02022D2359 — DE — 11.04.2024 — 001.001

Dieser Text dient lediglich zu Informationszwecken und hat keine Rechtswirkung. Die EU-Organe übernehmen keine Haftung für seinen Inhalt. Verbindliche Fassungen der betreffenden Rechtsakte einschließlich ihrer Präambeln sind nur die im Amtsblatt der Europäischen Union veröffentlichten und auf EUR-Lex verfügbaren Texte. Diese amtlichen Texte sind über die Links in diesem Dokument unmittelbar zugänglich

►B

BESCHLUSS (EU) 2022/2359 DER EUROPÄISCHEN ZENTRALBANK

vom 22. November 2022

zum Erlass interner Vorschriften zur Beschränkung von Rechten betroffener Personen in Angelegenheiten, welche die interne Arbeitsweise der Europäischen Zentralbank betreffen (EZB/2022/42)

(ABl. L 311 vom 2.12.2022, S. 176)

Geändert durch:

 

 

Amtsblatt

  Nr.

Seite

Datum

►M1

BESCHLUSS (EU) 2024/901 DER EUROPÄISCHEN ZENTRALBANK  vom 12. März 2024

  L 901

1

22.3.2024



▼B

BESCHLUSS (EU) 2022/2359 DER EUROPÄISCHEN ZENTRALBANK

vom 22. November 2022

zum Erlass interner Vorschriften zur Beschränkung von Rechten betroffener Personen in Angelegenheiten, welche die interne Arbeitsweise der Europäischen Zentralbank betreffen (EZB/2022/42)



Artikel 1

Gegenstand und Geltungsbereich

(1)  
Mit diesem Beschluss werden die Vorschriften für die EZB zur Beschränkung der Rechte betroffener Personen im Rahmen der im Zentralregister verzeichneten Datenverarbeitungstätigkeiten in Angelegenheiten ihrer internen Arbeitsweise festgelegt.
(2)  

Die Rechte betroffener Personen, die beschränkt werden können, sind in den folgenden Artikeln der Verordnung (EU) 2018/1725 festgelegt:

a) 

Artikel 14 (transparente Informationen, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person);

b) 

Artikel 15 (Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person);

c) 

Artikel 16 (Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden);

d) 

Artikel 17 (Auskunftsrecht der betroffenen Person);

e) 

Artikel 18 (Recht auf Berichtigung);

f) 

Artikel 19 (Recht auf Löschung bzw. „Recht auf Vergessenwerden“);

g) 

Artikel 20 (Recht auf Einschränkung der Verarbeitung);

h) 

Artikel 21 (Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder Einschränkung der Verarbeitung);

i) 

Artikel 22 (Recht auf Datenübertragbarkeit);

j) 

Artikel 35 (Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person);

k) 

Artikel 36 (Vertraulichkeit der elektronischen Kommunikation);

l) 

Artikel 4, insofern dessen Bestimmungen den in den Artikeln 14 bis 22 der Verordnung (EU) 2018/1725 vorgesehenen Rechten und Pflichten entsprechen.

Artikel 2

Begriffsbestimmungen

Im Sinne dieses Beschlusses gelten folgende Begriffsbestimmungen:

1. 

„Verarbeitung“ Verarbeitung im Sinne von Artikel 3 Nummer 3 der Verordnung (EU) 2018/1725;

2. 

„personenbezogene Daten“ personenbezogene Daten im Sinne von Artikel 3 Nummer 1 der Verordnung (EU) 2018/1725;

3. 

„betroffene Person“ eine identifizierte oder identifizierbare natürliche Person; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

4. 

„Zentrales Register“ der öffentlich zugängliche Speicherort für alle bei der EZB ausgeführten Verarbeitungstätigkeiten im Zusammenhang mit personenbezogenen Daten, das vom Datenschutzbeauftragten der EZB geführt wird und auf das in Artikel 9 des Beschlusses (EU) 2020/655 (EZB/2020/28) Bezug genommen wird;

5. 

„Verantwortlicher“ die EZB und insbesondere die zuständige organisatorische Einheit innerhalb der EZB, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten bestimmt und für den Verarbeitungsvorgang verantwortlich ist;

6. 

„Organe und Einrichtungen der Union“ Organe und Einrichtungen der Union im Sinne von Artikel 3 Nummer 10 der Verordnung (EU) 2018/1725.

Artikel 3

Anwendung von Beschränkungen

(1)  

Zur Sicherstellung der in Artikel 25 Absatz 1 der Verordnung (EU) 2018/1725 genannten Interessen und Ziele kann der Verantwortliche bei den in Artikel 1 Absatz 1 genannten Verarbeitungstätigkeiten im Zusammenhang mit personenbezogenen Daten die in Artikel 1 Absatz 2 genannten Rechte beschränken, insbesondere wenn die Ausübung dieser Rechte Folgendes gefährden würde:

a) 

die Bewertung und Meldung potenzieller Verstöße gegen Dienstpflichten und erforderlichenfalls deren anschließende Untersuchung und Weiterverfolgung, einschließlich der Suspendierung vom Dienst; insoweit vom Schutz des Artikels 25 Absatz 1 Buchstaben b, c, f und/oder h der Verordnung (EU) 2018/1725 erfasst;

b) 

die informellen bzw. formellen Verfahren zur Wahrung der Würde am Arbeitsplatz, einschließlich der Berücksichtigung von Fällen, die zu einem solchen Verfahren gemäß Teil 0.5 der Dienstvorschriften der EZB führen können; insoweit vom Schutz des Artikels 25 Absatz 1 Buchstaben b, c, f und/oder h der Verordnung (EU) 2018/1725 erfasst;

c) 

