Beschluss Nr. 20/2022 des Verwaltungsrats der ELA vom 24. November 2022 über interne Vorschriften zur Beschränkung bestimmter Rechte betroffener Personen in Bezug auf die Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten der Europäischen Arbeitsbehörde 2023/C 113/10

1 Mit diesem Beschluss werden Vorschriften in Bezug auf die Bedingungen festgelegt, unter denen die ELA die Anwendung der Artikel 4, 14 bis 22, 35 und 36 gemäß Artikel 25 der Verordnung beschränken darf.

2 Die ELA wird in ihrer Eigenschaft als Verantwortlicher von ihrem Exekutivdirektor vertreten.

1 Die ELA kann die Anwendung der Artikel 14 bis 22, 35 und 36 sowie des Artikels 4, insofern dessen Bestimmungen den in den Artikeln 14 bis 20 vorgesehenen Rechten und Pflichten entsprechen, wie folgt beschränken: a) gemäß Artikel 25 Absatz 1 Buchstaben b, c, f, g und h der Verordnung, wenn die ELA Verwaltungsuntersuchungen, Vorverfahren in Disziplinarsachen, Disziplinarverfahren oder Dienstenthebungsverfahren gemäß Artikel 86 und Anhang IX des Statuts sowie gemäß dem Beschluss Nr. 22/2021 des Verwaltungsrats der ELA vom 10. November 2021 über die Bedingungen und Modalitäten der internen Untersuchungen bei der Europäischen Arbeitsbehörde zur Prävention von Betrug, Korruption und sonstigen rechtswidrigen Handlungen zum Nachteil der Interessen der Union durchführt und wenn sie Fälle an OLAF meldet; b) gemäß Artikel 25 Absatz 1 Buchstabe h der Verordnung, wenn die ELA sicherstellt, dass Mitarbeiter der ELA Sachverhalte vertraulich melden können, von denen sie annehmen, dass es sich um schwerwiegende Unregelmäßigkeiten handelt, so wie dies im Beschluss Nr. 11/2021 des Verwaltungsrats der ELA vom 25. Mai 2021 festgelegt ist; c) gemäß Artikel 25 Absatz 1 Buchstabe h der Verordnung, wenn die ELA sicherstellt, dass sich Mitarbeiter der ELA im Fall von Verfahren wegen Mobbings oder sexueller Belästigung an „Vertrauenspersonen“ wenden können, so wie dies im Beschluss Nr. 6/2022 des Verwaltungsrats der ELA vom 15. März 2022 festgelegt ist, mit dem Durchführungsmaßnahmen gemäß dem Statut angenommen wurden; d) gemäß Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung, wenn die ELA interne Audits bezüglich der Tätigkeiten oder Abteilungen der ELA durchführt, der Datenschutzbeauftragte Prüfungen gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 vornimmt wie auch bei (IT-)Sicherheitsüberprüfungen, die intern oder unter externer Mitwirkung (z. B. durch die CERT-EU) durchgeführt werden; e) gemäß Artikel 25 Absatz 1 Buchstaben b, c, d, g und h der Verordnung, wenn die ELA anderen Organen, Einrichtungen und sonstigen Stellen der Union Unterstützung leistet oder Unterstützung von ihnen erhält oder mit ihnen im Rahmen von Tätigkeiten gemäß den Buchstaben a bis d dieses Absatzes zusammenarbeitet, insbesondere bei konzertierten und gemeinsamen Kontrollen sowie gemäß den einschlägigen Dienstgütevereinbarungen, Absichtserklärungen, Regelungen in Bezug auf konzertierte und gemeinsame Kontrollen und Kooperationsvereinbarungen; f) gemäß Artikel 25 Absatz 1 Buchstabe c, g und h der Verordnung, wenn die ELA nationalen Behörden von Drittländern und internationalen Organisationen auf deren Antrag oder aus eigener Initiative Unterstützung leistet oder Unterstützung von ihnen erhält oder mit ihnen zusammenarbeitet; g) gemäß Artikel 25 Absatz 1 Buchstaben b, c, g und h der Verordnung, wenn die ELA nationalen Behörden von Mitgliedstaaten der Union auf deren Antrag oder aus eigener Initiative Unterstützung leistet oder Unterstützung von ihnen erhält und mit ihnen zusammenarbeitet, insbesondere bei Tätigkeiten in Bezug auf konzertierte und gemeinsame Kontrollen; h) gemäß Artikel 25 Absatz 1 Buchstabe e der Verordnung, wenn die ELA personenbezogene Daten verarbeitet, die in Dokumenten enthalten sind, die sie von den Beteiligten oder Streithelfern erlangt hat, die an einem Verfahren vor dem Gerichtshof der Europäischen Union beteiligt sind.

