Beschluss (EU) 2025/628 der Kommission vom 31. März 2025 zur Festlegung interner Vorschriften über die Unterrichtung betroffener Personen und die Beschränkungen bestimmter Rechte betroffener Personen in Bezug auf die Verarbeitung personenbezogener Daten durch die Kommission zum Zwecke der Beaufsichtigung, Untersuchung, Durchsetzung und Überwachung gemäß der Verordnung (EU) 2022/2065

1 Dieser Beschluss enthält die Vorschriften, nach denen die Kommission betroffene Personen gemäß den Artikeln 14, 15 und 16 der Verordnung (EU) 2018/1725 über die Verarbeitung ihrer personenbezogenen Daten unterrichtet, wenn sie ihre Beaufsichtigungs-, Untersuchungs-, Durchsetzungs- und Überwachungsaufgaben gemäß der Verordnung (EU) 2022/2065 wahrnimmt.

2 Ferner enthält dieser Beschluss die Bedingungen, unter denen die Kommission die Anwendung der Artikel 4, 14 bis 20 und 35 der Verordnung (EU) 2018/1725 nach deren Artikel 25 Absatz 1 Buchstaben b, c, g und h beschränken kann.

1 Dieser Beschluss gilt für die Verarbeitung personenbezogener Daten folgender Kategorien betroffener Personen durch die Kommission: a) Verdächtige; b) Opfer; c) Hinweisgeber; d) Informanten; e) Zeugen; f) Mitarbeiter eines Unternehmens; g) natürliche Personen, deren personenbezogene Daten in den Dokumenten oder anderen Medien enthalten sind, die im Rahmen der Beaufsichtigung, Untersuchung, Durchsetzung und Überwachung gemäß der Verordnung (EU) 2022/2065 eingeholt werden.

2 Dieser Beschluss gilt für die Verarbeitung folgender Kategorien personenbezogener Daten: a) Identifikationsdaten; b) Kontaktdaten; c) Daten zur Fallbeteiligung; d) fallbezogene Daten; e) sonstige Daten, die für erforderlich gehalten werden, um die Anforderungen der Verordnung (EU) 2022/2065 zu erfüllen, einschließlich der in Artikel 10 Absatz 1 und Artikel 11 der Verordnung (EU) 2018/1725 genannten personenbezogenen Daten.

1 Vorbehaltlich der Artikel 3 bis 8 dieses Beschlusses kann die Kommission die Anwendung der Artikel 14 bis 20 und 35 der Verordnung (EU) 2018/1725 sowie des Transparenzgrundsatzes nach Artikel 4 Absatz 1 Buchstabe a der genannten Verordnung, insofern dessen Bestimmungen den in den Artikeln 14 bis 20 der Verordnung (EU) 2018/1725 vorgesehenen Rechten und Pflichten entsprechen, beschränken, wenn a) die Ausübung dieser Rechte den Zweck der Beaufsichtigungs-, Untersuchungs-, Durchsetzungs- und Überwachungstätigkeiten der Kommission gemäß der Verordnung (EU) 2022/2065 gefährden würde und Artikel 25 Absatz 1 Buchstaben c und g der Verordnung (EU) 2018/1725 beachtet wird; b) die Ausübung dieser Rechte und Pflichten den Schutz der betroffenen Person oder die Rechte und Freiheiten anderer Personen nach Artikel 25 Absatz 1 Buchstabe h der Verordnung (EU) 2018/1725 beeinträchtigen würde; c) die Ausübung dieser Rechte und Pflichten die auf die wirksame Anwendung der Verordnung (EU) 2022/2065 im Einklang mit Artikel 25 Absatz 1 Buchstaben b und g der Verordnung (EU) 2018/1725 abzielende Zusammenarbeit der Kommission mit den Mitgliedstaaten gefährden könnte.

2 Vor der Anwendung von Beschränkungen unter den in Absatz 1 Buchstabe c genannten Umständen konsultiert die Kommission die betreffenden Mitgliedstaaten zu den potenziellen Gründen für die Auferlegung von Beschränkungen sowie zur Notwendigkeit und Verhältnismäßigkeit dieser Beschränkungen, es sei denn, dies würde die Tätigkeiten der Kommission gefährden.

3 Die Absätze 1 und 2 gelten unbeschadet der Anwendung anderer Beschlüsse der Kommission zur Festlegung interner Vorschriften über die Unterrichtung betroffener Personen und über die Beschränkung bestimmter Rechte gemäß Artikel 25 der Verordnung (EU) 2018/1725.

