Beschluss 28/2022 des Verwaltungsrats vom 4. April 2022 über interne Vorschriften zur Beschränkung bestimmter Rechte betroffener Personen in Bezug auf die Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten der Europäischen Agentur für die Grenz- und Küstenwache

1 Mit diesem Beschluss werden Vorschriften in Bezug auf die Bedingungen festgelegt, unter denen die Agentur gemäß Artikel 25 der Verordnung und Artikel 86 Absatz 2 der Verordnung über die Europäische Grenz- und Küstenwache die Anwendung der Artikel 4, 14 bis 22, 35 und 36 der Verordnung beschränken darf. Dieser Beschluss findet Anwendung bei der Verarbeitung personenbezogener Daten zu administrativen Zwecken durch die Agentur gemäß Artikel 87 Absatz 1 Buchstabe h der Verordnung über die Europäische Grenz- und Küstenwache.

2 Im Einklang mit Absatz 1 und unter den in diesem Beschluss festgelegten Bedingungen können die folgenden Rechte beschränkt werden: Recht auf Unterrichtung der betroffenen Person, Auskunftsrecht der betroffenen Person sowie Recht der betroffenen Person auf Berichtigung, Löschung und Einschränkung der Verarbeitung ihrer personenbezogenen Daten, auf Benachrichtigung im Falle einer Verletzung des Schutzes ihrer personenbezogenen Daten und auf Vertraulichkeit der elektronischen Kommunikation.

3 Die von diesem Beschluss betroffenen Datenkategorien sind objektive („harte“) Daten (wie Identifikationsdaten, Kontaktdaten, berufsbezogene Daten, Verwaltungsdaten, Daten aus bestimmten Quellen, elektronische Kommunikations- und Verkehrsdaten) und subjektive („weiche“) Daten (wie Begründungen, verhaltensbezogene Daten, Beurteilungen, Leistungs- und Verhaltensdaten sowie Daten, die mit dem Gegenstand des jeweiligen Verfahrens oder der jeweiligen Tätigkeit in Beziehung stehen oder im Zusammenhang damit vorgebracht werden).

4 Die Agentur wird als die für die Datenverarbeitung verantwortliche Stelle durch ihren Exekutivdirektor vertreten. Es gelten die Vorschriften der Agentur zur Durchführung der Verordnung in Bezug auf Datenverantwortlichkeit .

5 Den betroffenen Personen wird durch auf der Website und/oder im Intranet der Agentur veröffentlichte Informationen oder Aufzeichnungen mitgeteilt, welche Personen als für die Datenverarbeitung Verantwortliche benannt wurden.

