Beschluss (EU) 2022/121 der Kommission vom 27. Januar 2022 zur Festlegung interner Vorschriften über die Unterrichtung betroffener Personen und die Beschränkung bestimmter Rechte dieser Personen im Zusammenhang mit der Verarbeitung personenbezogener Daten für die Zwecke der Bearbeitung von Anträgen und Beschwerden auf der Grundlage des Statuts

1 In diesem Beschluss werden die Vorschriften festgelegt, nach denen die Kommission betroffene Personen gemäß den Artikeln 14, 15 und 16 der Verordnung (EU) 2018/1725 über die Verarbeitung ihrer personenbezogenen Daten bei der Bearbeitung von Anträgen und Beschwerden nach dem Statut unterrichtet. Ferner werden die Bedingungen festgelegt, unter denen die Kommission die Anwendung der Artikel 4, 14 bis 17, 19, 20 und 35 der Verordnung (EU) 2018/1725 nach deren Artikel 25 Absatz 1 Buchstaben b, c, g und h beschränken kann.

2 Dieser Beschluss gilt für die Verarbeitung personenbezogener Daten durch die Kommission zum Zwecke der Bearbeitung von Anträgen und Beschwerden gemäß den Artikeln 22c und 24 und Artikel 90 Absätze 1 und 2 des Statuts.

3 Bei den unter diesen Beschluss fallenden Kategorien personenbezogener Daten handelt es sich um Identifikations-, Kontakt- und Verhaltensdaten sowie um besondere Kategorien personenbezogener Daten im Sinne von Artikel 10 Absatz 1 der Verordnung (EU) 2018/1725.

1 Die Kommission prüft bei der Erfüllung ihrer Pflichten in Bezug auf die Rechte der betroffenen Personen nach der Verordnung (EU) 2018/1725, ob eine der in der genannten Verordnung festgelegten Ausnahmen Anwendung findet.

2 Wenn die Ausübung der in den Artikeln 14 bis 17, 19, 20 und 35 der Verordnung (EU) 2018/1725 vorgesehenen Rechte und Pflichten in Bezug auf von der Kommission verarbeitete personenbezogene Daten die in Artikel 25 Absatz 1 Buchstaben b, c, g oder h dieser Verordnung genannten Gründe beeinträchtigen würde, kann die Kommission vorbehaltlich der Artikel 3 bis 7 dieses Beschlusses die Anwendung folgender Bestimmungen beschränken: a) Artikel 14 bis 17, 19, 20 und 35 der Verordnung (EU) 2018/1725 sowie b) Transparenzgrundsatz nach Artikel 4 Absatz 1 Buchstabe a der Verordnung (EU) 2018/1725, soweit dessen Bestimmungen den in den Artikeln 14 bis 17, 19 und 20 jener Verordnung vorgesehenen Rechten und Pflichten entsprechen, um die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten zu gewährleisten, die den zuständigen Dienststellen der Kommission von Antragstellern, Beschwerdeführern oder Zeugen im Zusammenhang mit einem Betroffenen gemeldet werden, dem Belästigung oder ein anderes unangemessenes Verhalten oder Angriffe vorgeworfen werden.

3 Die Absätze 1 und 2 gelten unbeschadet der Anwendung anderer Beschlüsse der Kommission zur Festlegung interner Vorschriften über die Unterrichtung betroffener Personen und über die Beschränkung bestimmter Rechte gemäß Artikel 25 der Verordnung (EU) 2018/1725.

4 Jede Beschränkung der in Absatz 2 genannten Rechte und Pflichten muss erforderlich und angemessen sein und die Risiken für die Rechte und Freiheiten der betroffenen Personen berücksichtigen.

5 Bevor die Kommission etwaige Beschränkungen vornimmt, führt sie eine Einzelfallprüfung ihrer Notwendigkeit und Verhältnismäßigkeit durch. Beschränkungen sind auf das zur Erreichung ihres Zwecks unbedingt erforderliche Maß zu begrenzen.

1 Die Kommission veröffentlicht auf ihrer Website einen Datenschutzhinweis, der alle betroffenen Personen über die Tätigkeiten der Kommission informiert, bei denen die personenbezogenen Daten dieser Personen zum Zweck der Bearbeitung von Anträgen und Beschwerden nach dem Statut verarbeitet werden.

2 Die Kommission informiert Antragsteller, Beschwerdeführer, Betroffene oder Zeugen, die bezüglich solcher Anträge oder Beschwerden um Auskunft gebeten werden, einzeln und auf geeignete Weise über die Verarbeitung ihrer personenbezogenen Daten.

3 Wenn die Kommission die in Absatz 2 vorgesehene Unterrichtung betroffener Personen, deren Daten für die Bearbeitung von Anträgen und Beschwerden nach dem Statut verarbeitet werden, gemäß Artikel 2 vollständig oder teilweise beschränkt, erfasst und registriert sie die Gründe für die Beschränkung nach Artikel 6 dieses Beschlusses.

1 Wenn die Kommission das Recht der betroffenen Person auf Zugang zu personenbezogenen Daten oder ihr Recht auf Löschung oder ihr Recht auf Einschränkung der Verarbeitung nach den Artikeln 17, 19 bzw. 20 der Verordnung (EU) 2018/1725 ganz oder teilweise beschränkt, unterrichtet sie die betroffene Person in ihrer Antwort auf den Antrag auf Auskunft, Löschung oder Einschränkung der Verarbeitung a) über die Beschränkung und die Hauptgründe hierfür sowie b) über die Möglichkeit, Beschwerde beim Europäischen Datenschutzbeauftragten oder einen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen.

2 Die Unterrichtung über die Gründe für die Beschränkung nach Absatz 1 kann so lange zurückgestellt, unterlassen oder abgelehnt werden, wie die Unterrichtung die Wirkung der Beschränkung zunichtemachen würde.

