Beschluss des Europäischen Datenschutzbeauftragten vom 2. April 2019 über interne Vorschriften zur Einschränkung bestimmter Rechte betroffener Personen in Bezug auf die Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten des Europäischen Datenschutzbeauftragten

Mit diesem Beschluss werden Vorschriften in Bezug auf die Bedingungen festgelegt, unter denen der EDSB die Anwendung der Artikel 14 bis 20, 35 und 36 sowie des Artikels 4 auf Grundlage von Artikel 25 der Verordnung beschränken darf.

1 Gemäß Artikel 25 Absatz 1 der Verordnung kann der EDSB die Anwendung der Artikel 14 bis 20, 35 und 36 sowie des Artikels 4, insofern dessen Bestimmungen den in den Artikeln 14 bis 20 vorgesehenen Rechten und Pflichten entsprechen, zu folgenden Zwecken beschränken: a) Verwaltungsuntersuchungen, Vordisziplinar-, Disziplinar- und Aussetzungsverfahren auf Grundlage von Artikel 86 und gemäß Anhang IX des Statuts der Beamten der Europäischen Union sowie gemäß dem Beschluss des EDSB vom 23. April 2015, wobei der EDSB diese Fälle auch dem IDOC und dem OLAF zur Kenntnis bringen kann. Entsprechende Beschränkungen können auf der Grundlage von Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung festgelegt werden; b) Sicherstellung, dass die Mitarbeiter des EDSB im Einklang mit dem Beschluss des EDSB über interne Vorschriften für die Meldung von Missständen vom 14. Juni 2016 Tatsachen vertraulich melden können, die ihrer Ansicht nach auf schwerwiegende Unregelmäßigkeiten hindeuten. Entsprechende Beschränkungen können auf der Grundlage von Artikel 25 Absatz 1 Buchstabe h der Verordnung festgelegt werden; c) Sicherstellung, dass die Mitarbeiter des EDSB im Zusammenhang mit einem Mobbing-Verfahren gemäß dem Beschluss des EDSB vom 10. Dezember 2014 Informationen vertraulich an Vertrauenspersonen übermitteln können. Entsprechende Beschränkungen können auf der Grundlage von Artikel 25 Absatz 1 Buchstabe h der Verordnung festgelegt werden; d) Untersuchungen zu Beschwerden über Verarbeitungstätigkeiten, die von Organen, Einrichtungen und sonstigen Stellen der EU durchgeführt wurden, gemäß Artikel 57 Absatz 1 Buchstabe e der Verordnung. Entsprechende Beschränkungen können auf der Grundlage von Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung festgelegt werden; e) Untersuchungen über die Anwendung der Verordnung zur Sicherstellung der Einhaltung der Verordnung durch die Organe, Einrichtungen und sonstigen Stellen der EU gemäß Artikel 57 Absatz 1 Buchstabe f der Verordnung. Entsprechende Beschränkungen können auf der Grundlage von Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung festgelegt werden; f) Untersuchungen zu möglichen Verletzungen der Sicherheit von EU-VS auf Grundlage des Beschlusses des EDSB vom 18. Februar 2014 zur Änderung seiner Vorschriften für die Sicherheit von EU-VS. Entsprechende Beschränkungen können auf der Grundlage von Artikel 25 Absatz 1 Buchstaben c, d, g und h der Verordnung festgelegt werden; g) interne Prüfungen in Bezug auf sämtliche Tätigkeiten und Abteilungen des EDSB. Entsprechende Beschränkungen können auf der Grundlage von Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung festgelegt werden; h) Bereitstellung oder Inanspruchnahme von Unterstützung im Zuge der Zusammenarbeit mit anderen Organen, Einrichtungen und sonstigen Stellen der EU im Rahmen der oben genannten Tätigkeiten gemäß den entsprechenden Dienstleistungsvereinbarungen, Absichtserklärungen und Kooperationsvereinbarungen; entsprechende Beschränkungen können auf der Grundlage von Artikel 25 Absatz 1 Buchstaben c, d, g und h der Verordnung festgelegt werden; i) Bereitstellung oder Inanspruchnahme von Unterstützung im Zuge der Zusammenarbeit mit nationalen Behörden von Drittländern und internationalen Organisationen auf deren Ersuchen oder auf eigene Initiative, wie in Artikel 51 der Verordnung niedergelegt. Entsprechende Beschränkungen können auf der Grundlage von Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung festgelegt werden; j) Bereitstellung oder Inanspruchnahme von Unterstützung im Zuge der Zusammenarbeit mit Behörden der EU-Mitgliedstaaten auf deren Ersuchen oder auf eigene Initiative. Entsprechende Beschränkungen können auf der Grundlage von Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung festgelegt werden; k) Verarbeitung personenbezogener Daten aus Unterlagen, die die Parteien oder Streithelfer erlangen, wenn der EDSB den Gerichtshof der Europäischen Union anruft oder bei diesem anhängigen Verfahren beitritt, gemäß Artikel 58 Absatz 4 der Verordnung. Entsprechende Beschränkungen können auf der Grundlage von Artikel 25 Absatz 1 Buchstabe e der Verordnung festgelegt werden;