2 Jede Beschränkung muss den Wesensgehalt der Grundrechte und Grundfreiheiten achten und eine in einer demokratischen Gesellschaft notwendige und verhältnismäßige Maßnahme darstellen.

3 Bevor Beschränkungen vorgenommen werden, ist deren Notwendigkeit und Verhältnismäßigkeit im Einzelfall zu prüfen. Beschränkungen sind auf das zur Erreichung ihres Zwecks unbedingt erforderliche Maß zu begrenzen.

4 Zu Rechenschaftszwecken erstellt die ELA Aufzeichnungen über die Gründe für die vorgenommenen Beschränkungen, die angewandten Rechtsgrundlagen gemäß Absatz 1 sowie das Ergebnis der Notwendigkeits- und Verhältnismäßigkeitsprüfung. Diese Aufzeichnungen sind Teil eines Registers, das dem EDSB auf Anfrage zur Verfügung gestellt wird. Die ELA erstellt regelmäßig Berichte über die Anwendung von Artikel 25 der Verordnung.

5 Bei der Verarbeitung personenbezogener Daten, die die ELA im Rahmen ihrer Aufgaben von anderen Organisationen erhält, konsultiert die ELA diese Organisationen zu möglichen Gründen für die Vornahme von Beschränkungen sowie zur Notwendigkeit und Verhältnismäßigkeit der betreffenden Beschränkungen, es sei denn, dies würde die Tätigkeiten der ELA gefährden.

1 Die Bewertungen der sich aus der Vornahme von Beschränkungen ergebenden Risiken für die Rechte und Freiheiten der betroffenen Personen sowie die Angaben zur Geltungsdauer dieser Beschränkungen sind im Verzeichnis der Verarbeitungstätigkeiten einzutragen, das von der ELA gemäß Artikel 31 der Verordnung geführt wird. Außerdem sind sie in den einschlägigen Datenschutz-Folgenabschätzungen gemäß Artikel 39 der Verordnung zu vermerken.

2 Bei jeder Prüfung der Notwendigkeit und Verhältnismäßigkeit einer Beschränkung berücksichtigt die ELA die möglichen Risiken für die Rechte und Freiheiten der betroffenen Person.

1 Die ELA implementiert Schutzvorkehrungen, die verhindern, dass personenbezogene Daten, die Beschränkungen unterliegen oder unterliegen könnten, Missbrauch, unrechtmäßigem Zugriff oder unrechtmäßiger Übermittlung ausgesetzt sind. Diese Schutzvorkehrungen umfassen technische und organisatorische Maßnahmen und werden erforderlichenfalls in den internen Beschlüssen, Verfahren und Durchführungsbestimmungen der ELA im Einzelnen angegeben. Die Garantien müssen Folgendes umfassen: a) eine klare Definition der Rollen, Zuständigkeiten und Verfahrensschritte; b) gegebenenfalls eine sichere elektronische Umgebung, die verhindert, dass elektronische Daten unrechtmäßig bzw. unbeabsichtigt unbefugten Personen zugänglich gemacht oder übermittelt werden; c) gegebenenfalls die sichere Aufbewahrung und Bearbeitung von Papierdokumenten; d) die angemessene Überwachung der Beschränkungen und die regelmäßige Überprüfung ihrer Anwendung. Die in Buchstabe d genannten Überprüfungen sind mindestens alle sechs Monate durchzuführen.

