Beschluss 22/2023 des Verwaltungsrats des Europäischen Innovations- und Technologieinstituts (EIT) über interne vorschriften zur beschränkung bestimmter rechte betroffener personen in bezug auf die verarbeitung personenbezogener daten im rahmen der tätigkeiten des EIT

Mit diesem Beschluss werden Vorschriften in Bezug auf die Bedingungen festgelegt, unter denen das EIT die Anwendung der Artikel 14 bis 20, 35 und 36 sowie des Artikels 4 auf Grundlage von Artikel 25 der Verordnung (EU) 2018/1725 beschränken darf.

1 Der für die Verarbeitung Verantwortliche ist das EIT, vertreten durch seinen Direktor, der die Funktion des Verantwortlichen an einen stellvertretenden Verantwortlichen übertragen kann.

2 Die betroffenen Personen werden in Form von auf der Website und/oder im Intranet des EIT veröffentlichten Datenschutzaufzeichnungen oder -erklärungen darüber unterrichtet, wer der stellvertretende Verantwortliche ist.

1 Bei der Wahrnehmung seiner Aufgaben in Bezug auf die Rechte betroffener Personen gemäß der Verordnung (EU) 2018/1725 prüft das EIT, ob eine der in der Verordnung (EU) 2018/1725 vorgesehenen Ausnahmen gegeben ist.

2 Gemäß Artikel 25 Absatz 1 der Verordnung (EU) 2018/1725 kann das EIT die Anwendung der Artikel 14 bis 20, 35 und 36 sowie des Artikels 4, insofern dessen Bestimmungen den in den Artikeln 14 bis 20 der Verordnung (EU) 2018/1725 vorgesehenen Rechten und Pflichten entsprechen, beschränken: a) gemäß Artikel 25 Absatz 1 Buchstaben b, c, f, g und h der Verordnung (EU) 2018/1725, soweit das EIT Verwaltungsuntersuchungen, Vorverfahren in Disziplinarsachen, Disziplinarverfahren oder Dienstenthebungsverfahren gemäß Artikel 86 und Anhang IX des Statuts und dem Beschluss des Verwaltungsrats des EIT zur Festlegung allgemeiner Durchführungsbestimmungen für die Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren durchführt und soweit es Verdachtsfälle an das OLAF meldet; b) gemäß Artikel 25 Absatz 1 Buchstabe h der Verordnung (EU) 2018/1725, um im Zuge von Whistleblowing-Verfahren sicherzustellen, dass Beschäftigte des EIT Tatsachen, die sie für schwerwiegende Unregelmäßigkeiten im Sinne des Beschlusses 33/2018 des Verwaltungsrats des EIT zur Festlegung der Leitlinien für die Missstandsmeldung (Whistleblowing) halten, vertraulich melden können; c) gemäß Artikel 25 Absatz 1 Buchstabe h der Verordnung (EU) 2018/1725 in informellen Verfahren wegen Mobbings oder sexueller Belästigung, um sicherzustellen, dass sich Beschäftigte des EIT im Zuge von Verfahren wegen Mobbings oder sexueller Belästigung vertraulich an Vertrauenspersonen wenden können, so wie dies im Beschluss 16/2017 des Verwaltungsrats des EIT über die Grundsätze des EIT für den Schutz der Menschenwürde und die Prävention von Mobbing und sexueller Belästigung und im Beschluss 28/2019 des Direktors des EIT über die Annahme des Handbuchs für informelle Verfahren in Fällen von Mobbing und sexueller Belästigung vorgesehen ist; d) gemäß Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung (EU) 2018/1725, soweit interne oder externe Audits bezüglich der Tätigkeiten oder der Referate/Dienststellen des EIT durchgeführt werden; e) gemäß Artikel 25 Absatz 1 Buchstaben c, d, g und h der Verordnung (EU) 2018/1725, soweit das EIT anderen Organen, Einrichtungen und sonstigen Stellen der Union Unterstützung leistet oder Unterstützung von ihnen erhält oder mit ihnen im Rahmen von Tätigkeiten gemäß den Buchstaben a bis d dieses Absatzes sowie gemäß einschlägigen Dienstgütevereinbarungen, Absichtserklärungen und Kooperationsvereinbarungen zusammenarbeitet; f) gemäß Artikel 25 Absatz 1 Buchstabe c, g und h der Verordnung (EU) 2018/1725, soweit das EIT auf deren Ersuchen oder aus eigener Initiative nationalen Behörden von Drittländern und internationalen Organisationen Unterstützung leistet oder Unterstützung von ihnen erhält oder mit ihnen zusammenarbeitet; g) gemäß Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung (EU) 2018/1725, soweit das EIT auf deren Ersuchen oder aus eigener Initiative nationalen Behörden von Mitgliedstaaten der Union Unterstützung leistet oder Unterstützung von ihnen erhält und mit ihnen zusammenarbeitet; h) gemäß Artikel 25 Absatz 1 Buchstabe e Verordnung (EU) 2018/1725, soweit das EIT personenbezogene Daten verarbeitet, die in Dokumenten enthalten sind, die von den Beteiligten oder Streithelfern erlangt wurden, die an einem Verfahren vor dem Gerichtshof der Europäischen Union bzw. an einem von den nationalen Behörden oder Gerichten eines Mitgliedstaats eingeleiteten Verfahren beteiligt sind; i) gemäß Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung (EU) 2018/1725, soweit der Datenschutzbeauftragte Verarbeitungstätigkeiten untersucht, die vom EIT gemäß dem Beschluss 01/2020 des Direktors des EIT ausgeführt werden, und soweit der Datenschutzbeauftragte gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 tätig ist.

