Entscheidung der Europäischen Bürgerbeauftragten vom 9. November 2020 über interne Vorschriften zur Beschränkung bestimmter Rechte betroffener Personen bei der Verarbeitung personenbezogener Daten

1 Mit dieser Entscheidung werden Vorschriften in Bezug auf die Bedingungen festgelegt, unter denen die Europäische Bürgerbeauftragte die Anwendung der Artikel 4, 14 bis 22, 35 und 36 gemäß Artikel 25 der Verordnung beschränken darf.

2 Das Büro der Europäischen Bürgerbeauftragten wird als Verantwortlicher durch die Europäische Bürgerbeauftragte vertreten.

1 Die Europäische Bürgerbeauftragte kann die Anwendung der Artikel 14 bis 22, 35 und 36 sowie des Artikels 4, insofern dessen Bestimmungen den in den Artikeln 14 bis 20 vorgesehenen Rechten und Pflichten entsprechen, wie folgt beschränken: a) gemäß Artikel 25 Absatz 1 Buchstaben b, c, f, g und h der Verordnung bei der Durchführung von Verwaltungsuntersuchungen, Vordisziplinar-, Disziplinar- und Dienstenthebungsverfahren gemäß Artikel 86 und Anhang IX des Statuts und gemäß der Entscheidung des Europäischen Bürgerbeauftragten vom 4. November 2004 über die Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren sowie bei der Meldung von Verdachtsfällen an das OLAF; b) gemäß Artikel 25 Absatz 1 Buchstabe h der Verordnung, wenn es darum geht, sicherzustellen, dass Bedienstete der Europäischen Bürgerbeauftragten Sachverhalte vertraulich melden können, von denen sie annehmen, dass es sich um schwerwiegende Unregelmäßigkeiten handelt, so wie dies in der Entscheidung der Europäischen Bürgerbeauftragten vom 20. Februar 2015 über interne Vorschriften für die Meldung von Missständen (Whistleblowing) festgelegt ist; c) gemäß Artikel 25 Absatz 1 Buchstabe h der Verordnung, wenn es darum geht, sicherzustellen, dass Bedienstete der Europäischen Bürgerbeauftragten in der Lage sind, sich im Rahmen eines Verfahrens wegen Mobbings oder Belästigung im Sinne der Entscheidung der Europäischen Bürgerbeauftragten über eine Strategie zur Verhütung von Belästigung und zum Schutz vor Belästigung im Büro der Bürgerbeauftragten an die Ethikkorrespondenten und/oder den Vermittlungsausschuss zu wenden; d) gemäß Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung, bei der Durchführung interner Audits bezüglich der Tätigkeiten oder der Abteilungen der Europäischen Bürgerbeauftragten; e) gemäß Artikel 25 Absatz 1 Buchstaben c, d, g und h der Verordnung, wenn anderen Organen, Einrichtungen und sonstigen Stellen der Europäischen Union Unterstützung geleistet oder Unterstützung von ihnen erhalten wird oder mit ihnen im Rahmen von Tätigkeiten gemäß den Buchstaben a bis d des vorliegenden Absatzes sowie gemäß Dienstgütevereinbarungen, Absichtserklärungen und Kooperationsvereinbarungen zusammengearbeitet wird; f) gemäß Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung, wenn nationalen Behörden von Drittländern und internationalen Organisationen auf deren Ersuchen oder aus eigener Initiative Unterstützung geleistet oder Unterstützung von ihnen erhalten oder mit ihnen zusammengearbeitet wird; g) gemäß Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung, wenn nationalen Behörden von Mitgliedstaaten der Union auf deren Ersuchen oder aus eigener Initiative Unterstützung geleistet oder Unterstützung von ihnen erhalten und mit ihnen zusammengearbeitet wird; h) gemäß Artikel 25 Absatz 1 Buchstabe e der Verordnung bei der Verarbeitung personenbezogener Daten, die in Dokumenten enthalten sind, welche von den Parteien oder Streithelfern im Zusammenhang mit Verfahren vor dem Gerichtshof der Europäischen Union erlangt wurden; i) gemäß Artikel 25 Absatz 1 Buchstabe h der Verordnung bei der Durchführung von Untersuchungen bezüglich mutmaßlicher Missstände bei der Tätigkeit der Organe, Einrichtungen und sonstigen Stellen der Union im Einklang mit Artikel 228 des Vertrags über die Arbeitsweise der Europäischen Union sowie dem Statut und den Durchführungsbestimmungen des Bürgerbeauftragten.

