Beschluss des Europäischen Ausschusses für Systemrisiken vom 13. Juli 2012 zur Durchführung von Bestimmungen über den Datenschutz beim Europäischen Ausschuss für Systemrisiken (ESRB/2012/1)

In diesem Beschluss werden Bestimmungen festgelegt über a) die Bestellung und den Status des Datenschutzbeauftragten des Europäischen Ausschusses für Systemrisiken (European Systemic Risk Board, im Folgenden: ESRB) sowie über die Aufgaben, Pflichten und Befugnisse des Datenschutzbeauftragten, b) die Funktionen, Aufgaben und Pflichten von für die Verarbeitung Verantwortlichen und Datenschutzkoordinatoren, c) die Ausübung von Rechten der betroffenen Personen.

Im Sinne dieses Beschlusses gelten die nachfolgenden Begriffsbestimmungen: a) „für die Verarbeitung Verantwortlicher“ bezeichnet einen für eine Verwaltungseinheit, die über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet, verantwortlichen Leiter; b) „Datenschutzkoordinator“ bezeichnet einen Mitarbeiter, der einen für die Verarbeitung Verantwortlichen bei der Erfüllung seiner Datenschutzverpflichtungen unterstützt. Diese Person ist ein Fachmann im Bereich der Datenverwaltung.

1 Der Verwaltungsrat a) bestellt einen Datenschutzbeauftragten, der hinreichend qualifiziert ist, um die in Artikel 24 der Verordnung (EG) Nr. 45/2001 festgelegten Anforderungen zu erfüllen, b) legt eine Amtszeit für den Datenschutzbeauftragten zwischen zwei und fünf Jahren fest.

2 Der Verwaltungsrat gewährleistet die Unabhängigkeit des Datenschutzbeauftragten bei der Erfüllung seiner Aufgaben und Pflichten. Unbeschadet dieser Unabhängigkeit konsultieren die den Datenschutzbeauftragten beurteilenden Personen den Europäischen Datenschutzbeauftragten, bevor sie die Leistungen des Datenschutzbeauftragten bei der Erfüllung seiner Aufgaben und Pflichten beurteilen.

3 Der betreffende für die Verarbeitung Verantwortliche stellt sicher, dass der Datenschutzbeauftragte unverzüglich informiert wird, a) wenn sich Fragen ergeben, die datenschutzrechtliche Auswirkungen haben oder haben könnten; b) über sämtliche Kontakte zwischen dem ESRB und externen Beteiligten im Hinblick auf die Anwendung der Verordnung (EG) Nr. 45/2001, insbesondere über jeden Austausch mit dem Europäischen Datenschutzbeauftragten.

4 Der Verwaltungsrat kann einen Stellvertretenden Datenschutzbeauftragten bestellen, für den Artikel 24 Absätze 1, 2 und 6 der Verordnung (EG) Nr. 45/2001 gilt. Der Stellvertretende Datenschutzbeauftragte unterstützt den Datenschutzbeauftragten bei der Erfüllung seiner Aufgaben und Pflichten und vertritt ihn in dessen Abwesenheit.

5 Alle Mitarbeiter, die den Datenschutzbeauftragten im Zusammenhang mit Datenschutzfragen unterstützen, werden ausschließlich auf Weisung des Datenschutzbeauftragten tätig.

6 Mit Zustimmung des Europäischen Datenschutzbeauftragten kann der Datenschutzbeauftragte entlassen werden, wenn er die zur Erfüllung seiner Aufgaben und Pflichten erforderlichen Voraussetzungen nicht mehr erfüllt.

