Beschluss (EU) 2026/1942 der Europäischen Zentralbank vom 30. Juli 2026 zur Verarbeitung personenbezogener Daten im Zusammenhang mit der Aufsicht über Kreditinstitute (EZB/2026/18)

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

staat niedergelassenes Kreditinstitut die NCA des Aufnahmemitgliedstaats, bis die Einleitung des Passporting-Verfahrens der EZB angezeigt wird; anschließend die EZB; viii) im Falle der Erbringung von Dienstleistungen außerhalb der teilnehmenden Mitgliedstaaten durch ein bedeutendes beaufsichtigtes Unternehmen oder ein weniger bedeutendes beaufsichtigtes Unternehmen die NCA des Herkunftsmitgliedstaats, bis die Einleitung des Passporting-Verfahrens der EZB angezeigt wird; anschließend der EZB; ix) im Falle der Erbringung von Dienstleistungen in einem teilnehmenden Mitgliedstaat durch ein in einem nicht teilnehmenden Mitgliedstaat niedergelassenes Kreditinstitut die NCA des Aufnahmemitgliedstaats, bis die Einleitung des Passporting-Verfahrens der EZB angezeigt wird; anschließend die EZB; x) im Falle der Zulassung oder Befreiung von der Zulassung von (gemischten) Finanzholdinggesellschaften, die bedeutende beaufsichtigte Unternehmen oder bedeutende beaufsichtigte Gruppen umfassen, die EZB; xi) im Falle der Zulassung oder Befreiung von der Zulassung von (gemischten) Finanzholdinggesellschaften, die weniger bedeutende beaufsichtigte Unternehmen oder weniger bedeutende beaufsichtigte Gruppen umfassen, die NCA, bei der der Antrag gemäß Artikel 21a der Richtlinie 2013/36/EU eingeht; xii) im Falle von Verschmelzungen, die von Instituten und (gemischten) Finanzholdinggesellschaften durchgeführt werden, wenn es sich bei den aus dem geplanten Vorgang hervorgehenden Unternehmen um bedeutende beaufsichtigte Unternehmen handelt, die EZB; xiii) im Falle von Verschmelzungen, die von Instituten und (gemischten) Finanzholdinggesellschaften durchgeführt werden, wenn es sich bei den aus dem geplanten Vorgang hervorgehenden Unternehmen um weniger bedeutende beaufsichtigte Unternehmen handelt, die NCA, welche die Anzeige gemäß Artikel 27i Absatz 1 Unterabsatz 1 der Richtlinie 2013/36/EU erhält; xiv) im Falle von Spaltungen, die von Instituten und (gemischten) Finanzholdinggesellschaften durchgeführt werden, bei denen es sich um bedeutende beaufsichtigte Unternehmen handelt, die EZB; xv) im Falle von Spaltungen, die von Instituten und (gemischten) Finanzholdinggesellschaften durchgeführt werden, bei denen es sich um weniger bedeutende beaufsichtigte Unternehmen handelt, die NCA, welche die Anzeige gemäß Artikel 27i Absatz 1 Unterabsatz 2 der Richtlinie 2013/36/EU erhält; c) bezüglich der laufenden Aufsicht über bedeutende beaufsichtigte Unternehmen die EZB; d) bezüglich Durchsetzung und Sanktionen die EZB; e) bei Vor-Ort-Prüfungen bedeutender beaufsichtigter Unternehmen die EZB; f) bezüglich der Überwachung der Aufsicht über weniger bedeutende beaufsichtigte Unternehmen die EZB; g) bezüglich der Aufsicht über weniger bedeutende beaufsichtigte Unternehmen: i) die NCA des Herkunftsmitgliedstaats oder ii) sofern die EZB gemäß Artikel 6 Absatz 5 Buchstabe b der Verordnung (EU) Nr. 1024/2013 sämtliche einschlägigen Befugnisse in Bezug auf ein weniger bedeutendes beaufsichtigtes Unternehmen unmittelbar selbst ausübt, die EZB. (3) Auf Ersuchen des zuständigen gemeinsam Verantwortlichen nach Absatz 2 leistet ein gemeinsam Verantwortlicher