Beschluss des Lenkungsausschusses der Europäischen Exekutivagentur für Gesundheit Und Digitales über interne Vorschriften zur Beschränkung bestimmter Rechte betroffener Personen in Bezug auf die Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten der Exekutivagentur

1 Mit diesem Beschluss werden Vorschriften in Bezug auf die Bedingungen festgelegt, unter denen die Europäische Exekutivagentur für Gesundheit und Digitales (HaDEA) und jeder ihrer Rechtsnachfolger („die Agentur“) die Anwendung der Artikel 4, 14 bis 22, 35 und 36 gemäß Artikel 25 der Verordnung beschränken darf.

2 Die Agentur wird als Verantwortlicher durch den Direktor der Agentur vertreten, der die Funktion des Verantwortlichen delegieren kann.

1 Die Agentur kann die Anwendung der Artikel 14 bis 22, 35 und 36 sowie des Artikels 4 der Verordnung, insofern dessen Bestimmungen den in den Artikeln 14 bis 20 vorgesehenen Rechten und Pflichten entsprechen, beschränken.

2 Dieser Beschluss gilt für die Verarbeitung personenbezogener Daten durch die Agentur im Rahmen ihrer administrativen und operativen Tätigkeit: a) gemäß Artikel 25 Absatz 1 Buchstaben b, c, f, g und h der Verordnung, wenn die Agentur interne Untersuchungen — einschließlich aufgrund externer Beschwerden —, Verwaltungsuntersuchungen, Vorverfahren in Disziplinarsachen, Disziplinarverfahren oder Dienstenthebungsverfahren gemäß Artikel 86 und Anhang IX des Statuts und seiner Durchführungsbestimmungen, Sicherheitsuntersuchungen oder Untersuchungen des OLAF durchführt; b) gemäß Artikel 25 Absatz 1 Buchstabe h der Verordnung, wenn die Agentur sicherstellt, dass Mitarbeiter der Agentur Sachverhalte vertraulich melden können, von denen sie annehmen, dass es sich um schwerwiegende Unregelmäßigkeiten handelt, so wie dies in den internen Vorschriften oder Grundsätzen zur Meldung von Missständen („Whistleblowing“) festgelegt ist; c) gemäß Artikel 25 Absatz 1 Buchstabe h der Verordnung, wenn die Agentur sicherstellt, dass sich Mitarbeiter der Agentur im Zusammenhang mit einem Verfahren wegen Mobbing oder sexueller Belästigung im Sinne der internen Vorschriften an Vertrauenspersonen wenden können; d) gemäß Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung, wenn interne oder externe Audits bezüglich der Tätigkeiten oder der Funktionsweise der Agentur durchgeführt werden; e) gemäß Artikel 25 Absatz 1 Buchstaben d und h der Verordnung, wenn die Agentur intern oder mit externer Beteiligung (z. B. von CERT-EU) Sicherheitsanalysen, unter anderem zur Cybersicherheit und zum Missbrauch von IT-Systemen, durchführt, die innere Sicherheit durch Videoüberwachung, Zugangskontrolle und Ermittlungen gewährleistet, die Kommunikations- und Informationssysteme sichert und technische Maßnahmen zur Gefahrenabwehr durchführt; f) gemäß Artikel 25 Absatz 1 Buchstaben g und h, wenn der Datenschutzbeauftragte (DSB) der Agentur Angelegenheiten untersucht, die in direktem Zusammenhang mit seinen Aufgaben stehen; g) gemäß Artikel 25 Absatz 1 Buchstaben b, g und h der Verordnung im Rahmen von Ermittlungen der Europäischen Staatsanwaltschaft (EUStA); h) gemäß Artikel 25 Absatz 1 Buchstabe h der Verordnung, wenn Einzelpersonen um Auskunft über ihre medizinischen Daten oder deren Berichtigung ersuchen, auch wenn diese beim medizinischen Dienst der Kommission aufbewahrt werden; i) gemäß Artikel 25 Absatz 1 Buchstaben c, d, g und h der Verordnung, wenn die Agentur anderen Organen, Einrichtungen und sonstigen Stellen der Europäischen Union Unterstützung leistet oder Unterstützung von ihnen erhält oder mit ihnen im Rahmen von Tätigkeiten gemäß den Buchstaben a bis h dieses Absatzes zusammenarbeitet sowie gemäß einschlägiger Dienstgütevereinbarungen, Absichtserklärungen und Kooperationsvereinbarungen ihres jeweiligen Gründungsrechtsakts; j) gemäß Artikel 25 Absatz 1 Buchstabe c, g und h der Verordnung, wenn Eurojust auf deren Ersuchen oder aus eigener Initiative nationalen Behörden von Drittländern und internationalen Organisationen Unterstützung leistet oder Unterstützung von ihnen erhält oder mit ihnen zusammenarbeitet; k) gemäß Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung, wenn Eurojust auf deren Ersuchen oder aus eigener Initiative nationalen Behörden von Mitgliedstaaten der Union Unterstützung leistet oder Unterstützung von ihnen erhält und mit ihnen zusammenarbeitet; l) gemäß Artikel 25 Absatz 1 Buchstabe e der Verordnung, wenn Eurojust personenbezogene Daten verarbeitet, die in Dokumenten enthalten sind, die von den Parteien oder Streithelfern erlangt wurden, die an einem Verfahren vor dem Gerichtshof der Europäischen Union beteiligt sind; Für die Zwecke dieses Beschlusses umfassen die vorstehend genannten Tätigkeiten auch Vorbereitungs- und Folgemaßnahmen, die unmittelbar mit der jeweiligen Tätigkeit zusammenhängen.

