Beschluss GB(D)06-2021 zur Festlegung interner Vorschriften zur Beschränkung bestimmter Rechte betroffener Personen in Bezug auf die Verarbeitung personenbezogener Daten im Rahmen der Tätigkeit des Gemeinsamen Unternehmens Single European Sky Research 3 [2022/737]

1 Mit diesem Beschluss werden Vorschriften in Bezug auf die Bedingungen festgelegt, unter denen das Gemeinsame Unternehmen SESAR 3 im Rahmen seiner unter Absatz 2 aufgeführten Verfahren gemäß Artikel 25 der Verordnung (EU) 2018/1725 befugt ist, die Anwendung der in den Artikeln 14 bis 21, 35 und 36 sowie in Artikel 4 der Verordnung verankerten Rechte zu beschränken.

2 Im Rahmen der Verwaltungstätigkeit des Gemeinsamen Unternehmens SESAR 3 gilt dieser Beschluss für die personenbezogene Daten betreffenden Verarbeitungsvorgänge, die das Programmbüro zu folgenden Zwecken ausführt: um Verwaltungsuntersuchungen, Disziplinarverfahren und erste Maßnahmen wegen dem OLAF gemeldeter Fälle möglicher Unregelmäßigkeiten durchzuführen, Meldungen von Missständen zu bearbeiten, (formelle und informelle) Verfahren wegen Mobbings zu bearbeiten, interne und externe Beschwerden zu bearbeiten, interne Audits durchzuführen, Prüfungen durch den Datenschutzbeauftragten des Gemeinsamen Unternehmens SESAR 3 gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 sowie interne (IT-)Sicherheitsüberprüfungen durchzuführen.

3 Bei den betroffenen Datenkategorien handelt es sich unter anderem um Identifikationsdaten, Kontaktdaten, berufsbezogene Daten, Verwaltungsdaten, Daten aus bestimmten Quellen, elektronische Kommunikations- und Verkehrsdaten wie auch fallbezogene Daten wie Begründungen, verhaltensbezogene Daten, Beurteilungen, Leistungs- und Verhaltensdaten sowie Daten, die sich auf den Gegenstand des Verfahrens oder der Tätigkeit beziehen oder im Zusammenhang damit vorgebracht werden.

4 Bei der Erfüllung seiner sich aus der Verordnung (EU) 2018/1725 ergebenden Pflichten prüft das Gemeinsame Unternehmen SESAR 3, ob eine der in dieser Verordnung vorgesehenen Ausnahmen gilt.

Der für die Verarbeitungen Verantwortliche ist das Gemeinsame Unternehmen SESAR 3, vertreten durch seinen Exekutivdirektor.

1 In Bezug auf personenbezogene Daten gibt das Gemeinsame Unternehmen SESAR 3 folgende Garantien zur Verhinderung von Missbrauch, unrechtmäßigem Zugang oder unrechtmäßiger Übermittlung: a) Papierdokumente werden in gesicherten Schränken aufbewahrt und sind nur befugten Mitarbeitern zugänglich. b) Alle elektronischen Daten werden in einer sicheren IT-Anwendung gemäß den Sicherheitsstandards des Gemeinsamens Unternehmens SESAR 3 sowie in speziellen elektronischen Ordnern gespeichert, die ausschließlich befugtem Personal zugänglich sind. Die Erteilung angemessener Zugangsrechte erfolgt auf individueller Basis. c) Die Datenbank ist passwortgeschützt unter einem Single-Sign-on-System und automatisch mit der ID und dem Passwort des Benutzers verbunden; soweit angemessen, beinhaltet dies „Pseudonymisierung“ und/oder „Verschlüsselung“. Die Ersetzung von Benutzern ist streng untersagt. Elektronische Aufzeichnungen werden sicher aufbewahrt, um die Vertraulichkeit und den Schutz der darin enthaltenen Daten zu garantieren. d) Alle Personen, die Zugang zu den Daten haben, sind zur Geheimhaltung verpflichtet.

2 Die in Absatz 1 genannten Schutzgarantien unterliegen nach Artikel 6 Absatz 3 der regelmäßigen Überprüfung.

3 Die in Artikel 1 Absatz 3 genannte Aufbewahrungsfrist für personenbezogene Daten ist in den Datenschutzhinweisen, Datenschutzerklärungen oder Verzeichnissen angegeben, auf die in Artikel 7 Absatz 1 Bezug genommen wird. Die Aufbewahrungsfrist darf nicht länger sein als es für die Zwecke, zu denen die Daten verarbeitet werden, notwendig und verhältnismäßig ist .

