Beschluss Des Verwaltungsrats Der Agentur Der Europäischen Union Für Die Aus- Und Fortbildung Auf Dem Gebiet Der Strafverfolgung vom 5. August 2019 über interne Vorschriften zur Beschränkung bestimmter Rechte betroffener Personen in Bezug auf die Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten der CEPOL

1 Mit diesem Beschluss werden Vorschriften in Bezug auf die Bedingungen festgelegt, unter denen die Agentur im Rahmen ihrer unter Absatz 2 aufgeführten Verfahren die Anwendung der Rechte beschränken darf, die in den Artikeln 14 bis 21, 35 und 36 sowie in Artikel 4 nach Artikel 25 der Verordnung (EU) 2018/1725 vorgesehen sind.

2 Im Rahmen der administrativen Tätigkeit der Agentur gilt dieser Beschluss für Vorgänge zur Verarbeitung personenbezogener Daten durch die Einrichtung, die einem der folgenden Zwecke dienen: der Durchführung von Verwaltungsuntersuchungen, Disziplinarverfahren, ersten Maßnahmen im Zusammenhang mit Fällen möglicher Unregelmäßigkeiten, die dem OLAF gemeldet werden, Meldungen von Missständen, (formellen und informellen) Verfahren wegen Belästigungsfällen, der Bearbeitung von internen und externen Beschwerden, der Durchführung von internen Prüfungen, Untersuchungen durch den Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 sowie intern oder extern (z. B. durch das CERT-EU) abgewickelten (IT‐)Sicherheitsüberprüfungen wie auch zur Bearbeitung von Anträgen auf Auskunft über die Gesundheitsakten von Bediensteten.

3 Die entsprechenden Kategorien personenbezogener Daten umfassen harte Daten („objektive“ Daten wie Identifikationsdaten, Kontaktdaten, berufsbezogene Daten, Verwaltungsdaten, Daten aus bestimmten Quellen, elektronische Kommunikations- und Verkehrsdaten) und/oder weiche Daten („subjektive“ fallbezogene Daten wie Begründungen, verhaltensbezogene Daten, Bewertungen, Leistungs- und Verhaltensdaten und Daten, die sich auf den Gegenstand des Verfahrens oder der Tätigkeit beziehen oder im Zusammenhang mit diesem Gegenstand übertragen werden).

4 Nimmt die Agentur ihre Aufgaben in Bezug auf die Rechte betroffener Personen gemäß der Verordnung (EU) 2018/1725 wahr, prüft sie, ob eine der in dieser Verordnung vorgesehenen Ausnahmen anwendbar ist.

5 Vorbehaltlich der in diesem Beschluss aufgeführten Bedingungen können die Beschränkungen angewandt werden auf die Rechte auf: Unterrichtung der betroffenen Personen, Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Personen bzw. auf Vertraulichkeit der Kommunikation.

1 Verletzungen des Schutzes personenbezogener Daten, Datenverluste oder eine unberechtigte Weitergabe werden durch die folgenden Schutzmaßnahmen verhindert: (a) Dokumente in Papierform werden in gesicherten Schränken aufbewahrt und ausschließlich befugtem Personal zugänglich gemacht. (b) Alle elektronischen Daten werden entsprechend der Praxis der Agentur sowie in speziellen elektronischen Ordnern gespeichert, die ausschließlich befugtem Personal zugänglich sind. Angemessene Zugangsrechte werden individuell gewährt. (c) Der Zugang zur IT-Umgebung der Agentur ist durch ein System mit einmaliger Anmeldung geschützt, das automatisch mit der Benutzerkennung und dem Kennwort verbunden ist. Die Ersetzung von Benutzern ist streng untersagt. Elektronische Verzeichnisse werden gesichert, um die Vertraulichkeit der enthaltenen Daten und die Privatsphäre der betroffenen Person zu schützen. (d) Der externe Dienstleister, der die Gesundheitsakten aufbewahrt, ist an einschlägige Vertragsklauseln über die Vertraulichkeit und Verarbeitung personenbezogener Daten gebunden. (e) Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.

