Beschluss der Hohen Vertreterin der Union für Außen-und Sicherheitspolitik vom 1. Oktober 2019 über die Durchführungsbestimmungen für den Schutz personenbezogener Daten durch den Europäischen Auswärtigen Dienst und die Anwendung der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates2019/C 370/05

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

31.10.2019 DE Amtsblatt der Europäischen Union C 370/9 Beschluss der Hohen Vertreterin der Union für Außen-und Sicherheitspolitik vom 1. Oktober 2019 über die Durchführungsbestimmungen für den Schutz personenbezogener Daten durch den Europäischen Auswärtigen Dienst und die Anwendung der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates (2019/C 370/05) DIE HOHE VERTRETERIN DER UNION FÜR AUßEN- UND SICHERHEITSPOLITIK — gestützt auf den Beschluss 2010/427/EU des Rates vom 26. Juli 2010 über die Organisation und die Arbeitsweise des Europäischen Auswärtigen Dienstes (1), (im Folgenden „Ratsbeschluss über den EAD“), insbesondere auf Artikel 11 Absatz 3, gestützt auf die Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG (2), (im Folgenden „Verordnung“), insbesondere auf Artikel 43, 44 und 45, in Erwägung nachstehender Gründe: (1) Die in der Verordnung festgelegte verstärkte Rechenschaftspflicht des für die Datenverarbeitung Verantwortlichen erfordert die Annahme eines neuen Durchführungsbeschlusses zur Ersetzung des Beschlusses PROC HR (2011) 016 der Hohen Vertreterin der Union für Außen- und Sicherheitspolitik vom 8. Dezember 2011 über die Vorschriften für den Datenschutz im EAD. (2) Die Rolle des Datenschutzbeauftragten und die Zuständigkeiten des für die Datenverarbeitung Verantwortlichen müssen innerhalb des Europäischen Auswärtigen Dienstes eindeutig festgelegt und an die Anforderungen der Verordnung angepasst werden — BESCHLIEßT: ABSCHNITT 1 ALLGEMEINE BESTIMMUNGEN Artikel 1 Gegenstand und Anwendungsbereich (1) Gemäß Artikel 45 Absatz 3 der Verordnung werden in diesem Beschluss die Aufgaben, Pflichten und Befugnisse des Datenschutzbeauftragten (im Folgenden „DSB“) innerhalb des EAD festgelegt. (2) In diesem Beschluss werden auch die internen Verfahren und Zuständigkeiten der für die Datenverarbeitung Verantwortlichen und der Auftragsverarbeiter sowie Funktion, Aufgaben und Pflichten der Datenschutzkoordinatoren und -korrespondenten, insbesondere gemäß Artikel 26 und 29 der Verordnung, festgelegt. Artikel 2 Begriffsbestimmungen Im Sinne dieses Beschlusses und unbeschadet der Begriffsbestimmungen der Verordnung bezeichnet der Ausdruck a) „für die Datenverarbeitung Verantwortlicher“: den EAD oder seine organisatorischen Einheiten, einschließlich der EU-Delegationen, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten bestimmen; b) „Vertreter des Verantwortlichen“: Mitglieder der Leitung oder Leiter von organisatorischen Stellen des EAD, die die in Buchstabe a genannten für die Datenverarbeitung verantwortlichen Einheiten beaufsichtigen und für die Verarbeitung personenbezogener Daten verantwortlich und rechenschaftspflichtig sind; c) „delegierter Verantwortlicher“: einen Dienst oder Mitarbeiter innerhalb der Organisationseinheit des für die Datenverarbeitung Verantwortlichen, die mit der Verwaltung der Verarbeitung personenbezogener Daten betraut ist; d) „gemeinsame Verantwortliche“: zwei oder mehr Organisationseinheiten, die gemeinsam über