Beschluss des Verwaltungsrats der Europäischen Wertpapier- Und Marktaufsichtsbehörde vom 1. Oktober 2019 zur Annahme interner Vorschriften zur Beschränkung bestimmter Rechte betroffener Personen in Bezug auf die Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten der ESMA

1 Mit diesem Beschluss werden interne Vorschriften in Bezug auf die Bedingungen festgelegt, unter denen die ESMA im Rahmen ihrer in den Absätzen 2 bis 5 aufgeführten Tätigkeiten nach Artikel 25 der Verordnung (EU) 2018/1725 die Anwendung der Rechte beschränken darf, die in den Artikeln 14 bis 21 und 35 sowie in Artikel 4 der genannten Verordnung verankert sind. Diese Beschränkungen lassen die in der Verordnung (EU) 2018/1725 geregelten Ausnahmen bezüglich der Rechte betroffener Personen unberührt.

2 Im Rahmen der administrativen Tätigkeit der ESMA finden die in Absatz 1 dieses Artikels vorgesehenen Beschränkungen Anwendung auf die Verarbeitung personenbezogener Daten durch die ESMA zum Zwecke: a) von Verwaltungsuntersuchungen und Disziplinarverfahren; b) der Bearbeitung von Unregelmäßigkeiten in Abstimmung mit dem Europäischen Amt für Betrugsbekämpfung (OLAF); c) der Bearbeitung der Meldung von Missständen, (formeller und informeller) Verfahren wegen Mobbing sowie interner und externer Beschwerden; d) interner Prüfungen sowie Untersuchungen in Bezug auf Datenschutz oder Ethik; e) von IKT-Untersuchungen, Untersuchungen bezüglich der Informationssicherheit sowie von intern oder unter Hinzuziehung externer Kräfte vorgenommenen Aktivitäten im Zusammenhang mit dem Managen von Sicherheitsrisiken und Vorfällen.

3 Im Rahmen der Wahrnehmung der Aufgaben der ESMA gelten die in Absatz 1 dieses Artikels vorgesehenen Beschränkungen für die Verarbeitung personenbezogener Daten durch die ESMA zum Zwecke: a) von Untersuchungen, die die direkten Beaufsichtigungs- oder Durchsetzungsfunktionen der ESMA betreffen; b) Untersuchungen gemäß Artikel 17 der ESMA-Verordnung über mögliche Verletzungen des Unionsrechts; sowie c) Untersuchungen gemäß Artikel 22 der ESMA-Verordnung in Bezug auf eine bestimmte Art von Finanztätigkeit, Produkt oder Verhaltensweise, um die davon ausgehende potenzielle Bedrohung der Integrität der Finanzmärkte oder der Stabilität des Finanzsystems beurteilen zu können.

4 Darüber hinaus finden diese Beschränkungen Anwendung auf die Unterstützung, Koordinierung und/oder Zusammenarbeit, die ESMA nationalen Wertpapier- und Marktaufsichtsbehörden wie auch den Behörden von Drittstaaten und internationalen Organisationen im Zusammenhang mit Untersuchungen leistet, die diese im Rahmen ihres gesetzlichen Auftrags durchführen.

5 Die in Absatz 1 dieses Artikels genannten Beschränkungen finden auch Anwendung auf Verarbeitungsvorgänge, die vor der Einleitung der vorstehend in den Absätzen 2 bis 4 genannten Untersuchungen oder sonstigen Verwaltungsuntersuchungen, während dieser Untersuchungen und bei der Überwachung der aufgrund der Untersuchungsergebnisse getroffenen Folgemaßnahmen vorgenommen werden.

6 Dieser Beschluss gilt für jede Kategorie personenbezogener Daten, die im Zusammenhang mit den vorstehend in den Absätzen 2 bis 5 genannten Tätigkeiten verarbeitet werden.

7 Vorbehaltlich der in diesem Beschluss genannten Bedingungen können die Beschränkungen für die folgenden Rechte Anwendung finden: Recht auf Unterrichtung der betroffenen Personen, Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Personen.

1 Verletzungen des Schutzes personenbezogener Daten, Datenverluste oder die unbefugte Weitergabe im Rahmen der in Artikel 1 genannten Untersuchungen werden durch die folgenden Schutzmaßnahmen verhindert: a) Dokumente in Papierform werden in gesicherten Schränken aufbewahrt und ausschließlich befugtem Personal zugänglich gemacht. b) Alle elektronischen Daten werden in den genehmigten Geräten, Informationssystemen, Anwendungen und Speichermedien der ESMA verwaltet. Für Organisation, Suche, Austausch, Pflege und Schutz der elektronischen Daten der ESMA werden die Anwendungen des Dokumentenverwaltungssystems der ESMA verwendet. Der Zugang zu elektronischen Daten wird nur befugten Mitarbeitern der ESMA gewährt, die auf deren Kenntnis angewiesen sind. c) Alle Personen, die Zugang zu den Daten haben, sind zur Geheimhaltung verpflichtet.

