Für einen individuellen Ausdruck passen Sie bitte die Einstellungen in der Druckvorschau Ihres Browsers an. Regelwerk, EU 2021, Verwaltung/Datenschutz - EU Bund

Neufassung - Ersetzt Beschl. 2019/C 371/06

Der Verwaltungsrat der Agentur der Europäischen Union für Grundrechte -

gestützt auf:

den Vertrag über die Arbeitsweise der Europäischen Union,

die Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG ¹, insbesondere Artikel 25,

die Verordnung (EG) Nr. 168/2007 des Rates vom 15. Februar 2007 zur Errichtung einer Agentur der Europäischen Union für Grundrechte ², insbesondere Artikel 13,

die Stellungnahme des EDSB vom 19. Mai 2019 und die Leitlinien des EDSB zu Artikel 25 der neuen Verordnung und den internen Vorschriften,

in Erwägung nachstehender Gründe:

(1) Die Agentur der Europäischen Union für Grundrechte (im Folgenden die "FRA" oder "die Agentur") übt ihre Tätigkeiten gemäß der Verordnung (EG) Nr. 168/2007 aus.

(2) Gemäß Artikel 25 Absatz 1 der Verordnung (EU) 2018/1725 sollten Beschränkungen der Anwendung der Artikel 14 bis 22, 35 und 36 sowie des Artikels 4 dieser Verordnung, insofern dessen Bestimmungen den in den Artikeln 14 bis 22 vorgesehenen Rechten und Pflichten entsprechen, auf von der FRA zu erlassenden internen Vorschriften beruhen, wenn diese nicht auf Rechtsakten beruhen, die auf der Grundlage der Verträge erlassen worden sind.

(3) Diese internen Vorschriften, einschließlich ihrer Bestimmungen über die Beurteilung der Notwendigkeit und Verhältnismäßigkeit einer Beschränkung, sollten nicht gelten, wenn ein auf Grundlage der Verträge erlassener Rechtsakt eine Beschränkung der Rechte betroffener Personen vorsieht.

(4) Nimmt die FRA ihre Aufgaben in Bezug auf die Rechte betroffener Personen gemäß der Verordnung (EU) 2018/1725 wahr, prüft sie, ob eine der in dieser Verordnung festgelegten Ausnahmen anwendbar ist.

(5) Im Rahmen ihrer Verwaltungstätigkeit kann die FRA Verwaltungsuntersuchungen, Disziplinarverfahren und Maßnahmen im Zusammenhang mit Fällen möglicher Unregelmäßigkeiten, die dem OLAF gemeldet werden, durchführen, Meldungen von Missständen, (formelle und informelle) Verfahren in Bezug auf Belästigung und interne und externe Beschwerden bearbeiten sowie interne und externe Prüfungen und Untersuchungen durch den Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 und interne (IT-)Sicherheitsüberprüfungen durchführen.

(6) Die FRA kann an Rechtssachen vor dem Gerichtshof der Europäischen Union beteiligt sein; dies ist der Fall, wenn sie eine Rechtssache an ihn verweist, eine von ihr getroffene Entscheidung, die vor dem Gerichtshof angefochten wird, verteidigt oder in Rechtssachen, die ihre Aufgaben betreffen, als Streithelfer dem Rechtsstreit beitritt. In diesem Zusammenhang kann es vorkommen, dass die FRA die Vertraulichkeit personenbezogener Daten in den von den Parteien oder Streithelfern erlangten Dokumenten wahren muss.

(7) Die FRA verarbeitet mehrere Kategorien personenbezogener Daten, einschließlich harter Daten ("objektive" Daten wie Identifikationsdaten, Kontaktdaten, berufsbezogene Daten, Verwaltungsdaten, Daten aus bestimmten Quellen, elektronische Kommunikations- und Verkehrsdaten) und/oder weicher Daten ("subjektive" fallbezogene Daten wie Begründungen, verhaltensbezogene Daten, Bewertungen, Leistungs- und Verhaltensdaten und Daten, die sich auf den Gegenstand des Verfahrens oder der Tätigkeit beziehen oder im Zusammenhang mit diesem Gegenstand übertragen werden).