die Zwecke und Mittel der Verarbeitung personenbezogener Daten sowie über die Aufgaben und Zuständigkeiten der Verantwortlichen, einschließlich ihrer Pflichten in Bezug auf die Ausübung der Rechte betroffener Personen, bestimmen, insbesondere wenn der EAD die Verarbeitung gemeinsam mit anderen Organen, Einrichtungen, Agenturen, Ämtern oder sonstigen Stellen der EU kontrolliert; e) „Datenschutzbeauftragter“ („DSB“): den vom EAD gemäß Artikel 43 der Verordnung vom EAD benannte EAD-Bedienstete, die die für die Verarbeitung Verantwortlichen unterstützen, informieren und beraten; f) „Datenschutzkoordinator und -korrespondent“: EAD-Bedienstete in der Zentrale und in den EU-Delegationen, die ihren für die Datenverarbeitung Verantwortlichen bei Datenschutzfragen unterstützen; g) „Auftragsverarbeiter“: eine Einrichtung innerhalb oder außerhalb des EAD, die personenbezogene Daten im Namen des Verantwortlichen verarbeitet; h) „Datenschutzhinweise“: Hinweise wie Datenschutzerklärungen, mit denen der Verantwortliche den betroffenen Personen gemäß Artikel 15 und 16 der Verordnung Informationen zur Verfügung stellt; i) „Personal des EAD“: gemäß Artikel 6 des EAD-Beschlusses des Rates Beamte und sonstige Bedienstete der EU, die für den EAD tätig sind, einschließlich Mitglieder des Personals der diplomatischen Dienste der EU-Mitgliedstaaten, abgeordnete nationale Sachverständige und Praktikanten. ABSCHNITT 2 DER DATENSCHUTZBEAUFTRAGTE Artikel 3 Benennung des Datenschutzbeauftragten (1) Der Generalsekretär des EAD benennt gemäß Artikel 43 der Verordnung den DSB unter den Personalmitgliedern des EAD und registriert ihn beim Europäischen Datenschutzbeauftragten (im Folgenden „EDSB“). (2) Zusätzlich zu den Anforderungen gemäß Artikel 43 Absatz 3 der Verordnung muss der DSB über solide Kenntnisse der Kommissionsdienststellen, ihres Aufbaus, ihrer Informationssysteme und ihrer Verwaltungsvorschriften und -verfahren verfügen. Er muss über Fachwissen im Bereich Datenschutz verfügen, über ein sicheres Urteilsvermögen sowie über die Fähigkeit, unparteiisch und objektiv im Einklang mit dem Statut zu handeln. (3) Der DSB wird für eine Amtszeit von fünf Jahren benannt und kann wiederernannt werden. (4) Der DSB kann nur mit Zustimmung des EDSB seines Amtes enthoben werden, wenn der DSB die zur Erfüllung seiner Aufgaben erforderlichen Voraussetzungen nicht mehr erfüllt. (5) Der DSB ist verwaltungstechnisch dem Generalsekretariat zugeordnet. (6) Die Kontaktdaten des DSB werden im Intranet des EAD und auf der EAD-Website veröffentlicht und dem EDSB übermittelt. Artikel 4 Stellung des Datenschutzbeauftragten (1) Der DSB handelt unabhängig und in Zusammenarbeit mit dem EDSB. Der EAD erteilt dem DSB keine Weisungen in Bezug auf die Wahrnehmung seiner Aufgaben. (2) Der DSB darf wegen der Wahrnehmung seiner Aufgaben nicht abberufen oder benachteiligt werden. (3) Der DSB wird über alle Kontakte mit externen Parteien, die die Anwendung der Verordnung und dieses Beschlusses betreffen, insbesondere über jegliche Interaktion mit dem EDSB und den Mitgliedern des DSB-Netzes in den Organen, Einrichtungen, Büros oder Agenturen der EU, unterrichtet. (4) Betroffene Personen können den DSB zu allen Fragen, die mit der Verarbeitung ihrer personenbezogenen Daten oder der Wahrnehmung ihrer Rechte gemäß der Verordnung in Zusammenhang stehen, zu Rate