Verwaltungsrat des Gemeinsamen Unternehmens Global Health EDCTP3 Beschluss Nr. GB/18/2023 zur Festlegung interner Vorschriften zur Beschränkung bestimmter Rechte betroffener Personen in Bezug auf die Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten des Gemeinsamen Unternehmens Global Health EDCTP3 [2023/2189]

1 Mit diesem Beschluss werden Vorschriften in Bezug auf die Bedingungen festgelegt, unter denen das Gemeinsame Unternehmen Global Health EDCTP3 im Rahmen seiner in Artikel 3 dieses Beschlusses aufgeführten Verfahren gemäß Artikel 25 der Verordnung (EU) 2018/1725 befugt ist, die Anwendung der in den Artikeln 14 bis 22, 35 und 36 der Verordnung (EU) 2018/1725 sowie in Artikel 4 der genannten Verordnung verankerten Rechte zu beschränken.

2 Bei den für diese Verfahren relevanten Datenkategorien handelt es sich unter anderem um Identifikationsdaten, Kontaktdaten, berufsbezogene Daten, Verwaltungsdaten, Daten aus bestimmten Quellen, elektronische Kommunikations- und Verkehrsdaten, fallbezogene Daten wie Begründungen, verhaltensbezogene Daten, Beurteilungen, Leistungs- und Verhaltensdaten sowie Daten, die sich auf den Gegenstand des Verfahrens oder der Tätigkeit beziehen oder im Zusammenhang damit vorgebracht werden.

3 Wenn das Gemeinsame Unternehmen Global Health EDCTP3 seine Pflichten bezüglich Rechten betroffener Personen gemäß der Verordnung (EU) 2018/1725 erfüllt, ist zu berücksichtigen, ob eine der in dieser Verordnung vorgesehenen Ausnahmen Anwendung findet.

Der für die Verarbeitung Verantwortliche ist das Gemeinsame Unternehmen Global Health EDCTP3, vertreten durch seinen Exekutivdirektor.