(8) Die FRA, vertreten durch ihren Direktor, ist der für die Verarbeitung Verantwortliche, unabhängig von weiteren Befugnisübertragungen der Aufgabe des für die Verarbeitung Verantwortlichen ("der Verantwortliche") innerhalb der FRA, um den operativen Verantwortlichkeiten für bestimmte Vorgänge der Verarbeitung personenbezogener Daten Rechnung zu tragen.

(9) Die personenbezogenen Daten werden sicher in einem elektronischen Umfeld oder in Papierform aufbewahrt, um den unrechtmäßigen Zugang oder die Übermittlung von Daten an Personen zu verhindern, die keine Kenntnis davon haben müssen. Die verarbeiteten personenbezogenen Daten werden nur so lange, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich und angemessen ist, für den in den Datenschutzhinweisen, Datenschutzerklärungen oder Aufzeichnungen der FRA angegebenen Zeitraum aufbewahrt.

(10) Die internen Vorschriften sollten für sämtliche Verarbeitungsvorgänge gelten, die von der FRA für folgende Zwecke ausgeführt werden: Durchführung von Verwaltungsuntersuchungen, Disziplinarverfahren, Maßnahmen im Zusammenhang mit Fällen möglicher Unregelmäßigkeiten, die dem OLAF gemeldet werden, Meldungen von Missständen, (formelle und informelle) Verfahren in Bezug auf Belästigung, Bearbeitung interner und externer Beschwerden, Durchführung interner und externer Prüfungen, Untersuchungen durch den Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 und intern oder extern (z.B. durch das CERT-EU) abgewickelte (IT-)Sicherheitsüberprüfungen.

(11) Sie sollten für Verarbeitungsvorgänge gelten, die vor der Einleitung der vorstehend genannten Verfahren, während dieser Verfahren und bei der Überwachung der aufgrund des Ergebnisses dieser Verfahren getroffenen Folgemaßnahmen vorgenommen werden. Sie sollten zudem die Unterstützung und die Zusammenarbeit einschließen, die die FRA außerhalb des Rahmens ihrer Verwaltungsuntersuchungen für nationale Behörden und internationale Organisationen leistet.

(12) In Fällen, in denen diese internen Vorschriften Anwendung finden, muss die FRA begründen, warum die Beschränkungen in einer demokratischen Gesellschaft unbedingt notwendig und verhältnismäßig sind, und das Wesen der Grundrechte und Grundfreiheiten respektieren.

(13) In diesem Rahmen achtet die FRA in größtmöglichem Umfang die Grundrechte der betroffenen Personen bei der Durchführung der vorstehend genannten Verfahren, insbesondere jene im Zusammenhang mit dem Recht auf Unterrichtung, Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Personen oder Vertraulichkeit der Kommunikation, wie in der Verordnung (EU) 2018/1725 festgelegt.

(14) Die FRA kann jedoch verpflichtet sein, die Unterrichtung betroffener Personen und Rechte anderer betroffener Personen zu beschränken, um insbesondere ihre eigenen Untersuchungen, die Untersuchungen und Verfahren anderer Behörden sowie die Rechte und Freiheiten Dritter im Zusammenhang mit ihren Untersuchungen oder anderen Verfahren zu schützen.

(15) Die FRA kann daher die Unterrichtung zum Zweck des Schutzes der Untersuchung sowie der Grundrechte und Grundfreiheiten anderer betroffener Personen beschränken.

(16) Die FRA sollte in regelmäßigen Abständen überprüfen, dass die Voraussetzungen, unter denen die Beschränkung gerechtfertigt ist, noch gegeben sind und die Beschränkung aufheben, wenn diese Voraussetzungen nicht mehr gegeben sind.