ziehen. (5) Der DSB kann von dem Verantwortlichen oder seinem Vertreter, von der Personalvertretung und von jedem Bediensteten in allen Fragen, die die Auslegung oder Anwendung der Verordnung betreffen, konsultiert werden, ohne dass sie offizielle Wege beschreiten müssen. Niemand darf benachteiligt werden, weil er dem/der DSB eine Angelegenheit zur Kenntnis gebracht hat. Artikel 5 Aufgaben des/der Datenschutzbeauftragten Der DSB a) wird zu allen mit dem Schutz personenbezogener Daten zusammenhängenden Fragen konsultiert; b) stellt für die Dienststellen des EAD und deren Auftragnehmer, die die Verarbeitung personenbezogener Daten übernehmen, Orientierungshilfe und proaktive Beratung dazu bereit, wie die Verordnung und dieser Beschluss umzusetzen sind, dies schließt auch die Konsultation zu Meldungen von Datenschutzverstößen, Folgenabschätzungen und die Notwendigkeit der vorherigen Konsultation des EDSB ein; c) steht in regelmäßigem Kontakt mit den Verantwortlichen, um die Einhaltung der Datenschutzbestimmungen zu überwachen und sie bei ihren Aufgaben zu unterstützen, insbesondere bei der Vorbereitung und Veröffentlichung von Datenschutzerklärungen und der Bearbeitung von Anträgen betroffener Personen; d) steht in regelmäßigem Kontakt mit den Datenschutzkoordinatoren in der EAD-Zentrale und in den EU-Delegationen und verwaltet das Netz der Datenschutzkoordinatoren innerhalb des EAD; e) fördert die Sensibilisierung für den Datenschutz und organisiert Schulungen und Informationsveranstaltungen; f) arbeitet mit den DSB anderer EU-Organe, Einrichtungen, Büros und Agenturen zusammen, um insbesondere Erfahrungen und bewährte Verfahren auszutauschen; g) führt ein zentrales Register der vom EAD durchgeführten Verarbeitungstätigkeiten auf der Grundlage des Verzeichnisses, das von dem für die Verarbeitung Verantwortlichen gemäß Artikel 31 der Verordnung zu führen ist und macht das Register öffentlich zugänglich; h) setzt sich dafür ein, die Vertretung der Hohen Vertreterin oder des EAD auf internationaler Ebene in allen den Datenschutz betreffenden Fragen zu gewährleisten. Artikel 6 Befugnisse Bei der Wahrnehmung seiner Aufgaben wird der DSB: a) jederzeit Zugang zu den Daten zu haben, die von Stellen des EAD und deren Auftragnehmern verarbeitet werden, sowie zu allen Geschäftsräumen, Datenverabeitungszentren und Datenträgern; b) der Anstellungsbehörde seine Stellungnahme vor der Beschlussfassung über Fragen im Zusammenhang mit der Anwendung der Datenschutzbestimmungen übermitteln; c) gegebenenfalls Verwaltungsmaßnahmen vorschlagen und allgemeine Empfehlungen für die ordnungsgemäße Anwendung der Verordnung und des vorliegenden Beschlusses aussprechen; d) gegebenenfalls der Verwaltung des EAD, dem Personal und allen einschlägigen externen Parteien Empfehlungen für die praktische Verbesserung des Datenschutzes vorlegen; e) gegebenenfalls Fragen des Datenschutzes untersuchen und zusätzlich zu der Person, die die Untersuchung beantragt oder die Beschwerde eingelegt hat, dem für die Verarbeitung Verantwortlichen und jedem relevanten Mitglied der Verwaltung des EAD das Ergebnis der Untersuchung mitteilen; f) gegebenenfalls Vorlagen und interne Verfahren, Anweisungen oder Strategien entwickeln, um den für die Verarbeitung Verantwortlichen und Auftragsverarbeitern Leitlinien an die Hand zu geben; g) bei Bedarf die Dienste externer