Beschluss des Vorstands von Fusion for Energy vom 9. Dezember 2019 über interne Vorschriften zur Beschränkung bestimmter Rechte betroffener Personen in Bezug auf die Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten von Fusion for Energy

1 Mit diesem Beschluss werden Vorschriften in Bezug auf die Bedingungen festgelegt, unter denen Fusion for Energy im Rahmen seiner unter Absatz 2 aufgeführten Verfahren gemäß Artikel 25 der Verordnung (EU) 2018/1725 befugt ist, die Anwendung der in den Artikeln 14 bis 21, 35 und 36 sowie in Artikel 4 der Verordnung verankerten Rechte zu beschränken.

2 Im Rahmen der Verwaltungstätigkeit von Fusion for Energy findet dieser Beschluss Anwendung, soweit Fusion for Energy personenbezogene Daten verarbeitet, um Verwaltungsuntersuchungen und Disziplinarverfahren durchzuführen wie auch um erste Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten zu ergreifen, die Meldung von Missständen (Whistleblowing) zu bearbeiten, (formelle sowie informelle) Verfahren in Bezug auf Mobbing durchzuführen, interne und externe Beschwerden zu bearbeiten, medizinische Daten zu verarbeiten, Untersuchungen durch den Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 sowie (IT-)Sicherheitsuntersuchungen intern oder unter externer Mitwirkung (z. B. von CERT-EU) durchzuführen. Dieser Beschluss sollte auch auf die Unterstützung und Zusammenarbeit Anwendung finden, die Fusion for Energy außerhalb der eigenen administrativen Untersuchungen für nationale Behörden und internationale Organisationen leistet. Des Weiteren gilt dieser Beschluss für Tätigkeiten im Zuge der Zusammenarbeit und der Übermittlung von Verwaltungsuntersuchungen oder Disziplinarverfahren betreffenden Informationen an Organe und Einrichtungen der EU, wenn der Empfänger die Informationen zur Prüfung der Gründe für die Einleitung formeller Untersuchungen oder Verfahren benötigt.

3 Die entsprechenden Kategorien personenbezogener Daten umfassen harte Daten („objektive“ Daten wie Identifikationsdaten, Kontaktdaten, berufsbezogene Daten, Verwaltungsdaten, Daten aus bestimmten Quellen, elektronische Kommunikations- und Verkehrsdaten) und/oder weiche Daten („subjektive“ fallbezogene Daten wie Begründungen, verhaltensbezogene Daten, Bewertungen, Leistungs- und Verhaltensdaten sowie Daten, die sich auf den Gegenstand des Verfahrens oder der Tätigkeit beziehen oder im Zusammenhang damit vorgebracht werden).

4 Bei der Wahrnehmung seiner Aufgaben in Bezug auf die Rechte betroffener Personen gemäß der Verordnung (EU) 2018/1725 prüft Fusion for Energy, ob eine der in dieser Verordnung vorgesehenen Ausnahmen gegeben ist.

5 Vorbehaltlich der in diesem Beschluss festgelegten Voraussetzungen können die folgenden Rechte beschränkt werden: die Rechte auf Information der betroffenen Personen, Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Personen sowie Vertraulichkeit der Kommunikation.

1 Zur Vermeidung von Verletzungen des Schutzes personenbezogener Daten, Datenverlusten oder unbefugtem Zugang zu personenbezogenen Daten bestehen die folgenden Garantien: a) Dokumente in Papierform werden in gesicherten Schränken aufbewahrt und ausschließlich befugtem Personal zugänglich gemacht. b) Alle elektronischen Daten werden in einer sicheren IT-Anwendung gemäß den Sicherheitsstandards von Fusion for Energy sowie in speziellen elektronischen Ordnern gespeichert, die ausschließlich befugtem Personal zugänglich sind. Angemessene Zugangsrechte werden auf individueller Basis erteilt. c) Der Schutz der Datenbank erfolgt durch ein System mit einmaliger Anmeldung mit Kennwort und automatischer Verbindung mit Benutzerkennung und Kennwort (Single Sign-on-System). Benutzer auszutauschen ist streng verboten. Elektronische Aufzeichnungen werden sicher aufbewahrt, um die Vertraulichkeit und den Schutz der darin enthaltenen Daten zu garantieren. d) Alle Personen, die Zugang zu den Daten haben, sind zur Geheimhaltung verpflichtet.

