02021D1486 — DE — 11.04.2024 — 001.001
Dieser Text dient lediglich zu Informationszwecken und hat keine Rechtswirkung. Die EU-Organe übernehmen keine Haftung für seinen Inhalt. Verbindliche Fassungen der betreffenden Rechtsakte einschließlich ihrer Präambeln sind nur die im Amtsblatt der Europäischen Union veröffentlichten und auf EUR-Lex verfügbaren Texte. Diese amtlichen Texte sind über die Links in diesem Dokument unmittelbar zugänglich
|
BESCHLUSS (EU) 2021/1486 DER EUROPÄISCHEN ZENTRALBANK vom 7. September 2021 (ABl. L 328 vom 16.9.2021, S. 15) |
Geändert durch:
|
|
|
Amtsblatt |
||
|
Nr. |
Seite |
Datum |
||
|
BESCHLUSS (EU) 2024/902 DER EUROPÄISCHEN ZENTRALBANK vom 12. März 2024 |
L 902 |
1 |
22.3.2024 |
|
BESCHLUSS (EU) 2021/1486 DER EUROPÄISCHEN ZENTRALBANK
vom 7. September 2021
zum Erlass interner Vorschriften zur Beschränkung von Rechten betroffener Personen in Angelegenheiten, welche die Aufgaben der Europäischen Zentralbank im Zusammenhang mit der Aufsicht über Kreditinstitute betreffen (EZB/2021/42)
Artikel 1
Gegenstand und Geltungsbereich
Die Rechte betroffener Personen, die beschränkt werden können, sind in den folgenden Artikeln der Verordnung (EU) 2018/1725 festgelegt:
Artikel 14 (transparente Informationen, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person);
Artikel 15 (Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person);
Artikel 16 (Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden);
Artikel 17 (Auskunftsrecht der betroffenen Person);
Artikel 18 (Recht auf Berichtigung);
Artikel 19 (Recht auf Löschung bzw. „Recht auf Vergessenwerden“);
Artikel 20 (Recht auf Einschränkung der Verarbeitung);
Artikel 21 (Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder Einschränkung der Verarbeitung);
Artikel 22 (Recht auf Datenübertragbarkeit);
Artikel 35 (Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person);
Artikel 36 (Vertraulichkeit der elektronischen Kommunikation);
Artikel 4, insofern dessen Bestimmungen den in den Artikeln 14 bis 22 der Verordnung (EU) 2018/1725 vorgesehenen Rechten und Pflichten entsprechen.
Artikel 2
Begriffsbestimmungen
Im Sinne dieses Beschlusses gelten folgende Begriffsbestimmungen:
„Verarbeitung“ Verarbeitung im Sinne von Artikel 3 Nummer 3 der Verordnung (EU) 2018/725;
„personenbezogene Daten“ personenbezogene Daten im Sinne von Artikel 3 Nummer 1 der Verordnung (EU) 2018/1725;
„betroffene Person“ eine identifizierte oder identifizierbare natürliche Person; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;
„Zentrales Register“ der öffentlich zugängliche Speicherort für alle bei der EZB ausgeführten Verarbeitungstätigkeiten im Zusammenhang mit personenbezogenen Daten, das vom Datenschutzbeauftragten der EZB geführt wird und auf das in Artikel 9 des Beschlusses (EU) 2020/655 (EZB/2020/28) Bezug genommen wird;
„Verantwortlicher“ die EZB und insbesondere die zuständige organisatorische Einheit innerhalb der EZB, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten bestimmt und für den Verarbeitungsvorgang verantwortlich ist;
„Organe und Einrichtungen der Union“ Organe und Einrichtungen der Union im Sinne von Artikel 3 Nummer 10 der Verordnung (EU) 2018/1725.
Artikel 3
Anwendung von Beschränkungen
Zur Sicherstellung der in Artikel 25 Absatz 1 der Verordnung (EU) 2018/1725 genannten Interessen und Ziele kann der Verantwortliche die in Artikel 1 Absatz 2 genannten Rechte beschränken, insbesondere wenn die Ausübung dieser Rechte Folgendes gefährden oder anderweitig beeinträchtigen würde:
die Wahrnehmung der Aufsichtsaufgaben durch die EZB gemäß der Verordnung (EU) Nr. 1024/2013, einschließlich des ordnungsgemäßen Funktionierens des Aufsichtssystems;
die Sicherheit und Solidität der Kreditinstitute und die Stabilität des Finanzsystems innerhalb der Union und in den Mitgliedstaaten;
die Wirksamkeit der Meldung von Verstößen gemäß Artikel 23 der Verordnung (EU) Nr. 1024/2013.