Sachverständiger, einschließlich IT-Spezialisten, in Anspruch nehmen; h) der Anstellungsbehörde des EAD gegebenenfalls jede Nichteinhaltung der Verpflichtungen aus der Verordnung und dem vorliegenden Beschluss durch einen Bediensteten zur Kenntnis bringen und die Einleitung einer Verwaltungsuntersuchung vorschlagen; i) gegebenenfalls interne Leitlinien für den Datenschutz (DSB-Leitlinien) erlassen, die bei der Verarbeitung personenbezogener Daten zu berücksichtigen sind. Artikel 7 Ressourcen (1) Der DSB ist mit dem entsprechenden Personal und den Mitteln auszustatten, die er für die Erfüllung der in Artikel 5 genannten Aufgaben benötigt. (2) Alle EAD-Bediensteten unterstützen den DSB bei der Wahrnehmung der in Artikel 5 dieses Beschlusses genannten Aufgaben, insbesondere werden die für die Verarbeitung Verantwortlichen und die Auftragsverarbeiter die angeforderten Informationen über Datenverarbeitungstätigkeiten und Zugang zu personenbezogenen Daten bereitstellen und die Antworten auf die bei dem DSB eingegangen Anträge von betroffenen Personen vorbereiten, die ihr Recht auf Zugang, Änderung oder Löschung wahrnehmen, die aber mit Verarbeitungstätigkeiten zusammenhängen, für die der für die Verarbeitung Verantwortliche zuständig ist. (3) Der DSB kann je nach Bedarf durch einen Stellvertreter oder einen Assistenten sowie durch Verwaltungspersonal und Sekretariatskräfte unterstützt werden. Der DSB kann auch andere EAD- oder beauftragte Stellen und externe Sachverständige heranziehen. (4) Nach seiner Benennung unterstützt der Assistent oder stellvertretende DSB den DSB bei der Erfüllung seiner/ihrer Aufgaben und wird ihn im Falle seiner Abwesenheit vertreten. Die Artikel 4, 5 und 6 gelten auch für stellvertretende Datenschutzbeauftragte oder Assistenten von Datenschutzbeauftragten. (5) Der DSB verfügt über geeignete Räumlichkeiten, in denen die Sicherheit und Vertraulichkeit von Informationen, einschließlich personenbezogener Daten, gewährleistet werden und eine angemessene Aufbewahrung und Archivierung von Daten und Dokumenten sichergestellt werden kann. (6) Der DSB verfügt über ein elektronisches Instrument, das i) die Aufzeichnungen über die Verarbeitung personenbezogener Daten gemäß Artikel 31 der Verordnung verwalten und ii) Datenschutzhinweise, Meldungen über Datenschutzverletzungen, Datenschutzfolgenabschätzungen, Anträge von betroffenen Personen und Aufzeichnungen über Datenübermittlungen speichern kann. (7) Der EAD unterstützt den DSB bei der Aufrechterhaltung und Ausweitung seines Fachwissens unter anderem durch die Erleichterung der Teilnahme an interinstitutionellen oder externen Schulungen, Konferenzen oder Veranstaltungen im Zusammenhang mit dem Datenschutz sowie an vom EDSB und dem DSB-Netzwerk der Organe, Einrichtungen, Büros und Agenturen der EU organisierten Treffen und Schulungen. ABSCHNITT 3 AN DATENSCHUTZVERFAHREN BETEILIGTE AKTEURE Artikel 8 Für die Datenverarbeitung Verantwortliche und Auftragsverarbeiter (1) Die delegierten Verantwortlichen, die Vertreter der Verantwortlichen und der Auftragsverarbeiter haften im Namen des für die Verarbeitung Verantwortlichen dafür, dass alle ihrer Kontrolle unterstehenden Verarbeitungstätigkeiten mit der Verordnung, insbesondere Artikel 26, und mit den Bestimmungen dieses Beschlusses in Einklang stehen. Gemäß Artikel 29 der Verordnung können sie