1 Beschränkungen werden vom Gemeinsamen Unternehmen SESAR 3 nur vorgenommen, um Folgendes zu garantieren: a) den Schutz der nationalen Sicherheit, der öffentlichen Sicherheit oder der Verteidigung der Mitgliedstaaten; b) die Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten oder die Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit; c) sonstige wichtige Ziele von allgemeinem öffentlichem Interesse der Union oder eines Mitgliedstaats, insbesondere die Ziele der gemeinsamen Außen- und Sicherheitspolitik der Union oder ein wichtiges wirtschaftliches oder finanzielles Interesse der Union oder eines Mitgliedstaats, etwa im Währungs-, Haushalts- und Steuerbereich sowie im Bereich der öffentlichen Gesundheit und der sozialen Sicherheit; d) die innere Sicherheit der Organe und Einrichtungen der Union, einschließlich ihrer elektronischen Kommunikationsnetze; e) die Verhütung, Ermittlung, Aufdeckung und Verfolgung von Verstößen gegen die berufsständischen Regeln reglementierter Berufe; f) den Schutz der Kontroll-, Überwachungs- und Ordnungsfunktionen, die dauernd oder zeitweise mit der Ausübung öffentlicher Gewalt für die unter den Buchstaben a bis c genannten Zwecke verbunden sind; g) den Schutz der betroffenen Person oder der Rechte und Freiheiten anderer Personen; h) die Durchsetzung zivilrechtlicher Ansprüche.

2 Im Rahmen einer speziellen Anwendung zu den oben in Absatz 1 genannten Zwecken kann das Gemeinsame Unternehmen SESAR 3 unter den folgenden Voraussetzungen Beschränkungen vornehmen: a) in Bezug auf personenbezogene Daten, die mit Dienststellen der Kommission oder anderen Organen, Einrichtungen und sonstigen Stellen der Union ausgetauscht werden; i) soweit die Dienststelle der Kommission, das Organ, die Einrichtung oder die sonstige Stelle der Union aufgrund anderer in Artikel 25 der Verordnung (EU) 2018/1725 vorgesehener Rechtsakte oder gemäß Kapitel IX der genannten Verordnung oder gemäß den Gründungsakten der betreffenden Organe, Einrichtungen und sonstigen Stellen der Union befugt ist, die Ausübung der aufgeführten Rechte zu beschränken; ii) soweit der Zweck der von der Dienststelle der Kommission, dem Organ, der Einrichtung oder der sonstigen Stelle der Union vorgenommenen Beschränkung gefährdet wäre, falls das Gemeinsame Unternehmen SESAR 3 hinsichtlich der betreffenden personenbezogenen Daten keine entsprechende Beschränkung vornähme; b) in Bezug auf personenbezogene Daten, die mit zuständigen Behörden der Mitgliedstaaten ausgetauscht werden; i) soweit die zuständigen Behörden der Mitgliedstaaten aufgrund in Artikel 23 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates genannter Rechtsakte oder nach nationalen Maßnahmen zur Umsetzung von Artikel 13 Absatz 3, Artikel 15 Absatz 3 oder Artikel 16 Absatz 3 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates befugt sind, die Ausübung der aufgeführten Rechte zu beschränken; ii) soweit der Zweck der von der zuständigen Behörde vorgenommenen Beschränkung gefährdet wäre, falls das Gemeinsame Unternehmen SESAR 3 hinsichtlich der betreffenden personenbezogenen Daten keine entsprechende Beschränkung vornähme. c) in Bezug auf personenbezogene Daten, die mit Drittländern oder internationalen Organisationen ausgetauscht werden: soweit es klare Beweise dafür gibt, dass die Ausübung dieser Rechte und Pflichten die bei der Wahrnehmung seiner Aufgaben erfolgende Zusammenarbeit des Gemeinsamen Unternehmens SESAR 3 mit Drittländern oder internationalen Organisationen wahrscheinlich beeinträchtigen würde. Bevor Beschränkungen unter den in Buchstaben a und b des ersten Unterabsatzes genannten Voraussetzungen vorgenommen werden, muss das Gemeinsame Unternehmen SESAR 3 die zuständigen Dienststellen der Kommission, die Organe, Einrichtungen und sonstigen Stellen der Union oder die zuständigen Behörden der Mitgliedstaaten konsultieren, es sei denn, für das Gemeinsame Unternehmen SESAR 3 ist klar, dass die Vornahme der Beschränkung in einem der in den beiden Buchstaben genannten Rechtsakte vorgesehen ist.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der Verantwortliche die folgenden Rechte im Rahmen der in Artikel 1 Absatz 2 und unten in Absatz 2 aufgeführten Verarbeitungsvorgänge, soweit notwendig und verhältnismäßig, beschränken: a) das Recht auf Unterrichtung; b) das Recht auf Auskunft; c) das Recht auf Berichtigung, Löschung und Einschränkung der Verarbeitung; d) das Recht der betroffenen Person auf Benachrichtigung über die Verletzung des Schutzes personenbezogener Daten; e) das Recht auf Vertraulichkeit der elektronischen Kommunikation.

