(1)   Mit diesem Beschluss werden Vorschriften in Bezug auf die Bedingungen festgelegt, unter denen Eurojust die Anwendung der Artikel 4, 14 bis 22, 35 und 36 gemäß Artikel 25 der Verordnung beschränken darf.

(2)   Vorbehaltlich der in diesem Beschluss festgelegten Bedingungen können folgende Rechte beschränkt werden: die Rechte der betroffenen Personen auf Unterrichtung, auf Auskunft über personenbezogene Daten, auf Berichtigung, auf Löschung, auf Einschränkung der Verarbeitung, auf Benachrichtigung über Verletzungen des Schutzes ihrer personenbezogenen Daten sowie auf Vertraulichkeit der elektronischen Kommunikation.

(3)   Dieser Beschluss gilt für die Verarbeitung personenbezogener Daten durch Eurojust, soweit Eurojust personenbezogene Daten im Zusammenhang mit Verwaltungsuntersuchungen, Vordisziplinar-, Disziplinar- und Dienstenthebungsverfahren, vorläufigen Maßnahmen wegen dem OLAF gemeldeter Fälle möglicher Unregelmäßigkeiten, der Bearbeitung gemeldeter Missstände (Whistleblowing), (formellen und informellen) Verfahren wegen Mobbings/Belästigung, der Bearbeitung interner und externer Beschwerden, der Durchführung interner Audits, Untersuchungen durch den Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 sowie intern oder mit externer Beteiligung (z. B. durch das CERT-EU) durchgeführten (IT-)Sicherheitsuntersuchungen und für deren Zwecke verarbeitet.

(4)   Die Kategorien personenbezogener Daten, die unter diesen Beschluss fallen, umfassen Identifizierungs-, Kontakt-, Verhaltens- und Finanzdaten.

(5)   Eurojust wird in ihrer Eigenschaft als Verantwortlicher vom Verwaltungsdirektor vertreten.

(1)   Eurojust kann die Anwendung der Artikel 14 bis 22, 35 und 36 sowie des Artikels 4, insofern dessen Bestimmungen den in den Artikeln 14 bis 20 vorgesehenen Rechten und Pflichten entsprechen, wie folgt beschränken:

(2)   Jede Beschränkung muss den Wesensgehalt der Grundrechte und Grundfreiheiten achten und eine in einer demokratischen Gesellschaft notwendige und verhältnismäßige Maßnahme darstellen.

(3)   Bevor Beschränkungen vorgenommen werden, ist deren Notwendigkeit und Verhältnismäßigkeit im Einzelfall zu prüfen. Beschränkungen sind auf das zur Erreichung ihres Zwecks unbedingt erforderliche Maß zu begrenzen.

(4)   Zu Rechenschaftszwecken erstellt Eurojust Aufzeichnungen über die Gründe für die vorgenommenen Beschränkungen, die angewandten Rechtsgrundlagen gemäß Absatz 1 sowie das Ergebnis der Notwendigkeits- und Verhältnismäßigkeitsprüfung. Diese Aufzeichnungen sind Teil eines Registers, das dem EDSB auf Anfrage zur Verfügung gestellt wird. Eurojust erstellt regelmäßig Berichte über die Anwendung von Artikel 25 der Verordnung.

(5)   Bei der Verarbeitung personenbezogener Daten, die Eurojust im Rahmen ihrer Aufgaben von anderen Organisationen erhält, konsultiert Eurojust diese Organisationen über mögliche Gründe für die Vornahme von Beschränkungen sowie die Notwendigkeit und Verhältnismäßigkeit der betreffenden Beschränkungen, es sei denn, dies würde die Tätigkeiten von Eurojust gefährden.

(1)   Die Bewertungen der sich aus der Vornahme von Beschränkungen ergebenden Risiken für die Rechte und Freiheiten der betroffenen Personen sowie die Angaben zur Geltungsdauer dieser Beschränkungen sind im Verzeichnis der Verarbeitungstätigkeiten einzutragen, das von Eurojust gemäß Artikel 31 der Verordnung geführt wird. Außerdem sind sie in den einschlägigen Datenschutz-Folgenabschätzungen gemäß Artikel 39 der Verordnung zu vermerken.

(2)   Bei jeder Prüfung der Notwendigkeit und Verhältnismäßigkeit einer Beschränkung berücksichtigt Eurojust die möglichen Risiken für die Rechte und Freiheiten der betroffenen Person. Zieht Eurojust die Vornahme einer Beschränkung in Betracht, so sind die Risiken für die Rechte und Freiheiten der betroffenen Person gegenüber insbesondere dem Risiko für die Rechte und Freiheiten anderer betroffener Personen sowie dem Risiko, dass die Wirkung der von Eurojust durchgeführten Untersuchungen oder Verfahren, z. B. durch Vernichtung von Beweismaterial, zunichtegemacht wird, abzuwägen. Die Risiken für die Rechte und Freiheiten der betroffenen Person betreffen in erster Linie, jedoch nicht ausschließlich, Risiken im Zusammenhang mit der Reputation, dem Verteidigungsrecht und dem Anspruch auf rechtliches Gehör.

(1)   Eurojust implementiert Schutzvorkehrungen, die verhindern, dass personenbezogene Daten, die Beschränkungen unterliegen oder unterliegenden könnten, Missbrauch, unrechtmäßigem Zugriff oder unrechtmäßiger Übermittlung ausgesetzt sind. Diese Schutzvorkehrungen umfassen technische und organisatorische Maßnahmen und werden erforderlichenfalls in den internen Beschlüssen, Verfahren und Durchführungsbestimmungen von Eurojust im Einzelnen angegeben. Die Schutzvorkehrungen müssen Folgendes umfassen und sicherstellen:

Die in Buchstabe d genannten Überprüfungen sind mindestens alle sechs Monate durchzuführen.

