RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum26.04.2021 GeschäftszahlW214 2219800-3 SpruchW214 2219800-3/20E, W214 2219800-3/20E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht h

§ 28Abs. 2 Verwaltungsgerichtsverfahrensgesetz, BGBl. I Nr. 33/2013 idg

F (VwGVG) teilweise stattgegeben und festgestellt, dass der XXXX den Beschwerdeführer dadurch im Recht auf Geheimhaltung verletzt hat, indem er über den 24.09.2018 hinaus das Lichtbild des Beschwerdeführers zum Personalausweis Nr XXXX im zentralen und im lokalen Identitätsdokumentenregister gespeichert hat.A1) Der Beschwerde wird

Paragraph 28, Absatz 2, Verwaltungsgerichtsverfahrensgesetz, Bundesgesetzblatt Teil eins, Nr. 33 aus 2013, idgF (VwGVG) teilweise stattgegeben und festgestellt, dass der römisch 40 den Beschwerdeführer dadurch im Recht auf Geheimhaltung verletzt hat, indem er über den 24.09.2018 hinaus das Lichtbild des Beschwerdeführers zum Personalausweis Nr römisch 40 im zentralen und im lokalen Identitätsdokumentenregister gespeichert hat. A2) Dem XXXX wird aufgetragen, innerhalb einer Frist von zwei Wochen das Lichtbild des Beschwerdeführers zum Personalausweis Nr. XXXX sowohl aus dem zentralen Identitätsdokumentenregister als auch aus der lokalen Anwendung zu löschen bzw. die Löschung dieses Lichtbildes zu veranlassen. A2) Dem römisch 40 wird aufgetragen, innerhalb einer Frist von zwei Wochen das Lichtbild des Beschwerdeführers zum Personalausweis Nr. römisch 40 sowohl aus dem zentralen Identitätsdokumentenregister als auch aus der lokalen Anwendung zu löschen bzw. die Löschung dieses Lichtbildes zu veranlassen. A3) Im Übrigen wird die Beschwerde

§ 28Abs. 2 Vw

GVG als unbegründet abgewiesen. A3) Im Übrigen wird die Beschwerde

Paragraph 28, Absatz 2, VwGVG als unbegründet abgewiesen. B) Die Revision ist

Art. 133Abs.

4 B-VG nicht zulässig.Die Revision ist

Artikel 133, Absatz 4, B-VG nicht zulässig. Text

Entscheidungsgründe:, Entscheidungsgründe: I. Verfahrensgangrömisch eins. Verfahrensgang 1. In seiner an die Datenschutzbehörde (DSB, belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Beschwerde vom 10.11.2018 (verbessert mit Eingaben vom 14.11.2018 und 29.11.2018) machte der Beschwerdeführer, XXXX , eine Verletzung im Recht auf Geheimhaltung geltend. Dazu wurde zusammengefasst vorgebracht, dass eine dauerhafte Speicherung seiner biometrischen Daten zum Personalausweis Nr. XXXX sowie seiner Lichtbilder zu den Personalausweisen Nr. XXXX und Nr. XXXX durch den XXXX als Passbehörde und Verantwortlichen

Art. 4

Z 7 DSGVO im Identitätsdokumentenregister (IDR) des XXXX unverhältnismäßig und (wegen der Nichtbeachtung von Löschfristen) unzulässig (gewesen) sei. Er beantrage daher die Löschung.1. In seiner an die Datenschutzbehörde (DSB, belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Beschwerde vom 10.11.2018 (verbessert mit Eingaben vom 14.11.2018 und 29.11.2018) machte der Beschwerdeführer, römisch 40 , eine Verletzung im Recht auf Geheimhaltung geltend. Dazu wurde zusammengefasst vorgebracht, dass eine dauerhafte Speicherung seiner biometrischen Daten zum Personalausweis Nr. römisch 40 sowie seiner Lichtbilder zu den Personalausweisen Nr. römisch 40 und Nr. römisch 40 durch den römisch 40 als Passbehörde und Verantwortlichen

Artikel 4

, Ziffer 7, DSGVO im Identitätsdokumentenregister (IDR) des römisch 40 unverhältnismäßig und (wegen der Nichtbeachtung von Löschfristen) unzulässig (gewesen) sei. Er beantrage daher die Löschung.