die ordnungsgemäße Wahrnehmung der Aufgaben durch die Generaldirektion Personal (DG/HR) gemäß dem arbeitsrechtlichen Rahmen der EZB im Zusammenhang mit dem Leistungsmanagement, Beförderungsverfahren oder der direkten Ernennung von EZB-Beschäftigten, mit Auswahlverfahren und der beruflichen Entwicklung, insoweit vom Schutz des Artikels 25 Absatz 1 Buchstaben c und/oder h der Verordnung (EU) 2018/1725 erfasst;

d) 

die Prüfung der von Seiten der EZB-Beschäftigten eingelegten internen Beschwerden (auch im Wege verwaltungsinterner Überprüfungen, Beschwerdeverfahren, besonderer Beschwerdeverfahren oder medizinischer Ausschüsse) und ihre Weiterverfolgung, insoweit vom Schutz des Artikels 25 Absatz 1 Buchstaben b, c und/oder h der Verordnung (EU) 2018/1725 erfasst;

e) 

die Meldung von rechtswidrigen Handlungen oder Verstößen gegen Dienstpflichten über das Whistleblowing-Tool der EZB oder die Bewertung von Anträgen durch die Stabstelle Compliance und Governance (CGO) auf Schutz von Hinweisgebern oder Zeugen vor Repressalien; insoweit vom Schutz des Artikels 25 Absatz 1 Buchstaben b, c, f und/oder h der Verordnung (EU) 2018/1725 erfasst;

f) 

die im Ethikrahmen der EZB verankerten Tätigkeiten der CGO (vgl. Teil 0 der Dienstvorschriften der EZB und die Bestimmungen über die Auswahl und Ernennung von Bewerbern nach Teil 1A der Dienstvorschriften der EZB) und die Aufgaben der CGO in Bezug auf die Überwachung privater Finanzgeschäfte zu Compliance-Zwecken (jeweils einschließlich der von Dienstleistern, die von der EZB gemäß Artikel 0.4.3.3 der Dienstvorschriften beauftragt wurden, wahrgenommenen Funktionen als auch der Bewertung und Weiterverfolgung möglicher Verstöße, die sich aus dieser Überwachung durch die CGO ergeben), insoweit vom Schutz des Artikels 25 Absatz 1 Buchstaben b, c, f und/oder h der Verordnung (EU) 2018/1725 erfasst;

g) 

Prüfungen der Direktion Interne Revision (D/IA), Untersuchungstätigkeiten und interne Verwaltungsuntersuchungen, insoweit vom Schutz des Artikels 25 Absatz 1 Buchstaben b, c und/oder h der Verordnung (EU) 2018/1725 erfasst;

h) 

die Wahrnehmung der Aufgaben der EZB gemäß dem Beschluss (EU) 2016/456 (EZB/2016/3), insbesondere die Pflicht der EZB, Informationen über rechtswidrige Handlungen zu melden, insoweit vom Schutz des Artikels 25 Absatz 1 Buchstaben b, c, g und/oder h der Verordnung (EU) 2018/1725 erfasst;

i) 

Prüfungen des Datenschutzbeauftragten zu Verarbeitungstätigkeiten bei der EZB gemäß Artikel 4 Buchstabe b des Beschlusses (EU) 2020/655 (EZB/2020/28); insoweit vom Schutz des Artikels 25 Absatz 1 Buchstaben b und/oder h der Verordnung (EU) 2018/1725 erfasst;

j) 

Intern oder mit externer Unterstützung durchgeführte Prüfungen zur Gewährleistung der physischen Sicherheit von Personen, Räumlichkeiten und Eigentum bei der EZB, sowie die Erfassung von Erkenntnissen über Bedrohungen (Threat Intelligence) und die Analyse von Sicherheitsvorfällen; insoweit vom Schutz des Artikels 25 Absatz 1 Buchstaben b, c, d und/oder h der Verordnung (EU) 2018/1725 erfasst;

k) 

Gerichtsverfahren, insoweit vom Schutz des Artikels 25 Absatz 1 Buchstaben b, c und/oder h der Verordnung (EU) 2018/1725 erfasst.

l) 

die Zusammenarbeit zwischen der EZB und den nationalen Strafverfolgungsbehörden, insbesondere wenn nationale Strafverfolgungsbehörden die Übermittlung vertraulicher Informationen anfragen, über welche die EZB verfügt, damit sie ihnen offengelegt werden können; insoweit vom Schutz des Artikels 25 Absatz 1 Buchstaben b, c, d und/oder h der Verordnung (EU) 2018/1725 erfasst;

m) 

die Zusammenarbeit zwischen der EZB und der EUStA gemäß der Verordnung (EU) 2017/1939, insbesondere die Pflicht der EZB, Informationen über Straftaten zur Verfügung zu stellen; insoweit vom Schutz des Artikels 25 Absatz 1 Buchstaben b, c, d und/oder h der Verordnung (EU) 2018/1725 erfasst;

n) 

die Zusammenarbeit mit EU-Einrichtungen, die eine Aufsichts-, Überwachungs- oder Prüfungsfunktion gegenüber der EZB ausüben; insoweit vom Schutz des Artikels 25 Absatz 1 Buchstaben c, d, g und/oder h der Verordnung (EU) 2018/1725 erfasst;

o) 

die Wahrnehmung der Aufgaben eines Mediators gemäß dem internen Streitbeilegungsrahmen der EZB, insbesondere die Unterstützung bei der Beilegung oder Vermeidung von arbeitsbezogenen Streitigkeiten; insoweit vom Schutz des Artikels 25 Absatz 1 Buchstabe h der Verordnung (EU) 2018/1725 erfasst;

p) 

die Erbringung von Beratungsdiensten durch den Berater in sozialen Angelegenheiten (Social Counsellor) zur Unterstützung der EZB-Beschäftigten; insoweit vom Schutz des Artikels 25 Absatz 1 Buchstabe h der Verordnung (EU) 2018/1725 erfasst.