1 Das Gemeinsame Unternehmen Global Health EDCTP3 kann die Anwendung der Artikel 14 bis 22, 35 und 36 sowie des Artikels 4 der Verordnung (EU) 2018/1725 beschränken, sofern dessen Bestimmungen den in den Artikeln 14 bis 20 vorgesehenen Rechten und Pflichten entsprechen: a) gemäß Artikel 25 Absatz 1 Buchstaben b, c, f, g und h der Verordnung (EU) 2018/1725, wenn das Gemeinsame Unternehmen Global Health EDCTP3 Verwaltungsuntersuchungen, Vordisziplinar-, Disziplinar- und Dienstenthebungsverfahren gemäß Artikel 86 und Anhang IX des Statuts und dem Beschluss Nr. 17/2023 des Verwaltungsrats des Gemeinsamen Unternehmens Global Health EDCTP3 durchführt und Verdachtsfälle an das OLAF meldet; b) gemäß Artikel 25 Absatz 1 Buchstabe h der Verordnung (EU) 2018/1725, um sicherzustellen, dass Bedienstete des Gemeinsamen Unternehmens Global Health EDCTP3 Sachverhalte vertraulich melden können, von denen sie annehmen, dass es sich um schwerwiegende Unregelmäßigkeiten handelt, so wie dies im Beschluss Nr. 12/2023 des Verwaltungsrats von Global Health EDCTP3 über interne Vorschriften für die Meldung von Missständen (Whistleblowing) festgelegt ist; c) gemäß Artikel 25 Absatz 1 Buchstabe h der Verordnung (EU) 2018/1725, um sicherzustellen, dass Bedienstete des Gemeinsamen Unternehmens Global Health EDCTP3 im Rahmen eines Belästigungsverfahrens Vertrauenspersonen Sachverhalte melden können, so wie dies im Beschluss Nr. 13/2023 des Verwaltungsrats von Global Health EDCTP3 über interne Vorschriften für die Meldung von Missständen (Whistleblowing) festgelegt ist; d) gemäß Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung (EU) 2018/1725, um interne und externe Rechnungsprüfungen im Zusammenhang mit Tätigkeiten oder Abteilungen des Gemeinsamen Unternehmens Global Health EDCTP3 durchzuführen; e) gemäß Artikel 25 Absatz 1 Buchstaben c, d, g und h der Verordnung (EU) 2018/1725, um anderen Organen, Einrichtungen und sonstigen Stellen der Europäischen Union Unterstützung zu leisten oder Unterstützung von ihnen zu erhalten oder mit ihnen im Rahmen von Tätigkeiten gemäß den Buchstaben a bis d dieses Absatzes zusammenzuarbeiten sowie gemäß Dienstgütevereinbarungen, Absichtserklärungen und Kooperationsvereinbarungen; f) gemäß Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung (EU) 2018/1725, um nationalen Behörden von Drittländern und internationalen Organisationen Unterstützung zu leisten oder Unterstützung von ihnen zu erhalten oder mit ihnen zusammenzuarbeiten, auf deren Ersuchen oder aus eigener Initiative; g) gemäß Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung (EU) 2018/1725, um Behörden von EU-Mitgliedstaaten Unterstützung zu leisten oder Unterstützung von ihnen zu erhalten und mit ihnen zusammenzuarbeiten, auf deren Ersuchen oder aus eigener Initiative; h) gemäß Artikel 25 Absatz 1 Buchstabe e der Verordnung (EU) 2018/1725, um personenbezogene Daten zu verarbeiten, die in Dokumenten enthalten sind, die von den Parteien oder Streithelfern erlangt wurden, die an einem Verfahren vor dem Gerichtshof der Europäischen Union beteiligt sind; i) gemäß Artikel 25 Absatz 1 Buchstaben c und h der Verordnung (EU) 2018/1725, um personenbezogene Daten während der vom DSB durchgeführten Untersuchungen gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 zu verarbeiten; j) gemäß Artikel 25 Absatz 1 Buchstaben c, d, g und h der Verordnung (EU) 2018/1725, um personenbezogene Daten bei intern oder mit externer Beteiligung (z. B. CERT-EU) durchgeführten IT-Sicherheitsüberprüfungen zu verarbeiten; k) gemäß Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung (EU) 2018/1725, um personenbezogene Daten im Rahmen der Finanzhilfeverwaltung oder des Vergabeverfahrens nach Ablauf der Frist für die Einreichung der Aufforderungen zur Einreichung von Vorschlägen oder für die Einreichung von Angeboten zu verarbeiten.

2 Im Rahmen der besonderen Anwendung der in Absatz 1 genannten Beschränkungen kann das Gemeinsame Unternehmen Global Health EDCTP3 unter folgenden Umständen Beschränkungen anwenden: a) in Bezug auf personenbezogene Daten, die mit Dienststellen der Kommission oder anderen Organen, Einrichtungen und sonstigen Stellen der Union ausgetauscht werden; i) wenn die Ausübung der aufgeführten Rechte von einer Dienststelle der Kommission, einem Organ, einer Einrichtung oder einer sonstigen Stelle der Union aufgrund anderer in Artikel 25 der Verordnung (EU) 2018/1725 vorgesehener Rechtsakte oder gemäß Kapitel IX der genannten Verordnung oder gemäß den Gründungsakten anderer Organe, Einrichtungen und sonstiger Stellen der Union beschränkt werden kann; ii) wenn der Zweck einer solchen Beschränkung durch diese Dienststelle der Kommission, das Organ, die Einrichtung oder die sonstige Stelle der Union gefährdet wäre, falls das Gemeinsame Unternehmen Global Health EDCTP3 keine vergleichbare Beschränkung in Bezug auf dieselben personenbezogenen Daten anwenden würde; b) in Bezug auf personenbezogene Daten, die mit zuständigen Behörden der Mitgliedstaaten ausgetauscht werden; i) wenn die Ausübung der aufgeführten Rechte von den zuständigen Behörden der Mitgliedstaaten aufgrund der in Artikel 23 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates genannten Rechtsakte oder im Rahmen nationaler Maßnahmen zur Umsetzung von Artikel 13 Absatz 3, Artikel 15 Absatz 3 oder Artikel 16 Absatz 3 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates beschränkt werden kann; ii) wenn der Zweck einer solchen Beschränkung durch diese zuständige Behörde gefährdet wäre, falls das Gemeinsame Unternehmen Global Health EDCTP3 keine vergleichbare Beschränkung in Bezug auf dieselben personenbezogenen Daten anwenden würde; c) in Bezug auf personenbezogene Daten, die mit Drittländern oder internationalen Organisationen ausgetauscht werden, wenn eindeutige Nachweise dafür vorliegen, dass die Ausübung dieser Rechte und Pflichten die Zusammenarbeit des Gemeinsamen Unternehmens Global Health EDCTP3 mit Drittländern oder internationalen Organisationen bei der Wahrnehmung ihrer Aufgaben wahrscheinlich gefährden würde. Vor der Anwendung von Beschränkungen unter den in Unterabsatz 1 Buchstaben a und b genannten Umständen konsultiert das Gemeinsame Unternehmen Global Health EDCTP3 die zuständigen Dienststellen der Kommission, die Einrichtungen, Organe und sonstigen Stellen der Union oder die zuständigen Behörden der Mitgliedstaaten, es sei denn, für das Gemeinsame Unternehmen Global Health EDCTP3 ist klar, dass die Anwendung einer Beschränkung in einem der in diesen Buchstaben genannten Rechtsakte vorgesehen ist.