2 Der für die Verarbeitungsvorgänge Verantwortliche ist Fusion for Energy, vertreten durch seinen Direktor, der die Funktion des Verantwortlichen delegieren kann. Die Person, an welche die Verantwortung für die Verarbeitung delegiert wird, wird den betroffenen Personen in den Datenschutzhinweisen oder -aufzeichnungen mitgeteilt, die auf der Website und/oder im Intranet von Fusion for Energy veröffentlicht werden.

3 Die Aufbewahrungsfrist für die in Artikel 1 Absatz 3 genannten personenbezogenen Daten ist nicht länger als für die Datenverarbeitungszwecke notwendig und angemessen. Sie darf keinesfalls länger sein als die Aufbewahrungsfrist, die in den Datenschutzhinweisen, Datenschutzerklärungen oder Verzeichnissen angegeben ist, auf die in Artikel 5 Absatz 1 Bezug genommen wird.

4 Wenn Fusion for Energy die Anwendung einer Beschränkung in Betracht zieht, sind die Risiken für die Rechte und Freiheiten der betroffenen Person abzuwägen, insbesondere gegenüber dem Risiko für die Rechte und Freiheiten anderer betroffener Personen sowie dem Risiko, dass die Wirksamkeit der von Fusion for Energy durchgeführten Untersuchungen oder Verfahren zunichtegemacht wird, z. B. durch Vernichtung von Beweismaterial. Die Risiken für die Rechte und Freiheiten anderer betroffener Personen betreffen in erster Linie (jedoch nicht nur) Reputationsrisiken sowie Risiken für das Verteidigungsrecht und den Anspruch auf rechtliches Gehör.

1 Beschränkungen werden von Fusion for Energy nur zu folgenden Zwecken vorgenommen: a) zur Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten oder zur Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit; b) zum Schutz sonstiger wichtiger Ziele des allgemeinen öffentlichen Interesses der Union oder eines Mitgliedstaats, insbesondere der Ziele der gemeinsamen Außen- und Sicherheitspolitik der Union oder eines wichtigen wirtschaftlichen oder finanziellen Interesses der Union oder eines Mitgliedstaats, etwa im Währungs-, Haushalts- und Steuerbereich bzw. im Bereich der öffentlichen Gesundheit und der sozialen Sicherheit; c) zur inneren Sicherheit der Organe und Einrichtungen der Union, einschließlich ihrer elektronischen Kommunikationsnetze; d) zum Schutz der Unabhängigkeit der Justiz und zum Schutz von Gerichtsverfahren; e) zur Verhütung, Ermittlung, Aufdeckung und Verfolgung von Verstößen gegen die berufsständischen Regeln reglementierter Berufe; f) zum Schutz der Kontroll-, Überwachungs- und Ordnungsfunktionen, die dauernd oder zeitweise mit der Ausübung öffentlicher Gewalt für die unter den Buchstaben a und c genannten Zwecke verbunden sind; g) zum Schutz der betroffenen Person oder der Rechte und Freiheiten anderer Personen; h) zur Durchsetzung zivilrechtlicher Ansprüche.