2 Der für die Verarbeitung Verantwortliche ist die Agentur, vertreten durch ihren Direktor, der die Funktion des für die Verarbeitung Verantwortlichen übertragen kann. Betroffenen Personen werden von der Agentur durch auf der Website veröffentlichte oder intern verbreitete Datenschutzhinweise oder ‐aufzeichnungen über den stellvertretenden für die Verarbeitung Verantwortlichen unterrichtet.

3 Die Aufbewahrungsfrist der in Artikel 1 Absatz 3 genannten personenbezogenen Daten darf nicht länger als erforderlich sein und muss für die Zwecke, zu denen die Daten verarbeitet werden, angemessen sein. Sie darf keinesfalls länger sein als die in den Datenschutzhinweisen, Datenschutzerklärungen oder Aufzeichnungen angegebene Aufbewahrungsfrist, auf die in Artikel 5 Absatz 1 Bezug genommen wird.

4 Zieht die Agentur die Anwendung einer Beschränkung in Betracht, sind die Risiken für die Rechte und Freiheiten der betroffenen Personen abzuwägen, insbesondere gegenüber dem Risiko für die Rechte und Freiheiten anderer betroffener Personen sowie dem Risiko, dass die Wirksamkeit der von der Agentur durchgeführten Untersuchungen oder Verfahren, z. B. durch Vernichtung von Beweismaterial, zunichte gemacht wird. Die Risiken für die Rechte und Freiheiten der betroffenen Personen erstrecken sich in erster Linie u. a. auf Risiken im Zusammenhang mit der Reputation, dem Verteidigungsrecht und dem Anspruch auf rechtliches Gehör.

1 Beschränkungen werden von der Agentur nur zu folgenden Zwecken angewandt: (a) zur Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten oder zur Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit; (b) zur inneren Sicherheit der Organe und Einrichtungen der Union, einschließlich ihrer elektronischen Kommunikationsnetze; (c) zum Schutz der Unabhängigkeit der Justiz und zum Schutz von Gerichtsverfahren; (d) zur Verhütung, Ermittlung, Aufdeckung und Verfolgung von Verstößen gegen die berufsständischen Regeln reglementierter Berufe; (e) zum Schutz der betroffenen Person oder der Rechte und Freiheiten Dritter; (f) zur Durchsetzung zivilrechtlicher Ansprüche.

2 Im Rahmen einer spezifischen Anwendung zu den in Absatz 1 genannten Zwecken kann die Agentur unter den folgenden Umständen Beschränkungen für personenbezogene Daten anwenden, die mit den Dienststellen der Kommission oder anderen Organen, Einrichtungen und sonstigen Stellen der Union, den zuständigen Behörden der Mitgliedstaaten oder Drittländern oder internationalen Organisationen ausgetauscht werden: (a) wenn die Ausübung dieser Rechte und Pflichten durch die Dienststellen der Kommission oder andere Organe, Einrichtungen und sonstige Stellen der Union auf der Grundlage anderer in Artikel 25 der Verordnung (EU) 2018/1725 vorgesehener Rechtsakte oder gemäß Kapitel IX der genannten Verordnung oder gemäß den Gründungsakten anderer Organe, Einrichtungen und sonstiger Stellen der Union beschränkt werden könnte; (b) wenn die Ausübung dieser Rechte und Pflichten von den zuständigen Behörden der Mitgliedstaaten auf der Grundlage von in Artikel 23 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates genannten Rechtsakten oder im Rahmen nationaler Maßnahmen zur Umsetzung von Artikel 13 Absatz 3, Artikel 15 Absatz 3 oder Artikel 16 Absatz 3 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates beschränkt werden könnte; (c) wenn die Ausübung dieser Rechte und Pflichten die Zusammenarbeit der Agentur mit Drittländern oder internationalen Organisationen bei der Wahrnehmung ihrer Aufgaben beeinträchtigen könnte. (d) Vor der Anwendung von Beschränkungen unter den in Unterabsatz 1 Buchstabe a und b genannten Umständen konsultiert die Agentur die zuständigen Dienststellen der Kommission, die Einrichtungen, Organe und sonstigen Stellen der Union oder die zuständigen Behörden der Mitgliedstaaten, es sei denn, der Agentur ist klar, dass die Anwendung einer Beschränkung durch einen der in diesen Buchstaben genannten Rechtsakte vorgesehen ist.

