BESCHLUSS Nr. 42-2021 DES RECHNUNGSHOFS

vom 20. Mai 2021

über interne Vorschriften zur Beschränkung bestimmter Rechte betroffener Personen in Bezug auf die Verarbeitung personenbezogener Daten im Rahmen von Tätigkeiten des Europäischen Rechnungshofs

DER RECHNUNGSHOF DER EUROPÄISCHEN UNION —

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union („AEUV“),

gestützt auf die Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG (im Folgenden „Verordnung“), insbesondere auf Artikel 25 und Kapitel VI;

gestützt auf die vom Rechnungshof in seiner Sitzung vom 20. Mai 2021 geführten Beratungen;

nach Anhörung des Europäischen Datenschutzbeauftragten, der gemäß Artikel 41 Absatz 2 der Verordnung zu diesem Beschluss konsultiert wurde und seine Stellungnahme am 23. September 2019 abgegeben hat;

in der Erwägung, dass der Europäische Rechnungshof (im Folgenden „Hof“) im Rahmen seiner Tätigkeit verschiedene Kategorien personenbezogener Daten verarbeitet und verpflichtet ist, die in Artikel 8 Absatz 1 der Charta der Grundrechte der Europäischen Union und in Artikel 16 Absatz 1 des Vertrags über die Arbeitsweise der Europäischen Union verankerten Rechte natürlicher Personen in Bezug auf die Verarbeitung personenbezogener Daten zu achten;

in der Erwägung, dass es unter bestimmten Umständen erforderlich ist, die Rechte betroffener Personen nach der Verordnung mit den Erfordernissen der Aufgaben und Tätigkeiten des Hofes in Einklang zu bringen. Zu diesem Zweck bietet Artikel 25 der Verordnung die Möglichkeit, die Anwendung der Artikel 14 bis 20, 35 und 36 sowie des Artikels 4 unter strengen Voraussetzungen zu beschränken;

in der Erwägung, dass der Hof Beschränkungen nur dann anwenden sollte, sofern sie den Wesensgehalt der Grundrechte und Grundfreiheiten achten und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellen. Der Hof sollte alle Beschränkungen transparent handhaben und die betroffene Person über die Gründe für eine Beschränkung unterrichten;

in der Erwägung, dass der Hof die Beschränkung aufheben sollte, sobald die sie rechtfertigenden Voraussetzungen nicht länger gegeben sind, und regelmäßig das Vorliegen dieser Voraussetzungen überprüfen sollte;

in der Erwägung, dass der/die Datenschutzbeauftragte des Hofes rechtzeitig über alle angewendeten Beschränkungen unterrichtet werden sollte und eine unabhängige Überprüfung der Anwendung von Beschränkungen vornehmen sollte, um die Einhaltung dieses Beschlusses zu gewährleisten —

HAT FOLGENDEN BESCHLUSS ERLASSEN:

Artikel 1 Gegenstand und Anwendungsbereich In diesem Beschluss sind die Vorschriften in Bezug auf die Bedingungen festgelegt, unter denen der Hof die Anwendung der Artikel 14 bis 20, 35 und 36 sowie des Artikels 4 der Verordnung gemäß deren Artikel 25 beschränken darf.