1. Über Aufforderung der belangten Behörde erstattete der XXXX (ursprünglicher Beschwerdegegner im Verfahren vor der belangten Behörde, mitbeteiligte Partei im Verfahren vor dem Bundesverwaltungsgericht) am 08.01.2019 eine Stellungnahme, in welcher zunächst festgehalten wurde, dass die XXXX nach der Geschäftseinteilung des XXXX für die Vertretung der XXXX in Angelegenheiten des Datenschutzes, insbesondere vor der belangten Behörde zuständig sei. Inhaltlich wurde zur Datenschutzbeschwerde des Beschwerdeführers ausgeführt, dass im Bereich der lokalen Anwendungen eine Speicherung der Lichtbilder, da sich § 22a Abs. 5 Passgesetz 1992, der die Löschung der in diesen verarbeiteten Daten regele, nicht aber auf Lichtbilder, sondern nur auf weitere Verfahrensdaten Bezug nehme, auch über die Erstellung des Reisepasses bzw. Personalausweises hinaus zulässig sei, was auch vom Beschwerdeführer selbst nicht bestritten werde. Zum Personalausweis Nr. XXXX des Beschwerdeführers werde ausgeführt, dass dieser eine Gültigkeitsdauer bis 23.11.2014 gehabt habe und vom Beschwerdeführer mit 07.09.2015 als verloren gemeldet worden sei. Die Verarbeitung im Rahmen der zentralen Evidenz könne somit in diesem Fall auf § 22b Abs. 2 Z 1 Passgesetz 1992 gestützt werden, was zur Folge hätte, dass jene personenbezogenen Daten, die im Rahmen dieses Verfahrens verarbeitet worden seien, ein Jahr nach Ablauf der Gültigkeit, dies wäre der 23.11.2015, für Auskünfte zu sperren und nach Ablauf von zwei weiteren Jahren, dies wäre wiederum der 23.11.2017, zu löschen gewesen wären. Allerdings sei zu berücksichtigen, dass es abseits der passrechtlichen Bestimmungen ein weitergehendes Erfordernis zur Verarbeitung dieser Daten gebe, da jedenfalls die Strafverfolgungsbehörden zur Verhinderung eines etwaigen Missbrauchs der gegenständlichen öffentlichen Urkunde (vgl. die §§ 223 ff. StGB zum Bereich der Urkundenfälschung), einen Zugriff auf die entsprechenden personenbezogenen Daten, inklusive des Lichtbildes, benötigen würden um etwaige Abgleiche mit möglichen von diesem Personalausweis angefertigten Fälschungen durchführen zu können. Darüber hinaus sei auch mit zu bedenken, dass es den Bürgermeistern als Fundbehörden im Sinne des § 4 Abs. 3 SPG, BGBl. Nr. 566/1991, nach § 53b SPG möglich sein müsse, alle für die Ausfolgung an den Eigentümer maßgeblichen personenbezogenen Daten zu verarbeiten, wozu unzweifelhaft auch das Lichtbild selbst zählen werde. Dementsprechend bestünden gesetzliche Verpflichtungen der Strafverfolgung bzw. des Fundwesens, welche im Sinne des Art. 17 Abs. 3 DSGVO einer Löschung des Lichtbildes in der zentralen Evidenz nach § 22b Passgesetz 1992 entgegenstehen würden und – da es sich bei der DSGVO um eine Verordnung handle und diese sohin unmittelbar anwendbar sei – aufgrund des Vorrangs des Unionsrechts § 22c Passgesetz 1992 und seine Löschungsfristen unangewendet zu bleiben hätten. Bezüglich der Personalausweise mit den Nrn. XXXX und XXXX sei auszuführen, dass laut dem vom Beschwerdeführer übermittelten Auszug aus dem Lokalen Identitätsregister der Personalausweis Nr. XXXX nach einer Reklamation durch den Beschwerdeführer am 24.09.2015 auf ungültig gesetzt worden sei und der Personalausweis bei der XXXX verblieben sei. In diesem Fall sei sohin nur eine Verarbeitung personenbezogener Daten im Rahmen eines Verfahrens nach § 22b Abs. 1 Passgesetz 1992, nämlich im Zuge des Verfahrens zur Ausstellung des Personalausweises Nr. XXXX , in Betracht gekommen. Für diesen Fall der Verarbeitung personenbezogener Daten sehe § 22c Abs. 1 leg. cit. die Sperrung für Auskünfte dieser Daten betreffend ein Jahr nach der Entwertung des Reisepasses oder Personalausweises vor. Dies wäre nun, da die Ungültigerklärung am 24.09.2015 erfolgte, der 24.09.
2. Da nun aber unmittelbar im Gefolge dessen ein neuer Personalausweis zur Nr. XXXX ausgestellt worden sei (das Antragsdatum für diesen laute laut dem vom Beschwerdeführer übermittelten Auszug aus dem lokalen Identitätsdokumentenregister auf den 24.09.2015), sei davon auszugehen, dass im Zuge der Erstellung dieses Personalausweises dasselbe Lichtbild wie für den vorherigen für ungültig erklärten Personalausweis gebraucht worden sei. Dies würde nun bedeuten, dass, da dessen Entwertungsdatum erst 2025 liege, noch keine Auskunftssperre bzw. Löschung für die Lichtbilder zu den Personalausweisen der Nr. XXXX und Nr. XXXX nach § 22c Passgesetz 1992 zu erfolgen habe.
3. Über Aufforderung der belangten Behörde erstattete der römisch 40 (ursprünglicher Beschwerdegegner im Verfahren vor der belangten Behörde, mitbeteiligte Partei im Verfahren vor dem Bundesverwaltungsgericht) am 08.01.2019 eine Stellungnahme, in welcher zunächst festgehalten wurde, dass die römisch 40 nach der Geschäftseinteilung des römisch 40 für die Vertretung der römisch 40 in Angelegenheiten des Datenschutzes, insbesondere vor der belangten Behörde zuständig sei. Inhaltlich wurde zur Datenschutzbeschwerde des Beschwerdeführers ausgeführt, dass im Bereich der lokalen Anwendungen eine Speicherung der Lichtbilder, da sich Paragraph 22 a, Absatz 5, Passgesetz 1992, der die Löschung der in diesen verarbeiteten Daten regele, nicht aber auf Lichtbilder, sondern nur auf weitere Verfahrensdaten Bezug nehme, auch über die Erstellung des Reisepasses bzw. Personalausweises hinaus zulässig sei, was auch vom Beschwerdeführer selbst nicht bestritten werde. Zum Personalausweis Nr. römisch 40 des Beschwerdeführers werde ausgeführt, dass dieser eine Gültigkeitsdauer bis 23.11.2014 gehabt habe und vom Beschwerdeführer mit 07.09.2015 als verloren gemeldet worden sei. Die Verarbeitung im Rahmen der zentralen Evidenz könne somit in diesem Fall auf Paragraph 22 b, Absatz 2, Ziffer eins, Passgesetz 1992 gestützt werden, was zur Folge hätte, dass jene personenbezogenen Daten, die im Rahmen dieses Verfahrens verarbeitet worden seien, ein Jahr nach Ablauf der Gültigkeit, dies wäre der 23.11.2015, für Auskünfte zu sperren und nach Ablauf von zwei weiteren Jahren, dies wäre wiederum der 23.11.2017, zu löschen gewesen wären. Allerdings sei zu berücksichtigen, dass es abseits der passrechtlichen Bestimmungen ein weitergehendes Erfordernis zur Verarbeitung dieser Daten gebe, da jedenfalls die Strafverfolgungsbehörden zur Verhinderung eines etwaigen Missbrauchs der gegenständlichen öffentlichen Urkunde vergleiche die Paragraphen 223, ff. StGB zum Bereich der Urkundenfälschung), einen Zugriff auf die entsprechenden personenbezogenen Daten, inklusive des Lichtbildes, benötigen würden um etwaige Abgleiche mit möglichen von diesem Personalausweis angefertigten Fälschungen durchführen zu können. Darüber hinaus sei auch mit zu bedenken, dass es den Bürgermeistern als Fundbehörden im Sinne des Paragraph 4, Absatz 3, SPG, Bundesgesetzblatt Nr. 566 aus 1991,, nach Paragraph 53 b, SPG möglich sein müsse, alle für die Ausfolgung an den Eigentümer maßgeblichen personenbezogenen Daten zu verarbeiten, wozu unzweifelhaft auch das Lichtbild selbst zählen werde. Dementsprechend bestünden gesetzliche Verpflichtungen der Strafverfolgung bzw. des Fundwesens, welche im Sinne des Artikel 17, Absatz 3, DSGVO einer Löschung des Lichtbildes in der zentralen Evidenz nach Paragraph 22 b, Passgesetz 1992 entgegenstehen würden und – da es sich bei der DSGVO um eine Verordnung handle und diese sohin unmittelbar anwendbar sei – aufgrund des Vorrangs des Unionsrechts Paragraph 22 c, Passgesetz 1992 und seine Löschungsfristen unangewendet zu bleiben hätten. Bezüglich der Personalausweise mit den Nrn. römisch 40 und römisch 40 sei auszuführen, dass laut dem vom Beschwerdeführer übermittelten Auszug aus dem Lokalen Identitätsregister der Personalausweis Nr. römisch 40 nach einer Reklamation durch den Beschwerdeführer am 24.09.2015 auf ungültig gesetzt worden sei und der Personalausweis bei der römisch 40 verblieben sei. In diesem Fall sei sohin nur eine Verarbeitung personenbezogener Daten im Rahmen eines Verfahrens nach Paragraph 22 b, Absatz eins, Passgesetz 1992, nämlich im Zuge des Verfahrens zur Ausstellung des Personalausweises Nr. römisch 40 , in Betracht gekommen. Für diesen Fall der Verarbeitung personenbezogener Daten sehe Paragraph 22 c, Absatz eins, leg. cit. die Sperrung für Auskünfte dieser Daten betreffend ein Jahr nach der Entwertung des Reisepasses oder Personalausweises vor. Dies wäre nun, da die Ungültigerklärung am 24.09.2015 erfolgte, der 24.09.
4. Da nun aber unmittelbar im Gefolge dessen ein neuer Personalausweis zur Nr. römisch 40 ausgestellt worden sei (das Antragsdatum für diesen laute laut dem vom Beschwerdeführer übermittelten Auszug aus dem lokalen Identitätsdokumentenregister auf den 24.09.2015), sei davon auszugehen, dass im Zuge der Erstellung dieses Personalausweises dasselbe Lichtbild wie für den vorherigen für ungültig erklärten Personalausweis gebraucht worden sei. Dies würde nun bedeuten, dass, da dessen Entwertungsdatum erst 2025 liege, noch keine Auskunftssperre bzw. Löschung für die Lichtbilder zu den Personalausweisen der Nr. römisch 40 und Nr. römisch 40 nach Paragraph 22 c, Passgesetz 1992 zu erfolgen habe.
5. Der Beschwerdeführer erstattete am 19.03.2019 eine Replik auf die Stellungnahme der mitbeteiligten Partei und führte aus, dass sofern – wie von der mitbeteiligten Partei behauptet – Lichtbilder keine Verfahrensdaten iSd §22a Passgesetz 1992 seien und hierfür daher ex lege keine Löschfrist existiere, es sich um eine planwidrige Lücke handle. Da sowohl (biometrische) Lichtbilder als auch Fingerabdrücke biometrische Daten iSd Art. 4 Z 14 DSGVO seien, könne und solle von der sehr kurzen Löschfrist für Fingerabdrücke daher auch auf eine ähnliche Frist für Lichtbilder geschlossen werden. Weiters lege die mitbeteiligte Partei das Unionsrecht denkunmöglich aus, § 22c Passgesetz 1992 könne nur zugunsten einer noch kürzeren Löschfrist zurücktreten. Die Aufhebung einer Löschfrist, wie des § 22c Passgesetz 1992 (lex specialis), aufgrund der DSGVO zugunsten einer permanenten Speicherung sei daher eine denkunmögliche Art der Rechtsauslegung. Hinsichtlich der Behauptung der mitbeteiligten Partei, Lichtbilder seien Teil jener Daten, die zur Inkenntnissetzung einer Behörde von der Ausstellung eines Reisedokuments dienen würden, sei auszuführen, dass seitens der mitbeteiligten Partei zu erläutern wäre, in welchen Fällen das derzeit im IDR gespeicherte Lichtbild zur Durchsetzung einer Passversagung oder der Fahndung nach gestohlenen Reisedokumenten genutzt werde und weshalb hierfür die Speicherung der Lichtbilder aller ausgestellten Reisedokumente zwingend notwendig und verhältnismäßig sei. Hierfür würden nämlich bereits die Dokumentendaten ausreichen. Der Vollzug des Fundwesens liefere ebenfalls keine hinreichende Rechtfertigung für die Verarbeitung von Lichtbildern im IDR, da es bei ausländischen Ausweisen kein Lichtbild im IDR gebe und nur eine Überprüfung anhand des am Ausweis befindlichen Lichtbildes erfolgen könne. Auch das Argument, dass zentral gespeicherte Lichtbilder zur Verhinderung von Fälschungen dienen würden, lasse die Speicherung des Lichtbilds aller Inhaber von Reisedokumenten als nicht verhältnismäßig erscheinen, da etliche gelindere Mittel zur Risikominimierung existieren würden, die in Kombination das Risiko so gut wie neutralisieren würden. Eine Verarbeitung bloß aufgrund abstrakter, möglicherweise in Zukunft eintretender Gefahren oder Notwendigkeiten rechtfertige nicht in jedem Fall eine undifferenzierte Speicherung und es müsse in jedem Einzelfall eine Abwägung getroffen werden. Es sei daher die minimal mögliche Speicherdauer und das minimal mögliche Datenset für den jeweiligen Zweck und Anlass zu wählen. Alle verfügbaren Daten einfach undifferenziert zu speichern, weil man sie eventuell irgendwann für irgendwas gebrauchen könnte, widerspreche den Prinzipien und dem heutigen Erkenntnisstand im Datenschutzrecht. § 22c Abs. 3 Passgesetz 1992, der sich über den § 22b Abs. 1 auf verlorene Dokumente beziehe, eröffne außerdem die Möglichkeit, Daten bereits vor Ablauf der Höchstaufbewahrungsfristen zu löschen, wenn der Verarbeitungszweck weggefallen sei, was wiederrum i.V.m den Prinzipien der Zweckbindung (Art. 5 Abs. 1 lit b DSGVO), Datenminimierung (Art. 5 Abs. 1 lit c DSGVO) und Speicherbegrenzung (Art. 5 Abs. 1 lit e DSGVO) zu einer kurzen Speicherfrist führen müsste. Wenn nun § 22c Abs. 3 Passgesetz 1992 diese Möglichkeit für verlorene Dokumente eröffne, so sollte dies im Umkehrschluss auch für noch im Besitz des Inhabers befindliche Dokumente gelten. Die dauerhafte Speicherung von Lichtbildern im IDR bei verlorenen Reisedokumenten über die Löschfristen hinaus sei bereits aufgrund der hier eindeutigen Gesetzeslage des § 22c Abs. 2 Passgesetz 1992 unzulässig. Eine dauerhafte Speicherung von Lichtbildern im IDR als Form der Vorratsdatenspeicherung oder als erkennungsdienstliche Evidenz für zum größten Teil unbescholtene Bürger, die für alle „Eventualitäten“ dienen könnte, sei ebenso unverhältnismäßig.
6. Der Beschwerdeführer erstattete am 19.03.2019 eine Replik auf die Stellungnahme der mitbeteiligten Partei und führte aus, dass sofern – wie von der mitbeteiligten Partei behauptet – Lichtbilder keine Verfahrensdaten iSd §22a Passgesetz 1992 seien und hierfür daher ex lege keine Löschfrist existiere, es sich um eine planwidrige Lücke handle. Da sowohl (biometrische) Lichtbilder als auch Fingerabdrücke biometrische Daten iSd Artikel 4, Ziffer 14, DSGVO seien, könne und solle von der sehr kurzen Löschfrist für Fingerabdrücke daher auch auf eine ähnliche Frist für Lichtbilder geschlossen werden. Weiters lege die mitbeteiligte Partei das Unionsrecht denkunmöglich aus, Paragraph 22 c, Passgesetz 1992 könne nur zugunsten einer noch kürzeren Löschfrist zurücktreten. Die Aufhebung einer Löschfrist, wie des Paragraph 22 c, Passgesetz 1992 (lex specialis), aufgrund der DSGVO zugunsten einer permanenten Speicherung sei daher eine denkunmögliche Art der Rechtsauslegung. Hinsichtlich der Behauptung der mitbeteiligten Partei, Lichtbilder seien Teil jener Daten, die zur Inkenntnissetzung einer Behörde von der Ausstellung eines Reisedokuments dienen würden, sei auszuführen, dass seitens der mitbeteiligten Partei zu erläutern wäre, in welchen Fällen das derzeit im IDR gespeicherte Lichtbild zur Durchsetzung einer Passversagung oder der Fahndung nach gestohlenen Reisedokumenten genutzt werde und weshalb hierfür die Speicherung der Lichtbilder aller ausgestellten Reisedokumente zwingend notwendig und verhältnismäßig sei. Hierfür würden nämlich bereits die Dokumentendaten ausreichen. Der Vollzug des Fundwesens liefere ebenfalls keine hinreichende Rechtfertigung für die Verarbeitung von Lichtbildern im IDR, da es bei ausländischen Ausweisen kein Lichtbild im IDR gebe und nur eine Überprüfung anhand des am Ausweis befindlichen Lichtbildes erfolgen könne. Auch das Argument, dass zentral gespeicherte Lichtbilder zur Verhinderung von Fälschungen dienen würden, lasse die Speicherung des Lichtbilds aller Inhaber von Reisedokumenten als nicht verhältnismäßig erscheinen, da etliche gelindere Mittel zur Risikominimierung existieren würden, die in Kombination das Risiko so gut wie neutralisieren würden. Eine Verarbeitung bloß aufgrund abstrakter, möglicherweise in Zukunft eintretender Gefahren oder Notwendigkeiten rechtfertige nicht in jedem Fall eine undifferenzierte Speicherung und es müsse in jedem Einzelfall eine Abwägung getroffen werden. Es sei daher die minimal mögliche Speicherdauer und das minimal mögliche Datenset für den jeweiligen Zweck und Anlass zu wählen. Alle verfügbaren Daten einfach undifferenziert zu speichern, weil man sie eventuell irgendwann für irgendwas gebrauchen könnte, widerspreche den Prinzipien und dem heutigen Erkenntnisstand im Datenschutzrecht. Paragraph 22 c, Absatz 3, Passgesetz 1992, der sich über den Paragraph 22 b, Absatz eins, auf verlorene Dokumente beziehe, eröffne außerdem die Möglichkeit, Daten bereits vor Ablauf der Höchstaufbewahrungsfristen zu löschen, wenn der Verarbeitungszweck weggefallen sei, was wiederrum in Verbindung mit den Prinzipien der Zweckbindung (Artikel 5, Absatz eins, Litera b, DSGVO), Datenminimierung (Artikel 5, Absatz eins, Litera c, DSGVO) und Speicherbegrenzung (Artikel 5, Absatz eins, Litera e, DSGVO) zu einer kurzen Speicherfrist führen müsste. Wenn nun Paragraph 22 c, Absatz 3, Passgesetz 1992 diese Möglichkeit für verlorene Dokumente eröffne, so sollte dies im Umkehrschluss auch für noch im Besitz des Inhabers befindliche Dokumente gelten. Die dauerhafte Speicherung von Lichtbildern im IDR bei verlorenen Reisedokumenten über die Löschfristen hinaus sei bereits aufgrund der hier eindeutigen Gesetzeslage des Paragraph 22 c, Absatz 2, Passgesetz 1992 unzulässig. Eine dauerhafte Speicherung von Lichtbildern im IDR als Form der Vorratsdatenspeicherung oder als erkennungsdienstliche Evidenz für zum größten Teil unbescholtene Bürger, die für alle „Eventualitäten“ dienen könnte, sei ebenso unverhältnismäßig.
7. Am 19.06.2019 forderte die belangte Behörde die mitbeteiligte Partei zur ergänzenden Stellungnahme auf.
8. Mit Stellungnahme vom 09.07.2019 hielt die mitbeteiligte Partei zunächst fest, dass ihr die Replik des Beschwerdeführers nie zugegangen sei und führte (soweit für das gegenständliche Beschwerdeverfahren relevant) aus, dass sämtliche Reisedokumentenanträge einschließlich jeweils eines Passfotos des Beschwerdeführers auf Grund seines jeweils schriftlichen, unterschriebenen Antrages im Pass-EDV-Programm Identitätsdokumentenregister (IDR) des XXXX verdatet worden seien. Diese darin gespeicherten Passfotos seien im Wege des IDR an die XXXX als die vom XXXX beauftragte Dienstleisterin für die Produktion der Reisedokumente übermittelt worden. Eine Produktion österreichischer biometrischer Reisepässe mit Datenträger und österreichischer Personalausweise sowie die Zustellung der neu produzierten Reisedokumente per Post erfordere zwingend die Speicherung und Übermittlung eines Passfotos an die XXXX . Übermittlungen der Personen- und Dokumentendaten des Beschwerdeführers an andere EmpfängerInnen seien nicht erfolgt. Für den Beschwerdeführer seien auf diesem Wege seit 2004 insgesamt zwei biometrische Reisepässe mit Datenträger (einer verloren gemeldet, einer gültig) und drei Personalausweise (einer verloren gemeldet, einer ungültig, einer gültig) ausgestellt worden. Weitere Verarbeitungstätigkeiten seien von Seiten der XXXX im IDR in Bezug auf die gegenständlichen Lichtbilder nicht vorgenommen worden.
9. Mit Stellungnahme vom 09.07.2019 hielt die mitbeteiligte Partei zunächst fest, dass ihr die Replik des Beschwerdeführers nie zugegangen sei und führte (soweit für das gegenständliche Beschwerdeverfahren relevant) aus, dass sämtliche Reisedokumentenanträge einschließlich jeweils eines Passfotos des Beschwerdeführers auf Grund seines jeweils schriftlichen, unterschriebenen Antrages im Pass-EDV-Programm Identitätsdokumentenregister (IDR) des römisch 40 verdatet worden seien. Diese darin gespeicherten Passfotos seien im Wege des IDR an die römisch 40 als die vom römisch 40 beauftragte Dienstleisterin für die Produktion der Reisedokumente übermittelt worden. Eine Produktion österreichischer biometrischer Reisepässe mit Datenträger und österreichischer Personalausweise sowie die Zustellung der neu produzierten Reisedokumente per Post erfordere zwingend die Speicherung und Übermittlung eines Passfotos an die römisch 40 . Übermittlungen der Personen- und Dokumentendaten des Beschwerdeführers an andere EmpfängerInnen seien nicht erfolgt. Für den Beschwerdeführer seien auf diesem Wege seit 2004 insgesamt zwei biometrische Reisepässe mit Datenträger (einer verloren gemeldet, einer gültig) und drei Personalausweise (einer verloren gemeldet, einer ungültig, einer gültig) ausgestellt worden. Weitere Verarbeitungstätigkeiten seien von Seiten der römisch 40 im IDR in Bezug auf die gegenständlichen Lichtbilder nicht vorgenommen worden. Der Stellungnahme angeschlossen wurde jeweils ein Auszug aus dem ZMR sowie dem Zentralen und Lokalen Identitätsdokumentenregister den Beschwerdeführer betreffend.
10. Am 10.07.2019 übermittelte die belangte Behörde der mitbeteiligten Partei die Replik des Beschwerdeführers und gab ihr Gelegenheit zur Ergänzung ihrer Stellungnahme vom 09.07.
12. Die mitbeteiligte Partei übermittelte am 18.07.2019 eine ergänzende Stellungnahme, in welcher sie (soweit für das gegenständliche Beschwerdeverfahren relevant) ausführte, dass sich im Falle der Personalausweise Nr. XXXX und Nr. XXXX die Verarbeitungstätigkeit nicht auf § 22b Abs. 2, sondern dessen Abs. 1 stütze. Dies habe nun zur Folge, dass sich eine Auskunftssperre betreffend die im Rahmen des Verfahrens nach § 22b Abs. 1 leg. cit. verarbeiteten personenbezogenen Daten nach § 22c Abs. 1 richte.
13. Die mitbeteiligte Partei übermittelte am 18.07.2019 eine ergänzende Stellungnahme, in welcher sie (soweit für das gegenständliche Beschwerdeverfahren relevant) ausführte, dass sich im Falle der Personalausweise Nr. römisch 40 und Nr. römisch 40 die Verarbeitungstätigkeit nicht auf Paragraph 22 b, Absatz 2,, sondern dessen Absatz eins, stütze. Dies habe nun zur Folge, dass sich eine Auskunftssperre betreffend die im Rahmen des Verfahrens nach Paragraph 22 b, Absatz eins, leg. cit. verarbeiteten personenbezogenen Daten nach Paragraph 22 c, Absatz eins, richte.
14. Die belangte Behörde übermittelte dem Beschwerdeführer mit Schreiben vom 26.07.2019 die Stellungnahmen der mitbeteiligten Partei und gab ihm ebenfalls Gelegenheit zur Abgabe einer Stellungnahme. Der Beschwerdeführer erstattete jedoch in der Folge keine weitere Stellungnahme.
15. Mit dem angefochtenen Bescheid gab die belangte Behörde der Beschwerde des Beschwerdeführers teilweise statt und stellte fest, dass die mitbeteiligte Partei den Beschwerdeführer dadurch im Recht auf Geheimhaltung verletzt habe, indem über den
16. November 2017 hinaus die personenbezogenen Daten des Beschwerdeführers (§ 22b Abs. 2 Passgesetz 1992) zum Personalausweis Nr. XXXX im zentralen Identitätsdokumentenregister gespeichert worden seien (Spruchpunkt 1.). Der mitbeteiligten Partei wurde auftragen, innerhalb einer Frist von zwei Wochen die Daten

