Beschluss der Europäischen Bankenaufsichtsbehörde vom 23. April 2021 zur Festlegung interner Vorschriften in Bezug auf Beschränkungen bestimmter Rechte betroffener Personen in Verbindung mit der Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten der Europäischen Bankenaufsichtsbehörde 2021/C 196/06

1 Mit diesem Beschluss werden interne Vorschriften in Bezug auf die Bedingungen festgelegt, unter denen die EBA im Rahmen ihrer in den Absätzen 2 bis 5 aufgeführten Tätigkeiten nach Artikel 25 der Verordnung (EU) 2018/1725 die Anwendung der Rechte beschränken darf, die in den Artikeln 14 bis 21 und 35 sowie in Artikel 4 der genannten Verordnung verankert sind. Diese Beschränkungen lassen die in der Verordnung (EU) 2018/1725 geregelten Ausnahmen bezüglich der Rechte betroffener Personen unberührt.

2 Im Rahmen der administrativen Tätigkeit der EBA finden die in Absatz 1 vorgesehenen Beschränkungen Anwendung auf die Verarbeitung personenbezogener Daten durch die EBA zum Zwecke: (a) von Verwaltungsuntersuchungen und Disziplinarverfahren gemäß Artikel 25 Absatz 1 Buchstabe f der Verordnung (EU) 2018/1725; (b) der Bearbeitung von Unregelmäßigkeiten in Abstimmung mit dem Europäischen Amt für Betrugsbekämpfung (OLAF) gemäß Artikel 25 Absatz 1 Buchstaben b oder f der Verordnung (EU) 2018 /1725; (c) der Bearbeitung der Meldung von Missständen, (formeller und informeller) Verfahren wegen Mobbing sowie interner und externer Beschwerden gemäß Artikel 25 Absatz 1 Buchstabe f der Verordnung (EU) 2018/1725; (d) interner Prüfungen, Untersuchungen zu Ethikfragen, Untersuchungen, Ermittlungen oder Verfahren des Datenschutzbeauftragten (DSB) gemäß Artikel 25 Absatz 1 Buchstaben f oder g oder Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725; (e) von IKT-Untersuchungen, Untersuchungen bezüglich der Informationssicherheit sowie von intern oder unter Hinzuziehung externer Kräfte vorgenommenen Aktivitäten im Zusammenhang mit dem Management von Sicherheitsrisiken und Vorfällen gemäß Artikel 25 Absatz 1 Buchstabe d der Verordnung (EU) 2018 /1725.

3 Im Rahmen der Wahrnehmung der Aufgaben der EBA gelten die in Absatz 1 vorgesehenen Beschränkungen für die Verarbeitung personenbezogener Daten durch die EBA zum Zwecke: (a) von Untersuchungen potenzieller Verstöße gegen das Unionsrecht gemäß Artikel 17 der Verordnung (EU) Nr. 1093/2010; (b) Untersuchungen und Verfahren im Zusammenhang mit dem Verbraucherschutz und mit Finanztätigkeiten zur Bewertung der davon ausgehenden potenziellen Bedrohung der Integrität der Finanzmärkte oder der Stabilität des Finanzsystems in der Union gemäß Artikel 9 und Artikel 22 der Verordnung (EU) Nr. 1093/2010; (c) Verfahren in Zusammenhang mit der Beilegung von Meinungsverschiedenheiten zwischen zuständigen Behörden gemäß Artikel 19 der Verordnung (EU) Nr. 1093/2010 und Gesetzgebungsakten, die in Artikel 1 Absatz 2 dieser Verordnung genannt werden; (d) Verfahren in Zusammenhang mit von der EBA wahrgenommener nicht bindender Vermittlertätigkeit gemäß Artikel 31 Absatz 2 Buchstabe c der Verordnung (EU) Nr. 1093/2010 und Gesetzgebungsakten, die in Artikel 1 Absatz 2 dieser Verordnung genannt werden; (e) Untersuchungen in Zusammenhang mit der Verhinderung und Bekämpfung von Geldwäsche und Terrorismusfinanzierung gemäß Artikel 9 Buchstabe b der Verordnung (EU) Nr. 1093/2010 und Gesetzgebungsakten, die in Artikel 1 Absatz 2 dieser Verordnung genannt werden.