3 Wenn das Gemeinsame Unternehmen Global Health EDCTP3 die Anwendung der in den Absätzen 1 und 2 genannten Rechte ganz oder zum Teil beschränkt, ist nach den Artikeln 5 und 6 dieses Beschlusses zu verfahren.

4 Wenn betroffene Personen gemäß Artikel 17 der Verordnung (EU) 2018/1725 Auskunft über ihre personenbezogenen Daten, die im Zusammenhang mit einem oder mehreren spezifischen Fällen verarbeitet wurden, oder über einen spezifischen Datenverarbeitungsvorgang verlangen, beschränkt das Gemeinsame Unternehmen Global Health EDCTP3 seine Antragsprüfung auf diese personenbezogenen Daten.

1 Das Gemeinsame Unternehmen Global Health EDCTP3 implementiert Schutzvorkehrungen, die verhindern, dass personenbezogene Daten, die Beschränkungen unterliegen oder unterliegen könnten, Missbrauch, unrechtmäßigem Zugang oder unrechtmäßiger Übermittlung ausgesetzt sind. Diese Schutzvorkehrungen umfassen technische und organisatorische Maßnahmen und werden erforderlichenfalls in den internen Beschlüssen, Verfahren und Durchführungsbestimmungen des Gemeinsamen Unternehmens Global Health EDCTP3 im Einzelnen angegeben. Die Schutzvorkehrungen umfassen Folgendes: a) Rollen, Zuständigkeiten und Verfahrensschritte sind klar zu definieren. b) Dokumente in Papierform sind in gesicherten Schränken aufzubewahren und ausschließlich befugtem Personal zugänglich zu machen. c) Alle elektronischen Daten sind in einer sicheren IT-Anwendung gemäß den Sicherheitsstandards des Gemeinsamen Unternehmens Global Health EDCTP3 sowie in speziellen elektronischen Verzeichnissen zu speichern, die ausschließlich befugtem Personal zugänglich sind. Angemessene Zugangsrechte sind individuell zu erteilen. d) Alle Personen, die Zugang zu den Daten haben, sind zur Geheimhaltung verpflichtet. e) Es muss eine ordnungsgemäße Überwachung der Beschränkungen und eine regelmäßige Überprüfung ihrer Anwendung erfolgen.

2 Die in Absatz 1 genannten Schutzgarantien unterliegen nach Artikel 5 Absatz 3 dieses Beschlusses einer regelmäßigen Überprüfung.