Zur Sicherstellung der in Artikel 25 Absatz 1 der Verordnung (EU) 2018/1725 genannten Interessen und Ziele kann der Verantwortliche die in Artikel 1 Absatz 2 genannten Rechte in Bezug auf personenbezogene Daten, die er von anderen Organen und Einrichtungen der Union und von zuständigen Behörden der Mitgliedstaaten oder von Drittländern oder internationalen Organisationen erhält, in folgenden Fällen beschränken:
wenn die Ausübung dieser Rechte durch andere Organe und Einrichtungen der Union, von denen die personenbezogenen Daten stammen, auf der Grundlage anderer in Artikel 25 der Verordnung (EU) 2018/1725 vorgesehener Rechtsvorschriften oder gemäß Kapitel IX der genannten Verordnung oder gemäß den Gründungsakten anderer Organe und Einrichtungen der Union beschränkt werden könnte;
wenn die Ausübung dieser Rechte durch die zuständigen Behörden der Mitgliedstaaten, von denen die personenbezogenen Daten stammen, auf der Grundlage der in Artikel 23 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates ( 1 ) genannten Rechtsvorschriften oder aufgrund nationaler Maßnahmen zur Umsetzung von Artikel 13 Absatz 3, Artikel 15 Absatz 3 oder Artikel 16 Absatz 3 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates ( 2 ) beschränkt werden könnte;
wenn die Ausübung dieser Rechte die EZB bei der Ausführung ihrer Aufgaben dabei gefährden oder auf andere Weise beeinträchtigen könnte, mit Drittländern oder internationalen Organisationen, von denen die Informationen stammen, zusammenzuarbeiten, es sei denn, die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Personen überwiegen das Interesse der EZB an der Zusammenarbeit.
Bevor der Verantwortliche in den in Absatz 2 Buchstaben a und b genannten Fällen eine Beschränkung anwendet, hat er
die mit den betreffenden Organen und Einrichtungen der Union oder den zuständigen Behörden der Mitgliedstaaten getroffenen Vereinbarungen zur Kenntnis zu nehmen;
die zuständigen Organe und Einrichtungen der Union oder die zuständigen Behörden der Mitgliedstaaten zu konsultieren, es sei denn, es ist für den Verantwortlichen ersichtlich, dass die Anwendung dieser Beschränkung in einem der in Absatz 2 Buchstaben a und b genannten Rechtsvorschriften oder in einer der dort genannten Maßnahmen vorgesehen ist.
Der Verantwortliche darf eine Beschränkung nur dann anwenden, wenn er bei der Prüfung im Einzelfall zu dem Schluss gelangt ist, dass
die Beschränkung unter Berücksichtigung der Risiken für die Rechte und Freiheiten der betroffenen Person erforderlich und verhältnismäßig ist;
mit der Beschränkung der Wesensgehalt der Grundrechte und Grundfreiheiten in einer demokratischen Gesellschaft geachtet wird.
Gibt es keinen solchen stellvertretenden Leiter, so ist die Entscheidung von dem jeweiligen direkten Vorgesetzten zu treffen, der bei Abwesenheit des Geschäftsbereichsleiters, bei Vorliegen eines Interessenkonflikts auf Seiten des Geschäftsbereichsleiters oder wenn der Geschäftsbereichsleiter Zugang zu relevanten vertraulichen Informationen hat hierfür zuständig ist.
Artikel 4
Ausnahmeregelungen
Artikel 5
Informationspflicht bei Beschränkungen
Der Verantwortliche stellt allgemeine Informationen über die mögliche Beschränkung der Rechte betroffener Personen wie folgt zur Verfügung:
der Verantwortliche führt die Rechte auf, die beschränkt werden können, die Gründe für die Beschränkung und die mögliche Dauer der Beschränkung;
der Verantwortliche nimmt die in Buchstabe a genannten Informationen in seine Datenschutzhinweise, Datenschutzerklärungen und die in Artikel 31 der Verordnung (EU) 2018/1725 genannten Verzeichnisse von Verarbeitungstätigkeiten auf.
Artikel 6
Beschränkung des Rechts der betroffenen Personen auf Auskunft, auf Berichtigung, auf Löschung und auf Einschränkung der Verarbeitung
Artikel 7
Dauer der Beschränkungen
Hebt der Verantwortliche eine Beschränkung gemäß Absatz 1 auf, so muss der Verantwortliche unverzüglich
die betroffene Person über die wesentlichen Gründe für die Anwendung einer Beschränkung unterrichten, sofern dies noch nicht geschehen ist;
die betroffene Person über ihr Beschwerderecht beim Europäischen Datenschutzbeauftragten oder über ihr Recht auf einen gerichtlichen Rechtsbehelf beim Gerichtshof unterrichten;
der betroffenen Person das Recht gewähren, das der aufgehobenen Beschränkung unterlag.
Artikel 8
Garantien
Die EZB sieht die im Anhang genannten Garantien organisatorischer und technischer Art vor, um den Missbrauch, den unrechtmäßigen Zugang zu oder die unrechtmäßige Übermittlung von Informationen zu verhindern.