Spruchpunkt 1 zu löschen (Spruchpunkt 2.). Im Übrigen wurde die Beschwerde wegen Verletzung im Recht auf Geheimhaltung abgewiesen (Spruchpunkt 3.).

1. Mit dem angefochtenen Bescheid gab die belangte Behörde der Beschwerde des Beschwerdeführers teilweise statt und stellte fest, dass die mitbeteiligte Partei den Beschwerdeführer dadurch im Recht auf Geheimhaltung verletzt habe, indem über den
2. November 2017 hinaus die personenbezogenen Daten des Beschwerdeführers (Paragraph 22 b, Absatz 2, Passgesetz 1992) zum Personalausweis Nr. römisch 40 im zentralen Identitätsdokumentenregister gespeichert worden seien (Spruchpunkt 1.). Der mitbeteiligten Partei wurde auftragen, innerhalb einer Frist von zwei Wochen die Daten

Spruchpunkt 1 zu löschen (Spruchpunkt 2.). Im Übrigen wurde die Beschwerde wegen Verletzung im Recht auf Geheimhaltung abgewiesen (Spruchpunkt 3.). Begründend führte die belangte Behörde (nach Wiederholung des Vorbringens der Parteien und des Verfahrensganges) zunächst aus, dass Beschwerdegegenstand die Frage sei, ob die mitbeteiligte Partei den Beschwerdeführer dadurch in seinem Recht auf Geheimhaltung verletzt habe, indem biometrische Daten bzw. der gesamte Datensatz zum Personalausweis Nr. XXXX über den Zeitpunkt der Antragsstellung hinaus, jedenfalls jedoch länger als bis zum

1. November 2009 gespeichert worden sei, sowie, indem die Speicherung der Lichtbilder zu den Personalausweisen Nr. XXXX , Nr. XXXX und Nr. XXXX über das Produktionsdatum hinaus erfolgt sei. Begründend führte die belangte Behörde (nach Wiederholung des Vorbringens der Parteien und des Verfahrensganges) zunächst aus, dass Beschwerdegegenstand die Frage sei, ob die mitbeteiligte Partei den Beschwerdeführer dadurch in seinem Recht auf Geheimhaltung verletzt habe, indem biometrische Daten bzw. der gesamte Datensatz zum Personalausweis Nr. römisch 40 über den Zeitpunkt der Antragsstellung hinaus, jedenfalls jedoch länger als bis zum
2. November 2009 gespeichert worden sei, sowie, indem die Speicherung der Lichtbilder zu den Personalausweisen Nr. römisch 40 , Nr. römisch 40 und Nr. römisch 40 über das Produktionsdatum hinaus erfolgt sei. Rechtlich sei auszuführen, dass bei Verarbeitung personenbezogener Daten in lokalen Anwendungen

§ 22aAbs.

1 Passgesetz 1992 die Passbehörden, dies seien nach § 16 Abs. 1 leg. cit. die Bezirksverwaltungsbehörden, für den Bereich des Bundeslandes Wien

Art. 109

B-VG der XXXX , ermächtigt seien, bei Antragstellung auf Ausstellung eines Reisepasses oder Personalausweises mehrere Daten des Antragstellers, darunter nach § 22a Abs. 1 lit. leg. cit. auch das Lichtbild, zum Zwecke der Einbringung dieser Daten in den Reisepass oder Personalausweis zu verarbeiten und diese Daten hierfür dem Auftragsverarbeiter im Sinne des § 3 Abs. 6 leg. cit. zu übermitteln. Nach § 22a Abs. 2 Passgesetz 1992 sei die örtlich zuständige Passbehörde ermächtigt, weitere für das Ausstellungsverfahren und sonstige Verfahren nach diesem Bundesgesetz erforderliche personenbezogene Daten (Verfahrensdaten) zu ermitteln und gemeinsam mit den darauf Bezug habenden Daten nach Abs. 1 sowie die weiteren Daten nach § 22b Abs. 1 leg. cit. automationsunterstützt zu verarbeiten. Nach § 22a Abs. 5 Passgesetz 1992 seien die Verfahrensdaten nach Abs. 2 leg. cit. zu löschen, sobald sie nicht mehr benötigt würden, spätestens aber zehn Jahre nach Eintritt der Rechtskraft der Entscheidung oder nach Ausstellung des Reisepasses. Diese Löschungsbestimmungen würden sich auf „weitere Verfahrensdaten“ nach Abs. 2 leg. cit. beziehen. Daraus ergebe sich, dass das Passgesetz 1992 in lokalen Anwendungen keine explizite Löschfrist für die in Abs. 1 genannten Verfahrensdaten und somit auch für Lichtbilder vorsehe. Bei Lichtbildern handle es sich somit um Verfahrensdaten, die keiner gesetzlich normierten Löschung aus der lokalen Evidenz unterliegen würden. Hinsichtlich der Verarbeitung personenbezogener Daten im Rahmen der zentralen Evidenz normiere § 22b Abs. 1 Passgesetz 1992, dass Passbehörden als gemeinsame Verantwortliche

Art. 4Z 7 i

Vm Art. 26 Abs. 1 DSGVO ermächtigt seien, die für die Wahrnehmung der ihnen nach diesem Bundesgesetz übertragenen Aufgaben erforderlichen personenbezogenen Daten nach § 22a Abs. 1, sohin auch Lichtbilder, mit Ausnahme der lit. k, sowie ab dem Zeitpunkt der Ausstellung auch zusätzliche Daten gemeinsam in der Art zu verarbeiten, dass jeder Verantwortliche auch auf jene Daten in der Datenverarbeitung Zugriff habe, die diesem von den anderen Verantwortlichen zur Verfügung gestellt worden seien. Zweck dieser Verarbeitung sei es, eine Behörde

Abs. 4 über die erfolgte Ausstellung eines Reisepasses oder Personalausweises oder über ein Verfahren nach diesem Bundesgesetz in Kenntnis zu setzen. Die Passbehörden dürften weiters Namen, Geschlecht, akademischen Grad, Geburtsdatum, Geburtsort, Staatsangehörigkeit, Wohnsitze oder Kontaktstelle, Lichtbild, das bereichsspezifische Personenkennzeichen, Namen der Eltern einer Person und Aliasdaten einer Person ermitteln und im Rahmen einer zentralen Evidenz samt dem für die Speicherung maßgebenden Grund sowie die Ausstellungsbehörde, das Ausstellungsdatum, die Passnummer und die Gültigkeitsdauer des Reisepasses oder Passersatzes verarbeiten, wenn ein Reisepass oder Passersatz der betroffenen Person als verloren oder entfremdet gemeldet sei (§ 22b Abs. 2 Passgesetz 1992). § 18 leg. cit. regle, dass unter einem Passersatz ein Personalausweis zu verstehen sei. Für den Personalausweis Nr. XXXX gelte, dass personenbezogene Daten, die

§ 22bAbs.

2 Passgesetz 1992 verarbeitet worden seien, sofern es sich um einen als verloren oder entfremdet gemeldeten Passersatz der betroffenen Person handle,

§ 22cAbs.

2 Passgesetz 1992 ein Jahr nach Ablauf der Gültigkeitsdauer für Auskünfte zu sperren seien.

Abs. 4 seien die für Auskünfte gesperrten personenbezogenen Daten nach Ablauf von zwei weiteren Jahren zu löschen. Der Personalausweis Nr. XXXX habe eine Gültigkeitsdauer bis

1. November 2014 gehabt. Mit
2. November 2015 wären die personenbezogenen Daten für Auskünfte zu sperren und mit Ablauf von zwei weiteren Jahren, mit
3. November 2017, zu löschen gewesen. Den seitens der mitbeteiligten Partei vorgebrachten Argumenten, dass einer Löschung unter anderem Bestimmungen des Vollzugs des Fundwesens sowie der Strafverfolgung entgegenstünden, könne nicht gefolgt werden. Die belangte Behörde habe, in Anlehnung an die Rechtsprechung des Verfassungsgerichtshofes, schon ausgesprochen, dass die bloße Möglichkeit eines Verfahrens, ohne dass es hiefür konkrete Anhaltspunkte gebe, eine weitere Speicherung personenbezogener Daten nicht zu rechtfertigen vermöge, weshalb für die verfahrensgegenständliche Datenverarbeitung kein Rechtfertigungsgrund im Sinne des § 1 Abs. 2 DSG vorliege. Hinsichtlich der Personalausweise Nr. XXXX und Nr. XXXX sei auszuführen, dass personenbezogene Daten

§ 22bAbs.

1 Passgesetz 1992 ein Jahr nach der Entwertung des Reisepasses oder Personalausweises, bei Reisepässen spätestens aber sechs Jahre nach Ablauf der letzten Gültigkeitsdauer für Auskünfte zu sperren seien. Die für Auskünfte gesperrten personenbezogenen Daten seien nach Ablauf von zwei weiteren Jahren auch physisch zu löschen (§ 22c Abs. 4 Passgesetz 1992). Mit

1. September 2015 sei der Personalausweis mit der Nr. XXXX für ungültig erklärt worden. Mit
2. September 2016 wären die personenbezogenen Daten für Auskünfte zu sperren und nach Ablauf von zwei Jahren auch zu löschen gewesen. Da jedoch mit
3. September 2015 ein Antrag für einen neuen Personalausweis gestellt worden sei, sei davon auszugehen, dass im Zuge der Erstellung des Ausweises dasselbe Lichtbild verwendet worden sei. Daraus ergebe sich, dass eine Auskunftssperre bzw. Löschung für diese Personalausweise noch nicht greife. Der Vollständigkeit halber werde darauf hingewiesen, dass

Art. 89

B-VG die Prüfung der Gültigkeit gehörig kundgemachter Verordnungen, Kundmachungen über die Wiederverlautbarung eines Gesetzes (Staatsvertrages), Gesetze und Staatsverträge den Gerichten nicht zustehe. Dies gelte umso mehr für Verwaltungsbehörden.Rechtlich sei auszuführen, dass bei Verarbeitung personenbezogener Daten in lokalen Anwendungen

Paragraph 22 a, Absatz eins, Passgesetz 1992 die Passbehörden, dies seien nach Paragraph 16, Absatz eins, leg. cit. die Bezirksverwaltungsbehörden, für den Bereich des Bundeslandes Wien

