Beschluss des Verwaltungsrates des Gemeinschaftlichen Sortenamts vom 1. April 2020 über interne Vorschriften zur Beschränkung bestimmter Rechte betroffener Personen in Bezug auf die Verarbeitung personenbezogener Daten im Rahmen der Arbeitsweise des CPVO

1 Mit diesem Beschluss werden Vorschriften in Bezug auf die Bedingungen festgelegt, unter denen das Amt im Rahmen seiner unter Absatz 2 aufgeführten Verarbeitungsvorgänge gemäß Artikel 25 der Verordnung (EU) 2018/1725 befugt ist, die Anwendung der in den Artikeln 4, 14 bis 21, 35 und 36 der Verordnung verankerten Rechte zu beschränken

2 Im Rahmen der Verwaltungstätigkeit des Amtes findet dieser Beschluss Anwendung, soweit das Amt personenbezogene Daten für die folgenden Zwecke verarbeitet: Verwaltungsuntersuchungen, Disziplinarverfahren, Verfahren in Bezug auf gemeldete Missstände (Whistleblowing), (formelle und informelle) Verfahren in Bezug auf Mobbing, Bearbeitung von Beschwerden, Verarbeitung medizinischer Daten und/oder Akten, Durchführung interner Prüfungen, Untersuchungen durch den Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 sowie intern oder extern (z. B. durch das CERT-EU) durchgeführte (IT‐)Sicherheitsüberprüfungen. Dieser Beschluss gilt für Verarbeitungsvorgänge, die das Amt vor der Einleitung der vorstehend genannten Verfahren, während dieser Verfahren sowie bei der Überwachung der aufgrund des Ergebnisses dieser Verfahren getroffenen Folgemaßnahmen vornimmt. Er gilt auch für die Unterstützung und Zusammenarbeit, die das Amt außerhalb seiner eigenen Verwaltungsverfahren für das OLAF, für zuständige Behörden von Mitgliedstaaten und/oder für andere zuständige Behörden leistet.

3 Die entsprechenden Kategorien personenbezogener Daten umfassen harte Daten („objektive“ Daten wie Identifikationsdaten, Kontaktdaten, berufsbezogene Daten, Verwaltungsdaten, Daten aus bestimmten Quellen, elektronische Kommunikations- und Verkehrsdaten) und/oder weiche Daten („subjektive“ fallbezogene Daten wie Begründungen, verhaltensbezogene Daten, Beurteilungen, Leistungs- und Verhaltensdaten sowie Daten, die sich auf den Gegenstand des Verfahrens oder der Tätigkeit beziehen oder im Zusammenhang mit diesem Gegenstand übertragen werden).

4 Wenn die Aufgabenwahrnehmung des Amtes Rechte betroffener Personen aus der Verordnung (EU) 2018/1725 berührt, berücksichtigt das Amt, ob eine der in der Verordnung vorgesehenen Ausnahmen gegeben ist

5 Vorbehaltlich der in diesem Beschluss festgelegten Voraussetzungen können die folgenden Rechte beschränkt werden: die Rechte auf Information der betroffenen Personen, Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Personen sowie Vertraulichkeit der elektronischen Kommunikation.

1 Zur Verhinderung von Missbrauch oder unrechtmäßigem Zugang oder unrechtmäßiger Übermittlung trifft das Amt die folgenden Sicherheitsvorkehrungen: a) Papierdokumente werden in gesicherten Schränken aufbewahrt und sind nur befugten Mitarbeitern zugänglich. b) Alle elektronischen Daten werden in einer sicheren IT-Anwendung gemäß den Sicherheitsstandards des Amtes sowie in speziellen elektronischen Ordnern gespeichert, die ausschließlich befugtem Personal zugänglich sind. Angemessene Zugangsrechte werden auf individueller Basis erteilt. c) Die IT-Systeme und dazugehörigen Datenbanken müssen vorsehen, dass die Benutzeridentität anhand eines Systems mit einmaliger Anmeldung und automatischer Verbindung mit Benutzerkennung und Passwort (Single Sign-on-System) überprüft wird. Endnutzerkonten sind einmalig einer bestimmten Person zugewiesen und nicht übertragbar; die gemeinsame Nutzung von Nutzerkonten ist streng untersagt. Elektronische Aufzeichnungen werden sicher aufbewahrt, um die Vertraulichkeit und den Schutz der darin enthaltenen Daten zu garantieren. d) Alle Personen, die Zugang zu den Daten haben, sind zur Wahrung der Vertraulichkeit verpflichtet.