2 Der für die Verarbeitungsvorgänge Verantwortliche ist die ESMA, die von ihrem Exekutivdirektor vertreten wird, der die Funktion des Verantwortlichen delegieren kann. Die betroffenen Personen werden durch die auf der Website der ESMA veröffentlichten Datenschutzaufzeichnungen darüber unterrichtet, an welche Person die Verantwortung für die Verarbeitung delegiert wurde.

3 Die Aufbewahrungsfrist für die verarbeiteten personenbezogenen Daten darf nicht länger sein als erforderlich und muss den Zwecken, zu denen die Daten verarbeitet werden, angemessen sein. Die Aufbewahrungsfrist ist in den in Artikel 5 Absatz 1 genannten Datenschutzaufzeichnungen und Datenschutzerklärungen anzugeben.

4 Wenn die ESMA die Vornahme einer Beschränkung in Betracht zieht, werden die Risiken für die Rechte und Freiheiten der betroffenen Personen abgewogen, insbesondere gegenüber dem Risiko für die Rechte und Freiheiten anderer betroffener Personen sowie dem Risiko, dass die Wirksamkeit der von der ESMA durchgeführten Untersuchungen oder Verfahren, z. B. durch Vernichtung von Beweismaterial, zunichtegemacht wird. Die Risiken für die Rechte und Freiheiten der betroffenen Personen erstrecken sich u. a. in erster Linie auf Risiken im Zusammenhang mit der Reputation, dem Verteidigungsrecht und dem Anspruch auf rechtliches Gehör.

1 Beschränkungen werden von der Agentur nur zu folgenden Zwecken vorgenommen: a) zur Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten oder zur Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit; b) zum Schutz sonstiger wichtiger Ziele des allgemeinen öffentlichen Interesses der Union oder eines Mitgliedstaats, insbesondere der Ziele der Gemeinsamen Außen- und Sicherheitspolitik der Union oder eines wichtigen wirtschaftlichen oder finanziellen Interesses der Union oder eines Mitgliedstaats, etwa im Währungs-, Haushalts- und Steuerbereich sowie im Bereich der öffentlichen Gesundheit und der sozialen Sicherheit; c) zum Schutz der inneren Sicherheit der Organe und Einrichtungen der Union, einschließlich ihrer elektronischen Kommunikationsnetze; d) zur Verhütung, Aufdeckung, Ermittlung und Verfolgung von Verstößen gegen die berufsständischen Regeln reglementierter Berufe; e) zum Schutz einer Kontroll-, Überwachungs- und Ordnungsfunktion, die — und sei es auch nur gelegentlich — mit der Ausübung öffentlicher Gewalt in den unter Buchstaben a und b genannten Fällen verbunden ist; f) zum Schutz der betroffenen Person oder der Rechte und Freiheiten anderer Personen.

2 Im Rahmen einer spezifischen Anwendung zu den in Absatz 1 genannten Zwecken kann die Agentur unter den folgenden Umständen Beschränkungen für personenbezogene Daten vornehmen, die mit den Dienststellen der Kommission oder anderen Organen, Einrichtungen und sonstigen Stellen der Union, den zuständigen Behörden der Mitgliedstaaten oder Drittländern oder internationalen Organisationen ausgetauscht werden: a) wenn die Ausübung dieser Rechte und Pflichten von Dienststellen der Kommission oder anderen Organen, Einrichtungen und sonstigen Stellen der Union auf der Grundlage anderer in Artikel 25 der Verordnung (EU) 2018/1725 vorgesehener Rechtsakte oder gemäß Kapitel IX der genannten Verordnung oder gemäß den Gründungsakten anderer Organe, Einrichtungen und sonstiger Stellen der Union beschränkt werden könnte; b) wenn die Ausübung dieser Rechte und Pflichten von den zuständigen Behörden der Mitgliedstaaten auf der Grundlage von in Artikel 23 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates genannten Rechtsakten oder im Rahmen nationaler Maßnahmen zur Umsetzung von Artikel 13 Absatz 3, Artikel 15 Absatz 3 oder Artikel 16 Absatz 3 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates beschränkt werden könnte; c) wenn die Ausübung dieser Rechte und Pflichten die Zusammenarbeit der ESMA mit Drittländern oder internationalen Organisationen hinsichtlich der Wahrnehmung der Aufgaben der ESMA oder der Wahrnehmung der Aufgaben der Organisationen von Drittländern oder internationalen Organisationen beeinträchtigen könnte. Vor der Anwendung von Beschränkungen unter den in Unterabsatz 1 Buchstabe a und b genannten Umständen konsultiert die ESMA die zuständigen Dienststellen der Kommission, die Einrichtungen, Organe und sonstigen Stellen der Union oder die zuständigen Behörden der Mitgliedstaaten, es sei denn, für die ESMA ist offensichtlich, dass die Vornahme einer Beschränkung in einem der in diesen Buchstaben genannten Rechtsakte vorgesehen ist.

