L_202601942DE.000101.fmx.xml

BESCHLUSS (EU) 2026/1942 DER EUROPÄISCHEN ZENTRALBANK

vom 30. Juli 2026

zur Verarbeitung personenbezogener Daten im Zusammenhang mit der Aufsicht über Kreditinstitute (EZB/2026/18)

DER EZB-RAT —

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,

gestützt auf die Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG (1), insbesondere auf Artikel 28,

gestützt auf die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (2), insbesondere auf Artikel 26,

gestützt auf die Verordnung (EU) Nr. 1024/2013 des Rates vom 15. Oktober 2013 zur Übertragung besonderer Aufgaben im Zusammenhang mit der Aufsicht über Kreditinstitute auf die Europäische Zentralbank (3), insbesondere auf Artikel 4 Absatz 3 und Artikel 6 Absätze 1 und 7,

in Erwägung nachstehender Gründe:

(1)

Die Europäische Zentralbank (EZB) und die einzelnen nationalen zuständigen Behörden (National Competent Authorities — NCAs) bilden zusammen den einheitlichen Aufsichtsmechanismus (Single Supervisory Mechanism — SSM). Die EZB und die NCAs nehmen Aufsichtsaufgaben im Zusammenhang mit der Aufsicht über Kreditinstitute gemäß der Verordnung (EU) Nr. 1024/2013 wahr. Bei der Wahrnehmung dieser Aufsichtsaufgaben können die EZB und die NCAs personenbezogene Daten verarbeiten.

(2)

Bei der Verarbeitung personenbezogener Daten im Rahmen der Wahrnehmung der Aufsichtsaufgaben legen die EZB und die NCAs gemeinsam die Zwecke und Mittel der Verarbeitung fest. Die gemeinsame Festlegung der Zwecke der Verarbeitung personenbezogener Daten ergibt sich aus der Arbeitsorganisation innerhalb des SSM, die eine Zusammenarbeit zwischen der EZB und den NCAs erfordert.

(3)

Die EZB und jede NCA sind daher hinsichtlich der Verarbeitung personenbezogener Daten im Rahmen der Wahrnehmung von Aufsichtsaufgaben als gemeinsam Verantwortliche im Sinne von Artikel 28 Absatz 1 der Verordnung (EU) 2018/1725 im Falle der EZB bzw. im Sinne von Artikel 26 Absatz 1 der Verordnung (EU) 2016/679 im Falle der NCAs anzusehen.

(4)

Gemäß Artikel 28 Absatz 1 der Verordnung (EU) 2018/1725 bzw. Artikel 26 Absatz 1 der Verordnung (EU) 2016/679 legen die gemeinsam Verantwortlichen in einer Vereinbarung fest, wer von ihnen welche Aufgaben im Bereich der Einhaltung der Pflichten nach Maßgabe der Verordnung (EU) 2018/1725 bzw. der Verordnung (EU) 2016/679 erfüllt. Im Interesse eines wirksamen und einheitlichen Funktionierens des SSM, für das die EZB gemäß Artikel 6 Absatz 1 der Verordnung (EU) Nr. 1024/2013 verantwortlich ist, sowie im Interesse der Transparenz und Rechtssicherheit ist es angemessen, dass eine solche Vereinbarung im Wege eines Beschlusses der EZB getroffen werden wird, der gemäß Artikel 6 Absätze 1 und 7 der Verordnung (EU) Nr. 1024/2013 in Abstimmung mit den NCAs erlassen wird.

(5)

Die gemeinsam Verantwortlichen sollten personenbezogene Daten für die Zwecke der folgenden Aufsichtsaufgaben verarbeiten: a) Verfahren zur Beurteilung der fachlichen Qualifikation und persönlichen Zuverlässigkeit in Bezug auf bedeutende beaufsichtigte Unternehmen, b) Zulassungsverfahren, c) laufende Aufsicht über bedeutende beaufsichtigte Unternehmen, d) Durchsetzung und Sanktionen, mit Ausnahme bestimmter spezifischer Verfahren, e) Vor-Ort-Prüfungen bedeutender beaufsichtigter Unternehmen, f) Überwachung der Aufsicht über wenige bedeutende beaufsichtigte Unternehmen und g) Aufsicht über weniger bedeutende beaufsichtigte Unternehmen.

(6)

Werden personenbezogene Daten im Rahmen von Verfahren nach Artikel 18 Absatz 5 der Verordnung (EU) Nr. 1024/2013 ab dem Zeitpunkt verarbeitet, zu dem die EZB der NCA mitteilt, dass sie die NCA um Einleitung eines Verfahrens ersucht, sollte jede NCA alleinige Verantwortliche sein. Gleiches gilt im Rahmen von Verfahren nach Artikel 136 der Verordnung (EU) Nr. 468/2014 der Europäischen Zentralbank (EZB/2014/17) (4) ab dem Zeitpunkt, zu dem die EZB der NCA ihr Ersuchen mitteilt, und wenn es eine andere Rechtsgrundlage für die Verarbeitung personenbezogener Daten als die Verordnung (EU) Nr. 1024/2013 gibt. Bei jeder Verarbeitung personenbezogener Daten im Zusammenhang mit Meldungen von Verstößen gegen Unionsrecht oder nationales Recht im Bereich der Aufsicht über Kreditinstitute, die über das Whistleblowing-System der EZB bzw. einer NCA übermittelt werden, sollte die EZB oder die NCA alleinige Verantwortliche sein.

(7)

Um die Anforderungen des Artikels 28 Absatz 2 der Verordnung (EU) 2018/1725 bzw. des Artikels 26 Absatz 2 der Verordnung (EU) 2016/679 zu erfüllen, sollten in diesem Beschluss die jeweiligen tatsächlichen Funktionen und Beziehungen der gemeinsam Verantwortlichen gegenüber den betroffenen Personen festgelegt werden und zudem sollte geregelt werden, wie die gemeinsam Verantwortlichen den betroffenen Personen das Wesentliche der Vereinbarung zur Verfügung stellen sollen.

(8)

Die Arbeitsorganisation innerhalb des SSM bedingt, dass in der Regel nur zwei oder mehrere gemeinsam Verantwortliche eine Aufsichtsaufgabe in Bezug auf ein beaufsichtigtes Unternehmen wahrnehmen und die damit verbundene Verarbeitung personenbezogener Daten durchführen. Daher ist es angemessen, dass bei der Festlegung der jeweiligen Aufgaben der gemeinsam Verantwortlichen gemäß Artikel 28 Absatz 1 der Verordnung (EU) 2018/1725 bzw. Artikel 26 Absatz 1 der Verordnung (EU) 2016/679 berücksichtigt wird, welche gemeinsam Verantwortlichen die spezifische Aufsichtsaufgabe in Bezug auf ein beaufsichtigtes Unternehmen wahrnehmen. Dieser Ansatz zur Festlegung der jeweiligen Aufgaben der gemeinsam Verantwortlichen ist insbesondere von Bedeutung im Zusammenhang mit der Information der betroffenen Person, der Bearbeitung von Anträgen betroffener Personen und der Meldung von Verletzungen des Schutzes personenbezogener Daten in Bezug auf die vom jeweiligen gemeinsam Verantwortlichen verarbeiteten personenbezogenen Daten an die Aufsichtsbehörden.

(9)

Verletzungen des Schutzes personenbezogener Daten sollten von dem zuständigen gemeinsam Verantwortlichen bearbeitet werden. Für den unwahrscheinlichen Fall, dass der zuständige gemeinsam Verantwortliche nicht zügig bestimmt werden kann, sollten alle gemeinsam Verantwortlichen für die Bearbeitung der Verletzung des Schutzes personenbezogener Daten zuständig sein. In einem solchen Fall ist es angemessen, dass sich alle gemeinsam Verantwortlichen abstimmen, um ihren jeweiligen Meldepflichten gegenüber der Aufsichtsbehörde und ihren Mitteilungspflichten gegenüber der betroffenen Person gemäß der Verordnung (EU) 2018/1725 bzw. der Verordnung (EU) 2016/679 nachzukommen. Wird der betroffenen Person eine Verletzung des Schutzes personenbezogener Daten mitgeteilt, ist es notwendig, dass diese Mitteilung auf wirksame Weise erfolgt, um mehrfache oder einander widersprechende Mitteilungen zu vermeiden. Die EZB sollte dem Europäischen Datenschutzbeauftragten stets alle Verletzungen des Schutzes personenbezogener Daten melden, es sei denn, es ist unwahrscheinlich, dass die Verletzung des Schutzes personenbezogener Daten ein Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.

(10)

Jeder gemeinsam Verantwortliche sollte weiterhin allein dafür verantwortlich sein, ein Verzeichnis der Verarbeitungstätigkeiten, die seiner Zuständigkeit unterliegen, zu führen, die Speicherfristen für personenbezogene Daten festzulegen, soweit dies notwendig und verhältnismäßig ist, über eine Einschränkung der Ausübung der Rechte betroffener Personen zu entscheiden, oder Ausnahmen gemäß Artikel 16 Absatz 5 der Verordnung (EU) 2018/1725 bzw. Artikel 14 Absatz 5 der Verordnung (EU) 2016/679 anzuwenden, die Rechtmäßigkeit, Notwendigkeit und Verhältnismäßigkeit der Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation zu prüfen und zu bewerten sowie Dienste von Auftragsverarbeitern, die personenbezogene Daten in seinem Auftrag verarbeiten, in Anspruch zu nehmen.

(11)

Gemäß Artikel 65 der Verordnung (EU) 2018/1725 im Fall der EZB bzw. Artikel 82 der Verordnung (EU) 2016/679 im Fall der einzelnen NCAs haften die gemeinsam Verantwortlichen für Schäden, die auf einen Verstoß gegen die Verordnung (EU) 2018/1725 bzw. die Verordnung (EU) 2016/679 zurückzuführen sind. Jeder gemeinsam Verantwortliche haftet gesamtschuldnerisch gegenüber den betroffenen Personen, weshalb die Aufteilung der Entschädigung zwischen den gemeinsam Verantwortlichen geregelt werden sollte.

(12)

Dieser Beschluss sollte die Anwendbarkeit anderer Rechtsakte der Union, in denen Vorschriften für die Übermittlung von im Besitz der EZB befindlichen Aufsichtsinformationen an Organe und Einrichtungen der Union sowie an nationale und internationale Gerichte und Behörden festgelegt sind, unberührt lassen —

HAT FOLGENDEN BESCHLUSS ERLASSEN:

Artikel 1

Gegenstand und Geltungsbereich

(1) In diesem Beschluss wird die Aufteilung der jeweiligen Funktionen und Zuständigkeiten zwischen den gemeinsam Verantwortlichen, bei denen es sich um die EZB und die NCAs handelt, in Bezug auf die Einhaltung der Bestimmungen der Verordnung (EU) 2018/1725 betreffend die EZB bzw. der Verordnung (EU) 2016/679 betreffend die NCAs bei der Verarbeitung personenbezogener Daten im Rahmen der Wahrnehmung der in Absatz 2 aufgeführten Aufsichtsaufgaben festgelegt.

(2) Dieser Beschluss gilt für die Verarbeitung personenbezogener Daten im Rahmen der Wahrnehmung folgender Aufsichtsaufgaben:

a)	Verfahren zur Beurteilung der fachlichen Qualifikation und persönlichen Zuverlässigkeit in Bezug auf bedeutende beaufsichtigte Unternehmen;

b)	Zulassungsverfahren;

c)	laufende Aufsicht über bedeutende beaufsichtigte Unternehmen;

Durchsetzung und Sanktionen mit Ausnahme der Verarbeitung personenbezogener Daten durch NCAs, die gemäß Artikel 18 Absatz 5 der Verordnung (EU) Nr. 1024/2013 tätig werden, ab dem Zeitpunkt, zu dem die EZB der NCA mitteilt, dass sie die NCA um Einleitung eines Verfahrens ersucht, und mit Ausnahme von Verfahren nach Artikel 136 der Verordnung (EU) Nr. 468/2014 (EZB/2014/17) ab dem Zeitpunkt, zu dem die EZB der NCA ihr Ersuchen mitteilt;

e)	Vor-Ort-Prüfungen bedeutender beaufsichtigter Unternehmen;

f)	Überwachung der Aufsicht über weniger bedeutende beaufsichtigte Unternehmen;

g)	Aufsicht über weniger bedeutende beaufsichtigte Unternehmen.