2 Der für die Verarbeitung Verantwortliche ist das Amt, vertreten durch seinen Präsidenten, der die Funktion des für die Verarbeitung Verantwortlichen delegieren kann. Den betroffenen Personen wird in den Datenschutzhinweisen oder ‐aufzeichnungen, die auf der Website und/oder im Intranet des Amtes veröffentlicht werden, mitgeteilt, wer der stellvertretende Verantwortliche ist, an den die Verantwortung für die Verarbeitung delegiert wurde

3 Die in Artikel 1 Absatz 3 genannte Aufbewahrungsfrist für personenbezogene Daten darf keinesfalls länger sein als in den Datenschutzhinweisen, Datenschutzerklärungen oder Verzeichnissen angegeben ist, auf die in Artikel 3 Absatz 1 Bezug genommen wird. Bei Ablauf der Aufbewahrungsfrist werden die den Vorgang betreffenden Informationen, einschließlich der personenbezogenen Daten, gelöscht, anonymisiert oder in die historischen Archive abgegeben.

4 Wenn das Amt erwägt, eine Beschränkung in Betracht zu ziehen, sind die Risiken für die Rechte und Freiheiten der betroffenen Personen abzuwägen, insbesondere gegenüber dem Risiko für die Rechte und Freiheiten anderer betroffener Personen sowie dem Risiko der Beeinträchtigung auf den Zweck des Verarbeitungsvorgangs. Die Risiken in Bezug auf die Rechte und Freiheiten der betroffenen Personen betreffen insbesondere, jedoch nicht ausschließlich, Risiken in Bezug auf die Reputation, das Verteidigungsrecht und den Anspruch auf rechtliches Gehör.

1 Das Amt nimmt in die auf seiner Website veröffentlichten und/oder im Intranet verbreiteten Datenschutzhinweise, Datenschutzerklärungen und/oder Verzeichnisse im Sinne von Artikel 31 der Verordnung (EU) 2018/1725, in denen alle betroffenen Personen darüber informiert werden, im Zuge welcher Tätigkeit des Amtes ihre personenbezogenen Daten verarbeitet werden und welche Rechte sie im Rahmen des betreffenden Verfahrens haben, auch Informationen über die mögliche Beschränkung dieser Rechte auf. Darin ist darüber zu informieren, welche Rechte aus welchen Gründen und für welche Dauer eingeschränkt werden können.

2 Unbeschadet der Bestimmungen in Absatz 3 stellt das Amt gegebenenfalls sicher, dass die betroffenen Personen einzeln in geeigneter Weise informiert werden. Das Amt kann sie auch einzeln über ihre Rechte bezüglich gegenwärtiger oder künftiger Beschränkungen informieren.

