Beschluss Nr. 20-W-3 des Verwaltungsrats der Europäischen Fischereiaufsichtsagentur vom 22. April 2020 über interne Vorschriften zur Beschränkung bestimmter Rechte betroffener Personen in Bezug auf die Verarbeitung personenbezogener Daten im Rahmen der Tätigkeit der Europäischen Fischereiaufsichtsagentur

1 Mit diesem Beschluss werden Vorschriften in Bezug auf die Bedingungen festgelegt, unter denen die Agentur im Rahmen ihrer unter Absatz 2 aufgeführten Verfahren gemäß Artikel 25 der Verordnung (EU) 2018/1725 befugt ist, die Anwendung der in den Artikeln 14 bis 21, 35 und 36 sowie in Artikel 4 der Verordnung verankerten Rechte zu beschränken.

2 Im Rahmen der Verwaltungstätigkeit der Agentur gilt dieser Beschluss für die personenbezogene Daten betreffenden Verarbeitungsvorgänge, die den folgenden Zwecken dienen: Verwaltungsuntersuchungen, Disziplinarverfahren, vorläufige Aktivitäten im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten, Bearbeitung gemeldeter Missstände (Whistleblowing), formelle und informelle Verfahren wegen Mobbings, Bearbeitung interner und externer Beschwerden, interne Audits, Prüfungen durch den Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 sowie intern oder mit externer Beteiligung (z. B. durch das CERT-EU) durchgeführte (IT-)Sicherheitsüberprüfungen.

3 Im Rahmen der operativen Tätigkeiten der Agentur findet dieser Beschluss Anwendung auf die Verarbeitungsvorgänge, die personenbezogene Daten betreffen und der Erfüllung ihres Mandats dienen, insbesondere auf den Empfang von Inspektionsberichten gemäß Artikel 123 der Durchführungsverordnung (EU) Nr. 404/2011, den Artikeln 18, 19 und 20 der Verordnung (EU) Nr. 1236/2010 und den Artikeln 30, 33 und 34 der Verordnung (EU) 2019/833 wie auch auf den Empfang von Mitgliedstaaten eingehender Informationen und Daten im Zusammenhang mit für die Europäische Kommission erstellten Analysen zur Vorbereitung und Durchführung von Vor-Ort-Audits in Drittländern gemäß Artikel 20 Absatz 4 Buchstaben c der Verordnung (EG) Nr. 1005/2008, so wie dies im Beschluss 2009/988/EU vorgesehen ist.

4 Die entsprechenden Kategorien personenbezogener Daten umfassen harte Daten („objektive“ Daten wie Identifikationsdaten, Kontaktdaten, berufsbezogene Daten, Verwaltungsdaten, Daten aus bestimmten Quellen, elektronische Kommunikations- und Verkehrsdaten) und/oder weiche Daten („subjektive“ fallbezogene Daten wie Begründungen, verhaltensbezogene Daten, Beurteilungen, Leistungs- und Verhaltensdaten sowie Daten, die sich auf den Gegenstand des Verfahrens oder der Tätigkeit beziehen oder im Zusammenhang damit vorgebracht werden).

5 Bei der Wahrnehmung ihrer Aufgaben in Bezug auf die Rechte betroffener Personen gemäß der Verordnung (EU) 2018/1725 prüft die Agentur, ob eine der in der Verordnung vorgesehenen Ausnahmen gegeben ist.

6 Vorbehaltlich der in diesem Beschluss aufgeführten Bedingungen können die folgenden Rechte beschränkt werden: die Rechte auf Unterrichtung der betroffenen Personen, Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Personen sowie Vertraulichkeit der Kommunikation.