Die Kategorien von personenbezogenen Daten, für welche die in Absatz 1 genannten Beschränkungen angewendet werden können, sind in den Anhängen I bis XIV dieses Beschlusses aufgeführt.

(2)  

Der Verantwortliche darf eine Beschränkung nur dann anwenden, wenn er bei der Prüfung im Einzelfall zu dem Schluss gelangt ist, dass

a) 

die Beschränkung unter Berücksichtigung der Risiken für die Rechte und Freiheiten der betroffenen Person erforderlich und verhältnismäßig ist;

b) 

mit der Beschränkung der Wesensgehalt der Grundrechte und Grundfreiheiten in einer demokratischen Gesellschaft geachtet wird.

(3)  
Der Verantwortliche dokumentiert seine Bewertung in einem internen Bewertungsvermerk, in dem die Rechtsgrundlage, die Gründe für die Beschränkung, die beschränkten Rechte der betroffenen Personen, die betroffenen Personen, die Erforderlichkeit und Verhältnismäßigkeit der Beschränkung und die voraussichtliche Dauer der Beschränkung enthalten sind.

▼M1

(4)  
Eine vom Verantwortlichen zu treffende Entscheidung über die Beschränkung der Rechte einer betroffenen Person nach Absatz 1 ist auf der Ebene des jeweiligen Geschäftsbereichsleiters zu treffen, in dessen Geschäftsbereich der die personenbezogenen Daten betreffende Hauptverarbeitungsvorgang durchgeführt wird. Wird der Hauptverarbeitungsvorgang durch eine Funktion durchgeführt, die keinem Geschäftsbereich zugeordnet ist, so ist die Entscheidung auf der Ebene des Funktionsinhabers zu treffen.

▼M1

(5)  
Für die Zwecke des Absatzes 4 trifft der stellvertretende Leiter des Geschäftsbereichs, in dem der die personenbezogenen Daten betreffende Hauptverarbeitungsvorgang durchgeführt wird, die vom Verantwortlichen zu treffende Entscheidung über die Beschränkung der Rechte einer betroffenen Person nach Absatz 1, sofern der jeweilige Geschäftsbereichsleiter wegen Abwesenheit nicht zur Verfügung steht, ein tatsächlicher oder vermeintlicher Interessenkonflikt auf Seiten des Geschäftsbereichsleiters vorliegt oder der Geschäftsbereichsleiter Zugang zu relevanten vertraulichen Informationen hat.

Gibt es keinen solchen stellvertretenden Leiter, so ist die Entscheidung von dem jeweiligen direkten Vorgesetzten zu treffen, der bei Abwesenheit des Geschäftsbereichsleiters, bei Vorliegen eines Interessenkonflikts auf Seiten des Geschäftsbereichsleiters oder wenn der Geschäftsbereichsleiter Zugang zu relevanten vertraulichen Informationen hat, dafür zuständig ist.

▼B

Artikel 4

Informationspflicht bei Beschränkungen

Der Verantwortliche stellt allgemeine Informationen über die mögliche Beschränkung der Rechte betroffener Personen wie folgt zur Verfügung:

a) 

der Verantwortliche führt die Rechte auf, die beschränkt werden können, die Gründe für die Beschränkung und die mögliche Dauer der Beschränkung;

b) 

der Verantwortliche nimmt die in Buchstabe a genannten Informationen in seine Datenschutzhinweise, Datenschutzerklärungen und die in Artikel 31 der Verordnung (EU) 2018/1725 genannten Verzeichnisse von Verarbeitungstätigkeiten auf.

Artikel 5

Beschränkung des Rechts der betroffenen Personen auf Auskunft, auf Berichtigung, auf Löschung und auf Einschränkung der Verarbeitung

(1)  
Beschränkt der Verantwortliche die jeweils in den Artikeln 17 und 18, Artikel 19 Absatz 1 sowie Artikel 20 Absatz 1 der Verordnung (EU) 2018/1725 genannten Rechte auf Auskunft, auf Berichtigung, auf Löschung oder auf Einschränkung der Verarbeitung ganz oder teilweise, unterrichtet er die betroffene Person innerhalb der in Artikel 11 Absatz 5 des Beschlusses (EU) 2020/655 (EZB/2020/28) genannten Frist in seiner schriftlichen Antwort auf den Antrag über die angewandte Beschränkung und die Möglichkeit, Beschwerde beim Europäischen Datenschutzbeauftragten einzureichen und einen gerichtlichen Rechtsbehelf vor dem Gerichtshof der Europäischen Union einzulegen.
(2)  
Der Verantwortliche verwahrt den in Artikel 3 Absatz 3 genannten internen Bewertungsvermerk und gegebenenfalls die Unterlagen, welche die zugrunde liegenden tatsächlichen und rechtlichen Umstände enthalten, und stellt diese dem Datenschutzbeauftragten und dem Europäischen Datenschutzbeauftragten auf Anfrage zur Verfügung.
(3)  
Der Verantwortliche kann die Unterrichtung über die Gründe für die Beschränkung nach Absatz 1 zurückstellen, unterlassen oder ablehnen, solange diese Unterrichtung den Zweck der Beschränkung beeinträchtigen würde. Sobald der Verantwortliche feststellt, dass die Unterrichtung den Zweck der Beschränkung nicht mehr beeinträchtigt, stellt der Verantwortliche der betroffenen Person diese Informationen zur Verfügung.

