Beschluss des Verwaltungsrats der Agentur der Europäischen Union für Cybersicherheit vom 21. November 2019 über interne Vorschriften zur Einschränkung bestimmter Rechte betroffener Personen in Bezug auf die Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten der ENISA

1 Mit diesem Beschluss werden Vorschriften in Bezug auf die Bedingungen festgelegt, unter denen die ENISA im Rahmen ihrer unter Absatz 2 aufgeführten Verfahren gemäß Artikel 25 der Verordnung (EU) 2018/1725 befugt ist, die Anwendung der in den Artikeln 14 bis 21, 35 und 36 sowie in Artikel 4 der Verordnung verankerten Rechte zu beschränken.

2 Im Rahmen der Verwaltungstätigkeit der ENISA findet dieser Beschluss Anwendung, soweit die ENISA personenbezogene Daten verarbeitet, um Verwaltungsuntersuchungen, Disziplinarverfahren oder erste Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten durchzuführen, die Meldung von Missständen („Whistleblowing“) zu bearbeiten, (formelle wie auch informelle) Verfahren in Bezug auf Mobbing und sexuelle Belästigung durchzuführen, interne und externe Beschwerden zu bearbeiten, interne Prüfungen durchzuführen, Bewertungen von Cybersicherheitsvorfällen gemäß Artikel 7 Absatz 4 der Verordnung (EU) 2019/881 vorzunehmen, Untersuchungen durch den Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 durchzuführen sowie (IT-)Sicherheitsuntersuchungen intern oder unter externer Mitwirkung (z. B. CERT-EU) durchzuführen.

3 Die entsprechenden Kategorien personenbezogener Daten umfassen harte Daten („objektive“ Daten wie Identifikationsdaten, Kontaktdaten, berufsbezogene Daten, Verwaltungsdaten, Daten aus bestimmten Quellen, elektronische Kommunikations- und Verkehrsdaten) und/oder weiche Daten („subjektive“ fallbezogene Daten wie Begründungen, verhaltensbezogene Daten, Beurteilungen, Leistungs- und Verhaltensdaten und Daten, die sich auf den Gegenstand des Verfahrens oder der Tätigkeit beziehen oder im Zusammenhang damit vorgebracht werden).

4 Bei der Wahrnehmung ihrer Aufgaben in Bezug auf die Rechte betroffener Personen gemäß der Verordnung (EU) 2018/1725 prüft die ENISA, ob eine der in dieser Verordnung vorgesehenen Ausnahmen gegeben ist.

5 Unter den in diesem Beschluss genannten Voraussetzungen können die folgenden Rechte beschränkt werden: die Rechte auf Unterrichtung der betroffenen Personen, Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Personen oder Vertraulichkeit der Kommunikation.

1 Verletzungen des Schutzes personenbezogener Daten, Datenverluste oder die unbefugte Weitergabe werden durch die folgenden Schutzmaßnahmen verhindert: a) Dokumente in Papierform werden in gesicherten Schränken aufbewahrt und ausschließlich befugtem Personal zugänglich gemacht. b) Alle elektronischen Daten werden in einer sicheren IT-Anwendung gemäß den Sicherheitsstandards der ENISA sowie in speziellen elektronischen Ordnern gespeichert, die ausschließlich befugtem Personal zugänglich sind. Angemessene Zugangsrechte werden auf individueller Basis erteilt. c) Der Schutz der Datenbank erfolgt durch ein System mit einmaliger Anmeldung mittels Kennwort und automatischer Verbindung mit Benutzerkennung und Kennwort. Es ist streng untersagt, Benutzer auszutauschen. Elektronische Aufzeichnungen werden sicher aufbewahrt, um die Vertraulichkeit und den Schutz der darin enthaltenen Daten zu garantieren. d) Alle Personen, die Zugang zu den Daten haben, sind zur Geheimhaltung verpflichtet.

2 Die für die Verarbeitungsvorgänge Verantwortliche ist die ENISA, vertreten durch ihren Exekutivdirektor, der die Funktion des Verantwortlichen delegieren kann. Der stellvertretende Verantwortliche wird den betroffenen Personen in den Datenschutzhinweisen oder -aufzeichnungen mitgeteilt, die auf der Website und/oder dem Intranet der ENISA veröffentlicht werden.