(2)   Beschränkungen sind aufzuheben, sobald die Umstände, die sie rechtfertigen, nicht mehr gegeben sind.

(3)   Die Aufbewahrungsfrist für die in Artikel 1 Absatz 4 genannten personenbezogenen Daten darf nicht länger sein, als es für die Zwecke der Datenverarbeitung notwendig und verhältnismäßig ist. Die personenbezogenen Daten werden gemäß den in Artikel 18 und im Anhang zu den Verfahrensregeln für die Verarbeitung und den Schutz personenbezogener Daten bei Eurojust (3) festgelegten einschlägigen Datenspeicherungsregeln gespeichert, die in den gemäß Artikel 31 der Verordnung geführten Datenschutzaufzeichnungen zu definieren sind. Nach Ablauf der Aufbewahrungsfrist werden die personenbezogenen Daten gemäß Artikel 13 der Verordnung gelöscht, anonymisiert oder in Archive übertragen.

(1)   Jede Beschränkung der Rechte betroffener Personen, die gemäß diesem Beschluss vorgenommen wird, ist unverzüglich dem/der Datenschutzbeauftragten von Eurojust mitzuteilen. Der/die Datenschutzbeauftragte erhält vollen und uneingeschränkten Zugang zu allen Aufzeichnungen und Dokumenten, die den zugrunde liegenden sachlichen oder rechtlichen Zusammenhang betreffen.

(2)   Der/die Datenschutzbeauftragte von Eurojust kann die Überprüfung einer vorgenommenen Beschränkung verlangen. Eurojust informiert ihre(n) Datenschutzbeauftragte(n) schriftlich über das Ergebnis der Überprüfung.

(3)   Eurojust dokumentiert die Mitwirkung des/der Datenschutzbeauftragten bei der Vornahme von Beschränkungen sowie die dem/der Datenschutzbeauftragten mitgeteilten Informationen.

(1)   In die Datenschutzhinweise, die Eurojust auf ihrer Website/im Intranet veröffentlicht, nimmt Eurojust allgemeine Informationen auf, die die betroffenen Personen über die Möglichkeit einer Beschränkung ihrer Rechte gemäß Artikel 2 Absatz 1 unterrichten. Darin ist darüber zu informieren, welche Rechte beschränkt werden können, aus welchen Gründen die Beschränkungen vorgenommen werden können und für welche Dauer sie gelten können.

(2)   Betroffene Personen sind von Eurojust einzeln, schriftlich und unverzüglich über die gegenwärtigen oder künftigen Beschränkungen ihrer Rechte zu unterrichten. Eurojust unterrichtet die betroffenen Personen über die wesentlichen Gründe für die Beschränkung, über das Recht betroffener Personen, sich an den/die Datenschutzbeauftragte(n) zu wenden, um gegen die Beschränkung vorzugehen, sowie über ihr Recht, beim Europäischen Datenschutzbeauftragten Beschwerde einzulegen.

(3)   Solange die Unterrichtung über die Gründe für die Beschränkung und das Recht auf Einlegung der Beschwerde beim Europäischen Datenschutzbeauftragten die Wirkung der Beschränkung zunichtemachen würde, kann sie von Eurojust zurückgestellt, unterlassen oder abgelehnt werden. Die Beurteilung, ob dies gerechtfertigt wäre, erfolgt auf Einzelfallbasis. Sobald die Unterrichtung die Wirkung der Beschränkung nicht mehr zunichtemachen würde, ist die betroffene Person von Eurojust zu unterrichten.

(1)   Ist Eurojust gemäß Artikel 35 Absatz 1 der Verordnung zur Benachrichtigung über eine Datenschutzverletzung verpflichtet, ist es Eurojust in Ausnahmefällen möglich, die Benachrichtigung ganz oder zum Teil zu beschränken. Eurojust muss die Gründe für die Beschränkung sowie die Rechtsgrundlage gemäß obigem Artikel 2 sowie die Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung dokumentieren. Der Vermerk ist dem Europäischen Datenschutzbeauftragten zum Zeitpunkt der Meldung der Verletzung des Schutzes personenbezogener Daten mitzuteilen.

(2)   Sind die Gründe für die Beschränkung nicht mehr gegeben, unterrichtet Eurojust die betroffene Person über die Verletzung des Schutzes personenbezogener Daten, wobei die Hauptgründe für die Beschränkung anzugeben und auf das Recht der betroffenen Person, beim Europäischen Datenschutzbeauftragten Beschwerde einzulegen, hinzuweisen ist.

(1)   In Ausnahmefällen ist es Eurojust möglich, das Recht auf Vertraulichkeit der elektronischen Kommunikation im Sinne von Artikel 36 der Verordnung zu beschränken. Derartige Beschränkungen müssen der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates (4) genügen.

(2)   Beschränkt Eurojust das Recht auf Vertraulichkeit der elektronischen Kommunikation, unterrichtet sie die betroffene Person in der Antwort auf deren Anfrage über die wesentlichen Gründe für diese Beschränkung sowie über das Recht der betroffenen Person, beim Europäischen Datenschutzbeauftragten Beschwerde einzulegen.

(3)   Solange die Unterrichtung über die Gründe für die Beschränkung und das Recht auf Einlegung der Beschwerde beim Europäischen Datenschutzbeauftragten die Wirkung der Beschränkung zunichtemachen würde, kann sie von Eurojust zurückgestellt, unterlassen oder abgelehnt werden. Die Beurteilung, ob dies gerechtfertigt wäre, erfolgt auf Einzelfallbasis.