Beschluss des Verwaltungsrats des Gemeinsamen Unternehmens „Initiative Innovative Arzneimittel 2“ vom 11. August 2020 über interne Vorschriften zur Beschränkung bestimmter Rechte betroffener Personen in Bezug auf die Verarbeitung personenbezogener Daten im Rahmen der Tätigkeit des Gemeinsamen Unternehmens IMI 2

1 Mit diesem Beschluss werden Vorschriften in Bezug auf die Bedingungen festgelegt, unter denen das Gemeinsame Unternehmen IMI 2 im Rahmen seiner unter Absatz 2 aufgeführten Verfahren gemäß Artikel 25 der Verordnung (EU) 2018/1725 befugt ist, die Anwendung der in den Artikeln 14 bis 22, 35 und 36 sowie in Artikel 4 der Verordnung verankerten Rechte zu beschränken.

2 Im Rahmen der Verwaltungstätigkeit des Gemeinsamen Unternehmens IMI 2 findet dieser Beschluss Anwendung, soweit das Programmbüro personenbezogene Daten verarbeitet, um Verwaltungsuntersuchungen, Disziplinarverfahren und erste Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten durchzuführen, die Meldung von Missständen (Whistleblowing) zu bearbeiten, (formelle sowie informelle) Verfahren in Bezug auf Mobbing durchzuführen, interne und externe Beschwerden zu bearbeiten, interne Prüfungen durchzuführen, Untersuchungen durch den Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 sowie (IT-)Sicherheitsuntersuchungen intern oder unter externer Mitwirkung (z. B. von CERT-EU) durchzuführen.

3 Die entsprechenden Kategorien personenbezogener Daten umfassen harte Daten („objektive“ Daten wie Identifikationsdaten, Kontaktdaten, berufsbezogene Daten, Verwaltungsdaten, Daten aus bestimmten Quellen, elektronische Kommunikations- und Verkehrsdaten) und weiche Daten („subjektive“ fallbezogene Daten wie Begründungen, verhaltensbezogene Daten, Bewertungen, Leistungs- und Verhaltensdaten sowie Daten, die sich auf den Gegenstand des Verfahrens oder der Tätigkeit beziehen oder im Zusammenhang damit vorgebracht werden).

4 Wenn das Gemeinsame Unternehmen IMI 2 seine Pflichten bezüglich Rechten betroffener Personen gemäß der Verordnung (EU) 2018/1725 erfüllt, ist zu berücksichtigen, ob eine der in dieser Verordnung vorgesehenen Ausnahmen Anwendung findet.

5 Vorbehaltlich der in diesem Beschluss festgelegten Voraussetzungen können die folgenden Rechte beschränkt werden: die Unterrichtung der betroffenen Personen, das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Personen sowie Vertraulichkeit der Kommunikation.

Der für die Verarbeitungsvorgänge Verantwortliche ist das Gemeinsame Unternehmen IMI 2, vertreten durch seinen Exekutivdirektor, der die Funktion des Verantwortlichen delegieren kann. Den betroffenen Personen wird in den Datenschutzhinweisen oder -aufzeichnungen, die auf der Website und/oder im Intranet des Gemeinsamen Unternehmens IMI 2 veröffentlicht werden, mitgeteilt, an welche Person die Verantwortung delegiert wurde.

1 Das Gemeinsame Unternehmen IMI 2 richtet die folgenden Garantien zum Schutz gegen Missbrauch oder unrechtmäßigen Zugang oder unrechtmäßige Übermittlung von personenbezogenen Daten ein : a) Dokumente in Papierform werden in gesicherten Schränken aufbewahrt und ausschließlich befugtem Personal zugänglich gemacht. b) Alle elektronischen Daten werden in einer sicheren IT-Anwendung gemäß den Sicherheitsstandards des Gemeinsamen Unternehmens IMI 2 sowie in speziellen elektronischen Verzeichnissen gespeichert, die ausschließlich befugtem Personal zugänglich sind. Angemessene Zugangsrechte werden individuell erteilt. c) Der Schutz der Datenbank erfolgt durch ein System mit einmaliger Anmeldung mit Kennwort und automatischer Verbindung mit Benutzerkennung und Kennwort (Single Sign-on-System). Die Ersetzung von Benutzern ist streng untersagt. Elektronische Aufzeichnungen werden sicher aufbewahrt, um die Vertraulichkeit und den Schutz der darin enthaltenen Daten zu garantieren. d) Alle Personen, die Zugang zu den Daten haben, sind zur Geheimhaltung verpflichtet.

