Beschluss des Verwaltungsrats der Agentur zur Unterstützung des GEREK (GEREK-Büro) vom 10. September 2019 über interne Vorschriften zur Beschränkung bestimmter Rechte betroffener Personen in Bezug auf die Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten des GEREK-Büros

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

24.4.2020 DE Amtsblatt der Europäischen Union L 130/28 BESCHLUSS DES VERWALTUNGSRATS DER AGENTUR ZUR UNTERSTÜTZUNG DES GEREK (GEREK-BÜRO) vom 10. September 2019 über interne Vorschriften zur Beschränkung bestimmter Rechte betroffener Personen in Bezug auf die Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten des GEREK-Büros DER VERWALTUNGSRAT — gestützt auf die Verordnung (EU) 2018/1971 des Europäischen Parlaments und des Rates vom 11. Dezember 2018 zur Einrichtung des Gremiums europäischer Regulierungsstellen für elektronische Kommunikation (GEREK) und der Agentur zur Unterstützung des GEREK (GEREK-Büro), zur Änderung der Verordnung (EU) 2015/2120 und zur Aufhebung der Verordnung (EG) Nr. 1211/2009 (1), insbesondere auf Artikel 36 Absatz 4, gestützt auf die Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG (2) (im Folgenden „Verordnung“), insbesondere auf Artikel 25, in Erwägung nachstehender Gründe: (1) Das GEREK-Büro kann im Rahmen seiner Tätigkeit Verwaltungsuntersuchungen, Vorverfahren in Disziplinarsachen, Disziplinarverfahren und Dienstenthebungsverfahren auf Grundlage des Anhangs IX zum Statut der Beamten und über die Beschäftigungsbedingungen für die sonstigen Bediensteten der Europäischen Union (3) sowie im Einklang mit dem Beschluss MC/2012/3 des Verwaltungsausschusses des Büros des Gremiums europäischer Regulierungsstellen für elektronische Kommunikation (GEREK-Büro) über die allgemeinen Durchführungsbestimmungen für die Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren durchführen, im Zuge derer Informationen, einschließlich personenbezogener Daten, verarbeitet werden. (2) Die Beschäftigten des GEREK-Büros sind verpflichtet, mutmaßlich rechtswidrige Handlungen, einschließlich Betrug oder Korruption, zum Nachteil der Interessen der Union oder Verhaltensweisen im Zusammenhang mit der Ausübung dienstlicher Pflichten, die eine schwerwiegende Verletzung der Dienstpflichten der Beschäftigten der Union darstellen könnten, zu melden. Dies ist im Beschluss Nr. MC/2018/11 des Verwaltungsausschusses des Büros des Gremiums europäischer Regulierungsstellen für elektronische Kommunikation (GEREK-Büro) über die Leitlinien des GEREK-Büros für die Meldung von Missständen (Whistleblowing) geregelt. (3) Das GEREK-Büro hat Grundsätze für die Prävention sowie die wirksame und effiziente Bearbeitung tatsächlicher oder mutmaßlicher Fälle von Mobbing oder sexueller Belästigung im Arbeitsumfeld aufgestellt, so wie dies im Beschluss Nr. MC/2016/15 des Verwaltungsausschusses des Büros des Gremiums europäischer Regulierungsstellen für elektronische Kommunikation (GEREK-Büro) über die Grundsätze für den Schutz der Menschenwürde und die Prävention von Mobbing und sexueller Belästigung vorgesehen ist. (4) Im Zuge der vorgenannten Tätigkeiten erfasst und verarbeitet das GEREK-Büro relevante Informationen und verschiedene Kategorien personenbezogener Daten, unter anderem Identifikationsdaten natürlicher Personen, Kontaktangaben, Angaben zu beruflichen Rollen und Aufgaben, Informationen über private und berufliche Verhaltensweisen und Leistungen sowie Finanzdaten. Das GEREK-Büro handelt als der für die Verarbeitung Verantwortliche. (5) Es bestehen angemessene Schutzvorkehrungen, die die personenbezogenen Daten sowohl bei physischer als auch bei elektronischer Aufbewahrung schützen und verhindern, dass diese versehentlich oder rechtswidrig zugänglich gemacht oder übertragen werden. Nach der Verarbeitung werden die Daten nach den einschlägigen Aufbewahrungsvorschriften des GEREK-Büros aufbewahrt, so wie dies in den auf