3 Die Datenkategorien umfassen Identifikationsdaten natürlicher Personen, Kontaktangaben, Angaben zu beruflichen Rollen und Aufgaben, Informationen über private und berufliche Verhaltensweisen und Leistungen sowie Finanzdaten.

4 Jede Beschränkung muss den Wesensgehalt der Grundrechte und Grundfreiheiten achten und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellen.

5 Die Notwendigkeit und Verhältnismäßigkeit ist auf Einzelfallbasis vor Anwendung der Beschränkungen zu prüfen und ordnungsgemäß zu dokumentieren. Beschränkungen sind auf das zur Erreichung der festgelegten Ziele unbedingt erforderliche Maß zu begrenzen.

6 Beschränkungen unterliegen der ordnungsgemäßen Überwachung durch den Verantwortlichen; ihre Notwendigkeit und Verhältnismäßigkeit werden nach Vornahme der Beschränkung regelmäßig alle sechs Monate in Konsultation mit dem Datenschutzbeauftragten überprüft.

7 Sobald die die Beschränkungen rechtfertigenden Umstände nicht mehr vorliegen, sind die Beschränkungen aufzuheben. Die erforderliche Unterrichtung der betroffenen Person — auch darüber, dass sie jederzeit Beschwerde beim EDSB oder auch einen gerichtlichen Rechtsbehelf beim Gerichtshof der Europäischen Union einlegen kann — erfolgt durch den Verantwortlichen in Konsultation mit dem Datenschutzbeauftragten.

8 Zu Rechenschaftszwecken erstellt das EIT Aufzeichnungen über die Gründe für die vorgenommenen Beschränkungen, über die einschlägigen der in Absatz 1 genannten Rechtsgrundlagen, sowie über das Ergebnis der Notwendigkeits- und Verhältnismäßigkeitsprüfung. Diese Aufzeichnungen sind Teil eines vom Datenschutzbeauftragten geführten Ad-hoc-Registers, das dem EDSB auf Verlangen zur Verfügung zu stellen ist. Das EIT erstellt regelmäßig Berichte über die Anwendung von Artikel 25 der Verordnung (EU) 2018/1725.

9 Bei der Verarbeitung vom EIT im Rahmen seiner Aufgaben mit anderen Organisationen ausgetauschter personenbezogener Daten konsultiert das EIT diese Organisationen über mögliche einschlägige Gründe für die Vornahme von Beschränkungen sowie die Notwendigkeit und Verhältnismäßigkeit der Beschränkungen, es sei denn, dies würde die Tätigkeiten des EIT gefährden.