3 Die Agentur kann im Einzelfall die Rechte der betroffenen Personen im Sinne dieses Beschlusses auch unter den folgenden Umständen beschränken: a) wenn die Kommissionsdienststellen oder andere Organe, Einrichtungen und sonstige Stellen der Union dazu berechtigt sind, die Ausübung der aufgeführten Rechte zu beschränken, und wenn der Zweck einer solchen Beschränkung durch die Kommissionsdienststelle, das Organ, die Einrichtung oder die sonstige Stelle der Union gefährdet wäre, falls die Agentur keine vergleichbare Beschränkung in Bezug auf dieselben personenbezogenen Daten vornehmen würde; b) wenn die zuständigen Behörden der Mitgliedstaaten dazu berechtigt sind, die Ausübung der aufgeführten Rechte zu beschränken, und wenn der Zweck einer solchen Beschränkung durch die Behörde eines Mitgliedstaats gefährdet wäre, falls die Agentur keine vergleichbare Beschränkung in Bezug auf dieselben personenbezogenen Daten vornehmen würde; c) wenn die Ausübung dieser Rechte und Pflichten die Zusammenarbeit der Agentur mit Drittländern oder internationalen Organisationen bei der Wahrnehmung ihrer Aufgaben beeinträchtigen könnte, sofern die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person diese Notwendigkeit der Zusammenarbeit nicht überwiegen. d) Bevor die Agentur Beschränkungen gemäß diesem Absatz vornimmt, konsultiert sie erforderlichenfalls die betreffenden Kommissionsdienststellen, anderen Organe, Einrichtungen und sonstigen Stellen, die betreffende internationale Organisation oder die zuständigen Behörden der Mitgliedstaaten, es sei denn, es ist offenkundig, dass die Beschränkung in einem der vorstehend genannten Rechtsakte vorgesehen ist oder dass eine solche Konsultation die Tätigkeiten der Agentur gefährden würde.

4 Die Kategorien der personenbezogenen Daten, die im Zusammenhang mit den oben genannten Tätigkeiten verarbeitet werden, können faktische „harte“ Daten und „weiche“ Bewertungsdaten umfassen.

5 Jede Beschränkung muss den Wesensgehalt der Grundrechte und Grundfreiheiten achten und eine in einer demokratischen Gesellschaft notwendige und verhältnismäßige Maßnahme darstellen.

