Beschluss des Verwaltungsrats der Agentur der Europäischen Union für die Zusammenarbeit der Energieregulierungsbehörden vom 12. Dezember 2019 über interne Vorschriften zur Beschränkung bestimmter Rechte betroffener Personen in Bezug auf die Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten der Agentur

1 Mit diesem Beschluss werden Vorschriften in Bezug auf die Bedingungen festgelegt, unter denen die Agentur im Rahmen ihrer unter Absatz 2 dieses Artikels aufgeführten Verfahren gemäß Artikel 25 der Verordnung (EU) 2018/1725 die Anwendung der Rechte beschränken darf, die in den Artikeln 14 bis 21, 35 und 36 sowie in Artikel 4 der Verordnung (EU) 2018/1725 vorgesehen sind.

2 Im Rahmen der administrativen Tätigkeit der Agentur gilt dieser Beschluss für Vorgänge zur Verarbeitung personenbezogener Daten durch die Agentur zu folgenden Zwecken: Durchführung von Verwaltungsuntersuchungen, Disziplinarverfahren, vorläufige Aktivitäten im Zusammenhang mit potenziellen, dem OLAF gemeldeten Unregelmäßigkeiten, Meldungen von Missständen, (formelle und informelle) Verfahren zur Bearbeitung von Fällen von Belästigung, Bearbeitung von internen und externen Beschwerden, interne Prüfungen, Untersuchungen durch den Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725, Überwachung der Energiegroßhandelsmärkte und Koordinierung der Tätigkeiten nationaler Aufsichtsbehörden in Bezug auf mögliche Verstöße gegen REMIT sowie intern oder extern (z. B. durch das CERT-EU) abgewickelte (IT-)Sicherheitsüberprüfungen.

3 Die entsprechenden Kategorien personenbezogener Daten umfassen harte Daten („objektive“ Daten wie Identifikationsdaten, Kontaktdaten, berufsbezogene Daten, Verwaltungsdaten, Daten aus bestimmten Quellen, elektronische Kommunikations- und Verkehrsdaten) und/oder weiche Daten („subjektive“ fallbezogene Daten wie Begründungen, verhaltensbezogene Daten, Beurteilungen, Leistungs- und Verhaltensdaten sowie Daten, die mit dem Gegenstand des Verfahrens oder der Aktivität in Beziehung stehen oder im Zusammenhang damit vorgebracht worden sind).

4 Wenn die Agentur ihre Aufgaben in Bezug auf die Rechte betroffener Personen gemäß der Verordnung (EU) 2018/1725 wahrnimmt, prüft sie, ob eine der in dieser Verordnung vorgesehenen Ausnahmen anwendbar ist.

5 Vorbehaltlich der in diesem Beschluss genannten Bedingungen können die Beschränkungen für die folgenden Rechte Anwendung finden: Recht auf Unterrichtung der betroffenen Personen, Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Personen oder Vertraulichkeit der Kommunikation.

1 Verletzungen des Schutzes personenbezogener Daten, Datenverluste oder eine unberechtigte Weitergabe werden durch die folgenden Schutzmaßnahmen verhindert: a) Dokumente in Papierform werden in gesicherten Schränken aufbewahrt und ausschließlich befugtem Personal zugänglich gemacht. b) Alle elektronischen Daten werden in einer sicheren IT-Anwendung gemäß den Sicherheitsstandards der Agentur sowie in speziellen elektronischen Ordnern gespeichert, die ausschließlich befugtem Personal zugänglich sind. Angemessene Zugangsrechte werden individuell gewährt. c) Alle Personen, die Zugang zu den Daten haben, sind zur Geheimhaltung verpflichtet.

2 Die für die Verarbeitung Verantwortliche ist die Agentur, vertreten durch ihren Direktor, der die Funktion des Verantwortlichen übertragen kann. Betroffene Personen werden über den stellvertretenden Verantwortlichen in Form von auf der Website und/oder im Intranet der Agentur veröffentlichten Datenschutzhinweisen oder Verzeichnissen unterrichtet.