3 Jede Beschränkung muss eine notwendige und verhältnismäßige Maßnahme darstellen und die Risiken für die Rechte und Freiheiten betroffener Personen und den Wesensgehalt der Grundrechte und -freiheiten in einer demokratischen Gesellschaft achten.

4 Wenn die Anwendung einer Beschränkung in Betracht gezogen wird, wird eine Prüfung auf Notwendigkeit und Verhältnismäßigkeit auf der Grundlage der vorliegenden Vorschriften durchgeführt. Für Zwecke der Rechenschaftspflicht ist dies in jedem Fall durch einen internen Bewertungsvermerk zu dokumentieren.

5 Beschränkungen werden aufgehoben, sobald die Umstände, die sie rechtfertigen, nicht mehr gelten. Insbesondere wenn davon ausgegangen wird, dass die Ausübung des beschränkten Rechts die Wirksamkeit der verhängten Beschränkung oder die Rechte oder Freiheiten anderer betroffener Personen nicht mehr beeinträchtigt.

1 Der für die Verarbeitung Verantwortliche unterrichtet den Datenschutzbeauftragten („DSB“) unverzüglich, wenn der für die Verarbeitung Verantwortliche gemäß diesem Beschluss die Rechte betroffener Personen beschränkt oder eine Beschränkung ausweitet. Der für die Verarbeitung Verantwortliche gewährt dem DSB Zugang zum internen Vermerk, der die Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung sowie gegebenenfalls die tatsächlichen und rechtlichen Grundlagen enthält, und dokumentiert das Datum, an dem der DSB unterrichtet wird.

2 Der DSB kann den für die Verarbeitung Verantwortlichen schriftlich zur Überprüfung der vorgenommenen Beschränkungen auffordern. Der DSB wird von dem für die Verarbeitung Verantwortlichen schriftlich über das Ergebnis der Überprüfung unterrichtet.

3 Der DSB wird von dem für die Verarbeitung Verantwortlichen unterrichtet, wenn die Beschränkung aufgehoben wurde.

4 Der für die Verarbeitung Verantwortliche dokumentiert die Einbeziehung des DSB in den verschiedenen Verfahrensphasen, beginnend mit dem Datum der Unterrichtung des DSB.

5 Der interne Vermerk sowie gegebenenfalls die tatsächlichen und rechtlichen Grundlagen sind dem Europäischen Datenschutzbeauftragten auf Verlangen zur Verfügung zu stellen.

1 Die ESMA veröffentlicht auf ihrer Website Datenschutzaufzeichnungen zur Information aller betroffenen Personen über die Tätigkeiten der ESMA im Zusammenhang mit der Verarbeitung personenbezogener Daten; diese beinhalten auch Informationen über die mögliche Beschränkung der Rechte betroffener Personen.

2 Die ESMA informiert jede einzelne betroffene Person, die nach Ansicht der ESMA von der Untersuchung oder Ermittlung betroffen ist, unverzüglich schriftlich über die Datenschutzaufzeichnungen für den betreffenden Verarbeitungsvorgang.

3 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann die ESMA das in Absatz 2 niedergelegte Recht auf Unterrichtung der betroffenen Personen ganz oder zum Teil beschränken. In diesem Fall erfasst sie in einem internen Vermerk die Gründe für die Beschränkung und den Rechtsgrund gemäß Artikel 3 dieses Beschlusses, einschließlich einer Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung.

