Beschluss des Verwaltungsrats der Agentur zur Unterstützung des GEREK (GEREK-Büro) vom 10. September 2019 über interne Vorschriften zur Beschränkung bestimmter Rechte betroffener Personen in Bezug auf die Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten des GEREK-Büros

Mit diesem Beschluss werden Vorschriften in Bezug auf die Bedingungen festgelegt, unter denen das GEREK-Büro gemäß Artikel 25 der Verordnung befugt ist, die Anwendung der in den Artikeln 14 bis 20, 35 und 36 sowie in Artikel 4 der Verordnung verankerten Rechte zu beschränken.

1 Nach Artikel 25 Absatz 1 der Verordnung kann das GEREK-Büro die Anwendung der Artikel 14 bis 20, 35 und 36 sowie des Artikels 4, insofern dessen Bestimmungen den in den Artikeln 14 bis 20 vorgesehenen Rechten und Pflichten entsprechen, beschränken, wenn es: a) Verwaltungsuntersuchungen, Vorverfahren in Disziplinarsachen, Disziplinarverfahren und Dienstenthebungsverfahren, die auf dem Anhang IX zum Statut der Beamten und über die Beschäftigungsbedingungen für die sonstigen Bediensteten der Europäischen Union beruhen, im Einklang mit dem Beschluss MC/2012/3 des Verwaltungsausschusses des Büros des Gremiums europäischer Regulierungsstellen für elektronische Kommunikation (GEREK-Büro) über die allgemeinen Durchführungsbestimmungen für die Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren durchführt, im Zuge derer Informationen, einschließlich personenbezogener Daten, verarbeitet werden. Die relevanten Beschränkungen können auf Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung gestützt werden; b) sicherstellt, dass Beschäftigte des GEREK-Büros gemäß dem Beschluss Nr. MC/2018/11 des Verwaltungsausschusses des Büros des Gremiums europäischer Regulierungsstellen für elektronische Kommunikation (GEREK-Büro) über die Leitlinien des GEREK-Büros für die Meldung von Missständen (Whistleblowing) Sachverhalte vertraulich melden können, bei denen es sich ihrer Meinung nach um schwere Unregelmäßigkeiten handelt. Die relevanten Beschränkungen können auf Artikel 25 Absatz 1 Buchstabe h der Verordnung gestützt werden; c) sicherstellt, dass sich Beschäftigte des GEREK-Büros im Zusammenhang mit einem Verfahren wegen Mobbings oder sexueller Belästigung gemäß dem Beschluss Nr. MC/2016/15 des Verwaltungsausschusses des Büros des Gremiums europäischer Regulierungsstellen für elektronische Kommunikation (GEREK-Büro) über die Grundsätze für den Schutz der Menschenwürde und die Prävention von Mobbing und sexueller Belästigung vertraulich an Vertrauenspersonen wenden können. Die relevanten Beschränkungen können auf Artikel 25 Absatz 1 Buchstabe h der Verordnung gestützt werden.

2 Die Datenkategorien umfassen Identifikationsdaten natürlicher Personen, Kontaktangaben, Angaben zu beruflichen Rollen und Aufgaben, Informationen über private und berufliche Verhaltensweisen und Leistungen sowie Finanzdaten.

3 Beschränkungen müssen den Wesensgehalt der Grundrechte und Grundfreiheiten achten und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellen.

4 Die Notwendigkeit und Verhältnismäßigkeit ist auf Einzelfallbasis vor Anwendung der Beschränkungen zu prüfen. Beschränkungen sind nur insoweit zulässig, als sie unter Berücksichtigung der Risiken für die Rechte und Freiheiten der betroffenen Personen zur Erreichung der gesetzten Ziele unbedingt erforderlich sind.

5 Zu Rechenschaftszwecken erstellt das GEREK-Büro Aufzeichnungen mit Angaben zur Begründung der Beschränkungen, zu den angewendeten Rechtsgrundlagen im Sinne von Absatz 1 und zum Ergebnis der Notwendigkeits- und Verhältnismäßigkeitsprüfung. Diese Aufzeichnungen sind Teil eines speziellen Registers, das vom EDBS auf Verlangen zugänglich gemacht wird. In regelmäßigen Abständen wird ein Bericht über die Anwendung von Artikel 25 der Verordnung veröffentlicht.

Die Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen, im Hinblick auf deren personenbezogene Daten Beschränkungen angeordnet werden können, wie auch die einschlägige Aufbewahrungsfrist sind in dem Verzeichnis der relevanten Verarbeitungstätigkeiten im Sinne von Artikel 31 der Verordnung sowie ggf. in der relevanten Datenschutz-Folgenabschätzung gemäß Artikel 39 der Verordnung zu vermerken.

Das GEREK-Büro sieht Garantien dagegen vor, dass personenbezogene Daten, im Hinblick auf die Beschränkungen angeordnet werden können, Missbrauch oder unrechtmäßigem Zugang oder unrechtmäßiger Übermittlung ausgesetzt werden. Diese Garantien umfassen technische und organisatorische Maßnahmen, die erforderlichenfalls im Einzelnen in den internen Beschlüssen, Verfahren und Durchführungsbestimmungen des GEREK-Büros anzugeben sind. Die Garantien beinhalten: a) eine angemessene Definitionen der Rollen, Zuständigkeiten und Verfahrensschritte; b) ggf. eine sichere elektronische Umgebung, die verhindert, dass elektronische Daten rechtswidrig oder versehentlich unbefugten Personen zugänglich gemacht oder übermittelt werden; c) ggf. die sichere Aufbewahrung und Bearbeitung von Papierdokumenten; d) die ordnungsgemäße Überwachung und regelmäßige Überprüfung der Beschränkungen, die mindestens alle sechs Monate erfolgen muss. Außerdem ist bei jeder Änderung des wesentlichen Sachverhalts eine Überprüfung durchzuführen. Sobald die Umstände, die die Beschränkungen rechtfertigen, nicht mehr vorliegen, sind die Beschränkungen aufzuheben.