erforderlichenfalls EAD-Bedienstete, die unter ihrer Verantwortung arbeiten, oder einen Auftragnehmer mit Aufgaben der Datenverarbeitung betrauen. (2) Der für die Datenverarbeitung Verantwortliche muss insbesondere: a) rechenschaftspflichtig sein, sicherstellen und nachweisen, dass die Verarbeitung in Übereinstimmung mit der Verordnung und diesem Beschluss erfolgt; b) alle Verarbeitungsaktivitäten und wesentlichen Änderungen einer bestehenden Verarbeitungsaktivität erfassen; c) gewährleisten, dass die betroffenen Personen gemäß den Artikeln 15 und 16 der Verordnung über die Verarbeitung ihrer Daten in Kenntnis gesetzt werden, indem ihnen die Datenschutzhinweise zur Verfügung gestellt werden; d) mit dem Datenschutzbeauftragten und dem EDSB zusammenarbeiten, insbesondere durch Bereitstellung von Informationen für die Beantwortung der bei ihnen eingegangenen Anträge innerhalb von 14 Kalendertagen ab dem Datum des Antrags; e) den Datenschutzbeauftragten unterrichten, wenn ein Auftragnehmer beauftragt wird, personenbezogene Daten im Namen des für die Verarbeitung Verantwortlichen zu verarbeiten; f) einen Datenschutzkoordinatoren benennen und ihn bei der Erfüllung seiner Aufgaben und Information des DSB über jede Änderung der Person oder Funktion des DPC unterstützen; g) sich durch Nachfrage beim Datenschutzbeauftragten vergewissern, ob die Verarbeitungstätigkeit mit der Verordnung und mit diesem Beschluss vereinbar ist. Er kann den DSB oder andere Sachverständige zu Fragen im Zusammenhang mit der Vertraulichkeit, Verfügbarkeit und Integrität der Verarbeitungsvorgänge und zu den gemäß Artikel 33 der Verordnung ergriffenen Sicherheitsmaßnahmen konsultieren. (3) Für die Verarbeitung Verantwortliche können andere Stellen im EAD oder beauftragte Einrichtungen als Auftragsverarbeiter in Übereinstimmung mit den Bestimmungen der Verordnung nutzen, sofern sie in ihren Aufzeichnungen dokumentieren, wer der Auftragsverarbeiter ist, welche Aufgaben ihm übertragen werden und welche Sicherheitsmaßnahmen getroffen wurden. (4) Der für die Datenverarbeitung Verantwortliche stellt sicher, dass der Datenschutzbeauftragte unverzüglich unterrichtet wird von a) allen Fragen, die Auswirkungen auf den Datenschutz haben oder haben könnten; b) allen Mitteilungen und Beschlüssen des EAD im Zusammenhang mit der Anwendung der Verordnung, insbesondere jeder Interaktion mit dem EDSB. Artikel 9 Datenschutzkoordinator und –korrespondent (1) Je nach Umfang und Art der verarbeiteten personenbezogenen Daten verfügen die organisatorischen Einheiten des EAD über einen Datenschutzkoordinatoren, der als Anlaufstelle für Datenschutzfragen fungieren könnte. Jede leitende Direktion bzw. Direktion in der Zentrale des EAD sowie jede EU-Delegation benennt einen Datenschutzkoordinatoren oder einen Datenschutzkorrespondenten. Alle Abteilungen, die regelmäßig eine große Menge personenbezogener Daten, besondere Kategorien von Daten oder sensible personenbezogene Daten verarbeiten, deren Verarbeitung ein hohes Risiko darstellt, benennen ebenfalls ihren eigenen Datenschutzkorrespondenten. Die Funktion des Datenschutzkorrespondenten wird einer Stelle zugeordnet, die einen Überblick über die Tätigkeiten der Einrichtung hat. (2) Die Datenschutzkoordinatoren verfügen über die erforderlichen Kompetenzen und erwerben Kenntnisse über den Datenschutz. Sie erhalten eine