4 Die in Absatz 3 genannte Beschränkung gilt, solange die Gründe dafür weiterhin vorliegen. Wenn die Gründe für die Beschränkung nicht mehr vorliegen, unterrichtet die ESMA die betroffene Person über die einschlägigen Datenschutzaufzeichnungen und die Hauptgründe für die Beschränkung. Die Unterrichtung kann damit verbunden werden, der betroffenen Person Gelegenheit zu geben, im Rahmen der Ausübung ihrer Verteidigungsrechte zu den im Zuge der laufenden Untersuchung oder Ermittlungen getroffenen Feststellungen Stellung zu nehmen. Gleichzeitig teilt die ESMA der betroffenen Person mit, dass sie jederzeit Beschwerde beim Europäischen Datenschutzbeauftragten oder einen gerichtlichen Rechtsbehelf beim Gerichtshof der Europäischen Union einlegen kann. Die ESMA muss eine Beschränkung alle sechs Monate, nachdem sie vorgenommen wurde, sowie nach Abschluss der entsprechenden Ermittlungen oder Untersuchung überprüfen.

1 Hinsichtlich eines von einer betroffenen Person gestellten Antrags kann die ESMA das Recht der betroffenen Person, eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten im Zusammenhang mit einer Untersuchung oder Ermittlung im Sinne von Artikel 1 dieses Beschlusses von der ESMA verarbeitet werden, sowie gegebenenfalls das Recht auf Auskunft über die personenbezogenen Daten und sonstige in Artikel 17 der Verordnung (EU) 2018/1725 genannte Informationen ganz oder zum Teil beschränken.

2 Wenn die ESMA das Recht auf Auskunft beschränkt, unterrichtet sie die jeweils betroffene Person in ihrer Antwort auf den Antrag über die vorgenommene Beschränkung und die Hauptgründe dafür sowie über die Möglichkeit, Beschwerde beim Europäischen Datenschutzbeauftragten oder einen gerichtlichen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen.

3 Die Unterrichtung nach Absatz 2 kann zurückgestellt, unterlassen oder abgelehnt werden, wenn sie die Wirkung der gemäß Artikel 25 Absatz 8 der Verordnung (EU) 2018/1725 angewendete Beschränkung zunichtemachen würde. Ist dies der Fall, dokumentiert die ESMA die Gründe für die Beschränkung in Form eines internen Bewertungsvermerks, einschließlich einer Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung und ihrer Dauer.

4 Die ESMA muss eine Beschränkung alle sechs Monate, nachdem sie vorgenommen wurde, sowie nach Abschluss der entsprechenden Ermittlungen oder Untersuchung überprüfen.

1 Geht im Zusammenhang mit einer Untersuchung oder Ermittlung gemäß Artikel 1 dieses Beschlusses ein Antrag einer betroffenen Person ein, so kann die ESMA das in den Artikeln 18, 19 und 20 der Verordnung (EU) 2018/1725 vorgesehene Recht dieser betroffenen Person auf Berichtigung der sie betreffenden personenbezogenen Daten bzw. auf Löschung oder Einschränkung der Verarbeitung ihrer personenbezogenen Daten ganz oder zum Teil beschränken.

2 Wenn die Agentur das vorgenannte Recht auf Berichtigung, Löschung oder Einschränkung der Verarbeitung beschränkt, ergreift sie die in Artikel 6 Absätze 2 und 3 dieses Beschlusses genannten Maßnahmen.

3 Die ESMA muss eine Beschränkung alle sechs Monate, nachdem sie vorgenommen wurde, sowie nach Abschluss der entsprechenden Ermittlungen oder Untersuchung überprüfen.

1 Hat die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so benachrichtigt die ESMA die von der Verletzung betroffene Person unverzüglich gemäß Artikel 35 der Verordnung (EU) 2018/1725.

2 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann die ESMA das in Absatz 1 dieses Artikels niedergelegte Recht auf Unterrichtung der betroffenen Personen ganz oder zum Teil beschränken. In diesem Fall erfasst sie in einem internen Vermerk die Gründe für die Beschränkung und den Rechtsgrund gemäß Artikel 3 dieses Beschlusses, einschließlich einer Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung.

3 Die in Absatz 2 genannte Beschränkung gilt, solange die Gründe dafür weiterhin vorliegen. Wenn die Gründe für die Beschränkung nicht mehr vorliegen, unterrichtet die ESMA die betroffene Person über die Verletzung des Schutzes personenbezogener Daten und teilt der betroffenen Person die Hauptgründe für die Beschränkung mit. Gleichzeitig teilt die ESMA der betroffenen Person mit, dass sie jederzeit Beschwerde beim Europäischen Datenschutzbeauftragten oder einen gerichtlichen Rechtsbehelf beim Gerichtshof der Europäischen Union einlegen kann. Die ESMA muss eine Beschränkung alle sechs Monate, nachdem sie vorgenommen wurde, sowie nach Abschluss der entsprechenden Ermittlungen oder Untersuchung überprüfen.

Dieser Beschluss tritt am Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.