1 Der Verantwortliche erstellt eine Aufzeichnung über die Beschränkung, in der beschrieben wird, a) welche Gründe für die Anwendung einer Beschränkung gemäß diesem Beschluss vorliegen; b) welche der in Artikel 2 aufgeführten Gründe zutreffen; c) wie die Ausübung dieses Rechts ein Risiko für die betroffene Person darstellen oder den Zweck der Aufgaben der Agentur gefährden oder die Rechte und Freiheiten anderer betroffener Personen beeinträchtigen würde; d) zu welchem Ergebnis die Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung unter Berücksichtigung der einschlägigen Elemente in Artikel 25 Absatz 2 der Verordnung gekommen ist.

2 Bevor Beschränkungen vorgenommen werden, wird deren Notwendigkeit und Verhältnismäßigkeit im Einzelfall geprüft. Der Verantwortliche berücksichtigt die potenziellen Risiken für die Rechte und Freiheiten der betroffenen Person. Beschränkungen sind auf das zur Erreichung ihres Zwecks unbedingt erforderliche Maß zu begrenzen.

3 Die Aufzeichnung der Beschränkung sowie gegebenenfalls die Dokumente, die die zugrunde liegenden Fakten und die rechtlichen Grundlagen enthalten, werden registriert. Sie werden dem Europäischen Datenschutzbeauftragten auf Anforderung zur Verfügung gestellt.

1 Die Bewertungen der sich aus der Vornahme von Beschränkungen ergebenden Risiken für die Rechte und Freiheiten der betroffenen Personen sowie die Angaben zur Geltungsdauer dieser Beschränkungen werden im Verzeichnis der Verarbeitungstätigkeiten eingetragen, das vom Verantwortlichen gemäß Artikel 31 der Verordnung geführt wird. Außerdem werden sie gegebenenfalls in den einschlägigen Datenschutz-Folgenabschätzungen gemäß Artikel 39 der Verordnung vermerkt.

2 Wenn der Verantwortliche die Anwendung einer Beschränkung in Betracht zieht, werden die Risiken für die Rechte und Freiheiten der betroffenen Personen abgewogen, insbesondere gegenüber dem Risiko für die Rechte und Freiheiten anderer betroffener Personen sowie dem Risiko negativer Auswirkungen auf Untersuchungen oder Verfahren, z. B. durch Vernichtung von Beweismaterial. Die Risiken für die Rechte und Freiheiten der betroffenen Person betreffen in erster Linie jedoch Reputationsrisiken und Risiken für das Verteidigungsrecht und des Anspruchs auf rechtliches Gehör, ohne darauf beschränkt zu sein.

1 Die Agentur trifft spezifische Schutzvorkehrungen, die verhindern, dass personenbezogene Daten, die Beschränkungen unterliegen oder unterliegen könnten, Missbrauch, unrechtmäßigem Zugriff oder unrechtmäßiger Übermittlung ausgesetzt sind. Diese Schutzvorkehrungen umfassen technische und organisatorische Maßnahmen und werden erforderlichenfalls in den internen Beschlüssen, Verfahren und Durchführungsbestimmungen der Agentur im Einzelnen angegeben. Die Schutzvorkehrungen umfassen Folgendes: a) eine klare Definition der Rollen, Zuständigkeiten und Verfahrensschritte; b) gegebenenfalls eine sichere elektronische Umgebung, die verhindert, dass elektronische Daten rechtswidrig und versehentlich unbefugten Personen zugänglich gemacht oder übermittelt werden; c) ggf. die sichere Aufbewahrung und Bearbeitung von Papierdokumenten; d) die Gewährleistung der Einhaltung von Geheimhaltungspflichten durch alle Personen, die Zugang zu den personenbezogenen Daten haben.

2 Die Aufbewahrungsfrist für personenbezogene Daten, die einer Beschränkung unterliegen, wird in dem entsprechenden Verzeichnis nach Artikel 31 der Verordnung unter Berücksichtigung des Zwecks der Verarbeitung festgelegt und schließt den für die administrative und gerichtliche Überprüfung erforderlichen Zeitraum ein. Nach Ablauf der Aufbewahrungsfrist werden die personenbezogenen Daten gemäß Artikel 13 der Verordnung gelöscht, anonymisiert oder in Archive übertragen.