2 Die Aufbewahrungsfrist für die in Artikel 1 Absatz 3 genannten personenbezogenen Daten ist nicht länger als für die Datenverarbeitungszwecke notwendig und angemessen. Sie darf keinesfalls länger sein als die Aufbewahrungsfrist, die in den Datenschutzhinweisen, Datenschutzerklärungen oder Verzeichnissen angegeben ist, auf die in Artikel 6 Bezug genommen wird.

3 Wenn das Gemeinsame Unternehmen IMI 2 die Anwendung einer Beschränkung in Betracht zieht, sind die Risiken für die Rechte und Freiheiten der betroffenen Person abzuwägen, insbesondere gegenüber dem Risiko für die Rechte und Freiheiten anderer betroffener Personen sowie dem Risiko, dass die Wirksamkeit der von dem Gemeinsamen Unternehmen IMI 2 durchgeführten Untersuchungen oder Verfahren zunichtegemacht wird, z. B. durch Vernichtung von Beweismaterial. Die Risiken für die Rechte und Freiheiten der betroffenen Personen betreffen in erster Linie (jedoch nicht nur) Reputationsrisiken sowie Risiken für das Recht auf Verteidigung und den Anspruch auf rechtliches Gehör.

1 Beschränkungen werden vom Gemeinsamen Unternehmen IMI 2 nur vorgenommen, um Folgendes zu garantieren: a) die nationale Sicherheit, die öffentliche Sicherheit oder die Landesverteidigung der Mitgliedstaaten; b) die Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten oder die Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit; c) sonstige wichtige Ziele des allgemeinen öffentlichen Interesses der Union oder eines Mitgliedstaats, insbesondere die Ziele der gemeinsamen Außen- und Sicherheitspolitik der Union oder ein wichtiges wirtschaftliches oder finanzielles Interesse der Union oder eines Mitgliedstaats, etwa im Währungs-, Haushalts- und Steuerbereich bzw. im Bereich der öffentlichen Gesundheit und der sozialen Sicherheit; d) die innere Sicherheit der Organe und Einrichtungen der Union, einschließlich ihrer elektronischen Kommunikationsnetze; e) die Verhütung, Ermittlung, Aufdeckung und Verfolgung von Verstößen gegen die berufsständischen Regeln reglementierter Berufe; f) Kontroll-, Überwachungs- und Ordnungsfunktionen, die dauernd oder zeitweise mit der Ausübung öffentlicher Gewalt in den unter den Buchstaben a bis c genannten Zwecke verbunden sind; g) der Schutz der betroffenen Person oder der Rechte und Freiheiten anderer Personen; h) die Durchsetzung zivilrechtlicher Ansprüche.