1 Zur Verhinderung von Missbrauch, unrechtmäßigem Zugang oder unrechtmäßiger Übermittlung gibt die Agentur die folgenden Garantien: a) Dokumente in Papierform werden in gesicherten Schränken aufbewahrt und ausschließlich befugtem Personal zugänglich gemacht. b) Alle elektronischen Daten werden in einer sicheren IT-Anwendung gemäß den Sicherheitsstandards der Agentur sowie in speziellen elektronischen Ordnern gespeichert, die ausschließlich befugtem Personal zugänglich sind. Angemessene Zugangsrechte werden auf individueller Basis erteilt. c) Die IT-Systeme und dazugehörigen Datenbanken müssen vorsehen, dass die Benutzeridentität anhand eines Systems mit einmaliger Anmeldung und automatischer Verbindung mit Benutzerkennung und Passwort (Single Sign-on-System) überprüft wird. Endnutzerkonten sind einmalig einer bestimmten Person zugewiesen und nicht übertragbar; die gemeinsame Nutzung von Nutzerkonten ist streng untersagt. Elektronische Aufzeichnungen werden sicher aufbewahrt, um die Vertraulichkeit und den Schutz der darin enthaltenen Daten zu garantieren. d) Alle Personen, die Zugang zu den Daten haben, sind zur Geheimhaltung verpflichtet.

2 Der für die Verarbeitung Verantwortliche ist die Agentur, vertreten durch ihren Direktor, der die Funktion des für die Verarbeitung Verantwortlichen übertragen kann. Der stellvertretende für die Verarbeitung Verantwortliche wird den betroffenen Personen in den Datenschutzhinweisen, Datenschutzerklärungen oder Verzeichnissen mitgeteilt, die auf der Website und/oder im Intranet der Agentur veröffentlicht werden.

3 Die Aufbewahrungsfrist für die in Artikel 1 Absatz 3 genannten personenbezogenen Daten ist nicht länger als für die Datenverarbeitungszwecke notwendig und verhältnismäßig. Sie darf keinesfalls länger sein als die Aufbewahrungsfrist, die in den Datenschutzhinweisen, Datenschutzerklärungen oder Verzeichnissen angegeben ist, auf die in Artikel 5 Absatz 1 Bezug genommen wird.

4 Wenn die Agentur eine Beschränkung in Erwägung zieht, sind die Risiken für die Rechte und Freiheiten der betroffenen Person abzuwägen, insbesondere gegenüber dem Risiko für die Rechte und Freiheiten anderer betroffener Personen sowie dem Risiko, dass die Wirksamkeit der von der Agentur durchgeführten Untersuchungen oder Verfahren, z. B. durch Vernichtung von Beweismaterial, zunichte gemacht wird. Die Risiken für die Rechte und Freiheiten der betroffenen Person betreffen insbesondere, jedoch nicht ausschließlich Reputationsrisiken sowie Risiken für das Verteidigungsrecht und den Anspruch auf rechtliches Gehör.

1 Die Vornahme von Beschränkungen ist der Agentur nur gestattet, wenn einer oder mehrere der in Artikel 25 Absatz 1 Buchstaben a bis i der Verordnung (EU) 2018/1725 aufgeführten Gründe gegeben sind. In die auf der Website und/oder im Intranet der Agentur veröffentlichten Datenschutzhinweise, Datenschutzerklärungen oder Verzeichnisse im Sinne von Artikel 31 der Verordnung (EU) 2018/1725, in denen betroffene Personen über ihre Rechte im Rahmen eines gegebenen Verfahrens informiert werden, nimmt die Agentur Informationen über die mögliche Beschränkung dieser Rechte auf. Die Unterrichtung bezieht sich darauf, welche Rechte beschränkt werden können, die Gründe dafür und die mögliche Dauer.

2 Im konkreten Fall kann die Agentur unter den folgenden Voraussetzungen zu den in Absatz 1 genannten Zwecken Beschränkungen vornehmen: a) wenn befugte Dienststellen der Kommission oder andere Organe, Einrichtungen und sonstige Stellen der Union auf der Grundlage anderer in Artikel 25 der Verordnung (EU) 2018/1725 vorgesehener Rechtsakte oder gemäß Kapitel IX der genannten Verordnung oder gemäß den Gründungsakten anderer Organe, Einrichtungen und sonstiger Stellen der Union die Ausübung dieser Rechte und Pflichten beschränkt haben, sofern der Zweck einer solchen Beschränkung gefährdet wäre, falls die Agentur hinsichtlich der betreffenden personenbezogenen Daten keine entsprechende Beschränkung vornähme; b) wenn die Ausübung dieser Rechte und Pflichten von befugten Behörden der Mitgliedstaaten aufgrund der in Artikel 23 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates genannten Rechtsakte oder im Rahmen nationaler Maßnahmen zur Umsetzung von Artikel 13 Absatz 3, Artikel 15 Absatz 3 oder Artikel 16 Absatz 3 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates beschränkt wurde; c) wenn die Ausübung dieser Rechte und Pflichten bei der Wahrnehmung ihrer Aufgaben die Zusammenarbeit der Agentur mit Drittländern oder internationalen Organisationen gefährden könnte, sofern es klare Beweise dafür gibt, dass die Zusammenarbeit wahrscheinlich gefährdet wäre. Bevor unter den in Buchstaben a und b des ersten Unterabsatzes genannten Voraussetzungen Beschränkungen vorgenommen werden, muss die Agentur die zuständigen Dienststellen der Kommission, die Einrichtungen, Organe und sonstigen Stellen der Union oder die zuständigen Behörden der Mitgliedstaaten konsultieren, es sei denn, für die Agentur ist klar, dass die Vornahme der Beschränkung in einem der unter diesen beiden Buchstaben genannten Rechtsakte vorgesehen ist.

