Beschluss der Europäischen Investitionsbank vom 6. Februar 2019 zur Festlegung interner Vorschriften über die Unterrichtung betroffener Personen und die Beschränkung bestimmter Rechte dieser Personen im Zusammenhang mit der Verarbeitung personenbezogener Daten durch die Abteilung Betrugsbekämpfung der Generalinspektion sowie der Direktion Compliance der Europäischen Investitionsbank

1 Dieses Kapitel enthält die Vorschriften, die der in Artikel 2 Absatz 1 des Beschlusses näher definierte Verantwortliche bei der Unterrichtung von betroffenen Personen über die Verarbeitung ihrer Daten gemäß den Artikeln 14, 15 und 16 von Verordnung (EU) 2018/1725 beachten muss. Ferner werden die Bedingungen festgelegt, unter denen der jeweilige Verantwortliche die Anwendung der Artikel 14 bis 22, 35 und 36 sowie von Artikel 4 dieser Verordnung in Übereinstimmung mit Artikel 25 der Verordnung beschränken kann.

2 Dieses Kapitel gilt für die Verarbeitung personenbezogener Daten durch IG/IN für die Zwecke der oder in Verbindung mit der Tätigkeit, die IG/IN zur Erfüllung seiner Aufgaben gemäß der Betrugsbekämpfungspolitik der EIB und der Charta der Abteilung Betrugsbekämpfung durchführt.

3 Im Rahmen seiner Tätigkeit verarbeitet IG/IN verschiedene Kategorien personenbezogener Daten, insbesondere Kenndaten, Kontaktdaten, berufsbezogene Daten und Daten in Bezug auf die Beteiligung der betroffenen Person an dem jeweiligen Fall.

1 Verantwortlich für die Datenverarbeitungsvorgänge ist der Leiter der Abteilung IG/IN.

2 Die personenbezogenen Daten werden in einer gesicherten elektronischen und physischen Umgebung gespeichert, sodass sowohl jedweder unbefugte Zugang als auch jedwede Datenübermittlung an Personen, die von den Dateien keine Kenntnis haben müssen, verhindert wird.

3 Nach Abschluss der Untersuchung werden die personenbezogenen Daten noch mindestens fünf Jahre und höchstens zehn Jahre aufbewahrt. Daten zu Fällen, in denen sich der Verdacht als unbegründet erwies, werden höchstens fünf Jahre aufbewahrt.

4 In begründeten Ausnahmefällen können vorbehaltlich der Zustimmung des DSB längere Fristen gelten.

1 Bei der Ausübung seiner Pflichten in Bezug auf die Rechte der betroffenen Personen nach der Verordnung prüft IG/IN, ob in der Verordnung festgelegte Ausnahmen Anwendung finden.

2 IG/IN kann vorbehaltlich der Artikel 4 bis 7 dieses Beschlusses die Anwendung der Artikel 14 bis 22, 35 und 36 der Verordnung sowie von Artikel 4, insofern dessen Bestimmungen den in den Artikeln 14 bis 22 vorgesehenen Rechten und Pflichten entsprechen, beschränken, falls die Ausübung dieser Rechte und Pflichten — beispielsweise durch Offenlegung seiner Untersuchungswerkzeuge und -methoden — dem Zweck der Untersuchungen oder anderer Aktivitäten von IG/IN zuwiderlaufen oder die Rechte und Freiheiten anderer Personen beeinträchtigen würde.

