Beschluss des Präsidiums des Europäischen Parlaments vom 17. Juni 2019 mit Durchführungsbestimmungen zur Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG

Mit diesem Beschluss werden die allgemeinen Durchführungsbestimmungen zu der Verordnung (EU) 2018/1725 des Europäischen Parlaments festgelegt und insbesondere a) die Bestimmungen der Verordnung (EU) 2018/1725 in Bezug auf die Aufgaben, Pflichten und Befugnisse des Datenschutzbeauftragten umgesetzt, b) genaue Vorschriften für die Ausübung der Rechte durch die betroffenen Personen vorgegeben, c) interne Regeln für die Anwendung von Ausnahmen und Beschränkungen auf die Rechte betroffener Personen (vor allem gemäß Artikel 25 der Verordnung (EU) 2018/1725) durch das Europäische Parlament vorgeschrieben.

1 Als Verantwortlicher für personenbezogene Daten im Sinne von Artikel 3 Nummer 8 der Verordnung (EU) 2018/1725 gilt das Referat oder die Dienststelle des Europäischen Parlaments, das bzw. die über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten bestimmt.

2 Übersteigt die Verarbeitung die Zuständigkeiten des Referats oder der Dienststelle, gilt die zuständige Direktion des Europäischen Parlaments als Verantwortlicher im Sinne von Artikel 3 Nummer 8 der Verordnung (EU) 2018/1725, sofern keine Vereinbarung über die gemeinsame Verantwortung gemäß Artikel 28 der Verordnung geschlossen wurde.

3 Übersteigt die Verarbeitung die Zuständigkeiten der Direktion, gilt die zuständige Generaldirektion des Europäischen Parlaments als Verantwortlicher im Sinne von Artikel 3 Nummer 8 der Verordnung (EU) 2018/1725, sofern keine Vereinbarung über die gemeinsame Verantwortung gemäß Artikel 28 der Verordnung geschlossen wurde.

4 Legen zwei oder mehr Generaldirektionen des Europäischen Parlaments oder eine der in den Absätzen 1 bis 3 genannten Organisationseinheiten zusammen mit einer oder mehr Einheiten, die nicht Organe oder Einrichtungen der Union sind, gemeinsam die Zwecke der und die Mittel zur Verarbeitung fest, sind sie gemeinsam Verantwortliche im Sinne von Artikel 28 Absatz 1 der Verordnung (EU) 2018/1725.

5 Das Europäische Parlament ist der Verantwortlicher für die Zwecke von Artikel 44 Absätze 3 und 6 der Verordnung (EU) 2018/1725.

6 Der Verantwortliche stellt sicher, dass die Verarbeitung im Einklang mit der Verordnung (EU) 2018/1725 erfolgt, und muss die Übereinstimmung mit dieser Verordnung nachweisen können. Der Verantwortliche ist insbesondere dafür zuständig, a) angemessene technische und organisatorische Maßnahmen zu treffen, damit die Grundsätze des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen umgesetzt werden, b) seine Mitarbeiter sachgerecht anzuweisen, damit die Rechtmäßigkeit, Gerechtigkeit, Transparenz und Vertraulichkeit der Verarbeitung gewahrt und ein angemessenes Schutzniveau mit Blick auf die Risiken, die mit der Verarbeitung verbunden sind, sichergestellt wird, c) mit dem Datenschutzbeauftragten des Europäischen Parlaments und dem Europäischen Datenschutzbeauftragten bei der Wahrnehmung ihrer jeweiligen Aufgaben zusammenzuarbeiten und insbesondere ihre Anfragen durch entsprechende Auskünfte zu beantworten, d) den Datenschutzbeauftragten frühzeitig zu benachrichtigen und einzubinden, vor allem mit Blick auf Projekte mit neuen Verarbeitungsvorgängen oder wesentlichen Änderungen bestehender Vorgänge.

1 Der Generalsekretär benennt gemäß Artikel 43 und Artikel 44 Absätze 8 und 9 der Verordnung (EU) 2018/1725 einen Bediensteten des Europäischen Parlaments zum Datenschutzbeauftragten. Der Datenschutzbeauftragte wird im Einklang mit dem gemäß Verordnung (EWG, Euratom, EGKS) Nr. 259/68) im Statut der Beamten („Beamtenstatut“) bzw. in den Beschäftigungsbedingungen für die sonstigen Bediensteten der Europäischen Union („Beschäftigungsbedingungen“) festgelegten Verfahren ernannt. Der Datenschutzbeauftragte wird für eine Amtszeit von fünf Jahren benannt und kann wiederernannt werden.

2 Der Datenschutzbeauftragte wird für die Wahrnehmung seiner Aufgaben gemäß diesem Beschluss von allen sonstigen Aufgaben im Europäischen Parlament freigestellt. Der Generalsekretär kann dem Datenschutzbeauftragten aber dennoch zusätzliche Aufgaben übertragen, sofern diese keinen Interessenkonflikt mit seinem Amt als Datenschutzbeauftragter — vor allem in Verbindung mit der Anwendung der Bestimmungen der Verordnung (EU) 2018/1725 — zur Folge haben.