2 Im Rahmen der besonderen Anwendung zu den in Absatz 1 genannten Zwecken kann das Gemeinsame Unternehmen IMI 2 unter folgenden Umständen Beschränkungen anwenden: a) in Bezug auf personenbezogene Daten, die mit Dienststellen der Kommission oder anderen Organen, Einrichtungen und sonstigen Stellen der Union ausgetauscht werden; wenn die Ausübung der aufgeführten Rechte von einer Dienststelle der Kommission, einem Organ, einer Einrichtung oder einer sonstigen Stelle der Union aufgrund anderer in Artikel 25 der Verordnung (EU) 2018/1725 vorgesehener Rechtsakte oder gemäß Kapitel IX der genannten Verordnung oder gemäß den Gründungsakten anderer Organe, Einrichtungen und sonstiger Stellen der Union beschränkt werden kann; wenn der Zweck einer solchen Beschränkung durch diese Dienststelle der Kommission, das Organ, die Einrichtung oder die sonstige Stelle der Union gefährdet wäre, falls das Gemeinsame Unternehmen IMI 2 keine vergleichbare Beschränkung in Bezug auf dieselben personenbezogenen Daten anwenden würde; b) in Bezug auf personenbezogene Daten, die mit zuständigen Behörden der Mitgliedstaaten ausgetauscht werden; wenn die Ausübung der aufgeführten Rechte von den zuständigen Behörden der Mitgliedstaaten aufgrund der in Artikel 23 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates genannten Rechtsakte oder im Rahmen nationaler Maßnahmen zur Umsetzung von Artikel 13 Absatz 3, Artikel 15 Absatz 3 oder Artikel 16 Absatz 3 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates beschränkt werden kann; wenn der Zweck einer solchen Beschränkung durch diese zuständige Behörde gefährdet wäre, falls das Gemeinsame Unternehmen IMI 2 keine vergleichbare Beschränkung in Bezug auf dieselben personenbezogenen Daten anwenden würde; c) in Bezug auf personenbezogene Daten, die mit Drittländern oder internationalen Organisationen ausgetauscht werden, wenn eindeutige Nachweise dafür vorliegen, dass die Ausübung dieser Rechte und Pflichten die Zusammenarbeit des Gemeinsamen Unternehmens IMI 2 mit Drittländern oder internationalen Organisationen bei der Wahrnehmung ihrer Aufgaben wahrscheinlich gefährden würde. Vor der Anwendung von Beschränkungen unter den in Unterabsatz 1 Buchstaben a und b genannten Umständen konsultiert das Gemeinsame Unternehmen IMI 2 die zuständigen Dienststellen der Kommission, die Einrichtungen, Organe und sonstigen Stellen der Union oder die zuständigen Behörden der Mitgliedstaaten, es sei denn, für das Gemeinsame Unternehmen IMI 2 ist klar, dass die Anwendung einer Beschränkung in einem der in diesen Buchstaben genannten Rechtsakte vorgesehen ist.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen können die folgenden Rechte durch den Verantwortlichen, sofern dies notwendig und verhältnismäßig ist, im Zusammenhang mit den unter Absatz 2 nachstehend aufgeführten Verarbeitungsvorgängen beschränkt werden: a) das Recht auf Unterrichtung; b) das Auskunftsrecht; c) das Recht auf Berichtigung, Löschung und Einschränkung der Verarbeitung; d) das Recht auf Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Personen; e) das Recht auf Vertraulichkeit der elektronischen Kommunikation.

2 Nach Artikel 25 Absatz 2 Buchstabe a der Verordnung (EU) 2018/1725 kann der Verantwortliche in hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen Beschränkungen im Zusammenhang mit den folgenden Verarbeitungsvorgängen anwenden: a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; b) erste Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten; c) Verfahren in Bezug auf gemeldete Missstände (Whistleblowing); d) (formelle und informelle) Verfahren in Bezug auf Mobbing ; e) Bearbeitung interner und externer Beschwerden; f) interne Prüfungen; g) vom Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 durchgeführte Untersuchungen; h) intern oder unter externer Mitwirkung (z. B. durch die CERT-EU) durchgeführte (IT-) Sicherheitsüberprüfungen; i) im Rahmen der Verwaltung der Finanzhilfen oder des Vergabeverfahrens nach Ende der Frist für die Einreichung von Vorschlägen oder Angeboten . Die Beschränkung gilt, solange die Gründe dafür weiterhin vorliegen.

3 Wenn das Gemeinsame Unternehmen IMI 2 die in Absatz 1 vorgesehenen Rechte ganz oder teilweise beschränkt, ergreift es die in den Artikeln 6 und 7 dieses Beschlusses genannten Maßnahmen.

4 Wenn betroffene Personen gemäß Artikel 17 der Verordnung (EU) 2018/1725 Auskunft über ihre personenbezogenen Daten, die im Zusammenhang mit einem oder mehreren spezifischen Fällen verarbeitet wurden, oder über einen spezifischen Datenverarbeitungsvorgang verlangen, beschränkt das Gemeinsame Unternehmen IMI 2 seine Antragsprüfung auf diese personenbezogenen Daten.

1 Jede in Artikel 5 dargelegte Beschränkung muss im Hinblick auf die Risiken für die Rechte und Freiheiten der betroffenen Personen notwendig und verhältnismäßig sein und den Wesensgehalt der Grundrechte und Grundfreiheiten in einer demokratischen Gesellschaft achten.

2 Wird eine Beschränkung in Betracht gezogen, ist deren Notwendigkeit und Verhältnismäßigkeit auf Grundlage der vorliegenden Vorschriften zu prüfen. Diese Prüfung wird im Rahmen der regelmäßigen Überprüfung durchgeführt, nachdem beurteilt wurde, ob die sachlichen und rechtlichen Gründe für eine Beschränkung weiterhin gegeben sind. Zu Rechenschaftszwecken wird dies von Fall zu Fall mittels einer internen Beurteilungsmitteilung dokumentiert.