3 IG/IN kann vorbehaltlich der Artikel 4 bis 7 dieses Beschlusses die in Absatz 2 dieses Artikels genannten Rechte und Pflichten in Bezug auf personenbezogene Daten, die IG/IN bei anderen EIB-Dienststellen, dem OLAF oder bei anderen Organen, Einrichtungen und sonstigen Stellen der Europäischen Union, bei zuständigen Behörden von Mitgliedstaaten oder Drittländern oder bei internationalen Organisationen eingeholt hat, beschränken, a) falls die Ausübung dieser Rechte und Pflichten durch andere EIB-Dienststellen, das OLAF oder andere Organe, Einrichtungen oder sonstige Stellen der Europäischen Union auf der Grundlage anderer in Artikel 25 der Verordnung vorgesehener Rechtsakte oder nach Kapitel IX der Verordnung beschränkt werden könnte, b) falls die Ausübung dieser Rechte und Pflichten durch zuständige Behörden von Mitgliedstaaten auf der Grundlage in Artikel 23 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates genannter Rechtsakte oder nationaler Maßnahmen zur Umsetzung von Artikel 13 Absatz 3, Artikel 15 Absatz 3 oder Artikel 16 Absatz 3 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates beschränkt werden könnte, c) falls durch die Ausübung dieser Rechte und Pflichten die von IG/IN im Rahmen seiner Aufgaben geleistete Zusammenarbeit mit Drittländern oder internationalen Organisationen beeinträchtigt werden könnte. Vor einer etwaigen Anwendung von Beschränkungen in den in Unterabsatz 1 Buchstaben a und b genannten Fällen konsultiert IG/IN die zuständigen EIB-Dienststellen, das OLAF, Organe, Einrichtungen und sonstigen Stellen der Europäischen Union oder die zuständigen Behörden von Mitgliedstaaten, es sei denn, IG/IN ist sich im Klaren darüber, dass in einem der unter diesen beiden Buchstaben genannten Rechtsakte die Anwendung einer Beschränkung geregelt ist. Unterabsatz 1 Buchstabe c findet keine Anwendung, wenn die Interessen, Grundrechte oder Freiheiten der betroffenen Personen gegenüber dem Interesse der Europäischen Union an der Zusammenarbeit mit Drittländern oder internationalen Organisationen überwiegen.

1 IG/IN veröffentlicht auf der EIB-Website einen Datenschutzhinweis, durch den alle betroffenen Personen über die Tätigkeit von IG/IN, die die Verarbeitung ihrer personenbezogenen Daten mit sich bringt, informiert werden.

2 IG/IN informiert alle betroffenen Personen, die es als von der Untersuchung betroffene Personen, als Zeugen oder als Hinweisgeber im Sinne der Betrugsbekämpfungspolitik der EIB und der Untersuchungsverfahren ansieht, jeweils einzeln.

3 Wenn IG/IN die Unterrichtung der in Absatz 2 genannten betroffenen Personen ganz oder teilweise beschränkt, erstellt es eine Aufzeichnung über die Gründe für die Beschränkung einschließlich einer Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung. In der Aufzeichnung gibt es an, inwieweit die Unterrichtung dem Zweck ihrer Untersuchungstätigkeit oder von Beschränkungen gemäß Artikel 3 Absatz 3 zuwiderlaufen oder die Rechte und Freiheiten anderer betroffener Personen beeinträchtigen würde. Die Aufzeichnung sowie etwaige Dokumente, die die zugrunde liegenden Fakten und die rechtlichen Grundlagen enthalten, werden registriert. Sie werden dem Europäischen Datenschutzbeauftragten (EDSB) auf Anforderung zur Verfügung gestellt.

4 Die in Absatz 3 genannte Beschränkung gilt so lange, wie die Gründe bestehen, die die Beschränkung rechtfertigen. Bestehen die Gründe für die Beschränkung nicht mehr, übermittelt IG/IN der betroffenen Person die jeweiligen Informationen unter Angabe der Gründe für die Beschränkung. Gleichzeitig unterrichtet IG/IN die betroffene Person über die Möglichkeit, jederzeit Beschwerde beim EDSB oder einen Rechtsbehelf vor dem Gerichtshof der Europäischen Union einzulegen. IG/IN überprüft die Anwendung einer Beschränkung mindestens alle sechs Monate nach der erstmaligen Anwendung sowie bei Abschluss der Untersuchung. Danach prüft der Verantwortliche jährlich, ob die Beschränkung aufrechterhalten werden muss.

1 Wenn betroffene Personen gemäß Artikel 17 der Verordnung Auskunft über ihre personenbezogenen, im Zusammenhang mit einem oder mehreren konkreten Fällen verarbeiteten Daten oder über einen konkreten Datenverarbeitungsvorgang beantragen, beschränkt IG/IN die Prüfung des Antrags auf diese personenbezogenen Daten.