1 Die Agentur kann im Zusammenhang mit dem Zweck der Verarbeitung personenbezogener Daten gemäß Artikel 1 Absatz 1 des Beschlusses die Anwendung der Artikel 14 bis 22, 35 und 36 sowie des Artikels 4 der Verordnung, insofern dessen Bestimmungen den in den Artikeln 14 bis 22 vorgesehenen Rechten und Pflichten entsprechen, wie folgt beschränken: a) im Einklang mit Artikel 25 Absatz 1 Buchstaben b, c, f, g und h der Verordnung bei der Durchführung von Verwaltungsuntersuchungen, Vordisziplinar-, Disziplinar- oder Dienstenthebungsverfahren gemäß Artikel 86 und Anhang IX des Statuts und dem Beschluss 26/2018 des Verwaltungsrats vom 25. Oktober 2018 zur Annahme allgemeiner Durchführungsbestimmungen für Verwaltungsuntersuchungen und Disziplinarverfahren, bei der Meldung von Fällen an das OLAF und gemäß Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung sowie bei der Untersuchung von Angelegenheiten durch den DSB, die in direktem Zusammenhang mit dessen Aufgaben stehen, insbesondere bei Untersuchungen zu Datenverarbeitungstätigkeiten in der Agentur gemäß Artikel 5 Absatz 11 des Beschlusses 56/2021 des Verwaltungsrats vom 15. Oktober 2021 . Die Agentur kann einige der in Artikel 1 Absatz 2 des Beschlusses genannten Rechte eines Bediensteten, einer betroffenen Person oder eines Dritten in Bezug auf jegliche Informationen beschränken, die künftige oder laufende Untersuchungen, Vordisziplinar-, Disziplinar- oder Dienstenthebungsverfahren ernsthaft beeinträchtigen könnten, einschließlich Zeugenaussagen und anderer Unterlagen; b) im Einklang mit Artikel 25 Absatz 1 Buchstabe h der Verordnung kann die Agentur — gemäß dem Beschluss 17/2019 des Verwaltungsrats vom 18. Juli 2019 zur Annahme der Frontex-Leitlinien für die Meldung von Missständen („Whistleblowing“) — unter Sicherstellung, dass Bedienstete Sachverhalte vertraulich melden können, wenn sie der Auffassung sind, dass schwerwiegende Unregelmäßigkeiten vorliegen, einige der in Artikel 1 Absatz 2 des Beschlusses genannten Rechte betroffener Personen beschränken, die möglicherweise an mutmaßlichem Fehlverhalten im Zusammenhang mit jeglichen Informationen beteiligt sind, die die Anonymität von Personen beeinträchtigen könnten, die eine schwerwiegende Unregelmäßigkeit melden; c) gemäß Artikel 25 Absatz 1 Buchstabe h der Verordnung, wenn sichergestellt wird, dass Bedienstete der Agentur die Unterstützung durch Vertrauenspersonen im Sinne des Beschlusses 16/2019 des Verwaltungsrats vom 18. Juli 2019 über die Frontex-Strategie zum Schutz der Menschenwürde und gegen Mobbing und sexuelle Belästigung nutzen können. Die Agentur kann zum Schutz der Anonymität des potenziellen Opfers vor Belästigung und der Anonymität von Zeugen gegebenenfalls einige der in Artikel 1 Absatz 2 des Beschlusses genannten Rechte mutmaßlicher Belästiger beschränken; d) gemäß Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung bei der Durchführung interner und externer Audits betreffend Tätigkeiten oder Abteilungen der Agentur, insbesondere wenn die interne Auditstelle der Agentur interne Prüfungen vornimmt. Die Agentur kann einige der in Artikel 1 Absatz 2 des Beschlusses genannten Rechte betroffener Personen im Zusammenhang mit Informationen beschränken, die die Vertraulichkeit der im Rahmen eines Audits gewonnen Informationen oder die Durchführung eines laufenden Audits beeinträchtigen können; e) gemäß Artikel 25 Absatz 1 Buchstaben b, e, g und h der Verordnung im Rahmen von Untersuchungen der Europäischen Staatsanwaltschaft (EUStA); Die Agentur kann einige der in Artikel 1 Absatz 2 des Beschlusses genannten Rechte betroffener Personen im Zusammenhang mit Informationen beschränken, die zur Sicherstellung der ordnungsgemäßen Durchführung und der Vertraulichkeit von Untersuchungen der EUStA erforderlich sind; f) gemäß Artikel 25 Absatz 1, Buchstaben c, e, g, und h der Verordnung bei der Bearbeitung von Beschwerden, einschließlich jener, die im Rahmen des Beschwerdeverfahrens eingehen, das gemäß Artikel 111 der Verordnung über die Europäische Grenz- und Küstenwache zur Überwachung und Gewährleistung der Achtung der Grundrechte bei allen Tätigkeiten der Agentur sowie gemäß dem einschlägigen Beschluss des Exekutivdirektors eingerichtet wurde. Die Agentur kann einige der in Artikel 1 Absatz 2 des Beschlusses genannten Rechte von an Tätigkeiten der Agentur beteiligten Bediensteten , gegen die Beschwerde geführt wird, im Zusammenhang mit jeglichen Informationen beschränken, die die Überprüfung und Bearbeitung der Beschwerde ernsthaft beeinträchtigen könnten; g) gemäß Artikel 25 Absatz 1, Buchstaben c, e, g und h der Verordnung bei der Bearbeitung von Vorfallberichten im Einklang mit Artikel 38 Absatz 3 Buchstabe h der