(17) Zur Gewährleistung des größtmöglichen Schutzes der Rechte und Freiheiten der betroffenen Personen und gemäß Artikel 44 Absatz 1 der Verordnung sollte der Datenschutzbeauftragte (DSB) rechtzeitig zu allen Beschränkungen, die möglicherweise vorgenommen werden, konsultiert werden, und überprüfen, ob die Beschränkungen mit diesem Beschluss in Einklang stehen -

- hat folgenden Beschluss erlassen:

Artikel 1 Gegenstand und Anwendungsbereich

(1) Mit diesem Beschluss werden Vorschriften in Bezug auf die Bedingungen festgelegt, unter denen die Agentur im Rahmen ihrer unter Absatz 2 aufgeführten Verfahren die Anwendung der Rechte beschränken darf, die in den Artikeln 14 bis 21, 35 und 36 sowie in Artikel 4 nach Artikel 25 der Verordnung (EU) 2018/1725 vorgesehen sind.

(2) Im Rahmen der Verwaltungstätigkeit der FRA gilt dieser Beschluss für Vorgänge der Verarbeitung personenbezogener Daten durch die FRA für folgende Zwecke: Durchführung von Verwaltungsuntersuchungen, Vordisziplinarverfahren, Aussetzungsverfahren auf Grundlage von Anhang IX des Statuts, Maßnahmen im Zusammenhang mit Fällen möglicher Unregelmäßigkeiten, die dem OLAF gemeldet werden, Bearbeitung von Meldungen von Missständen, (formelle und informelle) Verfahren in Bezug auf Belästigung, Bearbeitung interner und externer Beschwerden, Durchführung interner und externer Prüfungen, Untersuchungen durch den Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 sowie intern oder extern (z.B. durch das CERT-EU) abgewickelte (IT-)Sicherheitsüberprüfungen.

(3) Dieser Beschluss gilt auch für die Verarbeitung personenbezogener Daten, wenn die FRA an Rechtssachen vor dem Gerichtshof der Europäischen Union beteiligt ist, d. h., wenn sie eine Rechtssache an ihn verweist, eine von ihr getroffene Entscheidung, die vor dem Gerichtshof angefochten wird, verteidigt oder in Rechtssachen, die ihre Aufgaben betreffen, als Streithelfer dem Rechtsstreit beitritt. In diesem Zusammenhang kann es vorkommen, dass die FRA die Vertraulichkeit personenbezogener Daten in den von den Parteien oder Streithelfern erlangten Dokumenten wahren muss.

(4) Die entsprechenden Kategorien personenbezogener Daten umfassen harte Daten ("objektive" Daten wie Identifikationsdaten, Kontaktdaten, berufsbezogene Daten, Verwaltungsdaten, Daten aus bestimmten Quellen, elektronische Kommunikations- und Verkehrsdaten) und/oder weiche Daten ("subjektive" fallbezogene Daten wie Begründungen, verhaltensbezogene Daten, Bewertungen, Leistungs- und Verhaltensdaten und Daten, die sich auf den Gegenstand des Verfahrens oder der Tätigkeit beziehen oder im Zusammenhang mit diesem Gegenstand übertragen werden).

(5) Nimmt die FRA ihre Aufgaben in Bezug auf die Rechte betroffener Personen gemäß der Verordnung (EU) 2018/1725 wahr, prüft sie, ob eine der in dieser Verordnung festgelegten Ausnahmen anwendbar ist.

(6) Vorbehaltlich der in dem Beschluss festgelegten Bedingungen können die Beschränkungen für die folgenden Rechte gelten: Recht auf Unterrichtung der Betroffenen, Auskunft zu und Berichtigung von personenbezogenen Daten, Löschung, Einschränkung der Verarbeitung, des Rechts zu Mitteilungen über eine Verletzung des Schutzes personenbezogener Daten an den Betroffenen oder Vertraulichkeit von Kommunikationen.