Für jede Aufsichtsaufgabe werden Gegenstand, Art und Zweck der Verarbeitung, die Rechtsgrundlage der Verarbeitung, die betroffenen Personen und die Kategorien der verarbeiteten personenbezogenen Daten in den Anhängen festgelegt.

(3) Dieser Beschluss gilt nicht für die Verarbeitung personenbezogener Daten im Zusammenhang mit Meldungen über Verstöße gegen Unionsrecht oder nationales Recht im Bereich der Aufsicht über Kreditinstitute, die über das Hinweisgebersystem (Whistleblowing-System) der EZB bzw. einer NCA übermittelt werden. Er gilt auch nicht, wenn NCAs personenbezogene Daten auf einer anderen Rechtsgrundlage als der Verordnung (EU) Nr. 1024/2013 verarbeiten.

(4) Dieser Beschluss lässt andere Rechtsakte der Union zur Festlegung von Vorschriften für die Übermittlung von im Besitz der EZB befindlichen Aufsichtsinformationen an Organe und Einrichtungen der Union sowie an nationale und internationale Gerichte und Behörden unberührt.

Artikel 2

Begriffsbestimmungen

Für die Zwecke dieses Beschlusses gelten, sofern nichts anderes bestimmt ist, die Begriffsbestimmungen der Verordnung (EU) Nr. 1024/2013 und der Verordnung (EU) Nr. 468/2014 (EZB/2014/17) sowie die folgenden Begriffsbestimmungen:

1. „Verarbeitung“: Verarbeitung im Sinne von Artikel 3 Nummer 3 der Verordnung (EU) 2018/1725 bzw. des Artikels 4 Nummer 2 der Verordnung (EU) 2016/679;

2. „personenbezogene Daten“: personenbezogene Daten im Sinne von Artikel 3 Nummer 1 der Verordnung (EU) 2018/1725 bzw. des Artikels 4 Nummer 1 der Verordnung (EU) 2016/679;

3. „nationale zuständige Behörde“ (National Competent Authority — NCA): eine nationale zuständige Behörde im Sinne von Artikel 2 Nummer 9 der Verordnung (EU) Nr. 468/2014 (EZB/2014/17);

4. „Aufsichtsaufgabe“: eine der EZB gemäß Artikel 4 Absätze 1 und 2 der Verordnung (EU) Nr. 1024/2013 übertragene und im Rahmen von Artikel 6 der Verordnung (EU) Nr. 1024/2013 wahrgenommene Aufgabe;

5. „Verantwortlicher“: ein Verantwortlicher im Sinne von Artikel 3 Nummer 8 der Verordnung (EU) 2018/1725 bzw. von Artikel 4 Nummer 7 der Verordnung (EU) 2016/679;

6. „gemeinsam Verantwortlicher“: ein gemeinsam Verantwortlicher im Sinne von Artikel 28 Absatz 1 der Verordnung (EU) 2018/1725 bzw. von Artikel 26 Absatz 1 der Verordnung (EU) 2016/679;

7. „Auftragsverarbeiter“: ein Auftragsverarbeiter im Sinne von Artikel 3 Nummer 12 der Verordnung (EU) 2018/1725 bzw. von Artikel 4 Nummer 8 der Verordnung (EU) 2016/679;

8. „Organe und Einrichtungen der Union“: Organe und Einrichtungen der Union im Sinne von Artikel 3 Nummer 10 der Verordnung (EU) 2018/1725;

9. „Datenschutzerklärung“: ein Dokument, mit dem betroffenen Personen die Informationen gemäß Artikel 15 oder 16 der Verordnung (EU) 2018/1725 bzw. Artikel 13 oder 14 der Verordnung (EU) 2016/679 zur Verfügung gestellt werden;

10. „Antrag einer betroffenen Person“: ein Antrag, den eine betroffene Person an einen oder mehrere der gemeinsam Verantwortlichen richtet, mit dem die betroffene Person eines ihrer Rechte gemäß Kapitel III der Verordnung (EU) 2018/1725 bzw. Kapitel III der Verordnung (EU) 2016/679 ausübt;

11. „Verletzung des Schutzes personenbezogener Daten“: eine Verletzung des Schutzes personenbezogener Daten im Sinne von Artikel 3 Nummer 16 der Verordnung (EU) 2018/1725 bzw. von Artikel 4 Nummer 12 der Verordnung (EU) 2016/679;

12. „Aufsichtsbehörde“: eine nationale Aufsichtsbehörde im Sinne von Artikel 3 Nummer 22 Verordnung (EU) 2018/1725, eine Aufsichtsbehörde im Sinne von Artikel 4 Nummer 21 der Verordnung (EU) 2016/679 oder der Europäische Datenschutzbeauftragte;

13. „Herkunftsmitgliedstaat“: der Mitgliedstaat, in dem einem Kreditinstitut die Zulassung erteilt wurde;

14. „Aufnahmemitgliedstaat“: der Mitgliedstaat, in dem ein Kreditinstitut eine Zweigstelle hat oder Dienstleistungen erbringt.

Artikel 3

Information der betroffenen Person

(1) Der gemeinsam Verantwortliche, der die Verarbeitung personenbezogener Daten, einschließlich der Erhebung personenbezogener Daten, einleitet, stellt der betroffenen Person die Informationen gemäß den Artikeln 15 und 16 der Verordnung (EU) 2018/1725 bzw. den Artikeln 13 und 14 der Verordnung (EU) 2016/679 oder gemäß Artikel 28 Absatz 2 Satz 2 der Verordnung (EU) 2018/1725 bzw. Artikel 26 Absatz 2 Satz 2 der Verordnung (EU) 2016/679 zur Verfügung. Dieser gemeinsam Verantwortliche ist

a)	für personenbezogene Daten, die über das Portal des Informationsmanagementsystems (IMAS) übermittelt werden, die EZB;

für auf andere Weise erhaltene personenbezogene Daten gilt Folgendes:

i)	bei Verfahren zur Beurteilung der fachlichen Qualifikation und persönlichen Zuverlässigkeit in Bezug auf bedeutende beaufsichtigte Unternehmen die betreffende NCA gemäß den Artikeln 93 und 94 der Verordnung (EU) Nr. 468/2014 (EZB/2014/17);

ii)

bei Zulassungsverfahren:

1.	im Falle von Zulassungen die NCA, bei welcher der Antrag auf Zulassung zur Aufnahme der Tätigkeit eines Kreditinstituts eingeht, gemäß Artikel 14 Absatz 1 der Verordnung (EU) Nr. 1024/2013;

2.	im Falle qualifizierter Beteiligungen die NCA, welche die Anzeige oder alle damit zusammenhängenden Informationen gemäß Artikel 15 Absatz 1 der Verordnung (EU) Nr. 1024/2013 erhält;

3.	im Falle von Verfahren, die von der NCA zum Entzug einer Zulassung zur Aufnahme der Tätigkeit eines Kreditinstituts, einschließlich eines Entzugs auf Antrag des Kreditinstituts, gemäß Artikel 80 der Verordnung (EU) Nr. 468/2014 (EZB/2014/17) eingeleitet wurden, die betreffende NCA;

4.	im Falle von Verfahren, die von der EZB zum Entzug einer Zulassung zur Aufnahme der Tätigkeit als Kreditinstitut eingeleitet werden, die EZB;

5.	im Falle der Errichtung einer Zweigstelle durch ein bedeutendes beaufsichtigtes Unternehmen die NCA des Herkunftsmitgliedstaats gemäß Artikel 11 der Verordnung (EU) Nr. 468/2014 (EZB/2014/17);

im Falle der Anzeige einer Änderung bezüglich der Erbringung von Dienstleistungen durch ein bedeutendes beaufsichtigtes Unternehmen oder ein weniger bedeutendes beaufsichtigtes Unternehmen, der Anzeige einer Änderung der Daten einer Zweigstelle durch ein bedeutendes beaufsichtigtes Unternehmen oder ein weniger bedeutendes beaufsichtigtes Unternehmen oder der Errichtung einer Zweigstelle durch ein weniger bedeutendes beaufsichtigtes Unternehmen die NCA des Herkunftsmitgliedstaats;

7.	im Falle der Errichtung einer Zweigstelle in einem teilnehmenden Mitgliedstaat durch ein in einem nicht teilnehmenden Mitgliedstaat niedergelassenes Kreditinstitut die NCA des Aufnahmemitgliedstaats;

8.	im Falle der Erbringung von Dienstleistungen außerhalb der teilnehmenden Mitgliedstaaten durch ein bedeutendes beaufsichtigtes Unternehmen oder ein weniger bedeutendes beaufsichtigtes Unternehmen die NCA des Herkunftsmitgliedstaats;

9.	im Falle der Erbringung von Dienstleistungen in einem teilnehmenden Mitgliedstaat durch ein in einem nicht teilnehmenden Mitgliedstaat niedergelassenes Kreditinstitut die NCA des Aufnahmemitgliedstaats;

10.	im Falle der Zulassung oder Befreiung von der Zulassung von (gemischten) Finanzholdinggesellschaften, die bedeutende beaufsichtigte Unternehmen oder bedeutende beaufsichtigte Gruppen umfassen, die EZB;

11.

im Falle der Zulassung oder Befreiung von der Zulassung von (gemischten) Finanzholdinggesellschaften, die weniger bedeutende beaufsichtigte Unternehmen oder weniger bedeutende beaufsichtigte Gruppen umfassen, die NCA, bei welcher der Antrag gemäß Artikel 21a der Richtlinie 2013/36/EU des Europäischen Parlaments und des Rates (5) eingeht;

12.	im Falle von Verschmelzungen, die von Instituten und (gemischten) Finanzholdinggesellschaften durchgeführt werden, wenn es sich bei den aus dem geplanten Vorgang hervorgehenden Unternehmen um bedeutende beaufsichtigte Unternehmen handelt, die EZB;

13.

im Falle von Verschmelzungen, die von Instituten und (gemischten) Finanzholdinggesellschaften durchgeführt werden, wenn es sich bei den aus dem geplanten Vorgang hervorgehenden Unternehmen um weniger bedeutende beaufsichtigte Unternehmen handelt, die NCA, welche die Anzeige gemäß Artikel 27i Absatz 1 Unterabsatz 1 der Richtlinie 2013/36/EU erhält;

14.	im Falle von Spaltungen, die von Instituten und (gemischten) Finanzholdinggesellschaften durchgeführt werden, bei denen es sich um bedeutende beaufsichtigte Unternehmen handelt, die EZB;

15.	im Falle von Spaltungen, die von Instituten und (gemischten) Finanzholdinggesellschaften durchgeführt werden, bei denen es sich um weniger bedeutende beaufsichtigte Unternehmen handelt, die NCA, die die Anzeige gemäß Artikel 27i Absatz 1 Unterabsatz 2 der Richtlinie 2013/36/EU erhält;

iii)	bezüglich der laufenden Aufsicht über bedeutende beaufsichtigte Unternehmen die EZB;

iv)	bezüglich Durchsetzung und Sanktionen die EZB;

v)	bei Vor-Ort-Prüfungen bedeutender beaufsichtigter Unternehmen die EZB;

vi)	bezüglich der Überwachung der Aufsicht über weniger bedeutende beaufsichtigte Unternehmen die EZB;

vii)

bezüglich der Aufsicht über weniger bedeutende beaufsichtigte Unternehmen:

1.	die NCA des Herkunftsmitgliedstaats oder

2.	sofern die EZB gemäß Artikel 6 Absatz 5 Buchstabe b der Verordnung (EU) Nr. 1024/2013 sämtliche einschlägigen Befugnisse in Bezug auf ein weniger bedeutendes beaufsichtigtes Unternehmen unmittelbar selbst ausübt, die EZB.

(2) Jeder gemeinsam Verantwortliche veröffentlicht neben der Erfüllung der in Absatz 1 genannten Verpflichtung eine Datenschutzerklärung auf seiner Website.

(3) Die gemeinsam Verantwortlichen stimmen sich ab und vereinbaren einen einheitlichen oder möglichst identischen Inhalt der Informationen, die der betroffenen Person gemäß Artikel 28 Absatz 2 Satz 2 der Verordnung (EU) 2018/1725 bzw. Artikel 26 Absatz 2 Satz 2 der Verordnung (EU) 2016/679 zur Verfügung zu stellen sind.

Artikel 4

Bearbeitung von Anträgen betroffener Personen

(1) Die betroffenen Personen können ihre Rechte gemäß der Verordnung (EU) 2018/1725 bzw. der Verordnung (EU) 2016/679, je nachdem, welche Rechtsgrundlage anwendbar ist, in Bezug auf und gegen jeden der gemeinsam Verantwortlichen ausüben. Jeder gemeinsam Verantwortliche veröffentlicht seine Anlaufstelle und die Anlaufstelle jedes anderen gemeinsam Verantwortlichen in seiner Datenschutzerklärung auf seiner Website.