3 Beschränkungen werden vom Amt nur zu den in Artikel 25 Absatz 1 der Verordnung (EU) 2018/1725 aufgezählten Zwecken vorgenommen; dies sind: a) die nationale Sicherheit, die öffentliche Sicherheit oder die Landesverteidigung der Mitgliedstaaten; b) die Vermeidung, Ermittlung, Aufdeckung und Verfolgung von Straftaten oder die Vollstreckung von strafrechtlichen Sanktionen, einschließlich des Schutzes vor und der Vermeidung von Gefahren für die öffentliche Sicherheit; c) sonstige wichtige Ziele des allgemeinen öffentlichen Interesses der Union oder eines Mitgliedstaats, insbesondere die Ziele der gemeinsamen Außen- und Sicherheitspolitik der Union oder ein wichtiges wirtschaftliches oder finanzielles Interesse der Union oder eines Mitgliedstaats, etwa im Währungs‐, Haushalts- und Steuerbereich sowie im Bereich der öffentlichen Gesundheit und der sozialen Sicherheit; d) die innere Sicherheit der Organe und Einrichtungen der Union, einschließlich ihrer elektronischen Kommunikationsnetze; e) der Schutz der Unabhängigkeit der Justiz und der Schutz von Gerichtsverfahren; f) die Vermeidung, Ermittlung, Aufdeckung und Verfolgung von Verstößen gegen die berufsständischen Regeln reglementierter Berufe; g) Kontroll‐, Überwachungs- und Ordnungsfunktionen, die dauernd oder zeitweise mit der Ausübung öffentlicher Gewalt in den unter den Buchstaben a bis c genannten Fällen verbunden sind; h) der Schutz der betroffenen Person oder der Rechte und Freiheiten anderer Personen; i) die Durchsetzung zivilrechtlicher Ansprüche.

4 Nimmt das Amt im Besonderen Beschränkungen vor im Zusammenhang mit a) Verwaltungsuntersuchungen und Disziplinarverfahren, so können Beschränkungen auf Artikel 25 Absatz 1 Buchstaben c, e, g und h der Verordnung (EU) 2018/1725 gestützt werden; b) Verfahren in Bezug auf gemeldete Missstände (Whistleblowing), so können Beschränkungen auf Artikel 25 Absatz 1 Buchstabe h der Verordnung (EU) 2018/1725 gestützt werden; c) (formellen und informellen) Verfahren in Bezug auf Mobbing, so können Beschränkungen auf Artikel 25 Absatz 1 Buchstabe h der Verordnung (EU) 2018/1725 gestützt werden; d) der Bearbeitung von Beschwerden, so können Beschränkungen auf Artikel 25 Absatz 1 Buchstaben c, e, g und h der Verordnung (EU) 2018/1725 gestützt werden; e) der Verarbeitung medizinischer Daten, so können Beschränkungen auf Artikel 25 Absatz 1 Buchstabe h der Verordnung (EU) 2018/1725 gestützt werden; f) internen Prüfungen, so können Beschränkungen auf Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung (EU) 2018/1725 gestützt werden; g) Untersuchungen durch den Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725, so können Beschränkungen auf Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung (EU) 2018/1725 gestützt werden; h) intern oder extern (z. B. durch das CERT-EU) durchgeführten (IT‐)Sicherheitsüberprüfungen, so können Beschränkungen auf Artikel 25 Absatz 1 Buchstaben c, d, g und h der Verordnung (EU) 2018/1725 gestützt werden.

5 Jede Beschränkung muss insbesondere im Hinblick auf die Risiken für die Rechte und Freiheiten der betroffenen Personen notwendig und verhältnismäßig sein und den Wesensgehalt der Grundrechte und Grundfreiheiten in einer demokratischen Gesellschaft achten. Wird eine Beschränkung in Betracht gezogen, so ist deren Notwendigkeit und Verhältnismäßigkeit auf Grundlage der vorliegenden Vorschriften einer Überprüfung zu unterziehen. Zu Rechenschaftszwecken wird dies von Fall zu Fall mittels einer internen Beurteilungsmitteilung dokumentiert. Diese Prüfung ist auch bei der Überprüfung einer verhängten Beschränkung vorzunehmen. Beschränkungen sind aufzuheben, sobald die Umstände, die sie rechtfertigen, nicht mehr gegeben sind. Dies gilt insbesondere, wenn nicht mehr anzunehmen ist, dass die Ausübung des beschränkten Rechts die Wirkung der verhängten Beschränkung zunichtemachen oder die Rechte oder Freiheiten anderer betroffener Personen beeinträchtigen würde.