Schulung zum Schutz personenbezogener Daten und können an den Sitzungen der Informationssitzungen und an den Sitzungen des Netzes der Datenschutzkoordinatoren teilnehmen. (3) Die Datenschutzkoordinatoren werden: a) unbeschadet der Zuständigkeiten des DSB die für die Datenverarbeitung Verantwortlichen bei der Erfüllung ihrer Pflichten zu unterstützen; b) die Kommunikation zwischen dem DSB und den für die Datenverarbeitung Verantwortlichen erleichtern; c) als Anlaufstelle für Datenschutzfragen in ihren Diensten fungieren und mit dem DSB zusammenarbeiten; d) ihre Kollegen über Fragen im Zusammenhang mit der Verarbeitung personenbezogener Daten informieren und unterstützen; e) Information über Veranstaltungen zur Sensibilisierung und Schulungen an das Personal weiterleiten; f) mit dem DSB zusammenzuarbeiten, um eine Bestandsaufnahme der bestehenden und neuen Datenverarbeitungstätigkeiten zu erstellen und zu aktualisieren; g) mit dem Datenschutzbeauftragten bezüglich aller im Rahmen des Dienstes verarbeiteten personenbezogenen Daten in Kontakt stehen und ihn darüber unterrichten; h) bei der Ermittlung der zuständigen delegierten Verantwortlichen für die Datenverarbeitung und der Auftragsverarbeiter Unterstützung leisten; i) Aufzeichnungen in ihren Fachbereichen erstellen; j) die für die Verarbeitung Verantwortlichen bei der Erstellung und Überprüfung von Aufzeichnungen und der Erstellung von Datenschutzhinweisen unterstützen; k) einen Beitrag zu Überprüfungen der Einhaltung der Vorschriften und Folgenabschätzungen leisten; l) sicherstellen, dass die einschlägigen Datenschutzhinweise veröffentlicht und ordnungsgemäß von ihrer Dienststelle angewendet werden; m) den DSB über etwaige Datenschutzverletzungen unterrichten; n) in Zusammenarbeit mit dem DSB auf Anträge von betroffenen Personen, die ihr Auskunftsrecht wahrnehmen, antworten und Beschwerden und Fragen im Zusammenhang mit den Datenverarbeitungstätigkeiten in ihren Dienststellen bearbeiten. (4) Der Datenschutzkoordinator hat das Recht, die notwendigen Angaben einzuholen, die erforderlich sind, um die Verarbeitung personenbezogener Daten festzustellen und den DSB im Namen ihrer Dienststelle zu konsultieren. Dies schließt jedoch nicht das Recht auf Zugang zu personenbezogenen Daten ein, die unter Aufsicht des für die Verarbeitung Verantwortlichen verarbeitet wurden. Artikel 10 Anstellungsbehörde Die Anstellungsbehörde konsultiert den DSB zu jedem Antrag oder jeder Beschwerde gemäß Artikel 90 des Beamtenstatuts im Zusammenhang mit der Anwendung der Verordnung. Artikel 11 Bedienstete des EAD (1) Alle Bediensteten des EAD wenden die Vertraulichkeits- und Sicherheitsvorschriften für die Verarbeitung personenbezogener Daten gemäß den Artikeln 33, 34 und 35 der Verordnung an. Jeder Bedienstete des EAD, der Zugang zu personenbezogenen Daten hat, verarbeitet die Daten nur auf Weisung der für die Verarbeitung Verantwortlichen. (2) Alle Bediensteten des EAD müssen ihrem unmittelbaren Vorgesetzten angeben, wann sie personenbezogene Daten verarbeiten müssen, damit die für die Verarbeitung Verantwortlichen die Verarbeitung in ihren Datenschutzaufzeichnungen dokumentieren und die erforderlichen Datenschutzhinweise erstellen können. (3) Jeder Bedienstete des EAD kann einen Antrag an den DSB stellen oder gegenüber ihm Bedenken vorbringen, auch im Hinblick auf eine mutmaßliche