4 Bevor die Kommission Beschränkungen gemäß Absatz 1 vornimmt, prüft sie im Einzelfall, ob diese notwendig und verhältnismäßig sind, und dokumentiert dies. Diese Beschränkungen sind auf das zur Verwirklichung ihres Ziels unbedingt erforderliche Maß zu begrenzen.

1 Die Kommission veröffentlicht auf ihrer Website einen Datenschutzhinweis, mit dem sie alle betroffenen Personen über die Tätigkeiten der Kommission informiert, bei denen ihre personenbezogenen Daten zur Wahrnehmung der Beaufsichtigungs-, Untersuchungs-, Durchsetzungs- und Überwachungsaufgaben der Kommission gemäß der Verordnung (EU) 2022/2065 verarbeitet werden. Der Datenschutzhinweis muss Informationen über die mögliche Beschränkung der Rechte betroffener Personen gemäß Artikel 3 enthalten. Darin wird darüber informiert, welche Rechte beschränkt werden können, aus welchen Gründen die Beschränkungen vorgenommen werden können und für welche Dauer sie gelten können.

2 Die Kommission informiert Hinweisgeber, Informanten, Zeugen und, soweit für den Fall relevant, einzelne Mitarbeiter des Unternehmens einzeln über die Verarbeitung ihrer personenbezogenen Daten.

3 Beschränkt die Kommission im Einklang mit Artikel 3 die in Absatz 1 genannte Unterrichtung ganz oder teilweise, so erfasst und registriert sie gemäß Artikel 7 dieses Beschlusses die Gründe für die Beschränkung. Darüber hinaus unterrichtet die Kommission die betroffenen Personen über ihr Recht, beim Europäischen Datenschutzbeauftragten Beschwerde einzulegen.

1 Beschränkt die Kommission ganz oder teilweise das Recht betroffener Personen auf Auskunft, auf Berichtigung, auf Löschung oder auf Einschränkung der Verarbeitung gemäß den Artikeln 17 bis 20 der Verordnung (EU) 2018/1725, so unterrichtet sie die betroffene Person in ihrer Antwort auf das Auskunftsersuchen oder den Antrag auf Berichtigung, auf Löschung oder auf Einschränkung der Verarbeitung über folgende Punkte: a) die Beschränkung und die wesentlichen Gründe hierfür; b) die Möglichkeit, Beschwerde beim Europäischen Datenschutzbeauftragten einzulegen.

2 Solange die Unterrichtung über die Gründe für die Beschränkung und das Recht auf Einlegung einer Beschwerde beim Europäischen Datenschutzbeauftragten die Wirkung der Beschränkung zunichtemachen würde, kann sie von der Kommission zurückgestellt, unterlassen oder abgelehnt werden. Die Kommission prüft im Einzelfall, ob dies gerechtfertigt ist. Sobald die Unterrichtung die Wirkung der Beschränkung nicht mehr zunichtemacht, muss die Kommission die betroffene Person informieren.

1 Ist die Kommission nach Artikel 35 Absatz 1 der Verordnung (EU) 2018/1725 verpflichtet, die betroffene Person über eine Verletzung des Schutzes personenbezogener Daten zu benachrichtigen, so kann sie diese Benachrichtigung in Ausnahmefällen ganz oder teilweise beschränken. Sie erfasst und registriert die Gründe für die Beschränkung und die Rechtsgrundlage nach Artikel 3 sowie die Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung. Die entsprechenden Aufzeichnungen werden dem Europäischen Datenschutzbeauftragten zum Zeitpunkt der Meldung der Verletzung des Schutzes personenbezogener Daten übermittelt.

2 Bestehen die Gründe für die Beschränkung nicht mehr, benachrichtigt die Kommission die betroffene Person von der Verletzung des Schutzes personenbezogener Daten, teilt ihr die wesentlichen Gründe für die Beschränkung mit und weist sie auf ihr Recht hin, beim Europäischen Datenschutzbeauftragten Beschwerde einzulegen.

3 Meldet die Kommission dem Europäischen Datenschutzbeauftragten eine Verletzung des Schutzes personenbezogener Daten gemäß Artikel 34 Absatz 1 der Verordnung (EU) 2018/1725, übermittelt sie zugleich die Aufzeichnungen nach Artikel 7 dieses Beschlusses.

1 Die Kommission erfasst unter Berücksichtigung aller relevanten Elemente nach Artikel 25 Absatz 2 der Verordnung (EU) 2018/1725 die Gründe für jede Beschränkung nach Maßgabe dieses Beschlusses und die Rechtsgrundlage dafür, eine Bewertung der mit der Beschränkung verbundenen Risiken für die Rechte und Freiheiten betroffener Personen und der Notwendigkeit und Verhältnismäßigkeit dieser Beschränkung.