2 Im Hinblick auf die in Artikel 4 Absatz 1 garantierten Schutzzwecke kann der Verantwortliche in hinreichend begründeten Fällen Beschränkungen vornehmen, die die folgenden in Artikel 1 Absatz 2 genannten Verarbeitungsvorgänge betreffen: a) die Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; b) erste Maßnahmen wegen dem OLAF gemeldeter Fälle möglicher Unregelmäßigkeiten; c) Verfahren in Bezug auf Meldungen von Missständen; d) formelle und informelle Verfahren in Mobbingfällen; e) die Bearbeitung interner und externer Beschwerden; f) interne Audits; g) vom Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 durchgeführte Prüfungen; h) intern oder extern (z. B. durch das CERT-EU) durchgeführte (IT-)Sicherheitsüberprüfungen i) im Rahmen der Verwaltung der Finanzhilfen oder des Vergabeverfahrens nach Ablauf der Frist für die Einreichung von Vorschlägen oder Angeboten.

3 Im Falle von Verfahren in Mobbingfällen sind Beschränkungen der in Absatz 1 genannten Rechte — mit Ausnahme des in Absatz 1 Buchstabe d genannten Rechts der betroffenen Person auf Benachrichtigung über die Verletzung des Schutzes personenbezogener Daten — unter denselben Voraussetzungen möglich.

4 Im Falle von Verfahren, die die Finanzhilfeverwaltung oder das öffentliche Auftragswesen betreffen, sind Beschränkungen der in Absatz 1 genannten Rechte — mit Ausnahme des in Absatz 1 Buchstabe c genannten Rechts auf Berichtigung, Löschung und Einschränkung der Verarbeitung — unter denselben Voraussetzungen möglich.

5 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Voraussetzungen kann der Verantwortliche Beschränkungen des Rechts auf Berichtigung, Löschung und Einschränkung der Verarbeitung, außer in den in den Absätzen 3 und 4 vorgesehenen Ausnahmefällen, vornehmen.

6 Beschränkt das Gemeinsame Unternehmen SESAR 3 die Anwendung der in den Absätzen 1, 3, 4 und 5 genannten Rechte ganz oder zum Teil, ist nach den Artikeln 6 und 7 dieses Beschlusses zu verfahren.

7 Verlangen von der Datenverarbeitung betroffene Personen gemäß Artikel 17 der Verordnung (EU) 2018/1725 Auskunft über ihre personenbezogenen Daten, die im Zusammenhang mit einem oder mehreren speziellen Fällen verarbeitet wurden, oder über einen speziellen Datenverarbeitungsvorgang, begrenzt das Gemeinsame Unternehmen SESAR 3 seine Antragsprüfung auf diese personenbezogenen Daten.

1 Jede auf Artikel 4 beruhende Beschränkung muss notwendig und im Hinblick auf die Risiken für die Rechte und Freiheiten der betroffenen Personen verhältnismäßig sein und den Wesensgehalt der Grundrechte und Grundfreiheiten in einer demokratischen Gesellschaft achten.

2 Wird eine Beschränkung in Betracht gezogen, so ist ihre Notwendigkeit und Verhältnismäßigkeit auf Grundlage der vorliegenden Vorschriften zu prüfen. Diese Prüfung erfolgt ebenso im Rahmen der regelmäßigen Überprüfung, im Anschluss an die Prüfung, ob die sachlichen und rechtlichen Gründe für eine Beschränkung weiterhin gegeben sind. Für die Zwecke der Rechenschaftspflicht ist dies in jedem Einzelfall in einem internen Bewertungsvermerk zu dokumentieren.