6 Darüber hinaus kann das Amt ersucht werden, personenbezogene Daten betroffener Personen mit Dienststellen der Kommission oder anderen Organen, Einrichtungen und sonstigen Stellen der Europäischen Union, zuständigen Behörden der Mitgliedstaaten oder anderen zuständigen Behörden von Drittländern oder internationalen Organisationen auszutauschen, wobei es unter anderem vorkommen kann: a) dass die Dienststellen der Kommission oder andere Organe, Einrichtungen und sonstige Stellen der Europäischen Union ihre Verpflichtungen wie auch die Ausübung der Rechte der betroffenen Personen aufgrund anderer in Artikel 25 der Verordnung (EU) 2018/1725 vorgesehener Rechtsakte oder gemäß Kapitel IX der genannten Verordnung oder gemäß den Gründungsakten anderer Organe, Einrichtungen und sonstiger Stellen der Europäischen Union beschränken; b) dass die zuständigen Behörden von Mitgliedstaaten ihre Verpflichtungen wie auch die Ausübung der Rechte der betroffenen Personen aufgrund in Artikel 23 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates genannter Rechtsakte oder nach nationalen Maßnahmen zur Umsetzung der Artikel 13 Absatz 3, Artikel 15 Absatz 3 oder Artikel 16 Absatz 3 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates beschränken. Erfolgt der Austausch personenbezogener Daten auf Initiative einer anderen Behörde, so nimmt das Amt keine Beschränkung vor, und die fallbezogenen Informationen, einschließlich der personenbezogenen Daten, werden vom Amt gelöscht oder anonymisiert, wenn die Daten, auf die sich das Ersuchen bezieht, an die betreffende Behörde übermittelt werden.

7 Die Verzeichnisse, in denen die Beschränkungen aufgeführt sind, sowie ggf. die Dokumente mit den zugrunde liegenden tatsächlichen und rechtlichen Elementen, werden dem Europäischen Datenschutzbeauftragten auf Verlangen zur Verfügung gestellt.

1 Wenn der für die Verarbeitung Verantwortliche Rechte betroffener Personen gemäß diesem Beschluss beschränkt, die Beschränkung aufhebt oder die Geltungsdauer der Beschränkung ändert, muss das Amt den eigenen Datenschutzbeauftragten (im Folgenden: DSB) im Einklang mit diesem Beschluss unverzüglich unterrichten. Der Verantwortliche gewährt dem DSB Zugang zu dem Verzeichnis, das die Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung enthält, und dokumentiert das Datum, an dem der DSB unterrichtet wird, im Verzeichnis.

2 Der DSB kann den Verantwortlichen schriftlich auffordern, die vorgenommenen Beschränkungen zu überprüfen. Der Verantwortliche informiert den DSB schriftlich über das Ergebnis der erbetenen Überprüfung.

3 Die Einbeziehung des DSB in das Beschränkungsverfahren, wozu auch der Informationsaustausch gehört, ist in geeigneter Weise zu dokumentieren.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der Verantwortliche die Unterrichtung, soweit notwendig und verhältnismäßig, im Rahmen der in Artikel 1 Absatz 2 dieses Beschlusses genannten Verarbeitungsvorgänge beschränken. Die Unterrichtung kann insbesondere zurückgestellt, unterlassen oder abgelehnt werden, wenn sie die Wirkung des Verarbeitungsvorgangs zunichtemachen würde

2 Wenn das Amt die in Absatz 1 vorgesehene Unterrichtung ganz oder zum Teil beschränkt, notiert es in einem internen Beurteilungsvermerk die Gründe für die Beschränkung, einschließlich einer Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung und ihrer Dauer.