Artikel 109

, B-VG der römisch 40 , ermächtigt seien, bei Antragstellung auf Ausstellung eines Reisepasses oder Personalausweises mehrere Daten des Antragstellers, darunter nach Paragraph 22 a, Absatz eins, lit. leg. cit. auch das Lichtbild, zum Zwecke der Einbringung dieser Daten in den Reisepass oder Personalausweis zu verarbeiten und diese Daten hierfür dem Auftragsverarbeiter im Sinne des Paragraph 3, Absatz 6, leg. cit. zu übermitteln. Nach Paragraph 22 a, Absatz 2, Passgesetz 1992 sei die örtlich zuständige Passbehörde ermächtigt, weitere für das Ausstellungsverfahren und sonstige Verfahren nach diesem Bundesgesetz erforderliche personenbezogene Daten (Verfahrensdaten) zu ermitteln und gemeinsam mit den darauf Bezug habenden Daten nach Absatz eins, sowie die weiteren Daten nach Paragraph 22 b, Absatz eins, leg. cit. automationsunterstützt zu verarbeiten. Nach Paragraph 22 a, Absatz 5, Passgesetz 1992 seien die Verfahrensdaten nach Absatz 2, leg. cit. zu löschen, sobald sie nicht mehr benötigt würden, spätestens aber zehn Jahre nach Eintritt der Rechtskraft der Entscheidung oder nach Ausstellung des Reisepasses. Diese Löschungsbestimmungen würden sich auf „weitere Verfahrensdaten“ nach Absatz 2, leg. cit. beziehen. Daraus ergebe sich, dass das Passgesetz 1992 in lokalen Anwendungen keine explizite Löschfrist für die in Absatz eins, genannten Verfahrensdaten und somit auch für Lichtbilder vorsehe. Bei Lichtbildern handle es sich somit um Verfahrensdaten, die keiner gesetzlich normierten Löschung aus der lokalen Evidenz unterliegen würden. Hinsichtlich der Verarbeitung personenbezogener Daten im Rahmen der zentralen Evidenz normiere Paragraph 22 b, Absatz eins, Passgesetz 1992, dass Passbehörden als gemeinsame Verantwortliche

Artikel 4

, Ziffer 7, in Verbindung mit Artikel 26, Absatz eins, DSGVO ermächtigt seien, die für die Wahrnehmung der ihnen nach diesem Bundesgesetz übertragenen Aufgaben erforderlichen personenbezogenen Daten nach Paragraph 22 a, Absatz eins,, sohin auch Lichtbilder, mit Ausnahme der Litera k,, sowie ab dem Zeitpunkt der Ausstellung auch zusätzliche Daten gemeinsam in der Art zu verarbeiten, dass jeder Verantwortliche auch auf jene Daten in der Datenverarbeitung Zugriff habe, die diesem von den anderen Verantwortlichen zur Verfügung gestellt worden seien. Zweck dieser Verarbeitung sei es, eine Behörde

Absatz 4, über die erfolgte Ausstellung eines Reisepasses oder Personalausweises oder über ein Verfahren nach diesem Bundesgesetz in Kenntnis zu setzen. Die Passbehörden dürften weiters Namen, Geschlecht, akademischen Grad, Geburtsdatum, Geburtsort, Staatsangehörigkeit, Wohnsitze oder Kontaktstelle, Lichtbild, das bereichsspezifische Personenkennzeichen, Namen der Eltern einer Person und Aliasdaten einer Person ermitteln und im Rahmen einer zentralen Evidenz samt dem für die Speicherung maßgebenden Grund sowie die Ausstellungsbehörde, das Ausstellungsdatum, die Passnummer und die Gültigkeitsdauer des Reisepasses oder Passersatzes verarbeiten, wenn ein Reisepass oder Passersatz der betroffenen Person als verloren oder entfremdet gemeldet sei (Paragraph 22 b, Absatz 2, Passgesetz 1992). Paragraph 18, leg. cit. regle, dass unter einem Passersatz ein Personalausweis zu verstehen sei. Für den Personalausweis Nr. römisch 40 gelte, dass personenbezogene Daten, die

Paragraph 22 b, Absatz 2, Passgesetz 1992 verarbeitet worden seien, sofern es sich um einen als verloren oder entfremdet gemeldeten Passersatz der betroffenen Person handle,

Paragraph 22 c, Absatz 2, Passgesetz 1992 ein Jahr nach Ablauf der Gültigkeitsdauer für Auskünfte zu sperren seien.

Absatz 4, seien die für Auskünfte gesperrten personenbezogenen Daten nach Ablauf von zwei weiteren Jahren zu löschen. Der Personalausweis Nr. römisch 40 habe eine Gültigkeitsdauer bis

1. November 2014 gehabt. Mit
2. November 2015 wären die personenbezogenen Daten für Auskünfte zu sperren und mit Ablauf von zwei weiteren Jahren, mit
3. November 2017, zu löschen gewesen. Den seitens der mitbeteiligten Partei vorgebrachten Argumenten, dass einer Löschung unter anderem Bestimmungen des Vollzugs des Fundwesens sowie der Strafverfolgung entgegenstünden, könne nicht gefolgt werden. Die belangte Behörde habe, in Anlehnung an die Rechtsprechung des Verfassungsgerichtshofes, schon ausgesprochen, dass die bloße Möglichkeit eines Verfahrens, ohne dass es hiefür konkrete Anhaltspunkte gebe, eine weitere Speicherung personenbezogener Daten nicht zu rechtfertigen vermöge, weshalb für die verfahrensgegenständliche Datenverarbeitung kein Rechtfertigungsgrund im Sinne des Paragraph eins, Absatz 2, DSG vorliege. Hinsichtlich der Personalausweise Nr. römisch 40 und Nr. römisch 40 sei auszuführen, dass personenbezogene Daten

Paragraph 22 b, Absatz eins, Passgesetz 1992 ein Jahr nach der Entwertung des Reisepasses oder Personalausweises, bei Reisepässen spätestens aber sechs Jahre nach Ablauf der letzten Gültigkeitsdauer für Auskünfte zu sperren seien. Die für Auskünfte gesperrten personenbezogenen Daten seien nach Ablauf von zwei weiteren Jahren auch physisch zu löschen (Paragraph 22 c, Absatz 4, Passgesetz 1992). Mit

1. September 2015 sei der Personalausweis mit der Nr. römisch 40 für ungültig erklärt worden. Mit
2. September 2016 wären die personenbezogenen Daten für Auskünfte zu sperren und nach Ablauf von zwei Jahren auch zu löschen gewesen. Da jedoch mit
3. September 2015 ein Antrag für einen neuen Personalausweis gestellt worden sei, sei davon auszugehen, dass im Zuge der Erstellung des Ausweises dasselbe Lichtbild verwendet worden sei. Daraus ergebe sich, dass eine Auskunftssperre bzw. Löschung für diese Personalausweise noch nicht greife. Der Vollständigkeit halber werde darauf hingewiesen, dass

Artikel 89

, B-VG die Prüfung der Gültigkeit gehörig kundgemachter Verordnungen, Kundmachungen über die Wiederverlautbarung eines Gesetzes (Staatsvertrages), Gesetze und Staatsverträge den Gerichten nicht zustehe. Dies gelte umso mehr für Verwaltungsbehörden.

