Beschluss des Verwaltungsrats von Europol vom 9. Juni 2020 über interne Vorschriften zur Beschränkung bestimmter Rechte betroffener Personen in Bezug auf die Verarbeitung von verwaltungstechnischen personenbezogenen Daten durch Europol

Mit diesem Beschluss werden Vorschriften in Bezug auf die Bedingungen festgelegt, unter denen Europol die Anwendung der Artikel 14 bis 20, 35 und 36 sowie des Artikels 4 auf Grundlage von Artikel 25 der Verordnung (EU) 2018/1725 beschränken darf.

1 Der für die Verarbeitungsvorgänge Verantwortliche ist Europol, vertreten durch seinen Exekutivdirektor, der die Funktion des Verantwortlichen delegieren kann.

2 Der stellvertretende Verantwortliche wird den betroffenen Personen in den Datenschutzhinweisen oder -aufzeichnungen mitgeteilt, die auf der Website und/oder im Intranet von Europol veröffentlicht werden.

1 Bei der Wahrnehmung seiner Aufgaben in Bezug auf die Rechte betroffener Personen gemäß der Verordnung (EU) 2018/1725 prüft Europol, ob eine der in der Verordnung (EU) 2018/1725 vorgesehenen Ausnahmen gegeben ist.

2 Gemäß Artikel 25 Absatz 1 der Verordnung (EU) 2018/1725 kann Europol die Anwendung der Artikel 14 bis 20, 35 und 36 sowie des Artikels 4, insofern dessen Bestimmungen den in den Artikeln 14 bis 20 der Verordnung (EU) 2018/1725 vorgesehenen Rechten und Pflichten entsprechen, beschränken: a) zur Durchführung von Vorermittlungen und Verwaltungsuntersuchungen durch die für interne Untersuchungen zuständige Stelle (Internal Investigations Service (IIS)) sowie zur Durchführung von Disziplinarverfahren durch den Disziplinarrat, die auf dem Statut der Beamten der Europäischen Union sowie auf dem Beschluss des Verwaltungsrats von Europol über die Allgemeinen Durchführungsbestimmungen für die Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren beruhen. Die einschlägigen Beschränkungen sind nach Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung (EU) 2018/1725 möglich; b) im Zuge von Whistleblowing-Verfahren, um sicherzustellen, dass Mitarbeiter von Europol Sachverhalte, bei denen es sich ihrer Meinung nach um schwere Unregelmäßigkeiten handelt, vertraulich melden können, so wie dies in den Whistleblowing-Leitlinien vorgesehen ist. Die einschlägigen Beschränkungen sind nach Artikel 25 Absatz 1 Buchstabe h der Verordnung (EU) 2018/1725 möglich; c) in förmlichen und informellen Verfahren wegen Mobbings oder sexueller Belästigung, um sicherzustellen, dass sich Mitarbeiter von Europol in solchen Fällen vertraulich an Vertrauenspersonen wenden können, so wie dies im Beschluss des Verwaltungsrats von Europol über die Grundsätze für den Schutz der Menschenwürde und die Prävention von Mobbing und sexueller Belästigung vorgesehen ist. Die einschlägigen Beschränkungen sind nach Artikel 25 Absatz 1 Buchstabe h der Verordnung (EU) 2018/1725 möglich; d) zur Bearbeitung von Beschwerden über bei Europol ausgeführte Verarbeitungstätigkeiten durch den Datenschutzbeauftragten, so wie dies in Artikel 13 des Beschlusses des Verwaltungsrats von Europol über die Durchführungsbestimmungen bezüglich des Datenschutzbeauftragten vorgesehen ist. Die einschlägigen Beschränkungen sind nach Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung (EU) 2018/1725 möglich; e) zur Durchführung interner Audits über sämtliche Tätigkeiten und Abteilungen von Europol durch die interne Auditstelle. Die einschlägigen Beschränkungen sind nach Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung (EU) 2018/1725 möglich; f) zur Bereitstellung oder Inanspruchnahme von Unterstützung im Zuge der Zusammenarbeit von Europol mit anderen Organen, Einrichtungen und sonstigen Stellen der Union im Rahmen der oben genannten Tätigkeiten gemäß den entsprechenden Dienstgütevereinbarungen, Absichtserklärungen und Kooperationsvereinbarungen. Die einschlägigen Beschränkungen sind nach Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung (EU) 2018/1725 möglich.