2 Sobald die die Beschränkungen rechtfertigenden Umstände nicht mehr vorliegen, werden diese aufgehoben.

3 Die personenbezogenen Daten werden gemäß den einschlägigen Aufbewahrungsvorschriften gespeichert, so wie dies in den gemäß Artikel 31 der Verordnung zu führenden Verzeichnissen festgelegt wird. Nach Ablauf der Aufbewahrungsfrist werden die personenbezogenen Daten gemäß Artikel 13 der Verordnung gelöscht, anonymisiert oder in Archive übertragen.

1 Der Datenschutzbeauftragte der ELA ist unverzüglich zu unterrichten, bevor eine Entscheidung, die Rechte betroffener Personen gemäß diesem Beschluss einzuschränken, getroffen wird. Dem Datenschutzbeauftragten der ELA ist Zugang zu allen Aufzeichnungen und Dokumenten zu gewähren, die den zugrunde liegenden sachlichen oder rechtlichen Zusammenhang betreffen.

2 Der Datenschutzbeauftragte der ELA kann die Überprüfung einer vorgenommenen Beschränkung verlangen. Der Verantwortliche informiert seinen Datenschutzbeauftragten schriftlich über das Ergebnis der Überprüfung.

3 Der Verantwortliche (die ELA) dokumentiert die Mitwirkung des Datenschutzbeauftragten bei der Vornahme von Beschränkungen, auch die dem Datenschutzbeauftragten mitgeteilten Informationen.

4 Der Verantwortliche informiert den DSB über die erfolgte Aufhebung der Beschränkung.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der Verantwortliche das Recht auf Unterrichtung im Zusammenhang mit folgenden Verarbeitungsvorgängen beschränken: a) Durchführung von Verwaltungsuntersuchungen, Vorverfahren in Disziplinarsachen und Disziplinarverfahren; b) Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten; c) Verfahren wegen gemeldeter Missstände (Whistleblowing); d) (formelle und informelle) Verfahren wegen Mobbings oder sexueller Belästigung; e) Bearbeitung interner und externer Beschwerden; f) interne und externe Audits; g) konzertierte und gemeinsame Kontrollen, wenn die ELA auf deren Antrag oder aus eigener Initiative Behörden von Mitgliedstaaten der Union Unterstützung leistet oder Unterstützung von ihnen erhält und mit ihnen zusammenarbeitet; h) vom Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 durchgeführte Untersuchungen; i) intern oder unter externer Mitwirkung (z. B. durch die CERT-EU) durchgeführte (IT-)Sicherheitsüberprüfungen; j) Verarbeitung personenbezogener Daten, die in Dokumenten enthalten sind, die in einem Verfahren vor dem Gerichtshof der Europäischen Union von den Beteiligten oder Streithelfern erlangt wurden. In die auf der Website und/oder im Intranet der ELA veröffentlichten Datenschutzhinweise, Datenschutzerklärungen oder Aufzeichnungen im Sinne von Artikel 31 der Verordnung (EU) 2018/1725, in denen betroffene Personen über ihre Rechte im Rahmen eines gegebenen Verfahrens unterrichtet werden, nimmt die ELA Informationen über die mögliche Beschränkung dieser Rechte auf. Die Unterrichtung bezieht sich darauf, welche Rechte beschränkt werden können, die Gründe für die Beschränkung und deren mögliche Dauer.

2 Unbeschadet der Bestimmungen in Absatz 1 informiert die ELA, sofern dies verhältnismäßig ist, auch alle betroffenen Personen, die als von den spezifischen Verarbeitungsvorgängen Betroffene gelten, einzeln, unverzüglich und schriftlich über ihre Rechte in Bezug auf gegenwärtige oder künftige Beschränkungen.

3 Wenn die ELA die in Absatz 2 vorgesehene Unterrichtung der betroffenen Personen ganz oder teilweise beschränkt, hält sie die Gründe für die Beschränkung und die Rechtsgrundlage gemäß Artikel 2 dieses Beschlusses, einschließlich einer Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung, in einem Vermerk fest. Der Vermerk sowie gegebenenfalls die Dokumente mit Angaben zum Sachverhalt und den Rechtsgrundlagen werden registriert. Sie sind dem Europäischen Datenschutzbeauftragten auf Verlangen zur Verfügung zu stellen.