3 Der Datenschutzbeauftragte sieht von allen Handlungen ab, die mit seinem Amt unvereinbar sind.

4 Der Datenschutzbeauftragte unterliegt der beruflichen Schweigepflicht nach Artikel 44 Absatz 5 der Verordnung (EU) 2018/1725, die auch nach dem Ende seiner Amtszeit fortbesteht.

5 Der Datenschutzbeauftragte kann ausschließlich gemäß Artikel 44 Absätze 3 und 8 der Verordnung (EU) 2018/1725 seines Amtes enthoben werden. Die Zustimmung des Europäischen Datenschutzbeauftragten für eine Amtsenthebung gemäß Artikel 44 Absatz 8 der Verordnung (EU) 2018/1725 ist schriftlich zu beantragen. Eine Kopie dieser Zustimmung ist dem Datenschutzbeauftragten zuzustellen.

6 Das Europäische Parlament stellt sicher, dass der Datenschutzbeauftragte keinerlei Anweisungen im Hinblick auf die Erfüllung seiner Aufgaben gemäß Artikel 44 und 45 der Verordnung (EU) 2018/1725 entgegennimmt. Diesbezüglich und im Hinblick auf seine Zusammenarbeit mit dem Europäischen Datenschutzbeauftragten gemäß der Verordnung (EU) 2018/1725 nimmt der Datenschutzbeauftragte insbesondere keine Anweisungen des Generalsekretärs entgegen.

7 Der Datenschutzbeauftragte ist dem Generalsekretär unmittelbar unterstellt.

1 Der Datenschutzbeauftragte stellt sicher, dass das Generalsekretariat des Europäischen Parlaments die Verordnung (EU) 2018/1725 anwendet, und überwacht die Einhaltung des geltenden Rechtsrahmens für den Schutz personenbezogener Daten. Unbeschadet von Artikel 13 dieses Beschlusses ist der Datenschutzbeauftragte im Allgemeinen jedoch nicht dafür zuständig, die Anwendung der Verordnung (EU) 2018/1725 durch die einzelnen Mitglieder oder die Fraktionen des Europäischen Parlaments zu überwachen.

2 Der Datenschutzbeauftragte kann gemäß Artikel 44 Absätze 4 und 7 und Artikel 45 Absatz 1 Buchstaben d, e und f der Verordnung (EU) 2018/1725 konsultiert werden oder wird gemäß diesen Bestimmungen beratend tätig und nimmt sämtliche anderen in Artikel 45 der Verordnung festgelegten Aufgaben wahr.

3 Der Datenschutzbeauftragte meldet dem Generalsekretär sämtliche Verstöße gegen die Bestimmungen der Verordnung (EU) 2018/1725 sowie sämtliche ernsthaften Risiken derartiger Verstöße.

4 Auf Anfrage übermittelt der Datenschutzbeauftragte dem jeweiligen Verantwortlichen eine Stellungnahme zu bestehenden oder vorgeschlagenen Verarbeitungsvorgängen sowie zur Verhältnismäßigkeit und Angemessenheit der Verarbeitung bestimmter Daten oder zu Sicherheitsmaßnahmen. In der Stellungnahme kann insbesondere auf die Analyse der Risiken für die Rechte und Freiheiten betroffener Personen eingegangen werden.

5 Die zuständige Dienststelle des Europäischen Parlaments konsultiert den Datenschutzbeauftragten, bevor interne Vorschriften zur Festlegung des Rahmens für die Verarbeitung personenbezogener Daten genehmig werden.

6 Der Datenschutzbeauftragte nimmt seine Aufgaben in Zusammenarbeit mit dem Europäischen Datenschutzbeauftragten wahr. Er dient als Schnittstelle zwischen dem Europäischen Parlament und dem Europäischen Datenschutzbeauftragten und wird über jedwede Kommunikation zwischen den beiden Organen zu Angelegenheiten innerhalb seiner Zuständigkeit in Kenntnis gesetzt.

7 Zur Förderung der guten Zusammenarbeit nimmt der Datenschutzbeauftragte regelmäßig an den Sitzungen teil, die vom Europäischen Datenschutzbeauftragten oder von den Datenschutzbeauftragten der anderen Organe und Einrichtungen einberufen werden.

8 Der Datenschutzbeauftragte ist zu jeder Zeit an die Vorschriften und Bestimmungen des Beamtenstatuts bzw. der Beschäftigungsbedingungen gebunden.

1 Im Falle einer Verletzung des Schutzes personenbezogener Daten setzt der Verantwortliche den Datenschutzbeauftragten hierüber umgehend in Kenntnis.

2 Gemäß Artikel 34 Absatz 6 der Verordnung (EU) 2018/1725 dokumentiert der Datenschutzbeauftragte die gemeldeten Verletzungen des Schutzes personenbezogener Daten in einem zentralen Register, das er eigens zu diesem Zweck einrichtet und führt. Der von einer solchen Verletzung betroffene Verantwortliche trägt die gemäß diesem Artikel erforderlichen Informationen in das Register ein.