Artikel 2 Für die Verarbeitung Verantwortlicher und Schutzmaßnahmen

(1) Verletzungen des Schutzes personenbezogener Daten, Datenverluste oder eine unberechtigte Weitergabe werden durch die folgenden Schutzmaßnahmen verhindert:

1. Dokumente in Papierform werden in gesicherten Schränken aufbewahrt und ausschließlich befugtem Personal zugänglich gemacht.
2. Alle elektronischen Daten werden in einer sicheren IT-Anwendung in Übereinstimmung mit den Sicherheitsnormen der FRA sowie in spezifischen elektronischen Ordnern gespeichert, die ausschließlich befugtem Personal zugänglich sind. Angemessene Zugangsrechte werden individuell gewährt.
3. Die Datenbank ist unter einem Single Signon-System passwortgeschützt und automatisch mit der Benutzerkennung und seinem Passwort verbunden. Die Ersetzung von Benutzern ist streng untersagt. Elektronische Aufzeichnungen werden sicher aufbewahrt, um die Vertraulichkeit und den Schutz der darin enthaltenen Daten zu garantieren.
4. Alle Personen, die Zugang zu den Daten haben, sind zur Geheimhaltung verpflichtet.

(2) Der für die Verarbeitung Verantwortliche ist die FRA, vertreten durch ihren Direktor, der die Funktion des für die Verarbeitung Verantwortlichen übertragen kann. Betroffene Personen werden im Wege der auf der Website und/oder im Intranet der FRA veröffentlichten Datenschutzhinweisen oder Aufzeichnungen über den für die Verarbeitung Verantwortlichen informiert.

(3) Die Aufbewahrungsfrist der in Artikel 1 Absatz 3 genannten personenbezogenen Daten darf nicht länger als erforderlich sein und muss für die Zwecke, zu denen die Daten verarbeitet werden, angemessen sein. Sie darf keinesfalls länger sein als die in den Datenschutzhinweisen, Datenschutzerklärungen oder Aufzeichnungen angegebene Aufbewahrungsfrist, die in Artikel 5 Absatz 1 genannt ist.

(4) Zieht die Agentur eine Beschränkung in Erwägung, werden die Risiken für die Rechte und Freiheiten der betroffenen Person insbesondere gegen die Risiken für die Rechte und Freiheiten anderer betroffener Personen und die Gefahr des Zunichtemachens der Wirkung von Ermittlungen oder Verfahren der FRA beispielsweise durch das Vernichten von Beweismitteln abgewogen. Die Risiken für die Rechte und Freiheiten der betroffenen Person betreffen in erster Linie jedoch Reputationsrisiken und Risiken für das Verteidigungsrecht und des Anspruchs auf rechtliches Gehör, ohne darauf beschränkt zu sein.

Artikel 3 Beschränkungen

(1) Beschränkungen werden von der FRA nur zu folgenden Zwecken angewandt:

1. gemäß Artikel 25 Absatz 1 Buchstaben b, c, f, g und h der Verordnung bei der Durchführung von Verwaltungsuntersuchungen, Vordisziplinar- und Disziplinarverfahren, Aussetzungsverfahren gemäß Anhang IX des Statuts und Maßnahmen im Zusammenhang mit Fällen möglicher Unregelmäßigkeiten, die dem OLAF gemeldet werden;
2. gemäß Artikel 25 Absatz 1 Buchstabe h der Verordnung bei der Bearbeitung von Whistleblowing-Fällen und (formellen und informellen) Verfahren in Bezug auf Belästigung im Einklang mit ihren jeweiligen internen Vorschriften;
3. gemäß Artikel 25 Absatz 1 Buchstaben c, d und h bei der Bearbeitung interner und externer Beschwerden und der Durchführung interner/externer Audits in Bezug auf Tätigkeiten oder Abteilungen der FRA, Untersuchungen des Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 und (IT-)Sicherheitsuntersuchungen, die intern oder mit externer Beteiligung (z.B. durch die CERT-EU) durchgeführt werden;
4. gemäß Artikel 25 Absatz 1 Buchstabe e der Verordnung bei der Verarbeitung personenbezogener Daten in Unterlagen, die von den Parteien oder Streithelfern im Rahmen von Verfahren vor dem Gerichtshof der Europäischen Union eingeholt wurden.