4 Eine nach Absatz 1 vorgenommene Beschränkung bleibt in Kraft, solange die Gründe dafür weiterhin gegeben sind. Wenn die Gründe für die Beschränkung nicht mehr vorliegen, muss die ELA die betroffene Person über die Hauptgründe für die vorgenommene Beschränkung unterrichten. Gleichzeitig muss die ELA der betroffenen Person mitteilen, dass sie jederzeit Beschwerde beim Europäischen Datenschutzbeauftragten oder einen gerichtlichen Rechtsbehelf beim Gerichtshof der Europäischen Union einlegen kann.

1 In angemessen begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der Verantwortliche, soweit notwendig und verhältnismäßig, das Auskunftsrecht im Zusammenhang mit den folgenden Verarbeitungsvorgängen beschränken: a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; b) Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten; c) Verfahren wegen gemeldeter Missstände (Whistleblowing); d) (formelle und informelle) Verfahren wegen Mobbings oder sexueller Belästigung; e) Bearbeitung interner und externer Beschwerden; f) interne und externe Audits; g) konzertierte und gemeinsame Kontrollen, wenn die ELA auf deren Antrag oder aus eigener Initiative Behörden von Mitgliedstaaten der Union Unterstützung leistet oder Unterstützung von ihnen erhält und mit ihnen zusammenarbeitet; h) vom Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 durchgeführte Untersuchungen; i) intern oder unter externer Mitwirkung (z. B. durch die CERT-EU) durchgeführte (IT-)Sicherheitsüberprüfungen; j) Verarbeitung personenbezogener Daten, die in Dokumenten enthalten sind, die in einem Verfahren vor dem Gerichtshof der Europäischen Union von den Verfahrensbeteiligten oder Streithelfern erlangt wurden. Wenn betroffene Personen gemäß Artikel 17 der Verordnung (EU) 2018/1725 Auskunft über ihre personenbezogenen Daten, die im Zusammenhang mit einem oder mehreren spezifischen Fällen verarbeitet wurden, oder über einen spezifischen Datenverarbeitungsvorgang beantragen, beschränkt die ELA ihre Prüfung des Antrags auf die betreffenden personenbezogenen Daten.

2 Beschränkt die ELA das in Artikel 17 der Verordnung (EU) 2018/1725 vorgesehene Recht auf Auskunft ganz oder teilweise, muss sie folgende Maßnahmen ergreifen: a) In ihrer Antwort auf den Antrag muss sie die betroffene Person über die vorgenommene Beschränkung und die Hauptgründe dafür unterrichten sowie über die Möglichkeit, Beschwerde beim Europäischen Datenschutzbeauftragten oder einen gerichtlichen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen. b) Die Gründe für die Beschränkung, einschließlich einer Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung und ihrer Dauer, sind von der ELA in einem internen Beurteilungsvermerk zu dokumentieren. Die unter Buchstabe a genannte Unterrichtung kann zurückgestellt, unterlassen oder abgelehnt werden, wenn sie die Wirkung der gemäß Artikel 25 Absatz 8 der Verordnung (EU) 2018/1725 vorgenommenen Beschränkung zunichtemachen würde. Die ELA überprüft die Beschränkung, nachdem diese vorgenommen wurde, alle sechs Monate sowie nach Abschluss der jeweiligen Untersuchung. Danach überprüft der Verantwortliche jährlich, ob die Aufrechterhaltung einer Beschränkung weiterhin notwendig ist.

3 Der Vermerk sowie gegebenenfalls die Dokumente mit Angaben zum Sachverhalt und den Rechtsgrundlagen werden registriert. Sie sind dem Europäischen Datenschutzbeauftragten auf Verlangen zur Verfügung zu stellen.