Artikel 2 Beschränkungen (1) Gemäß Artikel 25 Absatz 1 der Verordnung kann der Hof auf Einzelfallbasis die Anwendung der Artikel 14 bis 20, 35 und 36 sowie des Artikels 4 der Verordnung, insofern dessen Bestimmungen den in den Artikeln 14 bis 20 vorgesehenen Rechten und Pflichten entsprechen, beschränken, wenn er a) gemäß Artikel 287 AEUV Prüfungen durchführt; entsprechende Beschränkungen können auf der Grundlage von Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung festgelegt werden; b) gemäß Artikel 86 und im Einklang mit Anhang IX des Statuts der Beamten der Europäischen Union (1) (im Folgenden „Statut“) Verwaltungsuntersuchungen, Vordisziplinar- und Disziplinarverfahren sowie Verfahren zur vorläufigen Dienstenthebung durchführt; entsprechende Beschränkungen können auf der Grundlage von Artikel 25 Absatz 1 Buchstaben b, c, d, f, g und h der Verordnung festgelegt werden; c) interne und externe Beschwerden bearbeitet, die gegen einen Mitarbeiter oder ein Mitglied des Hofes erhoben werden; entsprechende Beschränkungen können auf der Grundlage von Artikel 25 Absatz 1 Buchstabe h der Verordnung festgelegt werden; d) vorläufige Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen potenzieller Unregelmäßigkeiten ergreift; entsprechende Beschränkungen können auf der Grundlage von Artikel 25 Absatz 1 Buchstaben b, c und h der Verordnung festgelegt werden; e) sicherstellt, dass die Mitarbeiter des Hofes Informationen über schwerwiegende Unregelmäßigkeiten, von denen sie bei der Wahrnehmung ihrer Aufgaben Kenntnis erlangen, im Einklang mit den Verfahrensvorschriften des Hofes für die Bereitstellung von Informationen im Fall schwerwiegender Unregelmäßigkeiten (Whistleblowing), vertraulich melden können; entsprechende Beschränkungen können auf der Grundlage von Artikel 25 Absatz 1 Buchstaben f und h der Verordnung festgelegt werden; f) sicherstellt, dass die Mitarbeiter des Hofes, die sich als Opfer von Mobbing oder sexueller Belästigung betrachten, bei einem Vorgesetzten, einer Vertrauensperson, dem Vertrauensarzt oder einem Mediator vertraulich Beratung und Unterstützung suchen können, im Einklang mit dem Beschluss des Hofes Nr. 26-2017 über die Politik zur Aufrechterhaltung eines zufriedenstellenden Arbeitsumfelds und zur Bekämpfung von Mobbing und sexueller Belästigung; entsprechende Beschränkungen können auf der Grundlage von Artikel 25 Absatz 1 Buchstaben f und h der Verordnung festgelegt werden; g) im Einklang mit dem Beschluss Nr. 38-2016 mit Durchführungsbestimmungen zur Geschäftsordnung des Rechnungshofs interne Prüfungen durchführt; entsprechende Beschränkungen können auf der Grundlage von Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung festgelegt werden; h) gemäß Artikel 26a des Statuts sowie Artikel 16 und 91 der Beschäftigungsbedingungen für die sonstigen Bediensteten den Zugang betroffener Personen zu ihren medizinischen Daten psychologischer oder psychiatrischer Art gewährleistet, wenn der direkte Zugang zu diesen Daten wahrscheinlich ein Risiko für die Gesundheit der betroffenen Person darstellen würde, oder den Zugang zu medizinischen Daten gewährleistet, wenn die Ausübung dieses Rechts die Rechte und Freiheiten der betroffenen Person oder anderer Personen beeinträchtigen würde; entsprechende Beschränkungen können auf der Grundlage von Artikel 25 Absatz 1 Buchstabe h der Verordnung festgelegt werden; i) die innere Sicherheit beim Hof gewährleistet, d. h. die Sicherheit von Personen, Vermögenswerten und Informationen, einschließlich der Durchführung interner Sicherheitsuntersuchungen, eventuell mit externer Beteiligung (CERT-EU, nationale Polizeibehörden usw.); entsprechende Beschränkungen können auf der Grundlage von Artikel 25 Absatz 1 Buchstaben a, b, c, d, g und h der Verordnung festgelegt werden; j) sicherstellt, dass der/die Datenschutzbeauftragte Prüfungen gemäß Artikel 45 Absatz 2 der Verordnung durchführen kann; entsprechende Beschränkungen können auf der Grundlage von Artikel 25 Absatz 1 Buchstaben d, g und h der Verordnung festgelegt werden; k) den Organen, Einrichtungen und sonstigen Stellen der Union Unterstützung leistet und mit ihnen zusammenarbeitet oder Unterstützung von ihnen erhält; entsprechende Beschränkungen können auf der Grundlage von Artikel 25 Absatz 1 Buchstaben c, d, g und h der Verordnung festgelegt werden; l) den Behörden der EU-Mitgliedstaaten, Drittländern und internationalen Organisationen auf deren Ersuchen oder auf eigene Initiative hin Unterstützung leistet und mit ihnen zusammenarbeitet oder Unterstützung von ihnen erhält; entsprechende Beschränkungen können auf der Grundlage von Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung festgelegt werden; m) personenbezogene Daten verarbeitet, die in Dokumenten enthalten sind, die von den Parteien oder Streithelfern erlangt wurden, die an einem Verfahren vor dem Gerichtshof der Europäischen Union beteiligt sind; entsprechende Beschränkungen können auf der Grundlage von Artikel 25 Absatz 1 Buchstabe e der Verordnung festgelegt werden. (2) Zu den Datenkategorien gehören Daten zur Identifizierung einer natürlichen Person, Kontaktdaten, berufliche Zuständigkeiten und Aufgaben, Angaben zu Verhaltensweisen und Leistungen auf privater und beruflicher Ebene sowie Finanzdaten. (3) Jede Beschränkung muss den Wesensgehalt der Grundrechte und Grundfreiheiten in einer demokratischen Gesellschaft achten und notwendig und verhältnismäßig sein. (4) Vor der Anwendung von Beschränkungen führen der Verantwortliche und der/die Datenschutzbeauftragte eine auf den Einzelfall bezogene Prüfung auf Notwendigkeit und Verhältnismäßigkeit durch. Beschränkungen sind auf das zur Erreichung der festgelegten Ziele unbedingt erforderliche Maß zu begrenzen. (5) Der Hof erfasst die Gründe für die vorgenommenen Beschränkungen, die Rechtsgrundlage, die Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen, deren personenbezogene Daten Beschränkungen unterliegen können, sowie die Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung. Die erfassten Angaben und gegebenenfalls die Unterlagen, die die zugrunde liegenden sachlichen und rechtlichen Elemente enthalten, sind Teil eines Ad-hoc-Registers, das dem Europäischen Datenschutzbeauftragten auf Anfrage zur Verfügung gestellt wird. Die Dokumentation zu den die Gesundheitsakte betreffenden Beschränkungen wird ausschließlich in der jeweiligen Gesundheitsakte registriert. (6) Bei der Verarbeitung personenbezogener Daten, die der Hof im Rahmen seiner Aufgaben mit anderen Organisationen austauscht, erfolgt eine wechselseitige Konsultation zwischen dem Hof und diesen Organisationen über die jeweiligen Gründe für die Vornahme von Beschränkungen sowie die Notwendigkeit und Verhältnismäßigkeit der Beschränkungen, sofern dies nicht die Tätigkeiten des Hofes gefährdet.