3 Die Kommission erfasst die Gründe für die Beschränkung nach Artikel 6.

4 Wenn das Auskunftsrecht ganz oder teilweise beschränkt ist, kann die betroffene Person ihr Auskunftsrecht über den Europäischen Datenschutzbeauftragten nach Artikel 25 Absätze 6, 7 und 8 der Verordnung (EU) 2018/1725 wahrnehmen.

Wenn die Kommission die Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person nach Artikel 35 der Verordnung (EU) 2018/1725 beschränkt, so erfasst und registriert sie die Gründe für die Beschränkung nach Artikel 6. Die Kommission übermittelt dem Europäischen Datenschutzbeauftragten diesen Vorgang zum Zeitpunkt der Meldung der Verletzung des Schutzes personenbezogener Daten.

1 Die Kommission erfasst die Gründe für Beschränkungen nach diesem Beschluss, einschließlich einer Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung, unter Berücksichtigung aller relevanten Elemente nach Artikel 25 Absatz 2 der Verordnung (EU) 2018/1725.

2 Aus dem betreffenden Vorgang muss hervorgehen, wie durch die Ausübung des Rechts der betreffenden betroffenen Person einer oder mehrere der in Artikel 25 Absatz 1 Buchstaben b, c, g und h der Verordnung (EU) 2018/1725 aufgeführten Gründe beeinträchtigt würde.

3 Der Vorgang sowie gegebenenfalls die Dokumente, die die zugrunde liegenden Fakten und die rechtlichen Grundlagen enthalten, werden registriert. Sie werden dem Europäischen Datenschutzbeauftragten auf Anforderung zur Verfügung gestellt.

1 Die in den Artikeln 3, 4 und 5 genannten Beschränkungen gelten, solange die sie rechtfertigenden Gründe bestehen.

2 Wenn die in den Artikeln 3, 4 und 5 genannten Gründe nicht mehr bestehen, hebt die Kommission die Beschränkung auf.

3 Zudem teilt die Kommission der betroffenen Person die wesentlichen Gründe für die Anwendung der Beschränkung mit und informiert sie über die Möglichkeit, jederzeit Beschwerde beim Europäischen Datenschutzbeauftragen oder einen Rechtsbehelf vor dem Gerichtshof der Europäischen Union einzulegen.

4 Bei der Beantwortung von Anträgen nach den Artikeln 22c und 24 und nach Artikel 90 Absatz 1 des Statuts beziehungsweise von Beschwerden nach Artikel 22c und Artikel 90 Absatz 2 des Statuts sowie bei Abschluss solcher Anträge und Beschwerden (je nachdem, was zuerst eintritt) überprüft die Kommission die Anwendung der in den Artikeln 3, 4 und 5 genannten Beschränkungen. Danach prüft die Kommission alljährlich, inwieweit es erforderlich ist, eine etwaige Beschränkung aufrechtzuerhalten. Diese Überprüfung schließt eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung unter Berücksichtigung aller relevanten Elemente nach Artikel 25 Absatz 2 der Verordnung (EU) 2018/1725 ein.

1 Die Kommission beziehungsweise das für Einsprüche und die Überwachung von Fällen zuständige Referat der GD HR sieht Garantien vor, die verhindern, dass personenbezogene Daten, die Beschränkungen unterliegen oder unterliegen könnten, Missbrauch, unrechtmäßigem Zugang oder unrechtmäßiger Übermittlung ausgesetzt werden. Diese Garantien schließen beispielsweise die folgenden technischen und organisatorischen Maßnahmen ein: a) eine klare Definition der Rollen, Zuständigkeiten, Zugangsrechte und Verfahrensschritte, b) eine sichere elektronische Umgebung, die verhindert, dass elektronische Daten rechtswidrig oder versehentlich Unbefugten zugänglich gemacht oder übermittelt werden, c) eine sichere, auf das für die Erreichung des Verarbeitungszwecks unbedingt erforderliche Maß beschränkte Aufbewahrung und Bearbeitung von Papierdokumenten, d) die Überwachung der Beschränkungen und die regelmäßige Überprüfung ihrer Anwendung. Die in Buchstabe d genannten Überprüfungen sind mindestens alle sechs Monate durchzuführen.

2 Beschränkungen werden aufgehoben, sobald die Umstände, die sie rechtfertigen, nicht mehr gegeben sind.

3 Die personenbezogenen Daten werden gemäß den geltenden Speicherbestimmungen der Kommission gespeichert, die in dem Verzeichnis nach Artikel 31 der Verordnung (EU) 2018/1725 festgelegt werden. Nach Ablauf der Speicherfrist werden die personenbezogenen Daten gemäß Artikel 13 der Verordnung (EU) 2018/1725 gelöscht, anonymisiert oder archiviert.

1 Der Datenschutzbeauftragte der Kommission wird unverzüglich unterrichtet, wenn die Rechte der betroffenen Personen gemäß dem vorliegenden Beschluss eingeschränkt werden. Auf Anfrage des Datenschutzbeauftragten erteilt die Kommission diesem Zugang zu dem betreffenden Vorgang und sonstigen Unterlagen, die die zugrunde liegenden tatsächlichen und rechtlichen Umstände enthalten.

2 Der Datenschutzbeauftragte kann eine Überprüfung der Beschränkung verlangen. Der Datenschutzbeauftragte wird über das Ergebnis der Überprüfung schriftlich unterrichtet.

3 Die Kommission dokumentiert in jedem Fall, in dem die in Artikel 2 Absatz 2 genannten Rechte und Pflichten beschränkt werden, die Mitwirkung des Datenschutzbeauftragten.

Dieser Beschluss tritt am zwanzigsten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.