(2) Im Rahmen einer spezifischen Anwendung zu den in Absatz 1 genannten Zwecken kann die Agentur unter den folgenden Umständen Beschränkungen für personenbezogene Daten anwenden, die mit den Dienststellen der Kommission oder anderen Organen, Einrichtungen und sonstigen Stellen der Union, den zuständigen Behörden der Mitgliedstaaten oder Drittländern oder internationalen Organisationen ausgetauscht werden:

1. wenn die Ausübung dieser Rechte und Pflichten durch die Dienststellen der Kommission oder andere Organe, Einrichtungen und sonstige Stellen der Union auf der Grundlage anderer in Artikel 25 der Verordnung (EU) 2018/1725 vorgesehener Rechtsakte oder gemäß Kapitel IX der genannten Verordnung oder gemäß den Gründungsakten anderer Organe, Einrichtungen und sonstiger Stellen der Union beschränkt werden könnte;
2. wenn die Ausübung dieser Rechte und Pflichten von den zuständigen Behörden der Mitgliedstaaten auf Grundlage der in Artikel 23 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates ³ genannten Rechtsakte oder im Rahmen nationaler Maßnahmen zur Umsetzung von Artikel 13 Absatz 3, Artikel 15 Absatz 3 oder Artikel 16 Absatz 3 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates ⁴ beschränkt werden könnte;
3. wenn die Ausübung dieser Rechte und Pflichten die Zusammenarbeit der FRA mit Drittländern oder internationalen Organisationen bei der Wahrnehmung ihrer Aufgaben beeinträchtigen könnte.

Vor der Anwendung von Beschränkungen unter den in Unterabsatz 1 Buchstabe a und b genannten Umständen konsultiert die FRA die zuständigen Dienststellen der Kommission, die Einrichtungen, Organe und sonstigen Stellen der Union oder die zuständigen Behörden der Mitgliedstaaten, es sei denn, der FRA ist klar, dass die Anwendung einer Beschränkung in einer unter diesen Punkten genannten Rechtsakte festgelegt ist.

(3) Jede Beschränkung muss im Hinblick auf die Risiken für die Rechte und Freiheiten der betroffenen Personen notwendig und verhältnismäßig sein und den Wesensgehalt der Grundrechte und Grundfreiheiten in einer demokratischen Gesellschaft achten.

(4) Wird die Anwendung einer Beschränkung in Betracht gezogen, wird eine Prüfung der Notwendigkeit und Verhältnismäßigkeit auf der Grundlage der vorliegenden Vorschriften durchgeführt. Diese ist für die Zwecke der Rechenschaftspflicht auf Einzelfallbasis durch einen internen Bewertungsvermerk zu dokumentieren.

(5) Beschränkungen werden aufgehoben, sobald die Umstände, die sie rechtfertigen, nicht mehr gelten; insbesondere wenn davon ausgegangen wird, dass die Ausübung des beschränkten Rechts die Wirkung der verhängten Beschränkung nicht mehr zunichtemachen oder die Rechte oder Freiheiten anderer betroffener Personen nicht mehr beeinträchtigen würde.

Artikel 4 Mitwirkung des/der Datenschutzbeauftragten

(1) Die FRA beteiligt den DSB unverzüglich an allen einschlägigen Verfahren, die in diesem Beschluss festgelegt sind, und stellt sicher, dass die Mitwirkung des DSB dokumentiert wird. Dies umfasst die schriftliche Dokumentation sämtlicher einschlägiger Beurteilungen und Stellungnahmen des DSB in Bezug auf die Anwendbarkeit einer Beschränkung in einem bestimmten Fall.