(2) Der für die Bearbeitung des Antrags einer betroffenen Person zuständige gemeinsam Verantwortliche ist:

bei Verfahren zur Beurteilung der fachlichen Qualifikation und persönlichen Zuverlässigkeit in Bezug auf bedeutende beaufsichtigte Unternehmen — bis die EZB im Rahmen des Verfahrens zur Beurteilung der fachlichen Qualifikation und persönlichen Zuverlässigkeit mit der Beurteilung betraut wird — die betreffende NCA gemäß den Artikeln 93 und 94 der Verordnung (EU) Nr. 468/2014 (EZB/2014/17); anschließend die EZB;

bei Zulassungsverfahren:

i)	im Falle von Zulassungen die NCA, bei welcher der Antrag auf Zulassung zur Aufnahme der Tätigkeit eines Kreditinstituts gemäß Artikel 14 Absatz 1 der Verordnung (EU) Nr. 1024/2013 eingeht, und zwar bis der von der NCA ausgearbeitete Beschlussentwurf der EZB zugestellt wird; anschließend die EZB;

ii)

im Falle qualifizierter Beteiligungen die NCA, welche die Anzeige oder alle damit zusammenhängenden Informationen gemäß Artikel 15 Absatz 1 der Verordnung (EU) Nr. 1024/2013 erhält, bis der Entwurf des Vorschlags der NCA für einen Beschluss, mit dem der Erwerb abgelehnt oder nicht abgelehnt wird, der EZB übermittelt wird; anschließend die EZB;

iii)

im Falle von Verfahren, die von einer NCA zum Entzug einer Zulassung zur Aufnahme der Tätigkeit als Kreditinstitut, einschließlich eines Entzugs auf Antrag des Kreditinstituts, gemäß Artikel 80 der Verordnung (EU) Nr. 468/2014 (EZB/2014/17) eingeleitet wurden, die betreffende NCA, bis der von der NCA ausgearbeitete Beschlussentwurf zum Entzug der Zulassung der EZB übermittelt wird; anschließend die EZB;

iv)	im Falle von Verfahren, die von der EZB zum Entzug einer Zulassung zur Aufnahme der Tätigkeit als Kreditinstitut eingeleitet werden, die EZB;

im Falle der Errichtung einer Zweigstelle durch ein bedeutendes beaufsichtigtes Unternehmen die NCA des Herkunftsmitgliedstaats gemäß Artikel 11 der Verordnung (EU) Nr. 468/2014 (EZB/2014/17), bis die Einleitung des Verfahrens zur Passerteilung (Passporting-Verfahren) der EZB angezeigt wird; anschließend die EZB;

vi)

vii)	im Falle der Errichtung einer Zweigstelle in einem teilnehmenden Mitgliedstaat durch ein in einem nicht teilnehmenden Mitgliedstaat niedergelassenes Kreditinstitut die NCA des Aufnahmemitgliedstaats, bis die Einleitung des Passporting-Verfahrens der EZB angezeigt wird; anschließend die EZB;

viii)

im Falle der Erbringung von Dienstleistungen außerhalb der teilnehmenden Mitgliedstaaten durch ein bedeutendes beaufsichtigtes Unternehmen oder ein weniger bedeutendes beaufsichtigtes Unternehmen die NCA des Herkunftsmitgliedstaats, bis die Einleitung des Passporting-Verfahrens der EZB angezeigt wird; anschließend der EZB;

ix)	im Falle der Erbringung von Dienstleistungen in einem teilnehmenden Mitgliedstaat durch ein in einem nicht teilnehmenden Mitgliedstaat niedergelassenes Kreditinstitut die NCA des Aufnahmemitgliedstaats, bis die Einleitung des Passporting-Verfahrens der EZB angezeigt wird; anschließend die EZB;

x)	im Falle der Zulassung oder Befreiung von der Zulassung von (gemischten) Finanzholdinggesellschaften, die bedeutende beaufsichtigte Unternehmen oder bedeutende beaufsichtigte Gruppen umfassen, die EZB;

xi)	im Falle der Zulassung oder Befreiung von der Zulassung von (gemischten) Finanzholdinggesellschaften, die weniger bedeutende beaufsichtigte Unternehmen oder weniger bedeutende beaufsichtigte Gruppen umfassen, die NCA, bei der der Antrag gemäß Artikel 21a der Richtlinie 2013/36/EU eingeht;

xii)	im Falle von Verschmelzungen, die von Instituten und (gemischten) Finanzholdinggesellschaften durchgeführt werden, wenn es sich bei den aus dem geplanten Vorgang hervorgehenden Unternehmen um bedeutende beaufsichtigte Unternehmen handelt, die EZB;

xiii)

xiv)	im Falle von Spaltungen, die von Instituten und (gemischten) Finanzholdinggesellschaften durchgeführt werden, bei denen es sich um bedeutende beaufsichtigte Unternehmen handelt, die EZB;

xv)	im Falle von Spaltungen, die von Instituten und (gemischten) Finanzholdinggesellschaften durchgeführt werden, bei denen es sich um weniger bedeutende beaufsichtigte Unternehmen handelt, die NCA, welche die Anzeige gemäß Artikel 27i Absatz 1 Unterabsatz 2 der Richtlinie 2013/36/EU erhält;

c)	bezüglich der laufenden Aufsicht über bedeutende beaufsichtigte Unternehmen die EZB;

d)	bezüglich Durchsetzung und Sanktionen die EZB;

e)	bei Vor-Ort-Prüfungen bedeutender beaufsichtigter Unternehmen die EZB;

f)	bezüglich der Überwachung der Aufsicht über weniger bedeutende beaufsichtigte Unternehmen die EZB;

bezüglich der Aufsicht über weniger bedeutende beaufsichtigte Unternehmen:

i)	die NCA des Herkunftsmitgliedstaats oder

ii)	sofern die EZB gemäß Artikel 6 Absatz 5 Buchstabe b der Verordnung (EU) Nr. 1024/2013 sämtliche einschlägigen Befugnisse in Bezug auf ein weniger bedeutendes beaufsichtigtes Unternehmen unmittelbar selbst ausübt, die EZB.

(3) Auf Ersuchen des zuständigen gemeinsam Verantwortlichen nach Absatz 2 leistet ein gemeinsam Verantwortlicher diesem zügige und effiziente Unterstützung bei der Bearbeitung von Anträgen betroffener Personen gemäß dem in Absatz 4 festgelegten Verfahren.

(4) Für die Bearbeitung von Anträgen betroffener Personen gelten folgende Regeln:

Der gemeinsam Verantwortliche, bei dem der Antrag einer betroffenen Person eingeht, übermittelt der betroffenen Person unverzüglich eine Empfangsbestätigung. Fällt der Antrag der betroffenen Person nicht in seine gemäß Absatz 2 festgelegte Zuständigkeit, leitet der gemeinsam Verantwortliche, bei dem der Antrag der betroffenen Person eingeht, diesen an den gemäß Absatz 2 tatsächlich für die Bearbeitung dieses Antrags zuständigen gemeinsam Verantwortlichen weiter.

Wenn der gemeinsam Verantwortliche, an den der Antrag der betroffenen Person weitergeleitet wurde, bestätigt, dass er gemäß Absatz 2 für die Bearbeitung dieses Antrags zuständig ist, so unterrichtet der gemeinsam Verantwortliche, bei dem der Antrag der betroffenen Person eingegangen ist, die betroffene Person über die Übermittlung des Antrags der betroffenen Person an den erstgenannten gemeinsam Verantwortlichen.

Etwaige Meinungsverschiedenheiten darüber, welcher gemeinsam Verantwortliche gemäß Absatz 2 zuständig ist, werden in einer Sitzung zwischen dem gemeinsam Verantwortlichen, bei dem der Antrag der betroffenen Person eingegangen ist, dem gemeinsam Verantwortlichen, an den der Antrag der betroffenen Person weitergeleitet wurde, und jedem anderen gemeinsam Verantwortlichen, der nach Auffassung des vorgenannten gemeinsam Verantwortlichen gemäß Absatz 2 zuständig ist, beigelegt. Im Anschluss an diese Sitzung unterrichtet der gemeinsam Verantwortliche, bei dem der Antrag der betroffenen Person eingegangen ist, die betroffene Person über die Übermittlung des Antrags der betroffenen Person an den gemeinsam Verantwortlichen, der bestätigt hat, dass er gemäß Absatz 2 zuständig ist. Wenn der gemeinsam Verantwortliche, bei dem der Antrag der betroffenen Person eingeht, der gemäß Absatz 2 zuständige gemeinsam Verantwortliche ist, der Antrag der betroffenen Person jedoch auch andere in Absatz 2 Buchstaben a bis g aufgeführte Aufsichtsaufgaben zum Gegenstand hat, ersucht dieser gemeinsam Verantwortliche einen oder mehrere andere gemeinsam Verantwortliche gemäß Absatz 3 um Unterstützung.

d)	Der gemäß Absatz 2 zuständige gemeinsam Verantwortliche übermittelt der betroffenen Person gegebenenfalls die endgültige Antwort unter Berücksichtigung der Angaben etwaiger anderer gemeinsam Verantwortlicher gemäß Buchstabe c.

Artikel 5

Verfahren im Zusammenhang mit Verletzungen des Schutzes personenbezogener Daten

(1) Ein gemeinsam Verantwortlicher, der von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt, meldet dies allen anderen gemeinsam Verantwortlichen unverzüglich, spätestens jedoch binnen 24 Stunden, nachdem er Kenntnis von der Verletzung des Schutzes personenbezogener Daten erlangt hat.

(2) Der gemeinsam Verantwortliche, der die Verletzung des Schutzes personenbezogener Daten verursacht hat oder dem die Verletzung des Schutzes personenbezogener Daten zuzurechnen ist, einschließlich Verletzungen, die von seinen Auftragsverarbeitern oder Unterauftragsverarbeitern verursacht wurden oder ihnen zuzurechnen sind, ist für die Bearbeitung dieser Verletzung des Schutzes personenbezogener Daten gemäß der Verordnung (EU) 2018/1725 bzw. der Verordnung (EU) 2016/679 zuständig. Kann binnen 24 Stunden nach Eingang der in Absatz 1 genannten Meldung nicht festgestellt werden, welcher gemeinsam Verantwortliche zuständig ist, so sind alle gemeinsam Verantwortlichen für die Bearbeitung der Verletzung des Schutzes personenbezogener Daten zuständig.

(3) Der nach Absatz 2 zuständige gemeinsam Verantwortliche meldet insbesondere die Verletzung des Schutzes personenbezogener Daten an seine Aufsichtsbehörde und unterrichtet gegebenenfalls die betroffene Person. Selbst wenn die EZB nicht der zuständige gemeinsam Verantwortliche ist, meldet sie ebenfalls die Verletzung des Schutzes personenbezogener Daten an den Europäischen Datenschutzbeauftragten, es sei denn, es ist unwahrscheinlich, dass durch die Verletzung des Schutzes personenbezogener Daten ein Risiko für die Rechte und Freiheiten natürlicher Personen entsteht.

(4) Der nach Absatz 2 zuständige gemeinsam Verantwortliche unterrichtet alle gemeinsam Verantwortlichen unverzüglich über a) die vom gemeinsam Verantwortlichen getroffenen Maßnahmen zur Minderung der Risiken, die sich aus der Verletzung des Schutzes personenbezogener Daten ergeben und b) darüber, ob die Verletzung des Schutzes personenbezogener Daten der Aufsichtsbehörde gemeldet und der betroffenen Person mitgeteilt wurde oder werden wird.

Artikel 6

Sicherheit der Verarbeitung

(1) Gemäß Artikel 33 der Verordnung (EU) 2018/1725 bzw. Artikel 32 der Verordnung (EU) 2016/679 treffen die gemeinsam Verantwortlichen geeignete technische und organisatorische Maßnahmen, um die Sicherheit der verarbeiteten personenbezogenen Daten zu gewährleisten. Bei der Bewertung des angemessenen Schutzniveaus berücksichtigen die gemeinsam Verantwortlichen den Stand der Technik, die Implementierungskosten, die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung sowie die Risiken für die betroffenen Personen.