Artikel 3 Überwachung der Beschränkungen und Überprüfung (1) Die in Artikel 2 genannten Beschränkungen gelten, solange die Gründe vorliegen, die diese Beschränkungen rechtfertigen. (2) Der Hof überprüft die Anwendung einer Beschränkung alle sechs Monate nach ihrer Annahme. Darüber hinaus wird eine Überprüfung vorgenommen, wenn sich wesentliche Elemente eines Falles ändern.

Artikel 4 Garantien (1) Der Hof richtet Garantien ein, die verhindern, dass personenbezogene Daten, die Beschränkungen unterliegen können, Missbrauch, unrechtmäßigem Zugriff oder unrechtmäßiger Übermittlung ausgesetzt sind. Diese Garantien umfassen technische und organisatorische Maßnahmen und werden erforderlichenfalls in den internen Beschlüssen, Verfahren und Durchführungsbestimmungen des Hofes im Einzelnen angegeben. Die Garantien umfassen Folgendes: a) eine geeignete Definition der Rollen, Zuständigkeiten und Verfahrensschritte; b) falls zutreffend, eine sichere elektronische Umgebung, die verhindert, dass elektronische Daten rechtswidrig und versehentlich unbefugten Personen zugänglich gemacht oder übermittelt werden; c) falls zutreffend, die sichere Aufbewahrung und Bearbeitung von Papierdokumenten.