Im Rahmen der Erfüllung der in Artikel 24 der Verordnung (EG) Nr. 45/2001 und im Anhang dieser Verordnung genannten Aufgaben nimmt der Datenschutzbeauftragte unter Berücksichtigung der Beiträge des ESRB-Sekretariats die folgenden Pflichten wahr: a) Sensibilisierung für Datenschutzfragen sowie Förderung einer Kultur des Schutzes personenbezogener Daten innerhalb des ESRB; b) Beratung des Verwaltungsrats, des Lenkungsausschusses, des Sekretariats, des für die Verarbeitung Verantwortlichen und des Datenschutzkoordinators zu Fragen der Anwendung von Datenschutzbestimmungen beim ESRB. Der Datenschutzbeauftragte kann von dem Verwaltungsrat, dem Lenkungsausschuss, dem Sekretariat, dem betreffenden für die Verarbeitung Verantwortlichen oder sonstigen natürlichen Personen zu Fragen der Auslegung oder Anwendung der Verordnung (EG) Nr. 45/2001 konsultiert werden; c) Zusammenarbeit mit dem Europäischen Datenschutzbeauftragten auf dessen Ersuchen oder auf eigene Initiative sowie Beantwortung der vom Europäischen Datenschutzbeauftragten an den Datenschutzbeauftragten des ESRB gerichteten Ersuchen; d) Feststellung, ob eine Verarbeitung besondere Risiken im Sinne von Artikel 27 der Verordnung (EG) Nr. 45/2001 beinhalten kann und daher vorab kontrolliert werden muss. Der Datenschutzbeauftragte konsultiert erforderlichenfalls den betreffenden für die Verarbeitung Verantwortlichen. Im Zweifelsfall wird der Europäische Datenschutzbeauftragte nach Artikel 27 Absatz 3 der Verordnung (EG) Nr. 45/2001 zu der Notwendigkeit einer Vorabkontrolle konsultiert; e) Prüfung von Fragen und Vorkommnissen, die im unmittelbaren Zusammenhang mit den Aufgaben und Pflichten des Datenschutzbeauftragten stehen, wobei diese Prüfung auf Antrag des Verwaltungsrats, des Lenkungsausschusses, des Sekretariats oder sonstiger natürlicher Personen oder auf seine eigene Initiative erfolgt, sowie Berichterstattung an den Antragsteller. Der Datenschutzbeauftragte beurteilt Fragen und Fakten unparteiisch und unter Beachtung der Rechte der betroffenen Person. Falls der Datenschutzbeauftragte es für angebracht hält, informiert er die übrigen betroffenen Beteiligten entsprechend. Ist der Antragsteller eine natürliche Person oder handelt er im Auftrag einer natürlichen Person, stellt der Datenschutzbeauftragte so weit wie möglich sicher, dass der Antrag vertraulich bleibt, sofern die betroffene Person nicht ausdrücklich zugestimmt hat, den Antrag anders zu behandeln; f) Zusammenarbeit mit den Datenschutzbeauftragten anderer Organe und Einrichtungen der Union, insbesondere im Wege des Austauschs von Erfahrungen und Know-how, sowie Vertretung des ESRB bei allen Beratungen zu Fragen des Datenschutzes außer bei Gerichtsverfahren; g) Vorlage eines Jahresarbeitsprogramms und eines Jahresberichts über die Tätigkeiten des Datenschutzbeauftragten beim Verwaltungsrat und beim Europäischen Datenschutzbeauftragten.

1 Der Datenschutzbeauftragte kann a) Stellungnahmen des ESRB-Sekretariats zu allen Angelegenheiten anfordern, die im Zusammenhang mit den Aufgaben und Pflichten des Datenschutzbeauftragten stehen, b) Stellungnahmen zur Rechtmäßigkeit tatsächlicher oder vorgeschlagener Verarbeitungen oder zu sonstigen Fragen bezüglich der Meldung von Verarbeitungen abgeben, c) den Leiter des ESRB-Sekretariats über alle Verstöße von Mitarbeitern gegen die Bestimmungen der Verordnung (EG) Nr. 45/2001 informieren, d) jederzeit Zugang zu den Daten, die Gegenstand der Verarbeitung personenbezogener Daten sind, sowie zu allen Räumlichkeiten, Datenverarbeitungsanlagen und Datenträgern verlangen, e) sich beteiligen, wenn der ESRB interne Vorschriften über den Schutz personenbezogener Daten erarbeitet, f) ein anonymisiertes Verzeichnis aller schriftlichen Anträge betroffener Personen über die Ausübung ihrer Rechte führen, g) die im Anhang der Verordnung (EG) Nr. 45/2001 aufgeführten sonstigen Aufgaben erfüllen.

2 Unbeschadet der Aufgaben und Befugnisse des für die Verarbeitung Verantwortlichen verfügt der Datenschutzbeauftragte in den Grenzen seines Auftrags über die Zeichnungsbefugnisse für den von ihm erstellten Schriftverkehr.

