|
3.8.2020 |
DE |
Amtsblatt der Europäischen Union |
L 251/1 |
BESCHLUSS Nr. 20-W-3 DES VERWALTUNGSRATS DER EUROPÄISCHEN FISCHEREIAUFSICHTSAGENTUR
vom 22. April 2020
über interne Vorschriften zur Beschränkung bestimmter Rechte betroffener Personen in Bezug auf die Verarbeitung personenbezogener Daten im Rahmen der Tätigkeit der Europäischen Fischereiaufsichtsagentur
DER VERWALTUNGSRAT DER EUROPÄISCHEN FISCHEREIAUFSICHTSAGENTUR —
gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,
gestützt auf die Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG (1), insbesondere auf Artikel 25,
gestützt auf die Verordnung (EU) 2019/473 des Europäischen Parlaments und des Rates vom 19. März 2019 über die Europäische Fischereiaufsichtsagentur (2) (im Folgenden: Agentur), insbesondere auf Artikel 32 Absatz 2 Buchstabe h,
nach Konsultation des Europäischen Datenschutzbeauftragten zu diesem Beschluss gemäß Artikel 41 Absatz 2 der Verordnung (EU) 2018/1725,
in Erwägung nachstehender Gründe:
|
(1) |
Die Verordnung (EU) 2019/473 sieht eine Europäische Fischereiaufsichtsagentur vor, die zum Ziel hat, die operative Koordinierung der Kontroll- und Inspektionstätigkeiten der Mitgliedstaaten im Bereich der Fischereiaufsicht zu organisieren und die Mitgliedstaaten bei der Zusammenarbeit im Hinblick auf die Erfüllung der Vorschriften der Gemeinsamen Fischereipolitik und deren wirksame und einheitliche Anwendung zu unterstützen. |
|
(2) |
Nach Artikel 25 Absatz 1 der Verordnung (EU) 2018/1725 müssen Beschränkungen der Anwendung der Artikel 14 bis 22, 35 und 36 sowie des Artikels 4 der Verordnung, insofern dessen Bestimmungen den in den Artikeln 14 bis 22 vorgesehenen Rechten und Pflichten entsprechen, auf von der Agentur zu erlassenden internen Vorschriften beruhen, soweit sie nicht auf Rechtsakten basieren, die auf der Grundlage der Verträge erlassen wurden. |
|
(3) |
Diese internen Vorschriften — einschließlich ihrer Bestimmungen über die Bewertung der Notwendigkeit und Verhältnismäßigkeit einer Beschränkung — sind nicht anwendbar, soweit eine Beschränkung von Rechten betroffener Personen in einem aufgrund der Verträge erlassenen Rechtsakt vorgesehen ist. |
|
(4) |
Bei der Wahrnehmung ihrer Aufgaben in Bezug auf die Rechte betroffener Personen gemäß der Verordnung (EU) 2018/1725 prüft die Agentur, ob eine der in der Verordnung vorgesehenen Ausnahmen gegeben ist. |
|
(5) |
Im Rahmen ihrer Verwaltungstätigkeit ist die Agentur befugt, Verwaltungsuntersuchungen, Disziplinarverfahren und vorläufige Aktivitäten im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten durchzuführen, Meldungen von Missständen zu bearbeiten, formelle und informelle Verfahren wegen Mobbings zu bearbeiten, interne und externe Beschwerden zu bearbeiten, interne Audits durchzuführen, Untersuchungen durch den Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 sowie interne (IT-)Sicherheitsüberprüfungen durchzuführen. |
|
(6) |
Im Rahmen ihrer operativen Tätigkeit empfängt die Agentur Inspektionsberichte von EU-Inspektoren, so wie dies in Artikel 123 der Durchführungsverordnung (EU) Nr. 404/2011 der Kommission (3), den Artikeln 18, 19 und 20 der Verordnung (EU) Nr. 1236/2010 des Europäischen Parlaments und des Rates (4) und den Artikeln 30, 33 und 34 der Verordnung (EU) 2019/833 des Europäischen Parlaments und des Rates (5) vorgesehen ist. Im Zusammenhang mit Analysen zur Vorbereitung und Durchführung von Vor-Ort-Audits in Drittländern gemäß Artikel 20 Absatz 4 Buchstabe c der Verordnung (EG) Nr. 1005/2008 des Rates (6) empfängt die Agentur auch für die Europäische Kommission erstellte Informationen und Daten von Mitgliedstaaten, so wie dies im Beschluss 2009/988/EU der Kommission vorgesehen ist (7). |
|
(7) |
Die Agentur verarbeitet mehrere Kategorien personenbezogener Daten, einschließlich harter Daten („objektive“ Daten wie Identifikationsdaten, Kontaktdaten, berufsbezogene Daten, Verwaltungsdaten, Daten aus bestimmten Quellen, elektronische Kommunikations- und Verkehrsdaten) und/oder weicher Daten („subjektive“ fallbezogene Daten wie Begründungen, verhaltensbezogene Daten, Beurteilungen, Leistungs- und Verhaltensdaten sowie Daten, die sich auf den Gegenstand des Verfahrens oder der Tätigkeit beziehen oder im Zusammenhang damit vorgebracht werden). |