3 Die Aufbewahrungsfrist für die in Artikel 1 Absatz 3 genannten personenbezogenen Daten ist nicht länger als für die Datenverarbeitungszwecke erforderlich und angemessen. Sie darf keinesfalls länger sein als die Aufbewahrungsfrist, die in den Datenschutzhinweisen, Datenschutzerklärungen oder Aufzeichnungen angegeben ist, auf die in Artikel 5 Absatz 1 Bezug genommen wird.

4 Zieht die ENISA die Anwendung einer Beschränkung in Betracht, sind die Risiken für die Rechte und Freiheiten der betroffenen Person abzuwägen, insbesondere gegenüber dem Risiko für die Rechte und Freiheiten anderer betroffener Personen sowie dem Risiko, dass die Wirksamkeit der von der ENISA durchgeführten Untersuchungen oder Verfahren zunichte gemacht wird, z. B. durch Vernichtung von Beweismaterial. Die Risiken in Bezug auf die Rechte und Freiheiten der betroffenen Person erstrecken sich insbesondere auf Risiken im Zusammenhang mit der Reputation, dem Verteidigungsrecht und dem Anspruch auf rechtliches Gehör.

1 Beschränkungen werden von der ENISA nur zu folgenden Zwecken angewandt: a) zur Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten oder zur Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit; b) zum Schutz sonstiger wichtiger Ziele des allgemeinen öffentlichen Interesses der Union oder eines Mitgliedstaats, insbesondere der Ziele der gemeinsamen Außen- und Sicherheitspolitik der Union oder eines wichtigen wirtschaftlichen oder finanziellen Interesses der Union oder eines Mitgliedstaats, etwa im Währungs-, Haushalts- und Steuerbereich sowie im Bereich der öffentlichen Gesundheit und der sozialen Sicherheit; c) zur inneren Sicherheit der Organe und Einrichtungen der Union, einschließlich ihrer elektronischen Kommunikationsnetze; d) zur Verhütung, Ermittlung, Aufdeckung und Verfolgung von Verstößen gegen die berufsständischen Regeln reglementierter Berufe; e) zum Schutz der Kontroll-, Überwachungs- und Ordnungsfunktionen, die dauernd oder zeitweise mit der Ausübung öffentlicher Gewalt für die unter den Buchstaben a und b genannten Zwecke verbunden sind; f) zum Schutz der betroffenen Person oder der Rechte und Freiheiten anderer Personen.

2 Die von der ENISA gemäß Artikel 7 Absatz 4 der Verordnung (EU) 2019/881 (Rechtsakt zur Cybersicherheit) vorgenommene Bewertung von Cybersicherheitsvorfällen fällt unter Absatz 1 Buchstabe b dieses Artikels.

3 Im Rahmen einer spezifischen Anwendung zu den in Absatz 1 genannten Zwecken kann die ENISA für personenbezogene Daten, die mit Dienststellen der Kommission oder anderen Organen, Einrichtungen und sonstigen Stellen der Union, zuständigen Behörden der Mitgliedstaaten oder Drittländern oder internationalen Organisationen ausgetauscht werden, unter folgenden Umständen Beschränkungen anwenden: a) wenn die Ausübung dieser Rechte und Pflichten von Dienststellen der Kommission oder anderen Organen, Einrichtungen und sonstigen Stellen der Union aufgrund anderer in Artikel 25 der Verordnung (EU) 2018/1725 vorgesehener Rechtsakte oder gemäß Kapitel IX der genannten Verordnung oder gemäß den Gründungsakten anderer Organe, Einrichtungen und sonstiger Stellen der Union beschränkt werden könnte; b) wenn die Ausübung dieser Rechte und Pflichten von zuständigen Behörden der Mitgliedstaaten aufgrund der in Artikel 23 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates genannten Rechtsakte oder im Rahmen nationaler Maßnahmen zur Umsetzung von Artikel 13 Absatz 3, Artikel 15 Absatz 3 oder Artikel 16 Absatz 3 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates beschränkt werden könnte; c) wenn die Ausübung dieser Rechte und Pflichten die Zusammenarbeit der ENISA mit Drittländern oder internationalen Organisationen bei der Wahrnehmung ihrer Aufgaben beeinträchtigen könnte. Vor der Anwendung von Beschränkungen unter den in Unterabsatz 1 Buchstaben a und b genannten Umständen konsultiert die Agentur die zuständigen Dienststellen der Kommission, die Einrichtungen, Organe und sonstigen Stellen der Union bzw. die zuständigen Behörden der Mitgliedstaaten, es sei denn, für die Agentur ist klar, dass die Anwendung einer Beschränkung durch einen der in diesen Buchstaben genannten Rechtsakte vorgesehen ist.