3 Die Aufbewahrungsfrist der in Artikel 1 Absatz 3 dieses Beschlusses genannten personenbezogenen Daten darf nicht länger als erforderlich sein und muss für die Zwecke, zu denen die Daten verarbeitet werden, angemessen sein. Sie darf keinesfalls länger sein als die in den Datenschutzhinweisen, Datenschutzerklärungen oder Verzeichnissen angegebene Aufbewahrungsfrist, auf die in Artikel 5 Absatz 1 dieses Beschlusses Bezug genommen wird.

4 Wenn die Agentur die Anwendung einer Beschränkung in Betracht zieht, werden die Risiken für die Rechte und Freiheiten der betroffenen Person abgewogen, insbesondere gegenüber dem Risiko für die Rechte und Freiheiten anderer betroffener Personen sowie dem Risiko einer Beeinträchtigung der Wirksamkeit der von der Agentur durchgeführten Untersuchungen oder Verfahren, z. B. durch Vernichtung von Beweismaterial. Die Risiken für die Rechte und Freiheiten der betroffenen Person erstrecken sich in erster Linie u. a. auf Risiken im Zusammenhang mit der Reputation, dem Verteidigungsrecht und dem Anspruch auf rechtliches Gehör.

1 Beschränkungen werden von der Agentur nur zu folgenden Zwecken angewendet: a) zur Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten oder zur Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit; b) zur inneren Sicherheit der Organe und Einrichtungen der Union, einschließlich ihrer elektronischen Kommunikationsnetze; c) zu einer Kontroll-, Überwachungs- und Ordnungsfunktion, die dauernd oder zeitweise mit der Ausübung öffentlicher Gewalt in den unter Buchstabe a genannten Fällen verbunden ist; d) zum Schutz der betroffenen Person oder der Rechte und Freiheiten anderer Personen.

2 Im Rahmen einer spezifischen Anwendung zu den in Absatz 1 genannten Zwecken kann die Agentur unter den folgenden Umständen Beschränkungen anwenden: (a) für personenbezogene Daten, die mit den Dienststellen der Kommission oder anderen Organen, Einrichtungen und sonstigen Stellen der Union ausgetauscht werden, wenn die Ausübung dieser Rechte und Pflichten durch die Dienststellen der Kommission oder andere Organe, Einrichtungen und sonstige Stellen der Union auf der Grundlage anderer in Artikel 25 der Verordnung (EU) 2018/1725 vorgesehener Rechtsakte oder gemäß Kapitel IX der genannten Verordnung oder gemäß den Gründungsakten anderer Organe, Einrichtungen und sonstiger Stellen der Union beschränkt werden könnte und wenn der Zweck einer solchen Beschränkung durch das Organ, die Einrichtung oder sonstige Stelle der Union ohne eine entsprechende Beschränkung in Bezug auf diese personenbezogenen Daten gefährdet wäre; (b) für personenbezogene Daten, die mit den zuständigen Behörden der Mitgliedstaaten oder Drittländern oder internationalen Organisationen ausgetauscht werden, wenn die Ausübung dieser Rechte und Pflichten von den zuständigen Behörden der Mitgliedstaaten auf der Grundlage von in Artikel 23 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates genannten Rechtsakten oder im Rahmen nationaler Maßnahmen zur Umsetzung von Artikel 13 Absatz 3, Artikel 15 Absatz 3 oder Artikel 16 Absatz 3 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates beschränkt werden könnte und wenn der Zweck einer solchen Beschränkung durch die zuständigen Behörden der Mitgliedstaaten ohne eine entsprechende Beschränkung in Bezug auf diese personenbezogenen Daten gefährdet wäre; (c) wenn eindeutigen und hinreichenden Nachweisen zufolge die Ausübung dieser Rechte und Pflichten die Zusammenarbeit der Agentur mit Drittländern oder internationalen Organisationen bei der Wahrnehmung ihrer Aufgaben beeinträchtigen könnte. Vor der Anwendung von Beschränkungen unter den in Unterabsatz 1 Buchstabe a und b genannten Umständen konsultiert die Agentur die zuständigen Dienststellen der Kommission, die Einrichtungen, Organe und sonstigen Stellen der Union oder die zuständigen Behörden der Mitgliedstaaten, es sei denn, der Agentur ist klar, dass die Anwendung einer Beschränkung durch einen der in diesen Buchstaben genannten Rechtsakte vorgesehen ist.