1 Die Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen, im Hinblick auf deren personenbezogene Daten Beschränkungen angeordnet werden können, wie auch die einschlägige Aufbewahrungsfrist sind in dem vom EIT gemäß Artikel 31 der Verordnung (EU) 2018/1725 geführten Verzeichnis der Verarbeitungstätigkeiten sowie ggf. in relevanten Datenschutz-Folgenabschätzungen zu diesen Beschränkungen gemäß Artikel 39 der genannten Verordnung zu vermerken.

2 Bei jeder Prüfung der Notwendigkeit und Verhältnismäßigkeit einer Beschränkung berücksichtigt das EIT die möglichen Risiken für die Rechte und Freiheiten der betroffenen Person.

1 Das EIT sieht Garantien vor, die verhindern, dass personenbezogene Daten, in Bezug auf die Beschränkungen verhängt werden können, Missbrauch, unrechtmäßigem Zugriff oder unrechtmäßiger Übermittlung ausgesetzt sind. Diese Garantien umfassen technische und organisatorische Maßnahmen zum Schutz der personenbezogenen Daten gegen zufällige oder rechtswidrige Zerstörung, zufälligen Untergang oder unbefugte Offenlegung, unbefugte Änderung, unbefugten Zugriff und jede sonstige Form der unbefugten Verarbeitung; in internen Entscheidungen, Verfahren und Durchführungsvorschriften des EIT sind die Garantien hinreichend detailliert anzugeben. Die Garantien beinhalten: a) eine klare Festlegung der Rollen, Zuständigkeiten und Verfahrensschritte; b) gegebenenfalls eine sichere elektronische Umgebung, die verhindert, dass elektronische Daten rechtswidrig und versehentlich unbefugten Personen zugänglich gemacht oder übermittelt werden; c) gegebenenfalls die sichere Aufbewahrung und Verarbeitung von Papierdokumenten; d) die ordnungsgemäße Überwachung der Beschränkungen und die regelmäßige Überprüfung ihrer Anwendung. Die in Buchstabe d genannten Überprüfungen sind mindestens alle sechs Monate durchzuführen.

2 Sobald die die Beschränkungen rechtfertigenden Umstände nicht mehr vorliegen, sind die Beschränkungen aufzuheben.

3 Die Aufbewahrungsfrist für personenbezogene Daten, in Bezug auf die Beschränkungen verhängt werden können, ist nicht länger als für die Datenverarbeitungszwecke erforderlich und angemessen. Sie darf keinesfalls länger sein als die Aufbewahrungsfrist, die in den Datenschutzhinweisen, Datenschutzerklärungen oder Datenschutzaufzeichnungen gemäß Artikel 31 der Verordnung (EU) 2018/1725 angegeben ist. Nach Ablauf der Aufbewahrungsfrist werden die personenbezogenen Daten gelöscht, anonymisiert oder gemäß Artikel 13 der Verordnung (EU) 2018/1725 archiviert.

1 Der Verantwortliche muss den Datenschutzbeauftragten unverzüglich über jede Beschränkung der Rechte betroffener Personen gemäß diesem Beschluss unterrichten und ihm Zugang zu dem Verzeichnis gewähren, das die Beurteilung der Notwendigkeit und Verhältnismäßigkeit enthält, sowie zu allen Unterlagen, aus denen die tatsächlichen und rechtlichen Aspekte hervorgehen.

2 Der Datenschutzbeauftragte kann die Überprüfung vorgenommener Beschränkungen verlangen. Das EIT informiert seinen Datenschutzbeauftragten schriftlich über das Ergebnis der vom Verantwortlichen des EIT vorgenommenen Überprüfung.

3 Die Einbeziehung des Datenschutzbeauftragten in das Beschränkungsverfahren, wozu auch der Informationsaustausch gehört, ist vom Verantwortlichen in geeigneter Weise zu dokumentieren.