3 Der Datenschutzbeauftragte organisiert regelmäßige Sitzungen mit dem leitenden Beauftragten für die Informationssicherheit und dem Risikomanager des Europäischen Parlaments, um die Einhaltung der Artikel 33 bis 36 der Verordnung (EU) 2018/1725 sicherzustellen. Bei Bedarf kann der Datenschutzbeauftragte weitere Teilnehmer einladen.

4 Auf der Grundlage der Ergebnisse der Sitzungen nach Absatz 3 a) legt der Datenschutzbeauftragte dem Generalsekretär jährlich eine Analyse der datenschutzrelevanten Risiken vor, die im Falle neuer Risikofaktoren entsprechend aktualisiert wird, b) unterbreitet der Datenschutzbeauftragte dem Generalsekretär Vorschläge für Datenschutzvorkehrungen, die insbesondere dem Risiko des Diebstahls, des Verlusts und der unbefugten elektronischen Manipulation von Daten Rechnung tragen, c) schlägt der Datenschutzbeauftragte dem Generalsekretär angemessene technische und organisatorische Maßnahmen vor, anhand derer ein den datenschutzrelevanten Risiken angemessenes Schutzniveau für personenbezogene Daten sichergestellt wird.

Gemäß Artikel 31 Absatz 5 der Verordnung (EU) 2018/1725 richtet der Datenschutzbeauftragte ein zentrales Register ein, in dem sämtliche Verarbeitungsvorgänge verzeichnet werden, und führt dieses Register. Der Datenschutzbeauftragte stellt sicher, dass das Register öffentlich und auch in elektronischer Form zugänglich ist. Auf Anfrage besteht auch die Möglichkeit eines Zugangs über den Europäischen Datenschutzbeauftragten. Das Verzeichnis der Verarbeitungen des Europäischen Parlaments ist dem Europäischen Datenschutzbeauftragten auf Anfrage zur Verfügung zu stellen.

1 Der Verantwortliche setzt den Datenschutzbeauftragten umgehend über sämtliche neuen Verwaltungsverfahren sowie Änderungen bestehender Verwaltungsverfahren in Kenntnis, die Auswirkungen auf die Verarbeitung personenbezogener Daten haben.

2 Der Datenschutzbeauftragte hat jederzeit Zugang zu den personenbezogenen Daten, die Gegenstand der Verarbeitung sind, sowie zu allen Datenverarbeitungsanlagen und Datenträgern.

Auf Anfrage des internen Prüfers im Rahmen seiner Zuständigkeiten arbeitet der Datenschutzbeauftragte mit diesem zusammen, damit insbesondere interne Prüfungen der Verarbeitung personenbezogener Daten im Generalsekretariat des Europäischen Parlaments leichter durchgeführt werden können.

1 Für neue oder geänderte Verwaltungsverfahren sowie für technische oder organisatorische Maßnahmen in Verbindung mit der Verarbeitung personenbezogener Daten stellt der Datenschutzbeauftragte dem Verantwortlichen auf Anfrage oder auf eigene Initiative Informationen zur Verfügung und unterstützt ihn bei der Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen.

2 Der Datenschutzbeauftragte berät den Verantwortlichen im Anschluss an die genannte Risikobewertung über die Notwendigkeit einer Datenschutz-Folgenabschätzung.

1 Der Datenschutzbeauftragte berät den Verantwortlichen bei der Bewertung technischer und organisatorischer Lösungen für die Umsetzung von Verarbeitungsvorgängen.

2 Kommt der Datenschutzbeauftragte im Rahmen einer Bewertung zu dem Schluss, dass die Einhaltung von Artikel 27 der Verordnung (EU) 2018/1725 durch einen Verarbeitungsvorgang nicht uneingeschränkt gegeben ist, kann er dem Generalsekretär technische oder organisatorische Maßnahmen zur Umsetzung dieses Artikels vorschlagen.

1 Auf Anfrage gibt der Datenschutzbeauftragte gegenüber dem Verantwortlichen eine Stellungnahme zur Festlegung der einschlägigen Verantwortlichkeiten im Rahmen einer Vereinbarung zwischen gemeinsam Verantwortlichen gemäß Artikel 28 Absatz 1 der Verordnung (EU) 2018/1725 ab.

2 Auf Anfrage kann der Datenschutzbeauftragte gegenüber dem Verantwortlichen eine Stellungnahme zu angemessenen technischen und organisatorischen Maßnahmen abgeben, für deren Durchführung der Auftragsverarbeiter oder der Unter-Auftragsverarbeiter gemäß Artikel 29 Absätze 1 und 2 der Verordnung (EU) 2018/1725 Garantien bieten muss.

Der Datenschutzbeauftragte arbeitet einen jährlichen Tätigkeitsbericht für den Generalsekretär und den Europäischen Datenschutzbeauftragten zu den Tätigkeiten im Bereich des Schutzes personenbezogener Daten im Generalsekretariat des Europäischen Parlaments aus. Der Bericht ist den Mitarbeitern des Europäischen Parlaments zugänglich zu machen.