Artikel 6

Dauer der Beschränkungen

(1)  
Der Verantwortliche hebt eine Beschränkung auf, sobald die Umstände, die diese Beschränkung rechtfertigten, nicht mehr gegeben sind.
(2)  

Hebt der Verantwortliche eine Beschränkung gemäß Absatz 1 auf, so muss der Verantwortliche unverzüglich

a) 

die betroffene Person über die wesentlichen Gründe für die Anwendung einer Beschränkung unterrichten, sofern dies noch nicht geschehen ist;

b) 

die betroffene Person über ihr Beschwerderecht beim Europäischen Datenschutzbeauftragten oder über ihr Recht auf einen gerichtlichen Rechtsbehelf beim Gerichtshof unterrichten;

c) 

der betroffenen Person das Recht gewähren, das der aufgehobenen Beschränkung unterlag.

(3)  
Der Verantwortliche überprüft alle sechs Monate erneut, ob eine gemäß diesem Beschluss angewandte Beschränkung aufrechterhalten werden muss, und dokumentiert seine erneute Bewertung in einem internen Bewertungsvermerk.

Artikel 7

Garantien

Die EZB sieht die im Anhang XV genannten Garantien organisatorischer und technischer Art vor, um den Missbrauch, den unrechtmäßigen Zugang zu oder die unrechtmäßige Übermittlung von Informationen zu verhindern.

Artikel 8

Überprüfung durch den Datenschutzbeauftragten

(1)  

Wenn der Verantwortliche die Ausübung der Rechte einer betroffenen Person beschränkt, muss er den Datenschutzbeauftragten laufend einbeziehen. Dabei gilt insbesondere Folgendes:

a) 

Der Verantwortliche muss den Datenschutzbeauftragten unverzüglich konsultieren;

b) 

Auf Antrag des Datenschutzbeauftragten gewährt der Verantwortliche dem Datenschutzbeauftragten Zugang zu allen Dokumenten, welche die zugrunde liegenden tatsächlichen und rechtlichen Umstände enthalten, einschließlich des in Artikel 3 Absatz 3 genannten internen Bewertungsvermerks;

c) 

Der Verantwortliche muss dokumentieren, wie der Datenschutzbeauftragte einbezogen wurde, einschließlich relevanter Informationen, die ausgetauscht wurden, insbesondere das Datum, an dem der Datenschutzbeauftragte gemäß Buchstabe a erstmalig konsultiert wurde;

d) 

Der Datenschutzbeauftragte kann den Verantwortlichen auffordern, die Beschränkung zu überprüfen;

e) 

Der Verantwortliche unterrichtet den Datenschutzbeauftragten unverzüglich und in jedem Fall vor Anwendung einer Beschränkung schriftlich über das Ergebnis dieser Überprüfung.

(2)  
Der Verantwortliche unterrichtet den Datenschutzbeauftragten, wenn die Beschränkung gemäß Artikel 6 Absatz 3 neu bewertet oder aufgehoben wurde.

Artikel 9

Inkrafttreten

Dieser Beschluss tritt am zwanzigsten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.



ANHANG I

Bewertung und Meldung potenzieller Verstöße gegen Dienstpflichten und der sich erforderlichenfalls anschließenden Untersuchung und Weiterverfolgung

Die in Artikel 3 Absatz 1 Buchstabe a dieses Beschlusses vorgesehene Beschränkung kann auf die in den jeweiligen Verzeichnissen der Verarbeitungstätigkeiten aufgeführten Kategorien von Daten angewendet werden, insbesondere auf folgende Kategorien von personenbezogenen Daten:

a) 

Identifikationsdaten;

b) 

Kontaktdaten;

c) 

berufliche Daten einschließlich Angaben zur allgemeinen und beruflichen Aus- und Weiterbildung sowie zu Beschäftigungsverhältnissen;

d) 

Angaben zur finanziellen Situation (z. B. Informationen über Gehalt, Zulagen oder private Transaktionen);

e) 

Daten zur Familie, den Lebensumständen und sozialen Verhältnissen;

f) 

Standortdaten;

g) 

Daten zu gelieferten Waren oder erbrachten Dienstleistungen;

h) 

Daten zu externen Tätigkeiten;

i) 

Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen; genetische Daten oder biometrische Daten; Gesundheitsdaten oder Daten zum Sexualleben oder zur sexuellen Orientierung einer natürlichen Person;

j) 

alle sonstigen Daten, die sich auf die Bewertung und Meldung potenzieller Verstöße gegen Dienstpflichten und eine sich erforderlichenfalls anschließende Untersuchung und Weiterverfolgung beziehen.



ANHANG II

Informelle und/oder formelle Verfahren zur Wahrung der Würde am Arbeitsplatz, einschließlich der Berücksichtigung von Fällen, die zu einem solchen Verfahren gemäß Teil 0.5 der Dienstvorschriften der EZB führen können

Die in Artikel 3 Absatz 1 Buchstabe b dieses Beschlusses vorgesehene Beschränkung kann auf die in den jeweiligen Verzeichnissen der Verarbeitungstätigkeiten aufgeführten Kategorien von Daten angewendet werden, insbesondere auf folgende Kategorien von personenbezogenen Daten:

a) 

Identifikationsdaten;

b) 

Kontaktdaten;

c) 

berufliche Daten einschließlich Angaben zur allgemeinen und beruflichen Aus- und Weiterbildung sowie zu Beschäftigungsverhältnissen;

d) 

Angaben zur finanziellen Situation (z. B. Informationen über Gehalt, Zulagen oder private Transaktionen);

e) 

Daten zur Familie, den Lebensumständen und sozialen Verhältnissen;

f) 

Standortdaten;

g) 

Daten zu gelieferten Waren oder erbrachten Dienstleistungen;

h) 

Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen; genetische Daten oder biometrische Daten; Gesundheitsdaten oder Daten zum Sexualleben oder zur sexuellen Orientierung einer natürlichen Person;

i) 

alle sonstigen Daten, die sich auf informelle und/oder formelle Verfahren zur Wahrung der Würde am Arbeitsplatz beziehen, einschließlich der Berücksichtigung von Fällen, die zu einem solchen Verfahren gemäß Teil 0.5 der Dienstvorschriften der EZB führen können.