3 Eine nach Absatz 1 vorgenommene Beschränkung bleibt in Kraft, solange die Gründe dafür weiterhin gegeben sind. Wenn die Gründe für die Beschränkung nicht mehr gegeben sind, unterrichtet das Amt die betroffene Person über die Hauptgründe für die Beschränkung. Gleichzeitig unterrichtet das Amt die betroffene Person über die Möglichkeit, Beschwerde beim Europäischen Datenschutzbeauftragten oder einen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen.

4 Das Amt überprüft die verhängte Beschränkung mindestens einmal jährlich sowie bei Abschluss des jeweiligen Verfahrens. Danach prüft der Verantwortliche alljährlich, inwieweit die Beschränkung noch erforderlich ist.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der Verantwortliche das Recht auf Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung, soweit notwendig und verhältnismäßig, im Rahmen der in Artikel 1 Absatz 2 dieses Beschlusses genannten Verarbeitungsvorgänge beschränken. Die Bestimmungen in diesem Artikel 6 gelten nicht für das Recht auf Auskunft über medizinische Daten und/oder Akten, für die nachstehend in Artikel 7 eine spezifische Regelung vorgesehen ist.

2 Beantragen betroffene Personen bezüglich ihrer personenbezogenen Daten, die im Zusammenhang mit einem oder mehreren spezifischen Fällen oder einem spezifischen Datenverarbeitungsvorgang verarbeitet wurden, ihr Recht auf Auskunft, Berichtigung, Löschung bzw. Einschränkung der Verarbeitung auszuüben, so beschränkt das Amt seine Antragsprüfung auf die betreffenden personenbezogenen Daten.

3 Wenn das Amt das Recht auf Auskunft, Berichtigung, Löschung bzw. Einschränkung der Verarbeitung ganz oder zum Teil beschränkt, ergreift es die folgenden Maßnahmen: a) In seiner Antwort auf den Antrag unterrichtet es die betroffene Person über die vorgenommene Beschränkung und die Hauptgründe dafür sowie über die Möglichkeit, Beschwerde beim Europäischen Datenschutzbeauftragten oder einen gerichtlichen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen. b) In einem internen Beurteilungsvermerk notiert es die Gründe für die Beschränkung, einschließlich einer Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung und ihrer Dauer. Gemäß Artikel 25 Absatz 8 der Verordnung (EU) 2018/1725 kann die in Buchstabe a genannte Unterrichtung zurückgestellt, unterlassen oder abgelehnt werden, wenn sie die Wirkung der Beschränkung zunichtemachen würd

4 Das Amt überprüft die verhängte Beschränkung der Rechte der betroffenen Personen mindestens einmal jährlich sowie bei Abschluss des jeweiligen Verfahrens. Danach wird die Notwendigkeit der Aufrechterhaltung der Beschränkung auf Verlangen betroffener Personen vom Verantwortlichen überprüft.

1 Die Beschränkung des Rechts betroffener Personen auf Auskunft über ihre medizinischen Daten und/oder Akten bedarf besonderer Vorschriften, die in diesem Artikel festgelegt sind.

2 Vorbehaltlich der nachstehenden Absätze dieses Artikels kann das Amt das Recht der betroffenen Person auf direkte Einsicht in persönliche medizinische Daten und/oder Akten psychologischer oder psychiatrischer Art, die die betroffene Person betreffen und die vom Amt verarbeitet werden, beschränken, wenn die Auskunft über solche Daten wahrscheinlich die Gesundheit der betroffenen Person gefährdet. Eine solche Beschränkung darf nicht über das für den Schutz der betroffenen Person unbedingt erforderliche Maß hinausgehen.

3 Die Auskunft über die in Absatz 2 genannten Informationen wird einem von der betroffenen Person bestimmten Arzt gewährt.

4 Wird in solchen Fällen ein Teil des Honorars für den Arzt, dem Auskunft über die medizinischen Daten und/oder Akten gegeben wurde, nicht vom Gemeinsamen Krankheitsfürsorgesystem erstattet, so erstattet der ärztliche Dienst der betroffenen Person auf Antrag den betreffenden Teil der Kosten. Die Erstattung übersteigt nicht die Differenz zwischen dem in den allgemeinen Durchführungsbestimmungen für die Erstattung der Krankheitskosten festgelegten erstattungsfähigen Höchstbetrag und dem Betrag, der der betroffenen Person nach den genannten Regeln vom Gemeinsamen Krankheitsfürsorgesystem erstattet wird.