1 In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der Verantwortliche, soweit dies notwendig und verhältnismäßig ist, das Recht auf Berichtigung, Löschung und Einschränkung der Verarbeitung im Rahmen der folgenden Verarbeitungsvorgänge beschränken: a) Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; b) Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten; c) Verfahren wegen gemeldeter Missstände (Whistleblowing); d) (formelle und informelle) Verfahren wegen Mobbings oder sexueller Belästigung; e) Bearbeitung interner und externer Beschwerden; f) interne und externe Audits; g) konzertierte und gemeinsame Kontrollen, wenn die ELA auf deren Antrag oder aus eigener Initiative Behörden von Mitgliedstaaten der Union Unterstützung leistet oder Unterstützung von ihnen erhält und mit ihnen zusammenarbeitet; h) vom Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 durchgeführte Untersuchungen; i) intern oder unter externer Mitwirkung (z. B. durch die CERT-EU) durchgeführte (IT-)Sicherheitsüberprüfungen; j) Verarbeitung personenbezogener Daten, die in Dokumenten enthalten sind, die in einem Verfahren vor dem Gerichtshof der Europäischen Union von den Verfahrensbeteiligten oder Streithelfern erlangt wurden;

2 Wenn die ELA das in den Artikeln 18, 19 Absatz 1 und 20 Absatz 1 der Verordnung (EU) 2018/1725 vorgesehene Recht auf Berichtigung, Löschung und Einschränkung der Verarbeitung ganz oder teilweise beschränkt, ergreift sie die in Artikel 6 Absatz 2 dieses Beschlusses genannten Maßnahmen und registriert den Vermerk gemäß Artikel 6 Absatz 3 dieses Beschlusses.

Solange die Unterrichtung über die Gründe für die Beschränkung und das Recht auf Einlegung einer Beschwerde beim EDSB die Wirkung der Beschränkung zunichtemachen würde, darf die ELA die Unterrichtung zurückstellen, unterlassen oder ablehnen. Die Beurteilung, ob dies gerechtfertigt wäre, erfolgt auf Einzelfallbasis. Sobald die Unterrichtung die Wirkung der Beschränkung nicht mehr zunichtemachen würde, muss die ELA die betroffene Person darüber unterrichten.

1 Trotz der in Artikel 35 Absatz 1 der Verordnung vorgesehenen Verpflichtung zur Benachrichtigung über eine Datenschutzverletzung darf die ELA die Benachrichtigung in Ausnahmefällen ganz oder zum Teil zu beschränken. Die ELA muss die Gründe für die Beschränkung, die Rechtsgrundlage gemäß Artikel 2 sowie die Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung in einem Vermerk dokumentieren. Der Vermerk ist dem EDSB zu übermitteln, sobald die Verletzung des Schutzes personenbezogener Daten gemeldet wird.

2 Sind die Gründe für die Beschränkung nicht mehr gegeben, unterrichtet die ELA die betroffene Person über die Verletzung des Schutzes personenbezogener Daten, wobei sie die wesentlichen Gründe für die Beschränkung angibt und auf das Recht der betroffenen Person, beim EDSB Beschwerde einzulegen, hinweist.

1 In Ausnahmefällen darf die ELA das Recht auf Vertraulichkeit der elektronischen Kommunikation im Sinne von Artikel 36 der Verordnung beschränken. Derartige Beschränkungen müssen der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates genügen.

2 Beschränkt die ELA das Recht auf Vertraulichkeit der elektronischen Kommunikation, so unterrichtet sie die betroffene Person in der Antwort auf deren Antrag über die wesentlichen Gründe für diese Beschränkung sowie über das Recht der betroffenen Person, beim EDSB Beschwerde einzulegen.

3 Solange die Unterrichtung über die Gründe für die Beschränkung und das Recht auf Einlegung einer Beschwerde beim EDSB die Wirkung der Beschränkung zunichtemachen würde, darf die ELA die Unterrichtung zurückstellen, unterlassen oder ablehnen. Die Beurteilung, ob dies gerechtfertigt wäre, erfolgt auf Einzelfallbasis.

Dieser Beschluss tritt am zwanzigsten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.