|
(8) |
Die Agentur, vertreten durch ihren Direktor, ist der für die Verarbeitung Verantwortliche; dies gilt auch, wenn Befugnisse des für die Verarbeitung Verantwortlichen innerhalb der Agentur weiter delegiert werden, um den operativen Verantwortlichkeiten für bestimmte Vorgänge der Verarbeitung personenbezogener Daten Rechnung zu tragen. |
|
(9) |
Die personenbezogenen Daten werden in einem elektronischen Umfeld oder in Papierform sicher aufbewahrt, um den unrechtmäßigen Zugang zu den Daten oder die Übermittlung der Daten an Personen, die nicht auf deren Kenntnis angewiesen sind, zu verhindern. Die verarbeiteten personenbezogenen Daten werden nur so lange aufbewahrt, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich und angemessen ist, wobei der Zeitraum in den Datenschutzhinweisen, Datenschutzerklärungen oder Aufzeichnungen der Agentur angegeben ist. |
|
(10) |
Die internen Vorschriften sollten für alle Verarbeitungsvorgänge gelten, die von der Agentur ausgeführt werden im Zusammenhang mit der Durchführung von Verwaltungsuntersuchungen, Disziplinarverfahren, vorläufigen Aktivitäten im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten, Verfahren wegen gemeldeter Missstände (Whistleblowing), formellen und informellen Verfahren wegen Mobbings, der Bearbeitung interner und externer Beschwerden, internen Audits, Prüfungen durch den Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725, intern oder mit externer Beteiligung (z. B. durch das CERT-EU) durchgeführten (IT-)Sicherheitsüberprüfungen sowie den oben im sechsten Erwägungsgrund genannten operativen Tätigkeiten. |
|
(11) |
Sie sollten für die Verarbeitungsvorgänge gelten, die vor der Einleitung der vorstehend genannten Verfahren, während dieser Verfahren und bei der Überwachung der aufgrund des Ergebnisses dieser Verfahren getroffenen Folgemaßnahmen sowie bei der Durchführung der oben im sechsten Erwägungsgrund genannten operativen Tätigkeiten vorgenommen werden. Dies sollte auch die Unterstützung und Zusammenarbeit umfassen, die die Agentur außerhalb ihrer administrativen Untersuchungen für nationale Behörden und internationale Organisationen leistet. |
|
(12) |
In den Fällen, in denen diese internen Vorschriften Anwendung finden, muss die Agentur unter Angaben von Gründen erklären, inwiefern die Beschränkungen eine in einer demokratischen Gesellschaft notwendige und verhältnismäßige Maßnahme darstellen und den Wesensgehalt der Grundrechte und Grundfreiheiten achten. |
|
(13) |
In diesem Rahmen ist die Agentur gehalten, die Grundrechte der betroffenen Personen in den vorgenannten Verfahren im größtmöglichen Umfang zu achten, insbesondere deren Rechte auf Unterrichtung, Auskunft und Berichtigung, Löschung, Einschränkung der Verarbeitung, Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Personen sowie Vertraulichkeit der Kommunikation, so wie diese in der Verordnung (EU) 2018/1725 verankert sind. |
|
(14) |
Die Agentur kann jedoch verpflichtet sein, die Unterrichtung der betroffenen Person und andere Rechte der betroffenen Person zu beschränken, um insbesondere ihre eigenen Untersuchungen, die Untersuchungen und Verfahren anderer Behörden sowie die Rechte und Freiheiten anderer Personen im Zusammenhang mit ihren Untersuchungen oder anderen Verfahren zu schützen. |
|
(15) |
Die Agentur kann somit die Unterrichtung beschränken, um die Untersuchung sowie die Grundrechte und Grundfreiheiten anderer betroffener Personen zu schützen. |
|
(16) |
Die Agentur muss regelmäßig überprüfen, dass die Voraussetzungen, welche die Beschränkung rechtfertigen, erfüllt sind, und die Beschränkung aufheben, soweit diese nicht länger gegeben sind. |
|
(17) |
Der für die Verarbeitung Verantwortliche sollte den Datenschutzbeauftragten zum Zeitpunkt der Zurückstellung und während der Überprüfungen unterrichten — |
HAT FOLGENDEN BESCHLUSS ERLASSEN:
Artikel 1
Gegenstand und Anwendungsbereich
(1) Mit diesem Beschluss werden Vorschriften in Bezug auf die Bedingungen festgelegt, unter denen die Agentur im Rahmen ihrer unter Absatz 2 aufgeführten Verfahren gemäß Artikel 25 der Verordnung (EU) 2018/1725 befugt ist, die Anwendung der in den Artikeln 14 bis 21, 35 und 36 sowie in Artikel 4 der Verordnung verankerten Rechte zu beschränken.
