Beschluss (EU) 2018/1961 der Kommission vom 11. Dezember 2018 zur Festlegung interner Vorschriften über die Mitteilung von Informationen an betroffene Personen und die Beschränkung bestimmter Rechte der betroffenen Personen bei der Verarbeitung personenbezogener Daten im Rahmen interner Audittätigkeiten

1 In diesem Beschluss werden die Vorschriften festgelegt, nach denen die Kommission die betroffenen Personen über die Verarbeitung von deren Daten nach den Artikeln 14, 15 und 16 der Verordnung (EU) 2018/1725 im Rahmen ihrer internen Audittätigkeiten nach Artikel 117 bis 123 der Verordnung (EU, Euratom) 2018/1046 unterrichtet. Ferner werden die Bedingungen festgelegt, unter denen die Kommission die Anwendung der Artikel 4, 14 bis 17, 19, 20 und 35 der Verordnung (EU) 2018/1725 nach deren Artikel 25 Absatz 1 Buchstabe c, g und h beschränken kann.

2 Dieser Beschluss gilt für die Verarbeitung personenbezogener Daten durch die Kommission für die Zwecke der oder im Zusammenhang mit den Tätigkeiten zur Erfüllung ihrer Aufgaben nach den Artikeln 118 und 119 Absatz 2 der Verordnung (EU, Euratom) 2018/1046.

3 Dieser Beschluss gilt zudem für die Verarbeitung personenbezogener Daten innerhalb der Kommission, insofern diese personenbezogene Daten verarbeitet, die in Informationen enthalten sind, zu deren Verarbeitung die Kommission für die Zwecke der oder im Zusammenhang mit den im vorliegenden Artikel genannten Tätigkeiten verpflichtet ist.

1 Die Kommission prüft bei der Erfüllung ihrer Pflichten in Bezug auf die Rechte der betroffenen Personen nach der Verordnung (EU) 2018/1725, ob eine der in der genannten Verordnung festgelegten Ausnahmen Anwendung findet.

2 Die Kommission kann vorbehaltlich der Artikel 3 bis 7 dieses Beschlusses die Anwendung der Artikel 14 bis 17, 19, 20 und 35 der Verordnung (EU) 2018/1725 sowie des Transparenzgrundsatzes nach Artikel 4 Absatz 1 Buchstabe a dieser Verordnung, insofern dessen Bestimmungen den in den Artikeln 14 bis 17, 19, 20 und 35 dieser Verordnung vorgesehenen Rechten und Pflichten entsprechen, beschränken, falls die Wahrnehmung dieser Rechte und Pflichten den Zweck der Tätigkeiten der Kommission nach Artikel 118 und 119 Absatz 2 der Verordnung (EU, Euratom) 2018/1046 – unter anderem durch Offenlegung ihrer Prüfinstrumente und -methoden – gefährden oder die Rechte und Freiheiten anderer betroffener Personen beeinträchtigen würde.

3 Die Kommission kann vorbehaltlich der Artikel 3 bis 7 die in Absatz 2 genannten Rechte und Pflichten in Bezug auf personenbezogene Daten, die sie von anderen Organen, Einrichtungen und sonstigen Stellen der Union, zuständigen Behörden von Mitgliedstaaten oder Drittländern oder von internationalen Organisationen erhalten hat, beschränken: a) falls die Wahrnehmung dieser Rechte und Pflichten durch andere Organe, Einrichtungen und sonstige Stellen der Union auf der Grundlage anderer in Artikel 25 der Verordnung (EU) 2018/1725 vorgesehener Rechtsakte oder nach Kapitel IX der genannten Verordnung oder nach der Verordnung (EU) 2016/794 des Europäischen Parlaments und des Rates oder der Verordnung (EU) 2017/1939 des Rates beschränkt werden könnte; b) falls die Wahrnehmung dieser Rechte und Pflichten durch zuständige Behörden von Mitgliedstaaten auf der Grundlage in Artikel 23 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates genannter Rechtsakte oder nationaler Maßnahmen zur Umsetzung von Artikel 13 Absatz 3, Artikel 15 Absatz 3 oder Artikel 16 Absatz 3 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates beschränkt werden könnte; c) falls durch die Wahrnehmung dieser Rechte und Pflichten die von der Kommission im Rahmen der Durchführung interner Audittätigkeiten geleistete Zusammenarbeit mit Drittländern oder internationalen Organisationen beeinträchtigt werden könnte. Bevor die Kommission in den Fällen nach Unterabsatz 1 Buchstaben a und b Beschränkungen anwendet, hört sie die zuständigen Organe, Einrichtungen und sonstigen Stellen der Union oder die zuständigen Behörden der Mitgliedstaaten, es sei denn, der Kommission ist klar, dass die Anwendung einer Beschränkung in einem der unter diesen Buchstaben genannten Rechtsakte vorgesehen ist oder dass eine derartige Anhörung den Zweck ihrer Tätigkeiten nach Artikel 118 und 119 Absatz 2 der Verordnung (EU, Euratom) 2018/1046 gefährden würde. Unterabsatz 1 Buchstabe c findet keine Anwendung, wenn die Interessen, Grundrechte oder Freiheiten der von der Datenverarbeitung betroffenen Personen gegenüber dem Interesse der Kommission an der Zusammenarbeit mit Drittländern oder internationalen Organisationen überwiegen.

