Beschluss Des Einheitlichen Abwicklungsausschusses vom 18. September 2019 über interne Vorschriften zur Beschränkung bestimmter Rechte betroffener Personen in Bezug auf die Verarbeitung personenbezogener Daten im Rahmen vom Einheitlichen Abwicklungsausschuss durchgeführter Verwaltungsuntersuchungen, Disziplinarverfahren, Untersuchungen und sonstiger Verfahren (SRB/ES/2019/32)

1 Dieser Beschluss enthält interne Vorschriften zu den Bedingungen, unter denen der SRB im Rahmen vom Ethik- und Compliance-Beauftragten des SRB durchgeführter interner Untersuchungen, Verwaltungsuntersuchungen und Disziplinarverfahren oder vom Datenschutzbeauftragten des SRB durchgeführter Untersuchungen nach Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 die Anwendung der in den Artikeln 14 bis 21, 35 sowie Artikel 4 derselben verankerten Rechte gemäß Artikel 25 der Verordnung (EU) 2018/1725 beschränken kann.

2 Dieser Beschluss gilt für Verarbeitungen personenbezogener Daten, die vom SRB zum Zwecke interner Untersuchungen, Verwaltungsuntersuchungen und Disziplinarverfahren durchgeführt werden. Auf Verarbeitungen personenbezogener Daten, die vom SRB durchgeführt werden, um informelle Verfahren im Rahmen der Grundsätze des SRB zum Schutz der Menschenwürde und zur Vorbeugung gegen Mobbing und sexuelle Belästigung (siehe: SRB/ES/2019/33) einzuleiten, durchzuführen und abzuschließen, findet ein anderer Beschluss über die Beschränkung von Rechten Anwendung.

3 Bei den betreffenden Datenkategorien kann es sich um harte Daten (Verwaltungsdaten, Telefonnummern, Privatanschriften, elektronische Kommunikation und Verkehrsdaten (Nutzung von IKT-Anwendungen, Internetdaten)) und/oder weiche Daten (Beurteilungsberichte, Eröffnung von Untersuchungen, Berichte über Voruntersuchungen) usw. handeln.

4 Vorbehaltlich der in diesem Beschluss genannten Bedingungen können die Beschränkungen auf die folgenden Rechte Anwendung finden: Rechte auf Auskunft, Berichtigung, Löschung und Übertragbarkeit, Rechte auf Unterrichtung, Vertraulichkeit der Kommunikation sowie auf die Grundsätze des Datenverarbeitungsvorgangs, soweit sich diese auf ein Recht beziehen.

1 Verletzungen des Schutzes personenbezogener Daten, Datenverluste oder die unbefugte Weitergabe werden durch die folgenden Schutzmaßnahmen verhindert: Beschränkung der Zugangsrechte zu elektronischen Ordnern und zur funktionalen Mailbox für die Einreichung von Beschwerden; durch Schlüssel abschließbare Schränke sowie eine besondere Schulung der mit vertraulichen Informationen befassten Personen.

2 Der für die Verarbeitung Verantwortliche ist der SRB, hier vertreten durch den Ethik- und Compliance-Beauftragten des SRB und den Compliance-Beauftragten bzw. den Datenschutzbeauftragten des SRB.

3 Die erhobenen personenbezogenen Daten werden im Einklang mit den SRB-Vorschriften über die Dokumentenaufbewahrung gespeichert und aufbewahrt. Die Aufbewahrungsfrist trägt dem Grundsatz Rechnung, dass die Aufbewahrung nicht länger andauern darf, als sie zur Erfüllung des Verarbeitungszwecks sowie gegebenenfalls zur Durchführung gerichtlicher oder verwaltungsrechtlicher Streitigkeiten erforderlich ist.

1 Gemäß Artikel 25 Absatz 1 der Verordnung (EU) 2018/1725 kommen Beschränkungen nur in Betracht, um Folgendes sicherzustellen: die Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten oder die Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit; die innere Sicherheit der Organe und Einrichtungen der Union einschließlich ihrer elektronischen Kommunikationsnetze; den Schutz von Gerichtsverfahren; die Verhütung, Ermittlung, Aufdeckung und Verfolgung von Verstößen gegen die berufsständischen Regeln reglementierter Berufe; den Schutz der betroffenen Person oder der Rechte und Freiheiten anderer Personen.

2 Jede Beschränkung muss eine in einer demokratischen Gesellschaft notwendige und verhältnismäßige Maßnahme darstellen, die den Wesensgehalt der Grundrechte und Grundfreiheiten achtet.

3 Die Prüfung der Notwendigkeit und Verhältnismäßigkeit erfolgt auf Grundlage der vorliegenden internen Vorschriften. Zu Rechenschaftszwecken ist dies in jedem Fall durch einen internen Bewertungsvermerk des für die betreffende Verarbeitung Verantwortlichen zu dokumentieren.

4 Beschränkungen unterliegen angemessener Überwachung und werden alle sechs Monate einer regelmäßigen Prüfung unterzogen.

