Beschluss des Lenkungsausschusses der Europäischen Verteidigungsagentur vom 24. Februar 2020 zur Annahme interner Vorschriften zur Beschränkung bestimmter Rechte betroffener Personen in Bezug auf die Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten der EDA

1 Mit diesem Beschluss werden Vorschriften in Bezug auf die Bedingungen festgelegt, unter denen die EDA im Rahmen ihrer unter Absatz 2 aufgeführten Verfahren die Anwendung der Artikel 14 bis 21, 35 und 36 sowie des Artikels 4 auf Grundlage von Artikel 25 der Verordnung (EU) 2018/1725 beschränken darf.

2 Im Rahmen der Verwaltungstätigkeit der EDA findet dieser Beschluss Anwendung, soweit die EDA personenbezogene Daten für folgende Zwecke verarbeitet: die Durchführung von Verwaltungsuntersuchungen, Disziplinarverfahren, erste Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten, die Bearbeitung von Missstandsmeldungen (Whistleblowing), Mobbingfälle betreffende Verfahren, die Bearbeitung interner und externer Beschwerden, Untersuchungen durch den Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 sowie intern oder unter externer Mitwirkung durchgeführte Sicherheitsüberprüfungen.

3 Die betroffenen Datenkategorien sind harte Daten („objektive“ Daten wie Identifikationsdaten, Kontaktdaten, berufsbezogene Daten, Verwaltungsdaten, Daten aus bestimmten Quellen, elektronische Kommunikations- und Verkehrsdaten) und/oder weiche Daten („subjektive“ fallbezogene Daten wie Beweisführung, verhaltensbezogene Daten, Bewertungen, Leistungs- und Verhaltensdaten sowie Daten, die sich auf den Gegenstand des Verfahrens oder der Tätigkeit beziehen oder im Zusammenhang mit diesem Gegenstand übertragen werden).

4 Bei der Wahrnehmung ihrer Aufgaben in Bezug auf die Rechte betroffener Personen gemäß der Verordnung (EU) 2018/1725 prüft die EDA, ob eine der in dieser Verordnung vorgesehenen Ausnahmen gegeben ist.

5 Vorbehaltlich der in diesem Beschluss genannten Bedingungen können die Beschränkungen Anwendung finden auf die Rechte auf: Unterrichtung der betroffenen Personen, Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person bzw. Vertraulichkeit der Kommunikation.

1 Die folgenden Schutzmaßnahmen wurden getroffen, um Missbrauch, unrechtmäßigen Zugang oder unrechtmäßige Übermittlung zu verhindern: a) Dokumente in Papierform werden in gesicherten Schränken aufbewahrt und ausschließlich befugtem Personal zugänglich gemacht. b) Alle elektronischen Daten werden in einer sicheren IT-Anwendung gemäß den Sicherheitsstandards der EDA sowie in speziellen elektronischen Ordnern gespeichert, die ausschließlich befugtem Personal zugänglich sind. Angemessener Zugang wird auf individueller Basis erteilt. c) Datenbanken sind passwortgeschützt mit Single Sign-on-System, das individuelle Anmeldung und automatische Verbindung mit Benutzerkennung und Kennwort vorsieht. Elektronische Verzeichnisse werden gesichert, um die Vertraulichkeit der enthaltenen Daten und die Privatsphäre der betroffenen Person zu schützen. d) Alle Personen, die Zugang zu den Daten haben, sind zur Geheimhaltung verpflichtet.

2 Die Aufbewahrungsfrist für die in Artikel 1 Absatz 3 genannten personenbezogenen Daten ist nicht länger, als für die Datenverarbeitungszwecke erforderlich und angemessen. Sie darf keinesfalls länger sein als die Aufbewahrungsfrist, die in den Datenschutzhinweisen oder Aufzeichnungen angegeben ist, auf die in Artikel 5 Absatz 1 Bezug genommen wird.

