Beschluss Nr. 2021-096 REV 1 des Verwaltungsrats der Agentur der Europäischen Union für das Betriebsmanagement von IT-Großsystemen im Raum der Freiheit, der Sicherheit und des Rechts vom 16. April 2021 über interne Vorschriften zur Beschränkung bestimmter Rechte betroffener Personen in Bezug auf die Verarbeitung personenbezogener Daten im Rahmen der Tätigkeit der Agentur der Europäischen Union für das Betriebsmanagement von IT-Großsystemen im Raum der Freiheit, der Sicherheit und des Rechts

1 In diesem Beschluss werden die Bedingungen festgelegt, unter denen eu-LISA die Anwendung der Artikel 4, 14 bis 22, 35 und 36 gemäß Artikel 25 der Verordnung (EU) 2018/1725 im Rahmen der in Absatz 2 genannten Verfahren gemäß Artikel 25 der genannten Verordnung beschränken kann.

2 eu-LISA wird in ihrer Eigenschaft als Verantwortlicher vom Exekutivdirektor vertreten.

1 eu-LISA kann die Anwendung der Artikel 14 bis 22, 35 und 36 sowie des Artikels 4, insofern dessen Bestimmungen den in den Artikeln 14 bis 20 vorgesehenen Rechten und Pflichten entsprechen, wie folgt beschränken: a) gemäß Artikel 25 Absatz 1 Buchstaben b, c, f, g und h der Verordnung (EU) 2018/1725 bei der Durchführung von Verwaltungsuntersuchungen, Vordisziplinar-, Disziplinar- und Dienstenthebungsverfahren gemäß Artikel 86 und Anhang IX des Statuts und gemäß dem Beschluss eu-LISA Nr. 2014-080 vom 28. Januar 2015 sowie bei der Meldung von Verdachtsfällen an das OLAF; b) gemäß Artikel 25 Absatz 1 Buchstabe h der Verordnung (EU) 2018/1725, wenn eu-LISA sicherstellt, dass Mitarbeiter von eu-LISA Sachverhalte vertraulich melden können, von denen sie annehmen, dass es sich um schwerwiegende Unregelmäßigkeiten handelt, so wie dies im Beschluss eu-LISA Nr. 2018-122 vom 26. Juni 2018 über interne Vorschriften für die Meldung von Missständen („Whistleblowing“) festgelegt ist; c) gemäß Artikel 25 Absatz 1 Buchstabe h der Verordnung (EU) 2018/1725, wenn eu-LISA sicherstellt, dass sich Mitarbeiter im Zusammenhang mit einem Verfahren wegen Mobbing oder sexueller Belästigung im Sinne der internen Vorschriften an Vertrauenspersonen wenden können, wie es im Beschluss eu-LISA Nr. 2018-174 vom Dezember 2018 festgelegt ist; d) gemäß Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung (EU) 2018/1725, wenn eu-LISA interne Audits bezüglich der Tätigkeiten oder Abteilungen von eu-LISA durchführt; e) gemäß Artikel 25 Absatz 1 Buchstaben c, d, g und h der Verordnung (EU) 2018/1725, wenn anderen Organen, Einrichtungen und sonstigen Stellen der Europäischen Union Unterstützung geleistet oder Unterstützung von ihnen erhalten wird oder mit ihnen im Rahmen von Tätigkeiten gemäß den Buchstaben a bis d des vorliegenden Absatzes sowie gemäß Dienstgütevereinbarungen, Absichtserklärungen und Kooperationsvereinbarungen zusammengearbeitet wird; f) gemäß Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung (EU) 2018/1725, wenn nationalen Behörden von Drittländern und internationalen Organisationen auf deren Ersuchen oder aus eigener Initiative Unterstützung geleistet oder Unterstützung von ihnen erhalten oder mit ihnen zusammengearbeitet wird, unbeschadet der Bestimmungen in Artikel 43 der Verordnung (EU) 2018/1726; g) gemäß Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung (EU) 2018/1725, wenn nationalen Behörden von Mitgliedstaaten der Union auf deren Ersuchen oder aus eigener Initiative Unterstützung geleistet oder Unterstützung von ihnen erhalten und mit ihnen zusammengearbeitet wird; h) gemäß Artikel 25 Absatz 1 Buchstabe e der Verordnung (EU) 2018/1725 bei der Verarbeitung personenbezogener Daten, die in Dokumenten enthalten sind, welche von den Parteien oder Streithelfern im Zusammenhang mit Verfahren vor dem Gerichtshof der Europäischen Union erlangt wurden.