(2) Jeder gemeinsam Verantwortliche, der ein für die Verarbeitung personenbezogener Daten verwendetes IT-System betreibt und verwaltet, legt geeignete technische und organisatorische Maßnahmen für dieses System fest und setzt sie um oder stellt sicher, dass der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen für dieses System festlegt und umsetzt.

(3) Die gemeinsam Verantwortlichen gewähren nur ihnen unterstellten natürlichen Personen Zugang zu den im Rahmen dieses Beschlusses verarbeiteten personenbezogenen Daten und nur soweit dies zur Erfüllung der in den Anhängen festgelegten Verarbeitungszwecke erforderlich ist.

(4) Die gemeinsam Verantwortlichen stellen sicher, dass sich die zur Verarbeitung personenbezogener Daten befugten Personen zur Wahrung der Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Artikel 7

Datenschutz-Folgenabschätzungen

(1) Die gemeinsam Verantwortlichen entscheiden, ob eine Datenschutz-Folgenabschätzung erforderlich ist, und welcher der gemeinsam Verantwortlichen einen Entwurf der Datenschutz-Folgenabschätzung erstellt.

(2) Eine Datenschutz-Folgenabschätzung gilt erst dann als endgültig, wenn sie von allen gemeinsam Verantwortlichen genehmigt wurde.

(3) In begründeten Fällen, z. B. wenn die gemeinsam Verantwortlichen nicht an denselben Phasen eines Verarbeitungsvorgangs beteiligt sind, führen die gemeinsam Verantwortlichen eine gesonderte Datenschutz-Folgenabschätzung für die betreffende Phase des Verarbeitungsvorgangs durch, an der sie beteiligt sind.

(4) Wenn aus einer Datenschutz-Folgenabschätzung hervorgeht, dass die Verarbeitung ohne Garantien, Sicherheitsvorkehrungen und Verfahren zur Risikominderung ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hätte, und das Risiko nach Auffassung des gemäß Absatz 1 für die Erstellung des Entwurfs zuständigen gemeinsam Verantwortlichen nicht durch in Bezug auf verfügbare Technologien und Implementierungskosten vertretbare Mittel gemindert werden kann, so konsultiert dieser gemeinsam Verantwortliche seine Aufsichtsbehörde. In einem solchen Fall konsultiert die EZB auch den Europäischen Datenschutzbeauftragten gemäß Artikel 40 der Verordnung (EU) 2018/1725, selbst wenn sie nicht der gemäß Absatz 1 für die Erstellung des Entwurfs zuständige gemeinsam Verantwortliche ist.

Artikel 8

Sonstige Aufgaben der gemeinsam Verantwortlichen

(1) Unbeschadet der Pflichten, denen die gemeinsam Verantwortlichen gemäß der Verordnung (EU) 2018/1725, der Verordnung (EU) 2016/679 oder nationalen Rechtsvorschriften unterliegen, ist jeder gemeinsam Verantwortliche für Folgendes verantwortlich:

a)	die Speicherfristen für die personenbezogenen Daten im Einklang mit dem geltenden Datenschutzbestimmungen festzulegen;

soweit dies notwendig und verhältnismäßig ist, über die Einschränkung der Ausübung der Rechte betroffener Personen nach Maßgabe der geltenden Datenschutzvorschriften, einschließlich der von einem gemeinsam Verantwortlichen erlassenen internen Vorschriften oder nationaler Rechtsvorschriften im Einklang mit der Verordnung (EU) 2018/1725 bzw. der Verordnung (EU) 2016/679, oder über die Anwendung etwaiger Ausnahmen nach Maßgabe von Artikel 16 Absatz 5 der Verordnung (EU) 2018/1725 bzw. Artikel 14 Absatz 5 der Verordnung (EU) 2016/679 zu entscheiden;

die Rechtmäßigkeit, Notwendigkeit und Verhältnismäßigkeit der Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation zu prüfen und zu bewerten sowie seinen Pflichten gemäß Kapitel V der Verordnung (EU) 2018/1725 bzw. Kapitel V der Verordnung (EU) 2016/679 nachzukommen;

d)	gemäß Artikel 29 der Verordnung (EU) 2018/1725 bzw. Artikel 28 der Verordnung (EU) 2016/679 nur Auftragsverarbeiter in Anspruch zu nehmen, die hinreichende Garantien für die Durchführung geeigneter technischer und organisatorischer Maßnahmen bieten;

e)	den anderen gemeinsam Verantwortlichen eine Liste der Auftragsverarbeiter zu übermitteln, deren Dienste dieser gemeinsam Verantwortliche für die Zwecke der Verarbeitung personenbezogener Daten zur Wahrnehmung der in Artikel 1 Absatz 2 aufgeführten Aufsichtsaufgaben in Anspruch nimmt.

(2) Die gemeinsam Verantwortlichen unterrichten einander über alle relevanten Informationen im Zusammenhang mit der Einhaltung der in Absatz 1 aufgeführten Pflichten unter gebührender Berücksichtigung der geltenden Bestimmungen über die Vertraulichkeit.

Artikel 9

Einhaltung von Vorschriften und Dokumentation

(1) Jeder gemeinsam Verantwortliche hält die allgemeinen Datenschutzgrundsätze gemäß Artikel 4 der Verordnung (EU) 2018/1725 bzw. Artikel 5 der Verordnung (EU) 2016/679 ein.

(2) Jeder gemeinsam Verantwortliche führt ein Verzeichnis der Verarbeitungstätigkeiten, die seiner Zuständigkeit unterliegen, und verfügt über die Informationen, die zum Nachweis der Einhaltung dieses Beschlusses erforderlich sind.

Artikel 10

Zusammenarbeit zwischen den gemeinsam Verantwortlichen

Die gemeinsam Verantwortlichen leisten einander die erforderliche Unterstützung, damit jeder von ihnen die Anforderungen der Verordnung (EU) 2018/1725 bzw. der Verordnung (EU) 2016/679 und des vorliegenden Beschlusses innerhalb einer Frist erfüllen kann, die mit den Anforderungen dieser Verordnungen vereinbar ist.

Artikel 11

Aufteilung der Entschädigung

Die gemeinsam Verantwortlichen regeln untereinander — gemäß dem tatsächlichen Grad der Verantwortung — die Aufteilung einer Entschädigung, die einer oder mehrere von ihnen für Schäden gezahlt haben, die aufgrund eines Verstoßes gegen die Verordnung (EU) 2018/1725 bzw. die Verordnung (EU) 2016/679 entstanden sind. Ein gemeinsam Verantwortlicher, der nachweist, dass er in keiner Weise für ein haftungsbegründendes Ereignis verantwortlich ist, ist von einer solchen Regelung zur Aufteilung zwischen ihm und anderen gemeinsam Verantwortlichen ausgenommen und ist berechtigt, von dem tatsächlich zuständigen gemeinsam Verantwortlichen die von ihm geleistete Entschädigungszahlung zurückzufordern.

Artikel 12

Beilegung von Meinungsverschiedenheiten

(1) Im Falle einer Meinungsverschiedenheit über die Aufteilung der Entschädigung, die einer der gemeinsam Verantwortlichen für Schäden gezahlt hat, die aufgrund eines Verstoßes gegen die Verordnung (EU) 2018/1725 bzw. die Verordnung (EU) 2016/679 entstanden sind, wird ein unabhängiges Gremium eingerichtet, um die Beilegung der Meinungsverschiedenheit zu erleichtern.

(2) Jeder gemeinsam Verantwortliche kann eine Meinungsverschiedenheit einem oder mehreren gemeinsam Verantwortlichen mitteilen und ein Mitglied für das Gremium bestellen. Jeder gemeinsam Verantwortliche, an den Mitteilung erstattet wurde, bestellt sein Gremiumsmitglied innerhalb von zwei Wochen nach Eingang der Mitteilung. Der gemeinsam Verantwortliche, der die Mitteilung über die Meinungsverschiedenheit erstattet hat, und die gemeinsam Verantwortlichen, an welche die Mitteilung erstattet wurde, gelten als von der Meinungsverschiedenheit betroffene Parteien.

(3) Ein unabhängiges Gremium besteht aus einer ungeraden Anzahl von Mitgliedern und setzt sich aus den nach Absatz 2 bestellten Mitgliedern sowie einem oder zwei von diesen Gremiumsmitgliedern gemeinsam bestellten Mitgliedern zusammen. Die Führung des Vorsitzes bzw. des Vorsitzes und des stellvertretenden Vorsitzes bestimmt sich nach dem Dienstalter des gemeinsam bestellten Gremiumsmitglieds bzw. der gemeinsam bestellten Gremiumsmitglieder, die eine Vergütung erhalten, die zu gleichen Teilen von allen von der Meinungsverschiedenheit betroffenen Parteien gezahlt wird. Das gemeinsam bestellte Gremiumsmitglied bzw. die gemeinsam bestellten Gremiumsmitglieder sind von den von der Meinungsverschiedenheit betroffenen Parteien unabhängig. Der Vorsitzende teilt dem Präsidenten oder der Präsidentin der EZB die endgültige Zusammensetzung des Gremiums mit.

(4) Das unabhängige Gremium arbeitet im Einklang mit den Grundsätzen der Unparteilichkeit und der Gleichberechtigung sowie dem Recht auf rechtliches Gehör.

(5) Das unabhängige Gremium ist bestrebt, innerhalb von drei Monaten nach Mitteilung seiner endgültigen Zusammensetzung an den Präsidenten oder die Präsidentin der EZB eine begründete Empfehlung zur Beilegung der Meinungsverschiedenheit abzugeben. Die Empfehlung ist für die von der Meinungsverschiedenheit betroffene Parteien nicht bindend und kann in Gerichtsverfahren als Beweismittel vorgelegt werden.

Artikel 13

Überprüfung

Um die Wirksamkeit der Festlegung der Aufgaben der gemeinsam Verantwortlichen zur Einhaltung der Pflichten nach Maßgabe der Verordnung (EU) 2018/1725 bzw. der Verordnung (EU) 2016/679 zu gewährleisten, überprüft der EZB-Rat die in diesem Beschluss getroffenen Vereinbarungen spätestens fünf Jahre nach dem Datum des Wirksamwerdens dieses Beschlusses.

Artikel 14

Wirksamwerden

Dieser Beschluss wird am Tag seiner Bekanntgabe an die Adressaten wirksam.

Artikel 15

Adressaten

Dieser Beschluss ist an die nationalen zuständigen Behörden der teilnehmenden Mitgliedstaaten gerichtet.

Geschehen zu Frankfurt am Main am 30. Juli 2026.

Die Präsidentin der EZB

Christine LAGARDE

(1) ABl. L 295 vom 21.11.2018, S. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj.

(2) ABl. L 119 vom 4.5.2016, S. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj.

(3) ABl. L 287 vom 29.10.2013, S. 63, ELI: http://data.europa.eu/eli/reg/2013/1024/oj.

(4) Verordnung (EU) Nr. 468/2014 der Europäischen Zentralbank vom 16. April 2014 zur Einrichtung eines Rahmenwerks für die Zusammenarbeit zwischen der Europäischen Zentralbank und den nationalen zuständigen Behörden und den nationalen benannten Behörden innerhalb des einheitlichen Aufsichtsmechanismus (SSM-Rahmenverordnung) (EZB/2014/17) (ABI L 141 vom 14.5.2014, S. 1, ELI: http://data.europa.eu/eli/reg/2014/468/oj).

(5) Richtlinie 2013/36/EU des Europäischen Parlaments und des Rates vom 26. Juni 2013 über den Zugang zur Tätigkeit von Kreditinstituten und die Beaufsichtigung von Kreditinstituten, zur Änderung der Richtlinie 2002/87/EG und zur Aufhebung der Richtlinien 2006/48/EG und 2006/49/EG (ABl. L 176 vom 27.6.2013, S. 338, ELI: http://data.europa.eu/eli/dir/2013/36/oj).

ANHANG I

Beurteilungen der fachlichen Qualifikation und persönlichen Zuverlässigkeit

1. GEGENSTAND, ART UND ZWECK DER VERARBEITUNG

Die EZB führt in Zusammenarbeit mit den nationalen zuständigen Behörden (National Competent Authorities — NCAs) Bewertungen und Neubewertungen der Eignung von Mitgliedern durch, die für Führungs- und Aufsichtspositionen in bedeutenden beaufsichtigten Unternehmen bestellt werden, wie Mitglieder des Leitungsorgans und Inhaber von Schlüsselfunktionen sowie Inhaber anderer Positionen, die in den nationalen Rechtsvorschriften zur Umsetzung der Richtlinie 2013/36/EU angegeben sind, Zweigstellenleiter und bestimmte andere Personen, die für die Leitung bedeutender beaufsichtigter Unternehmen oder ihrer Zweigstellen verantwortlich sind (im Folgenden „Verfahren zur Beurteilung der fachlichen Qualifikation und persönlichen Zuverlässigkeit“).