ANHANG III

Die Wahrnehmung der Aufgaben der DG/HR gemäß dem arbeitsrechtlichen Rahmen der EZB

Die in Artikel 3 Absatz 1 Buchstabe c dieses Beschlusses vorgesehene Beschränkung kann auf die in den jeweiligen Verzeichnissen der Verarbeitungstätigkeiten aufgeführten Kategorien von Daten angewendet werden, insbesondere auf folgende Kategorien von personenbezogenen Daten:

a) 

Identifikationsdaten;

b) 

Kontaktdaten;

c) 

berufliche Daten einschließlich Angaben zur allgemeinen und beruflichen Aus- und Weiterbildung sowie zu Beschäftigungsverhältnissen;

d) 

Angaben zur finanziellen Situation (z. B. Informationen über Gehalt, Zulagen oder private Transaktionen);

e) 

Daten zur Familie, den Lebensumständen und sozialen Verhältnissen;

f) 

Standortdaten;

g) 

Daten zu gelieferten Waren oder erbrachten Dienstleistungen;

h) 

Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen; genetische Daten oder biometrische Daten; Gesundheitsdaten oder Daten zum Sexualleben oder zur sexuellen Orientierung einer natürlichen Person;

i) 

alle sonstigen Daten im Rahmen von Einzelfällen oder solche, die sich auf die Erwägung von Einzelfällen beziehen, insbesondere solche, die zu einer Entscheidung führen können, die sich nachteilig auf EZB-Beschäftigte auswirkt, und solche, die sich auf die Prüfung der von Seiten der EZB-Beschäftigten eingelegten internen Beschwerden und deren Weiterverfolgung beziehen;

j) 

alle sonstigen Daten, die sich auf Auswahlverfahren beziehen.



ANHANG IV

Die Prüfung interner Rechtsbehelfe und ihre Weiterverfolgung

Die in Artikel 3 Absatz 1 Buchstabe d dieses Beschlusses vorgesehene Beschränkung kann auf die in den jeweiligen Verzeichnissen der Verarbeitungstätigkeiten aufgeführten Kategorien von Daten und insbesondere auf die folgenden Kategorien von personenbezogenen Daten angewendet werden:

a) 

Identifikationsdaten;

b) 

Kontaktdaten;

c) 

berufliche Daten einschließlich Angaben zur allgemeinen und beruflichen Aus- und Weiterbildung sowie zu Beschäftigungsverhältnissen;

d) 

Angaben zur finanziellen Situation (z. B. Informationen über Gehalt, Zulagen oder private Transaktionen);

e) 

Daten zur Familie, den Lebensumständen und sozialen Verhältnissen;

f) 

Standortdaten;

g) 

Daten zu gelieferten Waren oder erbrachten Dienstleistungen;

h) 

Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen; genetische Daten oder biometrische Daten; Gesundheitsdaten oder Daten zum Sexualleben oder zur sexuellen Orientierung einer natürlichen Person;

i) 

alle sonstigen Daten im Rahmen von Einzelfällen oder solche, die sich auf die Erwägung von Einzelfällen beziehen, insbesondere solche, die zu einer Entscheidung führen können, die sich nachteilig auf EZB-Beschäftigte auswirkt, und solche, die sich auf die Prüfung der von Seiten der EZB-Beschäftigten eingelegten internen Beschwerden und deren Weiterverfolgung beziehen.



ANHANG V

Die Meldung von rechtswidrigen Handlungen oder Verstößen gegen Dienstpflichten über sämtliche Mitteilungswege, auch über das Whistleblowing-Tool der EZB, oder die Bewertung von Anträgen auf Schutz von Hinweisgebern oder Zeugen durch die Stabstelle Compliance und Governance

Die in Artikel 3 Absatz 1 Buchstabe e dieses Beschlusses vorgesehene Beschränkung kann auf die in den jeweiligen Verzeichnissen der Verarbeitungstätigkeiten aufgeführten Kategorien von Daten angewendet werden, insbesondere auf folgende Kategorien von personenbezogenen Daten:

a) 

Identifikationsdaten;

b) 

Kontaktdaten;

c) 

berufliche Daten einschließlich Angaben zur allgemeinen und beruflichen Aus- und Weiterbildung sowie zu Beschäftigungsverhältnissen;

d) 

Angaben zur finanziellen Situation (z. B. Informationen über Gehalt, Zulagen oder private Transaktionen);

e) 

Daten zur Familie, den Lebensumständen und sozialen Verhältnissen;

f) 

Standortdaten;

g) 

Daten zu gelieferten Waren oder erbrachten Dienstleistungen;

h) 

Daten zu externen Tätigkeiten;

i) 

Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen; genetische Daten oder biometrische Daten; Gesundheitsdaten oder Daten zum Sexualleben oder zur sexuellen Orientierung einer natürlichen Person;

j) 

alle sonstigen Daten, die sich auf eine mutmaßliche rechtswidrige Handlung oder einen mutmaßlichen Verstoß gegen Dienstpflichten oder einen Antrag auf Schutz von Hinweisgebern oder Zeugen beziehen.