4 Darüber hinaus finden diese Beschränkungen Anwendung auf die Unterstützung, Koordinierung und/oder Zusammenarbeit, die die EBA zuständigen Behörden im Sinne des Artikels 4 Absatz 2 der Verordnung (EU) Nr. 1093/2010, einschließlich Behörden von Drittstaaten und internationaler Organisationen, im Zusammenhang mit Untersuchungen leistet, die diese im Rahmen ihres gesetzlichen Auftrags durchführen.

5 Die in Absatz 1 genannten Beschränkungen finden auch Anwendung auf Verarbeitungsvorgänge, die vor der Einleitung der in den Absätzen 2 bis 4 genannten Untersuchungen oder sonstigen Verwaltungsuntersuchungen, während dieser Untersuchungen und bei der Überwachung der aufgrund der Untersuchungsergebnisse getroffenen Folgemaßnahmen vorgenommen werden.

6 Dieser Beschluss gilt für jede Kategorie personenbezogener Daten, die im Zusammenhang mit den in den Absätzen 2 bis 5 genannten Tätigkeiten verarbeitet werden.

7 Vorbehaltlich der in diesem Beschluss genannten Bedingungen können die Beschränkungen für die folgenden Rechte Anwendung finden: Recht auf Unterrichtung der betroffenen Personen, Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Personen.

1 Missbrauch, unrechtmäßiger Zugang oder unrechtmäßige Übermittlung im Rahmen der in Artikel 1 genannten Untersuchungen werden durch folgende Sicherungsvorkehrungen verhindert: (a) Papierunterlagen werden in abgeschlossenen Schränken aufbewahrt, zu denen ausschließlich befugte Bedienstete Zugang haben, die auf deren Kenntnis angewiesen sind. Auch durch das Sicherheitssystem der Räumlichkeiten, interne Strategien für die Dokumentenverwaltung, Fortbildungen der Bediensteten und Prüfungen werden geeignete Sicherungsvorkehrungen sichergestellt; (b) elektronische Dateien werden mit den genehmigten Geräten, Informationssystemen, Anwendungen und Speichermedien der EBA verwaltet. Die Daten werden in einer sicheren elektronischen Umgebung gespeichert, die dafür konzipiert ist und entsprechend gewartet wird, um eine zufällige oder unrechtmäßige Vernichtung, einen zufälligen oder unrechtmäßigen Verlust, eine zufällige oder unrechtmäßige Veränderung, Weitergabe, unbefugte Offenlegung oder unbefugten Zugang zu personenbezogenen Daten durch interne oder externe Partner, die nicht befugt sind, Zugang zu diesen Daten zu haben, zu verhindern. Für Organisation, Suche, Austausch, Pflege und Schutz der elektronischen Daten der EBA werden die Anwendungen des Dokumentenverwaltungssystems der EBA verwendet. Der Zugang zu elektronischen Daten wird nur befugten Bediensteten der EBA gewährt, die auf deren Kenntnis angewiesen sind; (c) Datenbanken und elektronische Dateien sind passwortgeschützt im Rahmen eines Single Sign-on-Systems und automatisch mit der ID und dem Passwort des Benutzers verbunden. Das Ersetzen von Benutzern ist streng verboten. Elektronische Aufzeichnungen werden sicher aufbewahrt, um die Vertraulichkeit und den Schutz der darin enthaltenen Daten zu garantieren; (d) alle Personen, die Zugang zu den Daten haben, unterliegen einer Verschwiegenheitspflicht und unterzeichnen ein Dokument, in dem sie diese Pflicht und die in diesem Absatz dargelegten Anforderungen anerkennen.

2 Der für die Verarbeitungsvorgänge Verantwortliche ist die EBA, vertreten durch ihren Exekutivdirektor. Betroffene Personen werden im Wege der auf der Website der EBA veröffentlichten Datenschutzaufzeichnungen über den delegierten Verantwortlichen informiert.

3 Die Aufbewahrungsfrist für die verarbeiteten personenbezogenen Daten darf nicht länger sein, als es für die Zwecke der Datenverarbeitung notwendig und verhältnismäßig ist. Die Aufbewahrungsfrist ist in den in Artikel 5 Absatz 1 genannten Datenschutzaufzeichnungen und Datenschutzerklärungen anzugeben.