2 Im Rahmen einer spezifischen Anwendung zu den in Absatz 1 genannten Zwecken kann Fusion for Energy für personenbezogene Daten, die mit Dienststellen der Kommission oder anderen Organen, Einrichtungen und sonstigen Stellen der Union, zuständigen Behörden der Mitgliedstaaten oder Drittländern oder internationalen Organisationen ausgetauscht werden, unter folgenden Umständen Beschränkungen anwenden: a) wenn die Ausübung dieser Rechte und Pflichten von Dienststellen der Kommission oder anderen Organen, Einrichtungen und sonstigen Stellen der Union aufgrund anderer in Artikel 25 der Verordnung (EU) 2018/1725 vorgesehener Rechtsakte oder gemäß Kapitel IX der genannten Verordnung oder gemäß den Gründungsakten anderer Organe, Einrichtungen und sonstiger Stellen der Union beschränkt werden könnte; b) wenn die Ausübung dieser Rechte und Pflichten von zuständigen Behörden der Mitgliedstaaten aufgrund der in Artikel 23 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates genannten Rechtsakte oder im Rahmen nationaler Maßnahmen zur Umsetzung von Artikel 13 Absatz 3, Artikel 15 Absatz 3 oder Artikel 16 Absatz 3 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates beschränkt werden könnte; c) wenn die Ausübung dieser Rechte und Pflichten die Zusammenarbeit von Fusion for Energy mit Drittländern oder internationalen Organisationen bei der Wahrnehmung ihrer Aufgaben beeinträchtigen könnte. Vor der Anwendung von Beschränkungen unter den in Unterabsatz 1 Buchstaben a und b genannten Umständen konsultiert Fusion for Energy die zuständigen Dienststellen der Kommission, die Einrichtungen, Organe und sonstigen Stellen der Union oder die zuständigen Behörden der Mitgliedstaaten, es sei denn, für Fusion for Energy ist klar, dass die Anwendung einer Beschränkung in einem der in diesen Buchstaben genannten Rechtsakte vorgesehen ist.

3 Jede Beschränkung muss im Hinblick auf die Risiken für die Rechte und Freiheiten der betroffenen Personen notwendig und verhältnismäßig sein und den Wesensgehalt der Grundrechte und Grundfreiheiten in einer demokratischen Gesellschaft achten.

4 Wird eine Beschränkung in Betracht gezogen, ist deren Notwendigkeit und Verhältnismäßigkeit auf Grundlage der vorliegenden Vorschriften zu prüfen. Zu Rechenschaftszwecken wird dies von Fall zu Fall mittels einer internen Beurteilungsmitteilung dokumentiert.

5 Beschränkungen werden aufgehoben, sobald die Umstände, die sie rechtfertigen, nicht mehr vorliegen. Dies gilt insbesondere, wenn nicht mehr anzunehmen ist, dass die Ausübung des beschränkten Rechts die Wirkung der verhängten Beschränkung zunichtemachen oder die Rechte oder Freiheiten anderer betroffener Personen beeinträchtigen würde.

1 Fusion for Energy (der Verantwortliche) unterrichtet den eigenen Datenschutzbeauftragten (im Folgenden: DSB) unverzüglich, wenn der Verantwortliche Rechte betroffener Personen gemäß diesem Beschluss beschränkt oder eine solche Beschränkung ausweitet. Der Verantwortliche gewährt dem DSB Zugang zu den Aufzeichnungen, die die Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung enthalten, und dokumentiert das Datum, an dem der DSB unterrichtet wird, in den Aufzeichnungen.

2 Der DSB kann den Verantwortlichen schriftlich auffordern, die vorgenommenen Beschränkungen zu überprüfen. Der Verantwortliche informiert den DSB schriftlich über das Ergebnis der erbetenen Überprüfung.

3 Der Verantwortliche informiert den DSB über die Aufhebung der Beschränkung.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der Verantwortliche das Recht auf Unterrichtung im Rahmen der folgenden Verarbeitungsvorgänge beschränken: a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; b) erste Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten; c) Verfahren in Bezug auf gemeldete Missstände (Whistleblowing); d) (formelle und informelle) Verfahren in Bezug auf Mobbing; e) Bearbeitung interner und externer Beschwerden; f) interne Prüfungen (Audits); g) vom Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 durchgeführte Untersuchungen; h) intern oder unter externer Mitwirkung (z. B. durch die CERT-EU) durchgeführte (IT-)Sicherheitsüberprüfungen. Fusion for Energy nimmt in die auf seiner Website veröffentlichten und/oder im Intranet verbreiteten Datenschutzhinweise, Datenschutzerklärungen oder Verzeichnisse im Sinne von Artikel 31 der Verordnung (EU) 2018/1725, in denen betroffene Personen über ihre Rechte im Rahmen eines gegebenen Verfahrens informiert werden, Informationen über die mögliche Beschränkung dieser Rechte auf. Darin ist darüber zu informieren, welche Rechte eingeschränkt werden können.