(2) Die Agentur unterrichtet den DSB unverzüglich, wenn der Verantwortliche gemäß diesem Beschluss die Anwendung der Rechte betroffener Personen beschränkt oder die Beschränkung ausweitet. Der Verantwortliche gewährt dem DSB Zugang zu den Aufzeichnungen, die die Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung enthalten, und dokumentiert das Datum, an dem der DSB unterrichtet wird, in den Aufzeichnungen.

(3) Der DSB kann den Verantwortlichen schriftlich auffordern, den Anwendungsbereich der Beschränkungen zu prüfen. Der Verantwortliche informiert den DSB schriftlich über das Ergebnis der angeforderten Prüfung.

(4) Der Verantwortliche informiert den DSB über die Aufhebung der Beschränkung.

Artikel 5 Unterrichtung der von der Datenverarbeitung betroffenen Personen

(1) In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann das Recht auf Unterrichtung durch den für die Verarbeitung Verantwortlichen im Rahmen der folgenden Verarbeitungsvorgänge beschränkt werden:

1. Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren;
2. Maßnahmen im Zusammenhang mit Fällen möglicher Unregelmäßigkeiten, die dem OLAF gemeldet werden;
3. Verfahren in Bezug auf Meldungen von Missständen;
4. (formelle und informelle) Verfahren in Bezug auf Belästigung;
5. Bearbeitung interner und externer Beschwerden;
6. interne und externe Prüfungen;
7. vom Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 durchgeführte Untersuchungen;
8. intern oder unter externer Mitwirkung (z.B. durch die CERT-EU) durchgeführte (IT-)Sicherheitsüberprüfungen);
9. Verarbeitung personenbezogener Daten in Dokumenten, die von den Parteien oder Streithelfern im Rahmen von Verfahren vor dem Gerichtshof der Europäischen Union erhalten wurden.

Die FRA nimmt in die auf ihrer Website und/oder ihrem Intranet veröffentlichten Datenschutzhinweise, Datenschutzerklärungen oder Verzeichnisse im Sinne von Artikel 31 der Verordnung (EU) 2018/1725, die die betroffenen Personen im Rahmen eines bestimmten Verfahrens über ihre Rechte informieren, Informationen über die mögliche Beschränkung dieser Rechte auf. Die Informationen umfassen die Frage, welche Rechte beschränkt werden können, die Gründe für solche Beschränkungen sowie ihre mögliche Dauer.

(2) Unbeschadet der Bestimmungen in Absatz 3 informiert die Agentur, sofern dies verhältnismäßig ist, alle betroffenen Personen, die als von den spezifischen Verarbeitungsvorgängen betroffene Personen gelten, unverzüglich auch einzeln schriftlich über gegenwärtige oder künftige Beschränkungen ihrer Rechte.

(3) Beschränkt die Agentur das in Absatz 2 vorgesehene Recht auf Unterrichtung der betroffenen Personen ganz oder teilweise, erfasst sie die Gründe für die Beschränkung und den Rechtsgrund gemäß Artikel 3 dieses Beschlusses, einschließlich einer Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung.

Die Aufzeichnung sowie gegebenenfalls die Dokumente, die die zugrunde liegenden Fakten und die rechtlichen Grundlagen enthalten, werden registriert. Sie werden dem Europäischen Datenschutzbeauftragten auf Anforderung zur Verfügung gestellt.

(4) Die in Absatz 3 genannte Beschränkung gilt, solange die Gründe dafür weiterhin vorliegen.

Liegen die Gründe für die Beschränkung nicht mehr vor, unterrichtet die FRA die betroffene Person über die Hauptgründe, auf denen die Anwendung einer Beschränkung beruht. Gleichzeitig teilt die FRA der betroffenen Person mit, dass sie jederzeit Beschwerde beim Europäischen Datenschutzbeauftragten oder einen gerichtlichen Rechtsbehelf beim Gerichtshof der Europäischen Union einlegen kann.

Die FRA prüft die Anwendung von Beschränkungen alle sechs Monate nach ihrer Auferlegung sowie bei Abschluss der jeweiligen Prüfungen, Verfahren oder Untersuchungen. Danach überwacht der Verantwortliche jährlich die Notwendigkeit der Aufrechterhaltung einer Beschränkung.

