(1)   Mit diesem Beschluss werden Vorschriften in Bezug auf die Bedingungen festgelegt, unter denen das GUBBI im Rahmen seiner unter Absatz 2 aufgeführten Verfahren gemäß Artikel 25 der Verordnung (EU) 2018/1725 befugt ist, die Anwendung der in den Artikeln 14 bis 21, 35 und 36 sowie in Artikel 4 der Verordnung verankerten Rechte zu beschränken.

(2)   Im Rahmen der Verwaltungstätigkeit des GUBBI findet dieser Beschluss Anwendung, soweit das Programmbüro personenbezogene Daten verarbeitet, um Verwaltungsuntersuchungen, Disziplinarverfahren und erste Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten durchzuführen, die Meldung von Missständen (Whistleblowing) zu bearbeiten, (formelle sowie informelle) Verfahren in Bezug auf Mobbing durchzuführen, interne und externe Beschwerden zu bearbeiten, interne Prüfungen durchzuführen, Untersuchungen durch den Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 sowie (IT-)Sicherheitsuntersuchungen intern oder unter externer Mitwirkung (z. B. von CERT-EU) durchzuführen.

(3)   Die entsprechenden Kategorien personenbezogener Daten umfassen harte Daten („objektive“ Daten wie Identifikationsdaten, Kontaktdaten, berufsbezogene Daten, Verwaltungsdaten, Daten aus bestimmten Quellen, elektronische Kommunikations- und Verkehrsdaten) und weiche Daten („subjektive“ fallbezogene Daten wie Begründungen, verhaltensbezogene Daten, Bewertungen, Leistungs- und Verhaltensdaten sowie Daten, die sich auf den Gegenstand des Verfahrens oder der Tätigkeit beziehen oder im Zusammenhang damit vorgebracht werden).

(4)   Wenn das GUBBI seine Pflichten bezüglich Rechten betroffener Personen gemäß der Verordnung (EU) 2018/1725 erfüllt, ist zu berücksichtigen, ob eine der in dieser Verordnung vorgesehenen Ausnahmen Anwendung findet.

(5)   Vorbehaltlich der in diesem Beschluss festgelegten Voraussetzungen können die folgenden Rechte beschränkt werden: die Unterrichtung der betroffenen Personen, das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Personen sowie Vertraulichkeit der Kommunikation.

(1)   Das GUBBI richtet die folgenden Garantien zum Schutz gegen Missbrauch oder unrechtmäßigen Zugang oder unrechtmäßige Übermittlung von personenbezogenen Daten ein: (4)

(2)   Die Aufbewahrungsfrist für die in Artikel 1 Absatz 3 genannten personenbezogenen Daten ist nicht länger als für die Datenverarbeitungszwecke notwendig und angemessen. Sie darf keinesfalls länger sein als die Aufbewahrungsfrist, die in den Datenschutzhinweisen, Datenschutzerklärungen oder Verzeichnissen angegeben ist, auf die in Artikel 6 Bezug genommen wird.

(3)   Wenn das GUBBI die Anwendung einer Beschränkung in Betracht zieht, sind die Risiken für die Rechte und Freiheiten der betroffenen Person abzuwägen, insbesondere gegenüber dem Risiko für die Rechte und Freiheiten anderer betroffener Personen sowie dem Risiko, dass die Wirksamkeit der von dem gemeinsamen Unternehmen durchgeführten Untersuchungen oder Verfahren zunichtegemacht wird, z. B. durch Vernichtung von Beweismaterial. Die Risiken für die Rechte und Freiheiten der betroffenen Personen betreffen in erster Linie (jedoch nicht nur) Reputationsrisiken sowie Risiken für das Recht auf Verteidigung und den Anspruch auf rechtliches Gehör.

(1)   Beschränkungen werden vom GUBBI nur vorgenommen, um Folgendes zu garantieren:

(2)   Im Rahmen der besonderen Anwendung zu den in Absatz 1 genannten Zwecken kann das GUBBI unter folgenden Umständen Beschränkungen anwenden:

Vor der Anwendung von Beschränkungen unter den in Unterabsatz 1 Buchstaben a und b genannten Umständen konsultiert das GUBBI die zuständigen Dienststellen der Kommission, die Einrichtungen, Organe und sonstigen Stellen der Union oder die zuständigen Behörden der Mitgliedstaaten, es sei denn, für das GUBBI ist klar, dass die Anwendung einer Beschränkung in einem der in diesen Buchstaben genannten Rechtsakte vorgesehen ist.

(1)   In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen können die folgenden Rechte durch den Verantwortlichen, sofern dies notwendig und verhältnismäßig ist, im Zusammenhang mit den unter Absatz 2 nachstehend aufgeführten Verarbeitungsvorgängen beschränkt werden:

(2)   Nach Artikel 25 Absatz 2 Buchstabe a der Verordnung (EU) 2018/1725 kann der Verantwortliche in hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen Beschränkungen im Zusammenhang mit den folgenden Verarbeitungsvorgängen anwenden:

Die Beschränkung gilt, solange die Gründe dafür weiterhin vorliegen.

(3)   Wenn das GUBBI die in Absatz 1 vorgesehenen Rechte ganz oder teilweise beschränkt, ergreift es die in den Artikeln 6 und 7 dieses Beschlusses genannten Maßnahmen.