2 Wenn IG/IN das Auskunftsrecht nach Artikel 17 der Verordnung teilweise oder vollständig beschränkt, ergreift es folgende Maßnahmen: a) IG/IN unterrichtet die betroffene Person über die angewendete Beschränkung, über die ausschlaggebenden Gründe sowie über die Möglichkeit, eine Beschwerde beim EDSB oder einen Rechtsbehelf vor dem Gerichtshof der Europäischen Union einzulegen. b) IG/IN erstellt eine Aufzeichnung über die Gründe für die Beschränkung einschließlich einer Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung. Darin gibt es an, inwieweit die Unterrichtung dem Zweck ihrer Untersuchungstätigkeiten oder von Beschränkungen gemäß Artikel 3 Absatz 3 zuwiderlaufen oder die Rechte und Freiheiten anderer von der Datenverarbeitung betroffener Personen beeinträchtigen würde. Die Unterrichtung nach Buchstabe a kann nach Maßgabe von Artikel 25 Absatz 8 der Verordnung zurückgestellt, unterlassen oder abgelehnt werden.

3 Die Aufzeichnung nach Absatz 2 Unterabsatz 1 Buchstabe b und etwaige Dokumente, die die zugrunde liegenden Fakten und die rechtlichen Grundlagen enthalten, werden registriert. Sie werden dem EDSB auf Anforderung zur Verfügung gestellt. Es gilt Artikel 25 Absatz 7 der Verordnung.

Wenn IG/IN das Recht auf Berichtigung, Löschung oder Einschränkung der Verarbeitung nach Artikel 18, Artikel 19 Absatz 1 und Artikel 20 Absatz 1 der Verordnung ganz oder teilweise beschränkt, ergreift es die in Artikel 5 Absatz 2 dieses Beschlusses genannten Maßnahmen und registriert die betreffende Aufzeichnung nach Maßgabe von Artikel 5 Absatz 3 des Beschlusses.

Wenn IG/IN die Benachrichtigung einer betroffenen Person über die Verletzung des Schutzes personenbezogener Daten gemäß Artikel 35 der Verordnung beschränkt, zeichnet es die Gründe der Beschränkung auf und registriert die Aufzeichnung nach Maßgabe von Artikel 4 Absatz 3 dieses Beschlusses. Es gilt Artikel 4 Absatz 4 dieses Beschlusses.

IG/IN informiert den DSB unverzüglich, wenn Rechte von betroffenen Personen gemäß diesem Beschluss beschränkt werden, und gewährt ihm Zugang zu der Aufzeichnung und der Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung. Der DSB kann IG/IN schriftlich auffordern, die Anwendung der Beschränkungen zu überprüfen. IG/IN wird den DSB schriftlich über das Ergebnis der angeforderten Überprüfung informieren.

1 Dieses Kapitel enthält die Vorschriften, die das OCCO bei der Unterrichtung von betroffenen Personen über die Verarbeitung ihrer Daten gemäß den Artikeln 14, 15 und 16 von Verordnung (EU) 2018/1725 beachten muss. Ferner werden die Bedingungen festgelegt, unter denen das OCCO die Anwendung der Artikel 14 bis 22, 35 und 36 sowie von Artikel 4 dieser Verordnung in Übereinstimmung mit Artikel 25 der Verordnung beschränken kann.

2 Dieses Kapitel gilt für die Verarbeitung personenbezogener Daten durch das OCCO für die Zwecke der oder in Verbindung mit den Aktivitäten, die es zur Erfüllung seiner Aufgaben nach der Aufgabenbeschreibung des Group Chief Compliance Officer, den Integritätsstandards und Compliance-Leitlinien und anderen internen Vorschriften und Leitlinien durchführt.

3 Im Rahmen seiner Tätigkeit verarbeitet das OCCO verschiedene Kategorien personenbezogener Daten, insbesondere Kenndaten, Kontaktdaten, berufsbezogene Daten und Daten in Bezug auf die Beteiligung der betroffenen Person an dem jeweiligen Fall.

1 Verantwortlich für die Datenverarbeitungsvorgänge ist der Group Chief Compliance Officer.

2 Die personenbezogenen Daten werden in einer gesicherten elektronischen und physischen Umgebung gespeichert, sodass sowohl jedweder unbefugte Zugang als auch jedwede Datenübermittlung an Personen, die von den Dateien keine Kenntnis haben müssen, verhindert wird.

3 Nach Einstellung der Untersuchung werden die personenbezogenen Daten noch mindestens sechs Monate und nach Abschluss der administrativen Nachforschungen noch höchstens fünf Jahre aufbewahrt.