1. Gegen diesen Bescheid erhob der Beschwerdeführer mit Schriftsatz vom 24.08.2019 eine Beschwerde an das Bundesverwaltungsgericht. Darin führte er hinsichtlich Spruchpunkt
2. und
3. des angefochtenen Bescheides aus, dass seitens der belangten Behörde nur die Löschung aus der zentralen Evidenz gefordert werde. Aus dem Bescheid ergebe sich jedoch nicht, ob dies auch für die lokale Evidenz zu gelten habe. Es werde daher beantragt, Spruchpunkt 1 und 2 dahingehend zu erweitern, dass sämtliche Daten zum Ausweis Nr. XXXX zu löschen seien, womit auch die lokale Evidenz umfasst sein solle. Zu Spruchpunkt
4. werde ausgeführt, dass die Verwendung desselben Lichtbildes für die Ausweise Nr. XXXX und XXXX keinen Rechtfertigungsgrund darstelle, dieses Datum weiterhin zu verarbeiten, denn auch im Falle identischer Daten würde die Bestimmung des § 22c Abs. 2 Passgesetz 1992 greifen. Da der Ausweis Nr. XXXX eingezogen und für ungültig erklärt worden sei, wären sämtliche Daten zu diesem Ausweis per 24.09.2016 für Auskünfte zu sperren und per 24.09.2018 zu löschen gewesen. Die belangte Behörde erwähne den Art. 89 B-VG und argumentiere, dass Gerichten (exkl. VfGH) und Verwaltungsbehörden die Prüfung von Gesetzen nicht zustehe. Dem sei entgegenzuhalten, dass bereits aufgezeigt worden sei, wie der Vollzug des Passgesetz 1992 im Einklang mit datenschutzrechtlichen Rahmenbedingungen gebracht werden könne und weshalb es sich – spätestens seit Konkretisierung des Datenschutzrechts durch die DSGVO - um eine planwidrige Lücke handeln müsse, wenn keine Löschfrist existiere oder keine Mindestaufbewahrungsfristen bzw. Speicherdauern festgelegt seien. Es sei somit nie eine Aufhebung eines geltenden Gesetzes, sondern dessen durchaus möglicher Vollzug im Einklang mit der Rahmengesetzgebung begehrt worden. Die belangte Behörde gehe ebenso wie die mitbeteiligte Partei lediglich auf nationale Vorschriften, nämlich das Passgesetz 1992, ein und beleuchte nicht die datenschutzrechtlichen Rahmenbedingungen und Grundprinzipien, die diesem übergeordnet seien und besonders bei fehlenden oder zu wenig konkreten nationalen Bestimmungen (fehlende Löschfristen in Bezug auf die „lokale Evidenz“ beim § 22a Passgesetz 1992) unmittelbar zum Tragen kommen würden. Bei Fehlen einer ex lege Löschfrist sei die Aufbewahrungsfrist daher aus dem beabsichtigten oder ex lege Verarbeitungszweck abzuleiten. Die Verarbeitungszwecke seien im letzten Satz des § 22a Abs. 1 Passgesetz 1992 sowie § 22b Abs. 1 Passgesetz 1992 taxativ aufgezählt und nach Produktion und Versendung des Ausweises und ggf. Ablaufs einer angemessenen Reklamationsfrist in Bezug auf das Lichtbild jedenfalls erreicht, wodurch eine weitere Verarbeitung nicht mehr dem zugedachten Zweck entsprechen würde. Hilfsweise bestehe auch eine mögliche Analogie zu Fingerabdrücken als biometrische Daten, für die ex lege eine relativ kurze Löschfrist bestehe. Des Weiteren seien nationale Bestimmungen, die im Widerspruch zur unionsrechtlichen Rahmengesetzgebung (DSGVO) stehen würden, nicht anzuwenden. Eine fehlende Löschfrist berechtige daher keineswegs, wie von der belangten Behörde behauptet, zur unbegrenzten Aufbewahrung von Daten oder der Einschränkung einer Löschung auf die zentrale Evidenz, da die Prinzipien des Art. 5 DSGVO dem entgegenstehen würden. Es werde daher beantragt, Spruchpunkt 3 dahingehend abzuändern, dass die Lichtbilder zu den Ausweisen Nr. XXXX und Nr. XXXX aus den lokalen und zentralen Evidenzen zu löschen seien. Weiters werde der Antrag gestellt, dem EuGH die Auslegungsfrage gem. Art. 267 AEUV vorzulegen, ob in nationalen Normen erwähnte Verarbeitungszwecke im Zusammenwirken mit Art. 5 DSGVO das Bestehen von Löschfristen implizieren würden, sowie ob es eine unbegrenzte Speicherung von Daten ohne explizite Normierung geben könne.
5. Gegen diesen Bescheid erhob der Beschwerdeführer mit Schriftsatz vom 24.08.2019 eine Beschwerde an das Bundesverwaltungsgericht. Darin führte er hinsichtlich Spruchpunkt
6. und
7. des angefochtenen Bescheides aus, dass seitens der belangten Behörde nur die Löschung aus der zentralen Evidenz gefordert werde. Aus dem Bescheid ergebe sich jedoch nicht, ob dies auch für die lokale Evidenz zu gelten habe. Es werde daher beantragt, Spruchpunkt 1 und 2 dahingehend zu erweitern, dass sämtliche Daten zum Ausweis Nr. römisch 40 zu löschen seien, womit auch die lokale Evidenz umfasst sein solle. Zu Spruchpunkt
8. werde ausgeführt, dass die Verwendung desselben Lichtbildes für die Ausweise Nr. römisch 40 und römisch 40 keinen Rechtfertigungsgrund darstelle, dieses Datum weiterhin zu verarbeiten, denn auch im Falle identischer Daten würde die Bestimmung des Paragraph 22 c, Absatz 2, Passgesetz 1992 greifen. Da der Ausweis Nr. römisch 40 eingezogen und für ungültig erklärt worden sei, wären sämtliche Daten zu diesem Ausweis per 24.09.2016 für Auskünfte zu sperren und per 24.09.2018 zu löschen gewesen. Die belangte Behörde erwähne den Artikel 89, B-VG und argumentiere, dass Gerichten (exkl. VfGH) und Verwaltungsbehörden die Prüfung von Gesetzen nicht zustehe. Dem sei entgegenzuhalten, dass bereits aufgezeigt worden sei, wie der Vollzug des Passgesetz 1992 im Einklang mit datenschutzrechtlichen Rahmenbedingungen gebracht werden könne und weshalb es sich – spätestens seit Konkretisierung des Datenschutzrechts durch die DSGVO - um eine planwidrige Lücke handeln müsse, wenn keine Löschfrist existiere oder keine Mindestaufbewahrungsfristen bzw. Speicherdauern festgelegt seien. Es sei somit nie eine Aufhebung eines geltenden Gesetzes, sondern dessen durchaus möglicher Vollzug im Einklang mit der Rahmengesetzgebung begehrt worden. Die belangte Behörde gehe ebenso wie die mitbeteiligte Partei lediglich auf nationale Vorschriften, nämlich das Passgesetz 1992, ein und beleuchte nicht die datenschutzrechtlichen Rahmenbedingungen und Grundprinzipien, die diesem übergeordnet seien und besonders bei fehlenden oder zu wenig konkreten nationalen Bestimmungen (fehlende Löschfristen in Bezug auf die „lokale Evidenz“ beim Paragraph 22 a, Passgesetz 1992) unmittelbar zum Tragen kommen würden. Bei Fehlen einer ex lege Löschfrist sei die Aufbewahrungsfrist daher aus dem beabsichtigten oder ex lege Verarbeitungszweck abzuleiten. Die Verarbeitungszwecke seien im letzten Satz des Paragraph 22 a, Absatz eins, Passgesetz 1992 sowie Paragraph 22 b, Absatz eins, Passgesetz 1992 taxativ aufgezählt und nach Produktion und Versendung des Ausweises und ggf. Ablaufs einer angemessenen Reklamationsfrist in Bezug auf das Lichtbild jedenfalls erreicht, wodurch eine weitere Verarbeitung nicht mehr dem zugedachten Zweck entsprechen würde. Hilfsweise bestehe auch eine mögliche Analogie zu Fingerabdrücken als biometrische Daten, für die ex lege eine relativ kurze Löschfrist bestehe. Des Weiteren seien nationale Bestimmungen, die im Widerspruch zur unionsrechtlichen Rahmengesetzgebung (DSGVO) stehen würden, nicht anzuwenden. Eine fehlende Löschfrist berechtige daher keineswegs, wie von der belangten Behörde behauptet, zur unbegrenzten Aufbewahrung von Daten oder der Einschränkung einer Löschung auf die zentrale Evidenz, da die Prinzipien des Artikel 5, DSGVO dem entgegenstehen würden. Es werde daher beantragt, Spruchpunkt 3 dahingehend abzuändern, dass die Lichtbilder zu den Ausweisen Nr. römisch 40 und Nr. römisch 40 aus den lokalen und zentralen Evidenzen zu löschen seien. Weiters werde der Antrag gestellt, dem EuGH die Auslegungsfrage gem. Artikel 267, AEUV vorzulegen, ob in nationalen Normen erwähnte Verarbeitungszwecke im Zusammenwirken mit Artikel 5, DSGVO das Bestehen von Löschfristen implizieren würden, sowie ob es eine unbegrenzte Speicherung von Daten ohne explizite Normierung geben könne.
9. Am 03.09.2019 übermittelte die mitbeteiligte Partei der belangten Behörde die Bestätigung des XXXX , dass, entsprechend dem Spruchpunkt
10. des Bescheides, die Personalausweisdaten des öst. Personalausweises Nr. XXXX , im zentralen IDR gelöscht worden seien. Dem Löschungsauftrag der belangten Behörde sei sohin innerhalb der im Spruchpunkt
11. des Bescheides festgelegten Frist entsprochen worden.
12. Am 03.09.2019 übermittelte die mitbeteiligte Partei der belangten Behörde die Bestätigung des römisch 40 , dass, entsprechend dem Spruchpunkt
13. des Bescheides, die Personalausweisdaten des öst. Personalausweises Nr. römisch 40 , im zentralen IDR gelöscht worden seien. Dem Löschungsauftrag der belangten Behörde sei sohin innerhalb der im Spruchpunkt
14. des Bescheides festgelegten Frist entsprochen worden.
15. Die belangte Behörde teilte dem Beschwerdeführer mit Schreiben vom 12.09.2019 mit, dass bestätigt worden sei, dass entsprechend dem Spruchpunkt
16. des Bescheides die Personalausweisdaten des österreichischen Personalausweises Nr. XXXX , im zentralen IDR gelöscht worden seien.
17. Die belangte Behörde teilte dem Beschwerdeführer mit Schreiben vom 12.09.2019 mit, dass bestätigt worden sei, dass entsprechend dem Spruchpunkt
18. des Bescheides die Personalausweisdaten des österreichischen Personalausweises Nr. römisch 40 , im zentralen IDR gelöscht worden seien.
19. Mit Schreiben vom 18.09.2019 wurde von der belangten Behörde die Beschwerde samt Verwaltungsakt dem Bundesverwaltungsgericht zur Entscheidung vorgelegt.
20. Aufgrund der Verfügung des Geschäftsverteilungsausschusses vom 17.07.2020 wurde die gegenständliche Rechtssache in die nunmehr zuständige Gerichtsabteilung W214 zugewiesen, wo sie am 24.07.2020 einlangte.
21. Am 17.12.2020 übermittelte der Beschwerdeführer dem Bundesverwaltungsgericht eine „Anregung einer Vorlage an den VfGH“ und führte dazu aus, dass er die Vorlage der §§ 22a, b Passgesetz 1992 zur Prüfung der Verfassungsmäßigkeit beim VfGH aufgrund der Verletzung des Determinierungsgebots (Art. 18 B-VG), der DSGVO-Rahmengesetzgebung (Art. 5, 6, 9, 12 und 23 DSGVO), der Verfassungsbestimmung des § 1 Abs. 2 DSG, des Art. 7 und 8 GRC, des Art. 16 AEUV, des Art. 8 EMRK sowie der Gefahr für die Grund- und Freiheitsrechte durch laufende Zugriffserweiterungen auf Bestandsdaten, Fehlen eines Richtervorbehalts und eines effektiven nachgelagerten Rechtsschutzes, anrege. Die derzeitigen Regelungen der §§ 22a, b Passgesetz 1992 würden keine genauen Speicherdauern (maximal bzw. minimal), Verarbeitungszwecke oder Übermittlungsermächtigungen für bestimmte Datenkategorien festlegen bzw. werde zwischen den einzelnen Datenkategorien nicht unterschieden, was jedoch bereits zur Wahrung einer transparenten und für den Betroffenen nachvollziehbaren sowie rechtmäßigen Verarbeitung notwendig wäre.
22. Am 17.12.2020 übermittelte der Beschwerdeführer dem Bundesverwaltungsgericht eine „Anregung einer Vorlage an den VfGH“ und führte dazu aus, dass er die Vorlage der Paragraphen 22 a,, b Passgesetz 1992 zur Prüfung der Verfassungsmäßigkeit beim VfGH aufgrund der Verletzung des Determinierungsgebots (Artikel 18, B-VG), der DSGVO-Rahmengesetzgebung (Artikel 5, 6, 9, 12 und 23 DSGVO), der Verfassungsbestimmung des Paragraph eins, Absatz 2, DSG, des Artikel 7 und 8 GRC, des Artikel 16, AEUV, des Artikel 8, EMRK sowie der Gefahr für die Grund- und Freiheitsrechte durch laufende Zugriffserweiterungen auf Bestandsdaten, Fehlen eines Richtervorbehalts und eines effektiven nachgelagerten Rechtsschutzes, anrege. Die derzeitigen Regelungen der Paragraphen 22 a,, b Passgesetz 1992 würden keine genauen Speicherdauern (maximal bzw. minimal), Verarbeitungszwecke oder Übermittlungsermächtigungen für bestimmte Datenkategorien festlegen bzw. werde zwischen den einzelnen Datenkategorien nicht unterschieden, was jedoch bereits zur Wahrung einer transparenten und für den Betroffenen nachvollziehbaren sowie rechtmäßigen Verarbeitung notwendig wäre.
23. Das Bundesverwaltungsgericht übermittelte am 04.02.2021 die Beschwerde des Beschwerdeführers sowie den Schriftsatz vom 17.12.2020 der mitbeteiligten Partei zur Kenntnis und gab ihr Gelegenheit zur Abgabe einer Stellungnahme.
24. Mit Stellungnahme vom 23.02.2021 führte die mitbeteiligte Partei aus, dass der vom Beschwerdeführer angeführte Artikel 5 Abs. 1 lit. e DSGVO normiere, dass personenbezogene Daten in einer Form gespeichert werden müssten, die die Identifizierung der betroffenen Person nur solange ermögliche, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich sei. Diese vom Beschwerdeführer angesprochene Speicherbegrenzung sei im § 22c Abs. 1, Abs. 2 Z 1 und 2 und Abs. 4 Passgesetz 1992 durch Sperrfristen und Löschungsfristen bezüglich der personenbezogenen Daten und der Dokumentendaten nachvollziehbar geregelt. Diese, auf die Dauer der Gültigkeit der österreichischen Reisedokumente abstellenden, Aufbewahrungsfristen der personenbezogenen Daten in der Evidenz (Identitätsdokumentenregister) seien deshalb wichtig, da ansonsten bei allfälligen Problemen mit österreichischen Reisepässen und Personalausweisen im Zusammenhang mit einer Grenzkontrolle, beispielsweise bei Verdacht auf eine Verfälschung, die Abklärung der Personendaten und der Ausstellungsdaten des Reisedokuments nicht mehr möglich wäre. Weiters wären im Falle einer Entfremdung (Diebstahl) oder Verlustes des österreichischen Reisepasses bzw. österreichischen Personalausweises die Anzeigelegung und die Ausschreibung in der Sachenfahndung (national

§ 22bAbs.

2 Z 1 Passgesetz 1992 und international

den Vorschriften zum Schengener Abkommen) nicht mehr möglich, zumal die Reisedokumente-Nummer, die Ausstellungsbehörde, das genaue Ausstellungsdatum, das Gültigkeitsdatum usw. nicht mehr ermittelbar wären. Zudem wäre bei allfälligen Zweifeln an der Echtheit des vorgelegten Reisedokuments bei dessen Verwendung als Reisedokument oder als amtlicher Lichtbildausweis bei Identitätsabklärungen auf Anfrage im Einzelfall der im § 22b Abs. 4 und Abs. 4a Passgesetz 1992 genannten Behörden ein Abgleich des ausgestellten österreichischen Reisedokumentes mit den vom Reisedokumente-Antragsteller beantragten Reisedokumentdaten bis zum Ablauf der Gültigkeitsdauer des Reisedokuments durch die Passbehörde ohne die im Zuge der Beantragung von Reisedokumenten und -ausstellung verarbeiteten Evidenzdaten (insbesondere Namen, Geburtsdatum, Staatsbürgerschaftsnachweis, Passfoto, Unterschrift, Ausstellungsbehörde, Reisedokumentnummer, Ausstellungsdatum, Gültigkeitsdatum) nicht mehr möglich. Es sei festzuhalten, dass § 22c Passgesetz 1992 jeweils auf personenbezogene Daten und nicht auf unterschiedliche Systeme verweise. Durch den Verweis auf § 22b Passgesetz 1992, der wiederum auf den § 22a Passgesetz 1992 verweise, würden die personenbezogenen Daten nur näher konkretisiert. Dementsprechend seien die entsprechenden gesetzlichen Löschfristen vorhanden. Die Löschungsverpflichtung hinsichtlich des Personalausweises mit der Nr. XXXX sei erfüllt, aufgrund der Spruchpunkte

1. und
2. des angefochtenen Bescheides der belangten Behörde sei die Löschung der Daten zum österreichischen Personalausweis Nr. XXXX im zentralen Identitätsdokumentenregister und im technisch mit diesem untrennbar verbundenen lokalen Identitätsdokumentenregister beim XXXX per E-Mail am
3. August 2019 veranlasst worden. Der Personalausweis Nr. XXXX scheine im Identitätsdokumentenregister nicht mehr auf (weder zentral noch lokal). Es werde daher festgehalten, dass hinsichtlich der personenbezogenen Daten des Personalausweises mit der Nr. XXXX keinerlei Beschwer mehr vorliege, da dem Begehren des Beschwerdeführers entsprochen worden sei. Hinsichtlich des Personalausweises mit der Nr. XXXX bestehe keine Löschungsverpflichtung, da dieser bis
4. September 2025 gültig sei. Die Argumentation des Beschwerdeführers zu § 22a Abs. 1 und § 22b Abs. 1 Passgesetz 1992 bezüglich des Fehlens einer ex-lege Löschungsfrist in der Evidenz für gültige öst. Reisedokumente sei nicht nachvollziehbar, in § 22c Passgesetz 1992 sei ohnehin die, auf die Gültigkeitsdauer des öst. Reisedokumentes abstellende, Aufbewahrungsfrist der personenbezogenen Reisedokumente-Daten geregelt. § 22c Passgesetz 1992 beziehe sich – wie erwähnt – auf konkret genannte Daten und nicht Systeme. Andererseits sei auch deshalb die Argumentation nicht nachvollziehbar, da die §§ 22a Abs. 1 und 22b Abs. 1 Passgesetz 1992 die Passbehörden ermächtigen würden, die bei der Antragstellung auf Ausstellung eines öst. Reisepasses oder eines öst. Personalausweises taxativ aufgezählten Datenarten des Antragstellers (wie Namen, Geburtsdaten, Lichtbild, Unterschrift, usw.) und die Ausstellungsdaten des öst. Reisedokuments (wie Ausstellungsbehörde, Ausstellungsdatum, Gültigkeitsdatum, Pass- oder Personalausweisnummer, usw.) in der zentralen und in der lokalen Evidenz (im zentralen und lokalen Identitätsdokumentenregister des XXXX ) zu verarbeiten, also insbesondere zu speichern. Es bestehe damit eine Verarbeitungsermächtigung. Selbst bei der Annahme des Fehlens einer gesetzlichen Löschungsverpflichtung käme der Art. 5 Abs. 1 lit. e DSGVO während der aufrechten Gültigkeitsdauer des Personalausweises nicht zum Tragen, da die personenbezogenen Daten jedenfalls während der Gültigkeitsdauer und auch noch danach in personenbezogener Form aus den oben genannten Gründen weiter benötigt werden. Eine Löschungsfrist sei in den §§ 22a Abs. 1 und 22b Abs. 1 Passgesetz 1992 für die Dauer der Gültigkeit der ausgestellten öst. Reisedokumente nicht normiert und wäre eine solche während der Laufzeit der Reisedokumente auch kontraproduktiv. Auch hinsichtlich des Personalausweises mit der Nr. XXXX bestehe keine Löschungsverpflichtung, der Beschwerdeführer habe den Personalausweis Nr. XXXX reklamiert und sei dieser am
5. September 2015 im Identitätsdokumentenregister auf „ungültig“ gesetzt worden und am selben Tag den Produktionsauftrag für den gebührenfreien Ersatz-Personalausweis für den Beschwerdeführer im Wege des Identitätsdokumentenregisters an die XXXX auf Basis der Personalausweis-Antragsniederschrift vom
6. September 2015 und mit dem damals der Passbehörde vorgelegten Foto erteilt worden. Der „Ersatz“-Personalausweis Nr. XXXX mit den ursprünglichen Ausstellungs- und Gültigkeitsdaten (
7. September 2015 bis
8. September 2025) und demselben Foto sei dem Beschwerdeführer nachweislich am
9. Oktober 2015 ausgefolgt worden. Beide Personalausweise würden im Hinblick auf den Antrag eine rechtliche Einheit bilden, dies lasse sich insbesondere mit dem Verweis auf dieselben Antragsgrundlagen begründen. Eine Löschung der IDR-Daten des reklamierten Personalausweises Nr. XXXX im Identitätsdokumentenregister hätte zur Folge, dass damit der Verarbeitung (Speicherung) der personenbezogenen Daten des Beschwerdeführers

§§ 22aAbs.