3 Jede Beschränkung muss im Hinblick auf die Risiken für die Rechte und Freiheiten der betroffenen Personen notwendig und verhältnismäßig sein und den Wesensgehalt der Grundrechte und Grundfreiheiten in einer demokratischen Gesellschaft achten.

4 Wird eine Beschränkung in Erwägung gezogen, so ist deren Notwendigkeit und Verhältnismäßigkeit auf Grundlage der vorliegenden Vorschriften zu prüfen. Zu Rechenschaftszwecken ist dies im Einzelfall in einem internen Bewertungsvermerk zu dokumentieren. Der Vermerk sowie gegebenenfalls die Unterlagen, die die tatsächlichen und rechtlichen Grundlagen enthalten, werden in einem Register verzeichnet. Sie werden dem Europäischen Datenschutzbeauftragten auf Verlangen zur Verfügung gestellt. Die Agentur überprüft die vorgenommene Beschränkung alle sechs Monate sowie bei Abschluss der Prüfung, des Verfahrens bzw. der Untersuchung. Im Rahmen dieser regelmäßigen Überprüfung ist die Notwendigkeit und Verhältnismäßigkeit zu prüfen, um festzustellen, ob die tatsächlichen und rechtlichen Voraussetzungen für die Beschränkung noch gegeben sind.

5 Sobald die die Beschränkungen rechtfertigenden Umstände nicht mehr vorliegen, werden die Beschränkungen aufgehoben. Insbesondere, wenn nicht mehr anzunehmen ist, dass die Ausübung des beschränkten Rechts die Wirkung der verhängten Beschränkung zunichtemachen oder die Rechte oder Freiheiten anderer betroffener Personen beeinträchtigen würde.

1 Die Agentur unterrichtet den Datenschutzbeauftragten der Agentur (im Folgenden: DSB) unverzüglich, wenn der für die Verarbeitung Verantwortliche Rechte betroffener Personen gemäß diesem Beschluss beschränkt oder Beschränkungen verlängert. Der für die Verarbeitung Verantwortliche gewährt dem DSB Zugang zu dem Verzeichnis, das die Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung enthält, und dokumentiert das Datum, an dem der DSB informiert wurde, im Verzeichnis.

2 Der Datenschutzbeauftragte kann den für die Verarbeitung Verantwortlichen schriftlich zur Überprüfung der vorgenommenen Beschränkungen auffordern. Der für die Verarbeitung Verantwortliche unterrichtet den Datenschutzbeauftragten schriftlich über das Ergebnis der angeforderten Überprüfung.