2 Zu den Datenkategorien gehören Daten zur Identifizierung einer natürlichen Person, Kontaktdaten, berufliche Zuständigkeiten und Aufgaben, Angaben zu Verhalten und Leistungen auf privater und beruflicher Ebene sowie Finanzdaten.

3 Jede Beschränkung muss den Wesensgehalt der Grundrechte und Grundfreiheiten achten und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellen.

4 Vor der Anwendung von Beschränkungen ist eine auf den Einzelfall bezogene Prüfung auf Notwendigkeit und Verhältnismäßigkeit durchzuführen. Beschränkungen sind auf das zur Erreichung der festgelegten Ziele unbedingt erforderliche Maß zu begrenzen.

5 Der EDSB hat für Zwecke der Rechenschaftspflicht ein Verzeichnis zu führen, in dem beschrieben wird, welche Gründe für die angewandten Beschränkungen vorliegen, welche der in Absatz 1 genannten Gründe gelten und was die Prüfung auf Notwendigkeit und Verhältnismäßigkeit ergab. Diese Aufzeichnungen sind Teil eines Ad-hoc-Registers, das dem EDSB auf Anfrage zur Verfügung zu stellen ist. In regelmäßigen Abständen ist ein Bericht über die Anwendung des Artikels 25 der Verordnung vorzulegen.

6 Bei der Verarbeitung personenbezogener Daten, die im Rahmen der Aufgaben des EDSB mit anderen Organisationen ausgetauscht werden, konsultiert der EDSB diese Organisationen hinsichtlich etwaiger einschlägiger Gründe für die Anwendung von Beschränkungen und hinsichtlich der Notwendigkeit und Verhältnismäßigkeit der Beschränkungen und wird von ihnen konsultiert, sofern dies nicht die Tätigkeiten des EDSB gefährdet.

Auf die Abschätzung der Risiken für die Rechte und Freiheiten der betroffenen Personen, deren personenbezogene Daten möglicherweise Beschränkungen unterliegen, sowie auf die Aufbewahrungsfrist wird im Verzeichnis der entsprechenden Verarbeitungstätigkeiten gemäß Artikel 31 der Verordnung und gegebenenfalls in den einschlägigen Datenschutz-Folgenabschätzungen gemäß Artikel 39 der Verordnung verwiesen.

Der EDSB richtet Garantien gegen Missbrauch oder unrechtmäßigen Zugang oder unrechtmäßige Übermittlung personenbezogener Daten ein, die möglicherweise Beschränkungen unterliegen. Diese Garantien umfassen technische und organisatorische Maßnahmen und werden in den internen Beschlüssen, Verfahren und Durchführungsbestimmungen des EDSB gegebenenfalls näher erläutert. Die Garantien müssen Folgendes umfassen: a) eine dem angestrebten Zweck entsprechende Definition der Rollen, Zuständigkeiten und Verfahrensschritte; b) gegebenenfalls ein sicheres elektronisches Umfeld, das einen unrechtmäßigen oder unbeabsichtigten Zugang oder eine unrechtmäßige oder unbeabsichtigte Übermittlung elektronischer Daten an Unbefugte verhindert; c) gegebenenfalls sichere Aufbewahrung und Bearbeitung von Dokumenten in Papierform; d) ordnungsgemäße Überwachung der Beschränkungen und regelmäßige Überprüfung mindestens alle sechs Monate. Darüber hinaus wird eine Überprüfung vorgenommen, wenn sich wesentliche Elemente des betreffenden Falles ändern. Die Beschränkungen werden aufgehoben, sobald die Umstände, die sie rechtfertigen, nicht mehr gelten.