Verordnung über die Europäische Grenz- und Küstenwache sowie mit dem Beschluss des Exekutivdirektors vom 19. April 2021 über Standardverfahren für die Meldung schwerwiegender Vorfälle. Die Agentur kann einige der in Artikel 1 Absatz 2 dieses Beschlusses genannten Rechte betroffener Personen, die im Bericht über schwerwiegende Vorfälle erwähnt werden, in Bezug auf Informationen beschränken, die die Validierung und Bewertung dieses Berichts sowie Folgemaßnahmen und die Anonymität von Zeugen oder anderen Personen, die Vorfälle melden, einschließlich Migranten und Rückkehrern, ernsthaft beeinträchtigen könnten; h) im Einklang mit Artikel 25 Absatz 1 Buchstaben b, c, f, g und h der Verordnung bei der Überwachung der Anwendung der Bestimmungen in Bezug auf Zwangsanwendung durch Statutspersonal der ständigen Reserve der Europäischen Grenz- und Küstenwache im Sinne von Artikel 55 Absatz 5 Buchstabe a der Verordnung über die Europäische Grenz- und Küstenwache und von Beschluss 7/2021 des Verwaltungsrats vom 20. Januar 2021 sowie gemäß dem einschlägigen Beschluss des Exekutivdirektors bei der Überwachung der Zwangsanwendung bei operativen Tätigkeiten von Frontex durch von den Mitgliedstaaten langfristig an die Agentur abgeordnetes Personal, durch kurzfristig entsendetes Personal oder durch Personal, das Teil der Reserve für Soforteinsätze zu Grenzsicherungszwecken ist. Die Agentur kann einige der in Artikel 1 Absatz 2 dieses Beschlusses genannten Rechte betroffener Personen, die in einer Meldung über Zwangsanwendung vorkommen, in Bezug auf Informationen (darunter Zeugenaussagen und andere Dokumente) beschränken, die die Überprüfung der Meldung und künftige oder laufende Folgemaßnahmen, einschließlich Untersuchungen, Vordisziplinar-, Disziplinar- oder Dienstenthebungsverfahren, ernsthaft beeinträchtigen könnten; i) gemäß Artikel 25 Absatz 1 Buchstaben b, c, d, g und h der Verordnung, wenn die Agentur anderen Organen, Einrichtungen und sonstigen Stellen der Europäischen Union Unterstützung leistet, Unterstützung von ihnen erhält oder mit ihnen im Rahmen von Tätigkeiten im Sinne der Buchstaben a bis h dieses Absatzes zusammenarbeitet, sowie gemäß einschlägigen Dienstgütevereinbarungen, Absichtserklärungen und Arbeitsvereinbarungen; j) gemäß Artikel 25 Absatz 1 Buchstaben b, c, g und h der Verordnung, wenn die Agentur zuständigen nationalen Behörden der Mitgliedstaaten Unterstützung leistet, Unterstützung von ihnen erhält oder mit ihnen auf ihr Ersuchen oder aus eigener Initiative zusammenarbeitet, insbesondere im Rahmen von Tätigkeiten im Sinne der Buchstaben f bis h dieses Absatzes und gemäß den Bestimmungen der Verordnung über die Europäische Grenz- und Küstenwache sowie den Beschlüssen des Verwaltungsrats; k) gemäß Artikel 25 Absatz 1 Buchstaben b, c, g und h der Verordnung, wenn die Agentur zuständigen nationalen Behörden von Drittstaaten und internationalen Organisationen Unterstützung leistet, Unterstützung von ihnen erhält oder mit ihnen zusammenarbeitet, insbesondere im Sinne von einschlägigen Absichtserklärungen und Arbeitsvereinbarungen; l) gemäß Artikel 25 Absatz 1 Buchstabe e der Verordnung bei der Verarbeitung personenbezogener Daten im Rahmen von Verfahren vor dem Gerichtshof der Europäischen Union oder vor nationalen Gerichten; m) gemäß Artikel 25 Absatz 1 Buchstabe h der Verordnung bei der Bearbeitung von Anträgen von Bediensteten auf Zugang zu ihren medizinischen Akten im Zusammenhang mit ihrer medizinischen und psychologischen Tauglichkeit, wenn ein direkter Zugang zu diesen Akten für die Gesundheit oder psychische Verfassung der betroffenen Person schädlich sein könnte. In solchen Fällen gewährt die Agentur über ihren medizinischen Berater oder einen externen medizinischen Dienstleister indirekten Zugang zu den einschlägigen medizinischen Informationen; n) gemäß Artikel 25 Absatz 1 Buchstaben c, d, g und h der Verordnung bei der Durchführung von Sicherheitsanalysen, auch mit externer Beteiligung (z. B. von CERT-EU), die zu internen Untersuchungen bezüglich der Cybersicherheit oder des Missbrauchs von IT-Systemen führen können, bei der Gewährleistung der inneren Sicherheit durch Videoüberwachung, Zugangskontrollen und Untersuchungen, der Sicherung von Kommunikations- und Informationssystemen sowie der Umsetzung von technischen Maßnahmen zur Gefahrenabwehr. Die Agentur kann einige der in Artikel 1 Absatz 2 des Beschlusses genannten Rechte betroffener Personen im Zusammenhang mit Informationen beschränken, die diese Sicherheitsanalysen, Instrumente zur Gewährleistung der internen Sicherheit einschließlich Zugangskontrolle, Sicherheitsuntersuchungen und technische Maßnahmen zur Gefahrenabwehr ernsthaft beeinträchtigen könnten.