3 Jede Beschränkung muss eine notwendige und verhältnismäßige Maßnahme darstellen und die Risiken für die Rechte und Freiheiten betroffener Personen und den Wesensgehalt der Grundrechte und ‐freiheiten in einer demokratischen Gesellschaft achten.

4 Wird die Anwendung einer Beschränkung in Betracht gezogen, wird eine Prüfung der Notwendigkeit und Verhältnismäßigkeit auf der Grundlage der vorliegenden Vorschriften durchgeführt. Diese ist für die Zwecke der Rechenschaftspflicht auf Einzelfallbasis durch einen internen Bewertungsvermerk zu dokumentieren.

5 Beschränkungen werden aufgehoben, sobald die Umstände, die sie rechtfertigen, nicht mehr gelten; insbesondere wenn davon ausgegangen wird, dass die Ausübung des beschränkten Rechts die Wirkung der verhängten Beschränkung nicht mehr zunichtemachen oder die Rechte oder Freiheiten anderer betroffener Personen nicht mehr beeinträchtigen würde.

1 Die Agentur unterrichtet den Datenschutzbeauftragten der Agentur („DSB“) unverzüglich, wenn der für die Verarbeitung Verantwortliche gemäß diesem Beschluss die Anwendung der Rechte betroffener Personen beschränkt oder die Beschränkung ausweitet. Der für die Verarbeitung Verantwortliche gewährt dem DSB Zugang zu dem Verzeichnis, das die Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung enthält, und dokumentiert das Datum, an dem der DSB unterrichtet wird, im Verzeichnis.

2 Der DSB kann den Verantwortlichen schriftlich dazu auffordern, die Anwendung der Beschränkungen zu prüfen. Der Verantwortliche informiert den DSB schriftlich über das Ergebnis der angeforderten Prüfung.

3 Der Verantwortliche informiert den DSB über die Aufhebung der Beschränkung.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann das Recht auf Unterrichtung durch den für die Verarbeitung Verantwortlichen im Rahmen der folgenden Verarbeitungsvorgänge beschränkt werden: (a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; (b) erste Maßnahmen im Zusammenhang mit Fällen möglicher Unregelmäßigkeiten, die dem OLAF gemeldet werden; (c) Meldung von Missständen; (d) (formelle und informelle) Verfahren zur Bearbeitung von Fällen von Belästigung; (e) Bearbeitung von internen und externen Beschwerden; (f) interne Prüfungen; (g) vom Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 durchgeführte Untersuchungen; (h) intern oder extern (z. B. durch das CERT-EU) abgewickelte (IT‐) Sicherheitsüberprüfungen. Die Agentur nimmt in die auf ihrer Website veröffentlichten und/oder oder intern von der Agentur verbreiteten Datenschutzhinweise, Datenschutzerklärungen oder Verzeichnisse im Sinne von Artikel 31 der Verordnung (EU) 2018/1725, die die betroffenen Personen im Rahmen eines bestimmten Verfahrens über ihre Rechte informieren, Informationen über die mögliche Beschränkung dieser Rechte auf. Die Informationen umfassen die Frage, welche Rechte beschränkt werden können, die Gründe für solche Beschränkungen sowie ihre potenzielle Dauer.

2 Unbeschadet der Bestimmungen in Absatz 3 informiert die Agentur, sofern dies verhältnismäßig ist, alle betroffenen Personen, die als von den spezifischen Verarbeitungsvorgängen betroffene Personen gelten, unverzüglich auch einzeln schriftlich über gegenwärtige oder künftige Beschränkungen ihrer Rechte.