Artikel 5 Informationen, die dem/der Datenschutzbeauftragten zu übermitteln sind, und Überprüfung durch den/die Datenschutzbeauftragte/n (1) Der/Die Datenschutzbeauftragte wird unverzüglich unterrichtet, wenn die Rechte der betroffenen Personen nach diesem Beschluss eingeschränkt werden, und erhält Zugang zu den erfassten Angaben und sonstigen Unterlagen, die die zugrunde liegenden sachlichen und rechtlichen Elemente enthalten. (2) Der/Die Datenschutzbeauftragte kann einen Antrag auf Überprüfung der Beschränkung stellen. Der Hof unterrichtet den/die Datenschutzbeauftragte/n schriftlich über das Ergebnis des Antrags. (3) Die Mitwirkung des/der Datenschutzbeauftragten am Beschränkungsverfahren, wozu auch der Informationsaustausch gehört, wird in geeigneter Weise dokumentiert.

Artikel 6 Unterrichtung betroffener Personen über Beschränkungen ihrer Rechte (1) Der Hof veröffentlicht auf seiner Website allgemeine Informationen über die in Artikel 2 beschriebenen Beschränkungen der Rechte betroffener Personen. Umfang, Gründe und potenzielle Dauer der Beschränkung sind zu erläutern. (2) Wenn der Hof Artikel 2 dieses Beschlusses anwendet, unterrichtet er die betroffenen Personen unverzüglich in Schriftform über die Hauptgründe für die Beschränkung und über das Recht der betroffenen Personen, Beschwerde beim Europäischen Datenschutzbeauftragten einzulegen und einen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen. (3) Der Hof kann die Unterrichtung über die Gründe für die Beschränkung nach Absatz 2 so lange zurückstellen, unterlassen oder ablehnen, wie die Unterrichtung die Wirkung der vorgenommenen Beschränkung zunichtemachen würde. Die entsprechende Bewertung erfolgt auf Einzelfallbasis.

Artikel 7 Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Personen Wenn der Hof die Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person nach Artikel 35 der Verordnung beschränkt, erfasst und registriert er die Gründe für die Beschränkung nach Artikel 2 Absatz 5 dieses Beschlusses.

Artikel 8 Vertraulichkeit der elektronischen Kommunikation (1) In Ausnahmefällen und im Einklang mit den Bestimmungen der Richtlinie 2002/58/EG (Datenschutzrichtlinie für elektronische Kommunikation) kann der Hof das in Artikel 36 der Verordnung genannte Recht auf Vertraulichkeit der elektronischen Kommunikation beschränken. In diesem Fall erläutert der Hof die Umstände, Gründe, entsprechenden Risiken und damit zusammenhängenden Garantien in spezifischen internen Vorschriften. (2) Wenn der Hof das Recht auf Vertraulichkeit der elektronischen Kommunikation beschränkt, informiert er die betroffene Person in der Antwort auf deren Anfrage über die Hauptgründe für die Beschränkung und über die Möglichkeit, Beschwerde beim Europäischen Datenschutzbeauftragten einzulegen oder einen gerichtlichen Rechtsbehelf beim Gerichtshof einzulegen. (3) Der Hof kann die Unterrichtung über die Gründe für die Beschränkung nach den Absätzen 1 und 2 so lange zurückstellen, unterlassen oder ablehnen, wie die Unterrichtung die Wirkung der Beschränkung zunichtemachen würde. Die entsprechende Bewertung erfolgt auf Einzelfallbasis.

Artikel 9 Inkrafttreten Dieser Beschluss tritt am Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.

Geschehen zu Luxemburg am 20. Mai 2021. Für den Rechnungshof Klaus-Heiner LEHNE Präsident

(1) Verordnung (EWG, Euratom, EGKS) Nr. 259/68 des Rates vom 29. Februar 1968 zur Festlegung des Statuts der Beamten der Europäischen Gemeinschaften und der Beschäftigungsbedingungen für die sonstigen Bediensteten dieser Gemeinschaften sowie zur Einführung von Sondermaßnahmen, die vorübergehend auf die Beamten der Kommission anwendbar sind (ABl. L 56 vom 4.3.1968, S. 1).