BESCHLUSS GB(D)06-2021

zur Festlegung interner Vorschriften zur Beschränkung bestimmter Rechte betroffener Personen in Bezug auf die Verarbeitung personenbezogener Daten im Rahmen der Tätigkeit des Gemeinsamen Unternehmens Single European Sky Research 3 [2022/737]

DER VERWALTUNGSRAT DES GEMEINSAMEN UNTERNEHMENS SINGLE EUROPEAN SKY RESEARCH 3 (GEMEINSAMES UNTERNEHMEN SESAR 3) —

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,

gestützt auf die Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG (1) („Verordnung (EU) 2018/1725“), insbesondere auf Artikel 25,

gestützt auf die Verordnung (EU) 2021/2085 des Rates vom 19. November 2021 zur Gründung der gemeinsamen Unternehmen im Rahmen von „Horizont Europa“ und zur Aufhebung der Verordnungen (EG) Nr. 219/2007, (EU) Nr. 557/2014, (EU) Nr. 558/2014, (EU) Nr. 559/2014, (EU) Nr. 560/2014, (EU) Nr. 561/2014 und (EU) Nr. 642/2014 (2) („einheitlicher Basisrechtsakt“),

gestützt auf ADB Beschluss (D) 03-2021 zur Festlegung interner Vorschriften zur Beschränkung bestimmter Rechte betroffener Personen in Bezug auf die Verarbeitung personenbezogener Daten im Rahmen der Tätigkeit des Gemeinsamen Unternehmens SESAR,

gestützt auf die Leitlinien des Europäischen Datenschutzbeauftragten (EDSB) zu Artikel 25 der Verordnung (EU) 2018/1725 und internen Vorschriften über die Beschränkung von Rechten betroffener Personen,

nach am 12. November 2019 erfolgter Konsultation des EDSB gemäß Artikel 41 Absatz 2 der Verordnung (EU) 2018/1725,

gestützt auf die Empfehlungen des Europäischen Datenschutzbeauftragten („EDSB“) vom 18. Dezember 2019,

nach Konsultation der Personalvertretung des Gemeinsamen Unternehmens SESAR 3,

in Erwägung nachstehender Gründe:

Die personenbezogenen Daten sind sicher in einer elektronischen Umgebung oder auf Papier gespeichert, wodurch verhindert wird, dass Daten Unbefugten, die kein Zugriffsrecht für diese Daten haben, unrechtmäßig zugänglich gemacht oder übermittelt werden. Die verarbeiteten personenbezogenen Daten werden nicht länger aufbewahrt, als es für die Zwecke, für die sie verarbeitet werden, notwendig und verhältnismäßig ist; der Aufbewahrungszeitraum ist in den Datenschutzhinweisen, Datenschutzerklärungen oder Verzeichnissen des Gemeinsamen Unternehmens SESAR 3 angegeben.

In Fällen, in denen diese internen Vorschriften Anwendung finden, muss das Gemeinsame Unternehmen SESAR 3 die Gründe dafür darlegen, dass die Beschränkungen in einer demokratischen Gesellschaft unbedingt notwendig und verhältnismäßig sind und den Wesensgehalt der Grundrechte und Grundfreiheiten achten.

In diesem Rahmen achtet das Gemeinsame Unternehmen SESAR 3 in den vorgenannten Verfahren im größtmöglichen Umfang sowie unter vollständiger Einhaltung der einschlägigen Rechtsvorschriften und Leitlinien die Grundrechte der betroffenen Personen, insbesondere deren Rechte in Bezug auf Unterrichtung, Auskunft und Berichtigung, Löschung, Einschränkung der Verarbeitung, Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Personen sowie Vertraulichkeit der Kommunikation, so wie diese in der Verordnung (EU) 2018/1725 verankert sind.

HAT FOLGENDEN BESCHLUSS GEFASST:

(1) Mit diesem Beschluss werden Vorschriften in Bezug auf die Bedingungen festgelegt, unter denen das Gemeinsame Unternehmen SESAR 3 im Rahmen seiner unter Absatz 2 aufgeführten Verfahren gemäß Artikel 25 der Verordnung (EU) 2018/1725 befugt ist, die Anwendung der in den Artikeln 14 bis 21, 35 und 36 sowie in Artikel 4 der Verordnung verankerten Rechte zu beschränken.