1 Der Datenschutzbeauftragte des EDSB wird unverzüglich informiert, wenn die Rechte der betroffenen Person gemäß diesem Beschluss beschränkt werden, und erhält Zugang zu den Aufzeichnungen und allen Dokumenten, die sachlichen oder rechtlichen Elementen zugrunde liegen.

2 Der Datenschutzbeauftragte des EDSB kann eine Überprüfung der Anwendung der Beschränkung anfordern. Der EDSB unterrichtet seinen Datenschutzbeauftragten schriftlich über das Ergebnis der angeforderten Überprüfung.

3 Die Einbeziehung des Datenschutzbeauftragten des EDSB in das Beschränkungsverfahren, einschließlich des Informationsaustauschs, wird in angemessener Form dokumentiert.

1 Der EDSB nimmt in die auf seiner Website veröffentlichten Datenschutzhinweise allgemeine Informationen für die betroffenen Personen in Bezug auf die möglichen Beschränkungen der in Artikel 2 Absatz 1 beschriebenen Rechte aller betroffenen Personen auf. Die Informationen erstrecken sich auf die Rechte, die eingeschränkt werden können, die Gründe und die mögliche Dauer der Beschränkung.

2 Darüber hinaus informiert der EDSB die betroffenen Personen unverzüglich und in Schriftform einzeln über gegenwärtige oder künftige Beschränkungen ihrer Rechte, wie in den Artikeln 7, 8 und 9 näher erläutert.

1 Beschränkt der EDSB im Rahmen der in diesem Beschluss genannten Tätigkeiten die in den Artikeln 14 bis 16 und 35 der Verordnung genannten Rechte von betroffenen Personen ganz oder teilweise, werden die betroffenen Personen über die wesentlichen Gründe für die Anwendung dieser Beschränkung sowie über ihr Recht informiert, Beschwerde beim EDSB oder einen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen.

2 Der EDSB kann die Unterrichtung über die in Absatz 1 genannten Gründe für die Beschränkung zurückstellen, unterlassen oder ablehnen, wenn sie die Wirkung der Beschränkung zunichtemachen würde. Diese Abschätzung erfolgt auf Einzelfallbasis.

1 Beschränkt der EDSB im Rahmen der in diesem Beschluss genannten Tätigkeiten das in den Artikeln 17 bis 20 der Verordnung genannte Recht auf Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung, so unterrichtet der EDSB die betroffene Person in seiner Antwort auf deren Anfrage über die wesentlichen Gründe für die Anwendung dieser Beschränkung sowie über die Möglichkeit, Beschwerde beim EDSB oder einen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen.

2 Wird das Auskunftsrecht ganz oder teilweise beschränkt, teil der EDSB bei der Prüfung der Beschwerde der betroffenen Person gemäß Artikel 25 Absatz 7 der Verordnung nur mit, ob die Daten ordnungsgemäß verarbeitet wurden und, falls dies nicht der Fall ist, ob notwendige Korrekturen vorgenommen wurden.

3 Der EDSB kann die in den Absätzen 1 und 2 genannte Unterrichtung über die Gründe für die Beschränkung zurückstellen, unterlassen oder ablehnen, wenn sie die Wirkung der Beschränkung zunichtemachen würde. Diese Abschätzung erfolgt auf Einzelfallbasis.

1 Unter außergewöhnlichen Umständen und gemäß den Bestimmungen und der Begründung der Richtlinie 2002/58/EG kann der EDSB das Recht auf Vertraulichkeit der elektronischen Kommunikation in Einklang mit Artikel 36 der Verordnung beschränken. In diesem Fall erläutert der EDSB die Umstände, Gründe, entsprechenden Risiken und damit zusammenhängenden Garantien in Form von spezifischen internen Vorschriften.

2 Beschränkt der EDSB das Recht auf Vertraulichkeit der elektronischen Kommunikation, unterrichtet der EDSB die betroffene Person in seiner Antwort auf deren Anfrage über die wesentlichen Gründe für die Anwendung dieser Beschränkung sowie über die Möglichkeit, Beschwerde beim EDSB oder einen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen.

3 Der EDSB kann die in den Absätzen 1 und 2 genannte Unterrichtung über die Gründe für die Beschränkung zurückstellen, unterlassen oder ablehnen, wenn sie die Wirkung der Beschränkung zunichtemachen würde. Diese Abschätzung erfolgt auf Einzelfallbasis.

Dieser Beschluss tritt am Tag seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.