diesem zügige und effiziente Unterstützung bei der Bearbeitung von Anträgen betroffener Personen gemäß dem in Absatz 4 festgelegten Verfahren. (4) Für die Bearbeitung von Anträgen betroffener Personen gelten folgende Regeln: a) Der gemeinsam Verantwortliche, bei dem der Antrag einer betroffenen Person eingeht, übermittelt der betroffenen Person unverzüglich eine Empfangsbestätigung. Fällt der Antrag der betroffenen Person nicht in seine gemäß Absatz 2 festgelegte Zuständigkeit, leitet der gemeinsam Verantwortliche, bei dem der Antrag der betroffenen Person eingeht, diesen an den gemäß Absatz 2 tatsächlich für die Bearbeitung dieses Antrags zuständigen gemeinsam Verantwortlichen weiter. b) Wenn der gemeinsam Verantwortliche, an den der Antrag der betroffenen Person weitergeleitet wurde, bestätigt, dass er gemäß Absatz 2 für die Bearbeitung dieses Antrags zuständig ist, so unterrichtet der gemeinsam Verantwortliche, bei dem der Antrag der betroffenen Person eingegangen ist, die betroffene Person über die Übermittlung des Antrags der betroffenen Person an den erstgenannten gemeinsam Verantwortlichen. c) Etwaige Meinungsverschiedenheiten darüber, welcher gemeinsam Verantwortliche gemäß Absatz 2 zuständig ist, werden in einer Sitzung zwischen dem gemeinsam Verantwortlichen, bei dem der Antrag der betroffenen Person eingegangen ist, dem gemeinsam Verantwortlichen, an den der Antrag der betroffenen Person weitergeleitet wurde, und jedem anderen gemeinsam Verantwortlichen, der nach Auffassung des vorgenannten gemeinsam Verantwortlichen gemäß Absatz 2 zuständig ist, beigelegt. Im Anschluss an diese Sitzung unterrichtet der gemeinsam Verantwortliche, bei dem der Antrag der betroffenen Person eingegangen ist, die betroffene Person über die Übermittlung des Antrags der betroffenen Person an den gemeinsam Verantwortlichen, der bestätigt hat, dass er gemäß Absatz 2 zuständig ist. Wenn der gemeinsam Verantwortliche, bei dem der Antrag der betroffenen Person eingeht, der gemäß Absatz 2 zuständige gemeinsam Verantwortliche ist, der Antrag der betroffenen Person jedoch auch andere in Absatz 2 Buchstaben a bis g aufgeführte Aufsichtsaufgaben zum Gegenstand hat, ersucht dieser gemeinsam Verantwortliche einen oder mehrere andere gemeinsam Verantwortliche gemäß Absatz 3 um Unterstützung. d) Der gemäß Absatz 2 zuständige gemeinsam Verantwortliche übermittelt der betroffenen Person gegebenenfalls die endgültige Antwort unter Berücksichtigung der Angaben etwaiger anderer gemeinsam Verantwortlicher gemäß Buchstabe c. Artikel 5 Verfahren im Zusammenhang mit Verletzungen des Schutzes personenbezogener Daten (1) Ein gemeinsam Verantwortlicher, der von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt, meldet dies allen anderen gemeinsam Verantwortlichen unverzüglich, spätestens jedoch binnen 24 Stunden, nachdem er Kenntnis von der Verletzung des Schutzes personenbezogener Daten erlangt hat. (2) Der gemeinsam Verantwortliche, der die Verletzung des Schutzes personenbezogener Daten verursacht hat oder dem die Verletzung des Schutzes personenbezogener Daten zuzurechnen ist, einschließlich Verletzungen, die von seinen Auftragsverarbeitern oder Unterauftragsverarbeitern verursacht wurden oder ihnen zuzurechnen sind, ist für die Bearbeitung dieser Verletzung des Schutzes personenbezogener Daten gemäß der Verordnung (EU) 2018/1725 bzw. der Verordnung (EU) 