Im Rahmen der Verfahren zur Beurteilung der fachlichen Qualifikation und persönlichen Zuverlässigkeit werden personenbezogene Daten für folgende Zwecke verarbeitet:

a)	Beurteilung, ob die bestellten Mitglieder die Kriterien für die fachliche Qualifikation und persönliche Zuverlässigkeit erfüllen;

Durchführung von Neubewertungen, um zu gewährleisten, dass die Anforderungen an die fachliche Qualifikation und die persönliche Zuverlässigkeit fortlaufend erfüllt werden und, wenn die Anforderungen nicht erfüllt sind, die betreffenden Mitglieder aus dem Leitungsorgan des bedeutenden beaufsichtigten Unternehmens abzuberufen;

Prüfung von Anträgen, einem Mitglied des Leitungsorgans zu genehmigen, ein weiteres Aufsichtsmandat zu bekleiden, sowie von Anträgen auf gleichzeitige Bekleidung der Position des Vorsitzenden des Leitungsorgans in seiner Aufsichtsfunktion und des Chief Executive Officer im bedeutenden beaufsichtigten Unternehmen;

d)	Durchführung quantitativer Studien und Analysen sowie Meldung statistischer Daten auf aggregierter Ebene.

2. RECHTSGRUNDLAGE

Artikel 5 Absatz 1 Buchstabe a der Verordnung (EU) 2018/1725 oder Artikel 6 Absatz 1 Buchstabe e und in einigen Mitgliedstaaten Artikel 6 Absatz 1 Buchstabe c der Verordnung (EU) 2016/679 in Verbindung mit Artikel 4 Absatz 1 Buchstabe e und den Artikeln 6, 7, 8, 9 und 10 der Verordnung (EU) Nr. 1024/2013;

b)	Artikel 5 Absatz 1 Buchstabe a der Verordnung (EU) 2018/1725 oder Artikel 6 Absatz 1 Buchstabe e und in einigen Mitgliedstaaten Artikel 6 Absatz 1 Buchstabe c der Verordnung (EU) 2016/679 in Verbindung mit der Richtlinie 2013/36/EU in der in nationales Recht umgesetzten Fassung.

3. BETROFFENE PERSONEN

Personenbezogene Daten zu den folgenden Kategorien betroffener Personen dürfen verarbeitet werden:

a)	bestellte Mitglieder, die Gegenstand einer Beurteilung im Rahmen eines Verfahrens zur Beurteilung der fachlichen Qualifikation und persönlichen Zuverlässigkeit sind;

b)	nahe Angehörige eines bestellten Mitglieds, wie Ehegatten, eingetragene Lebenspartner, Lebensgefährten, Kinder, Eltern oder sonstige Angehörige, mit denen das bestellte Mitglied in einem Haushalt lebt;

mit einem bestellten Mitglied verbundene Personen, deren personenbezogene Daten von Bedeutung für die Beurteilung des bestellten Mitglieds sind, wie Personen, die leitende Positionen im beaufsichtigten Unternehmen, für das die Bestellung erfolgt, bekleiden oder dessen wirtschaftliche Eigentümer sind;

d)	bevollmächtigte Vertreter eines bestellten Mitglieds im Verfahren zur Beurteilung der fachlichen Qualifikation und persönlichen Zuverlässigkeit.

4. KATEGORIEN VERARBEITETER PERSONENBEZOGENER DATEN

Die folgenden Kategorien personenbezogener Daten dürfen verarbeitet werden:

a)	Daten, die eine Identifizierung ermöglichen, wie Name, Personalausweis-/Reisepassnummer, Staatsangehörigkeit und Unterschrift des bestellten Mitglieds;

b)	Kontaktdaten, wie Postanschrift, E-Mail-Adresse und Telefonnummer des bestellten Mitglieds;

c)	berufliche Daten zu allgemeiner und beruflicher Bildung, Beschäftigung und anderen bekleideten Positionen des bestellten Mitglieds sowie der Mitglieder des Leitungsorgans des beaufsichtigten Unternehmens, für das die Bestellung erfolgt;

d)	berufliche Daten zu jeder anderen Geschäftstätigkeit des bestellten Mitglieds;

e)	Angaben zu Strafregistereinträgen, strafrechtlichen Ermittlungen und Strafverfahren, relevanten Zivil-/Verwaltungsverfahren und Disziplinarmaßnahmen, einschließlich Verbot der Ausübung der Geschäftsführerposition, Konkurs, Insolvenz und ähnlichen Verfahren;

f)	Angaben zur finanziellen Situation des bestellten Mitglieds;

Beschreibung der persönlichen Beziehungen naher Angehöriger des bestellten Mitglieds zu anderen Mitgliedern des Leitungsorgans und/oder Inhabern von Schlüsselfunktionen des beaufsichtigten Unternehmens, für das die Bestellung erfolgt, seines Mutterunternehmens oder seiner Tochterunternehmen, und ihrer beruflichen und finanziellen Beziehungen zum beaufsichtigten Unternehmen, für das die Bestellung erfolgt, sowie zu dessen Mutterunternehmen oder Tochterunternehmen;

h)	Informationen darüber, ob eine Beurteilung der fachlichen Qualifikation und persönlichen Zuverlässigkeit bereits von einer anderen zuständigen Behörde durchgeführt wurde und Angaben zum Ergebnis dieser Beurteilung;

i)	Äußerungen von Mitarbeitern der EZB oder der NCA zur Leistung des bestellten Mitglieds in seiner aktuellen oder einer früheren Funktion, die sich auf das aktuelle Verfahren zur Beurteilung der fachlichen Qualifikation und persönlichen Zuverlässigkeit auswirken können;

j)	Informationen über das Verhalten des bestellten Mitglieds in seiner aktuellen Funktion, die gegebenenfalls bei Neubewertungen relevant sind;

k)	Aufzeichnungen der Stimme des bestellten Mitglieds.

ANHANG II

Zulassungsverfahren

1. GEGENSTAND, ART UND ZWECK DER VERARBEITUNG

Die EZB führt in Zusammenarbeit mit den nationalen zuständigen Behörden (National Competent Authorities — NCAs) Bewertungen im Zusammenhang mit Zulassungsverfahren durch, die den Erwerb qualifizierter Beteiligungen, die Erteilung und den Entzug einer Zulassung zur Aufnahme der Tätigkeit eines Kreditinstituts, das Niederlassungsrecht und den freien Dienstleistungsverkehr beaufsichtigter Unternehmen, die Zulassung oder Befreiung von der Zulassung von (gemischten) Finanzholdinggesellschaften, die bedeutende beaufsichtigte Unternehmen oder bedeutende beaufsichtigte Gruppen umfassen, sowie angezeigte Verschmelzungen und Spaltungen zum Gegenstand haben.

Im Rahmen der jeweiligen Zulassungsverfahren werden personenbezogene Daten für folgende Zwecke verarbeitet:

Zulassungen zur Aufnahme der Tätigkeit eines Kreditinstituts: um zu bewerten, ob ein Antragsteller für eine Zulassung die einschlägigen Anforderungen des nationalen Rechts und des Unionsrechts erfüllt, gegebenenfalls einschließlich der Bewertung der Organisationsstruktur, der Beurteilung der fachlichen Qualifikation und persönlichen Zuverlässigkeit von Mitgliedern des Leitungsorgans und Inhabern von Schlüsselfunktionen sowie der Analyse der Eignung der Anteilseigner oder Gesellschafter des Antragstellers;

b)	qualifizierte Beteiligungen: um die finanzielle Solidität des geplanten Erwerbs und die Eignung des interessierten Erwerbers festzustellen;

c)	Entzug von Zulassungen zur Aufnahme der Tätigkeit eines Kreditinstituts: um zu beurteilen, ob ein beaufsichtigtes Unternehmen die Bedingungen des nationalen Rechts und des Unionsrechts für den Entzug einer Zulassung erfüllt;

das Niederlassungsrecht und der freie Dienstleistungsverkehr beaufsichtigter Unternehmen: um zu bewerten, ob die Errichtung einer Zweigstelle oder die Erbringung von Dienstleistungen durch bedeutende beaufsichtigte Unternehmen oder weniger bedeutende beaufsichtigte Unternehmen, die Errichtung einer Zweigstelle in einem teilnehmenden Mitgliedstaat durch ein in einem nicht teilnehmenden Mitgliedstaat niedergelassenes Kreditinstitut, die Erbringung von Dienstleistungen außerhalb der teilnehmenden Mitgliedstaaten durch ein bedeutendes beaufsichtigtes Unternehmen oder ein weniger bedeutendes beaufsichtigtes Unternehmen, die Erbringung von Dienstleistungen in einem teilnehmenden Mitgliedstaat durch ein in einem nicht teilnehmenden Mitgliedstaat niedergelassenes Kreditinstitut und Änderungen der Daten einer Zweigstelle oder Änderungen der Erbringung von Dienstleistungen durch bedeutende beaufsichtigte Unternehmen oder weniger bedeutende beaufsichtigte Unternehmen die einschlägigen Anforderungen des nationalen Rechts und des Unionsrechts erfüllt;

Zulassung oder Befreiung von der Zulassung von (gemischten) Finanzholdinggesellschaften: um zu beurteilen, ob die Kriterien des einschlägigen nationalen Rechts und Unionsrechts für eine Zulassung oder Befreiung von der Zulassung von (gemischten) Finanzholdinggesellschaften erfüllt sind, einschließlich der Bewertung der internen Vereinbarungen und Organisationsstruktur der Gruppe, der die (gemischte) Finanzholdinggesellschaft angehört, sowie der internen Verteilung von Aufgaben innerhalb dieser Gruppe und der Eignung der Mitglieder des Leitungsorgans und der Anteilseigner (oder Gesellschafter) der (gemischten) Finanzholdinggesellschaft;

Verschmelzungen und Spaltungen, die von Instituten und (gemischten) Finanzholdinggesellschaften durchgeführt werden: um zu beurteilen, ob die Kriterien des einschlägigen nationalen Rechts und Unionsrechts für die Genehmigung von Verschmelzungen und Spaltungen erfüllt sind, einschließlich der Beurteilung des Leumunds und der finanziellen Solidität der beteiligten Finanzakteure und der Frage, ob das aus dem geplanten Vorgang hervorgehende Unternehmen auf Dauer in der Lage sein wird, den aufsichtlichen Anforderungen zu genügen.

2. RECHTSGRUNDLAGE

Artikel 5 Absatz 1 Buchstabe a der Verordnung (EU) 2018/1725 oder Artikel 6 Absatz 1 Buchstabe e und in einigen Mitgliedstaaten Artikel 6 Absatz 1 Buchstabe c der Verordnung (EU) 2016/679 in Verbindung mit Artikel 4 Absatz 1 Buchstaben a, b, c und g, Artikel 4 Absatz 2, Artikel 6 Absatz 4, den Artikeln 14 und 15 sowie Artikel 17 Absatz 1 der Verordnung (EU) Nr. 1024/2013;

Artikel 5 Absatz 1 Buchstabe a der Verordnung (EU) 2018/1725 oder Artikel 6 Absatz 1 Buchstabe e und in einigen Mitgliedstaaten Artikel 6 Absatz 1 Buchstabe c der Verordnung (EU) 2016/679 in Verbindung mit den Artikeln 8, 11 bis 17 und Teil V, Titel 1, 2 und 3 der Verordnung (EU) Nr. 468/2014 (EZB/2014/17);

Artikel 5 Absatz 1 Buchstabe a der Verordnung (EU) 2018/1725 oder Artikel 6 Absatz 1 Buchstabe e und in einigen Mitgliedstaaten Artikel 6 Absatz 1 Buchstabe c der Verordnung (EU) 2016/679 in Verbindung mit den Artikeln 8, 8a, 10 bis 14, 18, 21a, 22, 23, 27i, 27j, 33, 34, 35 und 39 der Richtlinie 2013/36/EU in der in nationales Recht umgesetzten Fassung.

3. BETROFFENE PERSONEN

Personenbezogene Daten zu den folgenden Kategorien betroffener Personen dürfen verarbeitet werden:

3.1.