(2) Im Rahmen der Verwaltungstätigkeit der Agentur gilt dieser Beschluss für die personenbezogene Daten betreffenden Verarbeitungsvorgänge, die den folgenden Zwecken dienen: Verwaltungsuntersuchungen, Disziplinarverfahren, vorläufige Aktivitäten im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten, Bearbeitung gemeldeter Missstände (Whistleblowing), formelle und informelle Verfahren wegen Mobbings, Bearbeitung interner und externer Beschwerden, interne Audits, Prüfungen durch den Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 sowie intern oder mit externer Beteiligung (z. B. durch das CERT-EU) durchgeführte (IT-)Sicherheitsüberprüfungen.
(3) Im Rahmen der operativen Tätigkeiten der Agentur findet dieser Beschluss Anwendung auf die Verarbeitungsvorgänge, die personenbezogene Daten betreffen und der Erfüllung ihres Mandats dienen, insbesondere auf den Empfang von Inspektionsberichten gemäß Artikel 123 der Durchführungsverordnung (EU) Nr. 404/2011, den Artikeln 18, 19 und 20 der Verordnung (EU) Nr. 1236/2010 und den Artikeln 30, 33 und 34 der Verordnung (EU) 2019/833 wie auch auf den Empfang von Mitgliedstaaten eingehender Informationen und Daten im Zusammenhang mit für die Europäische Kommission erstellten Analysen zur Vorbereitung und Durchführung von Vor-Ort-Audits in Drittländern gemäß Artikel 20 Absatz 4 Buchstaben c der Verordnung (EG) Nr. 1005/2008, so wie dies im Beschluss 2009/988/EU vorgesehen ist.
(4) Die entsprechenden Kategorien personenbezogener Daten umfassen harte Daten („objektive“ Daten wie Identifikationsdaten, Kontaktdaten, berufsbezogene Daten, Verwaltungsdaten, Daten aus bestimmten Quellen, elektronische Kommunikations- und Verkehrsdaten) und/oder weiche Daten („subjektive“ fallbezogene Daten wie Begründungen, verhaltensbezogene Daten, Beurteilungen, Leistungs- und Verhaltensdaten sowie Daten, die sich auf den Gegenstand des Verfahrens oder der Tätigkeit beziehen oder im Zusammenhang damit vorgebracht werden).
(5) Bei der Wahrnehmung ihrer Aufgaben in Bezug auf die Rechte betroffener Personen gemäß der Verordnung (EU) 2018/1725 prüft die Agentur, ob eine der in der Verordnung vorgesehenen Ausnahmen gegeben ist.
(6) Vorbehaltlich der in diesem Beschluss aufgeführten Bedingungen können die folgenden Rechte beschränkt werden: die Rechte auf Unterrichtung der betroffenen Personen, Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Personen sowie Vertraulichkeit der Kommunikation.
Artikel 2
Angabe des für die Verarbeitung Verantwortlichen und Garantien
(1) Zur Verhinderung von Missbrauch, unrechtmäßigem Zugang oder unrechtmäßiger Übermittlung gibt die Agentur die folgenden Garantien:
|
a) |
Dokumente in Papierform werden in gesicherten Schränken aufbewahrt und ausschließlich befugtem Personal zugänglich gemacht. |
|
b) |
Alle elektronischen Daten werden in einer sicheren IT-Anwendung gemäß den Sicherheitsstandards der Agentur sowie in speziellen elektronischen Ordnern gespeichert, die ausschließlich befugtem Personal zugänglich sind. Angemessene Zugangsrechte werden auf individueller Basis erteilt. |
|
c) |
Die IT-Systeme und dazugehörigen Datenbanken müssen vorsehen, dass die Benutzeridentität anhand eines Systems mit einmaliger Anmeldung und automatischer Verbindung mit Benutzerkennung und Passwort (Single Sign-on-System) überprüft wird. Endnutzerkonten sind einmalig einer bestimmten Person zugewiesen und nicht übertragbar; die gemeinsame Nutzung von Nutzerkonten ist streng untersagt. Elektronische Aufzeichnungen werden sicher aufbewahrt, um die Vertraulichkeit und den Schutz der darin enthaltenen Daten zu garantieren. |
|
d) |
Alle Personen, die Zugang zu den Daten haben, sind zur Geheimhaltung verpflichtet. |
(2) Der für die Verarbeitung Verantwortliche ist die Agentur, vertreten durch ihren Direktor, der die Funktion des für die Verarbeitung Verantwortlichen übertragen kann. Der stellvertretende für die Verarbeitung Verantwortliche wird den betroffenen Personen in den Datenschutzhinweisen, Datenschutzerklärungen oder Verzeichnissen mitgeteilt, die auf der Website und/oder im Intranet der Agentur veröffentlicht werden.