3 Zieht die EDA eine Beschränkung in Betracht, sind die Risiken für die Rechte und Freiheiten der betroffenen Person abzuwägen, insbesondere gegenüber dem Risiko für die Rechte und Freiheiten anderer betroffener Personen sowie dem Risiko, dass die Wirksamkeit der von der EDA durchgeführten Untersuchungen oder Verfahren zunichtegemacht wird, z. B. durch Vernichtung von Beweismaterial. Die Risiken für die Rechte und Freiheiten der betroffenen Person betreffen in erster Linie Reputationsrisiken sowie Risiken in Bezug auf das Verteidigungsrecht und den Anspruch auf rechtliches Gehör, wobei dies keine abschließende Aufzählung ist.

1 Die für die Verarbeitungsvorgänge Verantwortliche ist die EDA, vertreten durch ihren Hauptgeschäftsführer, der die Funktion des Verantwortlichen delegieren kann.

2 Die betroffenen Personen werden durch die auf der Website der EDA veröffentlichten Datenschutzaufzeichnungen darüber unterrichtet, an welche Person die Verantwortung für die Verarbeitung delegiert wurde.

1 Die EDA nimmt in die Datenschutzaufzeichnungen, die betroffene Personen über deren Rechte im Rahmen eines gegebenen Verfahrens im Sinne von Artikel 31 der Verordnung (EU) 2018/1725 informieren und auf der Website der EDA veröffentlicht sind, Informationen über die mögliche Beschränkung dieser Rechte auf. Diese Unterrichtung bezieht sich darauf, welche Rechte beschränkt werden können, die Gründe dafür und die mögliche Dauer.

2 Beschränkungen werden von der EDA nur vorgenommen, um Folgendes sicherzustellen: a) die nationale Sicherheit, die öffentliche Sicherheit und/oder die Landesverteidigung der Mitgliedstaaten; b) die Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten oder die Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, c) sonstige wichtige Ziele des allgemeinen öffentlichen Interesses der Union oder eines Mitgliedstaats, insbesondere die Ziele der gemeinsamen Außen- und Sicherheitspolitik der Union oder ein wichtiges wirtschaftliches oder finanzielles Interesse der Union; d) die innere Sicherheit der Organe und Einrichtungen der Union, einschließlich ihrer elektronischen Kommunikationsnetze; e) den Schutz der Unabhängigkeit der Justiz und den Schutz von Gerichtsverfahren; f) Kontroll-, Überwachungs- und Ordnungsfunktionen, die dauernd oder zeitweise mit der Ausübung öffentlicher Gewalt in den unter den Buchstaben a bis c genannten Fällen verbunden sind; g) den Schutz der betroffenen Person oder der Rechte und Freiheiten anderer Personen; h) die Durchsetzung zivilrechtlicher Ansprüche.

3 Im Rahmen einer spezifischen Anwendung zu den in Absatz 1 genannten Zwecken kann die EDA unter den folgenden Umständen Beschränkungen für personenbezogene Daten vornehmen, die mit Dienststellen der Kommission oder anderen Organen, Einrichtungen und sonstigen Stellen der Union, zuständigen Behörden der Mitgliedstaaten oder Drittländern oder internationalen Organisationen ausgetauscht werden: a) wenn die Ausübung dieser Rechte und Pflichten von Dienststellen der Kommission oder anderen Organen, Einrichtungen und sonstigen Stellen der Union aufgrund anderer in Artikel 25 der Verordnung (EU) 2018/1725 vorgesehener Rechtsakte oder gemäß Kapitel IX der genannten Verordnung oder gemäß den Gründungsakten anderer Organe, Einrichtungen und sonstiger Stellen der Union beschränkt werden könnte; b) wenn die Ausübung dieser Rechte und Pflichten von zuständigen Behörden der Mitgliedstaaten aufgrund der in Artikel 23 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates genannten Rechtsakte oder im Rahmen nationaler Maßnahmen zur Umsetzung von Artikel 13 Absatz 3, Artikel 15 Absatz 3 oder Artikel 16 Absatz 3 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates beschränkt werden könnte; c) wenn die Ausübung dieser Rechte und Pflichten die Zusammenarbeit der EDA mit Drittländern oder internationalen Organisationen bei der Wahrnehmung ihrer Aufgaben beeinträchtigen könnte. Vor der Vornahme von Beschränkungen unter den in den vorstehenden Punkten a und b genannten Umständen konsultiert die EDA die zuständigen Dienststellen der Kommission, die Organe, Einrichtungen und sonstigen Stellen der Union oder die zuständigen Behörden der Mitgliedstaaten, es sei denn, der EDA ist klar, dass die Vornahme einer Beschränkung durch einen der in diesen Punkten genannten Rechtsakte vorgesehen ist.

