Beschluss (EU) 2022/2359 der Europäischen Zentralbank vom 22. November 2022 zum Erlass interner Vorschriften zur Beschränkung von Rechten betroffener Personen in Angelegenheiten, welche die interne Arbeitsweise der Europäischen Zentralbank betreffen (EZB/2022/42)

1 Mit diesem Beschluss werden die Vorschriften für die EZB zur Beschränkung der Rechte betroffener Personen im Rahmen der im Zentralregister verzeichneten Datenverarbeitungstätigkeiten in Angelegenheiten ihrer internen Arbeitsweise festgelegt.

2 Die Rechte betroffener Personen, die beschränkt werden können, sind in den folgenden Artikeln der Verordnung (EU) 2018/1725 festgelegt: a) Artikel 14 (transparente Informationen, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person); b) Artikel 15 (Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person); c) Artikel 16 (Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden); d) Artikel 17 (Auskunftsrecht der betroffenen Person); e) Artikel 18 (Recht auf Berichtigung); f) Artikel 19 (Recht auf Löschung bzw. „Recht auf Vergessenwerden“); g) Artikel 20 (Recht auf Einschränkung der Verarbeitung); h) Artikel 21 (Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder Einschränkung der Verarbeitung); i) Artikel 22 (Recht auf Datenübertragbarkeit); j) Artikel 35 (Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person); k) Artikel 36 (Vertraulichkeit der elektronischen Kommunikation); l) Artikel 4, insofern dessen Bestimmungen den in den Artikeln 14 bis 22 der Verordnung (EU) 2018/1725 vorgesehenen Rechten und Pflichten entsprechen.

Im Sinne dieses Beschlusses gelten folgende Begriffsbestimmungen: 1. „Verarbeitung“ Verarbeitung im Sinne von Artikel 3 Nummer 3 der Verordnung (EU) 2018/1725; 2. „personenbezogene Daten“ personenbezogene Daten im Sinne von Artikel 3 Nummer 1 der Verordnung (EU) 2018/1725; 3. „betroffene Person“ eine identifizierte oder identifizierbare natürliche Person; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann; 4. „Zentrales Register“ der öffentlich zugängliche Speicherort für alle bei der EZB ausgeführten Verarbeitungstätigkeiten im Zusammenhang mit personenbezogenen Daten, das vom Datenschutzbeauftragten der EZB geführt wird und auf das in Artikel 9 des Beschlusses (EU) 2020/655 (EZB/2020/28) Bezug genommen wird; 5. „Verantwortlicher“ die EZB und insbesondere die zuständige organisatorische Einheit innerhalb der EZB, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten bestimmt und für den Verarbeitungsvorgang verantwortlich ist; 6. „Organe und Einrichtungen der Union“ Organe und Einrichtungen der Union im Sinne von Artikel 3 Nummer 10 der Verordnung (EU) 2018/1725.

