Beschluss (EU) 2020/969 der Kommission vom 3. Juli 2020 zur Festlegung der Durchführungsvorschriften in Bezug auf den Datenschutzbeauftragten, Beschränkungen der Rechte betroffener Personen und die Anwendung der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates sowie zur Aufhebung des Beschlusses 2008/597/EG der Kommission

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

tung von Datenschutzerklärungen. (12) Die DSK nehmen an den Sitzungen und erforderlichenfalls an Arbeitsgruppen der DSK teil. (13) Der DSB legt zusätzliche Leitlinien zu den Zuständigkeiten und Funktionen des DSK fest. KAPITEL 3 VERANTWORTLICHE Artikel 8 Delegierte Verantwortliche und operative Verantwortliche (1) Für die Zwecke der Anwendung der Verordnung (EU) 2018/1725 handeln die delegierten Verantwortlichen im Namen der Kommission als Verantwortliche. (2) Die delegierten Verantwortlichen und die operativen Verantwortlichen a) können den DSB über den DSK zur Rechtmäßigkeit von Verarbeitungsvorgängen konsultieren, insbesondere im Falle von Zweifeln an der Rechtmäßigkeit; b) erstatten dem DSB über den DSK Bericht über die Bearbeitung von Anträgen betroffener Personen auf Ausübung ihrer Rechte. (3) Der delegierte Verantwortliche a) benennt einen operativen Verantwortlichen, der den delegierten Verantwortlichen dabei unterstützt, die Einhaltung der Verordnung (EU) 2018/1725 insbesondere gegenüber den betroffenen Personen zu gewährleisten; b) stellt sicher, dass interne Regelungen mit anderen Generaldirektionen oder Dienststellen vorhanden sind, wenn der delegierte Verantwortliche gemeinsam mit diesen Generaldirektionen oder Dienststellen Verarbeitungsvorgänge durchführt oder wenn diese Generaldirektionen oder Dienststellen einen Teil des Verarbeitungsvorgangs des delegierten Verantwortlichen durchführen. In den unter Buchstabe b genannten Regelungen werden ihre jeweiligen Zuständigkeiten für die Erfüllung ihrer Datenschutzpflichten festgelegt. Insbesondere enthalten sie die Angabe des delegierten Verantwortlichen, der die Mittel und Zwecke für den Verarbeitungsvorgang festlegt, sowie des operativen Verantwortlichen für den Verarbeitungsvorgang und gegebenenfalls der Person und/oder Stelle, die den operativen Verantwortlichen im Falle von Datenschutzverletzungen oder zur Berücksichtigung der Rechte betroffener Personen unter anderem mit Informationen unterstützt. (4) Der operative Verantwortliche a) nimmt alle Anträge betroffener Personen entgegen und bearbeitet sie; b) meldet dem Europäischen Datenschutzbeauftragten (EDSB) Verletzungen des Schutzes personenbezogener Daten; c) unterrichtet den DSK und den DSB über Verletzungen des Schutzes personenbezogener Daten und teilt diese gegebenenfalls der betroffenen Person mit; d) stellt sicher, dass der DSK über alle mit dem Datenschutz zusammenhängenden Fragen, insbesondere über Anträge betroffener Personen, auf dem Laufenden gehalten wird; e) erfüllt auf Ersuchen des delegierten Verantwortlichen sonstige Aufgaben im Anwendungsbereich dieses Beschlusses. KAPITEL 4 SONSTIGE PFLICHTEN UND VERFAHREN Artikel 9 Unterrichtung Der delegierte Verantwortliche unterrichtet in Zusammenarbeit mit dem DSK den DSB, wenn er den EDSB nach der Verordnung (EU) 2018/1725 und insbesondere deren Artikeln 40 und 41 konsultiert oder unterrichtet. Zudem unterrichtet der delegierte Verantwortliche, der operative Verantwortliche oder der DSK den DSB über alle sonstigen direkten Interaktionen mit dem EDSB im Zusammenhang mit der Durchführung der Verordnung (EU) 2018/1725. Artikel 10 Register (1) Der DSB stellt sicher, dass das Register der Verarbeitungsvorgänge der Kommission über die Website des DSB im Intranet der Kommission und über die