4 Jede Beschränkung muss im Hinblick auf die Risiken für die Rechte und Freiheiten der betroffenen Personen notwendig und verhältnismäßig sein und den Wesensgehalt der Grundrechte und Grundfreiheiten in einer demokratischen Gesellschaft achten.

5 Wird eine Beschränkung in Betracht gezogen, ist deren Notwendigkeit und Verhältnismäßigkeit auf Grundlage der vorliegenden Vorschriften zu prüfen. Für Zwecke der Rechenschaftspflicht ist dies in jedem Fall durch einen internen Bewertungsvermerk zu dokumentieren.

6 Die EDA überprüft die verhängte Beschränkung nach deren Einführung alle sechs Monate sowie bei Abschluss der jeweiligen Prüfungen, Verfahren oder Untersuchungen. Danach überwacht der Verantwortliche alle sechs Monate die Notwendigkeit der Aufrechterhaltung einer Beschränkung. Die Aufzeichnung und gegebenenfalls die Dokumente, die zugrunde liegende sachliche und rechtliche Elemente enthalten, werden registriert. Sie werden dem Europäischen Datenschutzbeauftragten auf Anfrage zur Verfügung gestellt.

7 Beschränkungen werden aufgehoben, sobald die Umstände, die sie rechtfertigen, nicht mehr gegeben sind. Dies gilt insbesondere, wenn davon ausgegangen wird, dass die Ausübung des beschränkten Rechts die Wirkung der verhängten Beschränkung nicht mehr zunichtemachen oder die Rechte oder Freiheiten anderer betroffener Personen nicht mehr beeinträchtigen würde.

8 Unbeschadet der Bestimmungen in Absatz 10 muss die EDA, sofern dies verhältnismäßig ist, alle betroffenen Personen, die als von den spezifischen Verarbeitungsvorgängen betroffene Personen gelten, unverzüglich auch einzeln schriftlich über deren Rechte in Bezug auf gegenwärtige oder künftige Beschränkungen unterrichten.

9 Beschränkt die EDA das in Absatz 9 vorgesehene Recht auf Unterrichtung der betroffenen Personen ganz oder teilweise, muss sie die Gründe für die Beschränkung und den Rechtsgrund gemäß diesem Artikel, einschließlich einer Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung, aufzeichnen. Die Aufzeichnung und gegebenenfalls die Dokumente, die zugrunde liegende sachliche und rechtliche Elemente enthalten, werden registriert. Sie werden dem Europäischen Datenschutzbeauftragten auf Anfrage zur Verfügung gestellt.

10 Die in Absatz 10 genannte Beschränkung gilt, solange die Gründe dafür weiterhin vorliegen.

11 Wenn die Gründe für die Beschränkung nicht mehr vorliegen, unterrichtet die EDA die betroffene Person über die Hauptgründe, auf denen die Anwendung der Beschränkung beruht. Gleichzeitig teilt die EDA der betroffenen Person mit, dass sie jederzeit Beschwerde beim Europäischen Datenschutzbeauftragten oder einen gerichtlichen Rechtsbehelf beim Gerichtshof der Europäischen Union einlegen kann.