(3) Die Aufbewahrungsfrist für die in Artikel 1 Absatz 3 genannten personenbezogenen Daten ist nicht länger als für die Datenverarbeitungszwecke notwendig und verhältnismäßig. Sie darf keinesfalls länger sein als die Aufbewahrungsfrist, die in den Datenschutzhinweisen, Datenschutzerklärungen oder Verzeichnissen angegeben ist, auf die in Artikel 5 Absatz 1 Bezug genommen wird.
(4) Wenn die Agentur eine Beschränkung in Erwägung zieht, sind die Risiken für die Rechte und Freiheiten der betroffenen Person abzuwägen, insbesondere gegenüber dem Risiko für die Rechte und Freiheiten anderer betroffener Personen sowie dem Risiko, dass die Wirksamkeit der von der Agentur durchgeführten Untersuchungen oder Verfahren, z. B. durch Vernichtung von Beweismaterial, zunichte gemacht wird. Die Risiken für die Rechte und Freiheiten der betroffenen Person betreffen insbesondere, jedoch nicht ausschließlich Reputationsrisiken sowie Risiken für das Verteidigungsrecht und den Anspruch auf rechtliches Gehör.
Artikel 3
Beschränkungen
(1) Die Vornahme von Beschränkungen ist der Agentur nur gestattet, wenn einer oder mehrere der in Artikel 25 Absatz 1 Buchstaben a bis i der Verordnung (EU) 2018/1725 aufgeführten Gründe gegeben sind.
In die auf der Website und/oder im Intranet der Agentur veröffentlichten Datenschutzhinweise, Datenschutzerklärungen oder Verzeichnisse im Sinne von Artikel 31 der Verordnung (EU) 2018/1725, in denen betroffene Personen über ihre Rechte im Rahmen eines gegebenen Verfahrens informiert werden, nimmt die Agentur Informationen über die mögliche Beschränkung dieser Rechte auf. Die Unterrichtung bezieht sich darauf, welche Rechte beschränkt werden können, die Gründe dafür und die mögliche Dauer.
(2) Im konkreten Fall kann die Agentur unter den folgenden Voraussetzungen zu den in Absatz 1 genannten Zwecken Beschränkungen vornehmen:
|
a) |
wenn befugte Dienststellen der Kommission oder andere Organe, Einrichtungen und sonstige Stellen der Union auf der Grundlage anderer in Artikel 25 der Verordnung (EU) 2018/1725 vorgesehener Rechtsakte oder gemäß Kapitel IX der genannten Verordnung oder gemäß den Gründungsakten anderer Organe, Einrichtungen und sonstiger Stellen der Union die Ausübung dieser Rechte und Pflichten beschränkt haben, sofern der Zweck einer solchen Beschränkung gefährdet wäre, falls die Agentur hinsichtlich der betreffenden personenbezogenen Daten keine entsprechende Beschränkung vornähme; |
|
b) |
wenn die Ausübung dieser Rechte und Pflichten von befugten Behörden der Mitgliedstaaten aufgrund der in Artikel 23 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (8) genannten Rechtsakte oder im Rahmen nationaler Maßnahmen zur Umsetzung von Artikel 13 Absatz 3, Artikel 15 Absatz 3 oder Artikel 16 Absatz 3 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates (9) beschränkt wurde; |
|
c) |
wenn die Ausübung dieser Rechte und Pflichten bei der Wahrnehmung ihrer Aufgaben die Zusammenarbeit der Agentur mit Drittländern oder internationalen Organisationen gefährden könnte, sofern es klare Beweise dafür gibt, dass die Zusammenarbeit wahrscheinlich gefährdet wäre. |
Bevor unter den in Buchstaben a und b des ersten Unterabsatzes genannten Voraussetzungen Beschränkungen vorgenommen werden, muss die Agentur die zuständigen Dienststellen der Kommission, die Einrichtungen, Organe und sonstigen Stellen der Union oder die zuständigen Behörden der Mitgliedstaaten konsultieren, es sei denn, für die Agentur ist klar, dass die Vornahme der Beschränkung in einem der unter diesen beiden Buchstaben genannten Rechtsakte vorgesehen ist.
(3) Jede Beschränkung muss im Hinblick auf die Risiken für die Rechte und Freiheiten der betroffenen Personen notwendig und verhältnismäßig sein und den Wesensgehalt der Grundrechte und Grundfreiheiten in einer demokratischen Gesellschaft achten.
(4) Wird eine Beschränkung in Erwägung gezogen, so ist deren Notwendigkeit und Verhältnismäßigkeit auf Grundlage der vorliegenden Vorschriften zu prüfen. Zu Rechenschaftszwecken ist dies im Einzelfall in einem internen Bewertungsvermerk zu dokumentieren.