Website des DSB auf der Europa-Website zugänglich ist. (2) Die delegierten Verantwortlichen übermitteln dem DSB über ihren DSK die Aufzeichnungen über ihre Verarbeitungsvorgänge unter Verwendung des Online-Übermittlungssystems der Kommission, das über die Website des DSB im Intranet der Kommission zugänglich ist. Artikel 11 Untersuchungsverfahren (1) Die in Artikel 6 Buchstabe e genannten Untersuchungsanträge sind schriftlich an den DSB zu richten. Innerhalb von 15 Arbeitstagen nach Eingang des Antrags übermittelt der DSB der Person, die die Untersuchung beantragt hat, eine Empfangsbestätigung und prüft, ob der Antrag vertraulich zu behandeln ist, um die Vertraulichkeit des Antrags zu gewährleisten, es sei denn, die jeweiligen betroffenen Personen erklären sich unmissverständlich damit einverstanden, dass der Antrag anders bearbeitet wird. Wird das Recht, eine Untersuchung zu beantragen, offensichtlich missbräuchlich in Anspruch genommen, so ist der DSB nicht verpflichtet, dem Antragsteller zu antworten. (2) Der DSB ersucht den delegierten Verantwortlichen, der für den betreffenden Datenverarbeitungsvorgang zuständig ist, um eine schriftliche Stellungnahme zu der Angelegenheit. Der delegierte Verantwortliche antwortet dem DSB innerhalb von 15 Arbeitstagen. Der DSB kann innerhalb von 15 Arbeitstagen zusätzliche Informationen von dem delegierten Verantwortlichen, dem Auftragsverarbeiter oder anderen Parteien anfordern. (3) Der DSB antwortet der Person, die die Untersuchung beantragt hat, spätestens drei Monate nach Eingang des Antrags. Diese Frist kann ausgesetzt werden, bis der DSB alle erforderlichen Informationen erhalten hat, die er angefordert hat. (4) Niemand darf benachteiligt werden, weil er den DSB von einer Angelegenheit in Kenntnis gesetzt und einen mutmaßlichen Verstoß gegen die Verordnung (EU) 2018/1725 dargelegt hat. Artikel 12 Verwaltung und Management (1) Der DSB ist verwaltungstechnisch dem Generalsekretariat zugeordnet. In diesem Zusammenhang wirkt der DSB an der Ausarbeitung des jährlichen Managementplans und des Haushaltsplanvorentwurfs des Generalsekretariats mit. (2) Der DSB ist für die Beurteilung des Personals der Dienststelle Datenschutz zuständig. Gegenzeichnender Beamter ist der stellvertretende Generalsekretär. Der DSB wirkt gegebenenfalls an der Koordinierung des Managements im Generalsekretariat mit. KAPITEL 5 BESCHRÄNKUNG DER RECHTE BETROFFENER PERSONEN Artikel 13 Ausnahmen und Beschränkungen (1) Die Kommission prüft bei der Erfüllung ihrer Pflichten in Bezug auf die Rechte betroffener Personen nach der Verordnung (EU) 2018/1725, ob eine der in der genannten Verordnung festgelegten Ausnahmen Anwendung findet. (2) Vorbehaltlich der Artikel 14 bis 18 dieses Beschlusses kann die Kommission die Anwendung der Artikel 14 bis 17, 19, 20 und 35 der Verordnung (EU) 2018/1725 sowie des Transparenzgrundsatzes nach Artikel 4 Absatz 1 Buchstabe a der genannten Verordnung, insofern dessen Bestimmungen den in den Artikeln 14 bis 17, 19 und 20 der Verordnung (EU) 2018/1725 vorgesehenen Rechten und Pflichten entsprechen, nach Artikel 25 Absatz 1 Buchstaben c, g und h beschränken, wenn die Wahrnehmung dieser Rechte und Pflichten den Zweck der Aufgaben des DSB, unter anderem durch Offenlegung von dessen Untersuchungs- oder Prüfungsinstrumenten und -methoden, gefährden oder die Rechte und Freiheiten anderer betroffener Personen beeinträchtigen würde. (3) Vorbehaltlich der Artikel 14 bis 18 dieses Beschlusses kann die Kommission die in Absatz 2 genannten Rechte und Pflichten in Bezug auf personenbezogene Daten, die der DSB von Kommissionsdienststellen oder anderen Organen und Einrichtungen der Union erhalten hat, beschränken. Die