Beschluss (EU) 2018/1962 der Kommission vom 11. Dezember 2018 über interne Vorschriften über die Verarbeitung personenbezogener Daten durch das Europäische Amt für Betrugsbekämpfung (OLAF) in Bezug auf die Mitteilung von Informationen an betroffene Personen und die Beschränkung bestimmter Rechte der betroffenen Personen in Übereinstimmung mit Artikel 25 der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates

1 Durch diesen Beschluss werden interne Vorschriften für das Europäische Amt für Betrugsbekämpfung (im Folgenden „das Amt“) über die Unterrichtung der von der Datenverarbeitung betroffenen Personen über die Verarbeitung ihrer Daten gemäß den Artikeln 14, 15 und 16 der Verordnung (EU) 2018/1725 festgelegt. Ferner werden die Bedingungen festgelegt, unter denen das Amt die Anwendung der Artikel 4, 14 bis 20 und 35 der Verordnung (EU) 2018/1725 in Übereinstimmung mit Artikel 25 dieser Verordnung beschränken kann.

2 Dieser Beschluss gilt für die durch das Amt erfolgende Verarbeitung personenbezogener Daten für die Zwecke der Tätigkeiten oder im Zusammenhang mit den Tätigkeiten, die das Amt durchführt, um seinen in Artikel 2 des Beschlusses 1999/352/EG, EGKS, Euratom und in der Verordnung (EU, Euratom) Nr. 883/2013 festgelegten Aufgaben nachzukommen.

3 Dieser Beschluss gilt zudem für die Verarbeitung personenbezogener Daten durch Kommissionsdienststellen und Exekutivagenturen, insofern diese personenbezogene Daten verarbeiten, über deren Verarbeitung sie das Amt nach Artikel 8 Absatz 1 der Verordnung (EU, Euratom) Nr. 883/2013 zu unterrichten haben, oder die das Amt bereits für die Zwecke der in Absatz 2 dieses Artikels genannten Tätigkeiten oder im Zusammenhang mit diesen Tätigkeiten verarbeitet hat.

1 Bei der Ausübung seiner Pflichten in Bezug auf die Rechte der von der Datenverarbeitung betroffenen Personen nach der Verordnung (EU) 2018/1725 prüft das Amt, ob in der Verordnung festgelegte Ausnahmen anwendbar sind.

2 Das Amt kann vorbehaltlich der Artikel 3 bis 6 dieses Beschlusses die Anwendung der Artikel 14 bis 20 und 35 der Verordnung (EU) 2018/1725 sowie ihres Artikels 4, insofern dessen Bestimmungen den in den Artikeln 14 bis 20 und 35 der Verordnung (EU) 2018/1725 vorgesehenen Rechten und Pflichten entsprechen, beschränken, falls die Ausübung dieser Rechte und Pflichten - beispielsweise durch Offenlegung der Untersuchungswerkzeuge und -methoden des Amts - dem Zweck der Untersuchungstätigkeiten des Amts zuwiderlaufen oder die Rechte und Freiheiten anderer Personen beeinträchtigen würde.

3 Das Amt kann vorbehaltlich der Artikel 3 bis 6 dieses Beschlusses die in Absatz 2 dieses Artikels genannten Rechte und Pflichten in Bezug auf personenbezogene Daten, die es bei Kommissionsdienststellen, bei anderen Organen, Einrichtungen oder sonstigen Stellen der Union, bei zuständigen Behörden von Mitgliedstaaten oder Drittländern oder bei internationalen Organisationen eingeholt hat, beschränken, a) falls die Ausübung dieser Rechte und Pflichten durch Kommissionsdienststellen oder andere Organe, Einrichtungen oder sonstige Stellen der Union auf der Grundlage anderer in Artikel 25 der Verordnung (EU) 2018/1725 vorgesehener Rechtsakte, in Übereinstimmung mit Kapitel IX dieser Verordnung oder gemäß den Gründungsrechtakten für andere Organe, Einrichtungen oder sonstige Stellen der Union beschränkt werden könnte; b) falls die Ausübung dieser Rechte und Pflichten durch zuständige Behörden von Mitgliedstaaten auf der Grundlage in Artikel 23 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates genannter Rechtsakte oder nationaler Maßnahmen zur Umsetzung von Artikel 13 Absatz 3, Artikel 15 Absatz 3 oder Artikel 16 Absatz 3 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates beschränkt werden könnte; c) falls durch die Ausübung dieser Rechte und Pflichten die vom Amt im Rahmen der Erfüllung seiner Aufgaben geleistete Zusammenarbeit mit Drittländern oder internationalen Organisationen beeinträchtigt werden könnte. Vor einer etwaigen Anwendung von Beschränkungen in den in Unterabsatz 1 Buchstaben a und b genannten Fällen konsultiert das Amt die zuständigen Kommissionsdienstellen und Organe, Einrichtungen und sonstigen Stellen der Union oder die zuständigen Behörden von Mitgliedstaaten, falls sich das Amt im Unklaren darüber ist, ob in einem der unter diesen beiden Buchstaben genannten Rechtsakte die Anwendung einer Beschränkung geregelt ist. Unterabsatz 1 Buchstabe c findet keine Anwendung, wenn die Interessen, Grundrechte oder Freiheiten der von der Datenverarbeitung betroffenen Personen gegenüber dem Interesse der Union an der Zusammenarbeit mit Drittländern oder internationalen Organisationen überwiegen.