3 Jede Beschränkung muss eine notwendige und verhältnismäßige Maßnahme darstellen und die Risiken für die Rechte und Freiheiten betroffener Personen sowie den Wesensgehalt der Grundrechte und Grundfreiheiten in einer demokratischen Gesellschaft achten.

4 Wenn die Anwendung einer Beschränkung in Betracht gezogen wird, erfolgt eine Prüfung auf Notwendigkeit und Verhältnismäßigkeit auf der Grundlage der vorliegenden Vorschriften. Sie wird auf Einzelfallbasis durch einen internen Bewertungsvermerk für Zwecke der Rechenschaftspflicht dokumentiert.

5 Beschränkungen werden aufgehoben, sobald die Umstände, die sie rechtfertigen, nicht mehr gelten. Dies gilt insbesondere, wenn davon ausgegangen wird, dass die Ausübung des beschränkten Rechts die Wirkung der angewendeten Beschränkung nicht mehr zunichtemacht oder die Rechte oder Freiheiten anderer betroffener Personen nicht mehr beeinträchtigt.

1 Die Agentur bezieht den Datenschutzbeauftragten der Agentur („DSB“) bei allen einschlägigen Verfahren im Rahmen dieses Beschlusses unverzüglich ein und stellt sicher, dass die Beteiligung des DSB dokumentiert wird. Dies umfasst die schriftliche Dokumentation sämtlicher einschlägiger Beurteilungen und Stellungnahmen des DSB in Bezug auf die Anwendbarkeit einer Beschränkung in einem bestimmten Fall.

2 Die Agentur unterrichtet den DSB unverzüglich, wenn der Verantwortliche gemäß diesem Beschluss die Anwendung der Rechte betroffener Personen beschränkt oder die Beschränkung ausweitet. Der Verantwortliche gewährt dem DSB Zugang zu dem Verzeichnis, das die Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung enthält, und dokumentiert das Datum, an dem der DSB unterrichtet wurde, im Verzeichnis.

3 Der DSB kann schriftlich von dem Verantwortlichen eine Überprüfung der vorgenommenen Beschränkungen fordern. Der DSB wird von dem Verantwortlichen schriftlich über das Ergebnis der Überprüfung unterrichtet.

4 Der DSB wird von dem Verantwortlichen unterrichtet, wenn die Beschränkung aufgehoben wurde.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann das Recht auf Unterrichtung durch den Verantwortlichen im Rahmen der folgenden Verarbeitungsvorgänge beschränkt werden: a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; b) vorläufige Aktivitäten im Zusammenhang mit potenziellen, dem OLAF gemeldeten Unregelmäßigkeiten; c) Verfahren in Bezug auf Meldungen von Missständen (Whistleblowing); d) (formelle und informelle) Verfahren zur Bearbeitung von Fällen von Belästigung; e) Bearbeitung von internen und externen Beschwerden; f) interne Audits; g) Untersuchungen durch den Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725; h) Überwachung der Energiegroßhandelsmärkte und Koordinierung der Tätigkeiten nationaler Aufsichtsbehörden in Bezug auf mögliche Verstöße gegen REMIT; i) intern oder extern (z. B. durch das CERT-EU) abgewickelte (IT-)Sicherheitsüberprüfungen. Die Agentur nimmt in die auf ihrer Website und/oder im Intranet veröffentlichten Datenschutzhinweise, Datenschutzerklärungen oder Verzeichnisse im Sinne von Artikel 31 der Verordnung (EU) 2018/1725, die die betroffenen Personen im Rahmen eines bestimmten Verfahrens über ihre Rechte informieren, Informationen über die mögliche Beschränkung dieser Rechte auf. Die Informationen umfassen die Frage, welche Rechte beschränkt werden können, die Gründe für solche Beschränkungen sowie ihre potenzielle Dauer.

2 Unbeschadet der Bestimmungen in Absatz 3 informiert die Agentur, sofern dies verhältnismäßig ist, alle betroffenen Personen, die als von den spezifischen Verarbeitungsvorgängen betroffene Personen gelten, einzeln, unverzüglich und schriftlich über gegenwärtige oder künftige Beschränkungen ihrer Rechte.