3 Beschränkungen sind befristet und werden aufgehoben, sobald die Umstände, die sie rechtfertigen, nicht mehr vorliegen. Dies gilt insbesondere, wenn nicht mehr anzunehmen ist, dass die Ausübung des beschränkten Rechts die Wirkung der verhängten Beschränkung zunichtemachen oder die Rechte oder Freiheiten anderer betroffener Personen beeinträchtigen würde. Die Beschränkung wird von dem Gemeinsamen Unternehmen IMI 2 nach ihrer Anordnung alle sechs Monate sowie bei Abschluss der jeweiligen Ermittlungen, des relevanten Verfahrens oder der relevanten Untersuchungen überprüft. Danach überwacht der Verantwortliche alle sechs Monate, ob die Aufrechterhaltung der Beschränkung weiterhin notwendig ist.

4 Wenn das Gemeinsame Unternehmen IMI 2 die in Artikel 5 dieses Beschlusses dargelegten Beschränkungen gänzlich oder teilweise anwendet, zeichnet es die Gründe für die Beschränkung und die Rechtsgrundlage gemäß Absatz 1 einschließlich einer Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung auf. Der Vermerk sowie gegebenenfalls die Unterlagen, die die tatsächlichen und rechtlichen Grundlagen enthalten, werden registriert. Sie werden dem Europäischen Datenschutzbeauftragten auf Anfrage zur Verfügung gestellt.

1 Das Gemeinsame Unternehmen IMI 2 nimmt in die auf seiner Website veröffentlichten und/oder im Intranet verbreiteten Datenschutzhinweise, Datenschutzerklärungen oder Verzeichnisse im Sinne von Artikel 31 der Verordnung (EU) 2018/1725, in denen betroffene Personen über ihre Rechte im Rahmen eines gegebenen Verfahrens informiert werden, Informationen über die mögliche Beschränkung dieser Rechte auf. Darin ist darüber zu informieren, welche Rechte aus welchen Gründen und für welche Dauer eingeschränkt werden können. Unbeschadet der Bestimmungen in Artikel 6 Absatz 4 informiert das Gemeinsame Unternehmen IMI 2, sofern dies verhältnismäßig ist, auch alle betroffenen Personen, die als von den spezifischen Verarbeitungsvorgängen betroffene Personen gelten, unverzüglich einzeln schriftlich über ihre Rechte bezüglich gegenwärtiger oder künftiger Beschränkungen.

2 Wenn das Gemeinsame Unternehmen IMI 2 die in Artikel 5 vorgesehenen Rechte ganz oder teilweise beschränkt, informiert es die betroffene Person über die auferlegte Beschränkung und über die Hauptgründe dafür sowie über die Möglichkeit des Einlegens einer Beschwerde beim Europäischen Datenschutzbeauftragten oder eines Rechtsbehelfs beim Gerichtshof der Europäischen Union. Die Unterrichtung über Informationen im Sinne von Absatz 2 kann zurückgestellt, unterlassen oder abgelehnt werden, wenn sie die Wirkung der gemäß Artikel 25 Absatz 8 der Verordnung (EU) 2018/1725 angewandten Beschränkung zunichtemachen würde.

1 Das Gemeinsame Unternehmen IMI 2 unterrichtet den eigenen Datenschutzbeauftragten des Gemeinsamen Unternehmens IMI 2 („DSB“) unverzüglich, wenn der Verantwortliche gemäß diesem Beschluss die Rechte betroffener Personen beschränkt oder eine solche Beschränkung ausweitet. Der Verantwortliche gewährt dem DSB Zugang zu den Aufzeichnungen, die die Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung enthalten, und dokumentiert das Datum, an dem der DSB unterrichtet wird, in den Aufzeichnungen.

2 Der DSB kann den Verantwortlichen schriftlich auffordern, die vorgenommenen Beschränkungen zu überprüfen. Der Verantwortliche informiert den DSB schriftlich über das Ergebnis der erbetenen Überprüfung.

3 Der DSB wird über das gesamte Verfahren hindurch einbezogen. Der Verantwortliche informiert den DSB über die Aufhebung der Beschränkung.

Dieser Beschluss tritt am zwanzigsten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.