4 Die Absätze 1, 2 und 3 gelten unbeschadet der Anwendung anderer Beschlüsse der Kommission zur Festlegung interner Vorschriften über die Unterrichtung der betroffenen Personen und über die Beschränkung bestimmter Rechte nach Artikel 25 der Verordnung (EU) 2018/1725 und Artikel 23 der Geschäftsordnung der Kommission.

Die Kommission veröffentlicht auf ihrer Website Datenschutzhinweise, die alle betroffenen Personen über ihre Tätigkeiten informieren, bei denen personenbezogene Daten dieser Personen zum Zweck ihrer Tätigkeiten nach Artikel 118 und 119 Absatz 2 der Verordnung (EU, Euratom) 2018/1046 verarbeitet werden. Erforderlichenfalls sollte die Kommission sicherstellen, dass alle betroffenen Personen einzeln und in angemessener Form unterrichtet werden. Wenn die Kommission die Unterrichtung betroffener Personen, deren Daten für den Zweck ihrer Tätigkeiten nach Artikel 118 und 119 Absatz 2 der Verordnung (EU, Euratom) 2018/1046 verarbeitet werden, ganz oder teilweise beschränkt, erfasst und registriert sie die Gründe für die Beschränkung nach Artikel 6.

1 Wenn die Kommission das Auskunftsrecht einer betroffenen Person oder deren Recht auf Löschung oder auf Einschränkung der Verarbeitung nach den Artikeln 17, 19 bzw. 20 der Verordnung (EU) 2018/1725 ganz oder teilweise beschränkt, unterrichtet sie die betroffene Person in ihrer Antwort auf den Antrag auf Auskunft, Löschung oder Einschränkung der Verarbeitung über die Beschränkung und die Hauptgründe hierfür sowie über die Möglichkeit einer Beschwerde beim Europäischen Datenschutzbeauftragten oder eines Rechtsbehelfs beim Gerichtshof der Europäischen Union.

2 Die Unterrichtung über die Gründe für die in Absatz 1 dieses Artikels genannte Beschränkung kann zurückgestellt, unterlassen oder abgelehnt werden, wenn dies dem Zweck der Beschränkung zuwiderliefe.

3 Die Kommission erfasst die Gründe für die Beschränkung nach Artikel 6 dieses Beschlusses.

4 Wenn das Auskunftsrecht ganz oder teilweise beschränkt ist, nimmt die betroffene Person ihr Auskunftsrecht über den Europäischen Datenschutzbeauftragten nach Artikel 25 Absätze 6 bis 8 der Verordnung (EU) 2018/1725 wahr.

Wenn die Kommission die Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person nach Artikel 35 der Verordnung (EU) 2018/1725 beschränkt, erfasst und registriert sie die Gründe für die Beschränkung nach Artikel 6 dieses Beschlusses.

Die Kommission erfasst die Gründe für Beschränkungen nach diesem Beschluss, einschließlich einer Bewertung der Erforderlichkeit und Angemessenheit der Beschränkung, unter Berücksichtigung aller relevanten Elemente nach Artikel 25 Absatz 2 der Verordnung (EU) 2018/1725. Dabei ist anzugeben, inwieweit die Ausübung dieses Rechts den Zweck der Tätigkeiten der Kommission nach Artikel 118 und 119 Absatz 2 der Verordnung (EU, Euratom) 2018/1046 oder der nach Artikel 2 Absatz 2 oder 3 angewandten Beschränkungen gefährden oder die Rechte und Freiheiten anderer betroffener Personen beeinträchtigen würde. Die Aufzeichnung sowie gegebenenfalls die Dokumente, die die zugrunde liegenden Fakten und die rechtlichen Grundlagen enthalten, werden registriert. Sie werden dem Europäischen Datenschutzbeauftragten auf Anforderung zur Verfügung gestellt.

1 Die in den Artikeln 3, 4 und 5 dieses Beschlusses genannten Beschränkungen gelten, solange die Gründe dafür vorliegen.

2 Wenn die in den Artikeln 3 oder 5 dieses Beschlusses genannten Gründe für die Beschränkung nicht mehr vorliegen, hebt die Kommission die Beschränkungen auf und unterrichtet die betroffene Person über die Hauptgründe für die Beschränkung. Gleichzeitig teilt die Kommission der betroffenen Person mit, dass sie jederzeit Beschwerde beim Europäischen Datenschutzbeauftragten oder einen Rechtsbehelf beim Gerichtshof der Europäischen Union einlegen kann.

3 Die Kommission überprüft die Anwendung einer in den Artikeln 3 und 5 dieses Beschlusses genannten Beschränkung alle sechs Monate nach deren Einführung sowie vor und nach dem Abschluss der jeweiligen internen Audittätigkeit. Danach prüft die Kommission alljährlich, inwieweit es erforderlich ist, eine Beschränkung oder Zurückstellung aufrechtzuerhalten.

Der Datenschutzbeauftragte der Europäischen Kommission wird unverzüglich unterrichtet, wenn die Rechte der betroffenen Personen nach diesem Beschluss eingeschränkt werden. Auf Anfrage des Datenschutzbeauftragten verschafft die Kommission diesem Zugang zu den erfassten Angaben und sonstigen Unterlagen, die die zugrunde liegenden tatsächlichen und rechtlichen Umstände enthalten. Der Datenschutzbeauftragte kann eine Überprüfung der Beschränkungen fordern. Der Datenschutzbeauftragte wird über das Ergebnis der Überprüfung schriftlich unterrichtet.

Dieser Beschluss tritt am Tag seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. Er gilt ab dem 11. Dezember 2018.