Beschluss (EU) 2019/236 der Kommission vom 7. Februar 2019 zur Festlegung interner Vorschriften über die Mitteilung von Informationen an betroffene Personen und die Beschränkung bestimmter Rechte der betroffenen Personen bei der Verarbeitung personenbezogener Daten durch die Europäische Kommission für die Zwecke der internen Sicherheit der EU-Organe

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

8.2.2019 DE Amtsblatt der Europäischen Union L 37/144 BESCHLUSS (EU) 2019/236 DER KOMMISSION vom 7. Februar 2019 zur Festlegung interner Vorschriften über die Mitteilung von Informationen an betroffene Personen und die Beschränkung bestimmter Rechte der betroffenen Personen bei der Verarbeitung personenbezogener Daten durch die Europäische Kommission für die Zwecke der internen Sicherheit der EU-Organe DIE EUROPÄISCHE KOMMISSION — gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union, insbesondere auf Artikel 249 Absatz 1, in Erwägung nachstehender Gründe: (1) Die Kommission muss in einem sicheren und geschützten Umfeld arbeiten. Dafür benötigt sie einen kohärenten und integrierten Ansatz in Bezug auf ihre Sicherheit, der ein angemessenes Schutzniveau für Personen, Vermögenswerte und Informationen gewährleistet, die den ermittelten Risiken angemessen sind, und eine effiziente sowie zeitnahe Sicherheit gewährleistet. Die Kommission ist größeren Bedrohungen und Herausforderungen im Bereich der Sicherheit ausgesetzt, vor allem in Bezug auf Terrorismus, Cyberangriffe sowie politische und wirtschaftliche Spionage. (2) Um die Sicherheit von Personen, Vermögenswerten und Informationen zu gewährleisten, ergreift die Kommission, insbesondere über ihre Direktion Sicherheit der Generaldirektion Humanressourcen und Sicherheit, Maßnahmen gemäß dem Beschluss (EU, Euratom) 2015/443 der Kommission (1), der die Verarbeitung mehrerer Kategorien personenbezogener Daten abdeckt. Diese Maßnahmen umfassen die Durchführung von Zuverlässigkeitsüberprüfungen gemäß Artikel 7 Absatz 5, Bedrohungsanalysen gemäß Artikel 12 und Sicherheitsuntersuchungen gemäß Artikel 13 des Beschlusses (EU, Euratom) 2015/443. Im Rahmen ihres Mandats zur Durchführung von Untersuchungen sammelt die Kommission im Vorfeld, während oder nach einer Untersuchung oder Koordinierungstätigkeit Informationen, die für ihre Untersuchungstätigkeit relevant sind (einschließlich personenbezogener Daten aus unterschiedlichen Quellen wie Behörden oder von natürlichen Personen) und tauscht diese mit anderen Organen, Einrichtungen und sonstigen Stellen der Union sowie mit zuständigen Behörden von Mitgliedstaaten und Drittländern sowie mit internationalen Organisationen aus. (3) Bei den von der Kommission verarbeiteten Kategorien personenbezogener Daten handelt es sich beispielsweise um Identifikationsdaten, Kontaktdaten, berufsbezogene Daten und Daten, die den Gegenstand einer Zuverlässigkeitsüberprüfung, Bedrohungsanalyse oder einer Sicherheitsuntersuchung betreffen oder in diesem Zusammenhang übermittelt wurden. Die personenbezogenen Daten werden in einem gesicherten elektronischen Umfeld gespeichert, um einen unberechtigten Zugriff oder eine unrechtmäßige Weitergabe von Daten an Personen außerhalb der Kommission zu verhindern. Die personenbezogenen Daten werden bei den für die Untersuchung zuständigen Dienststellen der Kommission bis zum Abschluss der Untersuchung aufbewahrt. Je nach Art der Untersuchung, d. h. bei mutmaßlichen Straftaten, Spionageabwehr oder Terrorismusbekämpfung, gelten für unterschiedliche Verarbeitungstätigkeiten unterschiedliche Aufbewahrungsfristen. Bei Ablauf der Aufbewahrungsfrist werden die den jeweiligen Fall betreffenden Informationen, einschließlich der personenbezogenen Daten, gelöscht (2). (4) Bei