Der Vermerk sowie gegebenenfalls die Unterlagen, die die tatsächlichen und rechtlichen Grundlagen enthalten, werden in einem Register verzeichnet. Sie werden dem Europäischen Datenschutzbeauftragten auf Verlangen zur Verfügung gestellt.
Die Agentur überprüft die vorgenommene Beschränkung alle sechs Monate sowie bei Abschluss der Prüfung, des Verfahrens bzw. der Untersuchung. Im Rahmen dieser regelmäßigen Überprüfung ist die Notwendigkeit und Verhältnismäßigkeit zu prüfen, um festzustellen, ob die tatsächlichen und rechtlichen Voraussetzungen für die Beschränkung noch gegeben sind.
(5) Sobald die die Beschränkungen rechtfertigenden Umstände nicht mehr vorliegen, werden die Beschränkungen aufgehoben. Insbesondere, wenn nicht mehr anzunehmen ist, dass die Ausübung des beschränkten Rechts die Wirkung der verhängten Beschränkung zunichtemachen oder die Rechte oder Freiheiten anderer betroffener Personen beeinträchtigen würde.
Artikel 4
Überprüfung durch den Datenschutzbeauftragten
(1) Die Agentur unterrichtet den Datenschutzbeauftragten der Agentur (im Folgenden: DSB) unverzüglich, wenn der für die Verarbeitung Verantwortliche Rechte betroffener Personen gemäß diesem Beschluss beschränkt oder Beschränkungen verlängert. Der für die Verarbeitung Verantwortliche gewährt dem DSB Zugang zu dem Verzeichnis, das die Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung enthält, und dokumentiert das Datum, an dem der DSB informiert wurde, im Verzeichnis.
(2) Der Datenschutzbeauftragte kann den für die Verarbeitung Verantwortlichen schriftlich zur Überprüfung der vorgenommenen Beschränkungen auffordern. Der für die Verarbeitung Verantwortliche unterrichtet den Datenschutzbeauftragten schriftlich über das Ergebnis der angeforderten Überprüfung.
(3) Der für die Verarbeitung Verantwortliche unterrichtet den Datenschutzbeauftragten über die Aufhebung jeder vorgenommenen Beschränkung der Rechte betroffener Personen.
Artikel 5
Unterrichtung der betroffenen Person
(1) In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der für die Verarbeitung Verantwortliche das Recht auf Unterrichtung im Rahmen der folgenden Verarbeitungsvorgänge, soweit dies notwendig und verhältnismäßig ist, beschränken:
|
a) |
Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, f, g und h der Verordnung (EU) 2018/1725 möglich; |
|
b) |
vorläufige Aktivitäten im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, d, f und h der Verordnung (EU) 2018/1725 möglich; |
|
c) |
Verfahren wegen gemeldeter Missstände (Whistleblowing). Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, d, f und h der Verordnung (EU) 2018/1725 möglich; |
|
d) |
formelle und informelle Verfahren wegen Mobbings. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, d, f und h der Verordnung (EU) 2018/1725 möglich; |
|
e) |
Bearbeitung interner und externer Beschwerden. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, f, g und h der Verordnung (EU) 2018/1725 möglich; |
|
f) |
interne Audits. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, f, g und h der Verordnung (EU) 2018/1725 möglich; |
|
g) |
vom Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 durchgeführte Untersuchungen. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung (EU) 2018/1725 möglich; |
|
h) |
intern oder mit externer Beteiligung (z. B. durch das CERT-EU) vorgenommene (IT-)Sicherheitsüberprüfungen. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, g und h der Verordnung (EU) 2018/1725 möglich; |
|
i) |
Informationsaustausch im Rahmen der operativen Tätigkeiten der Agentur zur Erfüllung ihres Mandats, insbesondere der Empfang von Inspektionsberichten gemäß Artikel 123 der Durchführungsverordnung (EU) Nr. 404/2011, den Artikeln 18, 19 und 20 der Verordnung (EU) Nr. 1236/2010 und den Artikeln 30, 33 und 34 der Verordnung (EU) 2019/833 wie auch der Empfang von Mitgliedstaaten eingehender Informationen und Daten im Zusammenhang mit für die Europäische Kommission erstellten Analysen zur Vorbereitung und Durchführung von Vor-Ort-Audits in Drittländern gemäß Artikel 20 Absatz 4 Buchstaben c der Verordnung (EG) Nr. 1005/2008. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, g und h der Verordnung (EU) 2018/1725 möglich. |
(2) Unbeschadet der Bestimmungen in Absatz 3 muss die Agentur, sofern dies verhältnismäßig ist, alle betroffenen Personen, die als von den spezifischen Verarbeitungsvorgängen betroffene Personen gelten, unverzüglich auch einzeln schriftlich über deren Rechte bezüglich gegenwärtiger oder künftiger Beschränkungen unterrichten.