1 Jede gemäß diesem Beschluss vorgenommene Beschränkung der Rechte betroffener Personen ist unverzüglich dem Datenschutzbeauftragten (DSB) des GEREK-Büros mitzuteilen, dem Zugang zu den Aufzeichnungen und allen Unterlagen zu gewähren ist, aus denen die zugrunde liegenden Tatsachen und rechtlichen Aspekte hervorgehen.

2 Der DSB des GEREK-Büros kann dazu auffordern, die Anwendung der Beschränkung zu überprüfen. Das GEREK-Büro informiert seinen DSB schriftlich über das Ergebnis der erbetenen Überprüfung.

3 Die Einbeziehung des DSB des GEREK-Büros in das Beschränkungsverfahren, wozu auch der Informationsaustausch gehört, ist in geeigneter Weise zu dokumentieren.

1 Das GEREK-Büro nimmt in die auf seiner Website veröffentlichten Datenschutzhinweise an betroffene Personen gerichtete allgemeine Informationen über die in Artikel 2 Absatz 1 dieses Beschlusses beschriebenen Möglichkeiten, die Rechte aller betroffenen Personen zu beschränken, auf. Darin ist darüber zu informieren, welche Rechte aus welchen Gründen beschränkt werden können und wie lang die Beschränkung andauern darf.

2 Darüber hinaus muss das GEREK-Büro die betroffenen Personen unverzüglich und schriftlich einzeln über gegenwärtige oder künftige Beschränkungen ihrer Rechte unterrichten, so wie dies in den Artikeln 7, 8 und 9 dieses Beschlusses näher angegeben ist.

1 Soweit das GEREK-Büro im Rahmen seiner in diesem Beschluss genannten Tätigkeiten die in den Artikeln 14 bis 16 und 35 der Verordnung genannten Rechte betroffener Personen ganz oder zum Teil beschränkt, sind die betroffenen Personen über die wesentlichen Gründe für diese Beschränkung sowie über ihr Recht zu unterrichten, beim Europäischen Datenschutzbeauftragten Beschwerde einzulegen sowie den Rechtsweg zum Gerichtshof der Europäischen Union zu beschreiten.

2 Das GEREK-Büro kann die Unterrichtung über die Gründe für die in Absatz 1 genannte Beschränkung so lange zurückstellen, unterlassen oder ablehnen, wie die Unterrichtung die Wirkung der Beschränkung zunichtemachen würde. Diese Bewertung ist auf Einzelfallbasis vorzunehmen.

1 Soweit das GEREK-Büro im Rahmen seiner in diesem Beschluss genannten Tätigkeiten das Recht auf Auskunft über personenbezogene Daten, das Recht auf Berichtigung, Löschung bzw. Einschränkung der Verarbeitung, so wie dies jeweils in den Artikeln 17 bis 20 der Verordnung geregelt ist, ganz oder zum Teil beschränkt, muss es die betroffene Person in der Erwiderung auf deren Antrag über die wesentlichen Gründe für diese Beschränkung sowie über die Möglichkeit unterrichten, beim Europäischen Datenschutzbeauftragten (EDSB) Beschwerde einzulegen oder den Rechtsweg zum Gerichtshof der Europäischen Union zu beschreiten.

2 Das GEREK-Büro kann die Unterrichtung über die Gründe für die in Absatz 1 genannte Beschränkung zurückstellen, unterlassen oder ablehnen, wenn die Unterrichtung die Wirkung der Beschränkung zunichtemachen würde. Diese Bewertung ist auf Einzelfallbasis vorzunehmen.

1 Unter besonderen Umständen darf das GEREK-Büro das in Artikel 36 der Verordnung vorgesehene Recht auf Vertraulichkeit der elektronischen Kommunikation in Übereinstimmung mit den Bestimmungen und dem Zweck der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates beschränken. Gegebenenfalls muss das GEREK-Büro die Tatbestandsvoraussetzungen, Gründe, relevanten Risiken und dazugehörigen Garantien im Einzelnen in besonderen internen Vorschriften regeln.

2 Wenn das GEREK-Büro das Recht auf Vertraulichkeit der elektronischen Kommunikation beschränkt, unterrichtet es die betroffene Person in seiner Antwort auf deren Antrag über die wesentlichen Gründe für die Beschränkung sowie über die Möglichkeit, Beschwerde beim Europäischen Datenschutzbeauftragten (EDSB) einzulegen oder den Rechtsweg zum Gerichtshof der Europäischen Union zu beschreiten.

3 Das GEREK-Büro kann die Unterrichtung über die Gründe für die in Absatz 1 und 2 genannte Beschränkung so lange zurückstellen, unterlassen oder ablehnen, wie die Unterrichtung die Wirkung der Beschränkung zunichtemachen würde. Diese Bewertung ist auf Einzelfallbasis vorzunehmen.

Dieser Beschluss tritt am Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.