3 Wenn die Agentur das in Absatz 2 vorgesehene Recht auf Unterrichtung der betroffenen Personen ganz oder teilweise beschränkt, erfasst sie die Gründe für die Beschränkung und die Rechtsgrundlage gemäß Artikel 3 dieses Beschlusses, einschließlich einer Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung. Die Verarbeitungstätigkeiten sowie gegebenenfalls die Dokumente, die die zugrunde liegenden Fakten und die rechtlichen Grundlagen enthalten, werden in einem Register verzeichnet. Sie werden dem Europäischen Datenschutzbeauftragten auf Anfrage zur Verfügung gestellt.

4 Die in Absatz 3 erwähnte Beschränkung gilt so lange, wie die sie rechtfertigenden Gründe dafür vorliegen. Wenn die Gründe für die Beschränkung nicht mehr vorliegen, unterrichtet die Agentur die betroffene Person über die Hauptgründe, auf denen die Anwendung einer Beschränkung beruht. Gleichzeitig teilt die Agentur der betroffenen Person mit, dass sie jederzeit Beschwerde beim Europäischen Datenschutzbeauftragten oder einen Rechtsbehelf beim Gerichtshof der Europäischen Union einlegen kann. Die Agentur überprüft die Anwendung der Beschränkung alle sechs Monate ab ihrer Anwendung und nach Abschluss der entsprechenden Prüfung, des entsprechenden Verfahrens und der entsprechenden Untersuchung, um festzustellen, ob die Fakten und rechtlichen Grundlagen der Beschränkung weiterhin bestehen. Anschließend überprüft der Verantwortliche alle sechs Monate die Notwendigkeit der Aufrechterhaltung einer Beschränkung.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann das Recht auf Auskunft durch den Verantwortlichen im Rahmen der folgenden Verarbeitungsvorgänge beschränkt werden, sofern dies notwendig und verhältnismäßig ist: a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; b) vorläufige Aktivitäten im Zusammenhang mit potenziellen, dem OLAF gemeldeten Unregelmäßigkeiten; c) Verfahren in Bezug auf Meldungen von Missständen (Whistleblowing); d) (formelle und informelle) Verfahren zur Bearbeitung von Fällen von Belästigung; e) Bearbeitung von internen und externen Beschwerden; f) interne Audits; g) Untersuchungen durch den Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725; h) Überwachung der Energiegroßhandelsmärkte und Koordinierung der Tätigkeiten nationaler Aufsichtsbehörden in Bezug auf mögliche Verstöße gegen REMIT; i) intern oder extern (z. B. durch das CERT-EU) abgewickelte (IT-)Sicherheitsüberprüfungen. Wenn betroffene Personen gemäß Artikel 17 der Verordnung (EU) 2018/1725 Auskunft über ihre im Rahmen eines oder mehrerer spezifischer Fälle verarbeiteten personenbezogenen Daten oder über einen bestimmten Verarbeitungsvorgang beantragen, beschränkt die Agentur ihre Beurteilung des Antrags ausschließlich auf diese personenbezogenen Daten.

2 Wenn die Agentur das in Artikel 17 der Verordnung (EU) 2018/1725 vorgesehene Recht auf Auskunft ganz oder teilweise beschränkt, ergreift sie die folgenden Maßnahmen: a) sie unterrichtet die jeweils betroffene Person in ihrer Antwort auf den Antrag über die angewendete Beschränkung und die Hauptgründe hierfür sowie über die Möglichkeit, Beschwerde beim Europäischen Datenschutzbeauftragten oder einen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen; b) sie dokumentiert in Form eines internen Beurteilungsvermerks die Gründe für die Beschränkung, einschließlich einer Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung sowie ihrer Dauer. Die unter Buchstabe a genannte Unterrichtung kann gemäß Artikel 25 Absatz 8 der Verordnung (EU) 2018/1725 zurückgestellt, unterlassen oder abgelehnt werden, wenn sie die Wirkung der Beschränkung zunichtemachen würde. Die Agentur überprüft die Anwendung der Beschränkung alle sechs Monate ab ihrer Anwendung und nach Abschluss der entsprechenden Untersuchung, um festzustellen, ob die Fakten und rechtlichen Grundlagen der Beschränkung weiterhin bestehen. Anschließend überprüft der Verantwortliche alle sechs Monate die Notwendigkeit der Aufrechterhaltung einer Beschränkung.