2016/679 zuständig. Kann binnen 24 Stunden nach Eingang der in Absatz 1 genannten Meldung nicht festgestellt werden, welcher gemeinsam Verantwortliche zuständig ist, so sind alle gemeinsam Verantwortlichen für die Bearbeitung der Verletzung des Schutzes personenbezogener Daten zuständig. (3) Der nach Absatz 2 zuständige gemeinsam Verantwortliche meldet insbesondere die Verletzung des Schutzes personenbezogener Daten an seine Aufsichtsbehörde und unterrichtet gegebenenfalls die betroffene Person. Selbst wenn die EZB nicht der zuständige gemeinsam Verantwortliche ist, meldet sie ebenfalls die Verletzung des Schutzes personenbezogener Daten an den Europäischen Datenschutzbeauftragten, es sei denn, es ist unwahrscheinlich, dass durch die Verletzung des Schutzes personenbezogener Daten ein Risiko für die Rechte und Freiheiten natürlicher Personen entsteht. (4) Der nach Absatz 2 zuständige gemeinsam Verantwortliche unterrichtet alle gemeinsam Verantwortlichen unverzüglich über a) die vom gemeinsam Verantwortlichen getroffenen Maßnahmen zur Minderung der Risiken, die sich aus der Verletzung des Schutzes personenbezogener Daten ergeben und b) darüber, ob die Verletzung des Schutzes personenbezogener Daten der Aufsichtsbehörde gemeldet und der betroffenen Person mitgeteilt wurde oder werden wird. Artikel 6 Sicherheit der Verarbeitung (1) Gemäß Artikel 33 der Verordnung (EU) 2018/1725 bzw. Artikel 32 der Verordnung (EU) 2016/679 treffen die gemeinsam Verantwortlichen geeignete technische und organisatorische Maßnahmen, um die Sicherheit der verarbeiteten personenbezogenen Daten zu gewährleisten. Bei der Bewertung des angemessenen Schutzniveaus berücksichtigen die gemeinsam Verantwortlichen den Stand der Technik, die Implementierungskosten, die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung sowie die Risiken für die betroffenen Personen. (2) Jeder gemeinsam Verantwortliche, der ein für die Verarbeitung personenbezogener Daten verwendetes IT-System betreibt und verwaltet, legt geeignete technische und organisatorische Maßnahmen für dieses System fest und setzt sie um oder stellt sicher, dass der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen für dieses System festlegt und umsetzt. (3) Die gemeinsam Verantwortlichen gewähren nur ihnen unterstellten natürlichen Personen Zugang zu den im Rahmen dieses Beschlusses verarbeiteten personenbezogenen Daten und nur soweit dies zur Erfüllung der in den Anhängen festgelegten Verarbeitungszwecke erforderlich ist. (4) Die gemeinsam Verantwortlichen stellen sicher, dass sich die zur Verarbeitung personenbezogener Daten befugten Personen zur Wahrung der Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Artikel 7 Datenschutz-Folgenabschätzungen (1) Die gemeinsam Verantwortlichen entscheiden, ob eine Datenschutz-Folgenabschätzung erforderlich ist, und welcher der gemeinsam Verantwortlichen einen Entwurf der Datenschutz-Folgenabschätzung erstellt. (2) Eine Datenschutz-Folgenabschätzung gilt erst dann als endgültig, wenn sie von allen gemeinsam Verantwortlichen genehmigt wurde. (3) In begründeten Fällen, z. B. wenn die gemeinsam Verantwortlichen nicht an denselben Phasen eines Verarbeitungsvorgangs beteiligt sind, führen die gemeinsam Verantwortlichen eine gesonderte Datenschutz-Folgenabschätzung für die betreffende Phase des Verarbeitungsvorgangs durch, an der sie beteiligt sind. (4) Wenn aus