2 Jede Beschränkung muss den Wesensgehalt der Grundrechte und Grundfreiheiten achten und eine in einer demokratischen Gesellschaft notwendige und verhältnismäßige Maßnahme darstellen.

3 Bevor Beschränkungen vorgenommen werden, ist deren Notwendigkeit und Verhältnismäßigkeit im Einzelfall zu prüfen. Beschränkungen sind auf das zur Erreichung ihres Zwecks unbedingt erforderliche Maß zu begrenzen.

4 Zu Rechenschaftszwecken erstellt die Europäische Bürgerbeauftragte Aufzeichnungen über die Gründe für die vorgenommenen Beschränkungen, die angewandten Rechtsgrundlagen gemäß Absatz 1 sowie das Ergebnis der Notwendigkeits- und Verhältnismäßigkeitsprüfung. Diese Aufzeichnungen sind Teil eines Registers, das dem Europäischen Datenschutzbeauftragten auf Anfrage zur Verfügung gestellt wird. Die Europäische Bürgerbeauftragte erstellt regelmäßig Berichte über die Anwendung von Artikel 25 der Verordnung.

5 Bei der Verarbeitung personenbezogener Daten, die die Europäische Bürgerbeauftragte im Rahmen ihrer Aufgaben von anderen Organisationen erhält, konsultiert sie diese Organisationen über mögliche Gründe für die Vornahme von Beschränkungen sowie die Notwendigkeit und Verhältnismäßigkeit der betreffenden Beschränkungen, es sei denn, dies würde die Tätigkeiten der Europäischen Bürgerbeauftragten gefährden.

1 Die Bewertungen der sich aus der Anwendung von Beschränkungen ergebenden Risiken für die Rechte und Freiheiten der betroffenen Personen sowie die Angaben zur Geltungsdauer dieser Beschränkungen sind im Verzeichnis von Verarbeitungstätigkeiten einzutragen, das von der Europäischen Bürgerbeauftragten gemäß Artikel 31 der Verordnung geführt wird. Außerdem sind sie in den einschlägigen Datenschutz-Folgenabschätzungen gemäß Artikel 39 der Verordnung zu vermerken.

2 Bei jeder Bewertung der Notwendigkeit und Verhältnismäßigkeit einer Beschränkung berücksichtigt die Europäische Bürgerbeauftragte die möglichen Risiken für die Rechte und Freiheiten der betroffenen Person.

1 Die Europäische Bürgerbeauftragte sieht Garantien vor, die verhindern, dass personenbezogene Daten, die Beschränkungen unterliegen oder unterliegenden könnten, Missbrauch, unrechtmäßigem Zugang oder unrechtmäßiger Übermittlung ausgesetzt sind. Diese Garantien umfassen technische und organisatorische Maßnahmen und werden erforderlichenfalls in den internen Entscheidungen, Verfahren und Durchführungsbestimmungen der Europäischen Bürgerbeauftragten im Einzelnen angegeben. Die Garantien beinhalten: a) eine klare Definition der Rollen, Zuständigkeiten und Verfahrensschritte; b) gegebenenfalls eine sichere elektronische Umgebung, die verhindert, dass elektronische Daten unrechtmäßig oder versehentlich unbefugten Personen zugänglich gemacht oder übermittelt werden; c) gegebenenfalls die sichere Speicher und Bearbeitung von Papierdokumenten; d) die ordnungsgemäße Überwachung der Beschränkungen und die regelmäßige Überprüfung ihrer Anwendung. Die in Buchstabe d genannten Überprüfungen sind mindestens alle sechs Monate durchzuführen.

2 Beschränkungen werden aufgehoben, sobald die Umstände, die sie rechtfertigen, nicht mehr gegeben sind.

3 Die personenbezogenen Daten werden gemäß den geltenden Speicherungsvorschriften der Europäischen Bürgerbeauftragten gespeichert, die in den gemäß Artikel 31 der Verordnung geführten Datenschutzverzeichnissen festzulegen sind. Nach Ablauf der Speicherfrist werden die personenbezogenen Daten gemäß Artikel 13 der Verordnung gelöscht, anonymisiert oder in Archive übertragen.

1 Jede Beschränkung der Rechte betroffener Personen gemäß dieser Entscheidung ist unverzüglich dem Datenschutzbeauftragten der Europäischen Bürgerbeauftragten mitzuteilen. Der Datenschutzbeauftragte erhält vollen und uneingeschränkten Zugang zu allen Aufzeichnungen und Dokumenten, die den zugrunde liegenden sachlichen oder rechtlichen Zusammenhang betreffen.