4 Wenn die EBA eine Beschränkung in Erwägung zieht, werden die Risiken für die Rechte und Freiheiten der betroffenen Person insbesondere gegen die Risiken für die Rechte und Freiheiten anderer betroffener Personen und die Gefahr des Zunichtemachens der Wirkung von Untersuchungen oder Verfahren der EBA beispielsweise durch das Vernichten von Beweismitteln abgewogen. Die Risiken für die Rechte und Freiheiten der betroffenen Person betreffen in erster Linie, jedoch nicht ausschließlich, Risiken im Zusammenhang mit der Reputation, dem Verteidigungsrecht und dem Anspruch auf rechtliches Gehör.

1 Gemäß Artikel 25 Absatz 1 der Verordnung (EU) 2018/1725 werden Beschränkungen von der EBA nur vorgenommen, um Folgendes zu garantieren: (a) die Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten oder die Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, insbesondere in Bezug auf Verarbeitungsvorgänge gemäß Artikel 1 Absatz 2 Buchstabe b dieses Beschlusses; (b) sonstige wichtige Ziele des allgemeinen öffentlichen Interesses der Union oder eines Mitgliedstaats, insbesondere die Ziele der gemeinsamen Außen- und Sicherheitspolitik der Union oder ein wichtiges wirtschaftliches oder finanzielles Interesse der Union oder eines Mitgliedstaats, etwa im Währungs-, Haushalts- und Steuerbereich sowie im Bereich der öffentlichen Gesundheit und der sozialen Sicherheit, insbesondere bezüglich der Verarbeitungsvorgänge gemäß Artikel 1 Absatz 3 dieses Beschlusses; (c) die innere Sicherheit der Organe und Einrichtungen der Union einschließlich ihrer elektronischen Kommunikationsnetze, insbesondere in Bezug auf Verarbeitungsvorgänge gemäß Artikel 1 Absatz 2 Buchstabe c dieses Beschlusses; (d) die Verhütung, Ermittlung, Aufdeckung und Verfolgung von Verstößen gegen die berufsständischen Regeln reglementierter Berufe, insbesondere in Bezug auf Verarbeitungsvorgänge gemäß Artikel 1 Absatz 2 Buchstaben a und c dieses Beschlusses; (e) Kontroll-, Überwachungs-, und Ordnungsfunktionen, die dauernd oder zeitweise mit der Ausübung öffentlicher Gewalt in den unter den Buchstaben a bis c genannten Fällen verbunden sind, insbesondere in Bezug auf Verarbeitungsvorgänge gemäß Artikel 1 Absatz 2 Buchstabe d dieses Beschlusses; (f) den Schutz der betroffenen Person oder der Rechte und Freiheiten anderer Personen.

2 Als eine spezifische Anwendung der in Absatz 1 oben beschriebenen Zwecke kann die EBA Beschränkungen in Bezug auf personenbezogene Daten, die mit Kommissionsdiensten oder anderen Organen, Einrichtungen und sonstigen Stellen der Union, zuständigen Behörden von Mitgliedstaaten oder Drittländern oder internationalen Organisationen ausgetauscht werden, auferlegen, wenn einer oder mehrere der folgenden Umstände eintritt: (a) wenn die Wahrnehmung dieser Rechte und Pflichten durch andere Organe, Einrichtungen und sonstige Stellen der Union auf der Grundlage anderer in Artikel 25 der Verordnung (EU) 2018/1725 vorgesehener Rechtsakte oder nach Kapitel IX der genannten Verordnung oder gemäß den Gründungsakten anderer Organe, Einrichtungen und sonstiger Stellen der Union beschränkt werden könnte; (b) wenn die Wahrnehmung dieser Rechte und Pflichten durch die zuständigen Behörden der Mitgliedstaaten auf der Grundlage der in Artikel 23 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates genannten Rechtsakte oder im Rahmen nationaler Maßnahmen zur Umsetzung des Artikels 13 Absatz 3, Artikels 15 Absatz 3 oder Artikels 16 Absatz 3 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates beschränkt werden könnte; (c) wenn die Ausübung dieser Rechte und Pflichten die Zusammenarbeit der EBA mit Drittländern oder internationalen Organisationen hinsichtlich der Wahrnehmung der Aufgaben der EBA oder der Wahrnehmung der Aufgaben der Organisationen von Drittländern oder internationalen Organisationen beeinträchtigen könnte. Vor der Anwendung von Beschränkungen unter den in Unterabsatz 1 Buchstaben a und b genannten Umständen konsultiert die EBA die zuständigen Dienststellen der Kommission, die Einrichtungen, Organe und sonstigen Stellen der Union oder die zuständigen Behörden der Mitgliedstaaten, es sei denn, für die EBA ist klar, dass die Anwendung einer Beschränkung in einem der in diesen Buchstaben genannten Rechtsakte vorgesehen ist.