Artikel 6 Auskunftsrechte der betroffenen Person

(1) In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann das Recht auf Auskunft durch den für die Verarbeitung Verantwortlichen im Rahmen der folgenden Verarbeitungsvorgänge beschränkt werden, sofern dies notwendig und verhältnismäßig ist:

1. Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren;
2. Maßnahmen im Zusammenhang mit Fällen möglicher Unregelmäßigkeiten, die dem OLAF gemeldet werden;
3. Verfahren in Bezug auf Meldungen von Missständen;
4. (formelle und informelle) Verfahren in Bezug auf Belästigung;
5. Bearbeitung interner und externer Beschwerden;
6. interne und externe Prüfungen;
7. vom Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 durchgeführte Untersuchungen;
8. intern oder unter externer Mitwirkung (z.B. durch die CERT-EU) durchgeführte (IT-)Sicherheitsüberprüfungen);
9. Verarbeitung personenbezogener Daten in Dokumenten, die von den Parteien oder Streithelfern im Rahmen von Verfahren vor dem Gerichtshof der Europäischen Union erhalten wurden.

Beantragt die betroffene Person gemäß Artikel 17 der Verordnung (EU) 2018/1725 Auskunft über ihre im Rahmen eines oder mehrerer spezifischer Fälle verarbeiteten personenbezogenen Daten oder über einen bestimmten Verarbeitungsvorgang, beschränkt die FRA ihre Bewertung des Antrags ausschließlich auf derartige personenbezogene Daten.

(2) Beschränkt die FRA das in Artikel 17 der Verordnung (EU) 2018/1725 festgelegte Recht auf Auskunft ganz oder teilweise, ergreift sie folgende Maßnahmen:

1. In ihrer Stellungnahme zu dem Antrag informiert sie die betroffene Person über die auferlegte Beschränkung und über die Hauptgründe dafür sowie über die Möglichkeit des Einlegens einer Beschwerde beim Europäischen Datenschutzbeauftragten oder eines Rechtsbehelfs beim Gerichtshof der Europäischen Union.
2. In einem internen Beurteilungsvermerk notiert sie die Gründe für die Beschränkung, einschließlich einer Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung und ihrer Dauer.

Die unter Buchstabe a erwähnte Unterrichtung kann zurückgestellt, unterlassen oder abgelehnt werden, wenn sie die Wirkung der gemäß Artikel 25 Absatz 8 der Verordnung (EU) 2018/1725 angewendeten Beschränkung zunichtemachen würde.

Die FRA überprüft die Anwendung der Beschränkung alle sechs Monate ab ihrer Annahme und nach Abschluss der entsprechenden Untersuchung. Danach überwacht der Verantwortliche jährlich die Notwendigkeit der Aufrechterhaltung einer Beschränkung.

(3) Die Aufzeichnung sowie gegebenenfalls die Dokumente, die die zugrunde liegenden Fakten und die rechtlichen Grundlagen enthalten, werden registriert. Sie werden dem Europäischen Datenschutzbeauftragten auf Anforderung zur Verfügung gestellt.

Artikel 7 Recht auf Berichtigung, Löschung und Einschränkung der Verarbeitung

(1) In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann das Recht auf Berichtigung, Löschung und Einschränkung der Verarbeitung durch den für die Verarbeitung Verantwortlichen im Rahmen der folgenden Verarbeitungsvorgänge beschränkt werden, sofern dies notwendig und angemessen ist:

1. Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren;
2. Maßnahmen im Zusammenhang mit Fällen möglicher Unregelmäßigkeiten, die dem OLAF gemeldet werden;
3. Verfahren in Bezug auf Meldungen von Missständen;
4. (formelle und informelle) Verfahren in Bezug auf Belästigung;
5. Bearbeitung interner und externer Beschwerden;
6. interne und externe Prüfungen;
7. vom Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 durchgeführte Untersuchungen;
8. intern oder unter externer Mitwirkung durchgeführte (IT-) Sicherheitsüberprüfungen (z.B. durch die CERT-EUEU);
9. Verarbeitung personenbezogener Daten in Dokumenten, die von den Parteien oder Streithelfern im Rahmen von Verfahren vor dem Gerichtshof der Europäischen Union erhalten wurden.