der Wahrnehmung ihrer Aufgaben ist die Kommission als für die Kontrolle zuständige Behörde verpflichtet, die in Artikel 8 Absatz 1 der Charta der Grundrechte der Europäischen Union und in Artikel 16 Absatz 1 des Vertrags über die Arbeitsweise der Europäischen Union verankerten Rechte natürlicher Personen in Bezug auf die Verarbeitung personenbezogener Daten sowie die in der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates (3) vorgesehenen Rechte zu achten. Gleichzeitig hat die Kommission die in Artikel 9 des Beschlusses (EU, Euratom) 2015/443 festgelegten strengen Vertraulichkeitsbestimmungen einzuhalten. (5) Unter bestimmten Umständen ist es erforderlich, die Rechte der betroffenen Personen gemäß der Verordnung (EU) 2018/1725 mit der Notwendigkeit in Einklang zu bringen, dass die Kommission ihre Aufgaben im Zusammenhang mit der Gewährleistung der Sicherheit von Personen, Vermögenswerten und Informationen in der Kommission gemäß dem Beschluss (EU, Euratom) 2015/443, insbesondere was Sicherheitsuntersuchungen betrifft, und unter uneingeschränkter Achtung der Grundrechte und Grundfreiheiten der anderen betroffenen Personen wirksam wahrnimmt. Zu diesem Zweck sieht Artikel 25 Absatz 1 Buchstaben c, d und h der Verordnung (EU) 2018/1725 für die Kommission die Möglichkeit vor, die Anwendung der Artikel 14 bis 17, 19, 20 und 35 sowie des Transparenzgrundsatzes nach Artikel 4 Absatz 1 Buchstabe a, soweit dessen Bestimmungen den in den Artikeln 14 bis 17, 19 und 20 der genannten Verordnung festgelegten Rechten und Pflichten entsprechen, zu beschränken. (6) Um sicherzustellen, dass die Kommission ihre Aufgaben im Zusammenhang mit der Gewährleistung der Sicherheit von Personen, Vermögenswerten und Informationen in der Kommission gemäß dem Beschluss (EU, Euratom) 2015/443, insbesondere was Sicherheitsuntersuchungen betrifft, und unter Einhaltung der Standards für den Schutz personenbezogener Daten gemäß der Verordnung (EU) 2018/1725 wirksam wahrnimmt, ist es erforderlich, interne Vorschriften zu erlassen, nach denen die Kommission die Rechte der betroffenen Personen gemäß Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung (EU) 2018/1725 beschränken kann. (7) Diese internen Vorschriften sollten alle Verarbeitungsvorgänge abdecken, die die Kommission bei der Wahrnehmung ihrer Aufgaben durchführt, um die Sicherheit von Personen, Vermögenswerten und Informationen in der Kommission gemäß dem Beschluss (EU, Euratom) 2015/443 zu gewährleisten, insbesondere was ihre Untersuchungsaufgabe im Bereich der Sicherheit betrifft. Sie sollten auf Verarbeitungsvorgänge Anwendung finden, die vor der Einleitung einer Untersuchung, während einer Untersuchung und bei der Überwachung der aufgrund des Ergebnisses einer Untersuchung getroffenen Folgemaßnahmen vorgenommen werden. (8) Zur Einhaltung der Artikel 14, 15 und 16 der Verordnung (EU) 2018/1725 sollte die Kommission durch die auf ihrer Website veröffentlichten Datenschutzhinweise alle betroffenen Personen transparent und kohärent über die Tätigkeiten, bei denen die Kommission ihre personenbezogenen Daten verarbeitet, informieren. (9) Darüber hinaus sollte die Kommission in eine Sicherheitsuntersuchung involvierte betroffene Personen einzeln in einem geeigneten Format unterrichten, d. h. die betroffenen Personen und Zeugen. Ferner sollte die Kommission Personen, deren Daten im Zusammenhang mit Sicherheitsmaßnahmen gemäß Artikel 7 Absatz 5 und Artikel 12 Absatz 1 Buchstaben d und e des Beschlusses (EU, Euratom) 2015/443 verarbeitet werden, einzeln informieren, d. h. bei Durchsuchungen in Kommissionsgebäuden sowie in Kommunikations- und Informationssystemen und Geräten der Kommission. (10) Auf der Grundlage von Artikel 25 der Verordnung (EU) 2018/1725 kann es erforderlich sein, dass die Kommission die Bereitstellung von Informationen für betroffene Personen und die Ausübung anderer Rechte betroffener Personen beschränkt, um insbesondere eine Sicherheitsuntersuchung, ihre Ermittlungsinstrumente und -methoden, die Sicherheitsuntersuchungen und Verfahren anderer öffentlicher Stellen sowie die Rechte anderer Personen im Zusammenhang mit diesen Sicherheitsuntersuchungen, Nachforschungen und/oder Verfahren zu schützen. (11) In einigen Fällen könnte die Bereitstellung bestimmter Informationen für die betroffenen Personen oder die Aufdeckung von Ermittlungen oder von Sicherheitsmaßnahmen nach Artikel 12 Absatz 1 Buchstaben d und e des Beschlusses (EU, Euratom) 2015/443, d. h. die Durchsuchung von Kommissionsgebäuden sowie Kommunikations- und Informationssystemen und Geräten, den Zweck der Untersuchung unmöglich machen und die Möglichkeit der Kommission, ihre Sicherheit zu gewährleisten und vor allem wirksame Sicherheitsuntersuchungen in der Zukunft durchzuführen, ernsthaft beeinträchtigen. (12) Um zudem eine wirksame Zusammenarbeit im Sinne des Artikels 17 Absätze 2 und 3 des Beschlusses (EU, Euratom) 2015/443 aufrechtzuerhalten, kann es erforderlich sein, dass die Kommission die Anwendung der Rechte der betroffenen Personen beschränkt, um die Verarbeitungsvorgänge anderer Organe, Einrichtungen und sonstiger Stellen der Union oder zuständiger Behörden der Mitgliedstaaten zu schützen. Zu diesem Zweck sollte die Kommission diese betreffenden Organe, Einrichtungen und sonstigen Stellen und Behörden zu den Gründen für die Beschränkungen sowie zur Notwendigkeit und Verhältnismäßigkeit der Beschränkungen konsultieren. (13) Die Kommission muss möglicherweise auch die Unterrichtung betroffener Personen und die Anwendung anderer Rechte betroffener Personen im Zusammenhang mit personenbezogenen Daten, die sie von Drittländern oder internationalen Organisationen erhalten hat, beschränken, um ihrer Pflicht zur Zusammenarbeit mit diesen Ländern oder Organisationen nachzukommen und so ein wichtiges Ziel des allgemeinen öffentlichen Interesses der Union zu wahren. Unter bestimmten Umständen können die Interessen oder Grundrechte der betroffenen Person jedoch Vorrang vor dieser Pflicht zur Zusammenarbeit haben. (14) Die Kommission sollte alle Beschränkungen transparent anwenden und im entsprechenden Verzeichnis eintragen. (15) Nach Artikel 25 Absatz 8 der Verordnung (EU) 2018/1725 können die für die Verarbeitung Verantwortlichen die Unterrichtung über die Gründe für die Anwendung einer Beschränkung auf die betroffene Person zurückstellen, unterlassen oder ablehnen, wenn diese Unterrichtung den Zweck der Beschränkung in irgendeiner Weise gefährden würde. Dies gilt insbesondere für Beschränkungen der in den Artikeln 16 und 35 der Verordnung (EU) 2018/1725 vorgesehenen Rechte. (16) Die Kommission sollte die vorgenommenen Beschränkungen regelmäßig überprüfen, um sicherzustellen, dass die Rechte der betroffenen Person auf Unterrichtung nach den Artikeln 16 und 35 der Verordnung (EU) 2018/1725 nur so lange beschränkt werden, wie dies erforderlich ist, um der Kommission die Gewährleistung ihrer Sicherheit und die Durchführung ihrer Sicherheitsuntersuchungen zu ermöglichen. (17) Werden andere Rechte betroffener Personen beschränkt, sollte der für die Verarbeitung Verantwortliche von Fall zu Fall prüfen, ob die Bekanntgabe der Beschränkung deren Zweck gefährden würde. (18) Der Datenschutzbeauftragte der Kommission sollte eine unabhängige Überprüfung der Anwendung von Beschränkungen vornehmen, um die Einhaltung dieses Beschlusses zu gewährleisten. (19) Der Europäische Datenschutzbeauftragte hat am 10. Dezember 2018 eine Stellungnahme