3 Beschränkungen gelten nur vorübergehend. Sie bleiben so lange in Kraft, wie die sie rechtfertigenden Gründe weiterhin vorliegen. Insbesondere, wenn nicht mehr anzunehmen ist, dass die Ausübung des beschränkten Rechts die Wirkung der verhängten Beschränkung zunichtemachen oder die Rechte oder Freiheiten anderer betroffener Personen beeinträchtigen würde. Das Gemeinsame Unternehmen SESAR 3 überprüft die vorgenommene Beschränkung nach ihrer Vornahme alle sechs Monate sowie bei Abschluss der jeweiligen Ermittlungen, Verfahren oder Untersuchungen. Danach überwacht der Verantwortliche alle sechs Monate, ob die Aufrechterhaltung der Beschränkung weiterhin notwendig ist.

4 Beschränkt das Gemeinsame Unternehmen SESAR 3 Rechte ganz oder zum Teil nach Artikel 4 dieses Beschlusses, sind die Gründe für die Beschränkung sowie die Rechtsgrundlage gemäß obigem Absatz 1 in einem Vermerk festzuhalten, einschließlich der Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung. Der Vermerk sowie gegebenenfalls die Unterlagen, die die tatsächlichen und rechtlichen Grundlagen enthalten, werden in einem Register verzeichnet. Sie werden dem Europäischen Datenschutzbeauftragten auf Anfrage zur Verfügung gestellt.

1 In die auf der Website und/oder im Intranet des Gemeinsamen Unternehmens SESAR 3 veröffentlichten Datenschutzhinweise, Datenschutzerklärungen oder Verzeichnisse im Sinne von Artikel 31 der Verordnung (EU) 2018/1725, in denen betroffene Personen über ihre Rechte im Rahmen eines gegebenen Verfahrens informiert werden, nimmt das Gemeinsame Unternehmen SESAR 3 Informationen über die mögliche Beschränkung dieser Rechte auf. Diese Informationen beziehen sich darauf, welche Rechte beschränkt werden können, die Gründe dafür und die mögliche Dauer. Unbeschadet der Bestimmungen des Artikels 6 Absatz 4 informiert das Gemeinsame Unternehmen SESAR 3, sofern dies verhältnismäßig ist, auch alle betroffenen Personen, die als von den speziellen Verarbeitungsvorgängen betroffene Personen gelten, unverzüglich einzeln schriftlich über ihre Rechte bezüglich gegenwärtiger oder künftiger Beschränkungen.

2 Werden in Artikel 5 genannte Rechte vom Gemeinsamen Unternehmen SESAR 3 ganz oder zum Teil beschränkt, unterrichtet es die jeweilige betroffene Person über die vorgenommene Beschränkung und die Hauptgründe dafür sowie über die Möglichkeit, Beschwerde beim Europäischen Datenschutzbeauftragten oder einen gerichtlichen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen. Die Unterrichtung nach Absatz 2 kann zurückgestellt, unterlassen oder abgelehnt werden, wenn sie die Wirkung der gemäß Artikel 25 Absatz 8 der Verordnung (EU) 2018/1725 vorgenommenen Beschränkung zunichtemachen würde.

1 Das Gemeinsame Unternehmen SESAR 3 unterrichtet den Datenschutzbeauftragten des Gemeinsamen Unternehmens SESAR 3 („DSB“) unverzüglich, wenn der Verantwortliche die Rechte betroffener Personen gemäß diesem Beschluss beschränkt oder eine solche Beschränkung ausweitet. Der Verantwortliche gewährt dem DSB Zugang zu dem Verzeichnis, das die Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung enthält, und dokumentiert das Datum, an dem der DSB unterrichtet wurde, im Verzeichnis.

2 Der DSB kann den Verantwortlichen schriftlich zur Überprüfung der vorgenommenen Beschränkungen auffordern. Der Verantwortliche informiert den DSB schriftlich über das Ergebnis der erbetenen Überprüfung.

3 Der DSB wird über das gesamte Verfahren hindurch einbezogen. Der Verantwortliche unterrichtet den DSB über die Aufhebung der Beschränkung.

Dieser Beschluss tritt am Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.