2 Unbeschadet der Bestimmungen in Absatz 3 dieses Artikels informiert Fusion for Energy, sofern dies verhältnismäßig ist, auch alle betroffenen Personen, die als von den spezifischen Verarbeitungsvorgängen betroffene Personen gelten, unverzüglich einzeln schriftlich über ihre Rechte bezüglich gegenwärtiger oder künftiger Beschränkungen.

3 Wenn Fusion for Energy die in Absatz 2 vorgesehene Unterrichtung der betroffenen Personen ganz oder zum Teil beschränkt, sind die Gründe für die Beschränkung, die Rechtsgrundlage gemäß Artikel 3 dieses Beschlusses einschließlich der Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung in einem Vermerk festzuhalten. Der Vermerk sowie gegebenenfalls die Unterlagen, die die tatsächlichen und rechtlichen Grundlagen enthalten, werden registriert. Sie werden dem Europäischen Datenschutzbeauftragten auf Verlangen zur Verfügung gestellt.

4 Eine nach Absatz 3 vorgenommene Beschränkung gilt, solange die Gründe dafür weiterhin vorliegen. Fusion for Energy unterrichtet die betroffene Person über die Hauptgründe für die Beschränkung. Gleichzeitig informiert Fusion for Energy die betroffene Person über ihr Recht, jederzeit Beschwerde beim Europäischen Datenschutzbeauftragten oder einen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen. Die Beschränkung wird von Fusion for Energy nach ihrer Anordnung alle sechs Monate sowie bei Abschluss der jeweiligen Ermittlungen, Verfahren oder Untersuchungen überprüft. Danach überwacht der Verantwortliche alle sechs Monate die Notwendigkeit der Aufrechterhaltung einer Beschränkung.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der Verantwortliche das Recht auf Auskunft, sofern dies notwendig und verhältnismäßig ist, im Zusammenhang mit den folgenden Verarbeitungsvorgängen beschränken: a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; b) erste Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten; c) Verfahren in Bezug auf gemeldete Missstände (Whistleblowing); d) (formelle und informelle) Verfahren in Bezug auf Mobbing; e) Bearbeitung interner und externer Beschwerden; f) Verarbeitung medizinischer Daten, wobei dies jedoch nur in bestimmten Fällen gerechtfertigt ist ; g) interne Prüfungen (Audits); h) vom Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 durchgeführte Untersuchungen; i) intern oder unter externer Mitwirkung (z. B. durch die CERT-EU) durchgeführte (IT-)Sicherheitsüberprüfungen. Verlangen betroffene Personen gemäß Artikel 17 der Verordnung (EU) 2018/1725 Auskunft über ihre personenbezogenen Daten, die im Zusammenhang mit einem oder mehreren spezifischen Fällen verarbeitet wurden, oder über einen spezifischen Datenverarbeitungsvorgang, beschränkt Fusion for Energy seine Antragsprüfung auf diese personenbezogenen Daten.