3 Jede Beschränkung muss eine notwendige und verhältnismäßige Maßnahme darstellen und die Risiken für die Rechte und Freiheiten betroffener Personen berücksichtigen sowie den Wesensgehalt der Grundrechte und Grundfreiheiten in einer demokratischen Gesellschaft achten.

4 Wird eine Beschränkung in Betracht gezogen, ist deren Notwendigkeit und Verhältnismäßigkeit auf Grundlage der vorliegenden Vorschriften zu prüfen. Für Zwecke der Rechenschaftspflicht ist dies in jedem Fall durch einen internen Bewertungsvermerk zu dokumentieren.

5 Beschränkungen sind aufzuheben, sobald die Umstände, die sie rechtfertigen, nicht mehr gegeben sind. Dies gilt insbesondere, wenn nicht mehr anzunehmen ist, dass die Ausübung des beschränkten Rechts die Wirkung der vorgenommenen Beschränkung zunichtemachen oder die Rechte oder Freiheiten anderer betroffener Personen beeinträchtigen würde.

1 Der Verantwortliche unterrichtet den DSB unverzüglich, wenn der Verantwortliche beabsichtigt, in Übereinstimmung mit diesem Beschluss die Geltung von Rechten betroffener Personen zu beschränken oder die Beschränkung auszuweiten. Der Verantwortliche gewährt dem DSB Zugang zum internen Vermerk, der die Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung sowie gegebenenfalls die tatsächlichen und rechtlichen Grundlagen enthält, und dokumentiert das Datum, an dem der DSB unterrichtet wird.

2 Der DSB kann den Verantwortlichen schriftlich zur Überprüfung der vorgenommenen Beschränkungen auffordern. Der Verantwortliche unterrichtet den DSB schriftlich über das Ergebnis der angeforderten Überprüfung.

3 Der Verantwortliche unterrichtet den DSB, wenn die Beschränkung aufgehoben wurde.

4 Der Verantwortliche dokumentiert die Einbeziehung des DSB in den verschiedenen Verfahrensphasen, beginnend mit dem Datum der Unterrichtung des DSB.

5 Der interne Vermerk sowie gegebenenfalls die tatsächlichen und rechtlichen Grundlagen sind dem Europäischen Datenschutzbeauftragten auf Verlangen zur Verfügung zu stellen.

1 Die EBA veröffentlicht auf ihrer Website Datenschutzaufzeichnungen zur Information aller betroffenen Personen über die Tätigkeiten der EBA im Zusammenhang mit der Verarbeitung personenbezogener Daten; diese beinhalten auch Informationen über die mögliche Beschränkung der Rechte betroffener Personen gemäß Artikel 3 dieses Beschlusses. Darin ist darüber zu informieren, welche Rechte beschränkt werden können, aus welchen Gründen die Beschränkungen vorgenommen werden können und für welche Dauer sie gelten können.

2 Die EBA informiert jede einzelne betroffene Person, die nach Ansicht der EBA von der Untersuchung oder Ermittlung betroffen ist, unverzüglich schriftlich über die Datenschutzaufzeichnungen für den betreffenden Verarbeitungsvorgang.

3 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann die EBA das in Absatz 2 niedergelegte Recht auf Unterrichtung der betroffenen Personen ganz oder zum Teil beschränken. In diesem Fall erfasst sie in einem internen Vermerk die Gründe für die Beschränkung und den Rechtsgrund gemäß Artikel 3 dieses Beschlusses, einschließlich einer Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung.

4 Die in Absatz 3 erwähnte Beschränkung gilt so lange, wie die sie rechtfertigenden Gründe dafür vorliegen. Wenn die Gründe für die Beschränkung nicht mehr vorliegen, unterrichtet die EBA die betroffene Person über die einschlägigen Datenschutzaufzeichnungen und die Hauptgründe für die Beschränkung. Die Unterrichtung kann damit verbunden werden, der betroffenen Person Gelegenheit zu geben, im Rahmen der Ausübung ihrer Verteidigungsrechte zu den im Zuge der laufenden Untersuchung oder Ermittlungen getroffenen Feststellungen Stellung zu nehmen. Gleichzeitig teilt die EBA der betroffenen Person mit, dass sie jederzeit Beschwerde beim Europäischen Datenschutzbeauftragten oder einen gerichtlichen Rechtsbehelf beim Gerichtshof der Europäischen Union einlegen kann. Die EBA überprüft die Anwendung der Beschränkung alle sechs Monate, nachdem sie vorgenommen wurde, sowie nach Abschluss der entsprechenden Ermittlungen oder Untersuchung.