1 Zur Sicherstellung der in Artikel 25 Absatz 1 der Verordnung (EU) 2018/1725 genannten Interessen und Ziele kann der Verantwortliche bei den in Artikel 1 Absatz 1 genannten Verarbeitungstätigkeiten im Zusammenhang mit personenbezogenen Daten die in Artikel 1 Absatz 2 genannten Rechte beschränken, insbesondere wenn die Ausübung dieser Rechte Folgendes gefährden würde: a) die Bewertung und Meldung potenzieller Verstöße gegen Dienstpflichten und erforderlichenfalls deren anschließende Untersuchung und Weiterverfolgung, einschließlich der Suspendierung vom Dienst; insoweit vom Schutz des Artikels 25 Absatz 1 Buchstaben b, c, f und/oder h der Verordnung (EU) 2018/1725 erfasst; b) die informellen bzw. formellen Verfahren zur Wahrung der Würde am Arbeitsplatz, einschließlich der Berücksichtigung von Fällen, die zu einem solchen Verfahren gemäß Teil 0.5 der Dienstvorschriften der EZB führen können; insoweit vom Schutz des Artikels 25 Absatz 1 Buchstaben b, c, f und/oder h der Verordnung (EU) 2018/1725 erfasst; c) die ordnungsgemäße Wahrnehmung der Aufgaben durch die Generaldirektion Personal (DG/HR) gemäß dem arbeitsrechtlichen Rahmen der EZB im Zusammenhang mit dem Leistungsmanagement, Beförderungsverfahren oder der direkten Ernennung von EZB-Beschäftigten, mit Auswahlverfahren und der beruflichen Entwicklung, insoweit vom Schutz des Artikels 25 Absatz 1 Buchstaben c und/oder h der Verordnung (EU) 2018/1725 erfasst; d) die Prüfung der von Seiten der EZB-Beschäftigten eingelegten internen Beschwerden (auch im Wege verwaltungsinterner Überprüfungen, Beschwerdeverfahren, besonderer Beschwerdeverfahren oder medizinischer Ausschüsse) und ihre Weiterverfolgung, insoweit vom Schutz des Artikels 25 Absatz 1 Buchstaben b, c und/oder h der Verordnung (EU) 2018/1725 erfasst; e) die Meldung von rechtswidrigen Handlungen oder Verstößen gegen Dienstpflichten über das Whistleblowing-Tool der EZB oder die Bewertung von Anträgen durch die Stabstelle Compliance und Governance (CGO) auf Schutz von Hinweisgebern oder Zeugen vor Repressalien; insoweit vom Schutz des Artikels 25 Absatz 1 Buchstaben b, c, f und/oder h der Verordnung (EU) 2018/1725 erfasst; f) die im Ethikrahmen der EZB verankerten Tätigkeiten der CGO (vgl. Teil 0 der Dienstvorschriften der EZB und die Bestimmungen über die Auswahl und Ernennung von Bewerbern nach Teil 1A der Dienstvorschriften der EZB) und die Aufgaben der CGO in Bezug auf die Überwachung privater Finanzgeschäfte zu Compliance-Zwecken (jeweils einschließlich der von Dienstleistern, die von der EZB gemäß Artikel 0.4.3.3 der Dienstvorschriften beauftragt wurden, wahrgenommenen Funktionen als auch der Bewertung und Weiterverfolgung möglicher Verstöße, die sich aus dieser Überwachung durch die CGO ergeben), insoweit vom Schutz des Artikels 25 Absatz 1 Buchstaben b, c, f und/oder h der Verordnung (EU) 2018/1725 erfasst; g) Prüfungen der Direktion Interne Revision (D/IA), Untersuchungstätigkeiten und interne Verwaltungsuntersuchungen, insoweit vom Schutz des Artikels 25 Absatz 1 Buchstaben b, c und/oder h der Verordnung (EU) 2018/1725 erfasst; h) die Wahrnehmung der Aufgaben der EZB gemäß dem Beschluss (EU) 2016/456 (EZB/2016/3), insbesondere die Pflicht der EZB, Informationen über rechtswidrige Handlungen zu melden, insoweit vom Schutz des Artikels 25 Absatz 1 Buchstaben b, c, g und/oder h der Verordnung (EU) 2018/1725 erfasst; i) Prüfungen des Datenschutzbeauftragten zu Verarbeitungstätigkeiten bei der EZB gemäß Artikel 4 Buchstabe b des Beschlusses (EU) 2020/655 (EZB/2020/28); insoweit vom Schutz des Artikels 25 Absatz 1 Buchstaben b und/oder h der Verordnung (EU) 2018/1725 erfasst; j) Intern oder mit externer Unterstützung durchgeführte Prüfungen zur Gewährleistung der physischen Sicherheit von Personen, Räumlichkeiten und Eigentum bei der EZB, sowie die Erfassung von Erkenntnissen über Bedrohungen (Threat Intelligence) und die Analyse von Sicherheitsvorfällen; insoweit vom Schutz des Artikels 25 Absatz 1 Buchstaben b, c, d und/oder h der Verordnung (EU) 2018/1725 erfasst; k) Gerichtsverfahren, insoweit vom Schutz des Artikels 25 Absatz 1 Buchstaben b, c und/oder h der Verordnung (EU) 2018/1725 erfasst. l) die Zusammenarbeit zwischen der EZB und den nationalen Strafverfolgungsbehörden, insbesondere wenn nationale Strafverfolgungsbehörden die Übermittlung vertraulicher Informationen anfragen, über welche die EZB verfügt, damit sie ihnen offengelegt werden können; insoweit vom Schutz des Artikels 25 Absatz 1 Buchstaben b, c, d und/oder h der Verordnung (EU) 2018/1725 erfasst; m) die Zusammenarbeit zwischen der EZB und der EUStA gemäß der Verordnung (EU) 2017/1939, insbesondere die Pflicht der EZB, Informationen über Straftaten zur Verfügung zu stellen; insoweit vom Schutz des Artikels 25 Absatz 1 Buchstaben b, c, d und/oder h der Verordnung (EU) 2018/1725 erfasst; n) die Zusammenarbeit mit EU-Einrichtungen, die eine Aufsichts-, Überwachungs- oder Prüfungsfunktion gegenüber der EZB ausüben; insoweit vom Schutz des Artikels 25 Absatz 1 Buchstaben c, d, g und/oder h der Verordnung (EU) 2018/1725 erfasst; o) die Wahrnehmung der Aufgaben eines Mediators gemäß dem internen Streitbeilegungsrahmen der EZB, insbesondere die Unterstützung bei der Beilegung oder Vermeidung von arbeitsbezogenen Streitigkeiten; insoweit vom Schutz des Artikels 25 Absatz 1 Buchstabe h der Verordnung (EU) 2018/1725 erfasst; p) die Erbringung von Beratungsdiensten durch den Berater in sozialen Angelegenheiten (Social Counsellor) zur Unterstützung der EZB-Beschäftigten; insoweit vom Schutz des Artikels 25 Absatz 1 Buchstabe h der Verordnung (EU) 2018/1725 erfasst. Die Kategorien von personenbezogenen Daten, für welche die in Absatz 1 genannten Beschränkungen angewendet werden können, sind in den Anhängen I bis XIV dieses Beschlusses aufgeführt.

