Beschluss 2019/15 des Verwaltungsrats der Europäischen Agentur für Sicherheit und Gesundheitsschutz am Arbeitsplatz vom 11. Dezember 2019 über interne Vorschriften in Bezug auf Beschränkungen bestimmter Rechte von Betroffenen in Verbindung mit der Verarbeitung personenbezogener Daten im Rahmen der Arbeit der EU-OSHA

1 Mit diesem Beschluss werden Vorschriften in Bezug auf die Bedingungen festgelegt, unter denen die Agentur im Rahmen ihrer unter Absatz 2 aufgeführten Verfahren die Anwendung der Rechte, die in den Artikeln 14 bis 21, 35 und 36 sowie Artikel 4 der Verordnung (EU) 2018/1725 vorgesehen sind, gemäß Artikel 25 der Verordnung beschränken darf.

2 Im Rahmen der Verwaltungsarbeit der Agentur gilt dieser Beschluss für die Verarbeitungsvorgänge der Agentur, die personenbezogene Daten betreffen und den folgenden Zwecken dienen: der Durchführung von Verwaltungsuntersuchungen, Disziplinarverfahren, ersten Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten, Verfahren wegen gemeldeter Missstände (Whistleblowing), (formellen und informellen) Verfahren wegen Mobbings, der Bearbeitung interner und externer Beschwerden, der Durchführung interner Audits, vom Datenschutzbeauftragten durchgeführten Prüfungen gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 sowie intern oder mit externer Beteiligung (z. B. durch das CERT-EU) durchgeführten (IT-)Sicherheitsüberprüfungen, der Durchsetzung zivilrechtlicher Ansprüche sowie der Bearbeitung von Anträgen auf Auskunft über die eigene medizinische Akte.

3 Die entsprechenden Kategorien personenbezogener Daten umfassen harte Daten („objektive“ Daten wie Identifikationsdaten, Kontaktdaten, berufsbezogene Daten, Verwaltungsdaten, Daten aus bestimmten Quellen, elektronische Kommunikations- und Verkehrsdaten) und/oder weiche Daten („subjektive“ fallbezogene Daten wie Begründungen, verhaltensbezogene Daten, Bewertungen, Leistungs- und Verhaltensdaten sowie Daten, die sich auf den Gegenstand des Verfahrens oder der Tätigkeit beziehen oder im Zusammenhang damit übertragen werden).

4 Betrifft die Wahrnehmung ihrer Aufgaben die Rechte betroffener Personen gemäß der Verordnung (EU) 2018/1725, prüft die Agentur, ob eine der in der Verordnung vorgesehenen Ausnahmen gegeben ist.

5 Unter den in diesem Beschluss genannten Bedingungen können die folgenden Rechte beschränkt werden: die Rechte auf Unterrichtung der betroffenen Personen, Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Personen bzw. Vertraulichkeit der Kommunikation.

1 Verletzungen des Schutzes personenbezogener Daten, Datenverluste oder unbefugte Offenlegung werden durch die folgenden Schutzmaßnahmen verhindert: a) Dokumente in Papierform werden in gesicherten Schränken aufbewahrt und ausschließlich befugtem Personal zugänglich gemacht. b) Alle elektronischen Daten werden in einer sicheren IT-Anwendung gemäß den Sicherheitsstandards der Agentur sowie in speziellen elektronischen Ordnern gespeichert, die ausschließlich befugtem Personal zugänglich sind. Angemessene Zugangsrechte werden auf individueller Basis erteilt. c) Der Schutz der Datenbank erfolgt durch ein System mit einmaliger Anmeldung mit Kennwort und automatischer Verbindung mit Benutzerkennung und Kennwort (Single Sign-on-System). Die Ersetzung von Benutzern ist streng untersagt. Elektronische Aufzeichnungen (E-Aufzeichnungen) werden sicher aufbewahrt, um die Vertraulichkeit und den Schutz der darin enthaltenen Daten zu garantieren. d) Der Arzt des externen Dienstleisters, der die medizinischen Akten aufbewahrt, ist an einschlägige vertragliche Klauseln über die Geheimhaltung und Verarbeitung personenbezogener Daten gebunden. e) Alle Personen, die Zugang zu den Daten haben, sind zur Geheimhaltung verpflichtet.