2 Jede Beschränkung muss den Wesensgehalt der Grundrechte und Grundfreiheiten achten und eine in einer demokratischen Gesellschaft notwendige und verhältnismäßige Maßnahme darstellen.

3 Bevor Beschränkungen vorgenommen werden, ist deren Notwendigkeit und Verhältnismäßigkeit im Einzelfall zu prüfen. Beschränkungen sind auf das zur Erreichung ihres Zwecks unbedingt erforderliche Maß zu begrenzen.

4 Zu Rechenschaftszwecken erstellt eu-LISA Aufzeichnungen über die Gründe für die vorgenommenen Beschränkungen, die angewandten Rechtsgrundlagen gemäß Absatz 1 sowie das Ergebnis der Notwendigkeits- und Verhältnismäßigkeitsprüfung. Diese Aufzeichnungen sind Teil eines Registers, das dem Europäischen Datenschutzbeauftragten auf Anfrage zur Verfügung gestellt wird. eu-LISA erstellt regelmäßige Berichte über die Anwendung von Artikel 25 der Verordnung (EU) 2018/1725.

5 Bei der Verarbeitung personenbezogener Daten, die eu-LISA im Rahmen ihrer Aufgaben von anderen Organisationen erhält, konsultiert eu-LISA diese Organisationen über mögliche Gründe für die Vornahme von Beschränkungen sowie die Notwendigkeit und Verhältnismäßigkeit der betreffenden Beschränkungen, es sei denn, dies würde die Tätigkeiten von eu-LISA gefährden.

1 Die Bewertungen der sich aus der Vornahme von Beschränkungen ergebenden Risiken für die Rechte und Freiheiten der betroffenen Personen sowie die Angaben zur Geltungsdauer dieser Beschränkungen sind im Verzeichnis der Verarbeitungstätigkeiten einzutragen, das von eu-LISA gemäß Artikel 31 der Verordnung geführt wird. Außerdem sind sie in den einschlägigen Datenschutz-Folgenabschätzungen gemäß Artikel 39 der Verordnung (EU) 2018/1725 zu vermerken.

2 Bei jeder Prüfung der Notwendigkeit und Verhältnismäßigkeit einer Beschränkung berücksichtigt eu-LISA die möglichen Risiken für die Rechte und Freiheiten der betroffenen Person.

1 eu-LISA implementiert Schutzvorkehrungen, die verhindern, dass personenbezogene Daten, die Beschränkungen unterliegen oder unterliegenden könnten, Missbrauch, unrechtmäßigem Zugriff oder unrechtmäßiger Übermittlung ausgesetzt sind. Diese Schutzvorkehrungen umfassen technische und organisatorische Maßnahmen und werden erforderlichenfalls in den internen Beschlüssen, Verfahren und Durchführungsbestimmungen von eu-LISA im Einzelnen angegeben. Die Garantien beinhalten: a) eine klare Definition der Rollen, Zuständigkeiten und Verfahrensschritte; b) gegebenenfalls eine sichere elektronische Umgebung, die verhindert, dass elektronische Daten unrechtmäßig oder versehentlich unbefugten Personen zugänglich gemacht oder übermittelt werden; c) gegebenenfalls die sichere Speicherung und Bearbeitung von Papierdokumenten; d) die ordnungsgemäße Überwachung der Beschränkungen und die regelmäßige Überprüfung ihrer Anwendung. Die in Buchstabe d genannten Überprüfungen sind mindestens alle sechs Monate durchzuführen.

2 Beschränkungen werden aufgehoben, sobald die Umstände, die sie rechtfertigen, nicht mehr gegeben sind.

3 Die personenbezogenen Daten werden gemäß den geltenden Speicherungsvorschriften von eu-LISA gespeichert, die in den gemäß Artikel 31 der Verordnung (EU) 2018/1725 geführten Datenschutzverzeichnissen festzulegen sind. Nach Ablauf der Speicherfrist werden die personenbezogenen Daten gemäß Artikel 13 der Verordnung (EU) 2018/1725 gelöscht, anonymisiert oder in Archive übertragen.

1 Jede Beschränkung der Rechte betroffener Personen, die gemäß diesem Beschluss vorgenommen wird oder vorgenommen werden soll, ist unverzüglich dem/der Datenschutzbeauftragten von eu-LISA mitzuteilen. Der/die Datenschutzbeauftragte erhält vollen und uneingeschränkten Zugang zu allen Aufzeichnungen und Dokumenten, die den zugrunde liegenden sachlichen oder rechtlichen Zusammenhang betreffen.