abgegeben — HAT FOLGENDEN BESCHLUSS ERLASSEN: Artikel 1 Gegenstand und Anwendungsbereich (1) In diesem Beschluss werden die Vorschriften festgelegt, nach denen die Kommission die betroffenen Personen über die Verarbeitung von deren Daten nach den Artikeln 14, 15 und 16 der Verordnung (EU) 2018/1725 im Rahmen der Wahrnehmung ihrer sämtlichen Aufgaben gemäß Beschluss (EU, Euratom) 2015/443 unterrichtet. Ferner werden die Bedingungen festgelegt, unter denen die Kommission die Anwendung der Artikel 4, 14 bis 17, 19, 20 und 35 der Verordnung (EU) 2018/1725 nach deren Artikel 25 Absatz 1 Buchstaben c, g und h beschränken kann. (2) Dieser Beschluss gilt für die Verarbeitung personenbezogener Daten durch die Kommission für die Zwecke der oder in deren Zusammenhang zur Gewährleistung der Sicherheit von Personen, Vermögenswerten und Informationen in der Kommission gemäß dem Beschluss (EU, Euratom) 2015/443 durchgeführten Tätigkeiten. Artikel 2 Anwendbare Ausnahmen und Beschränkungen (1) Die Kommission prüft bei der Erfüllung ihrer Pflichten in Bezug auf die Rechte der betroffenen Personen nach der Verordnung (EU) 2018/1725, ob eine der in der genannten Verordnung festgelegten Ausnahmen Anwendung findet. (2) Vorbehaltlich der Artikel 3 bis 7 dieses Beschlusses kann die Kommission die Anwendung der Artikel 14 bis 17, 19, 20 und 35 der Verordnung (EU) 2018/1725 sowie des in Artikel 4 Absatz 1 Buchstabe a dieser Verordnung verankerten Transparenzgrundsatzes, insofern dessen Bestimmungen den in den Artikeln 14 bis 17, 19, und 20 der Verordnung (EU) 2018/1725 vorgesehenen Rechten und Pflichten entsprechen, beschränken, wenn die Wahrnehmung dieser Rechte und Pflichten die interne Sicherheit der Organe, Einrichtungen und sonstiger Stellen der Union, einschließlich ihrer elektronischen Kommunikationsnetze, unter anderem durch Offenlegung ihrer Untersuchungsinstrumente und -methoden im Rahmen von Sicherheitsuntersuchungen, gefährden oder die Rechte und Freiheiten anderer betroffener Personen beeinträchtigen würde. (3) Vorbehaltlich der Artikel 3 bis 7 kann die Kommission die in Absatz 2 genannten Rechte und Pflichten in Bezug auf personenbezogene Daten, die sie von anderen Organen, Einrichtungen und sonstigen Stellen der Union, zuständigen Behörden der Mitgliedstaaten oder Drittländern oder von internationalen Organisationen erhalten hat, unter den folgenden Umständen beschränken: a) wenn die Wahrnehmung dieser Rechte und Pflichten durch andere Organe, Einrichtungen und sonstige Stellen der Union auf der Grundlage anderer in Artikel 25 der Verordnung (EU) 2018/1725 vorgesehener Rechtsakte oder nach Kapitel IX der genannten Verordnung oder nach der Verordnung (EU) 2016/794 des Europäischen Parlaments und des Rates (4) oder der Verordnung (EU) 2017/1939 des Rates (5) beschränkt werden könnte; b) wenn die Wahrnehmung dieser Rechte und Pflichten durch die zuständigen Behörden der Mitgliedstaaten auf der Grundlage der in Artikel 23 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (6) genannten Rechtsakte oder im Rahmen nationaler Maßnahmen zur Umsetzung des Artikels 13 Absatz 3, Artikels 15 Absatz 3 oder Artikels 16 Absatz 3 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates (7) beschränkt werden könnte; c) wenn die Wahrnehmung dieser Rechte und Pflichten die Zusammenarbeit der Kommission mit Drittländern oder internationalen Organisationen in Bezug auf den Informationsaustausch über potenzielle Spionageabwehr und Terrorismusbekämpfung und die Durchführung von Sicherheitsuntersuchungen gefährden könnte. Bevor die Kommission in den Fällen nach Unterabsatz 1 Buchstaben a und b Beschränkungen anwendet, hört sie die zuständigen Organe, Einrichtungen und sonstigen Stellen der Union