ANHANG VI

Im Ethikrahmen der EZB verankerte Tätigkeiten der CGO

Die in Artikel 3 Absatz 1 Buchstabe f dieses Beschlusses vorgesehene Beschränkung kann auf die in den jeweiligen Verzeichnissen der Verarbeitungstätigkeiten aufgeführten Kategorien von Daten angewendet werden, insbesondere auf folgende Kategorien von personenbezogenen Daten:

a) 

Identifikationsdaten;

b) 

Kontaktdaten;

c) 

berufliche Daten einschließlich Angaben zur allgemeinen und beruflichen Aus- und Weiterbildung sowie zu Beschäftigungsverhältnissen;

d) 

Angaben zur finanziellen Situation (z. B. Informationen über Gehalt, Zulagen oder private Transaktionen);

e) 

Daten zur Familie, den Lebensumständen und sozialen Verhältnissen;

f) 

Daten zu externen Tätigkeiten;

g) 

Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen; genetische Daten oder biometrische Daten; Gesundheitsdaten oder Daten zum Sexualleben oder zur sexuellen Orientierung einer natürlichen Person;

h) 

alle sonstigen Daten sich auf Tätigkeiten beziehen, die von der CGO gemeldet oder untersucht werden.



ANHANG VII

Prüfungen durch die Direktion Interne Revision und Untersuchungstätigkeiten oder interne Verwaltungsuntersuchungen

Die in Artikel 3 Absatz 1 Buchstabe g dieses Beschlusses vorgesehene Beschränkung kann auf die in den jeweiligen Verzeichnissen der Verarbeitungstätigkeiten aufgeführten Kategorien von Daten angewendet werden, insbesondere auf folgende Kategorien von personenbezogenen Daten:

a) 

Identifikationsdaten;

b) 

Kontaktdaten;

c) 

berufliche Daten einschließlich Angaben zur allgemeinen und beruflichen Aus- und Weiterbildung sowie zu Beschäftigungsverhältnissen;

d) 

Angaben zur finanziellen Situation (z. B. Informationen über Gehalt, Zulagen oder private Transaktionen);

e) 

Daten zur Familie, den Lebensumständen und sozialen Verhältnissen;

f) 

Daten zu externen Tätigkeiten;

g) 

Standortdaten;

h) 

Daten zu gelieferten Waren oder erbrachten Dienstleistungen;

i) 

soziale und verhaltensbezogene Daten sowie andere Arten von Daten, die für den Verarbeitungsvorgang spezifisch sind;

j) 

Informationen zu Verwaltungsverfahren oder sonstigen Untersuchungen;

k) 

elektronische Verkehrsdaten;

l) 

Videoüberwachungsdaten;

m) 

Audioaufnahmen;

n) 

Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen; genetische Daten oder biometrische Daten; Gesundheitsdaten oder Daten zum Sexualleben oder zur sexuellen Orientierung einer natürlichen Person;

o) 

Daten zu Strafverfahren, Sanktionen oder anderen Verwaltungssanktionen;

p) 

alle sonstigen Daten, die sich auf die von der Direktion Interne Revision durchgeführten Prüfungen und jegliche Untersuchungstätigkeiten oder interne Verwaltungsuntersuchungen beziehen.



ANHANG VIII

Die Wahrnehmung der Aufgaben der EZB gemäß dem Beschluss (EU) 2016/456 (EZB/2016/3)

Die in Artikel 3 Absatz 1 Buchstabe h dieses Beschlusses vorgesehene Beschränkung kann auf die in den jeweiligen Verzeichnissen der Verarbeitungstätigkeiten aufgeführten Kategorien von Daten angewendet werden, insbesondere auf folgende Kategorien von personenbezogenen Daten:

a) 

Identifikationsdaten;

b) 

Kontaktdaten;

c) 

berufliche Daten einschließlich Angaben zur allgemeinen und beruflichen Aus- und Weiterbildung sowie zu Beschäftigungsverhältnissen;

d) 

Angaben zur finanziellen Situation (z. B. Informationen über Gehalt, Zulagen oder private Transaktionen);

e) 

Daten zur Familie, den Lebensumständen und sozialen Verhältnissen;

f) 

Daten zu externen Tätigkeiten;

g) 

Standortdaten;

h) 

Daten zu gelieferten Waren oder erbrachten Dienstleistungen;

i) 

elektronische Verkehrsdaten;

j) 

Videoüberwachungsdaten;

k) 

Audioaufnahmen;

l) 

Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen; genetische Daten oder biometrische Daten; Gesundheitsdaten oder Daten zum Sexualleben oder zur sexuellen Orientierung einer natürlichen Person;

m) 

alle sonstigen Daten, die sich auf die Wahrnehmung der Aufgaben der EZB gemäß dem Beschluss (EU) 2016/456 (EZB/2016/3) beziehen.



ANHANG IX

Untersuchungen des Datenschutzbeauftragten gemäß Artikel 4 Buchstabe b des Beschlusses (EU) 2020/655 (EZB/2020/28)

Die in Artikel 3 Absatz 1 Buchstabe i dieses Beschlusses vorgesehene Beschränkung kann auf die in den jeweiligen Verzeichnissen der Verarbeitungstätigkeiten aufgeführten Kategorien von Daten angewendet werden, insbesondere auf folgende Kategorien von personenbezogenen Daten:

a) 

Identifikationsdaten;

b) 

Kontaktdaten;

c) 

berufliche Daten einschließlich Angaben zur allgemeinen und beruflichen Aus- und Weiterbildung sowie zu Beschäftigungsverhältnissen;

d) 

Angaben zur finanziellen Situation (z. B. Informationen über Gehalt, Zulagen oder private Transaktionen);

e) 

Daten zu Familie, Lebensumständen und sozialen Verhältnissen;

f) 

Daten zu externen Tätigkeiten;

g) 

Datenspeicherort;

h) 

Daten zu gelieferten Waren oder erbrachten Dienstleistungen;

i) 

elektronische Verkehrsdaten;

j) 

Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen; genetische Daten oder biometrische Daten; Gesundheitsdaten oder Daten zum Sexualleben oder zur sexuellen Orientierung einer natürlichen Person;

k) 

alle sonstigen Daten, die sich auf Untersuchungen des Datenschutzbeauftragten gemäß Artikel 4 Buchstabe b des Beschlusses (EU) 2020/655 (EZB/2020/28) beziehen.



