegen. Diese Abfrage ist von sonstigen Gebühren und Verwaltungsabgaben befreit.

(3) Der Bundesminister für Inneres übt die Funktion des Auftragsverarbeiters gemäß Art. 4 Z 8 in Verbindung mit Art. 28 Abs. 1 DSGVO aus. Er ist in dieser Funktion verpflichtet, die Datenschutzpflichten gemäß Art. 28 Abs. 3 lit. a bis h DSGVO wahrzunehmen. In dieser Funktion hat er datenqualitätssichernde Maßnahmen zu setzen, wie insbesondere Hinweise auf eine mögliche Identität zweier ähnlicher Datensätze oder die Schreibweise von Adressen zu geben. Zudem ist er berechtigt, weitere Auftragsverarbeiter in Anspruch zu nehmen.

(4) Eine Vereinbarung zur Kostenbeteiligung der anderen Gebietskörperschaften im Ausmaß der zu erwartenden Nutzung durch diese ist zulässig.

(5) Protokolldaten über tatsächlich durchgeführte Verarbeitungsvorgänge, wie insbesondere Änderungen, Abfragen und Übermittlungen, sind drei Jahre lang aufzubewahren.