2 Der für die Verarbeitungsvorgänge Verantwortliche ist die Agentur, vertreten durch ihren Exekutivdirektor, der die Funktion des für die Verarbeitung Verantwortlichen übertragen kann. Den betroffenen Personen werden die Angaben zum stellvertretenden für die Verarbeitung Verantwortlichen in den auf der Website und/oder im Intranet der Agentur veröffentlichten Datenschutzerklärungen oder Verzeichnissen mitgeteilt.

3 Die Aufbewahrungsfrist für die in Artikel 1 Absatz 3 genannten personenbezogenen Daten ist nicht länger als für die Datenverarbeitungszwecke erforderlich und angemessen. Sie darf keinesfalls länger sein als die Aufbewahrungsfrist, die in den Datenschutzerklärungen oder Verzeichnissen angegeben ist, auf die in Artikel 5 Absatz 1 Bezug genommen wird.

4 Wenn die Agentur eine Beschränkung in Erwägung zieht, sind die Risiken für die Rechte und Freiheiten der betroffenen Person abzuwägen, insbesondere gegenüber dem Risiko für die Rechte und Freiheiten anderer betroffener Personen sowie dem Risiko, dass die Wirksamkeit der von der Agentur durchgeführten Untersuchungen oder Verfahren, z. B. durch Vernichtung von Beweismaterial, zunichtegemacht wird. Bei den Risiken für die Rechte und Freiheiten der betroffenen Person handelt es sich insbesondere, jedoch nicht ausschließlich um Reputationsrisiken sowie Risiken für das Verteidigungsrecht und den Anspruch auf rechtliches Gehör.

1 Die Agentur darf Beschränkungen nur vornehmen, um Folgendes sicherzustellen: a) die nationale Sicherheit, die öffentliche Sicherheit oder die Landesverteidigung der Mitgliedstaaten; b) die Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten oder die Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit; c) sonstige wichtige Ziele des allgemeinen öffentlichen Interesses der Union oder eines Mitgliedstaats, insbesondere die Ziele der gemeinsamen Außen- und Sicherheitspolitik der Union oder ein wichtiges wirtschaftliches oder finanzielles Interesse der Union oder eines Mitgliedstaats, etwa im Währungs-, Haushalts- und Steuerbereich sowie im Bereich der öffentlichen Gesundheit und der sozialen Sicherheit; d) die innere Sicherheit der Organe und Einrichtungen der Union einschließlich ihrer elektronischen Kommunikationsnetze; e) die Verhütung, Ermittlung, Aufdeckung und Verfolgung von Verstößen gegen die berufsständischen Regeln reglementierter Berufe, f) Kontroll-, Überwachungs- oder Ordnungsfunktionen, die dauernd oder zeitweise mit der Ausübung öffentlicher Gewalt für die unter den Buchstaben a bis c genannten Zwecke verbunden sind; g) den Schutz der betroffenen Person oder der Rechte und Freiheiten anderer Personen; h) die Durchsetzung zivilrechtlicher Ansprüche.

2 Als eine spezifische Anwendung zu den in Absatz 1 genannten Zwecken kann die Agentur für personenbezogene Daten, die mit Dienststellen der Kommission oder anderen Organen, Einrichtungen und sonstigen Stellen der Union, zuständigen Behörden der Mitgliedstaaten oder Drittländern oder internationalen Organisationen ausgetauscht werden, unter folgenden Umständen Beschränkungen vornehmen: a) wenn die Beschränkung der Ausübung dieser Rechte und Pflichten durch Kommissionsdienststellen oder andere Organe, Einrichtungen und sonstige Stellen der Union aufgrund anderer in Artikel 25 der Verordnung (EU) 2018/1725 vorgesehener Rechtsakte oder gemäß Kapitel IX der genannten Verordnung oder gemäß den Gründungsakten anderer Organe, Einrichtungen und sonstigen Stellen der Union möglich ist; b) wenn die Beschränkung der Ausübung dieser Rechte und Pflichten durch zuständige Behörden der Mitgliedstaaten aufgrund in Artikel 23 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates genannter Rechtsakte, oder aufgrund nationaler Maßnahmen zur Umsetzung der Artikel 13 Absatz 3, Artikel 15 Absatz 3 oder Artikel 16 Absatz 3 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates möglich ist; c) wenn die Ausübung dieser Rechte und Pflichten die in Wahrnehmung ihrer Aufgaben erfolgende Zusammenarbeit der Agentur mit Drittländern oder internationalen Organisationen gefährden könnte. Bevor die Agentur unter den in den Buchstaben a und b des ersten Unterabsatzes genannten Voraussetzungen Beschränkungen vornimmt, konsultiert sie die zuständigen Dienststellen der Kommission, die Einrichtungen, Organe und sonstigen Stellen der Union oder die zuständigen Behörden der Mitgliedstaaten, es sei denn, für die Agentur ist klar, dass die Vornahme der Beschränkung in einem der unter diesen beiden Buchstaben genannten Rechtsakte vorgesehen ist.