Zulassungen zur Aufnahme der Tätigkeit eines Kreditinstituts:

a)	Mitarbeiter des Antragstellers;

b)	Mitglieder des Leitungsorgans, Inhaber von Schlüsselfunktionen und Anteilseigner oder Gesellschafter (bei juristischen Personen die Personen, welche die Geschäfte tatsächlich leiten) des Antragstellers oder anderer mit dem Antragsteller verbundener Unternehmen;

Personen, zu denen der Antragsteller oder Mitglieder des Leitungsorgans, Inhaber von Schlüsselfunktionen und Anteilseigner oder Gesellschafter (bei juristischen Personen die Personen, welche die Geschäfte tatsächlich leiten) des Antragstellers wesentliche finanzielle oder nichtfinanzielle Beziehungen unterhalten;

d)	bevollmächtigte Vertreter des Antragstellers im Zulassungsverfahren.

3.2.

Qualifizierte Beteiligungen:

a)	Mitarbeiter des beaufsichtigten Unternehmens, das Gegenstand des Verfahrens ist, Mitglieder des Leitungsorgans und Anteilseigner des beaufsichtigten Unternehmens, das Gegenstand des Verfahrens ist, oder anderer maßgeblicher Unternehmen;

Personen, welche die Geschäfte des Erwerbers tatsächlich leiten, und Mitglieder des Leitungsorgans, welche die Geschäfte des beaufsichtigten Unternehmens, das Gegenstand des Verfahrens ist, infolge des geplanten Erwerbs der qualifizierten Beteiligung leiten werden, sowie Personen, zu denen diese wesentliche finanzielle oder nichtfinanzielle Beziehungen unterhalten;

c)	der Erwerber einer qualifizierten Beteiligung sowie Personen, zu denen dieser wesentliche finanzielle oder nichtfinanzielle Beziehungen unterhält;

d)	Mitarbeiter und bevollmächtigte Vertreter des Erwerbers.

3.3.

Entzug von Zulassungen zur Aufnahme der Tätigkeit eines Kreditinstituts:

a)	Mitglieder des Leitungsorgans, Inhaber von Schlüsselfunktionen und Anteilseigner oder Gesellschafter (bei juristischen Personen die Personen, welche die Geschäfte tatsächlich leiten) des beaufsichtigten Unternehmens, das Gegenstand des Verfahrens ist;

Personen, zu denen Mitglieder des Leitungsorgans und Anteilseigner oder Gesellschafter (bei juristischen Personen die Personen, welche die Geschäfte tatsächlich leiten) des beaufsichtigten Unternehmens, das Gegenstand des Verfahrens ist, wesentliche finanzielle oder nichtfinanzielle Beziehungen unterhalten;

c)	Mitarbeiter und bevollmächtigte Vertreter des beaufsichtigten Unternehmens, das Gegenstand des Verfahrens ist.

3.4.

Niederlassungsrecht und freier Dienstleistungsverkehr beaufsichtigter Unternehmen:

a)	Mitarbeiter des beaufsichtigten Unternehmens, das Gegenstand des Verfahrens ist;

b)	Mitglieder des Leitungsorgans und Anteilseigner des beaufsichtigten Unternehmens, das Gegenstand des Verfahrens ist;

c)	bevollmächtigte Vertreter des beaufsichtigten Unternehmens, das Gegenstand des Verfahrens ist.

3.5.

Zulassung oder Befreiung von der Zulassung von (gemischten) Finanzholdinggesellschaften:

a)	Mitarbeiter der (gemischten) Finanzholdinggesellschaft, die Gegenstand des Verfahrens ist, und des beaufsichtigten Unternehmens, das eine Tochtergesellschaft der (gemischten) Finanzholdinggesellschaft ist, die Gegenstand des Verfahrens ist;

Mitglieder des Leitungsorgans und Anteilseigner oder Gesellschafter (bei juristischen Personen die Personen, welche die Geschäfte tatsächlich leiten) des beaufsichtigten Unternehmens, das eine Tochtergesellschaft der (gemischten) Finanzholdinggesellschaft ist, die Gegenstand des Verfahrens ist, sowie Personen, zu denen diese wesentliche finanzielle oder nichtfinanzielle Beziehungen unterhalten;

Mitglieder des Leitungsorgans und Anteilseigner oder Gesellschafter (bei juristischen Personen die Personen, welche die Geschäfte tatsächlich leiten) der (gemischten) Finanzholdinggesellschaft, die Gegenstand des Verfahrens ist, sowie Personen, zu denen diese wesentliche finanzielle oder nichtfinanzielle Beziehungen unterhalten;

d)	bevollmächtigte Vertreter der (gemischten) Finanzholdinggesellschaft, die Gegenstand des Verfahrens ist.

3.6.

Verschmelzungen und Spaltungen, die von Instituten und (gemischten) Finanzholdinggesellschaften durchgeführt werden:

a)	Mitarbeiter des beaufsichtigten Unternehmens, das Gegenstand des Verfahrens ist;

Mitglieder des Leitungsorgans, Inhaber von Schlüsselfunktionen und Anteilseigner oder Gesellschafter (bei juristischen Personen die Personen, welche die Geschäfte tatsächlich leiten) des beaufsichtigten Unternehmens oder anderer mit dem beaufsichtigten Unternehmen, das Gegenstand des Verfahrens ist, verbundener Unternehmen;

c)	Mitglieder des Leitungsorgans, welche die Geschäfte des beaufsichtigten Unternehmens, das aus dem geplanten Vorgang hervorgeht, tatsächlich leiten werden, sowie Personen, zu denen diese wesentliche finanzielle oder nichtfinanzielle Beziehungen unterhalten;

d)	bevollmächtigte Vertreter des beaufsichtigten Unternehmens, das Gegenstand des Verfahrens ist.

4. KATEGORIEN VERARBEITETER PERSONENBEZOGENER DATEN

Die folgenden Kategorien personenbezogener Daten dürfen verarbeitet werden:

a)	Angaben zur Identifikation, wie Name, Personalausweis-/Reisepassnummer, Staatsangehörigkeit und Unterschrift;

b)	Kontaktdaten, wie Postanschrift, E-Mail-Adresse und Telefonnummer;

c)	berufliche Daten zu allgemeiner und beruflicher Bildung, Beschäftigung und anderen bekleideten Positionen;

d)	berufliche Daten zu jeder anderen Geschäftstätigkeit;

e)	Angaben zu Strafregistereinträgen, strafrechtlichen Ermittlungen und Strafverfahren, relevanten Zivil-/Verwaltungsverfahren und Disziplinarmaßnahmen, einschließlich Verbot der Ausübung der Funktion als Unternehmensleiter, Konkurs, Insolvenz und ähnlicher Verfahren;

f)	Angaben zur finanziellen Situation;

g)	Beschreibung finanzieller und nichtfinanzieller Interessen oder Beziehungen von Bedeutung;

Angaben zu einer Ablehnung der Eintragung, Genehmigung, Zugehörigkeit zu einem Gewerbe, Geschäft oder Beruf oder Erlaubnis zur Ausübung eines Gewerbes, Geschäfts oder Berufs; Rücknahme, Widerruf oder Löschung einer Eintragung, Genehmigung, Zugehörigkeit oder Erlaubnis; oder Ausschluss durch ein Selbstregulierungsorgan oder staatliches Kontrollorgan oder durch ein Berufsgremium oder einen Berufsverband;

i)	Informationen darüber, ob eine Beurteilung des Leumunds bereits von einer anderen zuständigen Behörde durchgeführt wurde und Angaben zum Ergebnis dieser Beurteilung;

j)	Äußerungen von Mitarbeitern der EZB oder der NCA zur Leistung der betreffenden Person in ihrer aktuellen oder einer früheren Funktion, die sich auf die einschlägige Beurteilung auswirken kann;

k)	Aufzeichnungen der Stimme der betreffenden Person.

ANHANG III

Laufende Aufsicht über bedeutende beaufsichtigte Unternehmen

1. GEGENSTAND, ART UND ZWECK DER VERARBEITUNG

Im Rahmen der Aufsicht über bedeutende beaufsichtigte Unternehmen werden personenbezogene Daten für folgende Zwecke verarbeitet:

Gewährleistung, dass bedeutende beaufsichtigte Unternehmen das einschlägige Unionsrecht, einschließlich der nationalen Rechtsvorschriften zu seiner Umsetzung, einhalten, in welchem Aufsichtsanforderungen in Bezug auf i) Eigenmittel, Verbriefung, Beschränkungen für Großkredite, Liquidität, Verschuldungsgrad sowie Meldung und Veröffentlichung entsprechender Informationen sowie ii) Unternehmensführung, einschließlich Risikomanagementverfahren, interner Kontrollmechanismen, Vergütungspolitiken und -praktiken sowie wirksamer bankinterner Prozesse zur Sicherstellung einer angemessenen Kapital- und Liquiditätsausstattung, einschließlich auf internen Ratings basierender Modelle, festgelegt sind;

Durchführung von aufsichtlichen Überprüfungen und Stresstests, um festzustellen, ob bedeutende beaufsichtigte Unternehmen die einschlägigen Anforderungen des Unionsrechts erfüllen und, auf der Grundlage dieser aufsichtlichen Überprüfung, besondere Anforderungen und weitere Maßnahmen in Bezug auf beaufsichtigte Unternehmen festzulegen;

Beaufsichtigung der in einem teilnehmenden Mitgliedstaat niedergelassenen Mutterunternehmen von beaufsichtigten Unternehmen, einschließlich der (gemischten) Finanzholdinggesellschaften, sowie Mitwirkung an der Beaufsichtigung auf konsolidierter Basis von Mutterunternehmen, die nicht in einem teilnehmenden Mitgliedstaat niedergelassen sind, einschließlich in Aufsichtskollegien unbeschadet der Beteiligung der nationalen zuständigen Behörden (NCAs) als Beobachter in diesen Aufsichtskollegien;

Mitwirkung an der zusätzlichen Beaufsichtigung von Finanzkonglomeraten in Bezug auf zugehörige beaufsichtigte Unternehmen und Wahrnehmung der Aufgaben eines Koordinators, wenn die EZB nach Maßgabe der im einschlägigen Unionsrecht festgelegten Kriterien als Koordinator für ein Finanzkonglomerat benannt ist;

e)	Wahrnehmung von Aufsichtsaufgaben in Bezug auf Sanierungspläne und Frühinterventionsmaßnahmen;

f)	Wahrnehmung von Aufsichtsaufgaben in Bezug auf wesentliche Beteiligungen, bei denen es sich nicht um qualifizierte Beteiligungen handelt;

Ausübung der nach nationalem Recht übertragenen Aufsichtsbefugnisse, die in den Aufgabenbereich der EZB fallen, im Hinblick auf bedeutende beaufsichtigte Unternehmen, einschließlich Genehmigung des Erwerbs von Anteilen an einem Nichtkreditinstitut oder einem Kreditinstitut außerhalb der Union durch bedeutende beaufsichtigte Unternehmen, Verschmelzungen oder Spaltungen von Kreditinstituten, Erwerb oder Veräußerung von Aktiva oder Passiva, Änderungen der Satzung von Kreditinstituten, Bestellung von externen Abschlussprüfern, Informationsersuchen an und spezifischer Berichte von externen Abschlussprüfern, Auslagerungsvorhaben, Tätigkeiten in Drittländern, Ausübung von Befugnissen gegenüber Anteilseignern, Gewährung oder Beschränkung von Krediten an verbundene Parteien, strategischer Entscheidungen und Gründung genossenschaftlicher Bankengruppen;

Ausübung der nach nationalem Recht übertragenen Aufsichtsbefugnisse im Hinblick auf bedeutende beaufsichtigte Unternehmen, einschließlich der Optionen und Ermessensspielräume der zuständigen Behörden nach Maßgabe der Verordnung (EU) Nr. 575/2013 des Europäischen Parlaments und des Rates (1) und der Richtlinie 2013/36/EU in der in nationales Recht umgesetzten Fassung.