1 Abweichend von Artikel 4 Absatz 1 dieses Beschlusses können die Mitglieder und die Fraktionen des Europäischen Parlaments zu Fragen der Anwendung der Verordnung (EU) 2018/1725 den Rat des Datenschutzbeauftragten einholen. Unbeschadet der Eigenverantwortung der Mitglieder und Fraktionen des Europäischen Parlaments als Verantwortliche gemäß Artikel 3 Nummer 8 der Verordnung (EU) 2018/1725 für die Anwendung dieser Verordnung kann der Datenschutzbeauftragte auf Anfrage eines Mitglieds oder einer Fraktion des Europäischen Parlaments unter entsprechender Anwendung der einschlägigen Bestimmungen dieses Beschlusses seine Beratung anbieten.

2 Im Einklang mit diesem Beschluss legt der Datenschutzbeauftragte von Fall zu Fall die genauen Bestimmungen für die Unterstützung gemäß Absatz 1 fest. Die Ausübung dieser beratenden Funktion darf jedoch nicht in Konflikt mit den anderweitigen Aufgaben des Datenschutzbeauftragten stehen.

1 Der Generalsekretär kann Mitarbeiter in die Dienststelle Datenschutz ernennen, die den Datenschutzbeauftragten bei der Ausübung seines Amtes unterstützen.

2 Gemäß Absatz 1 ernannte Mitarbeiter dürfen den Datenschutzbeauftragten im Falle seiner Abwesenheit vertreten. Zu diesem Zweck kann der Datenschutzbeauftragte bestimmten Mitarbeitern intern Befugnisse übertragen. Dem Europäischen Datenschutzbeauftragten und dem Generalsekretär sind derartige Übertragungen von Befugnissen in Kopie zur Kenntnis zu bringen.

1 Im Europäischen Parlament wird ein Netz der Datenschutzkoordinatoren eingerichtet, das aus mindestens einem Mitglied jeder Generaldirektion, einem Vertreter der Koordinierung der Fraktionen und dem Datenschutzbeauftragten besteht.

2 Der Generalsekretär kann die genauen Bestimmungen für die Ernennung, die Pflichten und die Aufgaben der Datenschutzkoordinatoren festlegen.

3 Der Datenschutzbeauftragte organisiert regelmäßige Sitzungen mit den Datenschutzkoordinatoren.

1 Das Recht auf Unterrichtung, das Recht auf Zugang, das Recht auf Berichtigung, das Recht auf Löschung, das Recht auf Einschränkung der Verarbeitung, das Recht der Empfänger auf Mitteilung, das Recht auf Datenübertragbarkeit, das Widerspruchsrecht und die Rechte in Bezug auf die automatisierte Entscheidungsfindung, einschließlich Profiling nach Artikel 14 bis 24 der Verordnung (EU) 2018/1725, können ausschließlich durch die jeweilig betroffene Person oder ihren entsprechend bevollmächtigten Vertreter ausgeübt werden.

2 Die betroffene Person richtet den Antrag auf Wahrnehmung seiner in Absatz 1 aufgeführten Rechte an den Verantwortlichen. Zu diesem Zweck ist auf der Internetseite des Europäischen Parlaments ein elektronisches Formular zur freiwilligen Verwendung verfügbar. Der Antrag muss folgende Angaben enthalten: a) Name, Vorname und Kontaktadresse der betroffenen Person, b) Angabe des wahrgenommenen Rechts, c) gegebenenfalls Belege für den Antrag, d) die Kategorie(n) der betreffenden Daten, e) Unterschrift der betroffenen Person und Datum des Antrags.

3 Der Antrag kann durch internen oder externen Postversand, per E-Mail oder in anderweitiger Schriftform eingereicht werden.

4 Im Fall eines unklaren oder unvollständigen Antrags kann der Verantwortliche um die notwendigen Klarstellungen ersuchen. Die nach Artikel 14 Absatz 3 und 4 der Verordnung (EU) 2018/1725 anwendbare Frist beginnt erst nach vollständiger Klärung solcher Sachverhalte.

5 Der Verantwortliche ist zur Überprüfung der Identität der betroffenen Person gemäß Artikel 14 Absatz 6 der Verordnung (EU) 2018/1725 verpflichtet. Die Identität der betroffenen Person ist mit möglichst wenig Belastungen zu überprüfen. Während des Zeitraums der Identitätsüberprüfung beginnt die Frist nach Artikel 14 Absatz 3 und 4 der Verordnung (EU) 2018/1725 nicht.

6 Der Verantwortliche beantwortet sämtliche Anträge betroffener Personen auf Wahrnehmung ihrer Rechte, selbst wenn das Europäische Parlament keine einschlägigen personenbezogenen Daten vorhält. Die betroffene Person erhält binnen fünf Werktagen nach Eingang des Antrags eine Empfangsbestätigung. Der Verantwortliche ist jedoch nicht gehalten, eine Empfangsbestätigung zu versenden, wenn binnen fünf Werktagen eine inhaltliche Beantwortung des Antrags erfolgt.

7 Sofern nicht abweichend von der betroffenen Person gewünscht, ist deren Antrag innerhalb der in Artikel 14 Absatz 3 und 4 der Verordnung (EU) 2018/1725 festgelegten Fristen in der von der betroffenen Person verwendeten schriftlichen Kommunikationsform und Amtssprache zu beantworten.