3 Jede Beschränkung muss im Hinblick auf die Risiken für die Rechte und Freiheiten der betroffenen Personen notwendig und verhältnismäßig sein und den Wesensgehalt der Grundrechte und Grundfreiheiten in einer demokratischen Gesellschaft achten.

4 Wird eine Beschränkung in Betracht gezogen, ist deren Notwendigkeit und Verhältnismäßigkeit auf Grundlage der vorliegenden Vorschriften zu prüfen. Zu Rechenschaftszwecken ist dies im Einzelfall in einem internen Bewertungsvermerk zu dokumentieren.

5 Sobald die die Beschränkungen rechtfertigenden Umstände nicht mehr vorliegen, werden die Beschränkungen aufgehoben. Insbesondere, wenn nicht mehr anzunehmen ist, dass die Ausübung des beschränkten Rechts die Wirkung der vorgenommenen Beschränkung zunichtemachen oder die Rechte oder Freiheiten anderer betroffener Personen beeinträchtigen würde.

1 Die Agentur unterrichtet den Datenschutzbeauftragten der Agentur („DSB“) unverzüglich, wenn der für die Verarbeitung Verantwortliche gemäß diesem Beschluss Rechte betroffener Personen beschränkt oder Beschränkungen verlängert. Der für die Verarbeitung Verantwortliche gewährt dem DSB Zugang zu dem Verzeichnis, das die Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung enthält, und dokumentiert das Datum, an dem der DSB unterrichtet wird, im Verzeichnis.

2 Der DSB kann den für die Verarbeitung Verantwortlichen schriftlich auffordern, die Geltung der Beschränkungen zu überprüfen. Der für die Verarbeitung Verantwortliche unterrichtet den DSB schriftlich über das Ergebnis der Überprüfung.

3 Der für die Verarbeitung Verantwortliche unterrichtet den DSB über die Aufhebung der Beschränkung.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der für die Verarbeitung Verantwortliche das Recht auf Unterrichtung im Rahmen der folgenden Verarbeitungsvorgänge beschränken: a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; b) erste Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten; c) Verfahren wegen gemeldeter Missstände (Whistleblowing); d) (formelle und informelle) Verfahren wegen Mobbings; e) Bearbeitung interner und externer Beschwerden; f) interne Audits; g) vom Datenschutzbeauftragten durchgeführte Prüfungen gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725; h) intern oder mit externer Beteiligung (z. B. durch das CERT-EU) durchgeführte (IT-)Sicherheitsüberprüfungen. In die auf der Website und/oder im Intranet der Agentur veröffentlichten Datenschutzerklärungen oder Verzeichnisse im Sinne von Artikel 31 der Verordnung (EU) 2018/1725, die die betroffenen Personen über ihre Rechte im Rahmen eines gegebenen Verfahrens informieren, nimmt die Agentur Informationen über die potenzielle Beschränkung dieser Rechte auf. Diese Unterrichtung bezieht sich darauf, welche Rechte beschränkt werden können, die Gründe dafür und die mögliche Dauer.