4 Kommissionsdienststellen und Exekutivagenturen können, wenn sie personenbezogene Daten in den in Artikel 1 Absatz 3 genannten Fällen verarbeiten, Beschränkungen nach Maßgabe dieses Beschlusses anwenden, falls diese erforderlich sind. Zu diesem Zweck konsultieren sie das Amt, falls sich die zuständige Kommissionsdienststelle oder Exekutivagentur im Unklaren darüber ist, ob die Anwendung einer Beschränkung nach diesem Beschluss gerechtfertigt ist.

1 Das Amt veröffentlicht auf seiner Website Datenschutzhinweise, durch die alle von der Datenverarbeitung betroffenen Personen über seine Tätigkeiten, die die Verarbeitung ihrer personenbezogenen Daten mit sich bringen, informiert werden.

2 Das Amt informiert alle von der Datenverarbeitung betroffenen Personen, die es als von der Untersuchung betroffene Personen („Betroffene“), als Zeugen oder als Hinweisgeber im Sinne der Verordnung (EU, Euratom) Nr. 883/2013 ansieht, jeweils einzeln.

3 Wenn das Amt die Informationsübermittlung an die in Absatz 2 genannten von der Datenverarbeitung betroffenen Personen teilweise oder vollständig beschränkt, erstellt es eine Aufzeichnung über die Gründe für die Beschränkung einschließlich einer Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung. Dabei gibt es in der Aufzeichnung an, inwieweit die Unterrichtung dem Zweck der Untersuchungstätigkeiten des Amts oder von Beschränkungen gemäß Artikel 2 Absatz 3 zuwiderlaufen oder die Rechte und Freiheiten anderer betroffener Personen beeinträchtigen würde. Die Aufzeichnung sowie gegebenenfalls die Dokumente, die die zugrunde liegenden Fakten und die rechtlichen Grundlagen enthalten, werden registriert. Sie werden dem Europäischen Datenschutzbeauftragten auf Anforderung zur Verfügung gestellt.

4 Die in Absatz 3 genannte Beschränkung gilt so lange, wie die Gründe bestehen, die die Beschränkung rechtfertigen. Bestehen die Gründe für die Beschränkung nicht mehr, übermittelt das Amt der von der Datenverarbeitung betroffenen Person die jeweiligen Informationen unter Angabe der Gründe für die Beschränkung. Gleichzeitig unterrichtet das Amt die von der Datenverarbeitung betroffene Person über die Möglichkeit, jederzeit Beschwerde beim Europäischen Datenschutzbeauftragen oder einen Rechtsbehelf vor dem Gerichtshof der Europäischen Union einzulegen. Das Amt überprüft die Anwendung einer Beschränkung alle sechs Monate nach deren Einführung sowie bei Abschluss der Untersuchung. Danach prüft der Datenschutzbeauftragte alljährlich, inwieweit es erforderlich ist, eine Beschränkung aufrechtzuerhalten.

1 Wenn von der Datenverarbeitung betroffene Personen gemäß Artikel 17 der Verordnung (EU) 2018/1725 Auskunft über ihre personenbezogenen, im Zusammenhang mit einem oder mehreren spezifischen Fällen verarbeiteten Daten oder über einen spezifischen Datenverarbeitungsvorgang beantragen, beschränkt das Amt seine Prüfung des Antrags auf diese personenbezogenen Daten.