(2) Beschränkt die Agentur das in den Artikeln 18, 19 Absatz 1 und 20 Absatz 1 der Verordnung (EU) 2018/1725 vorgesehene Recht auf Berichtigung, Löschung und Einschränkung der Verarbeitung ganz oder teilweise, ergreift sie die in Artikel 6 Absatz 2 dieses Beschlusses genannten Maßnahmen und registriert die Aufzeichnung gemäß Artikel 6 Absatz 3 dieses Beschlusses.

Artikel 8 Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person und Vertraulichkeit der elektronischen Kommunikation

(1) In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann das Recht auf Benachrichtigung über eine Verletzung des Schutzes personenbezogener Daten durch den für die Verarbeitung Verantwortlichen im Rahmen der folgenden Verarbeitungsvorgänge beschränkt werden, sofern dies notwendig und angemessen ist:

1. Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren;
2. Maßnahmen im Zusammenhang mit Fällen möglicher Unregelmäßigkeiten, die dem OLAF gemeldet werden;
3. Verfahren in Bezug auf Meldungen von Missständen;
4. (formelle und informelle) Verfahren in Bezug auf Belästigung;
5. Bearbeitung interner und externer Beschwerden;
6. interne und externe Prüfungen;
7. vom Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 durchgeführte Untersuchungen;
8. intern oder unter externer Mitwirkung durchgeführte (IT-)Sicherheitsüberprüfungen (z.B. durch die CERT-EU);
9. Verarbeitung personenbezogener Daten in Dokumenten, die von den Parteien oder Streithelfern im Rahmen von Verfahren vor dem Gerichtshof der Europäischen Union erhalten wurden.

(2) In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann das Recht auf Vertraulichkeit der elektronischen Kommunikation durch den für die Verarbeitung Verantwortlichen im Rahmen der folgenden Verarbeitungsvorgänge beschränkt werden, sofern dies notwendig und angemessen ist:

1. Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren;
2. Maßnahmen im Zusammenhang mit Fällen möglicher Unregelmäßigkeiten, die dem OLAF gemeldet werden;
3. Verfahren in Bezug auf Meldungen von Missständen;
4. formelle Verfahren in Bezug auf Belästigung;
5. Bearbeitung interner und externer Beschwerden;
6. intern oder unter externer Mitwirkung durchgeführte (IT-)Sicherheitsüberprüfungen (z.B. durch die CERT-EU).
7. Verarbeitung personenbezogener Daten in Dokumenten, die von den Parteien oder Streithelfern im Rahmen von Verfahren vor dem Gerichtshof der Europäischen Union erhalten wurden.

(3) Beschränkt die Agentur das in den Artikeln 35 und 36 der Verordnung (EU) 2018/1725 genannte Recht auf Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person oder auf Vertraulichkeit der elektronischen Kommunikation, erfasst und registriert sie die Gründe hierfür gemäß Artikel 5 Absatz 3 dieses Beschlusses. Es gilt Artikel 5 Absatz 4 dieses Beschlusses.

Artikel 9 Schlussbestimmung

Der Beschluss des Exekutivausschusses der FRA 2019/05 vom 27. September 2019 über interne Vorschriften in Bezug auf Beschränkungen bestimmter Rechte betroffener Personen in Bezug auf die Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten der Agentur der Europäischen Union für Grundrechte (2019/C 371/06) wird hiermit aufgehoben.

Artikel 10 Inkrafttreten

Dieser Beschluss tritt am dritten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.

Geschehen zu Wien am 24. September 2021.

ENDE