Artikel 9
Überprüfung durch den Datenschutzbeauftragten
Wenn der Verantwortliche die Ausübung der Rechte einer betroffenen Person beschränkt, muss er den Datenschutzbeauftragten laufend einbeziehen. Dabei gilt insbesondere Folgendes:
Der Verantwortliche muss den Datenschutzbeauftragten unverzüglich konsultieren;
Auf Antrag des Datenschutzbeauftragten gewährt der Verantwortliche dem Datenschutzbeauftragten Zugang zu allen Dokumenten, welche die zugrunde liegenden tatsächlichen und rechtlichen Umstände enthalten, einschließlich des in Artikel 3 Absatz 5 genannten internen Bewertungsvermerks;
Der Verantwortliche muss dokumentieren, wie der Datenschutzbeauftragte einbezogen wurde, einschließlich relevanter Informationen, die ausgetauscht wurden, insbesondere das Datum, an dem der Datenschutzbeauftragte gemäß Buchstabe a erstmalig konsultiert wurde;
Der Datenschutzbeauftragte kann den Verantwortlichen auffordern, die Beschränkung zu überprüfen;
Der Verantwortliche unterrichtet den Datenschutzbeauftragten unverzüglich und in jedem Fall vor Anwendung einer Beschränkung schriftlich über das Ergebnis dieser Überprüfung.
Artikel 10
Inkrafttreten
Dieser Beschluss tritt am zwanzigsten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
ANHANG
Zur Verhinderung von Missbrauch oder unrechtmäßigem Zugang zu oder unrechtmäßiger Übermittlung von Informationen umfassen Garantien organisatorischer und technischer Art bei der EZB Folgendes:
In Bezug auf Personen:
Alle Personen, die Zugang zu nicht öffentlichen Informationen der EZB haben, sind dafür verantwortlich die Grundsätze und Regelungen der EZB über die Verwaltung und Vertraulichkeit von Informationen zu kennen und anzuwenden;
Mit einer Sicherheitsüberprüfung wird sichergestellt, dass nur überprüfte und befugte Personen Zugang zu den Räumlichkeiten der EZB und zu deren nicht öffentlichen Informationen haben;
Informationstechnologie, Informationen und Maßnahmen zur Sensibilisierung für physische Sicherheit;
Schulungen, die regelmäßig für Mitarbeiter und externe Dienstleister durchgeführt werden;
die Mitarbeiter der EZB unterliegen strikten, in den Beschäftigungsbedingungen und den Dienstvorschriften der EZB festgelegten Regelungen über die Geheimhaltung, die bei einem Verstoß mit Disziplinarmaßnahmen verbunden sind;
Regeln und Pflichten für den Zugang externer Dienstleister oder Auftragnehmer zu nicht öffentlichen Informationen der EZB, die in vertraglichen Vereinbarungen festgelegt sind;
Zugangskontrollen, einschließlich der Einrichtung und Durchsetzung von Sicherheitszonen, um zu gewährleisten, dass der Zugang von Personen zu nicht öffentlichen Informationen der EZB auf der Grundlage von Geschäftserfordernissen und Sicherheitsanforderungen genehmigt und beschränkt wird;
In Bezug auf Prozesse:
Verfahren, welche die kontrollierte Umsetzung, den Betrieb und die Aufrechterhaltung der IT-Anwendungen sicherstellen und so die Geschäftstätigkeit der EZB unterstützen;
IT-Anwendungen für die Geschäftstätigkeit der EZB, welche die Sicherheitsstandards der EZB erfüllen;
ein umfassendes Betriebsprogramm für die physische Sicherheit, mit welchem Sicherheitsbedrohungen laufend bewertet werden können und das physische Sicherheitsmaßnahmen umfasst, mit denen ein angemessenes Schutzniveau sichergestellt wird.
In Bezug auf Technologie:
alle elektronischen Daten, die in IT-Anwendungen gespeichert werden, erfüllen die Sicherheitsstandards der EZB und sind somit vor unbefugtem Zugriff oder unbefugter Veränderung geschützt;
IT-Anwendungen werden auf einem Sicherheitsniveau implementiert, betrieben und aufrechterhalten, das dem Vertraulichkeits-, Integritäts- und Verfügbarkeitsbedarf der IT-Anwendungen entspricht, und beruhen auf Analysen der geschäftlichen Auswirkungen;
ein gewisses Sicherheitsniveau von IT-Anwendungen, welches regelmäßig durch technische und nichttechnische Sicherheitsbewertungen validiert wird;
Zugang zu nicht öffentlichen Informationen der EZB wird nach dem Grundsatz des begründeten Bedarfs („Kenntnis nur, wenn nötig“) gewährt und der bevorrechtigte Zugang wird strikt beschränkt und streng kontrolliert;
Kontrollen werden durchgeführt, um tatsächliche und potenzielle Sicherheitsverstöße aufzudecken und weiterzuverfolgen.
( 1 ) Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1).
( 2 ) Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates (ABl. L 119 vom 4.5.2016, S. 89).