1 Das EIT veröffentlicht auf seiner Website/in seinem Intranet Datenschutzhinweise, die alle betroffenen Personen darüber unterrichten, bei welchen Verarbeitungstätigkeiten ihre personenbezogenen Daten verarbeitet werden und Beschränkungen gemäß diesen Vorschriften angeordnet werden könnten. In den Datenschutzhinweisen ist darüber zu informieren, welche Rechte aus welchen Gründen und für welche Dauer beschränkt werden können.

2 Die Verantwortlichen müssen die an einem Verfahren beteiligten betroffenen Personen, die von Verfahren betroffenen Parteien oder Zeugen jeweils einzeln schriftlich und unverzüglich über bestehende oder künftige Beschränkungen ihrer Rechte informieren.

3 Beschränkt das EIT im Rahmen der in diesem Beschluss genannten Tätigkeiten die in den Artikeln 14 bis 16 und 35 der Verordnung (EU) 2018/1725 genannten Rechte betroffener Personen ganz oder zum Teil, so sind die betroffenen Personen über die wesentlichen Gründe für diese Beschränkung, über ihr Recht, im Hinblick auf ein Vorgehen gegen die Beschränkung den Datenschutzbeauftragten zu konsultieren, sowie über ihre Rechte, Beschwerde beim Europäischen Datenschutzbeauftragten (EDSB) oder auch einen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen, zu informieren.

4 Solange die in Absatz 1 vorgesehene Unterrichtung über die Gründe für die Beschränkung und das Recht auf Einlegung der Beschwerde beim EDSB die Wirkung der Beschränkung zunichtemachen würde, kann sie vom EIT zurückgestellt, unterlassen oder abgelehnt werden. Die Bewertung, ob dies gerechtfertigt wäre, erfolgt auf Einzelfallbasis in Zusammenarbeit mit dem Datenschutzbeauftragten. Sobald die Unterrichtung die Wirkung der Beschränkung nicht mehr zunichtemachen würde, muss das EIT die betroffene Person informieren.

1 Trotz der in Artikel 35 Absatz 1 der Verordnung (EU) 2018/1725 vorgesehenen Verpflichtung zur Benachrichtigung über Datenschutzverletzungen darf das EIT die Benachrichtigung in Ausnahmefällen ganz oder zum Teil beschränken. Es muss die Gründe für die Beschränkung, die Rechtsgrundlage gemäß obigem Artikel 2 sowie die Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung in einem Vermerk dokumentieren. Der Vermerk ist dem EDSB zum Zeitpunkt der Meldung der Verletzung des Schutzes personenbezogener Daten mitzuteilen.

2 Sind die Gründe für die Beschränkung nicht mehr gegeben, so benachrichtigt das EIT die betroffene Person über die Verletzung des Schutzes personenbezogener Daten und unterrichtet sie über die wesentlichen Gründe für die Beschränkung sowie über ihr Recht, beim EDSB Beschwerde einzulegen.

1 In Ausnahmefällen kann das EIT das Recht auf Vertraulichkeit der elektronischen Kommunikation im Sinne von Artikel 36 der Verordnung (EU) 2018/1725 beschränken. Derartige Beschränkungen müssen der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates genügen.

2 Beschränkt das EIT das Recht auf Vertraulichkeit der elektronischen Kommunikation, so unterrichtet es die betroffene Person in seiner Antwort auf deren Antrag über die wesentlichen Gründe für die Beschränkung sowie über ihr Recht, Beschwerde beim Europäischen Datenschutzbeauftragten (EDSB) oder auch einen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen.

3 Solange die Unterrichtung über die Gründe für die Beschränkung und das Recht auf Einlegung der Beschwerde beim EDSB die Wirkung der Beschränkung zunichtemachen würde, kann sie vom EIT zurückgestellt, unterlassen oder abgelehnt werden. Diese Bewertung erfolgt auf Einzelfallbasis in Zusammenarbeit mit dem Datenschutzbeauftragten.

Dieser Beschluss tritt am zwanzigsten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.