3 Die personenbezogenen Daten sind in Übereinstimmung mit den geltenden und gemäß Artikel 31 der Verordnung (EU) 2018/1725 geführten Datenschutzaufzeichnungen festzulegenden Datenspeicherungsregeln des Gemeinsamen Unternehmens Global Health EDCTP3 zu speichern. Die Aufbewahrungsfrist darf nicht länger sein als es für die Zwecke, zu denen die Daten verarbeitet werden, notwendig und verhältnismäßig ist.

1 Jede auf Artikel 3 dieses Beschlusses beruhende Beschränkung muss notwendig und im Hinblick auf die Risiken für die Rechte und Freiheiten der betroffenen Personen verhältnismäßig sein und den Wesensgehalt der Grundrechte und Grundfreiheiten in einer demokratischen Gesellschaft achten.

2 Wird eine Beschränkung in Betracht gezogen, ist deren Notwendigkeit und Verhältnismäßigkeit auf Grundlage der vorliegenden Vorschriften zu prüfen. Diese Prüfung wird im Rahmen der regelmäßigen Überprüfung durchgeführt, nachdem beurteilt wurde, ob die sachlichen und rechtlichen Gründe für eine Beschränkung weiterhin gegeben sind. Für die Zwecke der Rechenschaftspflicht ist dies in jedem Einzelfall in einem internen Bewertungsvermerk zu dokumentieren. Das Gemeinsame Unternehmen Global Health EDCTP3 erstellt regelmäßig Berichte über die Anwendung des Artikels 25 der Verordnung (EU) 2018/1725.

3 Beschränkungen gelten nur vorübergehend. Sie gelten so lange, wie die Gründe, die ihre Anwendung rechtfertigen, fortbestehen. Dies gilt insbesondere, wenn davon ausgegangen wird, dass die Ausübung des beschränkten Rechts die Wirkung der angewendeten Beschränkung nicht mehr zunichtemacht oder die Rechte oder Freiheiten anderer betroffener Personen nicht mehr beeinträchtigt. Die Beschränkung wird von dem Gemeinsamen Unternehmen Global Health EDCTP3 nach ihrer Anordnung alle sechs Monate sowie bei Abschluss der jeweiligen Ermittlungen, des relevanten Verfahrens oder der relevanten Untersuchungen überprüft. Danach überwacht der Verantwortliche alle sechs Monate, ob die Aufrechterhaltung der Beschränkung weiterhin notwendig ist.

4 Beschränkt das Gemeinsame Unternehmen Global Health EDCTP3 Rechte ganz oder zum Teil nach Artikel 3 dieses Beschlusses, sind die Gründe für die Beschränkung sowie die Rechtsgrundlage(n) gemäß Artikel 3 dieses Beschlusses in einem Vermerk festzuhalten, einschließlich der Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung. Der Vermerk sowie gegebenenfalls die Unterlagen, die die tatsächlichen und rechtlichen Grundlagen enthalten, werden registriert. Sie werden dem EDSB auf Anfrage zur Verfügung gestellt.

1 Das Gemeinsame Unternehmen Global Health EDCTP3 nimmt in die auf seiner Website veröffentlichten und/oder im Intranet verbreiteten Datenschutzhinweise, Datenschutzerklärungen oder Verzeichnisse im Sinne von Artikel 31 der Verordnung (EU) 2018/1725, in denen betroffene Personen über ihre Rechte im Rahmen eines gegebenen Verfahrens informiert werden, Informationen über die mögliche Beschränkung dieser Rechte auf. Diese Informationen umfassen Angaben dazu, welche Rechte beschränkt werden können, die Gründe für solche Beschränkungen sowie ihre potenzielle Dauer. Unbeschadet der Bestimmungen in Artikel 5 Absatz 4 dieses Beschlusses informiert das Gemeinsame Unternehmen Global Health EDCTP3, sofern dies verhältnismäßig ist, auch alle betroffenen Personen, die als von den spezifischen Verarbeitungsvorgängen betroffene Personen gelten, unverzüglich einzeln schriftlich über ihre Rechte bezüglich gegenwärtiger oder künftiger Beschränkungen.