1 und 22b Abs. 1 Passgesetz 1992 für den bis

1. September 2025 gültigen „Ersatz“-Personalausweis Nr. XXXX die Grundlage entzogen wäre. Die vom Beschwerdeführer verlangte Sperre der Daten des Personalausweises Nr. XXXX für Auskünfte in der zentralen und in der lokalen Evidenz (Identitätsdokumentenregister) per
2. September 2016 und die Löschung dieser Personalausweisdaten mit
3. September 2018

§ 22cAbs.

2 und Abs. 4 Passgesetz 1992 könne daher nicht zum Tragen kommen. Dem Vorbringen, es handle sich bei den Lichtbildern im Identitätsdokumentenregister um biometrische Daten iSd Art. 4 Z 14 DSGVO werde entschieden entgegengetreten, da diese nicht auf dem Datenträger des biometrischen Reisepasses („Chip“) gespeichert seien. 17. Mit Stellungnahme vom 23.02.2021 führte die mitbeteiligte Partei aus, dass der vom Beschwerdeführer angeführte Artikel 5 Absatz eins, Litera e, DSGVO normiere, dass personenbezogene Daten in einer Form gespeichert werden müssten, die die Identifizierung der betroffenen Person nur solange ermögliche, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich sei. Diese vom Beschwerdeführer angesprochene Speicherbegrenzung sei im Paragraph 22 c, Absatz eins,, Absatz 2, Ziffer eins und 2 und Absatz 4, Passgesetz 1992 durch Sperrfristen und Löschungsfristen bezüglich der personenbezogenen Daten und der Dokumentendaten nachvollziehbar geregelt. Diese, auf die Dauer der Gültigkeit der österreichischen Reisedokumente abstellenden, Aufbewahrungsfristen der personenbezogenen Daten in der Evidenz (Identitätsdokumentenregister) seien deshalb wichtig, da ansonsten bei allfälligen Problemen mit österreichischen Reisepässen und Personalausweisen im Zusammenhang mit einer Grenzkontrolle, beispielsweise bei Verdacht auf eine Verfälschung, die Abklärung der Personendaten und der Ausstellungsdaten des Reisedokuments nicht mehr möglich wäre. Weiters wären im Falle einer Entfremdung (Diebstahl) oder Verlustes des österreichischen Reisepasses bzw. österreichischen Personalausweises die Anzeigelegung und die Ausschreibung in der Sachenfahndung (national

Paragraph 22 b, Absatz 2, Ziffer eins, Passgesetz 1992 und international

den Vorschriften zum Schengener Abkommen) nicht mehr möglich, zumal die Reisedokumente-Nummer, die Ausstellungsbehörde, das genaue Ausstellungsdatum, das Gültigkeitsdatum usw. nicht mehr ermittelbar wären. Zudem wäre bei allfälligen Zweifeln an der Echtheit des vorgelegten Reisedokuments bei dessen Verwendung als Reisedokument oder als amtlicher Lichtbildausweis bei Identitätsabklärungen auf Anfrage im Einzelfall der im Paragraph 22 b, Absatz 4 und Absatz 4 a, Passgesetz 1992 genannten Behörden ein Abgleich des ausgestellten österreichischen Reisedokumentes mit den vom Reisedokumente-Antragsteller beantragten Reisedokumentdaten bis zum Ablauf der Gültigkeitsdauer des Reisedokuments durch die Passbehörde ohne die im Zuge der Beantragung von Reisedokumenten und -ausstellung verarbeiteten Evidenzdaten (insbesondere Namen, Geburtsdatum, Staatsbürgerschaftsnachweis, Passfoto, Unterschrift, Ausstellungsbehörde, Reisedokumentnummer, Ausstellungsdatum, Gültigkeitsdatum) nicht mehr möglich. Es sei festzuhalten, dass Paragraph 22 c, Passgesetz 1992 jeweils auf personenbezogene Daten und nicht auf unterschiedliche Systeme verweise. Durch den Verweis auf Paragraph 22 b, Passgesetz 1992, der wiederum auf den Paragraph 22 a, Passgesetz 1992 verweise, würden die personenbezogenen Daten nur näher konkretisiert. Dementsprechend seien die entsprechenden gesetzlichen Löschfristen vorhanden. Die Löschungsverpflichtung hinsichtlich des Personalausweises mit der Nr. römisch 40 sei erfüllt, aufgrund der Spruchpunkte

1. und
2. des angefochtenen Bescheides der belangten Behörde sei die Löschung der Daten zum österreichischen Personalausweis Nr. römisch 40 im zentralen Identitätsdokumentenregister und im technisch mit diesem untrennbar verbundenen lokalen Identitätsdokumentenregister beim römisch 40 per E-Mail am
3. August 2019 veranlasst worden. Der Personalausweis Nr. römisch 40 scheine im Identitätsdokumentenregister nicht mehr auf (weder zentral noch lokal). Es werde daher festgehalten, dass hinsichtlich der personenbezogenen Daten des Personalausweises mit der Nr. römisch 40 keinerlei Beschwer mehr vorliege, da dem Begehren des Beschwerdeführers entsprochen worden sei. Hinsichtlich des Personalausweises mit der Nr. römisch 40 bestehe keine Löschungsverpflichtung, da dieser bis
4. September 2025 gültig sei. Die Argumentation des Beschwerdeführers zu Paragraph 22 a, Absatz eins und Paragraph 22 b, Absatz eins, Passgesetz 1992 bezüglich des Fehlens einer ex-lege Löschungsfrist in der Evidenz für gültige öst. Reisedokumente sei nicht nachvollziehbar, in Paragraph 22 c, Passgesetz 1992 sei ohnehin die, auf die Gültigkeitsdauer des öst. Reisedokumentes abstellende, Aufbewahrungsfrist der personenbezogenen Reisedokumente-Daten geregelt. Paragraph 22 c, Passgesetz 1992 beziehe sich – wie erwähnt – auf konkret genannte Daten und nicht Systeme. Andererseits sei auch deshalb die Argumentation nicht nachvollziehbar, da die Paragraphen 22 a, Absatz eins und 22 b Absatz eins, Passgesetz 1992 die Passbehörden ermächtigen würden, die bei der Antragstellung auf Ausstellung eines öst. Reisepasses oder eines öst. Personalausweises taxativ aufgezählten Datenarten des Antragstellers (wie Namen, Geburtsdaten, Lichtbild, Unterschrift, usw.) und die Ausstellungsdaten des öst. Reisedokuments (wie Ausstellungsbehörde, Ausstellungsdatum, Gültigkeitsdatum, Pass- oder Personalausweisnummer, usw.) in der zentralen und in der lokalen Evidenz (im zentralen und lokalen Identitätsdokumentenregister des römisch 40 ) zu verarbeiten, also insbesondere zu speichern. Es bestehe damit eine Verarbeitungsermächtigung. Selbst bei der Annahme des Fehlens einer gesetzlichen Löschungsverpflichtung käme der Artikel 5, Absatz eins, Litera e, DSGVO während der aufrechten Gültigkeitsdauer des Personalausweises nicht zum Tragen, da die personenbezogenen Daten jedenfalls während der Gültigkeitsdauer und auch noch danach in personenbezogener Form aus den oben genannten Gründen weiter benötigt werden. Eine Löschungsfrist sei in den Paragraphen 22 a, Absatz eins und 22 b Absatz eins, Passgesetz 1992 für die Dauer der Gültigkeit der ausgestellten öst. Reisedokumente nicht normiert und wäre eine solche während der Laufzeit der Reisedokumente auch kontraproduktiv. Auch hinsichtlich des Personalausweises mit der Nr. römisch 40 bestehe keine Löschungsverpflichtung, der Beschwerdeführer habe den Personalausweis Nr. römisch 40 reklamiert und sei dieser am
5. September 2015 im Identitätsdokumentenregister auf „ungültig“ gesetzt worden und am selben Tag den Produktionsauftrag für den gebührenfreien Ersatz-Personalausweis für den Beschwerdeführer im Wege des Identitätsdokumentenregisters an die römisch 40 auf Basis der Personalausweis-Antragsniederschrift vom
6. September 2015 und mit dem damals der Passbehörde vorgelegten Foto erteilt worden. Der „Ersatz“-Personalausweis Nr. römisch 40 mit den ursprünglichen Ausstellungs- und Gültigkeitsdaten (
7. September 2015 bis
8. September 2025) und demselben Foto sei dem Beschwerdeführer nachweislich am
9. Oktober 2015 ausgefolgt worden. Beide Personalausweise würden im Hinblick auf den Antrag eine rechtliche Einheit bilden, dies lasse sich insbesondere mit dem Verweis auf dieselben Antragsgrundlagen begründen. Eine Löschung der IDR-Daten des reklamierten Personalausweises Nr. römisch 40 im Identitätsdokumentenregister hätte zur Folge, dass damit der Verarbeitung (Speicherung) der personenbezogenen Daten des Beschwerdeführers

Paragraphen 22 a, Absatz eins und 22 b Absatz eins, Passgesetz 1992 für den bis

1. September 2025 gültigen „Ersatz“-Personalausweis Nr. römisch 40 die Grundlage entzogen wäre. Die vom Beschwerdeführer verlangte Sperre der Daten des Personalausweises Nr. römisch 40 für Auskünfte in der zentralen und in der lokalen Evidenz (Identitätsdokumentenregister) per
2. September 2016 und die Löschung dieser Personalausweisdaten mit
3. September 2018

Paragraph 22 c, Absatz 2 und Absatz 4, Passgesetz 1992 könne daher nicht zum Tragen kommen. Dem Vorbringen, es handle sich bei den Lichtbildern im Identitätsdokumentenregister um biometrische Daten iSd Artikel 4, Ziffer 14, DSGVO werde entschieden entgegengetreten, da diese nicht auf dem Datenträger des biometrischen Reisepasses („Chip“) gespeichert seien.

1. Das Bundesverwaltungsgericht übermittelte die Stellungnahme der mitbeteiligten Partei am 07.04.2021 im Rahmen des Parteiengehörs dem Beschwerdeführer und der belangten Behörde.
2. Der Beschwerdeführer führte mit Stellungnahme vom 15.04.2021 - unter Anschluss von Dokumenten – aus, dass es sich bei den Lichtbildern, die für Reisepässe und Personalausweise verwendet werden, um biometrische Daten handle. Weiters wiederholte der Beschwerdeführer, dass die Speicherung seines Lichtbildes nicht notwendig sei. Auch wenn im Alltagsleben ein Ausweis erforderlich sei, könne man die Identität üblicherweise mit jedem amtlichen Lichtbildausweis (Studentenausweis, Waffenbesitzkarte, Führerschein…) nachweisen. Allenfalls wäre noch eine rein lokale Speicherung des gescannten Antragsformulars inkl. Lichtbild in einem Archiv der Passbehörde ohne automatisierte Abrufmöglichkeiten mit dem Zweck der Verfahrensdokumentation vereinbar.
3. Das Bundesverwaltungsgericht ersuchte die mitbeteiligte Partei um Klärung, ob das Lichtbild, das anlässlich der Ausstellung des später für ungütig erklären Personalausweises gespeichert wurde, sowohl unter der Nr. des ungültigen Personalausweises als auch unter der Nr. des daraufhin ausgestellten gültigen Personalausweises gesondert gespeichert ist. Dazu teilte die mitbeteiligte Partei mit Schreiben vom 22.04.2021 mit, dass die Bundesapplikation Identitätsdokumentenregister (IDR) so aufgebaut sei, dass jeder Reisepass- bzw. Personalausweisantrag samt dem jeweils vorgelegten Lichtbild gesondert erfasst werde. Insoweit sei auch jedes Lichtbild zum jeweiligen Antrag (Dokumentdatensatz) gesondert erfasst und damit gesondert gespeichert; Im vorliegenden Fall sei für den Beschwerdeführer aufgrund seiner Urgenz eines vermeintlichen Produktionsfehlers des von ihm am 07.
4. 2015 beantragten Personalausweises (Plastikkarte) zur Nummer XXXX ein neuer gebührenfreier Personalausweis mit der Nummer XXXX am 24.09.2015 vom MBA 4/5 ausgestellt worden. Auch hier sei der dahingehende Antrag auf gebührenfreie Neuausstellung samt dem Lichtbild gesondert im IDR erfasst und gespeichert worden. Für die gebührenfreie Neuausstellung dürfe passrechtlich dasselbe Lichtbild verwendet werden, sofern zwischen den beiden Ausstellungsdaten nicht mehr als sechs Monate liegen. Dies ändere jedoch nichts daran, dass im vorliegenden Fall das verwendete Lichtbild im IDR mit dem Antrag auf gebührenfreie Neuausstellung des Personalausweises ebenso gesondert verspeichert worden sei.Dazu teilte die mitbeteiligte Partei mit Schreiben vom 22.04.2021 mit, dass die Bundesapplikation Identitätsdokumentenregister (IDR) so aufgebaut sei, dass jeder Reisepass- bzw. Personalausweisantrag samt dem jeweils vorgelegten Lichtbild gesondert erfasst werde. Insoweit sei auch jedes Lichtbild zum jeweiligen Antrag (Dokumentdatensatz) gesondert erfasst und damit gesondert gespeichert; Im vorliegenden Fall sei für den Beschwerdeführer aufgrund seiner Urgenz eines vermeintlichen Produktionsfehlers des von ihm am 07.
5. 2015 beantragten Personalausweises (Plastikkarte) zur Nummer römisch 40 ein neuer gebührenfreier Personalausweis mit der Nummer römisch 40 am 24.09.2015 vom MBA 4/5 ausgestellt worden. Auch hier sei der dahingehende Antrag auf gebührenfreie Neuausstellung samt dem Lichtbild gesondert im IDR erfasst und gespeichert worden. Für die gebührenfreie Neuausstellung dürfe passrechtlich dasselbe Lichtbild verwendet werden, sofern zwischen den beiden Ausstellungsdaten nicht mehr als sechs Monate liegen. Dies ändere jedoch nichts daran, dass im vorliegenden Fall das verwendete Lichtbild im IDR mit dem Antrag auf gebührenfreie Neuausstellung des Personalausweises ebenso gesondert verspeichert worden sei. II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
6. Feststellungen: Der unter Punkt I. angeführte Verfahrensgang wird den Feststellungen zugrunde gelegt.Der unter Punkt römisch eins. angeführte Verfahrensgang wird den Feststellungen zugrunde gelegt. Der Beschwerdeführer machte in seiner Datenschutzbeschwerde vom 10.11.2018 (verbessert mit Eingaben vom 14.11.2018 und 29.11.2018) eine Verletzung im Recht auf Geheimhaltung geltend und brachte vor, dass eine dauerhafte Speicherung seiner biometrischen Daten zum Personalausweis Nr. XXXX sowie seiner Lichtbilder zu den Personalausweisen Nr. XXXX und Nr. XXXX durch den XXXX als Passbehörde und Verantwortlichen