Verletzung des Schutzes der Daten, oder beim EDSB Beschwerde einlegen wegen eines mutmaßlichen Verstoßes gegen die Verordnung oder den vorliegenden Beschluss, ohne dass seine Vorgesetzten darüber informiert werden müssen. (4) Ist ein Bediensteter der Auffassung, dass ein Drittland, ein Gebiet oder ein oder mehrere bestimmte Sektoren in einem Drittland oder eine internationale Organisation kein angemessenes Schutzniveau im Sinne des Artikels 45 Absatz 3 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (3) oder des Artikels 36 Absatz 3 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates (4) gewährleistet, teilt er dies dem DSB mit. ABSCHNITT 4 MASSNAHMEN UND VERFAHREN Artikel 12 Sicherheitsmaßnahmen und Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen (1) Die Garantien, technischen und organisatorischen Maßnahmen zur Vermeidung von Verletzungen des Schutzes personenbezogener Daten, Datenverlusten oder unbefugtem Zugang zu personenbezogenen Daten umfassen Folgendes: a) eine angemessene Definition der Rollen, Zuständigkeiten und Verfahrensschritte; b) ein sicheres elektronisches Umfeld, das einen rechtswidrigen oder versehentlichen Zugang oder die Übermittlung elektronischer Daten an Unbefugte mit Sicherheitsmaßnahmen in den verschiedenen verwendeten IT-Anwendungen verhindert; c) sichere Bearbeitung und Speicherung von Dokumenten in Papierform; d) elektronischer und physischer Zugang nur für befugtes Personal mit individueller Zugangsberechtigung. (2) Vor der Konzeption von Datenverarbeitungstätigkeiten führen die für die Verarbeitung Verantwortlichen den in Artikel 27 der Verordnung genannten Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen durch. Zur Umsetzung des Datenschutzes durch Technik und datenschutzfreundliche Voreinstellungen kann der für die Verarbeitung Verantwortliche den Datenschutzbeauftragten und andere relevante Dienste, einschließlich der für IT und IT-Sicherheit zuständigen Dienste, konsultieren. Artikel 13 Meldung von Datenschutzverstößen Der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter benachrichtigt, sobald er Kenntnis von einem Sicherheitsvorfall, insbesondere einer Sicherheitsverletzung, hat, die zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Weitergabe von oder zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf andere Weise verarbeitet werden („Verletzung des Schutzes personenbezogener Daten“), unverzüglich den DSB und innerhalb von 72 Stunden den EDSB und dokumentiert den Vorfall angemessen. Artikel 14 Untersuchungen und Bearbeitung von Anträgen und Beschwerden durch den DSB (1) Der DSB kann von sich aus oder auf Ersuchen eine Untersuchung wegen eines mutmaßlichen Verstoßes gegen die Verpflichtungen aus der Verordnung einleiten. Anfragen sind schriftlich an den DSB zu richten. (2) Der Datenschutzbeauftragte kann eine schriftliche Erklärung des für die Verarbeitung der Daten Verantwortlichen anfordern. Der für die Verarbeitung Verantwortliche antwortet dem DSB innerhalb von 14 Kalendertagen nach Eingang dieses Antrags. Der DSB kann Zugang zu ergänzenden Informationen, Dokumenten, Datenträgern, Rechenzentren, Räumlichkeiten und Systemen anderer Dienststellen des EAD, insbesondere der IT-Abteilung, der Direktion Sicherheit und der Generaldirektion, die mit Verwaltungsuntersuchungen und Disziplinarverfahren befasst ist, beantragen. Die In