4 In begründeten Ausnahmefällen können vorbehaltlich der Zustimmung des DSB längere Fristen gelten.

1 Bei der Ausübung seiner Pflichten in Bezug auf die Rechte der betroffenen Personen nach der Verordnung prüft das OCCO, ob in der Verordnung festgelegte Ausnahmen Anwendung finden.

2 Das OCCO kann vorbehaltlich der Artikel 12 bis 15 dieses Beschlusses die Anwendung der Artikel 14 bis 22, 35 und 36 der Verordnung sowie von Artikel 4, insofern dessen Bestimmungen den in den Artikeln 14 bis 22 vorgesehenen Rechten und Pflichten entsprechen, beschränken, falls die Ausübung dieser Rechte und Pflichten — beispielsweise durch Offenlegung seiner Nachforschungswerkzeuge und -methoden — dem Zweck der administrativen Nachforschungen oder anderer Aktivitäten des OCCO zuwiderlaufen oder die Rechte und Freiheiten anderer Personen beeinträchtigen würde.

3 Das OCCO kann vorbehaltlich der Artikel 12 bis 15 dieses Beschlusses die in Absatz 2 dieses Artikels genannten Rechte und Pflichten in Bezug auf personenbezogene Daten, die es bei anderen EIB-Dienststellen, bei Organen, Einrichtungen und sonstigen Stellen der Europäischen Union, bei zuständigen Behörden von Mitgliedstaaten oder Drittländern oder bei internationalen Organisationen eingeholt hat, beschränken, a) falls die Ausübung dieser Rechte und Pflichten durch andere EIB-Dienststellen, Organe, Einrichtungen oder sonstige Stellen der Europäischen Union auf der Grundlage anderer in Artikel 25 der Verordnung vorgesehener Rechtsakte oder nach Kapitel IX der Verordnung beschränkt werden könnte, b) falls die Ausübung dieser Rechte und Pflichten durch zuständige Behörden von Mitgliedstaaten auf der Grundlage in Artikel 23 der Verordnung (EU) 2016/679 genannter Rechtsakte oder nationaler Maßnahmen zur Umsetzung von Artikel 13 Absatz 3, Artikel 15 Absatz 3 oder Artikel 16 Absatz 3 der Richtlinie (EU) 2016/680 beschränkt werden könnte, c) falls durch die Ausübung dieser Rechte und Pflichten die das OCCO im Rahmen seiner Aufgaben geleistete Zusammenarbeit mit Drittländern oder internationalen Organisationen beeinträchtigt werden könnte. Vor einer etwaigen Anwendung von Beschränkungen in den in Unterabsatz 1 Buchstaben a und b genannten Fällen konsultiert das OCCO die zuständigen EIB-Dienststellen, Organe, Einrichtungen und sonstigen Stellen der Europäischen Union oder die zuständigen Behörden von Mitgliedstaaten, es sei denn, das OCCO ist sich im Klaren darüber, dass in einem der unter diesen beiden Buchstaben genannten Rechtsakte die Anwendung einer Beschränkung geregelt ist. Unterabsatz 1 Buchstabe c findet keine Anwendung, wenn die Interessen, Grundrechte oder Freiheiten der betroffenen Personen gegenüber dem Interesse der Europäischen Union an der Zusammenarbeit mit Drittländern oder internationalen Organisationen überwiegen.

1 Das OCCO veröffentlicht im EIB-Intranet einen Datenschutzhinweis, durch den alle betroffenen Personen über seine Tätigkeit, die die Verarbeitung ihrer personenbezogenen Daten mit sich bringt, informiert werden.

2 Das OCCO informiert alle betroffenen Personen, die es als von der Untersuchung betroffene Personen, als Zeugen oder als Hinweisgeber ansieht, jeweils einzeln.

3 Wenn das OCCO die Unterrichtung der in Absatz 2 genannten betroffenen Personen ganz oder teilweise beschränkt, erstellt es eine Aufzeichnung über die Gründe für die Beschränkung einschließlich einer Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung. In der Aufzeichnung gibt es an, inwieweit die Unterrichtung dem Zweck seiner administrativen Nachforschungen oder anderen Aktivitäten oder von Beschränkungen gemäß Artikel 11 Absatz 3 zuwiderlaufen oder die Rechte und Freiheiten anderer betroffener Personen beeinträchtigen würde. Die Aufzeichnung sowie etwaige Dokumente, die die zugrunde liegenden Fakten und die rechtlichen Grundlagen enthalten, werden registriert. Sie werden dem EDSB auf Anforderung zur Verfügung gestellt.