2 Aus der Aufzeichnung muss hervorgehen, wie durch die Ausübung des Rechts der betroffenen Person einer oder mehrere der in Artikel 25 Absatz 1 Buchstaben b, c, g und h der Verordnung (EU) 2018/1725 aufgeführten Gründe beeinträchtigt wird bzw. werden.

3 Die Aufzeichnung sowie gegebenenfalls die Dokumente, die die zugrunde liegenden Fakten und die rechtlichen Grundlagen enthalten, werden registriert. Sie werden dem Europäischen Datenschutzbeauftragten auf Anfrage zur Verfügung gestellt.

4 Die Kommission erstellt regelmäßig Berichte über die im Rahmen dieses Beschlusses erfolgende Anwendung von Beschränkungen gemäß Artikel 25 der Verordnung (EU) 2018/1725.

1 Die in den Artikeln 4, 5 und 6 genannten Beschränkungen gelten, solange die Gründe dafür vorliegen, und werden aufgehoben, sobald diese Gründe nicht mehr vorliegen.

2 Bestehen die Gründe für eine Beschränkung nicht mehr, so hebt die Kommission die Beschränkung auf.

3 Zudem teilt die Kommission der betroffenen Person die Gründe für die Anwendung der Beschränkung mit und informiert sie über die Möglichkeit, jederzeit Beschwerde beim Europäischen Datenschutzbeauftragen oder Rechtsbehelf vor dem Gerichtshof der Europäischen Union einzulegen.

4 Die Kommission überprüft die Anwendung der in den Artikeln 4, 5 und 6 genannten Beschränkungen alle sechs Monate und bei Abschluss des Vorgangs. Diese Überprüfung schließt eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung unter Berücksichtigung aller relevanten Elemente nach Artikel 25 Absatz 2 der Verordnung (EU) 2018/1725 ein.

1 Die Kommission sieht Garantien vor, um personenbezogene Daten, die Beschränkungen oder Ausnahmen unterliegen oder unterliegen könnten, vor Missbrauch, unrechtmäßigem Zugriff oder unrechtmäßiger Übermittlung zu schützen. Dazu zählen beispielsweise folgende technische und organisatorische Maßnahmen: a) eine klare Definition der Rollen, Zuständigkeiten, Verfahrensschritte und Zugangsrechte; b) eine sichere elektronische Umgebung, die verhindert, dass elektronische Daten rechtswidrig oder versehentlich Unbefugten verfügbar gemacht oder übermittelt werden; c) eine sichere, auf das für den Verarbeitungszweck unbedingt erforderliche Maß beschränkte Aufbewahrung und Bearbeitung von Papierdokumenten; d) die ordnungsgemäße Überwachung der Beschränkungen und die regelmäßige Überprüfung ihrer Anwendung. Die Überprüfungen werden mindestens alle sechs Monate und bei Abschluss des Vorgangs durchgeführt.

2 Die personenbezogenen Daten werden gemäß den geltenden Speicherbestimmungen der Kommission gespeichert, die in dem Verzeichnis von Verarbeitungstätigkeiten nach Artikel 31 der Verordnung (EU) 2018/1725 festgelegt werden. Nach Ablauf der Speicherfrist werden die personenbezogenen Daten im Einklang mit Artikel 13 der Verordnung (EU) 2018/1725 gelöscht, anonymisiert oder archiviert.

1 Der Datenschutzkoordinator der Generaldirektion Kommunikationsnetze, Inhalte und Technologien wird vor der Anwendung etwaiger Beschränkungen konsultiert und überprüft, ob sie mit diesem Beschluss im Einklang stehen.

2 Der Datenschutzbeauftragte der Kommission wird unverzüglich unterrichtet, wenn die Rechte einer betroffenen Person nach Maßgabe des vorliegenden Beschlusses beschränkt werden. Auf Anfrage erhält der Datenschutzbeauftragte der Kommission Zugang zu den erfassten Angaben und sonstigen Unterlagen, aus denen die zugrunde liegenden tatsächlichen und rechtlichen Umstände hervorgehen.

3 Der Datenschutzbeauftragte kann eine Überprüfung der Anwendung einer Beschränkung beantragen und wird schriftlich über das Ergebnis dieser Überprüfung unterrichtet.

4 Die Kommission dokumentiert die Mitwirkung des Datenschutzbeauftragten der Kommission und des Datenschutzkoordinators an jedem Fall, in dem die in Artikel 3 Absatz 1 genannten Rechte und Pflichten beschränkt werden, und erfasst insbesondere, welche Informationen ihnen übermittelt werden.

Dieser Beschluss tritt am zwanzigsten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.