Beschluss der Behörde für europäische politische Parteien und europäische politische Stiftungen vom 18. Mai 2021 über den Erlass von Vorschriften zur Umsetzung der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG in Bezug auf die Beschränkung bestimmter Rechte der betroffenen Personen im Einklang mit Artikel 25 der genannten Verordnung 2021/C 257 I/01

In diesem Beschluss werden interne Vorschriften festgelegt, nach denen die Behörde für europäische politische Parteien und europäische politische Stiftungen („Behörde“) Ausnahmen, Ausnahmeregelungen oder Beschränkungen in Bezug auf die Rechte betroffener Personen gemäß Artikel 25 der Verordnung (EU) 2018/1725 anwenden kann.

1 Die Behörde bestimmt die Zwecke und Mittel der Verarbeitung personenbezogener Daten und fungiert daher in Bezug auf diese Daten als Verantwortlicher im Sinne von Artikel 3 Absatz 8 und Artikel 25 Absatz 2 Buchstabe e der Verordnung (EU) 2018/1725.

2 Legen die Behörde und mindestens eine andere Einheit, darunter auch die Organe, Einrichtungen und sonstigen Stellen der Union, die Zwecke und Mittel eines bestimmten Verarbeitungsvorgangs fest, so gelten die zuständigen Akteure als gemeinsam Verantwortliche im Sinne von Artikel 28 Absatz 1 der Verordnung (EU) 2018/1725.

3 Der Verantwortliche stellt sicher, dass die Verarbeitung im Einklang mit der Verordnung (EU) 2018/1725 erfolgt, und muss die Übereinstimmung mit dieser Verordnung nachweisen können. Der Verantwortliche ist insbesondere dafür zuständig, a) angemessene technische und organisatorische Maßnahmen zu treffen, damit die Grundsätze des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen umgesetzt werden, b) seine Bediensteten sachgerecht anzuweisen, damit die Rechtmäßigkeit, Gerechtigkeit, Transparenz und Vertraulichkeit der Verarbeitung gewahrt und ein angemessenes Schutzniveau mit Blick auf die Risiken, die mit der Verarbeitung verbunden sind, sichergestellt wird, c) mit dem Datenschutzbeauftragten und dem Europäischen Datenschutzbeauftragten bei der Wahrnehmung ihrer jeweiligen Aufgaben zusammenzuarbeiten, insbesondere durch Übermittlung von Informationen zwecks Beantwortung von Auskunftsersuchen, d) den Datenschutzbeauftragten frühzeitig zu benachrichtigen und einzubinden, insbesondere in Projekte mit neuen Datenverarbeitungsvorgängen oder wesentlichen Änderungen bestehender Vorgänge.

1 Vor Anwendung einer Beschränkung nach Abschnitt 2 dieses Kapitels prüft der Verantwortliche, ob eine der in der Verordnung (EU) 2018/1725 festgelegten Ausnahmen, insbesondere diejenigen nach Artikel 15 Absatz 4, Artikel 16 Absatz 5, Artikel 19 Absatz 3 und Artikel 35 Absatz 3 der genannten Verordnung, gilt.

2 Bei der Verarbeitung zu Zwecken der im öffentlichen Interesse liegenden Archivierung, zu Zwecken der wissenschaftlichen oder historischen Forschung oder zu statistischen Zwecken prüft der Verantwortliche, ob die in Artikel 16 Absatz 5 Buchstabe b und Artikel 19 Absatz 3 Buchstabe d der Verordnung (EU) 2018/1725 aufgeführten Ausnahmen gelten.

1 Für die Verarbeitung zu Zwecken der im öffentlichen Interesse liegenden Archivierung kann der Verantwortliche die Anwendung von Ausnahmeregelungen nach Artikel 25 Absatz 4 der Verordnung (EU) 2018/1725 prüfen. Zu diesem Zweck kann der Verantwortliche unter den dort festgelegten Voraussetzungen Ausnahmeregelungen von den in den Artikeln 17, 18, 20, 21, 22 und 23 der Verordnung (EU) 2018/1725 genannten Rechten anwenden.

2 Für die Verarbeitung zu Zwecken der wissenschaftlichen oder historischen Forschung oder zu statistischen Zwecken kann der Verantwortliche die Anwendung der Ausnahmeregelungen nach Artikel 25 Absatz 3 der Verordnung (EU) 2018/1725 anwenden. Zu diesem Zweck kann der Verantwortliche unter den dort festgelegten Voraussetzungen Ausnahmeregelungen von den in den Artikeln 17, 18, 20 und 23 der Verordnung (EU) 2018/1725 genannten Rechten anwenden.

3 Diese Ausnahmeregelungen unterliegen angemessenen Garantien im Einklang mit Artikel 13 der Verordnung (EU) 2018/1725 und Artikel 6 Absatz 1 und 2 dieses Beschlusses. Es werden technische und organisatorische Maßnahmen getroffen, um die Einhaltung der Datenminimierung und, falls anwendbar, die Pseudonymisierung sicherzustellen.

