Beschluss des Verwaltungsrats Nr. 5/2020 vom 21. Oktober 2020 über interne Vorschriften zur Beschränkung bestimmter Rechte betroffener Personen in Bezug auf die Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten der Agentur der Europäischen Union für Flugsicherheit

1 Mit diesem Beschluss werden Vorschriften in Bezug auf die Bedingungen festgelegt, unter denen die EASA die Anwendung der Artikel 4, 14 bis 22, 35 und 36 gemäß Artikel 25 der Verordnung beschränken darf.

2 Die EASA wird als Verantwortliche durch ihren Exekutivdirektor vertreten.

1 Die EASA kann die Anwendung der Artikel 14 bis 22, 35 und 36 sowie des Artikels 4, insofern dessen Bestimmungen den in den Artikeln 14 bis 20 vorgesehenen Rechten und Pflichten entsprechen, wie folgt beschränken: (a) gemäß Artikel 25 Absatz 1 Buchstaben b, c, f, g und h der Verordnung, wenn die EASA Verwaltungsuntersuchungen, Vordisziplinar-, Disziplinar- und Dienstenthebungsverfahren gemäß Artikel 86 und Anhang IX des Statuts und der Entscheidung Nr. 2011/216/E des EASA Exekutivdirektors vom 16. Dezember 2011 zur Festlegung allgemeiner Durchführungsbestimmungen für die Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren durchführt sowie wenn die EASA Verdachtsfälle an OLAF meldet; (b) gemäß Artikel 25 Absatz 1 Buchstabe h der Verordnung, wenn sichergestellt wird, dass die EASA-Bediensteten Tatsachen vertraulich melden können, wenn sie der Ansicht sind, dass es zu schwerwiegenden Unregelmäßigkeiten kommt, wie in dem Beschluss 15-2018 des Verwaltungsrats der EASA vom 14. Dezember 2018 festgelegt; (c) gemäß Artikel 25 Absatz 1 Buchstabe h der Verordnung, wenn sichergestellt wird, dass sich die EASA-Bediensteten im Rahmen von Mobbing oder sexueller Belästigung bei Vertrauenspersonen melden können, wie in der Entscheidung Nr. 2008/180/A des EASA Exekutivdirektors vom 5. August 2009 festgelegt; (d) gemäß Artikel 25 Absatz 1 Buchstaben b, c, d, f, g und h bei der Durchführung von Untersuchungen wegen möglicher Verstöße gegen Sicherheitsvorschriften für den Schutz von Verschlusssachen der Europäischen Union (im Folgenden: EUVS); die Rechtsgrundlage dafür ist die Entscheidung Nr. 2020/010/ED des EASA Exekutivdirektors vom 17. Februar 2020 zu den Sicherheitsvorschriften von EASA zum Schutz von Verschlusssachen der Europäischen Union; (e) gemäß Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung, wenn die EASA interne Audits bezüglich der Tätigkeiten oder Abteilungen der EASA durchführt; (f) gemäß Artikel 25 Absatz 1 Buchstaben c, d, g und h der Verordnung, wenn die EASA anderen Organen, Einrichtungen und sonstigen Stellen der Europäischen Union Unterstützung leistet oder Unterstützung von ihnen erhält oder mit ihnen im Rahmen von Tätigkeiten gemäß den Buchstaben a bis d dieses Absatzes zusammenarbeitet sowie gemäß Dienstgütevereinbarungen, Absichtserklärungen und Kooperationsvereinbarungen; (g) gemäß Artikel 25 Absatz 1 Buchstabe c, g und h der Verordnung, wenn die EASA auf deren Ersuchen oder aus eigener Initiative nationalen Behörden von Drittländern und internationalen Organisationen Unterstützung leistet oder Unterstützung von ihnen erhält oder mit ihnen zusammenarbeitet; (h) gemäß Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung, wenn die EASA auf deren Ersuchen oder aus eigener Initiative nationalen Behörden von Mitgliedstaaten der Union Unterstützung leistet oder Unterstützung von ihnen erhält und mit ihnen zusammenarbeitet; (i) gemäß Artikel 25 Absatz 1 Buchstabe e der Verordnung, wenn die EASA personenbezogene Daten verarbeitet, die in Dokumenten enthalten sind, die von den Parteien oder Streithelfern erlangt wurden, die an einem Verfahren vor dem Gerichtshof der Europäischen Union beteiligt sind; (j) gemäß Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung bei der Verarbeitung personenbezogener Daten im Rahmen der Durchführung von Inspektionen, anderen Überwachungstätigkeiten und Untersuchungen gemäß Artikel 75 Absatz 2 Buchstabe e der Verordnung (EU) 2018/1139; (k) gemäß Artikel 25 Absatz 1 Buchstaben b, c, d, f, g und h der Verordnung bei der Verarbeitung personenbezogener Daten im Rahmen der Durchführung von internen oder externen IT-Sicherheitsuntersuchungen (z. B. CERT-EU) gemäß Artikel 75 Absatz 2 Buchstabe d der Verordnung (EU) 2018/1139.