2. RECHTSGRUNDLAGE

Artikel 5 Absatz 1 Buchstabe a der Verordnung (EU) 2018/1725 oder Artikel 6 Absatz 1 Buchstabe e und in einigen Mitgliedstaaten Artikel 6 Absatz 1 Buchstabe c der Verordnung (EU) 2016/679 in Verbindung mit Artikel 4 Absatz 1 Buchstaben d, e, f, g, h und i, Artikel 4 Absatz 3 und den Artikeln 6 und 9 der Verordnung (EU) Nr. 1024/2013;

3. BETROFFENE PERSONEN

Personenbezogene Daten zu den folgenden Kategorien betroffener Personen dürfen verarbeitet werden:

a)	Mitarbeiter eines bedeutenden beaufsichtigten Unternehmens;

b)	Mitglieder des Leitungsorgans, Kunden und ihre Garanten, Anteilseigner und Gläubiger, Dienstleister, Berater und externe Abschlussprüfer eines bedeutenden beaufsichtigten Unternehmens;

c)	Mitarbeiter oder Vertreter von Bankenverbänden;

d)	Mitarbeiter von Organen und Einrichtungen der Union und nationalen und internationalen Behörden;

e)	andere Dritte, wie Personen, die im Zusammenhang mit einem bedeutenden beaufsichtigten Unternehmen Beschwerden einlegen oder Auskunftsersuchen übermitteln;

f)	bevollmächtigte Vertreter eines bestellten Mitglieds in einem Verfahren zur Beurteilung der fachlichen Qualifikation und persönlichen Zuverlässigkeit;

g)	bevollmächtigte Vertreter des Erwerbers einer wesentlichen Beteiligung;

h)	Mitarbeiter des Erwerbers einer wesentlichen Beteiligung.

4. KATEGORIEN VERARBEITETER PERSONENBEZOGENER DATEN

Die folgenden Kategorien personenbezogener Daten dürfen verarbeitet werden:

a)	Angaben zur Identifikation, wie Name, Personalausweis-/Reisepassnummer, Staatsangehörigkeit und Unterschrift;

b)	Kontaktdaten, wie Postanschrift, E-Mail-Adresse und Telefonnummer;

c)	berufliche Daten zu allgemeiner und beruflicher Bildung, Beschäftigung, anderen Positionen und sonstigen Geschäftstätigkeiten;

d)	Angaben zur finanziellen Situation, wie im Zusammenhang mit der Prüfung der Kreditakte eines Bankkunden oder im Zusammenhang mit der Darlehensvergabe an ein Mitglied des Leitungsorgans, wenn eine vorherige Zustimmung erforderlich ist;

e)	Angaben zu Strafregistereinträgen, strafrechtlichen Ermittlungen und Strafverfahren, relevanten Zivil-/Verwaltungsverfahren und Disziplinarmaßnahmen, einschließlich Verbot der Ausübung der Funktion als Unternehmensleiter, Konkurs, Insolvenz und ähnlicher Verfahren.

(1) Verordnung (EU) Nr. 575/2013 des Europäischen Parlaments und des Rates vom 26. Juni 2013 über Aufsichtsanforderungen an Kreditinstitute und zur Änderung der Verordnung (EU) Nr. 648/2012 (ABI. L 176 vom 27.6.2013, S. 1, ELI: http://data.europa.eu/eli/reg/2013/575/oj).

ANHANG IV

Durchsetzung und Sanktionen

1. GEGENSTAND, ART UND ZWECK DER VERARBEITUNG

Im Rahmen von Durchsetzung- und Sanktionsverfahren werden personenbezogene Daten für folgende Zwecke verarbeitet:

Untersuchung mutmaßlicher Verstöße beaufsichtigter Unternehmen gegen Anforderungen aus direkt anwendbaren Rechtsakten der Union, aufgrund derer gemäß Artikel 18 Absatz 1 der Verordnung (EU) Nr. 1024/2013 Verwaltungsgeldbußen verhängt werden können, und Ausarbeitung von Vorschlägen für die Verhängung solcher Sanktionen;

b)	Untersuchung mutmaßlicher Verstöße beaufsichtigter Unternehmen gegen Verordnungen oder Beschlüsse der EZB, aufgrund derer gemäß Artikel 18 Absatz 7 der Verordnung (EU) Nr. 1024/2013 Sanktionen verhängt werden können;

c)	Bewertung, ob im Zusammenhang mit Fällen gemäß Artikel 18 Absatz 5 der Verordnung (EU) Nr. 1024/2013 von einer nationalen zuständigen Behörde (National Competent Authority — NCA) die Einleitung von Verfahren verlangt werden sollte, und Unterrichtung der NCA über ein solches Verlangen;

Informationsersuchen gemäß Artikel 10 der Verordnung (EU) Nr. 1024/2013 und Artikel 139 der Verordnung (EU) Nr. 468/2014 (EZB/2014/17) sowie Wahrnehmung von Aufgaben gemäß den Artikeln 125 bis 138 der Verordnung (EU) Nr. 468/2014 (EZB/2014/17) im Rahmen der Untersuchung mutmaßlicher Verstöße im Sinne von Artikel 18 Absatz 1 und Absatz 7 der Verordnung (EU) Nr. 1024/2013;

e)	Bewertung, ob eine NCA gemäß Artikel 136 der Verordnung (EU) Nr. 468/2014 (EZB/2014/17) ersucht werden sollte, einen mutmaßlichen Straftatbestand zur Untersuchung und möglichen Strafverfolgung an die zuständigen Behörden zu verweisen, und Unterrichtung der NCA über dieses Ersuchen.

2. RECHTSGRUNDLAGE

a)	Artikel 5 Absatz 1 Buchstaben a und b der Verordnung (EU) 2018/1725 oder Artikel 6 Absatz 1 Buchstabe e und in einigen Mitgliedstaaten Artikel 6 Absatz 1 Buchstabe c der Verordnung (EU) 2016/679 in Verbindung mit den Artikeln 9, 10, 11 und 18 der Verordnung (EU) Nr. 1024/2013;

Artikel 5 Absatz 1 Buchstaben a und b der Verordnung (EU) 2018/1725 oder Artikel 6 Absatz 1 Buchstabe e und in einigen Mitgliedstaaten Artikel 6 Absatz 1 Buchstabe c der Verordnung (EU) 2016/679 in Verbindung mit Artikel 113 Absatz 3 sowie den Artikeln 120 bis 129, 134, 136 und 139 der Verordnung (EU) Nr. 468/2014 (EZB/2014/17).

3. BETROFFENE PERSONEN

Personenbezogene Daten zu den folgenden Kategorien betroffener Personen dürfen verarbeitet werden:

a)	Mitarbeiter des beaufsichtigten Unternehmens, das Gegenstand des Verfahrens ist;

b)	Mitglieder des Leitungsorgans des beaufsichtigten Unternehmens, das Gegenstand des Verfahrens ist;

c)	Mitglieder des Leitungsorgans von Unternehmen, die den Erwerb einer qualifizierten Beteiligung am beaufsichtigten Unternehmen anstreben;

d)	interessierter Erwerber einer qualifizierten Beteiligung;

e)	bevollmächtigte Vertreter des beaufsichtigten Unternehmens, das Gegenstand des Verfahrens ist.

4. KATEGORIEN VERARBEITETER PERSONENBEZOGENER DATEN

Die folgenden Kategorien personenbezogener Daten dürfen verarbeitet werden:

a)	Angaben zur Identifikation wie Name, Staatsangehörigkeit und Unterschrift;

b)	Kontaktdaten, wie Postanschrift, E-Mail-Adresse und Telefonnummer;

c)	berufliche Daten zu allgemeiner und beruflicher Bildung sowie Beschäftigung;

d)	Angaben zur finanziellen Situation;

e)	Angaben zu (mutmaßlichen) Straftaten und strafrechtlichen Verurteilungen.

ANHANG V

Vor-Ort-Prüfungen bedeutender beaufsichtigter Unternehmen

1. GEGENSTAND, ART UND ZWECK DER VERARBEITUNG

Im Rahmen von Vor-Ort-Prüfungen bedeutender beaufsichtigter Unternehmen werden personenbezogene Daten für folgende Zwecke verarbeitet:

a)	Durchführung von Vor-Ort-Prüfungen, um Risiken, Risikokontrollen und Regelungen für die Unternehmensführung des beaufsichtigten Unternehmens eingehend zu untersuchen;

b)	Bewertung der für die Berechnung der Eigenmittelanforderungen herangezogenen Modelle, insbesondere bezüglich Methoden, wirtschaftlicher Angemessenheit, Risiken, Risikokontrollen und Unternehmensführung;

c)	Prüfungen der Aktivaqualität (Asset Quality Review – AQR), um die Transparenz im Hinblick auf die Risikopositionen der beaufsichtigten Unternehmen zu verbessern, auch bezüglich der Angemessenheit der Bewertung der Aktiva und Sicherheiten und damit zusammenhängenden Wertberichtigungen.

2. RECHTSGRUNDLAGE

Artikel 5 Absatz 1 Buchstabe a der Verordnung (EU) 2018/1725 oder Artikel 6 Absatz 1 Buchstabe e und in einigen Mitgliedstaaten Artikel 6 Absatz 1 Buchstabe c der Verordnung (EU) 2016/679 in Verbindung mit Artikel 4 Absatz 1 Buchstabe f, Artikel 6 Absatz 4 und den Artikeln 10, 11 und 12 der Verordnung (EU) Nr. 1024/2013;

b)	Artikel 5 Absatz 1 Buchstabe a der Verordnung (EU) 2018/1725 oder Artikel 6 Absatz 1 Buchstabe e und in einigen Mitgliedstaaten Artikel 6 Absatz 1 Buchstabe c der Verordnung (EU) 2016/679 in Verbindung mit den Artikeln 143 bis 146 der Verordnung (EU) Nr. 468/2014 (EZB/2014/17).

3. BETROFFENE PERSONEN

Personenbezogene Daten zu den folgenden Kategorien betroffener Personen dürfen verarbeitet werden:

a)	Mitarbeiter des beaufsichtigten Unternehmens;

b)	Anteilseigner des beaufsichtigten Unternehmens;

c)	Mitglieder des Leitungsorgans des beaufsichtigten Unternehmens;

d)	Kunden des beaufsichtigten Unternehmens, ihre Garanten und verbundene Parteien;

e)	externe Abschlussprüfer des beaufsichtigten Unternehmens;

f)	Dienstleister und Berater des beaufsichtigten Unternehmens;

g)	Mitarbeiter von Organen und Einrichtungen der Union und nationalen und internationalen Behörden.

4. KATEGORIEN VERARBEITETER PERSONENBEZOGENER DATEN

Die folgenden Kategorien personenbezogener Daten dürfen verarbeitet werden:

Angaben zu den Kunden des beaufsichtigten Unternehmens, wie

i)	Angaben zur Identifikation, wie Name, Personalausweis-/Reisepassnummer, Staatsangehörigkeit und Unterschrift;

ii)	Kontaktdaten, wie Postanschrift, E-Mail-Adresse und Telefonnummer;

iii)

Finanzstatus und -aktivitäten, wie Informationen zu Einkommensniveau, Ausgaben, Vermögen, Schulden, Derivaten, finanziellen Verpflichtungen, Kreditscoring, Zahlungshistorie, Streitigkeiten und Verfahren in Verbindung mit dem beaufsichtigten Unternehmen sowie Indikatoren für die finanzielle Solidität insgesamt;

iv)	Zusammensetzung des Haushalts, Wohnverhältnisse, Bildungsstatus sowie Informationen und Aussichten zur Beschäftigung.

Angaben zu Mitarbeitern, Anteilseignern und Mitgliedern des Leitungsorgans des beaufsichtigten Unternehmens, wie

i)	Angaben zur Identifikation, wie Name, Personalausweis-/Reisepassnummer, Staatsangehörigkeit und Unterschrift;

ii)	Kontaktdaten, wie Postanschrift, E-Mail-Adresse und Telefonnummer;

iii)	finanzielle Aktivitäten im Zusammenhang mit dem beaufsichtigten Unternehmen, wie Informationen über Vergütung, Vermögen, Schulden, Derivate und finanzielle Verpflichtungen;

iv)	Berufserfahrung, Qualifikationen, Hochschulausbildung.

Angaben zu externen Abschlussprüfern, Dienstleistern und Beratern des beaufsichtigten Unternehmens sowie Angaben zu Mitarbeitern von Organen und Einrichtungen der Union und nationalen und internationalen Behörden, wie

i)	Angaben zur Identifikation, wie Name, Personalausweis-/Reisepassnummer, Staatsangehörigkeit und Unterschrift;

ii)	Kontaktdaten, wie Postanschrift, E-Mail-Adresse und Telefonnummer;

iii)

Beschreibung der persönlichen Beziehungen naher Angehöriger der betroffenen Person zu Mitgliedern des Leitungsorgans und/oder Inhabern einer Schlüsselfunktion des beaufsichtigten Unternehmens, seines Mutterunternehmens oder seiner Tochterunternehmen, und eine Beschreibung der beruflichen und finanziellen Beziehungen der betroffenen Person zum beaufsichtigten Unternehmen sowie zu dessen Mutterunternehmen oder Tochterunternehmen.