Kommission kann dies tun, wenn die Wahrnehmung dieser Rechte und Pflichten durch diese Kommissionsdienststellen oder Organe und Einrichtungen der Union auf der Grundlage anderer in Artikel 25 der Verordnung (EU) 2018/1725 vorgesehener Rechtsakte oder nach Kapitel IX der genannten Verordnung oder nach der Verordnung (EU) 2016/794 des Europäischen Parlaments und des Rates (6) oder der Verordnung (EU) 2017/1939 des Rates (7) beschränkt werden könnte. Bevor die Kommission unter den in Unterabsatz 1 genannten Umständen Beschränkungen anwendet, konsultiert sie die zuständigen Organe oder Einrichtungen der Union, es sei denn, aufseiten der Kommission besteht Klarheit darüber, dass die Anwendung einer Beschränkung in einem der in dem genannten Unterabsatz aufgeführten Rechtsakte vorgesehen ist. (4) Jede Beschränkung der Anwendung der in Absatz 2 genannten Rechte und Pflichten muss erforderlich und angemessen sein und die Risiken für die Rechte und Freiheiten der betroffenen Personen berücksichtigen. Artikel 14 Unterrichtung der betroffenen Personen (1) Die Kommission veröffentlicht auf ihrer Website Datenschutzhinweise, die alle betroffenen Personen über die Aufgaben des DSB informieren, bei denen ihre personenbezogenen Daten verarbeitet werden. (2) Die Kommission unterrichtet natürliche Personen, die sie als von den Aufgaben des DSB betroffen oder als Informant ansieht, einzeln in einem geeigneten Format. (3) Wenn die Kommission die Unterrichtung der in Absatz 2 genannten betroffenen Personen ganz oder teilweise beschränkt, erfasst und registriert sie die Gründe für die Beschränkung nach Artikel 17. Artikel 15 Auskunftsrecht betroffener Personen, Recht auf Löschung und Recht auf Einschränkung der Verarbeitung (1) Wenn die Kommission das Auskunftsrecht betroffener Personen, das Recht auf Löschung oder das Recht auf Einschränkung der Verarbeitung nach den Artikeln 17, 19 beziehungsweise 20 der Verordnung (EU) 2018/1725 ganz oder teilweise beschränkt, unterrichtet sie die jeweils betroffene Person in ihrer Antwort auf den Antrag auf Auskunft, Löschung oder Einschränkung der Verarbeitung über die angewendete Beschränkung und die wichtigsten Gründe dafür sowie über die Möglichkeit, Beschwerde beim Europäischen Datenschutzbeauftragten oder einen gerichtlichen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen. (2) Die Unterrichtung über die Gründe für die Beschränkung nach Absatz 1 kann so lange zurückgestellt, unterlassen oder abgelehnt werden, wie die Unterrichtung dem Zweck der Beschränkung zuwiderliefe. (3) Die Kommission erfasst und registriert die Gründe für die Beschränkung nach Artikel 17. (4) Wenn das Auskunftsrecht ganz oder teilweise beschränkt wird, ist die betroffene Person berechtigt, ihr Auskunftsrecht nach Artikel 25 Absätze 6, 7 und 8 der Verordnung (EU) 2018/1725 über den EDSB auszuüben. Artikel 16 Benachrichtigung der betroffenen Person von einer Verletzung des Schutzes personenbezogener Daten Wenn die Kommission die Benachrichtigung der betroffenen Person von einer Verletzung des Schutzes personenbezogener Daten nach Artikel 35 der Verordnung (EU) 2018/1725 beschränkt, erfasst und registriert sie die Gründe für die Beschränkung nach Artikel 17 dieses Beschlusses. Artikel 17 Erfassung und Registrierung von Beschränkungen (1) Die Kommission erfasst die Gründe für nach diesem Beschluss angewendete Beschränkungen, einschließlich einer Einzelfallprüfung der Erforderlichkeit und Angemessenheit der Beschränkung unter Berücksichtigung der relevanten Umstände nach Artikel 25 Absatz 2 der Verordnung (EU) 2018/1725. Zu diesem Zweck ist anzugeben, inwieweit die Ausübung des betreffenden Rechts den Zweck der Aufgaben des DSB nach diesem Beschluss