Artikel 31 der Verordnung beruhenden datenschutzrechtlichen Verzeichnissen festgelegt ist. Bei Ablauf der Aufbewahrungsfrist werden die den Vorgang betreffenden Informationen, einschließlich der personenbezogenen Daten, gelöscht, anonymisiert oder in die historischen Archive abgegeben. (6) In diesem Zusammenhang ist das GEREK-Büro gehalten, seine Verpflichtungen zur Information der betroffenen Personen über die vorgenannten Verarbeitungstätigkeiten und zur Achtung der Rechte der betroffenen Personen, so wie diese in der Verordnung niedergelegt sind, zu erfüllen. (7) Unter Umständen ist es erforderlich, die sich aus der Verordnung ergebenden Rechte der betroffenen Personen mit den Erfordernissen der vorgenannten Tätigkeiten in Einklang zu bringen, wobei die Grundrechte und Grundfreiheiten anderer betroffener Person in vollem Umfang zu wahren sind. Zu diesem Zweck sieht Artikel 25 der Verordnung die Möglichkeit vor, die Anwendung der Artikel 14 bis 20, 35 und 36 sowie des Artikels 4, insofern dessen Bestimmungen den in den Artikeln 14 bis 20 vorgesehenen Rechten und Pflichten entsprechen, unter strengen Voraussetzungen zu beschränken. Für diesen Fall ist es erforderlich, interne Vorschriften anzunehmen, nach denen das GEREK-Büro derartige Rechte nach dem genannten Artikel der Verordnung beschränken darf. (8) Dies kann insbesondere der Fall sein, wenn es im Zuge der Vorermittlungen zu einer Verwaltungsuntersuchung oder während der eigentlichen Untersuchung, vor einer möglichen Abweisung der Sache oder in einer Vorphase zum Disziplinarverfahren um die Information der betroffenen Person über die Verarbeitung ihrer personenbezogenen Daten geht. Unter Umständen kann die Mitteilung solcher Informationen die Fähigkeit des GEREK-Büros, seine Untersuchung auf wirksame Weise durchzuführen, erheblich beeinträchtigen; zum Beispiel, wenn die Gefahr besteht, dass die betroffene Person Beweismittel vernichtet oder auf potenzielle Zeugen, die noch nicht vernommen wurden, einwirkt. Des Weiteren kann es sein, dass das GEREK-Büro deren Rechte und Freiheiten wie auch die Rechte und Freiheiten anderer in die Sache verwickelter Personen schützen muss. (9) Dies kann erforderlich sein, um Zeugen oder Hinweisgeber geheim zu halten, die darum gebeten haben, nicht identifiziert zu werden. In einem solchen Falle kann das GEREK-Büro beschließen, die Auskunft über Identität, Aussagen und sonstige personenbezogene Daten von Hinweisgebern und anderen in die Sache verwickelten Personen zu beschränken, um deren Rechte und Freiheiten zu schützen. (10) Dies mag erforderlich sein, um einen Beschäftigten, der sich im Zusammenhang mit einem Verfahren wegen Mobbing oder sexueller Belästigung an Vertrauenspersonen des GEREK-Büros gewandt hat, geheim zu halten. In einem solchen Falle kann das GEREK-Büro beschließen, die Auskunft über Identität, Aussagen und sonstige personenbezogene Daten des mutmaßlichen Opfers, des mutmaßlichen Täters und anderer in die Sache verwickelter Personen zu beschränken, um deren Rechte und Freiheiten zu schützen. (11) Das GEREK-Büro sollte Beschränkungen nur anwenden, sofern diese den Wesensgehalt der Grundrechte und Grundfreiheiten achten und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellen. Das GEREK-Büro muss die Beschränkungen begründen. (12) Nach dem Grundsatz der Rechenschaftspflicht muss das GEREK-Büro Aufzeichnungen über die Anwendung der Beschränkungen führen. (13) Artikel 25 Absatz 6 der Verordnung verpflichtet den Verantwortlichen, die betroffenen Personen über die wesentlichen Gründe für die Beschränkung und über ihr Recht, beim Europäischen Datenschutzbeauftragten Beschwerde einzulegen, zu unterrichten. (14) Das GEREK-Büro kann die Unterrichtung der betroffenen Person über die Gründe für die Beschränkung gemäß Artikel 25 Absatz 8 zurückstellen, unterlassen oder ablehnen, wenn sie die Wirkung der angewendeten Beschränkung zunichtemachen