2 Beschränkt Fusion for Energy das in Artikel 17 der Verordnung (EU) 2018/1725 vorgesehene Auskunftsrecht ganz oder zum Teil, ergreift es die folgenden Maßnahmen: a) In seiner Antwort auf den Antrag unterrichtet es die betroffene Person über die vorgenommene Beschränkung und die Hauptgründe dafür sowie über die Möglichkeit, Beschwerde beim Europäischen Datenschutzbeauftragten oder einen gerichtlichen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen. b) In einem internen Beurteilungsvermerk notiert es die Gründe für die Beschränkung, einschließlich einer Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung und ihrer Dauer. Die Unterrichtung über Informationen im Sinne von Buchstabe a kann zurückgestellt, unterlassen oder abgelehnt werden, wenn sie die Wirkung der gemäß Artikel 25 Absatz 8 der Verordnung (EU) 2018/1725 angewandten Beschränkung zunichtemachen würde. Die Beschränkung wird von Fusion for Energy nach ihrer Anordnung alle sechs Monate sowie bei Abschluss der jeweiligen Ermittlungen, Verfahren oder Untersuchungen überprüft. Danach überwacht der Verantwortliche alle sechs Monate, ob die Aufrechterhaltung der Beschränkung weiterhin notwendig ist.

3 Der Vermerk sowie gegebenenfalls die Unterlagen, die die tatsächlichen und rechtlichen Grundlagen enthalten, werden registriert. Sie werden dem Europäischen Datenschutzbeauftragten auf Verlangen zur Verfügung gestellt.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der Verantwortliche das Recht auf Berichtigung, Löschung und Einschränkung der Verarbeitung im Rahmen der folgenden Verarbeitungsvorgänge beschränken, sofern dies notwendig und verhältnismäßig ist: a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; b) erste Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten; c) Verfahren in Bezug auf gemeldete Missstände (Whistleblowing); d) (formelle und informelle) Verfahren in Bezug auf Mobbing; e) Bearbeitung interner und externer Beschwerden; f) Verarbeitung medizinischer Daten, wobei dies jedoch nur in bestimmten Fällen gerechtfertigt ist ; g) interne Prüfungen (Audits); h) vom Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 durchgeführte Untersuchungen; i) intern oder unter externer Mitwirkung (z. B. durch die CERT-EU) durchgeführte (IT-)Sicherheitsüberprüfungen.

2 Beschränkt Fusion for Energy das in den Artikeln 18, 19 Absatz 1 und 20 Absatz 1 der Verordnung (EU) 2018/1725 vorgesehene Recht auf Berichtigung, Löschung und Einschränkung der Verarbeitung ganz oder zum Teil, finden Artikel 6 Absätze 2 und 3 dieses Beschlusses Anwendung.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der Verantwortliche das Recht auf Benachrichtigung über eine Verletzung des Schutzes personenbezogener Daten beschränken, sofern dies im Rahmen der folgenden Verarbeitungsvorgänge notwendig und verhältnismäßig ist: a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; b) erste Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten; c) Verfahren in Bezug auf gemeldete Missstände (Whistleblowing); d) (formelle und informelle) Verfahren in Bezug auf Mobbing; e) Bearbeitung interner und externer Beschwerden; f) interne Prüfungen (Audits); g) vom Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 durchgeführte Untersuchungen; h) intern oder unter externer Mitwirkung (z. B. durch die CERT-EU) durchgeführte (IT-)Sicherheitsüberprüfungen.

2 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der Verantwortliche das Recht auf Vertraulichkeit der elektronischen Kommunikation beschränken, sofern dies im Rahmen der folgenden Verarbeitungsvorgänge notwendig und verhältnismäßig ist: a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; b) erste Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten; c) Verfahren in Bezug auf gemeldete Missstände (Whistleblowing); d) formelle Verfahren in Bezug auf Mobbing; e) Bearbeitung interner und externer Beschwerden; f) intern oder unter externer Mitwirkung (z. B. durch die CERT-EU) durchgeführte (IT-)Sicherheitsüberprüfungen.

3 Beschränkt Fusion for Energy die in den Artikeln 35 und 36 der Verordnung (EU) 2018/1725 genannten Rechte auf Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person oder auf Vertraulichkeit der elektronischen Kommunikation, finden die Bestimmungen in Artikel 5 Absätze 3 und 4 dieses Beschlusses Anwendung.

Dieser Beschluss tritt am Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.