2 Der Verantwortliche darf eine Beschränkung nur dann anwenden, wenn er bei der Prüfung im Einzelfall zu dem Schluss gelangt ist, dass a) die Beschränkung unter Berücksichtigung der Risiken für die Rechte und Freiheiten der betroffenen Person erforderlich und verhältnismäßig ist; b) mit der Beschränkung der Wesensgehalt der Grundrechte und Grundfreiheiten in einer demokratischen Gesellschaft geachtet wird.

3 Der Verantwortliche dokumentiert seine Bewertung in einem internen Bewertungsvermerk, in dem die Rechtsgrundlage, die Gründe für die Beschränkung, die beschränkten Rechte der betroffenen Personen, die betroffenen Personen, die Erforderlichkeit und Verhältnismäßigkeit der Beschränkung und die voraussichtliche Dauer der Beschränkung enthalten sind.

4 Eine Entscheidung über die Beschränkung der Rechte einer betroffenen Person gemäß Absatz 1, die vom Verantwortlichen zu treffen ist, wird auf der Ebene des jeweiligen Geschäftsbereichsleiters oder stellvertretenden Leiters getroffen, in dessen Geschäftsbereich der die personenbezogenen Daten betreffende Hauptverarbeitungsvorgang durchgeführt wird.

Der Verantwortliche stellt allgemeine Informationen über die mögliche Beschränkung der Rechte betroffener Personen wie folgt zur Verfügung: a) der Verantwortliche führt die Rechte auf, die beschränkt werden können, die Gründe für die Beschränkung und die mögliche Dauer der Beschränkung; b) der Verantwortliche nimmt die in Buchstabe a genannten Informationen in seine Datenschutzhinweise, Datenschutzerklärungen und die in Artikel 31 der Verordnung (EU) 2018/1725 genannten Verzeichnisse von Verarbeitungstätigkeiten auf.