1 Wenn der für die Verarbeitung Verantwortliche gemäß diesem Beschluss die Anwendung der Rechte betroffener Personen beschränkt oder die Beschränkung verlängert, muss die EDA den Datenschutzbeauftragten der EDA (im Folgenden „DSB“) unverzüglich einbeziehen. Der für die Verarbeitung Verantwortliche gewährt dem DSB Zugang zu dem Verzeichnis, das die Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung enthält, und dokumentiert das Datum, an dem der DSB unterrichtet wird, im Verzeichnis.

2 Der DSB kann den für die Verarbeitung Verantwortlichen schriftlich zur Überprüfung der vorgenommenen Beschränkungen auffordern. Der für die Verarbeitung Verantwortliche unterrichtet den DSB schriftlich über das Ergebnis der erbetenen Überprüfung.

3 Der Verantwortliche informiert den DSB, wenn die Beschränkung aufgehoben worden ist.

4 Die Einbeziehung des DSB in das gesamte Verfahren ist in geeigneter Weise zu dokumentieren.

In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann das Recht auf Unterrichtung durch den für die Verarbeitung Verantwortlichen im Zusammenhang mit den folgenden Verarbeitungsvorgängen beschränkt werden: a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; b) erste Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten; c) Verfahren in Bezug auf Missstandsmeldungen („Whistleblowing“); d) Mobbingfälle betreffende Verfahren; e) Bearbeitung interner und externer Beschwerden; f) vom DSB gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 durchgeführte Untersuchungen; g) intern oder unter externer Mitwirkung durchgeführte (IT‐)Sicherheitsüberprüfungen; h) Ausübung von Tätigkeiten zum Schutz sonstiger wichtiger Ziele des allgemeinen öffentlichen Interesses der Union oder eines Mitgliedstaats, insbesondere der Ziele der gemeinsamen Außen- und Sicherheitspolitik der Union, wie im Beschluss (GASP) 2015/1835 vorgesehen.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann das Recht auf Auskunft vom Verantwortlichen im Rahmen der folgenden Verarbeitungsvorgänge beschränkt werden, sofern dies notwendig und verhältnismäßig ist: a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; b) erste Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten; c) Verfahren in Bezug auf Missstandsmeldungen („Whistleblowing“); d) Mobbingfälle betreffende Verfahren; e) Bearbeitung interner und externer Beschwerden; f) vom Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 durchgeführte Untersuchungen; g) intern oder unter externer Mitwirkung durchgeführte (IT-)Sicherheitsüberprüfungen; h) Ausübung von Tätigkeiten zum Schutz sonstiger wichtiger Ziele des allgemeinen öffentlichen Interesses der Union oder eines Mitgliedstaats, insbesondere der Ziele der gemeinsamen Außen- und Sicherheitspolitik der Union, wie im Beschluss (GASP) 2015/1835 vorgesehen.

2 Verlangen von der Datenverarbeitung betroffene Personen gemäß Artikel 17 der Verordnung (EU) 2018/1725 Auskunft über ihre personenbezogenen Daten, die im Zusammenhang mit einem oder mehreren spezifischen Fällen verarbeitet wurden, oder über einen spezifischen Datenverarbeitungsvorgang, beschränkt die EDA ihre Antragsprüfung auf diese personenbezogenen Daten.