4 Etwaige Beschränkungen müssen notwendig und verhältnismäßig sein, die Risiken für die Rechte und Freiheiten der betroffenen Personen berücksichtigen und den Wesensgehalt der Grundrechte und Grundfreiheiten in einer demokratischen Gesellschaft wahren.

5 Wird eine Beschränkung in Betracht gezogen, ist deren Notwendigkeit und Verhältnismäßigkeit auf Grundlage der vorliegenden Vorschriften zu prüfen. Zu Rechenschaftszwecken wird dies von Fall zu Fall mittels einer internen Beurteilungsmitteilung dokumentiert.

6 Beschränkungen werden aufgehoben, sobald die Umstände, die sie rechtfertigen, nicht mehr gegeben sind; Dies gilt insbesondere, wenn davon ausgegangen wird, dass die Ausübung des beschränkten Rechts die Wirkung der verhängten Beschränkung nicht mehr zunichtemachen oder die Rechte oder Freiheiten anderer betroffener Personen nicht mehr beeinträchtigen würde.

1 Gemäß diesem Beschluss unterrichtet die ENISA ihren Datenschutzbeauftragten (DSB) unverzüglich, wenn der Verantwortliche gemäß diesem Beschluss Rechte betroffener Personen beschränkt oder eine solche Beschränkung ausweitet. Der Verantwortliche gewährt dem DSB Zugang zu den Aufzeichnungen, die die Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung enthalten, und dokumentiert das Datum, an dem der DSB unterrichtet wird, in den Aufzeichnungen. Der DSB wird von der ENISA in alle relevanten Verfahren einbezogen, und die Einbeziehung des DSB wird dokumentiert.

2 Der DSB kann den Verantwortlichen schriftlich auffordern, die Verhängung der Beschränkungen zu überprüfen. Der Verantwortliche informiert den DSB schriftlich über das Ergebnis der erbetenen Überprüfung.

3 Der Verantwortliche informiert den DSB über die Aufhebung der Beschränkung.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der Verantwortliche das Recht auf Auskunft im Rahmen der folgenden Verarbeitungsvorgänge beschränken: a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; b) erste Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten; c) Verfahren in Bezug auf gemeldete Missstände („Whistleblowing“); d) (formelle und informelle) Verfahren in Bezug auf Mobbing und sexuelle Belästigung; e) Bearbeitung interner und externer Beschwerden; f) interne Prüfungen; g) vom Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 durchgeführte Untersuchungen; h) intern oder unter externer Mitwirkung (z. B. durch die CERT-EU) durchgeführte (IT-)Sicherheitsüberprüfungen; i) von der ENISA gemäß Artikel 7 Absatz 4 der Verordnung (EU) 2019/881 vorgenommene Bewertungen von Cybersicherheitsvorfällen gemäß Artikel 3 Absatz 2 dieses Beschlusses. Die ENISA nimmt in die auf ihrer Website veröffentlichten und/oder im Intranet verbreiteten Datenschutzhinweise, Datenschutzerklärungen oder Aufzeichnungen im Sinne von Artikel 31 der Verordnung (EU) 2018/1725, in denen betroffene Personen über ihre Rechte im Rahmen eines gegebenen Verfahrens informiert werden, Informationen über die mögliche Beschränkung dieser Rechte auf. Darin ist darüber zu informieren, welche Rechte aus welchen Gründen und für welche Dauer eingeschränkt werden können.