(3) Wenn die Agentur die in Absatz 2 vorgesehene Unterrichtung der betroffenen Personen ganz oder zum Teil beschränkt, sind die Gründe für die Beschränkung und die Rechtsgrundlage gemäß Artikel 3 dieses Beschlusses einschließlich der Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung in einem Vermerk festzuhalten.
(4) Die in Absatz 3 genannte Beschränkung gilt, solange die Gründe dafür weiterhin vorliegen.
Wenn die Gründe für die Beschränkung nicht mehr vorliegen, unterrichtet die Agentur die betroffene Person über die Hauptgründe für die Beschränkung Gleichzeitig informiert die Agentur die betroffene Person über das Recht, jederzeit Beschwerde beim Europäischen Datenschutzbeauftragten oder einen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen.
Artikel 6
Recht der betroffenen Person auf Auskunft
(1) In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der für die Verarbeitung Verantwortliche das Recht auf Auskunft im Rahmen der folgenden Verarbeitungsvorgänge, soweit dies notwendig und verhältnismäßig ist, beschränken:
|
a) |
Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, f, g und h der Verordnung (EU) 2018/1725 möglich; |
|
b) |
vorläufige Aktivitäten im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, d, f und h der Verordnung (EU) 2018/1725 möglich; |
|
c) |
Verfahren wegen gemeldeter Missstände (Whistleblowing). Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, d, f und h der Verordnung (EU) 2018/1725 möglich; |
|
d) |
formelle und informelle Verfahren wegen Mobbings. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, d, f und h der Verordnung (EU) 2018/1725 möglich; |
|
e) |
Bearbeitung interner und externer Beschwerden. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, f, g und h der Verordnung (EU) 2018/1725 möglich; |
|
f) |
interne Audits. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, f, g und h der Verordnung (EU) 2018/1725 möglich; |
|
g) |
vom Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 durchgeführte Untersuchungen. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung (EU) 2018/1725 möglich; |
|
h) |
intern oder mit externer Beteiligung (z. B. durch das CERT-EU) vorgenommene (IT-)Sicherheitsüberprüfungen. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, g und h der Verordnung (EU) 2018/1725 möglich; |
|
i) |
Informationsaustausch im Rahmen der operativen Tätigkeiten der Agentur zur Erfüllung ihres Mandats, insbesondere der Empfang von Inspektionsberichten gemäß Artikel 123 der Durchführungsverordnung (EU) Nr. 404/2011, den Artikeln 18, 19 und 20 der Verordnung (EU) Nr. 1236/2010 und den Artikeln 30, 33 und 34 der Verordnung (EU) 2019/833 wie auch der Empfang von Mitgliedstaaten eingehender Informationen und Daten im Zusammenhang mit für die Europäische Kommission erstellten Analysen zur Vorbereitung und Durchführung von Vor-Ort-Audits in Drittländern gemäß Artikel 20 Absatz 4 Buchstaben c der Verordnung (EG) Nr. 1005/2008. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, g und h der Verordnung (EU) 2018/1725 möglich. |
Verlangen von der Datenverarbeitung betroffene Personen gemäß Artikel 17 der Verordnung (EU) 2018/1725 Auskunft über ihre personenbezogenen Daten, die im Zusammenhang mit einem oder mehreren spezifischen Fällen verarbeitet wurden, oder über einen spezifischen Datenverarbeitungsvorgang, beschränkt die Agentur ihre Antragsprüfung auf diese personenbezogenen Daten.
(2) Beschränkt die Agentur das in Artikel 17 der Verordnung (EU) 2018/1725 vorgesehene Auskunftsrecht ganz oder zum Teil, ergreift sie die folgenden Maßnahmen:
|
a) |
In ihrer Antwort auf den Antrag unterrichtet sie die betroffene Person über die vorgenommene Beschränkung und die Hauptgründe dafür sowie über die Möglichkeit, Beschwerde beim Europäischen Datenschutzbeauftragten oder einen gerichtlichen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen. |
|
b) |
In einem internen Bewertungsvermerk notiert sie die Gründe für die Beschränkung, einschließlich einer Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung und ihrer Dauer. |
Die in Buchstabe a vorgesehene Unterrichtung kann zurückgestellt, unterlassen oder abgelehnt werden, wenn sie die Wirkung der gemäß Artikel 25 Absatz 8 der Verordnung (EU) 2018/1725 vorgenommenen Beschränkung zunichtemachen würde.
