Beschluss (EU) 2021/2243 der Kommission vom 15. Dezember 2021 zur Festlegung interner Vorschriften über die Unterrichtung betroffener Personen und die Beschränkung bestimmter Rechte dieser Personen im Zusammenhang mit der Verarbeitung personenbezogener Daten für die Zwecke der Sicherheit der Informations- und Kommunikationssysteme der Kommission

1 In diesem Beschluss werden die Vorschriften festgelegt, nach denen die Kommission betroffene Personen über die Verarbeitung ihrer Daten nach den Artikeln 14, 15 und 16 der Verordnung (EU) 2018/1725 unterrichtet, wenn sie ihre Aufgaben gemäß dem Beschluss (EU, Euratom) 2017/46 wahrnimmt. Ferner werden die Bedingungen festgelegt, unter denen die Kommission die Anwendung der Artikel 4, 14 bis 17, 19, 20 und 35 der Verordnung (EU) 2018/1725 nach deren Artikel 25 Absatz 1 Buchstaben c, d und h beschränken kann, wenn sie ihre Aufgaben gemäß dem Beschluss (EU, Euratom) 2017/46 wahrnimmt.

2 Dieser Beschluss gilt für die Verarbeitung personenbezogener Daten durch die Kommission selbst oder in ihrem Namen für die Zwecke der Tätigkeiten, die zur Gewährleistung der Sicherheit von Personen, Vermögenswerten und Informationen in der Kommission gemäß dem Beschluss (EU, Euratom) 2017/46 oder im Zusammenhang mit diesen Tätigkeiten durchgeführt werden.

1 Die Kommission prüft bei der Erfüllung ihrer Pflichten in Bezug auf die Rechte der betroffenen Personen nach der Verordnung (EU) 2018/1725, ob eine der in der genannten Verordnung festgelegten Ausnahmen Anwendung findet.

2 Vorbehaltlich der Artikel 3 bis 7 dieses Beschlusses, wenn die Ausübung der in den Artikeln 14 bis 17, 19, 20 und 35 der Verordnung (EU) 2018/1725 vorgesehenen Rechte und Pflichten in Bezug auf von der Kommission verarbeitete personenbezogene Daten den Zweck der IT-Sicherheitsvorkehrungen und -dienste beeinträchtigen würde, unter anderem weil Ermittlungsinstrumente, Schwachstellen und Methoden der Kommission offengelegt oder die Rechte und Freiheiten sowie die Sicherheit anderer betroffener Personen beeinträchtigt würden, insbesondere bei der Verarbeitung personenbezogener Daten, um Meldungen und Warnungen im Zusammenhang mit IT-Sicherheitsereignissen und -vorfällen zu übermitteln, auf IT-Sicherheitsereignisse und -vorfälle zu reagieren und diese einzudämmen, Werkzeuge und Vorkehrungen bereitzustellen, und zwar mithilfe von Sicherheitsprüfungen, Sicherheitsbewertungen und Schwachstellenmanagement, das Bewusstsein der Kommissionsbediensteten im Bereich der Cybersicherheit zu schärfen, das Auftreten von IT-Sicherheitsereignissen und -vorfällen zu überwachen, aufzudecken und zu verhindern, privilegierte Benutzerkonten zu überprüfen, kann die Kommission die Anwendung folgender Bestimmungen beschränken: a) Artikel 14 bis 17, 19, 20 und 35 der Verordnung (EU) 2018/1725, b) des Transparenzgrundsatzes nach Artikel 4 Absatz 1 Buchstabe a der Verordnung (EU) 2018/1725, soweit dessen Bestimmungen den in den Artikeln 14 bis 17, 19 und 20 der Verordnung (EU) 2018/1725 festgelegten Rechten und Pflichten entsprechen. Die Kommission kann dies im Einklang mit Artikel 25 Absatz 1 Buchstaben c, d und h der Verordnung (EU) 2018/1725 tun.