einer Datenschutz-Folgenabschätzung hervorgeht, dass die Verarbeitung ohne Garantien, Sicherheitsvorkehrungen und Verfahren zur Risikominderung ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hätte, und das Risiko nach Auffassung des gemäß Absatz 1 für die Erstellung des Entwurfs zuständigen gemeinsam Verantwortlichen nicht durch in Bezug auf verfügbare Technologien und Implementierungskosten vertretbare Mittel gemindert werden kann, so konsultiert dieser gemeinsam Verantwortliche seine Aufsichtsbehörde. In einem solchen Fall konsultiert die EZB auch den Europäischen Datenschutzbeauftragten gemäß Artikel 40 der Verordnung (EU) 2018/1725, selbst wenn sie nicht der gemäß Absatz 1 für die Erstellung des Entwurfs zuständige gemeinsam Verantwortliche ist. Artikel 8 Sonstige Aufgaben der gemeinsam Verantwortlichen (1) Unbeschadet der Pflichten, denen die gemeinsam Verantwortlichen gemäß der Verordnung (EU) 2018/1725, der Verordnung (EU) 2016/679 oder nationalen Rechtsvorschriften unterliegen, ist jeder gemeinsam Verantwortliche für Folgendes verantwortlich: a) die Speicherfristen für die personenbezogenen Daten im Einklang mit dem geltenden Datenschutzbestimmungen festzulegen; b) soweit dies notwendig und verhältnismäßig ist, über die Einschränkung der Ausübung der Rechte betroffener Personen nach Maßgabe der geltenden Datenschutzvorschriften, einschließlich der von einem gemeinsam Verantwortlichen erlassenen internen Vorschriften oder nationaler Rechtsvorschriften im Einklang mit der Verordnung (EU) 2018/1725 bzw. der Verordnung (EU) 2016/679, oder über die Anwendung etwaiger Ausnahmen nach Maßgabe von Artikel 16 Absatz 5 der Verordnung (EU) 2018/1725 bzw. Artikel 14 Absatz 5 der Verordnung (EU) 2016/679 zu entscheiden; c) die Rechtmäßigkeit, Notwendigkeit und Verhältnismäßigkeit der Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation zu prüfen und zu bewerten sowie seinen Pflichten gemäß Kapitel V der Verordnung (EU) 2018/1725 bzw. Kapitel V der Verordnung (EU) 2016/679 nachzukommen; d) gemäß Artikel 29 der Verordnung (EU) 2018/1725 bzw. Artikel 28 der Verordnung (EU) 2016/679 nur Auftragsverarbeiter in Anspruch zu nehmen, die hinreichende Garantien für die Durchführung geeigneter technischer und organisatorischer Maßnahmen bieten; e) den anderen gemeinsam Verantwortlichen eine Liste der Auftragsverarbeiter zu übermitteln, deren Dienste dieser gemeinsam Verantwortliche für die Zwecke der Verarbeitung personenbezogener Daten zur Wahrnehmung der in Artikel 1 Absatz 2 aufgeführten Aufsichtsaufgaben in Anspruch nimmt. (2) Die gemeinsam Verantwortlichen unterrichten einander über alle relevanten Informationen im Zusammenhang mit der Einhaltung der in Absatz 1 aufgeführten Pflichten unter gebührender Berücksichtigung der geltenden Bestimmungen über die Vertraulichkeit. Artikel 9 Einhaltung von Vorschriften und Dokumentation (1) Jeder gemeinsam Verantwortliche hält die allgemeinen Datenschutzgrundsätze gemäß Artikel 4 der Verordnung (EU) 2018/1725 bzw. Artikel 5 der Verordnung (EU) 2016/679 ein. (2) Jeder gemeinsam Verantwortliche führt ein Verzeichnis der Verarbeitungstätigkeiten, die seiner Zuständigkeit unterliegen, und verfügt über die Informationen, die zum Nachweis der Einhaltung dieses Beschlusses erforderlich sind. Artikel 10 Zusammenarbeit zwischen den gemeinsam Verantwortlichen Die gemeinsam Verantwortlichen leisten einander