2 Unbeschadet der Bestimmungen in Absatz 3 dieses Artikels informiert die ENISA (sofern dies verhältnismäßig ist) alle betroffenen Personen, die als von den spezifischen Verarbeitungsvorgängen betroffene Personen gelten, unverzüglich einzeln schriftlich über gegenwärtige oder künftige Beschränkungen ihrer Rechte.

3 Wenn die ENISA die in Absatz 2 dieses Artikels vorgesehene Unterrichtung der betroffenen Personen ganz oder teilweise beschränkt, sind die Beweggründe für die Beschränkung, die Rechtsgrundlage gemäß Artikel 3 dieses Beschlusses sowie die Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung in einem Vermerk festzuhalten. Der Vermerk sowie gegebenenfalls die Unterlagen, die die tatsächlichen und rechtlichen Grundlagen enthalten, werden registriert. Sie werden dem Europäischen Datenschutzbeauftragten auf Anforderung zur Verfügung gestellt.

4 Eine Beschränkung nach Absatz 3 dieses Artikels gilt, solange die Gründe dafür weiterhin vorliegen. Wenn die Gründe für die Beschränkung nicht mehr vorliegen, unterrichtet die ENISA die betroffene Person über die Hauptgründe für die Beschränkung. Gleichzeitig informiert die Agentur die betroffene Person über ihr Recht, jederzeit Beschwerde beim Europäischen Datenschutzbeauftragten oder einen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen. Die Agentur überprüft die verhängte Beschränkung alle sechs Monate nach deren Einführung sowie bei Abschluss der jeweiligen Prüfungen, Verfahren oder Untersuchungen. Danach überprüft der Verantwortliche alle sechs Monate die Notwendigkeit der Aufrechterhaltung einer Beschränkung.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der Verantwortliche das Auskunftsrecht, sofern dies notwendig und verhältnismäßig ist, im Rahmen der folgenden Verarbeitungsvorgänge beschränken: a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; b) erste Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten; c) Verfahren in Bezug auf gemeldete Missstände („Whistleblowing“); d) (formelle und informelle) Verfahren in Bezug auf Mobbing und sexuelle Belästigung; e) Bearbeitung interner und externer Beschwerden; f) interne Prüfungen; g) vom Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 durchgeführte Untersuchungen; h) intern oder unter externer Mitwirkung (z. B. durch die CERT-EU) durchgeführte (IT-)Sicherheitsüberprüfungen; i) von der ENISA gemäß Artikel 7 Absatz 4 der Verordnung (EU) 2019/881 vorgenommene Bewertungen von Cybersicherheitsvorfällen gemäß Artikel 3 Absatz 2 dieses Beschlusses. Verlangen von der Datenverarbeitung betroffene Personen gemäß Artikel 17 der Verordnung (EU) 2018/1725 Auskunft über ihre personenbezogenen Daten, die im Zusammenhang mit einem oder mehreren spezifischen Fällen verarbeitet wurden, oder über einen spezifischen Datenverarbeitungsvorgang, beschränkt die ENISA ihre Antragsprüfung auf diese personenbezogenen Daten.

2 Beschränkt die ENISA das in Artikel 17 der Verordnung (EU) 2018/1725 vorgesehene Recht auf Auskunft ganz oder teilweise, ergreift sie die folgenden Maßnahmen: a) In ihrer Antwort auf den Antrag unterrichtet sie die betroffene Person über die verhängte Beschränkung und die Hauptgründe dafür sowie über die Möglichkeit, Beschwerde beim Europäischen Datenschutzbeauftragten oder einen gerichtlichen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen. b) In einem internen Beurteilungsvermerk notiert sie die Gründe für die Beschränkung, einschließlich einer Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung und ihrer Dauer. Die Unterrichtung über Informationen im Sinne von Unterabsatz a kann zurückgestellt, unterlassen oder abgelehnt werden, wenn sie die Wirkung der Beschränkung gemäß Artikel 25 Absatz 8 der Verordnung (EU) 2018/1725 zunichtemachen würde. Die ENISA überprüft verhängte Beschränkungen alle sechs Monate nach deren Einführung sowie bei Abschluss der jeweiligen Untersuchung. Danach überprüft der Verantwortliche alle sechs Monate die Notwendigkeit der Aufrechterhaltung von Beschränkungen.