8 Bei der Bearbeitung eines Antrags gemäß Artikel 14 der Verordnung (EU) 2018/1725 berücksichtigt der Verantwortliche jede Notwendigkeit einer Ausnahme oder Beschränkung gemäß Kapitel V dieses Beschlusses.

9 Bei hoch komplexen Anträgen oder bei Anträgen, die möglicherweise ein Risiko für die Rechte und Freiheiten anderer betroffener Personen darstellen, konsultiert der Verantwortliche den Datenschutzbeauftragten.

1 Im Einklang mit Artikel 14 der Verordnung (EU) 2018/1725 stellt der Verantwortliche die in Artikel 15 und 16 dieser Verordnung genannten Informationen — einschließlich für die weitere Verarbeitung — im Internet oder im Intranet in allgemeiner Form zur Verfügung.

2 Sofern möglich und unbeschadet alternativer Kommunikationsmittel nach Artikel 14 Absatz 1 und 7 der Verordnung (EU) 2018/1725 sind die in Artikel 15 und 16 dieser Verordnung genannten Informationen den betroffenen Personen auf individualisierte Art und Weise entweder schriftlich oder elektronisch zur Verfügung zu stellen.

1 Beantragt eine betroffene Person den Zugang zu ihren personenbezogenen Daten, ruft der Verantwortliche unbeschadet von Absatz 2 die einschlägigen Daten — sowohl in elektronischer Form als auch in Papierform — an deren Speicherort ab und stellt sie der betroffenen Person wie folgt zur Verfügung: a) in vom Verantwortlichen zusammengestellter Form, b) als Ausdruck oder elektronische Kopie, c) in anderen Formen, die dem Verantwortlichen zur Verfügung stehen und an die Datei angepasst sind.

2 Beantragt eine betroffene Person den Zugang auf elektronischem Wege, so stellt der Verantwortliche die Informationen in einem allgemein üblichen elektronischen Format im Einklang mit Artikel 17 Absatz 3 der Verordnung (EU) 2018/1725 zur Verfügung, sofern nicht anderweitig vom Antragsteller verlangt.

1 Anträge auf Berichtigung müssen die genauen zu berichtigenden oder zu vervollständigenden personenbezogenen Daten, einen Nachweis der Unrichtigkeit oder Unvollständigkeit der Daten sowie die gewünschten Berichtigungen enthalten. Der Antrag kann gegebenenfalls durch entsprechende Belege ergänzt werden.

2 Der betroffenen Person wird die erfolgreiche Berichtigung mitgeteilt. Wird ein Antrag abgewiesen, teilt der Verantwortliche dies der betroffenen Person schriftlich unter Angabe der Gründe mit.

1 Anträge auf Löschung müssen die genauen zu löschenden personenbezogenen Daten sowie eine Angabe der Gründe für die Löschung im Sinne von Artikel 19 Absatz 1 der Verordnung (EU) 2018/1725 enthalten.

2 Der betroffenen Person wird die erfolgreiche Löschung mitgeteilt. Wird ein Antrag abgewiesen, teilt der Verantwortliche dies der betroffenen Person schriftlich unter Angabe der Gründe mit.

3 Die Löschung beinhaltet das materielle Verschwinden der personenbezogenen Daten, ohne dass diese durch eine Kennung ersetzt würden.

1 Anträge auf Einschränkung der Verarbeitung müssen die betroffenen personenbezogenen Daten und die Begründung für die Einschränkung im Sinne von Artikel 20 Absatz 1 der Verordnung (EU) 2018/1725 enthalten.

2 Der betroffenen Person wird die erfolgreiche Einschränkung der Verarbeitung mitgeteilt. Wird ein Antrag abgewiesen, teilt der Verantwortliche dies der betroffenen Person schriftlich unter Angabe der Gründe mit.

1 Nach Abschluss eines der in Artikel 19 bis 21 dieses Beschlusses festgelegten Verfahrens leitet der Verantwortliche unverzüglich das Verfahren nach Artikel 21 der Verordnung (EU) 2018/1725 ein.

2 Ist eine Mitteilung an die Empfänger nicht möglich oder mit unverhältnismäßig hohem Aufwand verbunden, setzt der Verantwortliche die betroffene Person hiervon schriftlich unter Angabe der Gründe in Kenntnis.

1 Anträge nach Artikel 22 der Verordnung (EU) 2018/1725 müssen die betroffenen personenbezogenen Daten enthalten.

2 Wird ein Antrag abgewiesen, ist dies der betroffenen Person durch den Verantwortlichen schriftlich unter Angabe der Gründe mitzuteilen.

1 Ein Widerspruch muss die betroffenen personenbezogenen Daten und die zugrunde liegende persönliche Situation zur Begründung des Widerspruchs enthalten.

2 Wird ein Widerspruch abgewiesen, ist dies der betroffenen Person durch den Verantwortlichen schriftlich unter Angabe der Gründe mitzuteilen.

1 Vor Anwendung einer Beschränkung nach Abschnitt 2 dieses Kapitels prüft der Verantwortliche die Anwendung einer in der Verordnung (EU) 2018/1725 festgelegten Ausnahmen, insbesondere diejenigen nach Artikel 15 Absatz 4, Artikel 16 Absatz 5, Artikel 19 Absatz 3 und Artikel 35 Absatz 3 der genannten Verordnung.