3 Der für die Verarbeitung Verantwortliche unterrichtet den Datenschutzbeauftragten über die Aufhebung jeder vorgenommenen Beschränkung der Rechte betroffener Personen.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der für die Verarbeitung Verantwortliche das Recht auf Unterrichtung im Rahmen der folgenden Verarbeitungsvorgänge, soweit dies notwendig und verhältnismäßig ist, beschränken: a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, f, g und h der Verordnung (EU) 2018/1725 möglich; b) vorläufige Aktivitäten im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, d, f und h der Verordnung (EU) 2018/1725 möglich; c) Verfahren wegen gemeldeter Missstände (Whistleblowing). Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, d, f und h der Verordnung (EU) 2018/1725 möglich; d) formelle und informelle Verfahren wegen Mobbings. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, d, f und h der Verordnung (EU) 2018/1725 möglich; e) Bearbeitung interner und externer Beschwerden. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, f, g und h der Verordnung (EU) 2018/1725 möglich; f) interne Audits. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, f, g und h der Verordnung (EU) 2018/1725 möglich; g) vom Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 durchgeführte Untersuchungen. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung (EU) 2018/1725 möglich; h) intern oder mit externer Beteiligung (z. B. durch das CERT-EU) vorgenommene (IT-)Sicherheitsüberprüfungen. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, g und h der Verordnung (EU) 2018/1725 möglich; i) Informationsaustausch im Rahmen der operativen Tätigkeiten der Agentur zur Erfüllung ihres Mandats, insbesondere der Empfang von Inspektionsberichten gemäß Artikel 123 der Durchführungsverordnung (EU) Nr. 404/2011, den Artikeln 18, 19 und 20 der Verordnung (EU) Nr. 1236/2010 und den Artikeln 30, 33 und 34 der Verordnung (EU) 2019/833 wie auch der Empfang von Mitgliedstaaten eingehender Informationen und Daten im Zusammenhang mit für die Europäische Kommission erstellten Analysen zur Vorbereitung und Durchführung von Vor-Ort-Audits in Drittländern gemäß Artikel 20 Absatz 4 Buchstaben c der Verordnung (EG) Nr. 1005/2008. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, g und h der Verordnung (EU) 2018/1725 möglich.

2 Unbeschadet der Bestimmungen in Absatz 3 muss die Agentur, sofern dies verhältnismäßig ist, alle betroffenen Personen, die als von den spezifischen Verarbeitungsvorgängen betroffene Personen gelten, unverzüglich auch einzeln schriftlich über deren Rechte bezüglich gegenwärtiger oder künftiger Beschränkungen unterrichten.

3 Wenn die Agentur die in Absatz 2 vorgesehene Unterrichtung der betroffenen Personen ganz oder zum Teil beschränkt, sind die Gründe für die Beschränkung und die Rechtsgrundlage gemäß Artikel 3 dieses Beschlusses einschließlich der Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung in einem Vermerk festzuhalten.

4 Die in Absatz 3 genannte Beschränkung gilt, solange die Gründe dafür weiterhin vorliegen. Wenn die Gründe für die Beschränkung nicht mehr vorliegen, unterrichtet die Agentur die betroffene Person über die Hauptgründe für die Beschränkung Gleichzeitig informiert die Agentur die betroffene Person über das Recht, jederzeit Beschwerde beim Europäischen Datenschutzbeauftragten oder einen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der für die Verarbeitung Verantwortliche das Recht auf Auskunft im Rahmen der folgenden Verarbeitungsvorgänge, soweit dies notwendig und verhältnismäßig ist, beschränken: a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, f, g und h der Verordnung (EU) 2018/1725 möglich; b) vorläufige Aktivitäten im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, d, f und h der Verordnung (EU) 2018/1725 möglich; c) Verfahren wegen gemeldeter Missstände (Whistleblowing). Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, d, f und h der Verordnung (EU) 2018/1725 möglich; d) formelle und informelle Verfahren wegen Mobbings. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, d, f und h der Verordnung (EU) 2018/1725 möglich; e) Bearbeitung interner und externer Beschwerden. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, f, g und h der Verordnung (EU) 2018/1725 möglich; f) interne Audits. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, f, g und h der Verordnung (EU) 2018/1725 möglich; g) vom Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 durchgeführte Untersuchungen. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung (EU) 2018/1725 möglich; h) intern oder mit externer Beteiligung (z. B. durch das CERT-EU) vorgenommene (IT-)Sicherheitsüberprüfungen. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, g und h der Verordnung (EU) 2018/1725 möglich; i) Informationsaustausch im Rahmen der operativen Tätigkeiten der Agentur zur Erfüllung ihres Mandats, insbesondere der Empfang von Inspektionsberichten gemäß Artikel 123 der Durchführungsverordnung (EU) Nr. 404/2011, den Artikeln 18, 19 und 20 der Verordnung (EU) Nr. 1236/2010 und den Artikeln 30, 33 und 34 der Verordnung (EU) 2019/833 wie auch der Empfang von Mitgliedstaaten eingehender Informationen und Daten im Zusammenhang mit für die Europäische Kommission erstellten Analysen zur Vorbereitung und Durchführung von Vor-Ort-Audits in Drittländern gemäß Artikel 20 Absatz 4 Buchstaben c der Verordnung (EG) Nr. 1005/2008. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, g und h der Verordnung (EU) 2018/1725 möglich. Verlangen von der Datenverarbeitung betroffene Personen gemäß Artikel 17 der Verordnung (EU) 2018/1725 Auskunft über ihre personenbezogenen Daten, die im Zusammenhang mit einem oder mehreren spezifischen Fällen verarbeitet wurden, oder über einen spezifischen Datenverarbeitungsvorgang, beschränkt die Agentur ihre Antragsprüfung auf diese personenbezogenen Daten.