1 Beschränkungen gemäß Artikel 2 bleiben in Kraft, solange die Gründe, die sie rechtfertigen, weiterhin gegeben sind.

2 Sind die Gründe für eine Beschränkung nicht mehr gegeben, hebt der Verantwortliche die Einschränkung auf, sofern die Ausübung des beschränkten Rechts das jeweils anwendbare Verfahren nicht mehr negativ beeinflussen oder die Rechte oder Freiheiten anderer betroffener Personen nicht mehr beeinträchtigen würde.

3 Für den Fall, dass die betroffene Person erneut um Auskunft über die betreffenden personenbezogenen Daten ersucht hat, unterrichtet der Verantwortliche die betroffene Person über die wesentlichen Gründe für die Beschränkung. Gleichzeitig teilt die Agentur der betroffenen Person mit, dass sie jederzeit Beschwerde beim Europäischen Datenschutzbeauftragten oder einen gerichtlichen Rechtsbehelf beim Gerichtshof der Europäischen Union einlegen kann.

4 Die Agentur überprüft die Anwendung der Beschränkungen gemäß Artikel 2 alle sechs Monate.

1 Der Verantwortliche der Agentur unterrichtet den DSB der Agentur unverzüglich und vor jeder Entscheidung, die Rechte einer betroffenen Person gemäß diesem Beschluss einzuschränken oder die Anwendung der Einschränkung zu verlängern. Der Verantwortliche gewährt dem DSB Zugang zu allen Aufzeichnungen und allen Dokumenten, die den zugrunde liegenden sachlichen oder rechtlichen Zusammenhang betreffen.

2 Der DSB kann den Verantwortlichen auffordern, die Anwendung einer Beschränkung zu überprüfen. Der DSB wird vom Verantwortlichen schriftlich über das Ergebnis der angeforderten Überprüfung unterrichtet.

3 Der Verantwortliche dokumentiert die Mitwirkung des DSB bei der Anwendung von Beschränkungen sowie die dem DSB mitgeteilten Informationen. Die Dokumente im Sinne dieses Artikels sind Teil der Aufzeichnung über die Einschränkung und werden dem EDSB auf Anfrage zur Verfügung gestellt.

1 Der Verantwortliche nimmt in die Datenschutzhinweise und -aufzeichnungen gemäß Artikel 31 der Verordnung, die auf seiner Website und im Intranet veröffentlicht werden, allgemeine Informationen über die möglichen Beschränkungen der Rechte betroffener Personen gemäß Artikel 2 Absatz 2 dieses Beschlusses auf. Darin wird darüber informiert, welche Rechte und Pflichten beschränkt werden können, aus welchen Gründen die Beschränkungen vorgenommen werden können und für welche Dauer sie gelten können.

2 Betroffene Personen werden vom Verantwortlichen einzeln, schriftlich und unverzüglich über die gegenwärtigen oder künftigen Beschränkungen ihrer Rechte unterrichtet. Der Verantwortliche unterrichtet die betroffenen Personen über die wesentlichen Gründe für die Beschränkung, über ihr Recht, sich an den DSB zu wenden, um gegen die Beschränkung vorzugehen, sowie über ihr Recht, beim EDSB Beschwerde einzulegen.

3 Solange die Unterrichtung über die Gründe für die Beschränkung und das Recht auf Einlegung der Beschwerde beim EDSB die Wirkung der Beschränkung zunichtemachen würde, kann sie vom Verantwortlichen zurückgestellt, unterlassen oder abgelehnt werden. Die Beurteilung, ob dies gerechtfertigt wäre, erfolgt auf Einzelfallbasis. Sobald die Unterrichtung die Wirkung der Beschränkung nicht mehr zunichtemachen würde, wird die betroffene Person vom Verantwortlichen unterrichtet.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann das Auskunftsrecht nach Artikel 17 der Verordnung vom Verantwortlichen eingeschränkt werden, wenn dies im Hinblick auf die Tätigkeiten im Rahmen dieses Beschlusses erforderlich und verhältnismäßig ist.

2 Beantragen betroffene Personen Auskunft über ihre personenbezogenen Daten, die im Rahmen einer spezifischen Verarbeitungstätigkeit nach Artikel 2 Absatz 2 dieses Beschlusses verarbeitet werden, beschränkt die Agentur ihre Antwort auf die für diese Tätigkeit verarbeiteten personenbezogenen Daten.