Artikel 7
Recht auf Berichtigung, Löschung und Einschränkung der Verarbeitung
(1) In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der für die Verarbeitung Verantwortliche das Recht auf Berichtigung, Löschung und Einschränkung der Verarbeitung im Rahmen der folgenden Verarbeitungsvorgänge, soweit dies notwendig und verhältnismäßig ist, beschränken:
|
a) |
Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, f, g und h der Verordnung (EU) 2018/1725 möglich; |
|
b) |
vorläufige Aktivitäten im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, d, f und h der Verordnung (EU) 2018/1725 möglich; |
|
c) |
Verfahren wegen gemeldeter Missstände (Whistleblowing). Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, d, f und h der Verordnung (EU) 2018/1725 möglich; |
|
d) |
formelle und informelle Verfahren wegen Mobbings. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, d, f und h der Verordnung (EU) 2018/1725 möglich; |
|
e) |
Bearbeitung interner und externer Beschwerden. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, f, g und h der Verordnung (EU) 2018/1725 möglich; |
|
f) |
interne Audits. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, f, g und h der Verordnung (EU) 2018/1725 möglich; |
|
g) |
vom Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 durchgeführte Untersuchungen. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung (EU) 2018/1725 möglich; |
|
h) |
intern oder mit externer Beteiligung (z. B. durch das CERT-EU) vorgenommene (IT-)Sicherheitsüberprüfungen. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, g und h der Verordnung (EU) 2018/1725 möglich; |
|
i) |
Informationsaustausch im Rahmen der operativen Tätigkeiten der Agentur zur Erfüllung ihres Mandats, insbesondere der Empfang von Inspektionsberichten gemäß Artikel 123 der Durchführungsverordnung (EU) Nr. 404/2011, den Artikeln 18, 19 und 20 der Verordnung (EU) Nr. 1236/2010 und den Artikeln 30, 33 und 34 der Verordnung (EU) 2019/833 wie auch der Empfang von Mitgliedstaaten eingehender Informationen und Daten im Zusammenhang mit für die Europäische Kommission erstellten Analysen zur Vorbereitung und Durchführung von Vor-Ort-Audits in Drittländern gemäß Artikel 20 Absatz 4 Buchstaben c der Verordnung (EG) Nr. 1005/2008. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, g und h der Verordnung (EU) 2018/1725 möglich. |
(2) Beschränkt die Agentur das in den Artikeln 18, 19 Absatz 1 und 20 Absatz 1 der Verordnung (EU) 2018/1725 vorgesehene Recht auf Berichtigung, Löschung und Einschränkung der Verarbeitung ganz oder zum Teil, muss sie die in Artikel 6 Absatz 2 dieses Beschlusses genannten Maßnahmen ergreifen und den Vermerk gemäß Artikel 6 Absatz 3 registrieren.
Artikel 8
Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person und Vertraulichkeit der elektronischen Kommunikation
(1) In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der für die Verarbeitung Verantwortliche das Recht auf Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person im Rahmen der folgenden Verarbeitungsvorgänge, soweit dies notwendig und verhältnismäßig ist, beschränken:
|
a) |
Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, f, g und h der Verordnung (EU) 2018/1725 möglich; |
|
b) |
vorläufige Aktivitäten im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, d, f und h der Verordnung (EU) 2018/1725 möglich; |
|
c) |
Verfahren wegen gemeldeter Missstände (Whistleblowing). Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, d, f und h der Verordnung (EU) 2018/1725 möglich; |
|
d) |
formelle und informelle Verfahren wegen Mobbings. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, d, f und h der Verordnung (EU) 2018/1725 möglich; |
|
e) |
Bearbeitung interner und externer Beschwerden. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, f, g und h der Verordnung (EU) 2018/1725 möglich; |
|
f) |
interne Audits. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, f, g und h der Verordnung (EU) 2018/1725 möglich; |
|
g) |
vom Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 durchgeführte Untersuchungen. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung (EU) 2018/1725 möglich; |
|
h) |
intern oder mit externer Beteiligung (z. B. durch das CERT-EU) vorgenommene (IT-)Sicherheitsüberprüfungen. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, g und h der Verordnung (EU) 2018/1725 möglich; |
|
i) |
Informationsaustausch im Rahmen der operativen Tätigkeiten der Agentur zur Erfüllung ihres Mandats, insbesondere der Empfang von Inspektionsberichten gemäß Artikel 123 der Durchführungsverordnung (EU) Nr. 404/2011, den Artikeln 18, 19 und 20 der Verordnung (EU) Nr. 1236/2010 und den Artikeln 30, 33 und 34 der Verordnung (EU) 2019/833 wie auch der Empfang von Mitgliedstaaten eingehender Informationen und Daten im Zusammenhang mit für die Europäische Kommission erstellten Analysen zur Vorbereitung und Durchführung von Vor-Ort-Audits in Drittländern gemäß Artikel 20 Absatz 4 Buchstaben c der Verordnung (EG) Nr. 1005/2008. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, g und h der Verordnung (EU) 2018/1725 möglich. |