2 Gemäß Artikel 25 Absatz 1 Buchstaben b, c, f, g und h der Verordnung kann der DSB die Anwendung der Artikel 14 bis 22, 35 und 36 sowie Artikel 4 davon beschränken, soweit die Bestimmungen den Rechten und Pflichten der Artikel 14 bis 20 entsprechen, die bei der Bearbeitung interner und externer Beschwerden sowie bei der Durchführung interner Audits und Untersuchungen gemäß Artikel 45 Absatz 2 der Verordnung vorgesehen sind.

3 Jede Beschränkung muss den Wesensgehalt der Grundrechte und Grundfreiheiten achten und eine in einer demokratischen Gesellschaft notwendige und verhältnismäßige Maßnahme darstellen.

4 Bevor Beschränkungen vorgenommen werden, ist deren Notwendigkeit und Verhältnismäßigkeit im Einzelfall zu prüfen. Beschränkungen sind auf das zur Erreichung ihres Zwecks unbedingt erforderliche Maß zu begrenzen.

5 Zu Rechenschaftszwecken erstellt die EASA Aufzeichnungen über die Gründe für die vorgenommenen Beschränkungen, die angewandten Rechtsgrundlagen gemäß Absatz 1 sowie das Ergebnis der Notwendigkeits- und Verhältnismäßigkeitsprüfung. Diese Aufzeichnungen sind Teil eines Registers, das dem EDSB auf Anfrage zur Verfügung gestellt wird. Die EASA erstellt regelmäßig Berichte über die Anwendung von Artikel 25 der Verordnung.

6 Bei der Verarbeitung personenbezogener Daten, die sie im Rahmen ihrer Aufgaben von anderen Organisationen erhält, konsultiert die EASA diese Organisationen über mögliche Gründe für die Vornahme von Beschränkungen sowie die Notwendigkeit und Verhältnismäßigkeit der betreffenden Beschränkungen, es sei denn, dies würde die Tätigkeiten der EASA gefährden.

1 Die Bewertungen der sich aus der Vornahme von Beschränkungen ergebenden Risiken für die Rechte und Freiheiten der betroffenen Personen sowie die Angaben zur Geltungsdauer dieser Beschränkungen sind im Verzeichnis der Verarbeitungstätigkeiten einzutragen, das von der EASA gemäß Artikel 31 der Verordnung geführt wird. Außerdem sind sie in den einschlägigen Datenschutz-Folgenabschätzungen gemäß Artikel 39 der Verordnung zu vermerken.

2 Bei jeder Prüfung der Notwendigkeit und Verhältnismäßigkeit einer Beschränkung berücksichtigt die EASA die möglichen Risiken für die Rechte und Freiheiten der betroffenen Person.

1 Die EASA implementiert Schutzvorkehrungen, die verhindern, dass personenbezogene Daten, die Beschränkungen unterliegen oder unterliegenden könnten, Missbrauch, unrechtmäßigem Zugriff oder unrechtmäßiger Übermittlung ausgesetzt sind. Diese Schutzvorkehrungen umfassen technische und organisatorische Maßnahmen und werden erforderlichenfalls in den internen Beschlüssen, Verfahren und Durchführungsbestimmungen der EASA im Einzelnen angegeben. Die Schutzvorkehrungen müssen Folgendes umfassen und sicherstellen: (a) eine klare Definition der Rollen, Zuständigkeiten und Verfahrensschritte; (b) gegebenenfalls eine sichere elektronische Umgebung, die den unrechtmäßigen und zufälligen Zugriff auf oder die Übermittlung elektronischer Daten an unbefugte Personen verhindert; (c) gegebenenfalls die sichere Aufbewahrung und Verarbeitung von papierbasierten Dokumenten; (d) die Überwachung der Beschränkungen und die regelmäßige Überprüfung ihrer Anwendung. Die in Buchstabe d genannten Überprüfungen sind mindestens alle sechs Monate durchzuführen.