3 Bei den Datenkategorien handelt es sich um Daten zur Identifizierung einer natürlichen Person, Kontaktdaten, berufliche Zuständigkeiten und Aufgaben, Angaben zu Verhaltensweisen und Leistungen auf privater und beruflicher Ebene sowie Finanzdaten.

4 Jede Beschränkung muss den Wesensgehalt der Grundrechte und Grundfreiheiten achten und eine in einer demokratischen Gesellschaft notwendige und verhältnismäßige Maßnahme darstellen.

5 Bevor Beschränkungen vorgenommen werden, ist deren Notwendigkeit und Verhältnismäßigkeit im Einzelfall zu prüfen. Beschränkungen sind auf das zur Erreichung der festgelegten Ziele unbedingt erforderliche Maß zu begrenzen.

6 Beschränkungen unterliegen der ordnungsgemäßen Überwachung durch den für die Verarbeitung Verantwortlichen, und nach Vornahme einer Beschränkung wird deren Notwendigkeit und Verhältnismäßigkeit regelmäßig alle sechs Monate in Konsultation mit dem Datenschutzbeauftragten überprüft.

7 Beschränkungen werden aufgehoben, sobald die Umstände, die sie rechtfertigen, nicht mehr gegeben sind. Die erforderliche Unterrichtung der betroffenen Person — auch darüber, dass sie jederzeit Beschwerde beim Europäischen Datenschutzbeauftragten oder auch einen gerichtlichen Rechtsbehelf beim Gerichtshof der Europäischen Union einlegen kann — erfolgt durch den für die Verarbeitung Verantwortlichen in Konsultation mit dem Datenschutzbeauftragten.

8 Zu Rechenschaftszwecken erstellt Europol Aufzeichnungen mit Angaben zur Begründung der Beschränkungen, zu den einschlägigen Rechtsgrundlagen im Sinne von Absatz 1 und zum Ergebnis der Notwendigkeits- und Verhältnismäßigkeitsprüfung. Diese Aufzeichnungen sind Teil eines vom Datenschutzbeauftragten geführten Ad-hoc-Registers, das dem Europäischen Datenschutzbeauftragten auf Verlangen zur Verfügung zu stellen ist. In regelmäßigen Abständen ist ein Bericht über die Anwendung von Artikel 25 der Verordnung (EU) 2018/1725 vorzulegen.

9 Bei der Verarbeitung verwaltungstechnischer personenbezogener Daten, die Europol im Rahmen seiner Aufgaben mit anderen Organisationen austauscht, konsultiert Europol diese Organisationen über mögliche einschlägige Gründe für die Vornahme von Beschränkungen sowie die Notwendigkeit und Verhältnismäßigkeit der Beschränkungen, es sei denn, dies würde die Tätigkeiten von Europol gefährden.

Die Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen, deren personenbezogene Daten Beschränkungen unterliegen können, wie auch die einschlägige Aufbewahrungsfrist sind in dem Verzeichnis der relevanten Verarbeitungstätigkeiten im Sinne von Artikel 31 der Verordnung (EU) 2018/1725 sowie ggf. in der relevanten Datenschutz-Folgenabschätzung gemäß Artikel 39 der genannten Verordnung zu vermerken.

1 Europol sieht Schutzvorkehrungen dagegen vor, dass personenbezogene Daten, die Beschränkungen unterliegen können, Missbrauch oder unrechtmäßigem Zugang oder unrechtmäßiger Übermittlung ausgesetzt werden. Die Schutzvorkehrungen umfassen technische und organisatorische Maßnahmen zum Schutz der personenbezogenen Daten gegen zufällige oder rechtswidrige Zerstörung, zufälligen Verlust, unbefugte Offenlegung, unbefugte Änderung, unbefugten Zugriff und jede sonstige Form der unbefugten Verarbeitung. Die Schutzvorkehrungen beinhalten: a) eine klare Definition der Rollen, Zuständigkeiten und Verfahrensschritte; b) ggf. eine sichere elektronische Umgebung, die verhindert, dass elektronische Daten rechtswidrig oder versehentlich unbefugten Personen zugänglich gemacht oder übermittelt werden; c) ggf. die sichere Aufbewahrung und Bearbeitung von Papierdokumenten; d) die ordnungsgemäße Überwachung der Beschränkungen und die regelmäßige Überprüfung ihrer Anwendung.