würde. Das GEREK-Büro sollte auf Einzelfallbasis prüfen, ob die Mitteilung der Beschränkung ihre Wirkung zunichtemachen würde. (15) Das GEREK-Büro sollte die Beschränkung aufheben, sobald die Voraussetzungen für die Beschränkung nicht mehr gegeben sind, und diese Voraussetzungen regelmäßig überprüfen. (16) Zur Gewährleistung des größtmöglichen Schutzes der Rechte und Freiheiten der betroffenen Personen und im Einklang mit Artikel 44 Absatz 1 der Verordnung sollte der Datenschutzbeauftragte (DSB) rechtzeitig über alle angewendeten Beschränkungen unterrichtet werden und die Einhaltung dieses Beschlusses überprüfen. (17) Die Anwendung der vorgenannten Beschränkungen lässt die mögliche Anwendung der Bestimmungen in Artikel 16 Absatz 5 und Artikel 17 Absatz 4 der Verordnung, die das Recht auf Auskunft über Daten, die nicht bei der betroffenen Person erhoben wurden, und das Auskunftsrecht der betroffenen Person betreffen, unberührt. (18) Der Europäische Datenschutzbeauftragte (im Folgenden: EDSB) wurde am 27. Mai 2019 konsultiert — HAT FOLGENDEN BESCHLUSS ERLASSEN: Artikel 1 Gegenstand und Anwendungsbereich Mit diesem Beschluss werden Vorschriften in Bezug auf die Bedingungen festgelegt, unter denen das GEREK-Büro gemäß Artikel 25 der Verordnung befugt ist, die Anwendung der in den Artikeln 14 bis 20, 35 und 36 sowie in Artikel 4 der Verordnung verankerten Rechte zu beschränken. Artikel 2 Beschränkungen (1) Nach Artikel 25 Absatz 1 der Verordnung kann das GEREK-Büro die Anwendung der Artikel 14 bis 20, 35 und 36 sowie des Artikels 4, insofern dessen Bestimmungen den in den Artikeln 14 bis 20 vorgesehenen Rechten und Pflichten entsprechen, beschränken, wenn es: a) Verwaltungsuntersuchungen, Vorverfahren in Disziplinarsachen, Disziplinarverfahren und Dienstenthebungsverfahren, die auf dem Anhang IX zum Statut der Beamten und über die Beschäftigungsbedingungen für die sonstigen Bediensteten der Europäischen Union beruhen, im Einklang mit dem Beschluss MC/2012/3 des Verwaltungsausschusses des Büros des Gremiums europäischer Regulierungsstellen für elektronische Kommunikation (GEREK-Büro) über die allgemeinen Durchführungsbestimmungen für die Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren durchführt, im Zuge derer Informationen, einschließlich personenbezogener Daten, verarbeitet werden. Die relevanten Beschränkungen können auf Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung gestützt werden; b) sicherstellt, dass Beschäftigte des GEREK-Büros gemäß dem Beschluss Nr. MC/2018/11 des Verwaltungsausschusses des Büros des Gremiums europäischer Regulierungsstellen für elektronische Kommunikation (GEREK-Büro) über die Leitlinien des GEREK-Büros für die Meldung von Missständen (Whistleblowing) Sachverhalte vertraulich melden können, bei denen es sich ihrer Meinung nach um schwere Unregelmäßigkeiten handelt. Die relevanten Beschränkungen können auf Artikel 25 Absatz 1 Buchstabe h der Verordnung gestützt werden; c) sicherstellt, dass sich Beschäftigte des GEREK-Büros im Zusammenhang mit einem Verfahren wegen Mobbings oder sexueller Belästigung gemäß dem Beschluss Nr. MC/2016/15 des Verwaltungsausschusses des Büros des Gremiums europäischer Regulierungsstellen für elektronische Kommunikation (GEREK-Büro) über die Grundsätze für den Schutz der Menschenwürde und die Prävention von Mobbing und sexueller Belästigung vertraulich an Vertrauenspersonen wenden können. Die relevanten Beschränkungen können auf Artikel 25 Absatz 1 Buchstabe h der Verordnung gestützt werden. (2) Die Datenkategorien umfassen Identifikationsdaten natürlicher Personen, Kontaktangaben, Angaben zu beruflichen Rollen und Aufgaben, Informationen über private und berufliche Verhaltensweisen und Leistungen sowie Finanzdaten. (3) Beschränkungen müssen den Wesensgehalt der Grundrechte und Grundfreiheiten achten und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellen. (4) Die