2 Beschränkungen sind aufzuheben, sobald die Umstände, die sie rechtfertigen, nicht mehr gegeben sind.

3 Die personenbezogenen Daten werden in Übereinstimmung mit den geltenden EASA-Datenspeicherungsregeln gespeichert, die in den gemäß Artikel 31 der Verordnung geführten Datenschutzaufzeichnungen zu definieren sind. Nach Ablauf der Aufbewahrungsfrist werden die personenbezogenen Daten gemäß Artikel 13 der Verordnung gelöscht, anonymisiert oder in Archive übertragen.

1 Jede Beschränkung der Rechte betroffener Personen, die gemäß diesem Beschluss vorgenommen wird, ist unverzüglich dem/der DSB mitzuteilen. Der/die Datenschutzbeauftragte erhält vollen und uneingeschränkten Zugang zu allen Aufzeichnungen und Dokumenten, die den zugrunde liegenden sachlichen oder rechtlichen Zusammenhang betreffen.

2 Der/die DSB kann die Überprüfung einer vorgenommenen Beschränkung verlangen. Die EASA informiert ihre(n) DSB schriftlich über das Ergebnis der Überprüfung.

3 Die EASA dokumentiert die Mitwirkung des/der DSB bei der Vornahme von Beschränkungen sowie die dem/der DSB mitgeteilten Informationen.

1 In die Datenschutzhinweise, die sie auf ihrer Website/im Intranet veröffentlicht, nimmt die EASA allgemeine Informationen auf, die die betroffenen Personen über die Möglichkeit einer Beschränkung ihrer Rechte gemäß Artikel 2 Absatz 1 unterrichten. Darin ist darüber zu informieren, welche Rechte beschränkt werden können, aus welchen Gründen die Beschränkungen vorgenommen werden können und für welche Dauer sie gelten können.

2 Betroffene Personen sind von der EASA einzeln, schriftlich und unverzüglich über die gegenwärtigen oder künftigen Beschränkungen ihrer Rechte zu unterrichten. Die EASA unterrichtet die betroffenen Personen über die wesentlichen Gründe für die Beschränkung, über das Recht betroffener Personen, sich an den/die DSB zu wenden, um gegen die Beschränkung vorzugehen, sowie über ihr Recht, beim EDSB Beschwerde einzulegen.

3 Solange die Unterrichtung über die Gründe für die Beschränkung und das Recht auf Einlegung der Beschwerde beim EDSB die Wirkung der Beschränkung zunichtemachen würde, kann sie von der EASA zurückgestellt, unterlassen oder abgelehnt werden. Die Beurteilung, ob dies gerechtfertigt wäre, erfolgt auf Einzelfallbasis. Sobald die Unterrichtung die Wirkung der Beschränkung nicht mehr zunichtemachen würde, ist die betroffene Person von der EASA zu unterrichten.

1 Ist die EASA gemäß Artikel 35 Absatz 1 der Verordnung zur Benachrichtigung über eine Datenschutzverletzung verpflichtet, ist es in Ausnahmefällen möglich, die Benachrichtigung ganz oder zum Teil zu beschränken. Die EASA muss die Gründe für die Beschränkung sowie die Rechtsgrundlage gemäß obigem Artikel 2 sowie die Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung dokumentieren. Der Vermerk ist dem EDSB zum Zeitpunkt der Meldung der Verletzung des Schutzes personenbezogener Daten mitzuteilen.

2 Sind die Gründe für die Beschränkung nicht mehr gegeben, unterrichtet die EASA die betroffene Person über die Verletzung des Schutzes personenbezogener Daten, wobei die Hauptgründe für die Beschränkung anzugeben und auf das Recht der betroffenen Person, beim EDSB Beschwerde einzulegen, hinzuweisen ist.

1 In Ausnahmefällen ist es der EASA möglich, das Recht auf Vertraulichkeit der elektronischen Kommunikation im Sinne von Artikel 36 der Verordnung zu beschränken. Derartige Beschränkungen müssen der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates genügen.

2 Beschränkt die EASA das Recht auf Vertraulichkeit der elektronischen Kommunikation, unterrichtet sie die betroffene Person in der Antwort auf deren Anfrage über die wesentlichen Gründe für diese Beschränkung sowie über das Recht der betroffenen Person, beim EDSB Beschwerde einzulegen.

3 Solange die Unterrichtung über die Gründe für die Beschränkung und das Recht auf Einlegung der Beschwerde beim EDSB die Wirkung der Beschränkung zunichtemachen würde, kann sie von der EASA zurückgestellt, unterlassen oder abgelehnt werden. Die Beurteilung, ob dies gerechtfertigt wäre, erfolgt auf Einzelfallbasis.

Dieser Beschluss tritt am zwanzigsten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.