2 Bei der Verarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke prüft der Verantwortliche die Anwendung der in Artikel 16 Absatz 5 Buchstabe b und Artikel 19 Absatz 3 Buchstabe d der Verordnung (EU) 2018/1725 aufgeführten Ausnahmen.

1 Bei der Verarbeitung für im öffentlichen Interesse liegende Archivzwecke prüft der Verantwortliche die Anwendung von Ausnahmeregelungen nach Artikel 25 Absatz 4 der Verordnung (EU) 2018/1725. Zu diesem Zweck kann der Verantwortliche unter den in Artikel 25 Absatz 4 der genannten Verordnung festgelegten Voraussetzungen Ausnahmeregelungen von den in den Artikeln 17, 18, 20, 21, 22 und 23 genannten Rechten anwenden.

2 Bei der Verarbeitung für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke kann der Verantwortliche Ausnahmeregelungen nach Artikel 25 Absatz 3 der Verordnung (EU) 2018/1725 anwenden. Zu diesem Zweck kann der Verantwortliche unter den in Artikel 25 Absatz 3 der Verordnung (EU) 2018/1725 festgelegten Voraussetzungen Ausnahmeregelungen von den in den Artikeln 17, 18, 20 und 23 genannten Rechten anwenden.

3 Diese Ausnahmeregelungen unterliegen angemessenen Garantien im Einklang mit Artikel 13 der Verordnung (EU) 2018/1725 und Artikel 28 Absatz 1 und 2 dieses Beschlusses. Gemäß Artikel 2 Absatz 6 Buchstabe a und Artikel 10 dieses Beschlusses werden insbesondere zur Achtung des Grundsatzes der Datenminimierung und ggf. der Pseudonymisierung technische und organisatorische Maßnahmen getroffen.

1 Dieser Abschnitt enthält die allgemeinen Voraussetzungen, unter denen der Verantwortliche die Anwendung der Artikel 14 bis 21, 35 und 36 der Verordnung (EU) 2018/1725 sowie deren Artikel 4 insofern, als seine Bestimmungen den Rechten und Pflichten nach den Artikeln 14 bis 21 dieser Verordnung entsprechen, im Einklang mit Artikel 25 der Verordnung beschränken kann. Die in Unterabsatz 1 genannten allgemeinen Voraussetzungen werden durch die Bestimmungen der Anhänge zu diesem Beschluss ergänzt, in denen die Voraussetzungen festgelegt werden, unter denen das Europäische Parlament die Rechte betroffener Personen im Rahmen sämtlicher Tätigkeiten und Verfahren beschränken kann, bei denen personenbezogene Daten verarbeitet werden und Beschränkungen sich als notwendig erweisen könnten.

2 Dieser Abschnitt findet auf die Verarbeitung personenbezogener Daten für die Zwecke der in den Anhängen zu diesem Beschluss aufgeführten Tätigkeiten und Verfahren des Europäischen Parlaments Anwendung.

3 Für jedwede Verarbeitung und Beschränkung ist ein Verantwortlicher nach Artikel 2 dieses Beschlusses zu bestimmen.

1 Die einer Beschränkung unterliegenden personenbezogenen Daten werden in einem gesicherten physischen oder elektronischen Umfeld gespeichert, um einen unberechtigten Zugriff oder eine unrechtmäßige Weitergabe von Daten an Personen zu verhindern, die diese nicht kennen müssen.

2 Nach der Verarbeitung werden die Dokumente, in denen personenbezogene Daten enthalten sind, im Einklang mit den anwendbaren Vorschriften des Europäischen Parlaments gespeichert .

3 Bevor eine konkrete Beschränkung angewandt wird, erfolgt eine Bewertung, ob die Beschränkung erforderlich und verhältnismäßig ist und welche Risiken für betroffene Personen nach Artikel 35 dieses Beschlusses bestehen.

1 In Einklang mit Artikel 30 bis 36 und den in den entsprechenden Anhängen zu diesem Beschluss festgelegten Spezifikationen kann der Verantwortliche die in den relevanten Anhängen ausdrücklich genannten Rechte betroffener Personen dann beschränken, wenn die Wahrnehmung dieser Rechte den Zweck der in diesen Anhängen beschriebenen Tätigkeiten oder Verfahren gefährden würde.

2 Der für die Datenverarbeitung Verantwortliche erfasst und registriert gemäß Artikel 35 dieses Beschlusses die Gründe für die Beschränkung.

1 Auf seiner Internetseite veröffentlicht das Europäische Parlament Datenschutzhinweise mit Informationen für betroffene Personen über die Verarbeitungsvorgänge in Bezug auf ihre personenbezogenen Daten und mögliche Beschränkungen ihrer Rechte in diesem Rahmen. Die Informationen umfassen die genauen Rechte, die beschränkt werden können, die Gründe für eine solche Beschränkung, ihre potentielle Dauer und mögliche Rechtsbehelfe.