5 Eine solche Erstattung durch den ärztlichen Dienst wird nur unter der Voraussetzung gewährt, dass hinsichtlich der betreffenden Daten und/oder Akten noch keine Auskunft gewährt wurde.

6 Vorbehaltlich der nachstehenden Absätze dieses Artikels kann das Amt im Einzelfall das Recht der betroffenen Person auf Auskunft über ihre im Besitz des Amtes befindlichen persönlichen medizinischen Daten und/oder Akten beschränken, insbesondere wenn die Ausübung des Rechts die Rechte und Freiheiten der betroffenen Person oder anderer betroffener Person beeinträchtigen würde.

7 Beantragen betroffene Personen, ihr Recht auf Auskunft über ihre personenbezogenen Daten, die im Zusammenhang mit einem oder mehreren spezifischen Fällen oder einem spezifischen Datenverarbeitungsvorgang verarbeitet wurden, auszuüben, so beschränkt das Amt seine Antragsprüfung auf die betreffenden personenbezogenen Daten

8 Wenn das Amt das Recht betroffener Personen auf Auskunft über persönliche medizinische Daten und/oder Akten ganz oder zum Teil beschränkt, ergreift es die folgenden Maßnahmen: a) In seiner Antwort auf den Antrag unterrichtet es die betroffene Person über die vorgenommene Beschränkung und die Hauptgründe dafür sowie über die Möglichkeit, Beschwerde beim Europäischen Datenschutzbeauftragten oder einen gerichtlichen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen. b) In einem internen Beurteilungsvermerk notiert es die Gründe für die Beschränkung, einschließlich einer Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung und ihrer Dauer, wobei insbesondere anzugeben ist, inwiefern die Ausübung des Rechts die Gesundheit der betroffenen Person oder die Rechte und Freiheiten der betroffenen Personen oder anderer betroffener Personen beeinträchtigen würde. Gemäß Artikel 25 Absatz 8 der Verordnung (EU) 2018/1725 kann die in Buchstabe a genannte Unterrichtung zurückgestellt, unterlassen oder abgelehnt werden, wenn sie die Wirkung der Beschränkung zunichtemachen würde.

9 Eine nach den vorstehenden Absätzen 2 und 6 vorgenommene Beschränkung bleibt in Kraft, solange die Gründe dafür weiterhin gegeben sind. Wenn die Gründe für die Beschränkung nicht mehr gegeben sind, überprüft der Verantwortliche auf Verlangen betroffener Personen, ob die Aufrechterhaltung der Beschränkung notwendig ist.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der Verantwortliche das Recht auf Benachrichtigung über die Verletzung des Schutzes personenbezogener Daten, soweit im Rahmen der in Artikel 1 Absatz 2 dieses Beschlusses genannten Verarbeitungsvorgänge notwendig und verhältnismäßig, beschränken. Im Zusammenhang mit Verfahren in Bezug auf Mobbing darf dieses Recht jedoch nicht beschränkt werden.

2 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der Verantwortliche das Recht auf Vertraulichkeit der elektronischen Kommunikation, soweit im Rahmen der in Artikel 1 Absatz 2 dieses Beschlusses genannten Verarbeitungsvorgänge notwendig und verhältnismäßig, beschränken.

3 Nimmt das Amt Beschränkungen vor, die die Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person oder die Vertraulichkeit der elektronischen Kommunikation (Artikel 35 und 36 der Verordnung (EU) 2018/1725) betreffen, so finden die Absätze 2, 3 und 4 von Artikel 5 dieses Beschlusses Anwendung.

Dieser Beschluss tritt am dritten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.