3 Das Recht der betroffenen Personen auf direkten Zugang zu Dokumenten psychologischer oder psychiatrischer Art kann eingeschränkt werden. Weder das indirekte Auskunftsrecht noch das Recht auf Berichtigung und Mitteilung einer Verletzung des Schutzes personenbezogener Daten wird durch diese internen Vorschriften eingeschränkt. Daher sollte einem vermittelnden Arzt auf Antrag der betroffenen Person Auskunft über alle damit zusammenhängenden Informationen erteilt und ein Ermessensspielraum dahin gehend eingeräumt werden, wie und welche Auskunft er der betroffenen Person erteilt.

4 Beschränkt der Verantwortliche das in Artikel 17 der Verordnung genannte Recht auf Auskunft über personenbezogene Daten ganz oder teilweise, so unterrichtet er die betroffene Person in seiner Antwort auf den Antrag auf Auskunft schriftlich über die angewandte Beschränkung und die wesentlichen Gründe dafür sowie über die Möglichkeit, Beschwerde beim EDSB oder einen gerichtlichen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen.

5 Diese Unterrichtung über die Beschränkung des Auskunftsrechts kann gemäß Artikel 25 Absatz 8 der Verordnung zurückgestellt, unterlassen oder abgelehnt werden, wenn sie die Wirkung der Beschränkung zunichtemachen würde.

6 Eine Beschränkung gemäß diesem Artikel wird in Übereinstimmung mit diesem Beschluss vorgenommen.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann das Recht auf Berichtigung, Löschung und Einschränkung der Verarbeitung nach Artikel 18, Artikel 19 Absatz 1 und Artikel 20 Absatz 1 der Verordnung vom Verantwortlichen eingeschränkt werden, wenn dies im Hinblick auf die Tätigkeiten gemäß Artikel 2 Absatz 2 dieses Beschlusses erforderlich und angemessen ist.

2 In Bezug auf medizinische Daten können betroffene Personen das Recht auf Berichtigung der Beurteilung oder des Gutachtens des medizinischen Dienstes der Kommission ausüben, indem sie entsprechende Anmerkungen oder einen Bericht eines Arztes ihrer Wahl unmittelbar dem medizinischen Dienst der Kommission vorlegen.

3 Eine Beschränkung gemäß diesem Artikel wird in Übereinstimmung mit diesem Beschluss vorgenommen.

1 Ist der Verantwortliche gemäß Artikel 35 Absatz 1 der Verordnung zur Benachrichtigung über eine Verletzung des Schutzes personenbezogener Daten verpflichtet, ist es ihm in Ausnahmefällen möglich, die Benachrichtigung ganz oder zum Teil zu beschränken. Der Verantwortliche muss die Gründe für die Beschränkung sowie die Rechtsgrundlage gemäß Artikel 2 sowie die Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung dokumentieren. Der Vermerk ist dem Europäischen Datenschutzbeauftragten zum Zeitpunkt der Meldung der Verletzung des Schutzes personenbezogener Daten mitzuteilen.

2 Sind die Gründe für die Beschränkung nicht mehr gegeben, unterrichtet die Agentur die betroffene Person über die Verletzung des Schutzes personenbezogener Daten, wobei die wesentlichen Gründe für die Beschränkung anzugeben und auf das Recht der betroffenen Person, beim EDSB Beschwerde einzulegen, hinzuweisen ist.

1 In Ausnahmefällen kann die Agentur das Recht auf Vertraulichkeit der elektronischen Kommunikation im Sinne von Artikel 36 der Verordnung beschränken. Derartige Beschränkungen müssen der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates genügen.

2 Ungeachtet des Artikels 8 Absatz 3 gilt: Beschränkt die Agentur das Recht auf Vertraulichkeit der elektronischen Kommunikation, unterrichtet sie die betroffene Person in der Antwort auf deren Anfrage über die wesentlichen Gründe für diese Beschränkung sowie über das Recht der betroffenen Person, beim EDSB Beschwerde einzulegen.

Dieser Beschluss tritt am zwanzigsten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.