2 Wenn das Gemeinsame Unternehmen Global Health EDCTP3 die in Artikel 3 dieses Beschlusses vorgesehenen Rechte ganz oder teilweise beschränkt, informiert es die betroffene Person über die auferlegte Beschränkung und über die Hauptgründe dafür sowie über die Möglichkeit des Einlegens einer Beschwerde beim Europäischen Datenschutzbeauftragten oder eines Rechtsbehelfs beim Gerichtshof der Europäischen Union. Die Unterrichtung im Sinne von Absatz 2 kann zurückgestellt, unterlassen oder abgelehnt werden, wenn sie die Wirkung der gemäß Artikel 25 Absatz 8 der Verordnung (EU) 2018/1725 angewandten Beschränkung zunichtemachen würde.

1 Das Gemeinsame Unternehmen Global Health EDCTP3 muss den Datenschutzbeauftragten von Global Health EDCTP3 vor und während des Zeitraums anhören, wenn der Verantwortliche gemäß diesem Beschluss die Rechte betroffener Personen beschränkt oder eine solche Beschränkung ausweitet. Der Verantwortliche gewährt dem DSB Zugang zu den Aufzeichnungen, die die Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung enthalten, und zu allen Dokumenten, die den zugrunde liegenden sachlichen oder rechtlichen Zusammenhang betreffen.

2 Der DSB kann den Verantwortlichen schriftlich auffordern, die vorgenommenen Beschränkungen zu überprüfen. Der Verantwortliche unterrichtet den DSB schriftlich über das Ergebnis der erbetenen Überprüfung.

3 Der DSB wird über das gesamte Verfahren hindurch einbezogen. Der Verantwortliche unterrichtet den DSB über die Aufhebung der Beschränkung.

4 Das Gemeinsame Unternehmen Global Health EDCTP3 dokumentiert schriftlich die Beteiligung des DSB an der Anwendung von Beschränkungen, einschließlich der Informationen, die ihm mitgeteilt werden.

1 Ist das Gemeinsame Unternehmen Global Health EDCTP3 gemäß Artikel 35 Absatz 1 der Verordnung (EU) 2018/1725 zur Benachrichtigung über eine Datenschutzverletzung verpflichtet, kann es in Ausnahmefällen die Benachrichtigung ganz oder teilweise beschränken. Es muss die Gründe für die Beschränkung sowie die Rechtsgrundlage gemäß obigem Artikel 3 dieses Beschlusses sowie die Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung dokumentieren. Der Vermerk ist dem EDSB zum Zeitpunkt der Meldung der Verletzung des Schutzes personenbezogener Daten mitzuteilen.

2 Sind die Gründe für die Beschränkung nicht mehr gegeben, unterrichtet das Gemeinsame Unternehmen Global Health EDCTP3 die betroffene Person über die Verletzung des Schutzes personenbezogener Daten, wobei die wesentlichen Gründe für die Beschränkung anzugeben sind und auf das Recht der betroffenen Person, beim EDSB Beschwerde einzulegen, hinzuweisen ist.

1 Unter außergewöhnlichen Umständen kann das Gemeinsame Unternehmen Global Health EDCTP3 das Recht auf Vertraulichkeit der elektronischen Kommunikation gemäß Artikel 36 der Verordnung (EU) 2018/1725 beschränken. Derartige Beschränkungen müssen der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates genügen.

2 Beschränkt das Gemeinsame Unternehmen Global Health EDCTP3 das Recht auf Vertraulichkeit der elektronischen Kommunikation, muss es die betroffene Person in der Antwort auf deren Anfrage über die wesentlichen Gründe für diese Beschränkung sowie über das Recht der betroffenen Person, beim EDSB Beschwerde einzulegen, unterrichten.

3 Solange die Unterrichtung über die Gründe für die Beschränkung und das Recht auf Einlegung der Beschwerde beim EDSB die Wirkung der Beschränkung zunichtemachen würde, kann sie vom Gemeinsamen Unternehmen Global Health EDCTP3 zurückgestellt, unterlassen oder abgelehnt werden. Die Beurteilung, ob dies gerechtfertigt wäre, erfolgt auf Einzelfallbasis.

Dieser Beschluss tritt am zwanzigsten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.