Notwendigkeit und Verhältnismäßigkeit ist auf Einzelfallbasis vor Anwendung der Beschränkungen zu prüfen. Beschränkungen sind nur insoweit zulässig, als sie unter Berücksichtigung der Risiken für die Rechte und Freiheiten der betroffenen Personen zur Erreichung der gesetzten Ziele unbedingt erforderlich sind. (5) Zu Rechenschaftszwecken erstellt das GEREK-Büro Aufzeichnungen mit Angaben zur Begründung der Beschränkungen, zu den angewendeten Rechtsgrundlagen im Sinne von Absatz 1 und zum Ergebnis der Notwendigkeits- und Verhältnismäßigkeitsprüfung. Diese Aufzeichnungen sind Teil eines speziellen Registers, das vom EDBS auf Verlangen zugänglich gemacht wird. In regelmäßigen Abständen wird ein Bericht über die Anwendung von Artikel 25 der Verordnung veröffentlicht. Artikel 3 Risiken für die Rechte und Freiheiten der betroffenen Personen Die Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen, im Hinblick auf deren personenbezogene Daten Beschränkungen angeordnet werden können, wie auch die einschlägige Aufbewahrungsfrist sind in dem Verzeichnis der relevanten Verarbeitungstätigkeiten im Sinne von Artikel 31 der Verordnung sowie ggf. in der relevanten Datenschutz-Folgenabschätzung gemäß Artikel 39 der Verordnung zu vermerken. Artikel 4 Speicherfristen und Garantien Das GEREK-Büro sieht Garantien dagegen vor, dass personenbezogene Daten, im Hinblick auf die Beschränkungen angeordnet werden können, Missbrauch oder unrechtmäßigem Zugang oder unrechtmäßiger Übermittlung ausgesetzt werden. Diese Garantien umfassen technische und organisatorische Maßnahmen, die erforderlichenfalls im Einzelnen in den internen Beschlüssen, Verfahren und Durchführungsbestimmungen des GEREK-Büros anzugeben sind. Die Garantien beinhalten: a) eine angemessene Definitionen der Rollen, Zuständigkeiten und Verfahrensschritte; b) ggf. eine sichere elektronische Umgebung, die verhindert, dass elektronische Daten rechtswidrig oder versehentlich unbefugten Personen zugänglich gemacht oder übermittelt werden; c) ggf. die sichere Aufbewahrung und Bearbeitung von Papierdokumenten; d) die ordnungsgemäße Überwachung und regelmäßige Überprüfung der Beschränkungen, die mindestens alle sechs Monate erfolgen muss. Außerdem ist bei jeder Änderung des wesentlichen Sachverhalts eine Überprüfung durchzuführen. Sobald die Umstände, die die Beschränkungen rechtfertigen, nicht mehr vorliegen, sind die Beschränkungen aufzuheben. Artikel 5 Unterrichtung des Datenschutzbeauftragten und Überprüfung durch den Datenschutzbeauftragten (1) Jede gemäß diesem Beschluss vorgenommene Beschränkung der Rechte betroffener Personen ist unverzüglich dem Datenschutzbeauftragten (DSB) des GEREK-Büros mitzuteilen, dem Zugang zu den Aufzeichnungen und allen Unterlagen zu gewähren ist, aus denen die zugrunde liegenden Tatsachen und rechtlichen Aspekte hervorgehen. (2) Der DSB des GEREK-Büros kann dazu auffordern, die Anwendung der Beschränkung zu überprüfen. Das GEREK-Büro informiert seinen DSB schriftlich über das Ergebnis der erbetenen Überprüfung. (3) Die Einbeziehung des DSB des GEREK-Büros in das Beschränkungsverfahren, wozu auch der Informationsaustausch gehört, ist in geeigneter Weise zu dokumentieren. Artikel 6 Unterrichtung betroffener Personen über Beschränkungen ihrer Rechte (1) Das GEREK-Büro nimmt in die auf seiner Website veröffentlichten Datenschutzhinweise an betroffene Personen gerichtete allgemeine Informationen über die in Artikel 2 Absatz 1 dieses Beschlusses beschriebenen Möglichkeiten, die Rechte aller betroffenen Personen zu beschränken, auf. Darin ist darüber zu informieren, welche Rechte aus welchen Gründen beschränkt werden können und wie lang die Beschränkung andauern darf. (2) Darüber hinaus muss das GEREK-Büro die betroffenen Personen unverzüglich und schriftlich einzeln über gegenwärtige oder künftige Beschränkungen ihrer Rechte unterrichten, so wie dies in den Artikeln 7, 8 