5 Beschränkungen werden aufgehoben, sobald die Umstände, die sie rechtfertigen, nicht mehr vorliegen.

6 Das Risiko für die Rechte und Freiheiten der betroffenen Person ist, dass die wirksame Ausübung der der betroffenen Person zustehenden Rechte auf unter anderem Unterrichtung, Löschung oder Verteidigung, so wie diese durch die Verordnung (EU) 2018/1725 garantiert sind, vorübergehend eingeschränkt ist. Diese Risiken sind im Rahmen der in Absatz 3 dieses Artikels genannten Prüfung der Notwendigkeit und Verhältnismäßigkeit zu berücksichtigen.

1 Während eines Beschränkungsverfahrens muss der SRB den Datenschutzbeauftragten des SRB („DSB“) unverzüglich unterrichten, wann immer er die Anwendung von Rechten betroffener Personen gemäß diesem Beschluss beschränkt. Er gewährt Zugang zu den Aufzeichnungen und zur Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung.

2 Der DSB kann den für die Verarbeitung Verantwortlichen schriftlich zur Überprüfung der vorgenommenen Beschränkungen auffordern. Der DSB wird vom SRB schriftlich über das Ergebnis der angeforderten Überprüfung und den Zeitpunkt der Aufhebung der Beschränkung unterrichtet.

1 Der SRB nimmt in die auf seiner Website veröffentlichten Datenschutzhinweise, die die betroffenen Personen über ihre Rechte im Rahmen eines bestimmten Verfahrens informieren, Informationen über die mögliche Beschränkung dieser Rechte auf. Die Informationen umfassen, welche Rechte beschränkt werden können, die Gründe für solche Beschränkungen sowie deren mögliche Dauer.

2 Darüber hinaus informiert der SRB jede einzelne betroffene Person unverzüglich schriftlich über ihre Rechte in Bezug auf gegenwärtige oder künftige Beschränkungen; der folgende Absatz bleibt unberührt.

3 Die betroffenen Personen werden über die Hauptgründe, auf denen die Anwendung einer Beschränkung beruht, und ihr Recht, Beschwerde beim Europäischen Datenschutzbeauftragten einzulegen, unterrichtet.

1 Wenn betroffene Personen gemäß Artikel 17 der Verordnung (EU) 2018/1725 Auskunft über ihre personenbezogenen Daten, die im Zusammenhang mit einem oder mehreren spezifischen Fällen verarbeitet wurden, oder über einen spezifischen Datenverarbeitungsvorgang beantragen, beschränkt der SRB seine Prüfung des Antrags auf die betreffenden personenbezogenen Daten.

2 Wenn der SRB das in Artikel 17 der Verordnung (EU) 2018/1725 vorgesehene Recht auf Auskunft ganz oder teilweise beschränkt, ergreift er die folgenden Maßnahmen: a) Er unterrichtet die jeweils betroffene Person in seiner Antwort auf den Antrag über die vorgenommene Beschränkung und die Hauptgründe dafür sowie über die Möglichkeit, Beschwerde beim Europäischen Datenschutzbeauftragten oder einen gerichtlichen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen; b) er erstellt eine Aufzeichnung über die Gründe für die Beschränkung einschließlich einer Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung, wobei in der Aufzeichnung festgehalten wird, inwieweit die Auskunftserteilung die Untersuchungstätigkeiten des SRB oder die Vornahme von Beschränkungen gemäß Artikel 2 Absatz 3 gefährden oder die Rechte und Freiheiten anderer von der Datenverarbeitung betroffener Personen beeinträchtigen würde. Die in Unterabsatz a erwähnte Unterrichtung kann gemäß Artikel 25 Absatz 8 der Verordnung (EU) 2018/1725 zurückgestellt, unterlassen oder abgelehnt werden.

3 Die in Unterabsatz b von Absatz 2 erwähnte Aufzeichnung sowie gegebenenfalls die Dokumente, die zugrunde liegende sachliche und rechtliche Elemente enthalten, werden registriert. Sie werden dem Europäischen Datenschutzbeauftragten auf Verlangen zur Verfügung gestellt. Artikel 25 Absatz 7 der Verordnung (EU) 2018/1725 findet Anwendung.

Wenn der SRB das in den Artikeln 18, 19 Absatz 1 und 20 Absatz 1 der Verordnung (EU) 2018/1725 vorgesehene Recht auf Berichtigung, Löschung oder Einschränkung der Verarbeitung ganz oder teilweise beschränkt, ergreift er die in Artikel 6 Absatz 2 dieses Beschlusses genannten Maßnahmen und registriert die Aufzeichnung gemäß Artikel 6 Absatz 3 dieses Beschlusses.

Wenn der SRB das in Artikel 35 der Verordnung (EU) 2018/1725 genannte Recht auf Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person beschränkt, erfasst und registriert sie die Gründe dafür gemäß Artikel 3 Absatz 3 dieses Beschlusses. Es gilt Artikel 3 Absatz 4 dieses Beschlusses.

Dieser Beschluss tritt am Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.