2 Jede Beschränkung muss den Wesensgehalt der Grundrechte und Grundfreiheiten achten und in einer demokratischen Gesellschaft notwendig und verhältnismäßig sein.

3 Bevor etwaige Beschränkungen vorgenommen werden, ist deren Notwendigkeit und Verhältnismäßigkeit im Einzelfall zu prüfen. Beschränkungen sind auf das zur Erreichung ihres Zwecks unbedingt erforderliche Maß zu begrenzen.

4 Zu Rechenschaftszwecken erstellt die Agentur Aufzeichnungen über die Gründe für die vorgenommenen Beschränkungen, die angewandten Rechtsgrundlagen gemäß Absatz 1 sowie das Ergebnis der Notwendigkeits- und Verhältnismäßigkeitsprüfung. Diese Aufzeichnungen sind Teil eines Registers, das dem Europäischen Datenschutzbeauftragten (EDSB) auf Anfrage zur Verfügung gestellt wird. Die Agentur erstellt und veröffentlicht regelmäßige Berichte über die Anwendung von Artikel 25 der Verordnung.

5 Bei der Verarbeitung personenbezogener Daten, die sie im Rahmen ihrer Aufgaben von anderen Organisationen erhält, konsultiert die Agentur diese Organisationen hinsichtlich möglicher Gründe für die Vornahme von Beschränkungen sowie der Notwendigkeit und Verhältnismäßigkeit der betreffenden Beschränkungen, es sei denn, dies würde die Tätigkeiten der Agentur gefährden.

1 Die Bewertungen der sich aus der Vornahme von Beschränkungen ergebenden Risiken für die Rechte und Freiheiten der betroffenen Personen sowie die Angaben zur Geltungsdauer dieser Beschränkungen sind im Verzeichnis der Verarbeitungstätigkeiten einzutragen, das von der Agentur gemäß Artikel 31 der Verordnung geführt wird. Außerdem sind sie in den einschlägigen Datenschutz-Folgenabschätzungen gemäß Artikel 39 der Verordnung zu vermerken.

2 Bei jeder Prüfung der Notwendigkeit und Verhältnismäßigkeit einer Beschränkung berücksichtigt die Agentur die möglichen Risiken für die Rechte und Freiheiten der betroffenen Person.

3 Beschränkungen finden keine Anwendung, wenn die Ausübung des beschränkten Rechts die Einschränkung ihres Zwecks berauben oder die Rechte oder Freiheiten anderer betroffener Personen beeinträchtigen würde.

1 Die Agentur trifft Schutzvorkehrungen, die verhindern, dass personenbezogene Daten, die Beschränkungen unterliegen oder unterliegen könnten, Missbrauch, unrechtmäßigem Zugriff oder unrechtmäßiger Übermittlung ausgesetzt sind. Diese Schutzvorkehrungen umfassen technische und organisatorische Maßnahmen und werden erforderlichenfalls in Beschlüssen des Verwaltungsrats der Agentur, in Beschlüssen des Exekutivdirektors, in gemäß Artikel 38 der Verordnung über die Europäische Grenz- und Küstenwache erstellten Einsatzplänen sowie in internen Beschlüssen, Verfahren oder Verwaltungsmitteilungen einzeln aufgeführt. Die Schutzvorkehrungen umfassen a) eine klare Definition der Rollen, Zuständigkeiten und Verfahrensschritte; b) gegebenenfalls eine sichere elektronische Umgebung, die verhindert, dass elektronische Daten rechtswidrig und versehentlich unbefugten Personen zugänglich gemacht oder übermittelt werden; c) gegebenenfalls die sichere Aufbewahrung und Verarbeitung von Papierdokumenten; d) die ordnungsgemäße Überwachung der Beschränkungen und die regelmäßige Überprüfung ihrer Anwendung. Die in Buchstabe d genannten Überprüfungen sind mindestens alle sechs Monate durchzuführen und können zur Aufhebung der Beschränkungen gemäß Absatz 2 führen. Die Überprüfungen sind von dem für die Datenverarbeitung Verantwortlichen aus Gründen der Rechenschaftspflicht zu dokumentieren.