ANHANG X

Untersuchungen zur Gewährleistung der physischen Sicherheit von Personen, Räumlichkeiten und Eigentum bei der EZB sowie die Erfassung von Erkenntnissen über Bedrohungen (Threat Intelligence) und die Analyse von Sicherheitsvorfällen

Die in Artikel 3 Absatz 1 Buchstabe j dieses Beschlusses vorgesehene Beschränkung kann auf die in den jeweiligen Verzeichnissen der Verarbeitungstätigkeiten aufgeführten Kategorien von Daten angewendet werden, insbesondere auf folgende Kategorien von personenbezogenen Daten:

a) 

Identifikationsdaten;

b) 

Kontaktdaten;

c) 

berufliche Daten einschließlich Angaben zur allgemeinen und beruflichen Aus- und Weiterbildung sowie zu Beschäftigungsverhältnissen;

d) 

Standortdaten;

e) 

Daten zur Familie, den Lebensumständen und sozialen Verhältnissen;

f) 

elektronische Verkehrsdaten;

g) 

Videoüberwachungsdaten;

h) 

Audioaufnahmen;

i) 

Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen; genetische Daten oder biometrische Daten; Gesundheitsdaten oder Daten zum Sexualleben oder zur sexuellen Orientierung einer natürlichen Person;

j) 

Daten zu anhängigen Strafverfahren oder Strafregistern;

k) 

alle sonstigen Daten, die sich auf Untersuchungen zur Gewährleistung der physischen Sicherheit bei der EZB von Personen, Räumlichkeiten und Eigentum, auf Erkenntnisse über Bedrohungen (Threat Intelligence) oder auf die Analyse von Sicherheitsvorfällen beziehen.



ANHANG XI

Gerichtsverfahren

Die in Artikel 3 Absatz 1 Buchstabe k dieses Beschlusses vorgesehene Beschränkung kann auf die in den jeweiligen Verzeichnissen der Verarbeitungstätigkeiten aufgeführten Kategorien von Daten angewendet werden, insbesondere die folgenden Kategorien von personenbezogenen Daten:

a) 

Identifikationsdaten;

b) 

Kontaktdaten;

c) 

berufliche Daten einschließlich Angaben zur allgemeinen und beruflichen Aus- und Weiterbildung sowie zu Beschäftigungsverhältnissen;

d) 

Angaben zur finanziellen Situation (z. B. Informationen über Gehalt, Zulagen oder private Transaktionen);

e) 

Daten zu Familie, Lebensumständen und sozialen Verhältnissen;

f) 

Daten zu externen Tätigkeiten;

g) 

Datenspeicherort;

h) 

elektronische Verkehrsdaten;

i) 

Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen; genetische Daten oder biometrische Daten; Gesundheitsdaten oder Daten zum Sexualleben oder zur sexuellen Orientierung einer natürlichen Person;

j) 

sonstige Daten, die sich auf Gerichtsverfahren beziehen.



ANHANG XII

Die Zusammenarbeit zwischen der EZB und den nationalen strafrechtlichen Ermittlungsbehörden, der EUStA und EU-Einrichtungen mit einer Aufsichts-, Überwachungs- oder Prüfungsfunktion gegenüber der EZB

Die in Artikel 3 Absatz 1 Buchstaben l bis n dieses Beschlusses genannte Beschränkung kann auf alle in den Anhängen I bis XI genannten Kategorien von personenbezogenen Daten sowie auf die in den jeweiligen Verzeichnissen der Verarbeitungstätigkeiten aufgeführten Kategorien von Daten angewendet werden, insbesondere auf folgende Kategorien von personenbezogenen Daten:

a) 

Identifikationsdaten;

b) 

Kontaktdaten;

c) 

berufliche Daten einschließlich Angaben zur allgemeinen und beruflichen Aus- und Weiterbildung sowie zu Beschäftigungsverhältnissen;

d) 

Angaben zur finanziellen Situation (z. B. Informationen über Gehalt, Zulagen oder private Transaktionen);

e) 

Daten zu Familie, Lebensumständen und sozialen Verhältnissen;

f) 

Daten zu externen Tätigkeiten;

g) 

Standortdaten;

h) 

Daten zu gelieferten Waren oder erbrachten Dienstleistungen;

i) 

Videoüberwachungsdaten;

j) 

elektronische Verkehrsdaten;

k) 

Audioaufnahmen;

l) 

Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen; genetische Daten oder biometrische Daten; Gesundheitsdaten oder Daten zum Sexualleben oder zur sexuellen Orientierung einer natürlichen Person;

m) 

Informationen zu Verwaltungsverfahren oder sonstigen aufsichtsrechtlichen Prüfungen;

n) 

Daten zu Strafverfahren, Sanktionen oder anderen Verwaltungssanktionen;

o) 

alle sonstigen Daten, die sich auf die Zusammenarbeit zwischen der EZB und den nationalen Strafverfolgungsbehörden, der EUStA und EU-Einrichtungen mit einer Aufsichts-, Überwachungs- oder Prüfungsfunktion gegenüber der EZB beziehen.