und 9 dieses Beschlusses näher angegeben ist. Artikel 7 Recht betroffener Personen auf Unterrichtung und Mitteilung von Datenschutzverletzungen (1) Soweit das GEREK-Büro im Rahmen seiner in diesem Beschluss genannten Tätigkeiten die in den Artikeln 14 bis 16 und 35 der Verordnung genannten Rechte betroffener Personen ganz oder zum Teil beschränkt, sind die betroffenen Personen über die wesentlichen Gründe für diese Beschränkung sowie über ihr Recht zu unterrichten, beim Europäischen Datenschutzbeauftragten Beschwerde einzulegen sowie den Rechtsweg zum Gerichtshof der Europäischen Union zu beschreiten. (2) Das GEREK-Büro kann die Unterrichtung über die Gründe für die in Absatz 1 genannte Beschränkung so lange zurückstellen, unterlassen oder ablehnen, wie die Unterrichtung die Wirkung der Beschränkung zunichtemachen würde. Diese Bewertung ist auf Einzelfallbasis vorzunehmen. Artikel 8 Recht betroffener Personen auf Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung (1) Soweit das GEREK-Büro im Rahmen seiner in diesem Beschluss genannten Tätigkeiten das Recht auf Auskunft über personenbezogene Daten, das Recht auf Berichtigung, Löschung bzw. Einschränkung der Verarbeitung, so wie dies jeweils in den Artikeln 17 bis 20 der Verordnung geregelt ist, ganz oder zum Teil beschränkt, muss es die betroffene Person in der Erwiderung auf deren Antrag über die wesentlichen Gründe für diese Beschränkung sowie über die Möglichkeit unterrichten, beim Europäischen Datenschutzbeauftragten (EDSB) Beschwerde einzulegen oder den Rechtsweg zum Gerichtshof der Europäischen Union zu beschreiten. (2) Das GEREK-Büro kann die Unterrichtung über die Gründe für die in Absatz 1 genannte Beschränkung zurückstellen, unterlassen oder ablehnen, wenn die Unterrichtung die Wirkung der Beschränkung zunichtemachen würde. Diese Bewertung ist auf Einzelfallbasis vorzunehmen. Artikel 9 Vertraulichkeit der elektronischen Kommunikation (1) Unter besonderen Umständen darf das GEREK-Büro das in Artikel 36 der Verordnung vorgesehene Recht auf Vertraulichkeit der elektronischen Kommunikation in Übereinstimmung mit den Bestimmungen und dem Zweck der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates (4) beschränken. Gegebenenfalls muss das GEREK-Büro die Tatbestandsvoraussetzungen, Gründe, relevanten Risiken und dazugehörigen Garantien im Einzelnen in besonderen internen Vorschriften regeln. (2) Wenn das GEREK-Büro das Recht auf Vertraulichkeit der elektronischen Kommunikation beschränkt, unterrichtet es die betroffene Person in seiner Antwort auf deren Antrag über die wesentlichen Gründe für die Beschränkung sowie über die Möglichkeit, Beschwerde beim Europäischen Datenschutzbeauftragten (EDSB) einzulegen oder den Rechtsweg zum Gerichtshof der Europäischen Union zu beschreiten. (3) Das GEREK-Büro kann die Unterrichtung über die Gründe für die in Absatz 1 und 2 genannte Beschränkung so lange zurückstellen, unterlassen oder ablehnen, wie die Unterrichtung die Wirkung der Beschränkung zunichtemachen würde. Diese Bewertung ist auf Einzelfallbasis vorzunehmen. Artikel 10 Inkrafttreten Dieser Beschluss tritt am Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. Riga, den 10. September 2019 Für die Agentur zur Unterstützung des GEREK Jeremy GODFREY Vorsitzender des Verwaltungsrats (1) ABl. L 321 vom 17.12.2018, S. 1. (2) ABl. L 295 vom 21.11.2018, S. 39. (3) Verordnung (EWG, Euratom, EGKS) Nr. 259/68 des Rates vom 29. Februar 1968 zur Festlegung des Statuts der Beamten der Europäischen Gemeinschaften und der Beschäftigungsbedingungen für die sonstigen Bediensteten dieser Gemeinschaften sowie zur Einführung von Sondermaßnahmen, die vorübergehend auf die Beamten der Kommission anwendbar sind (ABl. L 56 vom 4.3.1968, S. 1). (4) Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12. Juli 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation) (ABl. L 201 vom 31.7.2002, S. 37).