2 Unbeschadet der Bestimmungen in Absatz 3 unterrichtet die Agentur, sofern dies verhältnismäßig ist, alle betroffenen Personen, die als von den spezifischen Verarbeitungsvorgängen betroffene Personen gelten, einzeln, unverzüglich und schriftlich über gegenwärtige oder künftige Beschränkungen ihrer Rechte.

3 Wenn die Agentur das in Absatz 2 vorgesehene Recht auf Unterrichtung der betroffenen Personen ganz oder zum Teil beschränkt, erfasst sie die Gründe für die Beschränkung und die Rechtsgrundlage gemäß Artikel 3 dieses Beschlusses, einschließlich einer Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung, in einer Aufzeichnung. Die Aufzeichnung sowie gegebenenfalls die Unterlagen, die die tatsächlichen und rechtlichen Grundlagen enthalten, werden in einem Register verzeichnet. Sie werden dem Europäischen Datenschutzbeauftragten auf Anforderung zur Verfügung gestellt.

4 Eine Beschränkung im Sinne von Absatz 3 gilt, solange die Gründe dafür weiterhin vorliegen. Wenn die Gründe für die Beschränkung nicht mehr vorliegen, unterrichtet die Agentur die betroffene Person über die Hauptgründe, auf denen die Vornahme der Beschränkung beruht. Gleichzeitig teilt die Agentur der betroffenen Person mit, dass sie jederzeit Beschwerde beim Europäischen Datenschutzbeauftragten oder einen Rechtsbehelf beim Gerichtshof der Europäischen Union einlegen kann. Die Agentur überprüft die verhängte Beschränkung alle sechs Monate sowie bei Abschluss der Prüfung, des Verfahrens oder der Untersuchung. Danach überwacht der für die Verarbeitung Verantwortliche alle sechs Monate, ob es notwendig ist, die Beschränkung aufrechtzuerhalten.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der für die Verarbeitung Verantwortliche, soweit dies notwendig und verhältnismäßig ist, das Recht auf Auskunft im Rahmen der folgenden Verarbeitungsvorgänge beschränken: a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; b) erste Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten; c) Verfahren wegen gemeldeter Missstände (Whistleblowing); d) (formelle und informelle) Verfahren wegen Mobbings; e) Bearbeitung interner und externer Beschwerden; f) interne Audits; g) vom Datenschutzbeauftragten durchgeführte Prüfungen gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725; h) intern oder mit externer Beteiligung (z. B. durch das CERT-EU) durchgeführte (IT-)Sicherheitsüberprüfungen. i) Bearbeitung von Anträgen auf Auskunft über die eigene medizinische Akte. Verlangen von der Datenverarbeitung betroffene Personen gemäß Artikel 17 der Verordnung (EU) 2018/1725 Auskunft über ihre im Zusammenhang mit einem oder mehreren spezifischen Fällen verarbeiteten personenbezogenen Daten oder über einen spezifischen Datenverarbeitungsvorgang, beschränkt die Agentur ihre Antragsprüfung auf die betreffenden personenbezogenen Daten.

2 Beschränkt die Agentur das in Artikel 17 der Verordnung (EU) 2018/1725 vorgesehene Auskunftsrecht ganz oder zum Teil, ergreift sie die folgenden Maßnahmen: a) Sie unterrichtet die betroffene Person in ihrer Antwort auf den Antrag über die vorgenommene Beschränkung und die Hauptgründe dafür sowie über die Möglichkeit, Beschwerde beim Europäischen Datenschutzbeauftragten oder einen gerichtlichen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen; b) in einem internen Beurteilungsvermerk notiert sie die Gründe für die Beschränkung, einschließlich einer Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung und ihrer Dauer. Beschränkungen des Rechts auf Einsicht in die eigene medizinische Akte sind nur in Bezug auf persönliche medizinische Daten psychologischer oder psychiatrischer Art zulässig, sofern die Auskunft über solche Daten wahrscheinlich die Gesundheit der betroffenen Person gefährdet. Eine solche Beschränkung darf nicht über das für den Schutz der betroffenen Person unbedingt erforderliche Maß hinausgehen. Die Auskunft über solche Informationen wird einem von der betroffenen Person als Mittelsperson gewählten Arzt gewährt. Diesem Arzt ist Einsichtnahme in alle Informationen zu geben sowie Ermessen zu gewähren, über die Art und Weise sowie den Inhalt der Auskunft, die der betroffenen Personen erteilt wird, zu entscheiden. Die in Buchstabe a vorgesehene Unterrichtung kann zurückgestellt, unterlassen oder abgelehnt werden, wenn sie die Wirkung der gemäß Artikel 25 Absatz 8 der Verordnung (EU) 2018/1725 vorgenommenen Beschränkung zunichtemachen würde. Die Agentur überprüft die verhängte Beschränkung alle sechs Monate sowie bei Abschluss der betreffenden Untersuchung. Danach überwacht der für die Verarbeitung Verantwortliche alle sechs Monate, ob es notwendig ist, die Beschränkung aufrechtzuerhalten.