1 Dieser Abschnitt enthält die allgemeinen Voraussetzungen, unter denen der Verantwortliche die Anwendung der Artikel 14 bis 21, 35 und 36 der Verordnung (EU) 2018/1725 sowie von deren Artikel 4 — insofern dessen Bestimmungen den Rechten und Pflichten nach den Artikeln 14 bis 21 der genannten Verordnung entsprechen — im Einklang mit Artikel 25 der genannten Verordnung beschränken darf. Die in Unterabsatz 1 genannten allgemeinen Voraussetzungen werden durch die Bestimmungen der Anhänge zu diesem Beschluss ergänzt, in denen die Voraussetzungen festgelegt werden, unter denen die Behörde die Rechte betroffener Personen im Rahmen sämtlicher Tätigkeiten und Verfahren beschränken darf, bei denen personenbezogene Daten verarbeitet werden und Beschränkungen sich als notwendig erweisen könnten.

2 Dieser Abschnitt findet auf die Verarbeitung personenbezogener Daten für die Zwecke der in den Anhängen zu diesem Beschluss aufgeführten Tätigkeiten und Verfahren der Behörde Anwendung.

1 Die einer Beschränkung unterliegenden personenbezogenen Daten werden in einem gesicherten physischen oder elektronischen Umfeld gespeichert, um einen unberechtigten Zugriff oder eine unrechtmäßige Weitergabe von Daten an Personen zu verhindern, die diese nicht kennen müssen.

2 Bevor eine konkrete Beschränkung angewandt wird, erfolgt eine Bewertung, ob die Beschränkung erforderlich und verhältnismäßig ist und welche Risiken für betroffene Personen nach Artikel 12 dieses Beschlusses bestehen.

1 In Einklang mit Artikel 8 bis 13 und den in den entsprechenden Anhängen zu diesem Beschluss festgelegten Spezifikationen kann der Verantwortliche die in den relevanten Anhängen ausdrücklich genannten Rechte betroffener Personen dann beschränken, wenn die Wahrnehmung dieser Rechte den Zweck der in diesen Anhängen beschriebenen Tätigkeiten oder Verfahren gefährden würde.

2 Wenn der Verantwortliche eine Beschränkung anwendet und insbesondere die Ausübung eines Rechts der betroffenen Person ganz oder teilweise zurückstellt, unterlässt oder ablehnt, verfährt er nach Artikel 12 dieses Beschlusses.

1 Wenn der Verantwortliche das Recht auf Information gemäß den Artikeln 15 und 16 der Verordnung (EU) 2018/1725 beschränkt, sind die betroffenen Personen gemäß Artikel 25 Absatz 6 der genannten Verordnung über die wesentlichen Gründe für diese Beschränkung und über ihr Beschwerderecht beim Europäischen Datenschutzbeauftragten zu unterrichten.

2 Allerdings kann diese Unterrichtung im Anschluss an eine Einzelfallbewertung nach Artikel 25 Absatz 8 der Verordnung (EU) 2018/1725 so lange zurückgestellt, unterlassen oder abgelehnt werden, wie sie die Wirkung der Beschränkung zunichtemachen würde. Sobald die Unterrichtung die Wirkung der Beschränkung nicht mehr zunichtemachen würde, wird die betroffene Person unterrichtet.

1 Schränkt der Verantwortliche das Auskunftsrecht der betroffenen Person, das Recht auf Berichtigung, das Recht auf Löschung oder das Recht auf Einschränkung der Verarbeitung gemäß den Artikeln 17, 18, 19 und 20 der Verordnung (EU) 2018/1725 sowie die Mitteilungspflicht gemäß Artikel 21 der genannten Verordnung ganz oder teilweise ein, so unterrichtet er die betroffene Person in seiner Antwort auf den Antrag auf Auskunft, Berichtigung, Löschung oder Einschränkung der Verarbeitung über die angewandte Beschränkung und über die Hauptgründe für die Beschränkung sowie die Möglichkeit, eine Beschwerde beim Europäischen Datenschutzbeauftragten einzureichen oder beim Gerichtshof der Europäischen Union („Gerichtshof“) einen Rechtsbehelf einzulegen.

2 Die Unterrichtung über die Gründe für eine Beschränkung nach Absatz 1 kann im Anschluss an eine Einzelfallbewertung so lange zurückgestellt, unterlassen oder abgelehnt werden, wie die Unterrichtung die Wirkung der Beschränkung zunichtemachen würde. Sobald die Unterrichtung die Wirkung der Beschränkung nicht mehr zunichtemachen würde, wird die betroffene Person unterrichtet.

3 Ist das Auskunftsrecht ganz oder teilweise eingeschränkt und hat die betroffene Person von ihrem Recht Gebrauch gemacht, eine Beschwerde beim Europäischen Datenschutzbeauftragten einzureichen, so wird die betroffene Person (und nur sie) vom Europäischen Datenschutzbeauftragten darüber informiert, ob die Daten korrekt verarbeitet wurden und, wenn nicht, ob gemäß Artikel 25 Absatz 7 der Verordnung (EU) 2018/1725 Korrekturen vorgenommen wurden.