3 Vorbehaltlich der Artikel 3 bis 7 kann die Kommission die in Absatz 2 dieses Artikels genannten Rechte und Pflichten einschränken, a) wenn die Wahrnehmung dieser Rechte und Pflichten im Zusammenhang mit von anderen Organen, Einrichtungen und sonstigen Stellen der Union erhaltenen personenbezogenen Daten auf der Grundlage der in Artikel 25 der Verordnung (EU) 2018/1725 genannten Rechtsakte oder nach Kapitel IX der genannten Verordnung durch diese anderen Organe, Einrichtungen und sonstigen Stellen der Union gemäß der Verordnung (EU) 2016/794 des Europäischen Parlaments und des Rates oder der Verordnung (EU) 2017/1939 des Rates beschränkt werden könnte, b) wenn die Wahrnehmung dieser Rechte und Pflichten im Zusammenhang mit von einer zuständigen Behörde eines Mitgliedstaats erhaltenen personenbezogenen Daten durch die zuständigen Behörden dieses Mitgliedstaats auf der Grundlage der in Artikel 23 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates genannten Rechtsakte oder im Rahmen nationaler Maßnahmen zur Umsetzung des Artikels 13 Absatz 3, des Artikels 15 Absatz 3 oder des Artikels 16 Absatz 3 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates beschränkt werden könnte, c) wenn durch die Wahrnehmung dieser Rechte und Pflichten die Zusammenarbeit der Kommission mit Drittländern oder internationalen Organisationen in Bezug auf gemeinsame Sicherheitsbedrohungen beeinträchtigt würde. Bevor die Kommission in den in Unterabsatz 1 Buchstaben a und b genannten Fällen Beschränkungen anwendet, konsultiert sie die betreffenden Organe, Einrichtungen und sonstigen Stellen der Union oder die zuständigen Behörden der Mitgliedstaaten zu den möglichen Gründen für die Anwendung von Beschränkungen und zur Notwendigkeit und Verhältnismäßigkeit der betreffenden Beschränkungen, es sei denn, dadurch würden die Tätigkeiten der Kommission beeinträchtigt, und es sei denn, der Kommission ist klar, dass die Anwendung einer Beschränkung in einem der unter diesen Buchstaben genannten Rechtsakte vorgesehen ist oder dass eine derartige Konsultation den Zweck ihrer Tätigkeiten gemäß dem Beschluss (EU, Euratom) 2017/46 beeinträchtigen würde. Unterabsatz 1 Buchstabe c findet keine Anwendung, wenn die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person Vorrang vor den Interessen der Kommission an einer Zusammenarbeit mit Drittländern oder internationalen Organisationen haben.

4 Die Absätze 1, 2 und 3 gelten unbeschadet der Anwendung anderer Beschlüsse der Kommission zur Festlegung interner Vorschriften über die Unterrichtung betroffener Personen und über die Beschränkung bestimmter Rechte gemäß Artikel 25 der Verordnung (EU) 2018/1725.

5 Jede Beschränkung der in Absatz 2 genannten Rechte und Pflichten muss notwendig und hinsichtlich der Risiken für die Rechte und Freiheiten der betroffenen Personen verhältnismäßig sein.

6 Vor der Anwendung von Beschränkungen wird die Notwendigkeit und Verhältnismäßigkeit im Einzelfall geprüft, und Beschränkungen werden auf das zur Erreichung des beabsichtigten Zwecks unbedingt erforderliche Maß begrenzt.

1 Die Kommission veröffentlicht für alle betroffenen Personen auf ihrer Website einen Datenschutzhinweis mit Informationen über ihre Tätigkeiten, für die sie zur Erfüllung ihrer Aufgaben gemäß dem Beschluss (EU, Euratom) 2017/46 personenbezogene Daten dieser Personen verarbeitet, und mit einer Beschreibung der betroffenen Kategorien personenbezogener Daten. Die Kommission stellt sicher, dass die betroffenen Personen einzeln in angemessener Form unterrichtet werden, sofern dies möglich ist, ohne die IT-Sicherheit zu beeinträchtigen.

2 Wenn die Kommission die Unterrichtung betroffener Personen, deren personenbezogene Daten sie zur Erfüllung ihrer Aufgaben gemäß dem Beschluss (EU, Euratom) 2017/46 verarbeitet, ganz oder teilweise beschränkt, so erfasst und registriert sie die Gründe für die Beschränkung nach Artikel 6 dieses Beschlusses.

1 Wenn die Kommission das Recht der betroffenen Person auf Zugang zu personenbezogenen Daten oder ihr Recht auf Löschung oder ihr Recht auf Einschränkung der Verarbeitung nach den Artikeln 17, 19 und 20 der Verordnung (EU) 2018/1725 ganz oder teilweise beschränkt, so unterrichtet sie die betroffene Person in ihrer Antwort auf den Antrag auf Auskunft, Löschung oder Einschränkung der Datenverarbeitung a) über die angewandte Beschränkung und die Hauptgründe hierfür, b) darüber, wie eine Beschwerde beim Europäischen Datenschutzbeauftragten eingereicht oder ein Rechtsbehelf beim Gerichtshof der Europäischen Union eingelegt werden kann.

2 Die Kommission kann die Unterrichtung über die Gründe für die Beschränkung nach Absatz 1 so lange zurückstellen, unterlassen oder ablehnen, wie die Unterrichtung den Zweck der angewandten Beschränkung beinträchtigen würde.