(4)   Wenn betroffene Personen gemäß Artikel 17 der Verordnung (EU) 2018/1725 Auskunft über ihre personenbezogenen Daten, die im Zusammenhang mit einem oder mehreren spezifischen Fällen verarbeitet wurden, oder über einen spezifischen Datenverarbeitungsvorgang verlangen, beschränkt das GUBBI seine Antragsprüfung auf diese personenbezogenen Daten.

(1)   Jede in Artikel 5 dargelegte Beschränkung muss im Hinblick auf die Risiken für die Rechte und Freiheiten der betroffenen Personen notwendig und verhältnismäßig sein und den Wesensgehalt der Grundrechte und Grundfreiheiten in einer demokratischen Gesellschaft achten.

(2)   Wird eine Beschränkung in Betracht gezogen, ist deren Notwendigkeit und Verhältnismäßigkeit auf Grundlage der vorliegenden Vorschriften zu prüfen. Diese Prüfung wird im Rahmen der regelmäßigen Überprüfung durchgeführt, nachdem beurteilt wurde, ob die sachlichen und rechtlichen Gründe für eine Beschränkung weiterhin gegeben sind. Zu Rechenschaftszwecken wird dies von Fall zu Fall mittels einer internen Beurteilungsmitteilung dokumentiert.

(3)   Beschränkungen sind befristet und werden aufgehoben, sobald die Umstände, die sie rechtfertigen, nicht mehr vorliegen. Dies gilt insbesondere, wenn nicht mehr anzunehmen ist, dass die Ausübung des beschränkten Rechts die Wirkung der verhängten Beschränkung zunichtemachen oder die Rechte oder Freiheiten anderer betroffener Personen beeinträchtigen würde.

Die Beschränkung wird von dem GUBBI nach ihrer Anordnung alle sechs Monate sowie bei Abschluss der jeweiligen Ermittlungen, des relevanten Verfahrens oder der relevanten Untersuchungen überprüft. Danach überwacht der Verantwortliche alle sechs Monate, ob die Aufrechterhaltung der Beschränkung weiterhin notwendig ist.

(4)   Wenn das GUBBI die in Absatz 5 dieses Beschlusses dargelegten Beschränkungen gänzlich oder teilweise anwendet, zeichnet es die Gründe für die Beschränkung und die Rechtsgrundlage gemäß Absatz 1 einschließlich einer Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung auf.

Der Vermerk sowie gegebenenfalls die Unterlagen, die die tatsächlichen und rechtlichen Grundlagen enthalten, werden registriert. Sie werden dem Europäischen Datenschutzbeauftragten auf Anfrage zur Verfügung gestellt.

(1)   Das GUBBI nimmt in die auf seiner Website veröffentlichten und/oder im Intranet verbreiteten Datenschutzhinweise, Datenschutzerklärungen oder Verzeichnisse im Sinne von Artikel 31 der Verordnung (EU) 2018/1725, in denen betroffene Personen über ihre Rechte im Rahmen eines gegebenen Verfahrens informiert werden, Informationen über die mögliche Beschränkung dieser Rechte auf. Darin ist darüber zu informieren, welche Rechte aus welchen Gründen und für welche Dauer eingeschränkt werden können.

Unbeschadet der Bestimmungen in Artikel 6 Absatz 4 informiert das GUBBI, sofern dies verhältnismäßig ist, auch alle betroffenen Personen, die als von den spezifischen Verarbeitungsvorgängen betroffene Personen gelten, unverzüglich einzeln schriftlich über ihre Rechte bezüglich gegenwärtiger oder künftiger Beschränkungen.

(2)   Wenn das GUBBI die in Absatz 5 vorgesehenen Rechte ganz oder teilweise beschränkt, informiert es die betroffene Person über die auferlegte Beschränkung und über die Hauptgründe dafür sowie über die Möglichkeit des Einlegens einer Beschwerde beim Europäischen Datenschutzbeauftragten oder eines Rechtsbehelfs beim Gerichtshof der Europäischen Union.

Die Unterrichtung über Informationen im Sinne von Absatz 2 kann zurückgestellt, unterlassen oder abgelehnt werden, wenn sie die Wirkung der gemäß Artikel 25 Absatz 8 der Verordnung (EU) 2018/1725 angewandten Beschränkung zunichtemachen würde.

(1)   Das GUBBI unterrichtet den eigenen Datenschutzbeauftragten („DSB“) unverzüglich, wenn der Verantwortliche gemäß diesem Beschluss die Rechte betroffener Personen beschränkt oder eine solche Beschränkung ausweitet. Der Verantwortliche gewährt dem DSB Zugang zu den Aufzeichnungen, die die Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung enthalten, und dokumentiert das Datum, an dem der DSB unterrichtet wird, in den Aufzeichnungen.

(2)   Der DSB kann den Verantwortlichen schriftlich auffordern, die vorgenommenen Beschränkungen zu überprüfen. Der Verantwortliche informiert den DSB schriftlich über das Ergebnis der erbetenen Überprüfung.

(3)   Der DSB wird über das gesamte Verfahren hindurch einbezogen. Der Verantwortliche informiert den DSB über die Aufhebung der Beschränkung.