2 Beschränkt die Agentur das in Artikel 17 der Verordnung (EU) 2018/1725 vorgesehene Auskunftsrecht ganz oder zum Teil, ergreift sie die folgenden Maßnahmen: a) In ihrer Antwort auf den Antrag unterrichtet sie die betroffene Person über die vorgenommene Beschränkung und die Hauptgründe dafür sowie über die Möglichkeit, Beschwerde beim Europäischen Datenschutzbeauftragten oder einen gerichtlichen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen. b) In einem internen Bewertungsvermerk notiert sie die Gründe für die Beschränkung, einschließlich einer Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung und ihrer Dauer. Die in Buchstabe a vorgesehene Unterrichtung kann zurückgestellt, unterlassen oder abgelehnt werden, wenn sie die Wirkung der gemäß Artikel 25 Absatz 8 der Verordnung (EU) 2018/1725 vorgenommenen Beschränkung zunichtemachen würde.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der für die Verarbeitung Verantwortliche das Recht auf Berichtigung, Löschung und Einschränkung der Verarbeitung im Rahmen der folgenden Verarbeitungsvorgänge, soweit dies notwendig und verhältnismäßig ist, beschränken: a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, f, g und h der Verordnung (EU) 2018/1725 möglich; b) vorläufige Aktivitäten im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, d, f und h der Verordnung (EU) 2018/1725 möglich; c) Verfahren wegen gemeldeter Missstände (Whistleblowing). Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, d, f und h der Verordnung (EU) 2018/1725 möglich; d) formelle und informelle Verfahren wegen Mobbings. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, d, f und h der Verordnung (EU) 2018/1725 möglich; e) Bearbeitung interner und externer Beschwerden. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, f, g und h der Verordnung (EU) 2018/1725 möglich; f) interne Audits. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, f, g und h der Verordnung (EU) 2018/1725 möglich; g) vom Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 durchgeführte Untersuchungen. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung (EU) 2018/1725 möglich; h) intern oder mit externer Beteiligung (z. B. durch das CERT-EU) vorgenommene (IT-)Sicherheitsüberprüfungen. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, g und h der Verordnung (EU) 2018/1725 möglich; i) Informationsaustausch im Rahmen der operativen Tätigkeiten der Agentur zur Erfüllung ihres Mandats, insbesondere der Empfang von Inspektionsberichten gemäß Artikel 123 der Durchführungsverordnung (EU) Nr. 404/2011, den Artikeln 18, 19 und 20 der Verordnung (EU) Nr. 1236/2010 und den Artikeln 30, 33 und 34 der Verordnung (EU) 2019/833 wie auch der Empfang von Mitgliedstaaten eingehender Informationen und Daten im Zusammenhang mit für die Europäische Kommission erstellten Analysen zur Vorbereitung und Durchführung von Vor-Ort-Audits in Drittländern gemäß Artikel 20 Absatz 4 Buchstaben c der Verordnung (EG) Nr. 1005/2008. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, g und h der Verordnung (EU) 2018/1725 möglich.