oder die zuständigen Behörden der Mitgliedstaaten, es sei denn, der Kommission ist klar, dass die Anwendung einer Beschränkung in einem der unter diesen Buchstaben genannten Rechtsakte vorgesehen ist oder dass eine derartige Anhörung den Zweck ihrer Tätigkeiten nach Beschluss (EU, Euratom) 2015/443 gefährden würde. Unterabsatz 1 Buchstabe c dieses Absatzes findet keine Anwendung, wenn die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Personen Vorrang vor dem Interesse der Kommission an einer Zusammenarbeit mit Drittländern oder einer internationalen Organisation haben. (4) Die Absätze 1, 2 und 3 gelten unbeschadet der Anwendung anderer Beschlüsse der Kommission zur Festlegung interner Vorschriften über die Unterrichtung der betroffenen Personen und über die Beschränkung bestimmter Rechte nach Artikel 25 der Verordnung (EU) 2018/1725 und Artikel 23 der Geschäftsordnung der Kommission. Artikel 3 Unterrichtung der von der Datenverarbeitung betroffenen Personen (1) Die Kommission veröffentlicht auf ihrer Website Datenschutzhinweise, die alle betroffenen Personen über ihre Tätigkeiten informieren, bei denen personenbezogene Daten dieser Personen zum Zweck ihrer Tätigkeiten nach Beschluss (EU, Euratom) 2015/443 verarbeitet werden. (2) Die Kommission unterrichtet einzeln die Zeugen und die von einer Sicherheitsuntersuchung betroffenen Personen über die Verarbeitung ihrer personenbezogenen Daten in einem geeigneten Format. Ferner unterrichtet sie einzeln Personen, deren Daten im Zusammenhang mit Sicherheitsmaßnahmen gemäß Artikel 7 Absatz 5 und Artikel 12 Absatz 1 Buchstaben d und e des Beschlusses (EU, Euratom) 2015/443 verarbeitet werden, insbesondere über die Durchsuchung von Kommissionsgebäuden sowie Kommunikations- und Informationssystemen und Geräten. (3) Wenn die Kommission die Unterrichtung für nach Absatz 2 dieses Artikels betroffene Personen ganz oder teilweise beschränkt, erfasst und registriert sie die Gründe für die Beschränkung nach Artikel 6 dieses Beschlusses. Artikel 4 Auskunftsrecht der betroffenen Personen, Recht auf Löschung und Recht auf Einschränkung der Verarbeitung (1) Wenn die Kommission das Auskunftsrecht der betroffenen Personen oder ihr Recht auf Löschung oder auf Einschränkung der Verarbeitung nach den Artikeln 17, 19 bzw. 20 der Verordnung (EU) 2018/1725 ganz oder teilweise beschränkt, unterrichtet sie die betroffene Person in ihrer Antwort auf den Antrag auf Auskunft, Löschung oder Einschränkung der Verarbeitung über die Beschränkung und die Hauptgründe hierfür sowie über die Möglichkeit, Beschwerde beim Europäischen Datenschutzbeauftragten oder einen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen. (2) Die Unterrichtung über die Gründe für die in Absatz 1 dieses Artikels genannte Beschränkung kann zurückgestellt, unterlassen oder abgelehnt werden, wenn dies dem Zweck der Beschränkung zuwiderliefe. (3) Die Kommission erfasst und registriert die Gründe für die Beschränkung nach Artikel 6 dieses Beschlusses. (4) Wenn das Auskunftsrecht ganz oder teilweise beschränkt ist, nimmt die betroffene Person ihr Auskunftsrecht über den Europäischen Datenschutzbeauftragten nach Artikel 25 Absätze 6 bis 8 der Verordnung (EU) 2018/1725 wahr. Artikel 5 Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Personen Wenn die Kommission die Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person nach Artikel 35 der Verordnung (EU) 2018/1725 beschränkt, erfasst und registriert sie die Gründe für die Beschränkung nach Artikel 6 dieses Beschlusses. Artikel 6 Erfassung und Registrierung von Beschränkungen (1) Die Kommission erfasst die Gründe für Beschränkungen nach diesem Beschluss, einschließlich einer Bewertung der Erforderlichkeit und Angemessenheit