4 Die in Absatz 3 genannte Beschränkung gilt so lange, wie die Gründe bestehen, die die Beschränkung rechtfertigen. Bestehen die Gründe für die Beschränkung nicht mehr, übermittelt das OCCO der betroffenen Person die jeweiligen Informationen unter Angabe der Gründe für die Beschränkung. Gleichzeitig unterrichtet das OCCO die betroffene Person über die Möglichkeit, jederzeit Beschwerde beim EDBS oder einen Rechtsbehelf vor dem Gerichtshof der Europäischen Union einzulegen. Das OCCO überprüft die Anwendung einer Beschränkung mindestens alle sechs Monate nach der erstmaligen Anwendung sowie bei Abschluss der administrativen Nachforschung. Danach prüft der Verantwortliche jährlich, ob die Beschränkung aufrechterhalten werden muss.

1 Wenn betroffene Personen gemäß Artikel 17 der Verordnung Auskunft über ihre personenbezogenen, im Zusammenhang mit einem oder mehreren konkreten Fällen verarbeiteten Daten oder über einen konkreten Datenverarbeitungsvorgang beantragen, beschränkt das OCCO die Prüfung des Antrags auf diese personenbezogenen Daten.

2 Wenn das OCCO das Auskunftsrecht nach Artikel 17 der Verordnung teilweise oder vollständig beschränkt, ergreift es folgende Maßnahmen: a) Es unterrichtet die betroffene Person über die angewendete Beschränkung, über die ausschlaggebenden Gründe sowie über die Möglichkeit, eine Beschwerde beim EDSB oder einen Rechtsbehelf vor dem Gerichtshof der Europäischen Union einzulegen. b) Es erstellt eine Aufzeichnung über die Gründe für die Beschränkung einschließlich einer Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung. Darin gibt es an, inwieweit die Unterrichtung dem Zweck der administrativen Nachforschungen oder anderen Tätigkeiten des OCCO oder von Beschränkungen gemäß Artikel 11 Absatz 3 zuwiderlaufen oder die Rechte und Freiheiten anderer betroffener Personen beeinträchtigen würde. Die Unterrichtung nach Buchstabe a kann nach Maßgabe von Artikel 25 Absatz 8 der Verordnung zurückgestellt, unterlassen oder abgelehnt werden.

3 Die Aufzeichnung nach Absatz 2 Unterabsatz 1 Buchstabe b und etwaige Dokumente, die die zugrunde liegenden Fakten und die rechtlichen Grundlagen enthalten, werden registriert. Sie werden dem EDSB auf Anforderung zur Verfügung gestellt. Es gilt Artikel 25 Absatz 7 der Verordnung.

Wenn das OCCO das Recht auf Berichtigung, Löschung oder Einschränkung der Verarbeitung nach Artikel 18, Artikel 19 Absatz 1 und Artikel 20 Absatz 1 der Verordnung ganz oder teilweise beschränkt, ergreift es die in Artikel 13 Absatz 2 dieses Beschlusses genannten Maßnahmen und registriert die betreffende Aufzeichnung nach Maßgabe von Artikel 13 Absatz 3 des Beschlusses.

Wenn das OCCO die Benachrichtigung einer betroffenen Person über die Verletzung des Schutzes personenbezogener Daten gemäß Artikel 35 der Verordnung beschränkt, zeichnet es die Gründe der Beschränkung auf und registriert die Aufzeichnung nach Maßgabe von Artikel 12 Absatz 3 dieses Beschlusses. Es gilt Artikel 12 Absatz 4 dieses Beschlusses.

Das OCCO informiert den DSB unverzüglich, wenn Rechte von betroffenen Personen gemäß diesem Beschluss beschränkt werden, und gewährt ihm Zugang zu der Aufzeichnung und der Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung. Der DSB kann den Verantwortlichen schriftlich auffordern, die Anwendung der Beschränkungen zu überprüfen. Das OCCO wird den DSB schriftlich über das Ergebnis der angeforderten Überprüfung informieren.

Dieser Beschluss wurde am 6. Februar 2019 vom Verwaltungsrat der EIB genehmigt und tritt am Tag seiner Veröffentlichung auf der Website der EIB in Kraft.