1 Beschränkt der Verantwortliche die jeweils in den Artikeln 17 und 18, Artikel 19 Absatz 1 sowie Artikel 20 Absatz 1 der Verordnung (EU) 2018/1725 genannten Rechte auf Auskunft, auf Berichtigung, auf Löschung oder auf Einschränkung der Verarbeitung ganz oder teilweise, unterrichtet er die betroffene Person innerhalb der in Artikel 11 Absatz 5 des Beschlusses (EU) 2020/655 (EZB/2020/28) genannten Frist in seiner schriftlichen Antwort auf den Antrag über die angewandte Beschränkung und die Möglichkeit, Beschwerde beim Europäischen Datenschutzbeauftragten einzureichen und einen gerichtlichen Rechtsbehelf vor dem Gerichtshof der Europäischen Union einzulegen.

2 Der Verantwortliche verwahrt den in Artikel 3 Absatz 3 genannten internen Bewertungsvermerk und gegebenenfalls die Unterlagen, welche die zugrunde liegenden tatsächlichen und rechtlichen Umstände enthalten, und stellt diese dem Datenschutzbeauftragten und dem Europäischen Datenschutzbeauftragten auf Anfrage zur Verfügung.

3 Der Verantwortliche kann die Unterrichtung über die Gründe für die Beschränkung nach Absatz 1 zurückstellen, unterlassen oder ablehnen, solange diese Unterrichtung den Zweck der Beschränkung beeinträchtigen würde. Sobald der Verantwortliche feststellt, dass die Unterrichtung den Zweck der Beschränkung nicht mehr beeinträchtigt, stellt der Verantwortliche der betroffenen Person diese Informationen zur Verfügung.

1 Der Verantwortliche hebt eine Beschränkung auf, sobald die Umstände, die diese Beschränkung rechtfertigten, nicht mehr gegeben sind.

2 Hebt der Verantwortliche eine Beschränkung gemäß Absatz 1 auf, so muss der Verantwortliche unverzüglich a) die betroffene Person über die wesentlichen Gründe für die Anwendung einer Beschränkung unterrichten, sofern dies noch nicht geschehen ist; b) die betroffene Person über ihr Beschwerderecht beim Europäischen Datenschutzbeauftragten oder über ihr Recht auf einen gerichtlichen Rechtsbehelf beim Gerichtshof unterrichten; c) der betroffenen Person das Recht gewähren, das der aufgehobenen Beschränkung unterlag.

3 Der Verantwortliche überprüft alle sechs Monate erneut, ob eine gemäß diesem Beschluss angewandte Beschränkung aufrechterhalten werden muss, und dokumentiert seine erneute Bewertung in einem internen Bewertungsvermerk.

Die EZB sieht die im Anhang XV genannten Garantien organisatorischer und technischer Art vor, um den Missbrauch, den unrechtmäßigen Zugang zu oder die unrechtmäßige Übermittlung von Informationen zu verhindern.

1 Wenn der Verantwortliche die Ausübung der Rechte einer betroffenen Person beschränkt, muss er den Datenschutzbeauftragten laufend einbeziehen. Dabei gilt insbesondere Folgendes: a) Der Verantwortliche muss den Datenschutzbeauftragten unverzüglich konsultieren; b) Auf Antrag des Datenschutzbeauftragten gewährt der Verantwortliche dem Datenschutzbeauftragten Zugang zu allen Dokumenten, welche die zugrunde liegenden tatsächlichen und rechtlichen Umstände enthalten, einschließlich des in Artikel 3 Absatz 3 genannten internen Bewertungsvermerks; c) Der Verantwortliche muss dokumentieren, wie der Datenschutzbeauftragte einbezogen wurde, einschließlich relevanter Informationen, die ausgetauscht wurden, insbesondere das Datum, an dem der Datenschutzbeauftragte gemäß Buchstabe a erstmalig konsultiert wurde; d) Der Datenschutzbeauftragte kann den Verantwortlichen auffordern, die Beschränkung zu überprüfen; e) Der Verantwortliche unterrichtet den Datenschutzbeauftragten unverzüglich und in jedem Fall vor Anwendung einer Beschränkung schriftlich über das Ergebnis dieser Überprüfung.

2 Der Verantwortliche unterrichtet den Datenschutzbeauftragten, wenn die Beschränkung gemäß Artikel 6 Absatz 3 neu bewertet oder aufgehoben wurde.

Dieser Beschluss tritt am zwanzigsten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.