2 Der/die Datenschutzbeauftragte von eu-LISA kann eine Überprüfung der Anwendung einer Beschränkung verlangen. eu-LISA unterrichtet ihre(n) Datenschutzbeauftragte(n) schriftlich über das Ergebnis der Überprüfung.

3 eu-LISA dokumentiert die Mitwirkung des/der Datenschutzbeauftragten bei der Vornahme von Beschränkungen sowie die dem/der Datenschutzbeauftragten mitgeteilten Informationen.

4 In der Praxis unterrichtet die im Namen des Verantwortlichen verantwortliche Person (im Folgenden „Verantwortlicher in der Praxis“) den/die Datenschutzbeauftragte(n) von eu-LISA über die Aufhebung der Beschränkung.

1 In die Datenschutzhinweise, die eu-LISA auf ihrer Website/im Intranet veröffentlicht, nimmt eu-LISA allgemeine Informationen auf, die die betroffenen Personen über die Möglichkeit einer Beschränkung ihrer Rechte gemäß Artikel 2 Absatz 1 unterrichten. Die Informationen sollten sich darauf beziehen, welche Rechte beschränkt werden können, aus welchen Gründen die Beschränkungen vorgenommen werden können und für welche Dauer sie gelten können.

2 eu-LISA unterrichtet jede einzelne betroffene Person schriftlich und unverzüglich über bereits verfügte oder künftige Beschränkungen ihrer Rechte. eu-LISA unterrichtet die betroffenen Personen über die wesentlichen Gründe für die Beschränkung, über ihr Recht, sich an den DSB zu wenden, um gegen die Beschränkung vorzugehen, sowie über ihr Recht, beim EDSB Beschwerde einzulegen.

3 Solange die Unterrichtung über die Gründe für die Beschränkung und das Recht auf Einlegung der Beschwerde beim Europäischen Datenschutzbeauftragten die Wirkung der Beschränkung zunichtemachen würde, kann sie von eu-LISA zurückgestellt, unterlassen oder abgelehnt werden. Die Beurteilung, ob dies gerechtfertigt wäre, erfolgt auf Einzelfallbasis. Sobald die Unterrichtung die Wirkung der Beschränkung nicht mehr zunichtemachen würde, ist die betroffene Person von eu-LISA zu unterrichten.

1 Ist eu-LISA gemäß Artikel 35 Absatz 1 der Verordnung (EU) 2018/1725 zur Benachrichtigung über eine Datenschutzverletzung verpflichtet, ist es eu-LISA in Ausnahmefällen möglich, die Benachrichtigung ganz oder zum Teil zu beschränken. eu-LISA dokumentiert die Gründe für die Beschränkung, die Rechtsgrundlage gemäß obigem Artikel 2 sowie die Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung. Der Vermerk ist dem EDSB zum Zeitpunkt der Meldung der Verletzung des Schutzes personenbezogener Daten mitzuteilen.

2 Sind die Gründe für die Beschränkung nicht mehr gegeben, unterrichtet eu-LISA die betroffene Person über die Verletzung des Schutzes personenbezogener Daten, wobei die Hauptgründe für die Beschränkung anzugeben und auf das Recht der betroffenen Person, beim Europäischen Datenschutzbeauftragten Beschwerde einzulegen, hinzuweisen ist.

1 In Ausnahmefällen ist es eu-LISA möglich, das Recht auf Vertraulichkeit der elektronischen Kommunikation im Sinne von Artikel 36 der Verordnung (EU) 2018/1725 zu beschränken. Derartige Beschränkungen müssen der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates genügen.

2 Beschränkt eu-LISA das Recht auf Vertraulichkeit der elektronischen Kommunikation, unterrichtet sie die betroffene Person in der Antwort auf deren Anfrage über die wesentlichen Gründe für diese Beschränkung sowie über das Recht der betroffenen Person, beim Europäischen Datenschutzbeauftragten Beschwerde einzulegen.

3 Solange die Unterrichtung über die Gründe für die Beschränkung und das Recht auf Einlegung der Beschwerde beim Europäischen Datenschutzbeauftragten die Wirkung der Beschränkung zunichtemachen würde, kann sie von eu-LISA zurückgestellt, unterlassen oder abgelehnt werden. Die Beurteilung, ob dies gerechtfertigt wäre, erfolgt auf Einzelfallbasis.

Dieser Beschluss tritt am zwanzigsten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.