2 Sofern dies möglich ist, informiert der Verantwortliche jede betroffene Person über ihre Rechte hinsichtlich der Beschränkungen unverzüglich und in der am besten geeigneten Form, die auf Einzelfallbasis festzulegen ist. Die Informationen umfassen die genauen Rechte, die beschränkt werden können, die Gründe für solche Beschränkungen, ihre potentielle Dauer und mögliche Rechtsbehelfe.

1 Wenn der Verantwortliche das Recht auf Information gemäß den Artikeln 15 und 16 der Verordnung (EU) 2018/1725 beschränkt, sind die betroffenen Personen gemäß Artikel 25 Absatz 6 der genannten Verordnung über die wesentlichen Gründe für diese Beschränkung und über ihr Beschwerderecht beim Europäischen Datenschutzbeauftragten zu unterrichten.

2 Allerdings kann diese Unterrichtung nach Artikel 25 Absatz 8 der Verordnung (EU) 2018/1725 so lange zurückgestellt, unterlassen oder abgelehnt werden, wie sie die Wirkung der Beschränkung zunichtemachen würde.

3 Wenn der Verantwortliche die Unterrichtung betroffener Personen im Sinne von Absatz 2 dieses Artikels ganz oder teilweise zurückstellt, unterlässt oder ablehnt, erfasst und registriert er die Gründe hierfür gemäß Artikel 35 des vorliegenden Beschlusses.

1 Schränkt der für die Datenverarbeitung Verantwortliche das Recht der betroffenen Personen auf Zugang zu personenbezogenen Daten, das Recht auf Berichtigung, das Recht auf Löschung oder das Recht auf Einschränkung der Verarbeitung gemäß den Artikeln 17, 18, 19 und 20 der Verordnung (EU) 2018/1725 sowie die Mitteilungspflicht gemäß Artikel 21 der genannten Verordnung ganz oder teilweise ein, unterrichtet er die betroffene Person in seiner Antwort auf den Antrag auf Zugang, Berichtigung, Löschung oder Einschränkung der Verarbeitung über die angewandte Beschränkung und über die Hauptgründe für die Beschränkung sowie die Möglichkeit, eine Beschwerde beim Europäischen Datenschutzbeauftragten einzureichen oder beim Gerichtshof der Europäischen Union („der Gerichtshof“) einen Rechtsbehelf einzulegen.

2 Die Unterrichtung über die Gründe für eine Beschränkung nach Absatz 1 kann so lange zurückgestellt, unterlassen oder abgelehnt werden, wie die Unterrichtung die Wirkung der Beschränkung zunichtemachen würde.

3 Der für die Datenverarbeitung Verantwortliche erfasst die Gründe für die Zurückstellung, Unterlassung oder Ablehnung nach Artikel 35 dieses Beschlusses.

4 Ist das Zugangsrecht ganz oder teilweise eingeschränkt und hat die betroffene Person von ihrem Recht Gebrauch gemacht, eine Beschwerde beim Europäischen Datenschutzbeauftragten einzureichen, so wird die betroffene Person (und nur sie) vom Europäischen Datenschutzbeauftragten darüber informiert, ob die Daten korrekt verarbeitet wurden und, wenn nicht, ob gemäß Artikel 25 Absatz 7 der Verordnung (EU) 2018/1725 Korrekturen vorgenommen wurden.

Wenn der für die Datenverarbeitung Verantwortliche die Anwendung von Artikel 35 der Verordnung (EU) 2018/1725 beschränkt, erfasst und registriert er die Gründe hierfür gemäß Artikel 35 dieses Beschlusses.

Wenn der für die Datenverarbeitung Verantwortliche die Verpflichtung des Europäischen Parlaments zur Gewährleistung der Vertraulichkeit der elektronischen Kommunikation nach Artikel 36 der Verordnung (EU) 2018/1725 beschränkt, erfasst und registriert er die Gründe hierfür gemäß Artikel 35 dieses Beschlusses.

1 Bevor eine konkrete Beschränkung angewandt wird, bewertet der für die Datenverarbeitung Verantwortliche die Erforderlichkeit und Angemessenheit der Beschränkungen unter Berücksichtigung aller einschlägigen Aspekte nach Artikel 25 Absatz 2 der Verordnung (EU) 2018/1725. Zu dieser Bewertung gehört auch eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen, insbesondere des Risikos, dass ihre personenbezogenen Daten ohne ihr Wissen weiterverarbeitet werden und dass sie ihre Rechte gemäß der genannten Verordnung (EU) 2018/1725 womöglich nicht wahrnehmen können. Sie wird durch einen internen Bewertungsvermerk dokumentiert und auf Einzelfallbasis durchgeführt.

2 Der für die Datenverarbeitung Verantwortliche erfasst die Gründe für die Anwendung von Beschränkungen nach diesem Beschluss, einschließlich der nach Absatz 1 vorgenommenen Bewertung. Zu diesem Zweck ist in dem Protokoll anzugeben, wie die Ausübung der Rechte der betroffenen Personen den Zweck einer bzw. eines der vom Europäischen Parlament durchgeführten Tätigkeiten oder Verfahren gemäß den Anhängen zu diesem Beschluss gefährden würde.