3 Die Aufzeichnung sowie gegebenenfalls die Unterlagen, die die tatsächlichen und rechtlichen Grundlagen enthalten, werden in einem Register verzeichnet. Sie werden dem Europäischen Datenschutzbeauftragten auf Anforderung zur Verfügung gestellt.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der für die Verarbeitung Verantwortliche, soweit dies notwendig und verhältnismäßig ist, das Recht auf Berichtigung, Löschung und Einschränkung der Verarbeitung im Rahmen der folgenden Verarbeitungsvorgänge beschränken: a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; b) erste Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten; c) Verfahren wegen gemeldeter Missstände (Whistleblowing); d) (formelle und informelle) Verfahren wegen Mobbings; e) Bearbeitung interner und externer Beschwerden; f) interne Audits; g) vom Datenschutzbeauftragten durchgeführte Prüfungen gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725; h) intern oder mit externer Beteiligung (z. B. durch das CERT-EU) durchgeführte (IT-)Sicherheitsüberprüfungen.

2 Beschränkt die Agentur das in den Artikeln 18, 19 Absatz 1 und 20 Absatz 1 der Verordnung (EU) 2018/1725 vorgesehene Recht auf Berichtigung, Löschung und Einschränkung der Verarbeitung ganz oder zum Teil, muss sie die in Artikel 6 Absatz 2 dieses Beschlusses genannten Maßnahmen ergreifen und die Aufzeichnung gemäß Artikel 6 Absatz 3 in einem Register verzeichnen.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der für die Verarbeitung Verantwortliche, soweit dies notwendig und verhältnismäßig ist, das Recht auf Benachrichtigung über eine Verletzung des Schutzes personenbezogener Daten im Rahmen der folgenden Verarbeitungsvorgänge beschränken: a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; b) erste Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten; c) Verfahren wegen gemeldeter Missstände (Whistleblowing); d) (formelle und informelle) Verfahren wegen Mobbings; e) Bearbeitung interner und externer Beschwerden; f) interne Audits; g) vom Datenschutzbeauftragten durchgeführte Prüfungen gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725; h) intern oder mit externer Beteiligung (z. B. durch das CERT-EU) durchgeführte (IT-)Sicherheitsüberprüfungen.

2 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der für die Verarbeitung Verantwortliche, soweit dies notwendig und verhältnismäßig ist, das Recht auf Vertraulichkeit der elektronischen Kommunikation im Rahmen der folgenden Verarbeitungsvorgänge beschränken: a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; b) erste Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten; c) Verfahren wegen gemeldeter Missstände (Whistleblowing); d) formelle Verfahren wegen Mobbings; e) Bearbeitung interner und externer Beschwerden; f) intern oder mit externer Beteiligung (z. B. durch das CERT-EU) durchgeführte (IT-)Sicherheitsüberprüfungen.

3 Beschränkt die Agentur die in den Artikeln 35 und 36 der Verordnung (EU) 2018/1725 vorgesehenen Rechte auf Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Personen bzw. auf die Vertraulichkeit der elektronischen Kommunikation, muss sie die Gründe dafür gemäß Artikel 5 Absatz 3 dieses Beschlusses aufzeichnen und die Aufzeichnung in einem Register verzeichnen. Es gilt Artikel 5 Absatz 4 dieses Beschlusses.

Dieser Beschluss tritt am Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.