2 Die Aufbewahrungsfrist für personenbezogene Daten, die Beschränkungen unterliegen können, ist nicht länger, als für die Datenverarbeitungszwecke erforderlich und angemessen. Sie darf keinesfalls länger sein als die in den vorstehend erwähnten Datenschutzhinweisen, Datenschutzerklärungen oder Aufzeichnungen angegebene Aufbewahrungsfrist.

1 Beabsichtigt der für die Verarbeitung Verantwortliche, Rechte betroffener Personen gemäß diesem Beschluss zu beschränken, ist unverzüglich der Datenschutzbeauftragte zu konsultieren, dem Zugang zu dem Verzeichnis, das die Beurteilung der Notwendigkeit und Verhältnismäßigkeit enthält, und zu allen Unterlagen, aus denen die zugrunde liegenden Tatsachen und rechtlichen Aspekte hervorgehen, zu gewähren ist.

2 Die Einbeziehung des Datenschutzbeauftragten in das Beschränkungsverfahren, wozu auch der Informationsaustausch gehört, ist in geeigneter Weise zu dokumentieren.

1 Europol veröffentlich im Intranet von Europol Datenschutzhinweise, die alle betroffenen Personen über die Verarbeitungstätigkeiten informieren, bei denen eine Verarbeitung ihrer personenbezogenen Daten stattfindet, hinsichtlich derer Beschränkungen gemäß diesen Vorschriften angeordnet werden könnten.

2 Betroffene Personen, die Verfahrensbeteiligte oder von einem Verfahren Betroffene oder Zeugen sind, werden von dem für die Verarbeitung Verantwortlichen jeweils einzeln über ihre Rechte und mögliche Beschränkungen unterrichtet.

1 Beschränkt Europol im Rahmen der in diesem Beschluss genannten Tätigkeiten die in den Artikeln 14 bis 16 und 35 der Verordnung (EU) 2018/1725 genannten Rechte betroffener Personen ganz oder zum Teil, sind die betroffenen Personen über die wesentlichen Gründe für diese Beschränkung sowie über ihr Recht, Beschwerde beim Europäischen Datenschutzbeauftragten oder auch einen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen, zu unterrichten.

2 Solange die Unterrichtung über die in Absatz 1 genannten Gründe für die Beschränkung die Wirkung der Beschränkung zunichtemachen würde, kann sie von Europol zurückgestellt, unterlassen oder abgelehnt werden. Diese Bewertung erfolgt auf Einzelfallbasis in Zusammenarbeit mit dem Datenschutzbeauftragten.

1 Beschränkt Europol im Rahmen der in diesem Beschluss genannten Tätigkeiten das in den Artikeln 17 bis 20 der Verordnung (EU) 2018/1725 genannte Recht auf Auskunft über personenbezogene Daten, auf Berichtigung, Löschung und Einschränkung der Verarbeitung ganz oder zum Teil, so unterrichtet Europol die betroffene Person in seiner Antwort auf deren Antrag über die wesentlichen Gründe für die Vornahme dieser Beschränkung sowie über die Möglichkeit, Beschwerde beim Europäischen Datenschutzbeauftragten oder auch einen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen.

2 Europol kann die Unterrichtung über die Gründe für die in Absatz 1 genannte Beschränkung zurückstellen, unterlassen oder ablehnen, wenn die Unterrichtung die Wirkung der Beschränkung zunichtemachen würde. Diese Bewertung erfolgt auf Einzelfallbasis in Zusammenarbeit mit dem Datenschutzbeauftragten.

1 Unter besonderen Umständen darf Europol das in Artikel 36 der Verordnung (EU) 2018/1725 vorgesehene Recht auf Vertraulichkeit der elektronischen Kommunikation in Übereinstimmung mit den Bestimmungen und dem Zweck der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates beschränken.

2 Beschränkt Europol das Recht auf Vertraulichkeit der elektronischen Kommunikation, so unterrichtet Europol die betroffene Person in seiner Antwort auf deren Antrag über die wesentlichen Gründe für die Vornahme dieser Beschränkung sowie über die Möglichkeit, Beschwerde beim Europäischen Datenschutzbeauftragten oder auch einen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen.

3 Solange die Unterrichtung über die in den Absätzen 1 und 2 genannten Gründe für die Beschränkung die Wirkung der Beschränkung zunichtemachen würde, kann sie von Europol zurückgestellt, unterlassen oder abgelehnt werden. Diese Bewertung erfolgt auf Einzelfallbasis in Zusammenarbeit mit dem Datenschutzbeauftragten.

Dieser Beschluss tritt am zwanzigsten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.