(3) Die in Artikel 1 Absatz 3 genannte Aufbewahrungsfrist für personenbezogene Daten ist in den Datenschutzhinweisen, Datenschutzerklärungen oder Verzeichnissen angegeben, auf die in Artikel 7 Absatz 1 Bezug genommen wird. Die Aufbewahrungsfrist darf nicht länger sein als es für die Zwecke, zu denen die Daten verarbeitet werden, notwendig und verhältnismäßig ist (4) .

Alle elektronischen Daten werden in einer sicheren IT-Anwendung gemäß den Sicherheitsstandards des Gemeinsamens Unternehmens SESAR 3 sowie in speziellen elektronischen Ordnern gespeichert, die ausschließlich befugtem Personal zugänglich sind. Die Erteilung angemessener Zugangsrechte erfolgt auf individueller Basis.

Bevor Beschränkungen unter den in Buchstaben a und b des ersten Unterabsatzes genannten Voraussetzungen vorgenommen werden, muss das Gemeinsame Unternehmen SESAR 3 die zuständigen Dienststellen der Kommission, die Organe, Einrichtungen und sonstigen Stellen der Union oder die zuständigen Behörden der Mitgliedstaaten konsultieren, es sei denn, für das Gemeinsame Unternehmen SESAR 3 ist klar, dass die Vornahme der Beschränkung in einem der in den beiden Buchstaben genannten Rechtsakte vorgesehen ist.

Artikel 5

Beschränkungen und Rechte betroffener Personen

(1) In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der Verantwortliche die folgenden Rechte im Rahmen der in Artikel 1 Absatz 2 und unten in Absatz 2 aufgeführten Verarbeitungsvorgänge, soweit notwendig und verhältnismäßig, beschränken: a) das Recht auf Unterrichtung; b) das Recht auf Auskunft; c) das Recht auf Berichtigung, Löschung und Einschränkung der Verarbeitung; d) das Recht der betroffenen Person auf Benachrichtigung über die Verletzung des Schutzes personenbezogener Daten; e) das Recht auf Vertraulichkeit der elektronischen Kommunikation.

(2) Im Hinblick auf die in Artikel 4 Absatz 1 garantierten Schutzzwecke kann der Verantwortliche in hinreichend begründeten Fällen Beschränkungen vornehmen, die die folgenden in Artikel 1 Absatz 2 genannten Verarbeitungsvorgänge betreffen: a) die Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; b) erste Maßnahmen wegen dem OLAF gemeldeter Fälle möglicher Unregelmäßigkeiten; c) Verfahren in Bezug auf Meldungen von Missständen; d) formelle und informelle Verfahren in Mobbingfällen; e) die Bearbeitung interner und externer Beschwerden; f) interne Audits; g) vom Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 durchgeführte Prüfungen; h) intern oder extern (z. B. durch das CERT-EU) durchgeführte (IT-)Sicherheitsüberprüfungen i) im Rahmen der Verwaltung der Finanzhilfen oder des Vergabeverfahrens nach Ablauf der Frist für die Einreichung von Vorschlägen oder Angeboten.

(3) Im Falle von Verfahren in Mobbingfällen sind Beschränkungen der in Absatz 1 genannten Rechte — mit Ausnahme des in Absatz 1 Buchstabe d genannten Rechts der betroffenen Person auf Benachrichtigung über die Verletzung des Schutzes personenbezogener Daten — unter denselben Voraussetzungen möglich.

(4) Im Falle von Verfahren, die die Finanzhilfeverwaltung oder das öffentliche Auftragswesen betreffen, sind Beschränkungen der in Absatz 1 genannten Rechte — mit Ausnahme des in Absatz 1 Buchstabe c genannten Rechts auf Berichtigung, Löschung und Einschränkung der Verarbeitung — unter denselben Voraussetzungen möglich.

(5) In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Voraussetzungen kann der Verantwortliche Beschränkungen des Rechts auf Berichtigung, Löschung und Einschränkung der Verarbeitung, außer in den in den Absätzen 3 und 4 vorgesehenen Ausnahmefällen, vornehmen.

(6) Beschränkt das Gemeinsame Unternehmen SESAR 3 die Anwendung der in den Absätzen 1, 3, 4 und 5 genannten Rechte ganz oder zum Teil, ist nach den Artikeln 6 und 7 dieses Beschlusses zu verfahren.