2 Sobald die sie rechtfertigenden Umstände nicht mehr gegeben sind, sind die Beschränkungen aufzuheben.

3 Die personenbezogenen Daten werden im Einklang mit den geltenden Datenspeicherungsregeln der Agentur gespeichert, die in den gemäß Artikel 31 der Verordnung geführten Datenschutzaufzeichnungen festzulegen sind. Nach Ablauf der Aufbewahrungsfrist sind die personenbezogenen Daten gemäß Artikel 13 der Verordnung zu löschen, zu anonymisieren oder zu archivieren.

1 Jede Beschränkung der Rechte betroffener Personen, die gemäß diesem Beschluss vorgenommen wird, ist unverzüglich dem DSB mitzuteilen. Der DSB erhält Zugang zu allen Aufzeichnungen und Dokumenten, die den zugrunde liegenden sachlichen oder rechtlichen Zusammenhang betreffen.

2 Der DSB kann die Überprüfung einer vorgenommenen Beschränkung verlangen. Die Agentur informiert den DSB schriftlich über das Ergebnis der Überprüfung.

3 Die Agentur dokumentiert die Mitwirkung des DSB bei der Vornahme von Beschränkungen sowie die dem DSB mitgeteilten Informationen.

4 Die für Datenverarbeitung Verantwortlichen unterrichten den DSB, wenn eine Beschränkung aufgehoben wurde.

1 In die Datenschutzhinweise, die sie auf ihrer Website und im Intranet veröffentlicht, nimmt die Agentur allgemeine Informationen auf, die die betroffenen Personen über mögliche Beschränkungen ihrer Rechte gemäß Artikel 2 Absatz 1 unterrichten. Darin ist darzulegen, welche Rechte beschränkt und aus welchen Gründen und für welche Dauer die Beschränkungen vorgenommen werden können.

2 Betroffene Personen sind von der Agentur einzeln, schriftlich und unverzüglich über gegenwärtige oder künftige Beschränkungen ihrer Rechte zu unterrichten. Die Agentur unterrichtet betroffene Personen über die wesentlichen Gründe für die Beschränkung, über das Recht betroffener Personen, sich an den DSB zu wenden, um gegen die Beschränkung vorzugehen, sowie über ihr Recht, beim EDSB Beschwerde einzulegen.

3 Solange die Unterrichtung über die Gründe für die Beschränkung und das Recht auf Einlegung der Beschwerde beim EDSB die Wirkung der Beschränkung zunichtemachen würde, kann sie von der Agentur zurückgestellt, unterlassen oder abgelehnt werden. Die Beurteilung, ob dies gerechtfertigt wäre, erfolgt auf Einzelfallbasis. Sobald die Unterrichtung die Wirkung der Beschränkung nicht mehr zunichtemachen würde, ist die betroffene Person von der Agentur zu unterrichten.

1 Ist die Agentur gemäß Artikel 35 Absatz 1 der Verordnung zur Benachrichtigung über eine Datenschutzverletzung verpflichtet, ist es in Ausnahmefällen möglich, die Benachrichtigung ganz oder zum Teil zu beschränken. Die Agentur muss die Gründe für die Beschränkung, die Rechtsgrundlage gemäß obigem Artikel 2 sowie die Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung in einem Vermerk dokumentieren. Der Vermerk ist dem EDSB zum Zeitpunkt der Meldung der Verletzung des Schutzes personenbezogener Daten mitzuteilen.

2 Sind die Gründe für die Beschränkung nicht mehr gegeben, muss die Agentur die betroffene Person über die Verletzung des Schutzes personenbezogener Daten benachrichtigen, wobei die wesentlichen Gründe für die Beschränkung anzugeben sind und auf das Recht der betroffenen Person, beim EDSB Beschwerde einzulegen, hinzuweisen ist.

1 In Ausnahmefällen kann die Agentur das Recht auf Vertraulichkeit der elektronischen Kommunikation im Sinne von Artikel 36 der Verordnung beschränken. Derartige Beschränkungen müssen der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates genügen.

2 Beschränkt die Agentur das Recht auf Vertraulichkeit der elektronischen Kommunikation, muss sie die betroffene Person in der Antwort auf deren Anfrage über die wesentlichen Gründe für diese Beschränkung unterrichten sowie über das Recht der betroffenen Person, beim EDSB Beschwerde einzulegen.

3 Solange die Unterrichtung über die Gründe für die Beschränkung und das Recht auf Einlegung der Beschwerde beim EDSB die Wirkung der Beschränkung zunichtemachen würde, kann sie von der Agentur zurückgestellt, unterlassen oder abgelehnt werden. Die Beurteilung, ob dies gerechtfertigt wäre, erfolgt auf Einzelfallbasis.

Dieser Beschluss tritt am zwanzigsten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.