die erforderliche Unterstützung, damit jeder von ihnen die Anforderungen der Verordnung (EU) 2018/1725 bzw. der Verordnung (EU) 2016/679 und des vorliegenden Beschlusses innerhalb einer Frist erfüllen kann, die mit den Anforderungen dieser Verordnungen vereinbar ist. Artikel 11 Aufteilung der Entschädigung Die gemeinsam Verantwortlichen regeln untereinander — gemäß dem tatsächlichen Grad der Verantwortung — die Aufteilung einer Entschädigung, die einer oder mehrere von ihnen für Schäden gezahlt haben, die aufgrund eines Verstoßes gegen die Verordnung (EU) 2018/1725 bzw. die Verordnung (EU) 2016/679 entstanden sind. Ein gemeinsam Verantwortlicher, der nachweist, dass er in keiner Weise für ein haftungsbegründendes Ereignis verantwortlich ist, ist von einer solchen Regelung zur Aufteilung zwischen ihm und anderen gemeinsam Verantwortlichen ausgenommen und ist berechtigt, von dem tatsächlich zuständigen gemeinsam Verantwortlichen die von ihm geleistete Entschädigungszahlung zurückzufordern. Artikel 12 Beilegung von Meinungsverschiedenheiten (1) Im Falle einer Meinungsverschiedenheit über die Aufteilung der Entschädigung, die einer der gemeinsam Verantwortlichen für Schäden gezahlt hat, die aufgrund eines Verstoßes gegen die Verordnung (EU) 2018/1725 bzw. die Verordnung (EU) 2016/679 entstanden sind, wird ein unabhängiges Gremium eingerichtet, um die Beilegung der Meinungsverschiedenheit zu erleichtern. (2) Jeder gemeinsam Verantwortliche kann eine Meinungsverschiedenheit einem oder mehreren gemeinsam Verantwortlichen mitteilen und ein Mitglied für das Gremium bestellen. Jeder gemeinsam Verantwortliche, an den Mitteilung erstattet wurde, bestellt sein Gremiumsmitglied innerhalb von zwei Wochen nach Eingang der Mitteilung. Der gemeinsam Verantwortliche, der die Mitteilung über die Meinungsverschiedenheit erstattet hat, und die gemeinsam Verantwortlichen, an welche die Mitteilung erstattet wurde, gelten als von der Meinungsverschiedenheit betroffene Parteien. (3) Ein unabhängiges Gremium besteht aus einer ungeraden Anzahl von Mitgliedern und setzt sich aus den nach Absatz 2 bestellten Mitgliedern sowie einem oder zwei von diesen Gremiumsmitgliedern gemeinsam bestellten Mitgliedern zusammen. Die Führung des Vorsitzes bzw. des Vorsitzes und des stellvertretenden Vorsitzes bestimmt sich nach dem Dienstalter des gemeinsam bestellten Gremiumsmitglieds bzw. der gemeinsam bestellten Gremiumsmitglieder, die eine Vergütung erhalten, die zu gleichen Teilen von allen von der Meinungsverschiedenheit betroffenen Parteien gezahlt wird. Das gemeinsam bestellte Gremiumsmitglied bzw. die gemeinsam bestellten Gremiumsmitglieder sind von den von der Meinungsverschiedenheit betroffenen Parteien unabhängig. Der Vorsitzende teilt dem Präsidenten oder der Präsidentin der EZB die endgültige Zusammensetzung des Gremiums mit. (4) Das unabhängige Gremium arbeitet im Einklang mit den Grundsätzen der Unparteilichkeit und der Gleichberechtigung sowie dem Recht auf rechtliches Gehör. (5) Das unabhängige Gremium ist bestrebt, innerhalb von drei Monaten nach Mitteilung seiner endgültigen Zusammensetzung an den Präsidenten oder die Präsidentin der EZB eine begründete Empfehlung zur Beilegung der Meinungsverschiedenheit abzugeben. Die Empfehlung ist für die von der Meinungsverschiedenheit betroffene Parteien nicht bindend und kann in Gerichtsverfahren als Beweismittel