Art. 4

Z 7 DSGVO im Identitätsdokumentenregister (IDR) des XXXX unverhältnismäßig und (wegen der Nichtbeachtung von Löschfristen) unzulässig (gewesen) sei. Der Beschwerdeführer beantragte daher die Löschung der personenbezogenen Daten zum Personalausweis Nr. XXXX sowie der Lichtbilder zu den Personalausweisen Nr. XXXX und Nr. XXXX .Der Beschwerdeführer machte in seiner Datenschutzbeschwerde vom 10.11.2018 (verbessert mit Eingaben vom 14.11.2018 und 29.11.2018) eine Verletzung im Recht auf Geheimhaltung geltend und brachte vor, dass eine dauerhafte Speicherung seiner biometrischen Daten zum Personalausweis Nr. römisch 40 sowie seiner Lichtbilder zu den Personalausweisen Nr. römisch 40 und Nr. römisch 40 durch den römisch 40 als Passbehörde und Verantwortlichen

Artikel 4

, Ziffer 7, DSGVO im Identitätsdokumentenregister (IDR) des römisch 40 unverhältnismäßig und (wegen der Nichtbeachtung von Löschfristen) unzulässig (gewesen) sei. Der Beschwerdeführer beantragte daher die Löschung der personenbezogenen Daten zum Personalausweis Nr. römisch 40 sowie der Lichtbilder zu den Personalausweisen Nr. römisch 40 und Nr. römisch 40 . Mit Bescheid vom 14.05.2019, Zl DSB-D123.770/0000-DSB/2019, gab die belangte Behörde der Beschwerde des Beschwerdeführers teilweise statt und stellte fest, dass die mitbeteiligte Partei den Beschwerdeführer dadurch im Recht auf Geheimhaltung verletzt habe, indem über den 23. November 2017 hinaus die personenbezogenen Daten des Beschwerdeführers (§ 22b Abs. 2 Passgesetz 1992) zum Personalausweis Nr. XXXX im zentralen Identitätsdokumentenregister gespeichert worden seien (Spruchpunkt 1.). Der mitbeteiligten Partei wurde auftragen, innerhalb einer Frist von zwei Wochen die Daten

Spruchpunkt 1 zu löschen (Spruchpunkt 2.). Im Übrigen wurde die Beschwerde wegen Verletzung im Recht auf Geheimhaltung abgewiesen (Spruchpunkt 3.).Mit Bescheid vom 14.05.2019, Zl DSB-D123.770/0000-DSB/2019, gab die belangte Behörde der Beschwerde des Beschwerdeführers teilweise statt und stellte fest, dass die mitbeteiligte Partei den Beschwerdeführer dadurch im Recht auf Geheimhaltung verletzt habe, indem über den 23. November 2017 hinaus die personenbezogenen Daten des Beschwerdeführers (Paragraph 22 b, Absatz 2, Passgesetz 1992) zum Personalausweis Nr. römisch 40 im zentralen Identitätsdokumentenregister gespeichert worden seien (Spruchpunkt 1.). Der mitbeteiligten Partei wurde auftragen, innerhalb einer Frist von zwei Wochen die Daten

Spruchpunkt 1 zu löschen (Spruchpunkt 2.). Im Übrigen wurde die Beschwerde wegen Verletzung im Recht auf Geheimhaltung abgewiesen (Spruchpunkt 3.). Gegen diesen Bescheid erhob der Beschwerdeführer mit Schriftsatz vom 24.08.2019 eine Beschwerde an das Bundesverwaltungsgericht. Die Daten des Beschwerdeführers zum Personalausweis Nr. XXXX wurden spätestens am 03.09.2019 aus dem zentralen und lokalen Identitätsdokumentenregister, welche technisch untrennbar verbunden sind, gelöscht.Die Daten des Beschwerdeführers zum Personalausweis Nr. römisch 40 wurden spätestens am 03.09.2019 aus dem zentralen und lokalen Identitätsdokumentenregister, welche technisch untrennbar verbunden sind, gelöscht. Das Lichtbild des Beschwerdeführers, das anlässlich der Antragstellung für den Personalausweis Nr. XXXX verarbeitet wurde, wird von der mitbeteiligten Partei noch immer beim Datensatz dieses am 24.09.2015 für ungültig erklären Personalausweises verarbeitet.Das Lichtbild des Beschwerdeführers, das anlässlich der Antragstellung für den Personalausweis Nr. römisch 40 verarbeitet wurde, wird von der mitbeteiligten Partei noch immer beim Datensatz dieses am 24.09.2015 für ungültig erklären Personalausweises verarbeitet. Dieses Lichtbild wird von der mitbeteiligten Partei auch beim Datensatz zum Personalausweis Nr. XXXX des Beschwerdeführers verarbeitet.Dieses Lichtbild wird von der mitbeteiligten Partei auch beim Datensatz zum Personalausweis Nr. römisch 40 des Beschwerdeführers verarbeitet. 2. Beweiswürdigung: Die Feststellungen ergeben sich aus dem Verwaltungsakt und aus dem Gerichtsakt und sind unstrittig. 3. Rechtliche Beurteilung: Zu A) 3.1.

Art. 130Abs.

1 Z 1 B-VG erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit. 3.1.

Artikel 130

, Absatz eins, Ziffer eins, B-VG erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.

§ 6Bundesverwaltungsgerichtsgesetz (BVw

GG) entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

§ 27Datenschutzgesetz (DSG) idg

F (welcher im Wesentlichen dem bis 24.05.2018 in Geltung gestandenen § 39 DSG 2000 entspricht) entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht

§ 24Abs.

7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Paragraph 6, Bundesverwaltungsgerichtsgesetz (BVwGG) entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Paragraph 27, Datenschutzgesetz (DSG) idgF (welcher im Wesentlichen dem bis 24.05.2018 in Geltung gestandenen Paragraph 39, DSG 2000 entspricht) entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht

Paragraph 24, Absatz 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das Verwaltungsgerichtsverfahrensgesetz (VwGVG) geregelt (§ 1 leg.cit.).

§ 58Abs. 2 Vw

GVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkraftretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft. Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das Verwaltungsgerichtsverfahrensgesetz (VwGVG) geregelt (Paragraph eins, leg.cit.).

Paragraph 58, Absatz 2, VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkraftretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

§ 17Vw

GVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden

Art. 130Abs.

1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles sowie andere näher genannte (im vorliegenden Fall nicht relevante) Gesetze und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

Paragraph 17, VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden

Artikel 130

, Absatz eins, B-VG die Bestimmungen des AVG mit Ausnahme der Paragraphen eins bis 5 sowie des römisch vier. Teiles sowie andere näher genannte (im vorliegenden Fall nicht relevante) Gesetze und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

§ 28Abs. 1 Vw

GVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

§ 31Abs. 1 Vw

GVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

Paragraph 28, Absatz eins, VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

Paragraph 31, Absatz eins, VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

§ 28Abs. 2 Vw

GVG hat über Beschwerden

Art. 130Abs.

1 Z 1 B-VG das Verwaltungsgericht dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

Paragraph 28, Absatz 2, VwGVG hat über Beschwerden

Artikel 130

, Absatz eins, Ziffer eins, B-VG das Verwaltungsgericht dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist. 3.2. Zu den Prozessvoraussetzungen: Die Beschwerde wurde

§ 7Abs. 4 Vw

GVG fristwahrend erhoben und es liegen auch die sonstigen Prozessvoraussetzungen vor. Die Beschwerde wurde

Paragraph 7, Absatz 4, VwGVG fristwahrend erhoben und es liegen auch die sonstigen Prozessvoraussetzungen vor. 3.

1. Zu Spruchteil A): 3.3.
2. Rechtslage: Die belangte Behörde hat ihrem Bescheid folgende Rechtsgrundlagen zugrunde gelegt: Art. 58 Abs. 2 lit. d sowie Art. 77 der Datenschutz-Grundverordnung (DSGVO), ABl. Nr. L 119 vom 04.05.2016; §§ 1, 24 Abs. 1 und 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF sowie §§ 22a, 22b, 22c des Passgesetzes 1992, BGBl. Nr. 839/1992 idgF. Diese Bestimmungen sind auch im gegenständlichen Beschwerdeverfahren vor dem Bundesverwaltungsgericht heranzuziehen, darüber hinaus ist Art. 5 Abs. 1 lit. c DSGVO relevant.Artikel 58, Absatz 2, Litera d, sowie Artikel 77, der Datenschutz-Grundverordnung (DSGVO), ABl. Nr. L 119 vom 04.05.2016; Paragraphen eins, 24, Absatz eins und 5 des Datenschutzgesetzes (DSG), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF sowie Paragraphen 22 a, 22 b, 22 c, des Passgesetzes 1992, Bundesgesetzblatt Nr. 839 aus 1992, idgF. Diese Bestimmungen sind auch im gegenständlichen Beschwerdeverfahren vor dem Bundesverwaltungsgericht heranzuziehen, darüber hinaus ist Artikel 5, Absatz eins, Litera c, DSGVO relevant. Art. 4 Z 14 DSGVO lautet:Artikel 4, Ziffer 14, DSGVO lautet: „
3. „biometrische Daten“ mit speziellen technischen Verfahren gewonnene personenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen einer natürlichen Person, die die eindeutige Identifizierung dieser natürlichen Person ermöglichen oder bestätigen, wie Gesichtsbilder oder daktyloskopische Daten;“ Art. 5 Abs. 1 lit. c und e DSGVO lauten:Artikel 5, Absatz eins, Litera c und e DSGVO lauten: „Art. 5 DSGVO Grundsätze für die Verarbeitung personenbezogener Daten„"Art". 5 DSGVO Grundsätze für die Verarbeitung personenbezogener Daten

Artikel 89Absatz 1 verarbeitet werden („Speicherbegrenzung“);“ Art. 58 Abs. 2 lit. d DSGVO lautet:Artikel 58, Absatz 2, Litera d, DSGVO lautet: „Artikel 58 Befugnisse

§ 9des E-Government-Gesetzes – E-Gov

G, BGBl. I Nr. 10/2004, undm) das bereichsspezifische Personenkennzeichen (bPK)

Paragraph 9, des E-Government-Gesetzes – E-GovG, Bundesgesetzblatt Teil eins, Nr. 10 aus 2004,, und n) Namen, Geschlecht und Geburtsdaten miteingetragener Kinder des Antragstellers zum Zwecke der Einbringung dieser Daten in den Reisepass oder Personalausweis zu verarbeiten und diese Daten hiefür dem Auftragsverarbeiter

§ 3Abs.

6 zu übermitteln.des Antragstellers zum Zwecke der Einbringung dieser Daten in den Reisepass oder Personalausweis zu verarbeiten und diese Daten hiefür dem Auftragsverarbeiter

Paragraph 3, Absatz 6, zu übermitteln.

Abs. 1 lit. k verarbeitete Papillarlinienabdrücke dürfen ausschließlich für die Identifizierung des Passinhabers und die Prüfung der Authentizität des Dokuments in Vollziehung dieses Gesetzes verarbeitet werden.

Absatz eins, Litera k, verarbeitete Papillarlinienabdrücke dürfen ausschließlich für die Identifizierung des Passinhabers und die Prüfung der Authentizität des Dokuments in Vollziehung dieses Gesetzes verarbeitet werden.