1 Hinsichtlich eines von einer betroffenen Person gestellten Antrags kann die EBA das Recht der betroffenen Person, eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten im Zusammenhang mit einer Untersuchung oder Ermittlung im Sinne von Artikel 1 dieses Beschlusses von der EBA verarbeitet werden, sowie gegebenenfalls das Recht auf Auskunft über die personenbezogenen Daten und sonstige in Artikel 17 der Verordnung (EU) 2018/1725 genannte Informationen ganz oder zum Teil beschränken.

2 Wenn die EBA das Recht auf Auskunft beschränkt, unterrichtet sie die jeweils betroffene Person in ihrer Antwort auf den Antrag über die vorgenommene Beschränkung und die Hauptgründe dafür sowie über die Möglichkeit, Beschwerde beim Europäischen Datenschutzbeauftragten oder einen gerichtlichen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen.

3 Die Unterrichtung nach Absatz 2 kann zurückgestellt, unterlassen oder abgelehnt werden, wenn sie die Wirkung der gemäß Artikel 25 Absatz 8 der Verordnung (EU) 2018/1725 angewendeten Beschränkung zunichtemachen würde. Ist dies der Fall, dokumentiert die EBA die Gründe für die Beschränkung in Form eines internen Bewertungsvermerks, einschließlich einer Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung und ihrer Dauer.

4 Die EBA überprüft die Anwendung der Beschränkung alle sechs Monate, nachdem sie vorgenommen wurde, sowie nach Abschluss der entsprechenden Ermittlungen oder Untersuchung.

1 Geht im Zusammenhang mit einer Untersuchung oder Ermittlung gemäß Artikel 1 dieses Beschlusses ein Antrag einer betroffenen Person ein, so kann die EBA das in den Artikeln 18, 19 und 20 der Verordnung (EU) 2018/1725 vorgesehene Recht dieser betroffenen Person auf Berichtigung der sie betreffenden personenbezogenen Daten bzw. auf Löschung oder Einschränkung der Verarbeitung ihrer personenbezogenen Daten ganz oder zum Teil beschränken.

2 Wenn die EBA das vorgenannte Recht auf Berichtigung, Löschung oder Einschränkung der Verarbeitung beschränkt, ergreift sie die in Artikel 6 Absatz 2 genannten Maßnahmen und dokumentiert sie gemäß Artikel 6 Absatz 3.

3 Die EBA überprüft die Anwendung der Beschränkung alle sechs Monate, nachdem sie vorgenommen wurde, sowie nach Abschluss der entsprechenden Ermittlungen oder Untersuchung.

1 Hat die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so benachrichtigt die EBA die von der Verletzung betroffene Person unverzüglich gemäß Artikel 35 der Verordnung (EU) 2018/1725.

2 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann die EBA das in Absatz 1 dieses Artikels niedergelegte Recht auf Unterrichtung der betroffenen Personen ganz oder zum Teil beschränken. In diesem Fall erfasst sie in einem internen Vermerk die Gründe für die Beschränkung und den Rechtsgrund gemäß Artikel 3 dieses Beschlusses, einschließlich einer Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung.

3 Die in Absatz 2 genannte Beschränkung gilt, solange die Gründe dafür weiterhin vorliegen. Wenn die Gründe für die Beschränkung nicht mehr vorliegen, unterrichtet die EBA die betroffene Person über die Verletzung des Schutzes personenbezogener Daten und teilt der betroffenen Person die Hauptgründe für die Beschränkung mit. Gleichzeitig teilt die EBA der betroffenen Person mit, dass sie jederzeit Beschwerde beim Europäischen Datenschutzbeauftragten oder einen gerichtlichen Rechtsbehelf beim Gerichtshof der Europäischen Union einlegen kann. Die EBA überprüft die Anwendung der Beschränkung alle sechs Monate, nachdem sie vorgenommen wurde, sowie nach Abschluss der entsprechenden Ermittlungen oder Untersuchung.

Dieser Beschluss tritt am zwanzigsten Tage nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.