2 Beschränkt die Agentur das in den Artikeln 18, 19 Absatz 1 und 20 Absatz 1 der Verordnung (EU) 2018/1725 vorgesehene Recht auf Berichtigung, Löschung und Einschränkung der Verarbeitung ganz oder zum Teil, muss sie die in Artikel 6 Absatz 2 dieses Beschlusses genannten Maßnahmen ergreifen und den Vermerk gemäß Artikel 6 Absatz 3 registrieren.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der für die Verarbeitung Verantwortliche das Recht auf Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person im Rahmen der folgenden Verarbeitungsvorgänge, soweit dies notwendig und verhältnismäßig ist, beschränken: a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, f, g und h der Verordnung (EU) 2018/1725 möglich; b) vorläufige Aktivitäten im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, d, f und h der Verordnung (EU) 2018/1725 möglich; c) Verfahren wegen gemeldeter Missstände (Whistleblowing). Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, d, f und h der Verordnung (EU) 2018/1725 möglich; d) formelle und informelle Verfahren wegen Mobbings. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, d, f und h der Verordnung (EU) 2018/1725 möglich; e) Bearbeitung interner und externer Beschwerden. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, f, g und h der Verordnung (EU) 2018/1725 möglich; f) interne Audits. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, f, g und h der Verordnung (EU) 2018/1725 möglich; g) vom Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 durchgeführte Untersuchungen. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung (EU) 2018/1725 möglich; h) intern oder mit externer Beteiligung (z. B. durch das CERT-EU) vorgenommene (IT-)Sicherheitsüberprüfungen. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, g und h der Verordnung (EU) 2018/1725 möglich; i) Informationsaustausch im Rahmen der operativen Tätigkeiten der Agentur zur Erfüllung ihres Mandats, insbesondere der Empfang von Inspektionsberichten gemäß Artikel 123 der Durchführungsverordnung (EU) Nr. 404/2011, den Artikeln 18, 19 und 20 der Verordnung (EU) Nr. 1236/2010 und den Artikeln 30, 33 und 34 der Verordnung (EU) 2019/833 wie auch der Empfang von Mitgliedstaaten eingehender Informationen und Daten im Zusammenhang mit für die Europäische Kommission erstellten Analysen zur Vorbereitung und Durchführung von Vor-Ort-Audits in Drittländern gemäß Artikel 20 Absatz 4 Buchstaben c der Verordnung (EG) Nr. 1005/2008. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, g und h der Verordnung (EU) 2018/1725 möglich.

2 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der für die Verarbeitung Verantwortliche das Recht auf Vertraulichkeit der elektronischen Kommunikation im Rahmen der folgenden Verarbeitungsvorgänge, soweit dies notwendig und verhältnismäßig ist, beschränken: a) Verwaltungsuntersuchungen und Disziplinarverfahren. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, f, g und h der Verordnung (EU) 2018/1725 möglich; b) vorläufige Aktivitäten im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, d, f und h der Verordnung (EU) 2018/1725 möglich; c) Verfahren wegen gemeldeter Missstände (Whistleblowing). Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, d, f und h der Verordnung (EU) 2018/1725 möglich; d) formelle und informelle Verfahren in Mobbingfällen; Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, d, f und h der Verordnung (EU) 2018/1725 möglich; e) Bearbeitung interner und externer Beschwerden. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, f, g und h der Verordnung (EU) 2018/1725 möglich; f) intern oder mit externer Beteiligung (z. B. durch das CERT-EU) vorgenommene (IT-)Sicherheitsüberprüfungen. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, g und h der Verordnung (EU) 2018/1725 möglich; g) Informationsaustausch im Rahmen der operativen Tätigkeiten der Agentur zur Erfüllung ihres Mandats, insbesondere der Empfang von Inspektionsberichten gemäß Artikel 123 der Durchführungsverordnung (EU) Nr. 404/2011 wie auch der Empfang von Mitgliedstaaten eingehender Informationen und Daten im Zusammenhang mit für die Europäische Kommission erstellten Analysen zur Vorbereitung und Durchführung von Vor-Ort-Audits in Drittländern gemäß Artikel 20 Absatz 4 Buchstaben c und d der Verordnung (EG) Nr. 1005/2008. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, g und h der Verordnung (EU) 2018/1725 möglich.

3 Beschränkt die Agentur das in den Artikeln 35 und 36 der Verordnung (EU) 2018/1725 vorgesehene Recht auf Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Personen oder die Vertraulichkeit der elektronischen Kommunikation, muss sie die Gründe dafür gemäß Artikel 5 Absatz 3 dieses Beschlusses in einem Vermerk festhalten und registrieren. Es gilt Artikel 5 Absatz 4 dieses Beschlusses.

Dieser Beschluss tritt am zwanzigsten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.