3 Beschränkt die EDA das in Artikel 17 der Verordnung (EU) 2018/1725 vorgesehene Recht auf Auskunft ganz oder teilweise, ergreift sie die folgenden Maßnahmen: a) In ihrer Antwort auf den Antrag unterrichtet sie die betroffene Person über die verhängte Beschränkung und die Hauptgründe dafür sowie über die Möglichkeit, Beschwerde beim Europäischen Datenschutzbeauftragten oder einen gerichtlichen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen. b) In einem internen Beurteilungsvermerk notiert sie die Gründe für die Beschränkung, einschließlich einer Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung und ihrer Dauer. Die Unterrichtung über Informationen im Sinne von Buchstabe a kann zurückgestellt, unterlassen oder abgelehnt werden, wenn sie die Wirkung der Beschränkung gemäß Artikel 25 Absatz 8 der Verordnung (EU) 2018/1725 zunichtemachen würde.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der Verantwortliche das Recht auf Berichtigung, Löschung und Einschränkung der Verarbeitung im Rahmen der folgenden Verarbeitungsvorgänge beschränken, sofern dies erforderlich und angemessen ist: a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; b) erste Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten; c) Verfahren in Bezug auf Missstandsmeldungen („Whistleblowing“); d) Mobbingfälle betreffende Verfahren; e) Bearbeitung interner und externer Beschwerden; f) vom Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 durchgeführte Untersuchungen; g) intern oder unter externer Mitwirkung durchgeführte (IT-)Sicherheitsüberprüfungen; h) Ausübung von Tätigkeiten zum Schutz sonstiger wichtiger Ziele des allgemeinen öffentlichen Interesses der Union oder eines Mitgliedstaats, insbesondere der Ziele der gemeinsamen Außen- und Sicherheitspolitik der Union, wie im Beschluss (GASP) 2015/1835 vorgesehen.

2 Wenn die EDA das in den Artikeln 18, 19 Absatz 1 und Artikel 20 Absatz 1 der Verordnung (EU) 2018/1725 vorgesehene Recht auf Berichtigung, Löschung und Einschränkung der Verarbeitung ganz oder teilweise beschränkt, ergreift sie die in Artikel 6 Absatz 2 dieses Beschlusses genannten Maßnahmen und registriert die Aufzeichnung gemäß Artikel 6 Absatz 3 dieses Beschlusses.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann das Recht auf Benachrichtigung über eine Verletzung des Schutzes personenbezogener Daten vom Verantwortlichen im Rahmen der folgenden Verarbeitungsvorgänge beschränkt werden, sofern dies erforderlich und angemessen ist: a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; b) erste Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten; c) Verfahren in Bezug auf Missstandsmeldungen („Whistleblowing“); d) Mobbingfälle betreffende Verfahren; e) Bearbeitung interner und externer Beschwerden; f) vom Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 durchgeführte Untersuchungen; g) intern oder unter externer Mitwirkung durchgeführte (IT-)Sicherheitsüberprüfungen; h) Ausübung von Tätigkeiten zum Schutz sonstiger wichtiger Ziele des allgemeinen öffentlichen Interesses der Union oder eines Mitgliedstaats, insbesondere der Ziele der gemeinsamen Außen- und Sicherheitspolitik der Union, wie im Beschluss (GASP) 2015/1835 vorgesehen.

2 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann das Recht auf Vertraulichkeit der elektronischen Kommunikation vom Verantwortlichen im Rahmen der folgenden Verarbeitungsvorgänge beschränkt werden, sofern dies erforderlich und angemessen ist: a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; b) erste Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten; c) Verfahren in Bezug auf Missstandsmeldungen („Whistleblowing“); d) Mobbingfälle betreffende Verfahren; e) Bearbeitung interner und externer Beschwerden; f) intern oder unter externer Mitwirkung durchgeführte (IT‐)Sicherheitsüberprüfungen; g) Ausübung von Tätigkeiten zum Schutz sonstiger wichtiger Ziele des allgemeinen öffentlichen Interesses der Union oder eines Mitgliedstaats, insbesondere der Ziele der gemeinsamen Außen- und Sicherheitspolitik der Union, so wie im Beschluss (GASP) 2015/1835 vorgesehen.

3 Wenn die EDA das Recht auf Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person oder die Vertraulichkeit der elektronischen Kommunikation, so wie diese in den Artikeln 35 und 36 der Verordnung (EU) 2018/1725 festgelegt sind, beschränkt, muss sie die Gründe dafür gemäß Artikel 5 Absatz 3 dieses Beschlusses dokumentieren und registrieren. Artikel 5 Absatz 4 dieses Beschlusses findet Anwendung.

Dieser Beschluss tritt am zwanzigsten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.