Abs. 2 verarbeitete Daten dürfen – soweit darüber hinaus nicht eine gesonderte ausdrückliche gesetzliche Ermächtigung besteht – nur zur Vollziehung dieses Bundesgesetzes verarbeitet werden. Verfahrensdaten dürfen jedoch ausschließlich durch die jeweils zuständige örtliche Passbehörde verarbeitet werden.

Absatz 2, verarbeitete Daten dürfen – soweit darüber hinaus nicht eine gesonderte ausdrückliche gesetzliche Ermächtigung besteht – nur zur Vollziehung dieses Bundesgesetzes verarbeitet werden. Verfahrensdaten dürfen jedoch ausschließlich durch die jeweils zuständige örtliche Passbehörde verarbeitet werden.

Art. 4Z 7 in Verbindung mit Art.

26 Abs. 1 DSGVO ermächtigt, die für die Wahrnehmung der ihnen nach diesem Bundesgesetz übertragenen Aufgaben erforderlichen personenbezogenen Daten nach § 22a Abs. 1 mit Ausnahme der lit. k sowie ab dem Zeitpunkt der AusstellungParagraph 22 b,

Artikel 4

, Ziffer 7, in Verbindung mit Artikel 26, Absatz eins, DSGVO ermächtigt, die für die Wahrnehmung der ihnen nach diesem Bundesgesetz übertragenen Aufgaben erforderlichen personenbezogenen Daten nach Paragraph 22 a, Absatz eins, mit Ausnahme der Litera k, sowie ab dem Zeitpunkt der Ausstellung

1. a)die Ausstellungsbehörde,
2. b)das Ausstellungsdatum,
3. c)die Pass- oder Personalausweisnummer,
4. d)die Gültigkeitsdauer,
5. e)den Geltungsbereich,
6. f)das bereichsspezifische Personenkennzeichen (bPK, § 9 des E-Government-Gesetzes),
7. f)das bereichsspezifische Personenkennzeichen (bPK, Paragraph 9, des E-Government-Gesetzes),
8. g)besondere für das Ausstellungsverfahren notwendige Informationen sowie
9. h)einen Vermerk über ein laufendes Verfahren nach diesem Bundesgesetz gemeinsam in der Art zu verarbeiten, dass jeder Verantwortliche auch auf jene Daten in der Datenverarbeitung Zugriff hat, die dieser von den anderen Verantwortlichen zur Verfügung gestellt wurden. Zweck dieser Verarbeitung ist es, eine Behörde

Abs. 4 über die erfolgte Ausstellung eines Reisepasses oder Personalausweises oder über ein Verfahren nach diesem Bundesgesetz in Kenntnis zu setzen.gemeinsam in der Art zu verarbeiten, dass jeder Verantwortliche auch auf jene Daten in der Datenverarbeitung Zugriff hat, die dieser von den anderen Verantwortlichen zur Verfügung gestellt wurden. Zweck dieser Verarbeitung ist es, eine Behörde

Absatz 4, über die erfolgte Ausstellung eines Reisepasses oder Personalausweises oder über ein Verfahren nach diesem Bundesgesetz in Kenntnis zu setzen.

dem ersten Satz unzuständigen Verantwortlichen wahr, ist er an den zuständigen Verantwortlichen zu verweisen.

Art. 4Z 8 in Verbindung mit Art.

28 Abs. 1 DSGVO aus. Er ist in dieser Funktion verpflichtet, die Datenschutzpflichten

Art. 28Abs.

3 lit. a bis h DSGVO wahrzunehmen. In dieser Funktion hat er datenqualitätssichernde Maßnahmen zu setzen, wie insbesondere Hinweise auf eine mögliche Identität zweier ähnlicher Datensätze oder die Schreibweise von Adressen zu geben. Zudem ist er berechtigt, weitere Auftragsverarbeiter in Anspruch zu nehmen.

Artikel 4, Ziffer 8, in Verbindung mit Artikel 28, Absatz eins, DSGVO aus.

Er ist in dieser Funktion verpflichtet, die Datenschutzpflichten

Artikel 28, Absatz 3, Litera a bis h DSGVO wahrzunehmen.

In dieser Funktion hat er datenqualitätssichernde Maßnahmen zu setzen, wie insbesondere Hinweise auf eine mögliche Identität zweier ähnlicher Datensätze oder die Schreibweise von Adressen zu geben. Zudem ist er berechtigt, weitere Auftragsverarbeiter in Anspruch zu nehmen.

§§ 14oder 15 versagt oder entzogen worden ist oder2.

der betroffenen Person ein Reisepass oder Passersatz

Paragraphen 14, oder 15 versagt oder entzogen worden ist oder

1. die Passbehörde über die Anordnung zur Abnahme eines Reisedokuments nach § 107 des Bundesgesetzes über das gerichtliche Verfahren in Rechtsangelegenheiten außer Streitsachen (Außerstreitgesetz – AußStrG), BGBl. I Nr. 111/2003, oder den Widerruf einer solchen Maßnahme unterrichtet wird.
2. die Passbehörde über die Anordnung zur Abnahme eines Reisedokuments nach Paragraph 107, des Bundesgesetzes über das gerichtliche Verfahren in Rechtsangelegenheiten außer Streitsachen (Außerstreitgesetz – AußStrG), Bundesgesetzblatt Teil eins, Nr. 111 aus 2003,, oder den Widerruf einer solchen Maßnahme unterrichtet wird. Zweck dieser Verarbeitung ist die Feststellung der Identität von Personen und die Verhinderung missbräuchlicher Verarbeitung von Reisedokumenten sowie die Information der Behörden über bestehende Versagungs- und Entziehungsgründe. Für die Verwendung der Lichtbilddaten gilt § 22a Abs. 3 letzter Satz sinngemäß.Zweck dieser Verarbeitung ist die Feststellung der Identität von Personen und die Verhinderung missbräuchlicher Verarbeitung von Reisedokumenten sowie die Information der Behörden über bestehende Versagungs- und Entziehungsgründe. Für die Verwendung der Lichtbilddaten gilt Paragraph 22 a, Absatz 3, letzter Satz sinngemäß.

Z 2 gespeicherten Lichtbilds ist mit Ausnahme der Beauskunftung nur innerhalb von sechs Monaten, nachdem das Lichtbild erstmals in der zentralen Evidenz verarbeitet wurde, zulässig.zu verarbeiten. Ein Abruf der personenbezogenen Daten ist nur anhand der in Paragraph 22 a, Absatz 3, genannten Suchkriterien zulässig. Die Verwendung eines

Ziffer 2, gespeicherten Lichtbilds ist mit Ausnahme der Beauskunftung nur innerhalb von sechs Monaten, nachdem das Lichtbild erstmals in der zentralen Evidenz verarbeitet wurde, zulässig.

Abs. 1 und 2 verarbeitete Daten bestimmter Personen an die Passbehörden für Zwecke von Verfahren nach diesem Bundesgesetz, an die Stammzahlenregisterbehörde zum Zwecke des elektronischen Datennachweises

§ 18Abs. 1 E-Gov

G, an die Sicherheitsbehörden, ordentliche Gerichte und staatsanwaltschaftliche Behörden für deren Tätigkeit im Dienste der Strafrechtspflege übermittelt werden. Im Falle der Einräumung einer Möglichkeit zum automatisierten Abruf der personenbezogenen Daten ist ein solcher nur anhand der in § 22a Abs. 3 genannten Suchkriterien zu gestatten. Sonst sind Übermittlungen nur zulässig, wenn hiefür eine ausdrückliche gesetzliche Ermächtigung besteht.

Absatz eins und 2 verarbeitete Daten bestimmter Personen an die Passbehörden für Zwecke von Verfahren nach diesem Bundesgesetz, an die Stammzahlenregisterbehörde zum Zwecke des elektronischen Datennachweises

Paragraph 18, Absatz eins, E-GovG, an die Sicherheitsbehörden, ordentliche Gerichte und staatsanwaltschaftliche Behörden für deren Tätigkeit im Dienste der Strafrechtspflege übermittelt werden. Im Falle der Einräumung einer Möglichkeit zum automatisierten Abruf der personenbezogenen Daten ist ein solcher nur anhand der in Paragraph 22 a, Absatz 3, genannten Suchkriterien zu gestatten. Sonst sind Übermittlungen nur zulässig, wenn hiefür eine ausdrückliche gesetzliche Ermächtigung besteht.

Art. 21

DSGVO sowie kein Recht auf Einschränkung der Verarbeitung

Art. 18DSGVO. Darüber sind die Betroffenen in geeigneter Weise zu informieren.

Artikel 21

, DSGVO sowie kein Recht auf Einschränkung der Verarbeitung

Artikel 18, DSGVO. Darüber sind die Betroffenen in geeigneter Weise zu informieren.

§ 22bAbs.

1 bei Antragstellung verarbeitet werden, sind mit wirksamer Zurückziehung oder rechtskräftiger Zurückweisung des Antrages zu löschen, der Vermerk über ein laufendes Verfahren nach diesem Bundesgesetz mit rechtskräftigem Verfahrensabschluss. Im Übrigen sind die personenbezogenen Daten

§ 22bAbs.

1 ein Jahr nach der Entwertung des Reisepasses oder Personalausweises, bei Reisepässen spätestens aber sechs Jahre nach Ablauf der letzten Gültigkeitsdauer für Auskünfte zu sperren.Paragraph 22 c,

Paragraph 22 b, Absatz eins, bei Antragstellung verarbeitet werden, sind mit wirksamer Zurückziehung oder rechtskräftiger Zurückweisung des Antrages zu löschen, der Vermerk über ein laufendes Verfahren nach diesem Bundesgesetz mit rechtskräftigem Verfahrensabschluss. Im Übrigen sind die personenbezogenen Daten

Paragraph 22 b, Absatz eins, ein Jahr nach der Entwertung des Reisepasses oder Personalausweises, bei Reisepässen spätestens aber sechs Jahre nach Ablauf der letzten Gültigkeitsdauer für Auskünfte zu sperren.

§ 22bAbs. 2 verarbeitet werden, sind

Paragraph 22 b, Absatz 2, verarbeitet werden, sind

1. in den Fällen der Z 1 sowie bei im Verkehr befindlichen Reisedokumenten in den Fällen der Z 2 bei Reisepässen sechs Jahre nach Ablauf der letzten Gültigkeitsdauer, bei einem Passersatz ein Jahr nach Ablauf der Gültigkeitsdauer,
2. in den Fällen der Ziffer eins, sowie bei im Verkehr befindlichen Reisedokumenten in den Fällen der Ziffer 2, bei Reisepässen sechs Jahre nach Ablauf der letzten Gültigkeitsdauer, bei einem Passersatz ein Jahr nach Ablauf der Gültigkeitsdauer,
3. sonst in den Fällen der Z 2 zehn Jahre nach Rechtskraft des Bescheides für Auskünfte zu sperren.
4. sonst in den Fällen der Ziffer 2, zehn Jahre nach Rechtskraft des Bescheides für Auskünfte zu sperren.

Spruchpunkt

1. zu löschen. Die belangte Behörde hat in Spruchpunkt
2. des angefochtenen Bescheides ausgesprochen, dass der Beschwerde teilweise stattgegeben und festgestellt werde, dass die mitbeteiligte Partei den Beschwerdeführer dadurch im Recht auf Geheimhaltung verletzt hat, indem über den
3. November 2017 hinaus die personenbezogenen Daten des Beschwerdeführers (Paragraph 22 b, Absatz 2, Passgesetz 1992) zum Personalausweis Nr. römisch 40 im zentralen Identitätsdokumentenregister gespeichert wurden sowie in Spruchpunkt
4. des angefochtenen Bescheides der mitbeteiligten Partei auftragen, innerhalb einer Frist von zwei Wochen die Daten

Spruchpunkt

1. zu löschen. Die mitbeteiligte Partei ist diesem Auftrag nachgekommen und hat am 30.08.2019 die Löschung der Daten zum Personalausweis Nr. XXXX des Beschwerdeführers beim XXXX veranlasst. Die Vornahme der Löschung dieser Daten wurde am 03.09.2019 vom XXXX bestätigt. Die mitbeteiligte Partei ist diesem Auftrag nachgekommen und hat am 30.08.2019 die Löschung der Daten zum Personalausweis Nr. römisch 40 des Beschwerdeführers beim römisch 40 veranlasst. Die Vornahme der Löschung dieser Daten wurde am 03.09.2019 vom römisch 40 bestätigt. Der Beschwerdeführer zieht Spruchpunkt
2. des angefochtenen Bescheides insofern in Beschwerde, als er ausführt, dass seitens der belangten Behörde nur die Löschung aus der zentralen Evidenz gefordert werde. Aus dem Bescheid ergebe sich jedoch nicht, ob dies auch für die lokale Evidenz zu gelten habe. Er beantragte daher, Spruchpunkt 1 und 2 dahingehend zu erweitern, dass sämtliche Daten zum Ausweis XXXX zu löschen seien, womit auch die lokale Evidenz umfasst sein solle.Der Beschwerdeführer zieht Spruchpunkt
3. des angefochtenen Bescheides insofern in Beschwerde, als er ausführt, dass seitens der belangten Behörde nur die Löschung aus der zentralen Evidenz gefordert werde. Aus dem Bescheid ergebe sich jedoch nicht, ob dies auch für die lokale Evidenz zu gelten habe. Er beantragte daher, Spruchpunkt 1 und 2 dahingehend zu erweitern, dass sämtliche Daten zum Ausweis römisch 40 zu löschen seien, womit auch die lokale Evidenz umfasst sein solle. Wie die mitbeteiligte Partei mit Stellungnahme vom 23.02.2021 jedoch ausführte, sind das zentrale und das lokale Identitätsdokumentenregister technisch untrennbar verbunden und scheint der Personalausweis Nr. XXXX nach der durchgeführten Löschung weder zentral noch lokal im Identitätsdokumentenregister auf. Wie die mitbeteiligte Partei m