3 Wenn der für die Datenverarbeitung Verantwortliche bei der Anwendung einer Beschränkung die Unterrichtung der betroffenen Person nach Maßgabe von Artikel 25 Absatz 8 der Verordnung (EU) 2018/1725 zurückstellt, unterlässt oder ablehnt, erfasst er gegebenenfalls auch hierfür die Gründe.

4 Die Aufzeichnung sowie gegebenenfalls die Dokumente, die die zugrunde liegenden Fakten und die rechtlichen Grundlagen enthalten, werden in einem zentralen Register gespeichert. Sie werden dem Europäischen Datenschutzbeauftragten auf Anforderung zur Verfügung gestellt.

1 Die in den Artikeln 29 und 31 bis 34 dieses Beschlusses genannten Beschränkungen im Zusammenhang mit den anwendbaren Anhängen zu diesem Beschluss gelten, solange die Gründe, die sie rechtfertigen, vorliegen.

2 Liegen die Gründe für eine Beschränkung gemäß den Artikeln 29 und 31 bis 34 dieses Beschlusses im Zusammenhang mit den anwendbaren Anhängen zu diesem Beschluss nicht mehr vor, so hebt der für die Datenverarbeitung Verantwortliche die Beschränkung auf. Gleichzeitig unterrichtet der für die Datenverarbeitung Verantwortliche die betroffene Person über die Hauptgründe für die Beschränkung und teilt ihr mit, dass sie jederzeit Beschwerde beim Europäischen Datenschutzbeauftragten oder einen gerichtlichen Rechtsbehelf beim Gerichtshof einlegen kann.

3 Der für die Datenverarbeitung Verantwortliche überprüft die Anwendung der in den Artikeln 29 und 31 bis 34 dieses Beschlusses genannten Beschränkungen im Zusammenhang mit den anwendbaren Anhängen zu diesem Beschluss alle sechs Monate nach dessen Annahme und nach Abschluss des entsprechenden Verfahrens. Danach überwacht der für die Datenverarbeitung Verantwortliche für die Tätigkeiten und Verfahren gemäß den Anhängen I, II, V, VI, VII, VIII, IX und X zu diesem Beschluss auf jährlicher Basis, ob es notwendig ist, Beschränkungen aufrechtzuerhalten.

1 Der Datenschutzbeauftragte wird unverzüglich unterrichtet, wenn die Rechte der betroffenen Personen nach diesem Abschnitt eingeschränkt werden. Auf Anfrage erhält der Datenschutzbeauftragte Zugang zu den erfassten Angaben und sonstigen Unterlagen, die die zugrunde liegenden Fakten und die rechtlichen Grundlagen enthalten.

2 Der Datenschutzbeauftragte kann von dem für die Datenverarbeitung Verantwortlichen eine Überprüfung der Beschränkungen fordern. Der Datenschutzbeauftragte wird über das Ergebnis der angeforderten Überprüfung schriftlich unterrichtet.

3 Jeder Informationsaustausch mit dem Datenschutzbeauftragten während des gesamten Verfahrens gemäß den Absätzen 1 und 2 wird in der geeigneten Form aufgezeichnet.

Die diesem Beschluss beigefügten Anhänge sind Bestandteil desselben.

1 Alle beim Europäischen Parlament beschäftigten Personen können beim Europäischen Datenschutzbeauftragten eine Beschwerde nach Artikel 68 der Verordnung (EU) 2018/1725 einreichen. Die Einreichung einer Beschwerde führt nicht zu einer Aussetzung der Frist zur Einreichung einer Beschwerde nach Artikel 90 des Beamtenstatuts.

2 Unabhängig von dem in Absatz 1 genannten Recht kann jede beim Europäischen Parlament beschäftigte Person eine Beschwerde nach Artikel 90 des Beamtenstatuts zu einer Frage in Bezug auf die Verarbeitung personenbezogener Daten bei der Anstellungsbehörde einreichen. In ihrer Beschwerde teilt die beschäftigte Person mit, ob parallel zur Beschwerde nach dem Statut eine Beschwerde an den Europäischen Datenschutzbeauftragten eingereicht wurde. Bei einer Beschwerde nach Artikel 90 Absatz 2 des Statuts der Beamten wird der Datenschutzbeauftragte von den zuständigen Dienststellen des Europäischen Parlaments konsultiert.

1 Die durch den Beschluss des Präsidiums vom 22. Juni 2005 festgelegten Durchführungsbestimmungen für die Verordnung (EG) Nr. 45/2001 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe und Einrichtungen der Gemeinschaft und zum freien Datenverkehr werden mit Wirkung vom Tag des Inkrafttretens dieses Beschlusses aufgehoben.

2 Der Beschluss des Präsidiums des Europäischen Parlaments vom 3. April 2019 zu Durchführungsbestimmungen über die Beschränkungen bestimmter Rechte betroffener Personen im Zusammenhang mit der Weitergabe personenbezogener Daten durch das Europäische Parlament an die nationalen Behörden im Kontext von strafrechtlichen Ermittlungen oder Finanzermittlungen wird mit Wirkung vom Tag des Inkrafttretens dieses Beschlusses aufgehoben.

Dieser Beschluss tritt am Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.