2 Der Datenschutzbeauftragte der Europäischen Bürgerbeauftragten kann die Überprüfung einer vorgenommenen Beschränkung verlangen. Die Europäische Bürgerbeauftragte informiert ihren Datenschutzbeauftragten schriftlich über das Ergebnis der Überprüfung.

3 Die Europäische Bürgerbeauftragte dokumentiert die Mitwirkung des Datenschutzbeauftragten bei der Anwendung von Beschränkungen sowie die dem Datenschutzbeauftragten mitgeteilten Informationen.

1 In die auf der Website der Europäischen Bürgerbeauftragten veröffentlichten Datenschutzhinweise wird ein Abschnitt aufgenommen, in dem die betroffenen Personen allgemein darüber informiert werden, dass ihre Rechte gemäß Artikel 2 Absatz 1 beschränkt werden können. Die Informationen sollten sich darauf beziehen, welche Rechte beschränkt werden können, aus welchen Gründen die Beschränkungen vorgenommen werden können und für welche Dauer sie gelten können.

2 Betroffene Personen sind von der Europäischen Bürgerbeauftragten einzeln, schriftlich und unverzüglich über die gegenwärtigen oder künftigen Beschränkungen ihrer Rechte zu unterrichten. Die Europäische Bürgerbeauftragte unterrichtet die betroffenen Personen über die wesentlichen Gründe für die Beschränkung, über das Recht betroffener Personen, sich an den Datenschutzbeauftragten zu wenden, um gegen die Beschränkung vorzugehen, sowie über ihr Recht, beim Europäischen Datenschutzbeauftragten Beschwerde einzulegen.

3 Solange die Unterrichtung über die Gründe für die Beschränkung und über das Recht auf Einlegung einer Beschwerde beim Europäischen Datenschutzbeauftragten die Wirkung der Beschränkung zunichtemachen würde, kann sie von der Europäischen Bürgerbeauftragten zurückgestellt, unterlassen oder abgelehnt werden. Die Beurteilung, ob dies gerechtfertigt wäre, erfolgt auf Einzelfallbasis. Sobald die Unterrichtung die Wirkung der Beschränkung nicht mehr zunichtemachen würde, ist die betroffene Person von der Europäischen Bürgerbeauftragten zu unterrichten.

1 Ist die Europäische Bürgerbeauftragte gemäß Artikel 35 Absatz 1 der Verordnung zur Benachrichtigung über eine Datenschutzverletzung verpflichtet, kann sie in Ausnahmefällen die Benachrichtigung ganz oder teilweise beschränken. Die Europäische Bürgerbeauftragte dokumentiert die Gründe für die Beschränkung, die Rechtsgrundlage gemäß obigem Artikel 2 sowie die Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung. Der Vermerk ist dem Europäischen Datenschutzbeauftragten zum Zeitpunkt der Meldung der Verletzung des Schutzes personenbezogener Daten mitzuteilen.

2 Sind die Gründe für die Beschränkung nicht mehr gegeben, benachrichtigt die Europäische Bürgerbeauftragte die von einer Verletzung des Schutzes personenbezogener Daten betroffene Person, wobei die Hauptgründe für die Beschränkung anzugeben sind und auf das Recht der betroffenen Person, beim Europäischen Datenschutzbeauftragten Beschwerde einzulegen, hinzuweisen ist.

1 In Ausnahmefällen ist es der Europäischen Bürgerbeauftragten möglich, das Recht auf Vertraulichkeit der elektronischen Kommunikation im Sinne von Artikel 36 der Verordnung zu beschränken. Derartige Beschränkungen müssen der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates genügen.

2 Beschränkt die Europäische Bürgerbeauftragte das Recht auf Vertraulichkeit der elektronischen Kommunikation, unterrichtet sie die betroffene Person in der Antwort auf deren Anfrage über die wesentlichen Gründe für diese Beschränkung sowie über das Recht der betroffenen Person, beim Europäischen Datenschutzbeauftragten Beschwerde einzulegen.

3 Solange die Unterrichtung über die Gründe für die Beschränkung und über das Recht auf Einlegung einer Beschwerde beim Europäischen Datenschutzbeauftragten die Wirkung der Beschränkung zunichtemachen würde, kann sie von der Europäischen Bürgerbeauftragten zurückgestellt, unterlassen oder abgelehnt werden. Die Beurteilung, ob dies gerechtfertigt wäre, erfolgt auf Einzelfallbasis. Sobald die Unterrichtung die Wirkung der Beschränkung nicht mehr zunichtemachen würde, ist die betroffene Person von der Europäischen Bürgerbeauftragten zu unterrichten.

Diese Entscheidung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.