2 Wenn das Amt das Auskunftsrecht nach Artikel 17 der Verordnung (EU) 2018/1725 teilweise oder vollständig beschränkt, ergreift es folgende Maßnahmen: a) Es unterrichtet die von der Datenverarbeitung betroffene Person über die angewandte Beschränkung, über die ausschlaggebenden Gründe sowie über die Möglichkeit einer Beschwerde beim Europäischen Datenschutzbeauftragten oder der Einlegung eines Rechtsbehelfs vor dem Gerichtshof der Europäischen Union; b) es erstellt eine Aufzeichnung über die Gründe für die Beschränkung einschließlich einer Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung. Dabei gibt es in der Aufzeichnung an, inwieweit die Auskunftserteilung dem Zweck der Untersuchungstätigkeiten des Amts oder von Beschränkungen gemäß Artikel 2 Absatz 3 zuwiderlaufen oder die Rechte und Freiheiten anderer von der Datenverarbeitung betroffener Personen beeinträchtigen würde. Die Unterrichtung nach Buchstabe a kann nach Maßgabe von Artikel 25 Absatz 8 der Verordnung (EU) 2018/1725 zurückgestellt, unterlassen oder abgelehnt werden.

3 Die Aufzeichnung nach Absatz 2 Buchstabe b sowie gegebenenfalls die die zugrunde liegenden Fakten und die rechtlichen Grundlagen enthaltenden Dokumente werden registriert. Sie werden dem Europäischen Datenschutzbeauftragten auf Anforderung zur Verfügung gestellt. Es gilt Artikel 25 Absatz 7 der Verordnung (EU) Nr. 2018/1725.

Wenn das Amt das Recht auf Berichtigung, Löschung und Einschränkung der Verarbeitung nach Artikel 18, Artikel 19 Absatz 1 und Artikel 20 Absatz 1 der Verordnung (EU) 2018/1725 teilweise oder vollständig beschränkt, ergreift es die in Artikel 4 Absatz 2 dieses Beschlusses genannten Maßnahmen und registriert die betreffende Aufzeichnung nach Maßgabe von Artikel 4 Absatz 3.

Wenn das Amt eine Beschränkung in Bezug auf die Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person gemäß Artikel 35 der Verordnung (EU) 2018/1725 vornimmt, zeichnet es die Gründe der Beschränkung einschließlich einer Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung auf und registriert die Aufzeichnung nach Maßgabe von Artikel 3 Absatz 3 dieses Beschlusses. Es gilt Artikel 3 Absatz 4 dieses Beschlusses.

1 Der Datenschutzbeauftragte des Amts wird unverzüglich informiert, wenn Rechte von der Datenverarbeitung betroffener Personen gemäß diesem Beschluss beschränkt werden. Er erhält Zugang zu der Aufzeichnung und zu etwaigen die zugrunde liegenden Fakten und die rechtlichen Grundlagen enthaltenden Dokumenten. Der Datenschutzbeauftragte des Amts kann um eine Überprüfung der Beschränkungen ersuchen. Er wird schriftlich über das Ergebnis der erbetenen Überprüfung informiert.

2 Wenn die Kommissionsdienststellen und die Exekutivagenturen personenbezogene Daten in den in Artikel 1 Absatz 3 genannten Fällen verarbeiten, wird der Datenschutzbeauftragte der Kommission oder gegebenenfalls der Datenschutzbeauftragte der betreffenden Exekutivagentur unverzüglich informiert, wenn Rechte von der Datenverarbeitung betroffener Personen gemäß diesem Beschluss beschränkt werden. Der Datenschutzbeauftragte der Kommission oder gegebenenfalls der Datenschutzbeauftragte der betreffenden Agentur erhält auf Antrag Zugang zu der Aufzeichnung und zu etwaigen die zugrunde liegenden Fakten und die rechtlichen Grundlagen enthaltenden Dokumenten. Der Datenschutzbeauftragte der Kommission beziehungsweise der betreffenden Exekutivagentur kann um eine Überprüfung der Beschränkungen ersuchen. Er wird schriftlich über das Ergebnis der erbetenen Überprüfung informiert.

3 Der gesamte während des Verfahrens erfolgende Informationsaustausch mit dem betreffenden Datenschutzbeauftragten wird in geeigneter Form aufgezeichnet.

Dieser Beschluss tritt am Tag seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. Er gilt ab dem 11. Dezember 2018.