ANHANG XIII

Die Wahrnehmung der Aufgaben des Mediators

Die in Artikel 3 Absatz 1 Buchstabe o dieses Beschlusses vorgesehene Beschränkung kann auf die in den jeweiligen Verzeichnissen der Verarbeitungstätigkeiten aufgeführten Kategorien von Daten angewendet werden, insbesondere auf folgende Kategorien von personenbezogenen Daten:

a) 

Kontaktdaten;

b) 

berufliche Daten einschließlich Angaben zur allgemeinen und beruflichen Aus- und Weiterbildung sowie zu Beschäftigungsverhältnissen;

c) 

Angaben zur finanziellen Situation (z. B. Informationen über Gehalt, Zulagen oder private Transaktionen);

d) 

Daten zur Familie, den Lebensumständen und sozialen Verhältnissen;

e) 

soziale und verhaltensbezogene Daten sowie andere Arten von Daten, die für den Verarbeitungsvorgang spezifisch sind;

f) 

Informationen zu Verwaltungsverfahren oder sonstigen aufsichtsrechtlichen Prüfungen;

g) 

Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen; genetische Daten oder biometrische Daten; Gesundheitsdaten oder Daten zum Sexualleben oder zur sexuellen Orientierung einer natürlichen Person;

h) 

alle sonstigen Daten, die sich auf die Erfüllung der Aufgaben des Mediators beziehen.



ANHANG XIV

Die Erbringung der Beratungsleistungen durch den Social Counsellor

Die in Artikel 3 Absatz 1 Buchstabe p dieses Beschlusses vorgesehene Beschränkung kann auf die in den jeweiligen Verzeichnissen der Verarbeitungstätigkeiten aufgeführten Kategorien von Daten angewendet werden, insbesondere auf folgende Kategorien von personenbezogenen Daten:

a) 

Kontaktdaten;

b) 

berufliche Daten einschließlich Angaben zur allgemeinen und beruflichen Aus- und Weiterbildung sowie zu Beschäftigungsverhältnissen;

c) 

Angaben zur finanziellen Situation (z. B. Informationen über Gehalt, Zulagen oder private Transaktionen);

d) 

Daten zur Familie, den Lebensumständen und sozialen Verhältnissen;

e) 

soziale und verhaltensbezogene Daten sowie andere Arten von Daten, die für den Verarbeitungsvorgang spezifisch sind;

f) 

Informationen zu Verwaltungsverfahren oder sonstigen aufsichtsrechtlichen Prüfungen;

g) 

Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen; genetische Daten oder biometrische Daten; Gesundheitsdaten oder Daten zum Sexualleben oder zur sexuellen Orientierung einer natürlichen Person;

h) 

alle sonstigen Daten, die sich auf die Erbringung der Beratungsdienste durch den Social Counsellor beziehen.



ANHANG XV

Zur Verhinderung von Missbrauch oder unrechtmäßiger Verarbeitung von Informationen umfassen Garantien organisatorischer und technischer Art bei der EZB Folgendes:

a) 

In Bezug auf Personen:

i) 

Alle Personen, die Zugang zu nicht öffentlichen Informationen der EZB haben, sind dafür verantwortlich die Grundsätze und Regelungen der EZB über die Verwaltung und Vertraulichkeit von Informationen zu kennen und anzuwenden;

ii) 

Eine Sicherheitsüberprüfung, mit der sichergestellt wird, dass nur überprüfte und befugte Personen Zugang zu den Räumlichkeiten der EZB und zu deren nicht öffentlichen Informationen haben;

iii) 

Informationstechnologie, Informationen und Maßnahmen zur Sensibilisierung für physische Sicherheit sowie Schulungen, die regelmäßig für EZB-Beschäftigte und externe Dienstleister durchgeführt werden;

iv) 

EZB-Beschäftigte unterliegen strikten, in den Beschäftigungsbedingungen und den Dienstvorschriften der EZB festgelegten Regelungen über die Geheimhaltung, die bei einem Verstoß mit Disziplinarmaßnahmen verbunden sind;

v) 

Regeln und Pflichten für den Zugang externer Dienstleister oder Auftragnehmer zu nicht öffentlichen Informationen der EZB, die in vertraglichen Vereinbarungen festgelegt sind;

vi) 

Zugangskontrollen, einschließlich der Einrichtung und Durchsetzung von Sicherheitszonen, um zu gewährleisten, dass der Zugang von Personen zu nicht öffentlichen Informationen der EZB auf der Grundlage von Geschäftserfordernissen und Sicherheitsanforderungen genehmigt und beschränkt wird;

b) 

In Bezug auf Prozesse:

i) 

Verfahren, welche die kontrollierte Umsetzung, den Betrieb und die Aufrechterhaltung der IT-Anwendungen sicherstellen und so die Geschäftstätigkeit der EZB unterstützen;

ii) 

IT-Anwendungen für die Geschäftstätigkeit der EZB, welche die Sicherheitsstandards der EZB erfüllen;

iii) 

ein umfassendes Betriebsprogramm für die physische Sicherheit, mit welchem Sicherheitsbedrohungen laufend bewertet werden können und das physische Sicherheitsmaßnahmen umfasst, mit denen ein angemessenes Schutzniveau sichergestellt wird.

c) 

In Bezug auf Technologie:

i) 

alle elektronischen Daten, die in IT-Anwendungen gespeichert werden, welche die Sicherheitsstandards der EZB erfüllen und somit vor unbefugtem Zugriff oder unbefugter Veränderung geschützt sind;

ii) 

IT-Anwendungen, die auf einem Sicherheitsniveau implementiert, betrieben und aufrechterhalten werden, das dem Vertraulichkeits-, Integritäts- und Verfügbarkeitsbedarf der IT-Anwendungen entspricht und auf Analysen der geschäftlichen Auswirkungen beruhen;

iii) 

ein gewisses Sicherheitsniveau von IT-Anwendungen, welches regelmäßig durch technische und nichttechnische Sicherheitsbewertungen validiert wird;

iv) 

Zugang zu nicht öffentlichen Informationen der EZB wird nach dem Grundsatz des begründeten Bedarfs („Kenntnis nur, wenn nötig“) gewährt und der bevorrechtigte Zugang wird strikt beschränkt und streng kontrolliert;

v) 

Kontrollen werden durchgeführt, um tatsächliche und potenzielle Sicherheitsverstöße aufzudecken und weiterzuverfolgen.