3 Der Vermerk sowie gegebenenfalls die Unterlagen, die die tatsächlichen und rechtlichen Grundlagen enthalten, werden registriert. Sie werden dem Europäischen Datenschutzbeauftragten auf Anfrage zur Verfügung gestellt.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der Verantwortliche das Recht auf Berichtigung, Löschung und Einschränkung der Verarbeitung, sofern dies notwendig und verhältnismäßig ist, im Rahmen der folgenden Verarbeitungsvorgänge beschränken: a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; b) erste Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten; c) Verfahren in Bezug auf gemeldete Missstände („Whistleblowing“); d) (formelle und informelle) Verfahren in Bezug auf Mobbing und sexuelle Belästigung; e) Bearbeitung interner und externer Beschwerden; f) interne Prüfungen; g) vom Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 durchgeführte Untersuchungen; h) intern oder unter externer Mitwirkung (z. B. durch die CERT-EU) durchgeführte (IT-)Sicherheitsüberprüfungen; i) von der ENISA gemäß Artikel 7 Absatz 4 der Verordnung (EU) 2019/881 vorgenommene Bewertungen von Cybersicherheitsvorfällen gemäß Artikel 3 Absatz 2dieses Beschlusses.

2 Beschränkt die ENISA das in Artikel 18, Artikel 19 Absatz 1 und Artikel 20 Absatz 1 der Verordnung (EU) 2018/1725 vorgesehene Recht auf Berichtigung, Löschung und Einschränkung der Verarbeitung ganz oder teilweise, muss sie die in Artikel 6 Absatz 2 dieses Beschlusses genannten Maßnahmen ergreifen und Artikel 6 Absatz 3 dieses Beschlusses einhalten.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der Verantwortliche das Recht auf Benachrichtigung über eine Verletzung des Schutzes personenbezogener Daten, sofern dies notwendig und verhältnismäßig ist, im Rahmen der folgenden Verarbeitungsvorgänge beschränken: a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; b) erste Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten; c) Verfahren in Bezug auf gemeldete Missstände („Whistleblowing“); d) Bearbeitung interner und externer Beschwerden; e) interne Prüfungen; f) vom Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 durchgeführte Untersuchungen; g) intern oder unter externer Mitwirkung (z. B. durch die CERT-EU) durchgeführte (IT-)Sicherheitsüberprüfungen; h) von der ENISA gemäß Artikel 7 Absatz 4 der Verordnung (EU) 2019/881 vorgenommene Bewertungen von Cybersicherheitsvorfällen gemäß Artikel 3 Absatz 2 dieses Beschlusses.

2 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der Verantwortliche das Recht auf Vertraulichkeit der elektronischen Kommunikation, sofern dies notwendig und verhältnismäßig ist, im Rahmen der folgenden Verarbeitungsvorgänge beschränken: a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; b) erste Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten; c) Verfahren in Bezug auf gemeldete Missstände („Whistleblowing“); d) formelle Verfahren in Bezug auf Mobbing und sexuelle Belästigung; e) Bearbeitung interner und externer Beschwerden; f) intern oder unter externer Mitwirkung (z. B. durch die CERT-EU) durchgeführte (IT-)Sicherheitsüberprüfungen; g) von der ENISA gemäß Artikel 7 Absatz 4 der Verordnung (EU) 2019/881 vorgenommene Bewertungen von Cybersicherheitsvorfällen gemäß Artikel 3 Absatz 2.

3 Beschränkt die Agentur die in den Artikeln 35 und 36 der Verordnung (EU) 2018/1725 genannten Rechte auf Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person oder auf Vertraulichkeit der elektronischen Kommunikation, finden die Bestimmungen in Artikel 5 Absatz 3 dieses Beschlusses Anwendung. Artikel 5 Absatz 4 dieses Beschlusses findet Anwendung.

Dieser Beschluss tritt am Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.