ANHANG VI

Überwachung der Aufsicht über weniger bedeutende beaufsichtigte Unternehmen

1. GEGENSTAND, ART UND ZWECK DER VERARBEITUNG

Im Rahmen der Überwachung der Aufsicht über weniger bedeutende beaufsichtigte Unternehmen werden personenbezogene Daten für folgende Zwecke verarbeitet:

a)	Bewertung, ob nationale zuständige Behörden (National Competent Authorities — NCAs) hohe Aufsichtsstandards einheitlich anwenden, und Überprüfung, ob vergleichbare Situationen für den gesamten SSM zu vergleichbaren Ergebnissen führen;

Erhalt von Ex-ante- und Ex-post-Meldungen der NCAs zu wesentlichen Aufsichtsverfahren und Beschlussentwürfen bezüglich weniger bedeutender beaufsichtigter Unternehmen mit erheblichen Auswirkungen und hohem Risiko und Beratung von NCAs, um spezifische Aspekte solcher Verfahren eingehender zu bewerten;

c)	Erhalt von Meldungen der NCAs im Zusammenhang mit besonderen Sachverhalten;

Durchführung thematischer Überprüfungen, um gezielte Erkenntnisse über die Aufsicht durch NCAs im Hinblick auf definierte Risikobereiche auf der Ebene einzelner weniger bedeutender beaufsichtigter Unternehmen oder Gruppen ähnlicher weniger bedeutender Unternehmen zu gewinnen und eine hochwertige Aufsicht zu gewährleisten;

e)	Mitwirkung an Vor-Ort-Prüfungen bei weniger bedeutenden beaufsichtigten Unternehmen, um der EZB ein besseres Verständnis der Durchführung der Aufsicht durch die NCAs zu verschaffen.

2. RECHTSGRUNDLAGE

Artikel 5 Absatz 1 Buchstabe a der Verordnung (EU) 2018/1725 oder Artikel 6 Absatz 1 Buchstabe e und in einigen Mitgliedstaaten Artikel 6 Absatz 1 Buchstabe c der Verordnung (EU) 2016/679 in Verbindung mit Artikel 6 Absätze 4, 5 und 6 der Verordnung (EU) Nr. 1024/2013.

3. BETROFFENE PERSONEN

Personenbezogene Daten zu den folgenden Kategorien betroffener Personen dürfen verarbeitet werden:

a)	Mitarbeiter weniger bedeutender beaufsichtigter Unternehmen;

b)	Mitglieder des Leitungsorgans, Kunden und ihre Garanten, Anteilseigner und Gläubiger, Dienstleister, Berater und externe Abschlussprüfer weniger bedeutender beaufsichtigter Unternehmen;

c)	Mitarbeiter oder Vertreter von Bankenverbänden;

d)	Mitarbeiter von Organen und Einrichtungen der Union und nationalen und internationalen Behörden;

4. KATEGORIEN VERARBEITETER PERSONENBEZOGENER DATEN

Die folgenden Kategorien personenbezogener Daten dürfen verarbeitet werden:

a)	Angaben zur Identifikation, wie Name, Personalausweis-/Reisepassnummer, Staatsangehörigkeit und Unterschrift;

b)	Kontaktdaten, wie Postanschrift, E-Mail-Adresse und Telefonnummer;

berufliche Daten im Rahmen eines Verfahrens zur Beurteilung der fachlichen Qualifikation und persönlichen Zuverlässigkeit zu allgemeiner und beruflicher Bildung, Beschäftigung und anderen bekleideten Positionen des bestellten Mitglieds sowie der Mitglieder des Leitungsorgans des beaufsichtigten Unternehmens, bei dem die Bestellung erfolgt;

d)	berufliche Daten zu sonstigen Geschäftstätigkeiten des bestellten Mitglieds im Rahmen eines Verfahrens zur Beurteilung der fachlichen Qualifikation und persönlichen Zuverlässigkeit;

e)	Angaben zur finanziellen Situation des bestellten Mitglieds im Rahmen eines Verfahrens zur Beurteilung der fachlichen Qualifikation und persönlichen Zuverlässigkeit;

f)	Angaben zu Strafregistereinträgen, strafrechtlichen Ermittlungen und Strafverfahren, relevanten Zivil-/Verwaltungsverfahren und Disziplinarmaßnahmen, einschließlich Verbot der Ausübung der Funktion als Unternehmensleiter, Konkurs, Insolvenz und ähnlicher Verfahren;

Beschreibung der persönlichen Beziehungen naher Angehöriger des bestellten Mitglieds – im Rahmen eines Verfahrens zur Beurteilung der fachlichen Qualifikation und persönlichen Zuverlässigkeit – zu anderen Mitgliedern des Leitungsorgans und/oder Inhabern von Schlüsselfunktionen des beaufsichtigten Unternehmens, für das die Bestellung erfolgt, seines Mutterunternehmens oder seiner Tochterunternehmen, und ihrer beruflichen und finanziellen Beziehungen zum beaufsichtigten Unternehmen, für das die Bestellung erfolgt, sowie zu dessen Mutterunternehmen oder Tochterunternehmen;

h)	Informationen darüber, ob eine Beurteilung der fachlichen Qualifikation und persönlichen Zuverlässigkeit bereits von einer anderen zuständigen Behörde durchgeführt wurde, und Informationen über das Ergebnis dieser Beurteilung;

i)	Äußerungen von Mitarbeitern der EZB oder der NCA zur Leistung des bestellten Mitglieds in seiner aktuellen oder einer früheren Funktion, die sich auf das aktuelle Verfahren zur Beurteilung der fachlichen Qualifikation und persönlichen Zuverlässigkeit auswirken können;

j)	Informationen über das Verhalten des bestellten Mitglieds in der aktuellen Funktion, die gegebenenfalls bei Neubewertungen relevant sind.

ANHANG VII

Aufsicht über weniger bedeutende beaufsichtigte Unternehmen

1. GEGENSTAND, ART UND ZWECK DER VERARBEITUNG

Im Rahmen der Aufsicht über weniger bedeutende beaufsichtigte Unternehmen werden personenbezogene Daten für folgende Zwecke verarbeitet:

Durchführung von aufsichtlichen Überprüfungen und Stresstests, um festzustellen, ob weniger bedeutende beaufsichtigte Unternehmen die einschlägigen Anforderungen des Unionsrechts erfüllen und, auf der Grundlage dieser aufsichtlichen Überprüfung, besondere Anforderungen und weitere Maßnahmen in Bezug auf weniger bedeutende beaufsichtigte Unternehmen festzulegen;

Beaufsichtigung auf konsolidierter Basis der in einem teilnehmenden Mitgliedstaat niedergelassenen Mutterunternehmen von weniger bedeutenden beaufsichtigten Unternehmen, einschließlich der gemischten Finanzholdinggesellschaften, sowie Mitwirkung an der Beaufsichtigung auf konsolidierter Basis von Mutterunternehmen, die nicht in einem teilnehmenden Mitgliedstaat niedergelassen sind, einschließlich in Aufsichtskollegien unbeschadet der Beteiligung der nationalen zuständigen Behörden (NCAs) als Beobachter in diesen Aufsichtskollegien;

d)	Wahrnehmung von Aufsichtsaufgaben im Zusammenhang mit Sanierungsplänen und Frühinterventionsmaßnahmen;

e)	Durchführung von Vor-Ort-Prüfungen weniger bedeutender beaufsichtigter Unternehmen;

Ausübung der nach nationalem Recht übertragenen Aufsichtsbefugnisse im Hinblick auf weniger bedeutende beaufsichtigte Unternehmen, einschließlich Genehmigung des Erwerbs von Anteilen an einem Nichtkreditinstitut oder einem Kreditinstitut außerhalb der Union durch weniger bedeutende beaufsichtigte Unternehmen, Verschmelzungen oder Spaltungen von Kreditinstituten, Erwerb oder Veräußerung von Aktiva oder Passiva, Änderungen der Satzung von Kreditinstituten, Bestellung von externen Abschlussprüfern, Auskunftsersuchen an und spezifischer Berichte von externen Abschlussprüfern, Auslagerungsvorhaben, Tätigkeiten in Drittländern, Ausübung von Befugnissen gegenüber Anteilseignern, Gewährung oder Beschränkung von Krediten an verbundene Parteien, strategischer Entscheidungen und Gründung genossenschaftlicher Bankengruppen;

g)	Ausübung der Aufsichtsbefugnisse im Hinblick auf weniger bedeutende beaufsichtigte Unternehmen, die den zuständigen Behörden nach Maßgabe der Verordnung (EU) Nr. 575/2013 und der Richtlinie 2013/36/EU in der in nationales Recht umgesetzten Fassung übertragen wurden.

2. RECHTSGRUNDLAGE

Artikel 5 Absatz 1 Buchstabe a der Verordnung (EU) 2018/1725 oder Artikel 6 Absatz 1 Buchstabe e und in einigen Mitgliedstaaten Artikel 6 Absatz 1 Buchstabe c der Verordnung (EU) 2016/679 in Verbindung mit Artikel 4 Absatz 1 Buchstaben b, d, g und i sowie Artikel 6 Absatz 6 der Verordnung (EU) Nr. 1024/2013.

3. BETROFFENE PERSONEN

Personenbezogene Daten zu den folgenden Kategorien betroffener Personen dürfen verarbeitet werden:

a)	Mitarbeiter eines weniger bedeutenden beaufsichtigten Unternehmens;

b)	Mitglieder des Leitungsorgans, Kunden und ihre Garanten, Anteilseigner und Gläubiger, Dienstleister, Berater und externe Abschlussprüfer weniger bedeutender beaufsichtigter Unternehmen;

c)	Mitarbeiter oder Vertreter von Bankenverbänden;

d)	Mitarbeiter von Organen und Einrichtungen der Union und nationalen und internationalen Behörden;

e)	andere Dritte, wie Personen, die im Zusammenhang mit einem weniger bedeutenden beaufsichtigten Unternehmen Beschwerden einlegen oder Auskunftsersuchen übermitteln;

f)	bevollmächtigte Vertreter eines bestellten Mitglieds in einem Verfahren zur Beurteilung der fachlichen Qualifikation und persönlichen Zuverlässigkeit.

4. KATEGORIEN VERARBEITETER PERSONENBEZOGENER DATEN

Die folgenden Kategorien personenbezogener Daten dürfen verarbeitet werden:

a)	Angaben zur Identifikation, wie Name, Personalausweis-/Reisepassnummer, Staatsangehörigkeit und Unterschrift;

b)	Kontaktdaten, wie Postanschrift, E-Mail-Adresse und Telefonnummer;

d)	berufliche Daten zu sonstigen Geschäftstätigkeiten des bestellten Mitglieds im Rahmen eines Verfahrens zur Beurteilung der fachlichen Qualifikation und persönlichen Zuverlässigkeit;

e)	Angaben zu Strafregistereinträgen, strafrechtlichen Ermittlungen und Strafverfahren, relevanten Zivil-/Verwaltungsverfahren und Disziplinarmaßnahmen, einschließlich Verbot der Ausübung der Geschäftsführerposition, Konkurs, Insolvenz und ähnlichen Verfahren;

f)	Angaben zur finanziellen Situation zum bestellten Mitglied im Rahmen eines Verfahrens zur Beurteilung der fachlichen Qualifikation und persönlichen Zuverlässigkeit;

h)	Informationen darüber, ob eine Beurteilung der fachlichen Qualifikation und persönlichen Zuverlässigkeit bereits von einer anderen zuständigen Behörde durchgeführt wurde und Angaben zum Ergebnis dieser Beurteilung;

i)	Äußerungen von Mitarbeitern der EZB oder der NCA zur Leistung des bestellten Mitglieds in seiner aktuellen oder einer früheren Funktion, die sich auf das aktuelle Verfahren zur Beurteilung der fachlichen Qualifikation und persönlichen Zuverlässigkeit auswirken können;

j)	Informationen über das Verhalten des bestellten Mitglieds in seiner aktuellen Funktion, die gegebenenfalls bei Neubewertungen relevant sind;

k)	Finanzinformationen, wie im Zusammenhang mit der Prüfung der Kreditakte eines Bankkunden oder im Zusammenhang mit der Darlehensvergabe an ein Mitglied des Leitungsorgans, wenn eine vorherige Zustimmung erforderlich ist;

l)	Aufzeichnungen der Stimme des bestellten Mitglieds im Rahmen eines im Rahmen eines Verfahrens zur Beurteilung der fachlichen Qualifikation und persönlichen Zuverlässigkeit.