1 Die für die Verarbeitung Verantwortlichen stellen sicher, dass sämtliche Verarbeitungen, die personenbezogene Daten einschließen und in ihrem Zuständigkeitsbereich durchgeführt werden, die Verordnung (EG) Nr. 45/2001 erfüllen.

2 Die für die Verarbeitung Verantwortlichen übermitteln im Rahmen ihrer Pflicht, den Datenschutzbeauftragten und den Europäischen Datenschutzbeauftragten bei der Erfüllung ihrer Aufgaben zu unterstützen, diesen innerhalb von zwanzig Arbeitstagen nach Eingang der entsprechenden Anfrage sämtliche Informationen, gewähren ihnen Zugang zu personenbezogenen Daten und beantworten ihre Fragen.

3 Die für die Verarbeitung Verantwortlichen unterrichten den Datenschutzbeauftragten zu gegebener Zeit, wenn bei ihnen ein Antrag eingeht, der auf den Zugang zu personenbezogenen Daten, deren Berichtigung, Sperrung oder Löschung gerichtet ist oder der das Widerspruchsrecht der betroffenen Person oder eine Beschwerde in einer Datenschutzangelegenheit betrifft.

4 Unbeschadet der Aufgaben der für die Verarbeitung Verantwortlichen a) unterstützen die Datenschutzkoordinatoren die für die Verarbeitung Verantwortlichen bei der Erfüllung ihrer Verpflichtungen auf Anfrage der für die Verarbeitung Verantwortlichen oder auf eigene Initiative. Dabei arbeiten die Datenschutzkoordinatoren mit den Mitarbeitern des für die Verarbeitung Verantwortlichen zusammen, die ihnen sämtliche erforderlichen Informationen zur Verfügung stellen. In diesem Zusammenhang kann der für die Verarbeitung Verantwortliche nach seinem Ermessen auch Zugang zu personenbezogenen Daten gewähren, für deren Verarbeitung er zuständig ist. b) unterstützen die Datenschutzkoordinatoren den Datenschutzbeauftragten bei i) der Ermittlung der für die Verarbeitung von personenbezogenen Daten zuständigen Verantwortlichen, ii) der Bekanntmachung der Empfehlungen des Datenschutzbeauftragten und der Unterstützung der für die Verarbeitung Verantwortlichen nach den Vorgaben des Datenschutzbeauftragten, iii) weiteren Aspekten des Arbeitsprogramms des Datenschutzbeauftragten gemäß der Vereinbarung zwischen dem Datenschutzbeauftragten und der Leitung der Datenschutzkoordinatoren.

1 Vor der Einführung neuer Verarbeitungen in Bezug auf personenbezogene Daten muss der für die Verarbeitung Verantwortliche dies dem Datenschutzbeauftragten über die Online-Schnittstelle der Webseiten des Datenschutzbeauftragten im Intranet des ESRB melden. Sämtliche Verarbeitungen, die einer Vorabkontrolle gemäß Artikel 27 Absatz 3 der Verordnung (EG) Nr. 45/2001 unterliegen, müssen rechtzeitig vor ihrer Einführung gemeldet werden, sodass eine Vorabkontrolle durch den Europäischen Datenschutzbeauftragten möglich ist.

2 Der für die Verarbeitung Verantwortliche teilt dem Datenschutzbeauftragten unverzüglich alle Änderungen mit, die Informationen betreffen, die in einer dem Datenschutzbeauftragten bereits vorgelegten Meldung enthalten sind.

Das vom Datenschutzbeauftragten gemäß Artikel 26 der Verordnung (EG) Nr. 45/2001 geführte Register dient als Verzeichnis sämtlicher beim ESRB durchgeführten Verarbeitungen von personenbezogenen Daten. Die betroffenen Personen dürfen die im Register enthaltenen Informationen zwecks Ausübung ihrer Rechte gemäß den Artikeln 13 bis 19 der Verordnung (EG) Nr. 45/2001 nutzen.