3 Beschränkt die Agentur das in Absatz 2 vorgesehene Recht auf Unterrichtung der betroffenen Personen ganz oder teilweise, erfasst sie die Gründe für die Beschränkung und den Rechtsgrund gemäß Artikel 3 dieses Beschlusses, einschließlich einer Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung. Die Aufzeichnung sowie gegebenenfalls die Dokumente, die die zugrundeliegenden Fakten und die rechtlichen Grundlagen enthalten, werden registriert. Sie werden dem Europäischen Datenschutzbeauftragten auf Anforderung zur Verfügung gestellt.

4 Die in Absatz 3 genannte Beschränkung gilt, solange die Gründe dafür weiterhin vorliegen. Wenn die Gründe für die Beschränkung nicht mehr vorliegen, unterrichtet die Agentur die betroffene Person über die Hauptgründe, auf denen die Anwendung einer Beschränkung beruht. Gleichzeitig teilt die Agentur der betroffenen Person mit, dass sie jederzeit Beschwerde beim Europäischen Datenschutzbeauftragten oder einen gerichtlichen Rechtsbehelf beim Gerichtshof der Europäischen Union einlegen kann. Die Agentur prüft die Anwendung von Beschränkungen alle sechs Monate nach ihrer Auferlegung sowie bei Abschluss der jeweiligen Prüfungen, Verfahren oder Untersuchungen. Danach überprüft der Verantwortliche alle sechs Monate die Notwendigkeit der Aufrechterhaltung von Beschränkungen.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann das Recht auf Auskunft durch den für die Verarbeitung Verantwortlichen im Rahmen der folgenden Verarbeitungsvorgänge beschränkt werden, sofern dies notwendig und verhältnismäßig ist: (a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; (b) erste Maßnahmen im Zusammenhang mit Fällen möglicher Unregelmäßigkeiten, die dem OLAF gemeldet werden; (c) Meldung von Missständen; (d) (formelle und informelle) Verfahren zur Bearbeitung von Fällen von Belästigung; (e) Bearbeitung von internen und externen Beschwerden; (f) interne Prüfungen; (g) vom Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 durchgeführte Untersuchungen; (h) intern oder extern (z. B. durch das CERT-EU) abgewickelte (IT‐) Sicherheitsüberprüfungen; (i) Bearbeitung von Anträgen auf Auskunft über die Gesundheitsakten von Bediensteten. Beantragt die betroffene Person gemäß Artikel 17 der Verordnung (EU) 2018/1725 Auskunft über ihre im Rahmen eines oder mehrerer spezifischer Fälle verarbeiteten personenbezogenen Daten oder über einen bestimmten Verarbeitungsvorgang, beschränkt die Agentur ihre Bewertung des Antrags ausschließlich auf derartige personenbezogene Daten.

2 Beschränkt die Agentur das in Artikel 17 der Verordnung (EU) 2018/1725 vorgesehene Recht auf Auskunft ganz oder teilweise, ergreift sie die folgenden Maßnahmen: a) In ihrer Stellungnahme zu dem Antrag informiert sie die betroffene Person über die auferlegte Beschränkung und über die Hauptgründe dafür sowie über die Möglichkeit des Einlegens einer Beschwerde beim Europäischen Datenschutzbeauftragten oder eines Rechtsbehelfs beim Gerichtshof der Europäischen Union. b) In einem internen Beurteilungsvermerk notiert sie die Gründe für die Beschränkung, einschließlich einer Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung und ihrer Dauer. Beschränkungen, die in Bezug auf die Auskunft über die eigene Gesundheitsakte auferlegt werden, betreffen nur Anträge auf Auskunft über persönliche medizinische Daten psychologischer oder psychiatrischer Art, soweit die Auskunft über diese Daten die Gesundheit der betroffenen Person wahrscheinlich gefährden würde. Eine solche Beschränkung darf nicht über das für den Schutz der betroffenen Person unbedingt erforderliche Maß hinausgehen. Die Auskunft über derartige Informationen ist einem von der betroffenen Person gewählten Arzt zu erteilen. Die Unterrichtung über Informationen im Sinne von Unterabsatz a kann zurückgestellt, unterlassen oder abgelehnt werden, wenn sie die Wirkung der Beschränkung gemäß Artikel 25 Absatz 8 der Verordnung (EU) 2018/1725 zunichtemachen würde. Die Agentur überprüft die Anwendung der Beschränkung alle sechs Monate ab ihrer Annahme und nach Abschluss der entsprechenden Untersuchung. Danach überprüft der Verantwortliche alle sechs Monate die Notwendigkeit der Aufrechterhaltung von Beschränkungen.