Beschränkt der Verantwortliche die Anwendung von Artikel 35 der Verordnung (EU) 2018/1725, so verfährt er gemäß Artikel 12 dieses Beschlusses. Wird die Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person auf dieser Grundlage beschränkt, so wird dies in einem Vermerk dokumentiert, und der Vermerk wird dem Europäischen Datenschutzbeauftragten zum Zeitpunkt der Benachrichtigung über die Verletzung des Schutzes personenbezogener Daten übermittelt.

Beschränkt der Verantwortliche die Verpflichtung, die in Artikel 36 der Verordnung (EU) 2018/1725 genannte Vertraulichkeit der elektronischen Kommunikation zu gewährleisten, so verfährt er gemäß Artikel 12 dieses Beschlusses.

1 Bevor eine konkrete Beschränkung angewandt wird, bewertet der Verantwortliche auf Einzelfallbasis die Notwendigkeit und Verhältnismäßigkeit der Beschränkungen unter Berücksichtigung von Artikel 25 Absätze 2 und 8 der Verordnung (EU) 2018/1725.

2 Diese Bewertung enthält eine schriftliche Begründung für die einzelnen gemäß diesem Beschluss vorgenommenen Beschränkungen und eine Prüfung der Risiken in Bezug auf die Rechte und Freiheiten der betroffenen Personen, insbesondere des Risikos, dass ihre personenbezogenen Daten ohne ihr Wissen weiterverarbeitet werden könnten und dass sie an der Ausübung ihrer Rechte gemäß der Verordnung (EU) 2018/1725 gehindert werden könnten, sowie eine Prüfung, wie die Ausübung der Rechte der betroffenen Person den Zweck einer der Tätigkeiten oder Verfahren der Behörde gemäß den Anhängen zu diesem Beschluss gefährden würde.

3 Die Bewertungen werden in einem zentralen Register gespeichert und dem Europäischen Datenschutzbeauftragten auf Antrag zur Verfügung gestellt.

4 Wenn der Verantwortliche das Recht auf Vertraulichkeit der elektronischen Kommunikation gemäß Artikel 36 der Verordnung (EU) 2018/1725 beschränkt, unterrichtet er die betroffene Person in seiner Antwort auf etwaige Anträge der betroffenen Person über die wesentlichen Gründe für diese Beschränkung und über ihr Beschwerderecht beim Europäischen Datenschutzbeauftragten.

5 Die in Absatz 4 genannte Unterrichtung kann im Anschluss an eine Einzelfallbewertung so lange zurückgestellt, unterlassen oder abgelehnt werden, wie die Unterrichtung die Wirkung der Beschränkung zunichtemachen würde. Sobald die Unterrichtung die Wirkung der Beschränkung nicht mehr zunichtemachen würde, wird die betroffene Person unterrichtet.

1 Beschränkungen, auf die in diesem Beschluss in Verbindung mit den geltenden Anhängen dieses Beschlusses Bezug genommen wird, gelten so lange, wie die Gründe für diese Beschränkungen gelten.

2 Liegen die in diesem Beschluss genannten Gründe für eine Beschränkung im Zusammenhang mit den anwendbaren Anhängen zu diesem Beschluss nicht mehr vor, so hebt der Verantwortliche die Beschränkung auf. Gleichzeitig unterrichtet der Verantwortliche die betroffene Person über die Hauptgründe für die Beschränkung und teilt ihr mit, dass sie jederzeit Beschwerde beim Europäischen Datenschutzbeauftragten oder einen gerichtlichen Rechtsbehelf beim Gerichtshof einlegen kann.

3 Der Verantwortliche überprüft die Anwendung in diesem Beschluss genannten Beschränkungen im Zusammenhang mit den anwendbaren Anhängen zu diesem Beschluss alle sechs Monate nach dessen Erlass und nach Abschluss des entsprechenden Verfahrens. Danach überwacht der Verantwortliche für die Tätigkeiten und Verfahren gemäß den Anhängen I, II, III, IV, V, VI, VII und VIII zu diesem Beschluss auf jährlicher Basis, ob es notwendig ist, Beschränkungen aufrechtzuerhalten.

1 Der Datenschutzbeauftragte wird unverzüglich unterrichtet, wenn Rechte betroffener Personen nach diesem Abschnitt beschränkt werden. Der Datenschutzbeauftragte wird vor und während des Beschränkungsverfahrens so weit wie möglich konsultiert und in die Bewertung einbezogen. Die Einbeziehung des Datenschutzbeauftragten wird in einem Vermerk dokumentiert, der von dem Verantwortlichen erstellt wird. In dem Vermerk werden die Informationen dokumentiert, die dem Datenschutzbeauftragten mitgeteilt wurden. Auf Antrag erhält der Datenschutzbeauftragte Zugang zu sämtlichen Unterlagen, die die zugrunde liegenden tatsächlichen und rechtlichen Umstände enthalten.

2 Der Datenschutzbeauftragte kann von dem Verantwortlichen eine Überprüfung der Beschränkungen fordern. Der Datenschutzbeauftragte wird über das Ergebnis der Überprüfung schriftlich unterrichtet.

Die diesem Beschluss beigefügten Anhänge sind fester Bestandteil dieses Beschlusses.

Dieser Beschluss tritt am Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.