(2) In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der für die Verarbeitung Verantwortliche das Recht auf Vertraulichkeit der elektronischen Kommunikation im Rahmen der folgenden Verarbeitungsvorgänge, soweit dies notwendig und verhältnismäßig ist, beschränken:
|
a) |
Verwaltungsuntersuchungen und Disziplinarverfahren. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, f, g und h der Verordnung (EU) 2018/1725 möglich; |
|
b) |
vorläufige Aktivitäten im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, d, f und h der Verordnung (EU) 2018/1725 möglich; |
|
c) |
Verfahren wegen gemeldeter Missstände (Whistleblowing). Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, d, f und h der Verordnung (EU) 2018/1725 möglich; |
|
d) |
formelle und informelle Verfahren in Mobbingfällen; Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, d, f und h der Verordnung (EU) 2018/1725 möglich; |
|
e) |
Bearbeitung interner und externer Beschwerden. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, f, g und h der Verordnung (EU) 2018/1725 möglich; |
|
f) |
intern oder mit externer Beteiligung (z. B. durch das CERT-EU) vorgenommene (IT-)Sicherheitsüberprüfungen. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, g und h der Verordnung (EU) 2018/1725 möglich; |
|
g) |
Informationsaustausch im Rahmen der operativen Tätigkeiten der Agentur zur Erfüllung ihres Mandats, insbesondere der Empfang von Inspektionsberichten gemäß Artikel 123 der Durchführungsverordnung (EU) Nr. 404/2011 wie auch der Empfang von Mitgliedstaaten eingehender Informationen und Daten im Zusammenhang mit für die Europäische Kommission erstellten Analysen zur Vorbereitung und Durchführung von Vor-Ort-Audits in Drittländern gemäß Artikel 20 Absatz 4 Buchstaben c und d der Verordnung (EG) Nr. 1005/2008. Beschränkungen sind nach Maßgabe von Artikel 25 Absatz 1 Buchstaben b, c, d, g und h der Verordnung (EU) 2018/1725 möglich. |
(3) Beschränkt die Agentur das in den Artikeln 35 und 36 der Verordnung (EU) 2018/1725 vorgesehene Recht auf Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Personen oder die Vertraulichkeit der elektronischen Kommunikation, muss sie die Gründe dafür gemäß Artikel 5 Absatz 3 dieses Beschlusses in einem Vermerk festhalten und registrieren. Es gilt Artikel 5 Absatz 4 dieses Beschlusses.
Artikel 9
Inkrafttreten
Dieser Beschluss tritt am zwanzigsten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Geschehen zu Vigo am 22. April 2020.
Vorsitzender des Verwaltungsrats
Reinhard PRIEBE
(1) ABl. L 295 vom 21.11.2018, S. 39.
(2) ABl. L 83 vom 25.3.2019, S. 18.
(3) Durchführungsverordnung (EU) Nr. 404/2011 der Kommission vom 8. April 2011 mit Durchführungsbestimmungen zu der Verordnung (EG) Nr. 1224/2009 des Rates zur Einführung einer gemeinschaftlichen Kontrollregelung zur Sicherstellung der Einhaltung der Vorschriften der Gemeinsamen Fischereipolitik (ABl. L 112 vom 30.4.2011, S. 1).
(4) Verordnung (EU) Nr. 1236/2010 des Europäischen Parlaments und des Rates vom 15. Dezember 2010 zu einer Kontroll- und Durchsetzungsregelung, die auf dem Gebiet des Übereinkommens über die künftige multilaterale Zusammenarbeit auf dem Gebiet der Fischerei im Nordostatlantik anwendbar ist, und zur Aufhebung der Verordnung (EG) Nr. 2791/1999 des Rates (ABl. L 348 vom 31.12.2010, S. 17).
(5) Verordnung (EU) 2019/833 des Europäischen Parlaments und des Rates vom 20. Mai 2019 mit Bestandserhaltungs- und Kontrollmaßnahmen für den Regelungsbereich der Organisation für die Fischerei im Nordwestatlantik, zur Änderung der Verordnung (EU) 2016/1627 und zur Aufhebung der Verordnungen (EG) Nr. 2115/2005 und (EG) Nr. 1386/2007 des Rates (ABl. L 141 vom 28.5.2019, S. 1).
(6) Verordnung (EG) Nr. 1005/2008 des Rates vom 29. September 2008 über ein Gemeinschaftssystem zur Verhinderung, Bekämpfung und Unterbindung der illegalen, nicht gemeldeten und unregulierten Fischerei, zur Änderung der Verordnungen (EWG) Nr. 2847/93, (EG) Nr. 1936/2001 und (EG) Nr. 601/2004 und zur Aufhebung der Verordnungen (EG) Nr. 1093/94 und (EG) Nr. 1447/1999 (ABl. L 286 vom 29.10.2008, S. 1).
(7) Beschluss 2009/988/EU der Kommission vom 18. Dezember 2009 über die Benennung der Europäischen Fischereiaufsichtsagentur als zuständige Stelle für die Wahrnehmung bestimmter Aufgaben gemäß der Verordnung (EG) Nr. 1005/2008 des Rates (ABl. L 338 vom 19.12.2009, S. 104).
(8) Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1).
(9) Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates (ABl. L 119 vom 4.5.2016, S. 89).