3 Die Kommission erfasst und registriert die Gründe für die Beschränkung nach Artikel 6.

4 Wenn das Auskunftsrecht ganz oder teilweise beschränkt ist, kann sich die betroffene Person zur Ausübung ihres Auskunftsrechts nach Artikel 25 Absätze 6, 7 und 8 der Verordnung (EU) 2018/1725 an den Europäischen Datenschutzbeauftragten wenden.

Wenn die Kommission die Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person nach Artikel 35 der Verordnung (EU) 2018/1725 beschränkt, so erfasst und registriert sie die Gründe für die Beschränkung nach Artikel 6 dieses Beschlusses. Die Kommission übermittelt dem Europäischen Datenschutzbeauftragten diesen Vorgang zum Zeitpunkt der Meldung der Verletzung des Schutzes personenbezogener Daten.

1 Die Kommission erfasst die Gründe für nach diesem Beschluss angewandte Beschränkungen mit Angabe der Rechtsgründe für die Beschränkung und einer Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung unter Berücksichtigung aller relevanten Elemente nach Artikel 25 Absatz 2 der Verordnung (EU) 2018/1725.

2 Es ist zu erfassen, wie die Ausübung eines Rechts durch die betroffene Person den Zweck der gemäß dem Beschluss (EU, Euratom) 2017/46 in der Kommission getroffenen IT-Sicherheitsvorkehrungen und -dienste oder der nach Artikel 2 Absatz 2 oder 3 dieses Beschlusses angewandten Beschränkungen gefährden oder die Rechte und Freiheiten anderer betroffener Personen beeinträchtigen würde.

3 Die Kommission registriert diese Aufzeichnungen und etwaige Unterlagen, aus denen die zugrunde liegenden tatsächlichen und rechtlichen Umstände hervorgehen. Diese werden dem Europäischen Datenschutzbeauftragten auf Anfrage zur Verfügung gestellt.

1 Die in den Artikeln 3, 4 und 5 genannten Beschränkungen gelten, solange die Gründe vorliegen, die diese Beschränkungen rechtfertigen.

2 Wenn die in den Artikeln 3, 4 und 5 genannten Gründe nicht mehr vorliegen, muss die Kommission a) die Beschränkung aufheben, b) die betroffene Person über die Hauptgründe für die Beschränkung unterrichten, c) der betroffenen Person mitteilen, wie sie jederzeit eine Beschwerde beim Europäischen Datenschutzbeauftragten einreichen oder einen Rechtsbehelf beim Gerichtshof der Europäischen Union einlegen kann.

1 Die Kommission überprüft die Anwendung der in den Artikeln 3, 4 und 5 genannten Beschränkungen sechs Monate nach ihrer Festlegung und bei Beendigung der IT-Sicherheitsvorkehrung. Danach prüft und überwacht die Kommission alljährlich, inwieweit es erforderlich ist, eine Beschränkung aufrechtzuerhalten. Diese Überprüfung schließt eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung unter Berücksichtigung aller relevanten Elemente nach Artikel 25 Absatz 2 der Verordnung (EU) 2018/1725 ein.

2 Um zu verhindern, dass personenbezogene Daten, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden, unbeabsichtigt oder unrechtmäßig vernichtet werden, verloren gehen oder verändert werden, diese Daten unbefugt offengelegt werden oder unbefugt darauf zugegriffen wird, hat die Kommission hat technische und organisatorische Maßnahmen ergriffen wie die Verwaltung von Zugangsrechten, Regeln für die Datensicherung und andere Maßnahmen im Einklang mit dem Beschluss (EU, Euratom) 2017/46.

3 Die Kommission erfasst die nach der Gemeinsamen Aufbewahrungsliste der Kommission geltenden Aufbewahrungsfristen und gibt den betroffenen Personen die betreffenden Aufbewahrungsfristen für diese Verarbeitungstätigkeiten in ihrem Datenschutzhinweis bekannt.

1 Der Datenschutzbeauftragte der Kommission wird unverzüglich unterrichtet, wenn die Rechte der betroffenen Personen nach diesem Beschluss beschränkt werden. Auf Anfrage erhält der Datenschutzbeauftragte Zugang zu den erfassten Angaben und sonstigen Unterlagen, aus denen die zugrunde liegenden tatsächlichen und rechtlichen Umstände hervorgehen.

2 Der Datenschutzbeauftragte kann eine Überprüfung der Beschränkungen verlangen und wird über das Ergebnis der Überprüfung unterrichtet.

3 Die Kommission dokumentiert die Einbeziehung des Datenschutzbeauftragten, wenn die Rechte der betroffenen Personen nach diesem Beschluss beschränkt werden.

Dieser Beschluss tritt am zwanzigsten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.