vorgelegt werden. Artikel 13 Überprüfung Um die Wirksamkeit der Festlegung der Aufgaben der gemeinsam Verantwortlichen zur Einhaltung der Pflichten nach Maßgabe der Verordnung (EU) 2018/1725 bzw. der Verordnung (EU) 2016/679 zu gewährleisten, überprüft der EZB-Rat die in diesem Beschluss getroffenen Vereinbarungen spätestens fünf Jahre nach dem Datum des Wirksamwerdens dieses Beschlusses. Artikel 14 Wirksamwerden Dieser Beschluss wird am Tag seiner Bekanntgabe an die Adressaten wirksam. Artikel 15 Adressaten Dieser Beschluss ist an die nationalen zuständigen Behörden der teilnehmenden Mitgliedstaaten gerichtet. Geschehen zu Frankfurt am Main am 30. Juli 2026. Die Präsidentin der EZB Christine LAGARDE (1) ABl. L 295 vom 21.11.2018, S. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj. (2) ABl. L 119 vom 4.5.2016, S. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj. (3) ABl. L 287 vom 29.10.2013, S. 63, ELI: http://data.europa.eu/eli/reg/2013/1024/oj. (4) Verordnung (EU) Nr. 468/2014 der Europäischen Zentralbank vom 16. April 2014 zur Einrichtung eines Rahmenwerks für die Zusammenarbeit zwischen der Europäischen Zentralbank und den nationalen zuständigen Behörden und den nationalen benannten Behörden innerhalb des einheitlichen Aufsichtsmechanismus (SSM-Rahmenverordnung) (EZB/2014/17) (ABI L 141 vom 14.5.2014, S. 1, ELI: http://data.europa.eu/eli/reg/2014/468/oj). (5) Richtlinie 2013/36/EU des Europäischen Parlaments und des Rates vom 26. Juni 2013 über den Zugang zur Tätigkeit von Kreditinstituten und die Beaufsichtigung von Kreditinstituten, zur Änderung der Richtlinie 2002/87/EG und zur Aufhebung der Richtlinien 2006/48/EG und 2006/49/EG (ABl. L 176 vom 27.6.2013, S. 338, ELI: http://data.europa.eu/eli/dir/2013/36/oj). ANHANG I Beurteilungen der fachlichen Qualifikation und persönlichen Zuverlässigkeit 1. GEGENSTAND, ART UND ZWECK DER VERARBEITUNG Die EZB führt in Zusammenarbeit mit den nationalen zuständigen Behörden (National Competent Authorities — NCAs) Bewertungen und Neubewertungen der Eignung von Mitgliedern durch, die für Führungs- und Aufsichtspositionen in bedeutenden beaufsichtigten Unternehmen bestellt werden, wie Mitglieder des Leitungsorgans und Inhaber von Schlüsselfunktionen sowie Inhaber anderer Positionen, die in den nationalen Rechtsvorschriften zur Umsetzung der Richtlinie 2013/36/EU angegeben sind, Zweigstellenleiter und bestimmte andere Personen, die für die Leitung bedeutender beaufsichtigter Unternehmen oder ihrer Zweigstellen verantwortlich sind (im Folgenden „Verfahren zur Beurteilung der fachlichen Qualifikation und persönlichen Zuverlässigkeit“). Im Rahmen der Verfahren zur Beurteilung der fachlichen Qualifikation und persönlichen Zuverlässigkeit werden personenbezogene Daten für folgende Zwecke verarbeitet: a) Beurteilung, ob die bestellten Mitglieder die Kriterien für die fachliche Qualifikation und persönliche Zuverlässigkeit erfüllen; b) Durchführung von Neubewertungen, um zu gewährleisten, dass die Anforderungen an die fachliche Qualifikation und die persönliche Zuverlässigkeit fortlaufend erfüllt werden und, wenn die Anforderungen nicht erfüllt sind, die betreffenden Mitglieder aus dem Leitungsorgan des bedeutenden beaufsichtigten Unternehmens abzuberufen; c) Prüfung von Anträgen, einem Mitglied des Leitungsorgans zu genehmigen, ein weiteres Aufsichtsmandat zu bekleiden, sowie von Anträgen auf gleichzeitige Bekleidung der Position des Vorsitzenden des Leitungsorgans in seiner Aufsichtsfunktion und des Chief Executive Officer im bedeutenden beaufsichtigten Unternehmen; d) Durchführung quantitativer Studien und Analysen sowie Meldung statistischer Daten auf aggregierter Ebene. 