oder nach Artikel 13 Absatz 2 oder 3 angewendete Beschränkungen gefährden oder die Rechte und Freiheiten anderer betroffener Personen beeinträchtigen würde. (2) Die erfassten Angaben und gegebenenfalls die Unterlagen, die die zugrunde liegenden tatsächlichen und rechtlichen Umstände enthalten, werden registriert. Sie werden dem EDSB auf Anfrage zur Verfügung gestellt. Artikel 18 Dauer der Beschränkungen (1) Die in den Artikeln 14, 15 und 16 genannten Beschränkungen gelten, solange die Gründe vorliegen, die diese Beschränkungen rechtfertigen. (2) Wenn die Gründe für eine in Artikel 14 oder 16 genannte Beschränkung nicht mehr vorliegen, hebt die Kommission die Beschränkung auf und teilt der betroffenen Person die Gründe für die Beschränkung mit. Gleichzeitig unterrichtet die Kommission die betroffene Person über die Möglichkeit, Beschwerde beim EDSB oder einen gerichtlichen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen. (3) Die Kommission überprüft die Anwendung der in den Artikeln 14 und 16 genannten Beschränkungen alle sechs Monate ab ihrer Einführung sowie in jedem Fall bei Abschluss der betreffenden Tätigkeit des DSB. Danach prüft die Kommission jährlich, inwieweit es erforderlich ist, eine Beschränkung oder Zurückstellung aufrechtzuerhalten. Artikel 19 Überprüfung durch den Datenschutzbeauftragten (1) Wenn andere Kommissionsdienststellen zu dem Schluss kommen, dass die Rechte einer betroffenen Person nach diesem Beschluss beschränkt werden sollten, setzen sie den DSB davon in Kenntnis. Sie gewähren dem DSB auch Zugang zu den erfassten Angaben und zu Unterlagen, die die zugrunde liegenden tatsächlichen und rechtlichen Umstände enthalten. (2) Der DSB kann den delegierten Verantwortlichen der betreffenden Kommissionsdienststelle ersuchen, die Anwendung der Beschränkungen zu überprüfen. Der delegierte Verantwortliche der betreffenden Kommissionsdienststelle unterrichtet den DSB schriftlich über das Ergebnis dieser Überprüfung. KAPITEL 6 SCHLUSSBESTIMMUNGEN Artikel 20 Aufhebung Der Beschluss 2008/597/EG wird aufgehoben. Artikel 21 Inkrafttreten Dieser Beschluss tritt am zwanzigsten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. Brüssel, den 3. Juli 2020 Für die Kommission Die Präsidentin Ursula VON DER LEYEN (1) ABl. L 295 vom 21.11.2018, S. 39. (2) SEC(2019) 900/2. (3) Beschluss 2008/597/EG der Kommission vom 3. Juni 2008 zur Annahme von Durchführungsbestimmungen betreffend den Datenschutzbeauftragten gemäß Artikel 24 Absatz 8 der Verordnung (EG) Nr. 45/2001 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe und Einrichtungen der Gemeinschaft und zum freien Datenverkehr (ABl. L 193 vom 22.7.2008, S. 7). (4) Verordnung (EG) Nr. 45/2001 des Europäischen Parlaments und des Rates vom 18. Dezember 2000 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe und Einrichtungen der Gemeinschaft und zum freien Datenverkehr (ABl. L 8 vom 12.1.2001, S. 1). (5) Verordnung (EG) Nr. 1049/2001 des Europäischen Parlaments und des Rates vom 30. Mai 2001 über den Zugang der Öffentlichkeit zu Dokumenten des Europäischen Parlaments, des Rates und der Kommission (ABl. L 145 vom 31.5.2001, S. 43). (6) Verordnung (EU) 2016/794 des Europäischen Parlaments und des Rates vom 11. Mai 2016 über die Agentur der Europäischen Union für die Zusammenarbeit auf dem Gebiet der Strafverfolgung (Europol) und zur Ersetzung und Aufhebung der Beschlüsse 2009/371/JI, 2009/934/JI, 2009/935/JI, 2009/936/JI und 2009/968/JI des Rates (ABl. L 135 vom 24.5.2016, S. 53). (7) Verordnung (EU) 2017/1939 des Rates vom 12. Oktober 2017 zur Durchführung einer Verstärkten Zusammenarbeit zur Errichtung der Europäischen Staatsanwaltschaft (EUStA) (ABl. L 283 vom 31.10.2017, S. 1).