3 Die Verarbeitungstätigkeiten sowie gegebenenfalls die Dokumente, die die zugrunde liegenden Fakten und die rechtlichen Grundlagen enthalten, werden in einem Register verzeichnet. Sie werden dem Europäischen Datenschutzbeauftragten auf Anfrage zur Verfügung gestellt.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann das Recht auf Berichtigung oder Löschung personenbezogener Daten und auf Einschränkung der Verarbeitung durch den Verantwortlichen im Rahmen der folgenden Verarbeitungsvorgänge beschränkt werden, sofern dies notwendig und angemessen ist: a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; b) vorläufige Aktivitäten im Zusammenhang mit potenziellen, dem OLAF gemeldeten Unregelmäßigkeiten; c) Verfahren in Bezug auf Meldungen von Missständen (Whistleblowing); d) (formelle und informelle) Verfahren zur Bearbeitung von Fällen von Belästigung; e) Bearbeitung von internen und externen Beschwerden; f) interne Audits; g) Untersuchungen durch den Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725; h) Überwachung der Energiegroßhandelsmärkte und Koordinierung der Tätigkeiten nationaler Aufsichtsbehörden in Bezug auf mögliche Verstöße gegen REMIT; i) intern oder extern (z. B. durch das CERT-EU) abgewickelte (IT-)Sicherheitsüberprüfungen.

2 Wenn die Agentur das in Artikel 18, Artikel 19 Absatz 1 und Artikel 20 Absatz 1 der Verordnung (EU) 2018/1725 jeweils vorgesehene Recht auf Berichtigung, Recht auf Löschung und Recht auf Einschränkung der Verarbeitung ganz oder teilweise beschränkt, ergreift sie die in Artikel 6 Absatz 2 dieses Beschlusses genannten Maßnahmen. Artikel 6 Absatz 3 dieses Beschlusses gilt für alle Beschränkungen, die im Rahmen dieses Artikels angewendet werden.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann das Recht auf Benachrichtigung über eine Verletzung des Schutzes personenbezogener Daten durch den Verantwortlichen im Rahmen der folgenden Verarbeitungsvorgänge beschränkt werden, sofern dies notwendig und angemessen ist: a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; b) vorläufige Aktivitäten im Zusammenhang mit potenziellen, dem OLAF gemeldeten Unregelmäßigkeiten; c) Verfahren in Bezug auf Meldungen von Missständen (Whistleblowing); d) Bearbeitung von internen und externen Beschwerden; e) interne Audits; f) Untersuchungen durch den Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725; g) Überwachung der Energiegroßhandelsmärkte und Koordinierung der Tätigkeiten nationaler Aufsichtsbehörden in Bezug auf mögliche Verstöße gegen REMIT; h) intern oder extern (z. B. durch das CERT-EU) abgewickelte (IT-)Sicherheitsüberprüfungen.

2 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann das Recht auf Vertraulichkeit der elektronischen Kommunikation durch den Verantwortlichen im Rahmen der folgenden Verarbeitungsvorgänge beschränkt werden, sofern dies notwendig und angemessen ist: a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; b) vorläufige Aktivitäten im Zusammenhang mit potenziellen, dem OLAF gemeldeten Unregelmäßigkeiten; c) Verfahren in Bezug auf Meldungen von Missständen (Whistleblowing); d) formelle Verfahren zur Bearbeitung von Fällen von Belästigung; e) Bearbeitung von internen und externen Beschwerden; f) Überwachung der Energiegroßhandelsmärkte und Koordinierung der Tätigkeiten nationaler Aufsichtsbehörden in Bezug auf mögliche Verstöße gegen REMIT; g) intern oder extern (z. B. durch das CERT-EU) abgewickelte (IT-)Sicherheitsüberprüfungen.

3 Wenn die Agentur das in Artikel 35 und Artikel 36 der Verordnung (EU) 2018/1725 genannte Recht auf Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person oder auf Vertraulichkeit der elektronischen Kommunikation beschränkt, ergreift sie die in Artikel 5 Absatz 3 und Absatz 4 dieses Beschlusses vorgesehenen Maßnahmen. Artikel 6 Absatz 3 dieses Beschlusses gilt für alle Beschränkungen, die im Rahmen dieses Artikels angewendet werden.

Dieser Beschluss tritt am Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.