2. RECHTSGRUNDLAGE a) Artikel 5 Absatz 1 Buchstabe a der Verordnung (EU) 2018/1725 oder Artikel 6 Absatz 1 Buchstabe e und in einigen Mitgliedstaaten Artikel 6 Absatz 1 Buchstabe c der Verordnung (EU) 2016/679 in Verbindung mit Artikel 4 Absatz 1 Buchstabe e und den Artikeln 6, 7, 8, 9 und 10 der Verordnung (EU) Nr. 1024/2013; b) Artikel 5 Absatz 1 Buchstabe a der Verordnung (EU) 2018/1725 oder Artikel 6 Absatz 1 Buchstabe e und in einigen Mitgliedstaaten Artikel 6 Absatz 1 Buchstabe c der Verordnung (EU) 2016/679 in Verbindung mit der Richtlinie 2013/36/EU in der in nationales Recht umgesetzten Fassung. 3. BETROFFENE PERSONEN Personenbezogene Daten zu den folgenden Kategorien betroffener Personen dürfen verarbeitet werden: a) bestellte Mitglieder, die Gegenstand einer Beurteilung im Rahmen eines Verfahrens zur Beurteilung der fachlichen Qualifikation und persönlichen Zuverlässigkeit sind; b) nahe Angehörige eines bestellten Mitglieds, wie Ehegatten, eingetragene Lebenspartner, Lebensgefährten, Kinder, Eltern oder sonstige Angehörige, mit denen das bestellte Mitglied in einem Haushalt lebt; c) mit einem bestellten Mitglied verbundene Personen, deren personenbezogene Daten von Bedeutung für die Beurteilung des bestellten Mitglieds sind, wie Personen, die leitende Positionen im beaufsichtigten Unternehmen, für das die Bestellung erfolgt, bekleiden oder dessen wirtschaftliche Eigentümer sind; d) bevollmächtigte Vertreter eines bestellten Mitglieds im Verfahren zur Beurteilung der fachlichen Qualifikation und persönlichen Zuverlässigkeit. 4. KATEGORIEN VERARBEITETER PERSONENBEZOGENER DATEN Die folgenden Kategorien personenbezogener Daten dürfen verarbeitet werden: a) Daten, die eine Identifizierung ermöglichen, wie Name, Personalausweis-/Reisepassnummer, Staatsangehörigkeit und Unterschrift des bestellten Mitglieds; b) Kontaktdaten, wie Postanschrift, E-Mail-Adresse und Telefonnummer des bestellten Mitglieds; c) berufliche Daten zu allgemeiner und beruflicher Bildung, Beschäftigung und anderen bekleideten Positionen des bestellten Mitglieds sowie der Mitglieder des Leitungsorgans des beaufsichtigten Unternehmens, für das die Bestellung erfolgt; d) berufliche Daten zu jeder anderen Geschäftstätigkeit des bestellten Mitglieds; e) Angaben zu Strafregistereinträgen, strafrechtlichen Ermittlungen und Strafverfahren, relevanten Zivil-/Verwaltungsverfahren und Disziplinarmaßnahmen, einschließlich Verbot der Ausübung der Geschäftsführerposition, Konkurs, Insolvenz und ähnlichen Verfahren; f) Angaben zur finanziellen Situation des bestellten Mitglieds; g) Beschreibung der persönlichen Beziehungen naher Angehöriger des bestellten Mitglieds zu anderen Mitgliedern des Leitungsorgans und/oder Inhabern von Schlüsselfunktionen des beaufsichtigten Unternehmens, für das die Bestellung erfolgt, seines Mutterunternehmens oder seiner Tochterunternehmen, und ihrer beruflichen und finanziellen Beziehungen zum beaufsichtigten Unternehmen, für das die Bestellung erfolgt, sowie zu dessen Mutterunternehmen oder Tochterunternehmen; h) Informationen darüber, ob eine Beurteilung