3 Die Aufzeichnung sowie gegebenenfalls die Dokumente, die die zugrundeliegenden Fakten und die rechtlichen Grundlagen enthalten, werden registriert. Sie werden dem Europäischen Datenschutzbeauftragten auf Anforderung zur Verfügung gestellt.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann das Recht auf Berichtigung, Löschung und Einschränkung der Verarbeitung durch den für die Verarbeitung Verantwortlichen im Rahmen der folgenden Verarbeitungsvorgänge beschränkt werden, sofern dies notwendig und angemessen ist: (a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; (b) erste Maßnahmen im Zusammenhang mit Fällen möglicher Unregelmäßigkeiten, die dem OLAF gemeldet werden; (c) Meldung von Missständen; (d) (formelle und informelle) Verfahren zur Bearbeitung von Fällen von Belästigung; (e) Bearbeitung von internen und externen Beschwerden; (f) interne Prüfungen; (g) vom Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 durchgeführte Untersuchungen; (h) intern oder extern (z. B. durch das CERT-EU) abgewickelte (IT‐) Sicherheitsüberprüfungen.

2 Beschränkt die Agentur das in den Artikeln 18, 19 Absatz 1 und 20 Absatz 1 der Verordnung (EU) 2018/1725 vorgesehene Recht auf Berichtigung, Löschung und Einschränkung der Verarbeitung ganz oder teilweise, ergreift sie die in Artikel 6 Absatz 2 dieses Beschlusses genannten Maßnahmen und registriert die Aufzeichnung gemäß Artikel 6 Absatz 3 dieses Beschlusses.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann das Recht auf Benachrichtigung über eine Verletzung des Schutzes personenbezogener Daten durch den für die Verarbeitung Verantwortlichen im Rahmen der folgenden Verarbeitungsvorgänge beschränkt werden, sofern dies notwendig und angemessen ist: (a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; (b) erste Maßnahmen im Zusammenhang mit Fällen möglicher Unregelmäßigkeiten, die dem OLAF gemeldet werden; (c) Meldung von Missständen; (d) Bearbeitung von internen und externen Beschwerden; (e) interne Prüfungen; (f) vom Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 durchgeführte Untersuchungen; (g) intern oder extern (z. B. durch das CERT-EU) abgewickelte (IT‐) Sicherheitsüberprüfungen.

2 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann das Recht auf Vertraulichkeit der elektronischen Kommunikation durch den für die Verarbeitung Verantwortlichen im Rahmen der folgenden Verarbeitungsvorgänge beschränkt werden, sofern dies notwendig und angemessen ist: (a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; (b) erste Maßnahmen im Zusammenhang mit Fällen möglicher Unregelmäßigkeiten, die dem OLAF gemeldet werden; (c) Meldung von Missständen; (d) formelle Verfahren zur Bearbeitung von Fällen von Belästigung; (e) Bearbeitung von internen und externen Beschwerden; (f) intern oder extern (z. B. durch das CERT-EU) abgewickelte (IT‐) Sicherheitsüberprüfungen.

3 Beschränkt die Agentur das in den Artikeln 35 und 36 der Verordnung (EU) 2018/1725 genannte Recht auf Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person oder auf Vertraulichkeit der elektronischen Kommunikation, erfasst und registriert sie die Gründe hierfür gemäß Artikel 5 Absatz 3 dieses Beschlusses. Es gilt Artikel 5 Absatz 4 dieses Beschlusses.

Dieser Beschluss tritt am Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.