1 Neben dem Recht, über die Verarbeitung ihrer personenbezogenen Daten angemessen informiert zu werden, können sich betroffene Personen zur Ausübung ihrer Rechte gemäß den Artikeln 13 bis 19 der Verordnung (EG) Nr. 45/2001 nach den nachfolgenden Bestimmungen an den jeweiligen für die Verarbeitung Verantwortlichen wenden. a) Diese Rechte können nur von der betroffenen Person oder deren ordnungsgemäß bevollmächtigtem Vertreter ausgeübt werden. Die Ausübung dieser Rechte ist für diese Personen unentgeltlich. b) Anträge hinsichtlich der Ausübung dieser Rechte sind schriftlich an den jeweiligen für die Verarbeitung Verantwortlichen zu richten. Der für die Verarbeitung Verantwortliche gibt dem Antrag nur statt, wenn die Identität des Antragstellers sowie gegebenenfalls die Befugnis, die betroffene Person zu vertreten, ordnungsgemäß nachgewiesen wurden. Der für die Verarbeitung Verantwortliche informiert die betroffene Person unverzüglich schriftlich darüber, ob dem Antrag stattgegeben wurde oder nicht. Wenn der Antrag abgelehnt wurde, so gibt der für die Verarbeitung Verantwortliche die Gründe für die Ablehnung an. c) Der für die Verarbeitung Verantwortliche gewährt der betroffenen Person jederzeit innerhalb von drei Kalendermonaten nach Eingang des Antrags gemäß Artikel 13 der Verordnung (EG) Nr. 45/2001 Zugang zu den betreffenden Daten, indem die betroffene Person je nach Wunsch entweder vor Ort Einsicht in diese Daten nehmen kann oder eine Kopie davon erhält. d) Die betroffenen Personen können sich an den Datenschutzbeauftragten wenden, wenn der für die Verarbeitung Verantwortliche eine der in Buchstabe b oder c festgelegten Fristen nicht einhält. Sofern eine betroffene Person ihre Rechte offensichtlich missbräuchlich ausübt, kann der für die Verarbeitung Verantwortliche die betroffene Person an den Datenschutzbeauftragten verweisen. Wird der Fall an den Datenschutzberechtigten verwiesen, so entscheidet dieser über die Begründetheit des Antrags und das angemessene weitere Vorgehen. Im Falle von Meinungsverschiedenheiten zwischen der betroffenen Person und dem für die Verarbeitung Verantwortlichen haben beide Beteiligten das Recht, den Datenschutzbeauftragten zu konsultieren.

2 Die Mitarbeiter können den Datenschutzbeauftragten konsultieren, bevor sie eine Beschwerde beim Europäischen Datenschutzbeauftragten einreichen.

1 Sofern der Datenschutzbeauftragte zuvor konsultiert wurde, kann der für die Verarbeitung Verantwortliche die in den Artikeln 13 bis 17 der Verordnung (EG) Nr. 45/2001 genannten Rechte aus den in Artikel 20 der Verordnung Nr. 45/2001 genannten Gründen und gemäß den darin enthaltenen Bedingungen einschränken.

2 Jede betroffene Person kann den Europäischen Datenschutzbeauftragen um die Anwendung von Artikel 47 Absatz 1 Buchstabe c der Verordnung (EG) Nr. 45/2001 ersuchen.

1 Ein Antrag auf eine Prüfung gemäß Ziffer 1 des Anhangs der Verordnung (EG) Nr. 45/2001 ist schriftlich an den Datenschutzbeauftragten zu richten.

2 Der Datenschutzbeauftragte übermittelt dem Antragsteller innerhalb von zwanzig Arbeitstagen nach Eingang des Antrags eine Empfangsbestätigung.

3 Der Datenschutzbeauftragte kann den Sachverhalt vor Ort prüfen und den jeweiligen für die Verarbeitung Verantwortlichen um eine schriftliche Stellungnahme ersuchen. Der jeweilige für die Verarbeitung Verantwortliche übermittelt dem Datenschutzbeauftragten innerhalb von zwanzig Arbeitstagen nach Eingang des Ersuchens eine Antwort. Der Datenschutzbeauftragte kann vom Sekretariat zusätzliche Informationen oder Unterstützung anfordern. Diese Informationen oder Unterstützung werden dem Datenschutzbeauftragten innerhalb von zwanzig Arbeitstagen nach Eingang des Ersuchens des Datenschutzbeauftragten zur Verfügung gestellt.

4 Der Datenschutzbeauftragte erstattet dem Antragsteller innerhalb von drei Kalendermonaten nach Eingang des Antrags über seine Prüfung Bericht.

Dieser Beschluss tritt am zwanzigsten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.