der Beschränkung, unter Berücksichtigung aller relevanten Elemente nach Artikel 25 Absatz 2 der Verordnung (EU) 2018/1725. Zu diesem Zweck ist anzugeben, wie die Ausübung dieses Rechts den Zweck der Kommissionsaufgaben nach Beschluss (EU, Euratom) 2015/443 oder der nach Artikel 2 Absatz 2 oder 3 angewandten Beschränkungen gefährden oder die Rechte und Freiheiten anderer betroffener Personen beeinträchtigen würde. (2) Die Aufzeichnung sowie gegebenenfalls die Dokumente, die die zugrunde liegenden Fakten und die rechtlichen Grundlagen enthalten, werden registriert. Sie werden dem Europäischen Datenschutzbeauftragten auf Anforderung zur Verfügung gestellt. Artikel 7 Dauer der Beschränkungen (1) Die in den Artikeln 3, 4 und 5 dieses Beschlusses genannten Beschränkungen gelten, solange die Gründe dafür vorliegen. (2) Wenn die in Artikel 3 oder 5 dieses Beschlusses genannten Gründe für die Beschränkung nicht mehr vorliegen, hebt die Kommission die Beschränkungen auf und unterrichtet die betroffene Person über die Hauptgründe für die Beschränkung. Gleichzeitig teilt die Kommission der betroffenen Person mit, dass sie jederzeit Beschwerde beim Europäischen Datenschutzbeauftragten oder einen gerichtlichen Rechtsbehelf beim Gerichtshof der Europäischen Union einlegen kann. (3) Die Kommission überprüft die Anwendung der in den Artikeln 4 und 6 genannten Beschränkungen alle sechs Monate ab ihrer Anwendung sowie bei Abschluss der Untersuchung. Danach prüft die Kommission alljährlich, inwieweit es erforderlich ist, eine Beschränkung oder Zurückstellung aufrechtzuerhalten. Artikel 8 Überprüfung durch den Datenschutzbeauftragten (1) Der Datenschutzbeauftragte der Kommission wird unverzüglich unterrichtet, wenn die Rechte der betroffenen Personen nach diesem Beschluss eingeschränkt werden. Auf Anfrage des Datenschutzbeauftragten verschafft die Kommission diesem Zugang zu den erfassten Angaben und sonstigen Unterlagen, die die zugrunde liegenden tatsächlichen und rechtlichen Umstände enthalten. (2) Der Datenschutzbeauftragte der Kommission kann eine Überprüfung der Beschränkungen fordern. Der Datenschutzbeauftragte wird über das Ergebnis der Überprüfung unterrichtet. (3) Der Informationsaustausch mit dem Datenschutzbeauftragten während des gesamten Verfahrens wird in der geeigneten Form aufgezeichnet. Artikel 9 Dieser Beschluss tritt am dritten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. Brüssel, den 7. Februar 2019 Für die Kommission Der Präsident Jean-Claude JUNCKER (1) Beschluss (EU, Euratom) 2015/443 der Kommission vom 13. März 2015 über Sicherheit in der Kommission (ABl. L 72 vom 17.3.2015, S. 41). (2) Die Aufbewahrung der Akten in der Kommission wird durch die gemeinsame Aufbewahrungsliste geregelt; in diesem Rechtsdokument (die letzte Fassung ist SEC(2012) 713) in Form eines Zeitplans sind die Aufbewahrungsfristen für die verschiedenen Arten von Kommissionsakten festgelegt. (3) Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG (ABl. L 295, vom 21.11.2018, S. 39). (4) Verordnung (EU) 2016/794 des Europäischen Parlaments und des Rates vom 11. Mai 2016 über die Agentur der Europäischen Union für die Zusammenarbeit auf dem Gebiet der Strafverfolgung (Europol) und zur Ersetzung und Aufhebung der Beschlüsse 2009/371/JI, 2009/934/JI, 2009/935/JI, 2009/936/JI und 2009/968/JI des Rates (ABl. L 135 vom 24.5.2016, S. 53). (5) Verordnung (EU) 2017/1939 des Rates vom 12. Oktober 2017 zur Durchführung einer Verstärkten Zusammenarbeit zur Errichtung der Europäischen Staatsanwaltschaft (EUStA) (ABl. L 283 vom 31.10.2017, S. 1). (6) Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1). (7) Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates (ABl. L 119 vom 4.5.2016, S. 89).