BESCHLUSS DER EUROPÄISCHEN INVESTITIONSBANK

vom 26. Februar 2019

zur Festlegung interner Vorschriften über die Unterrichtung betroffener Personen und die Beschränkung bestimmter Rechte dieser Personen im Zusammenhang mit der Verarbeitung personenbezogener Daten durch die Direktion Personal der Europäischen Investitionsbank

DIE EUROPÄISCHE INVESTITIONSBANK („EIB“) —

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union, insbesondere auf Artikel 309,

gestützt auf die Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG,

in Erwägung nachstehender Gründe:

Laut Artikel 38 der Personalordnungen I und II der EIB können gegen Bankangehörige, die gegen ihre Dienstpflichten verstoßen, gemäß dem in Artikel 40 der Personalordnung beschriebenen Verfahren Disziplinarmaßnahmen ergriffen werden. Gemäß Artikel 41 der Personalordnungen I und II können alle Streitfälle, die nicht die Disziplinarmaßnahmen des Artikels 38 betreffen, einem Schlichtungsausschuss vorgelegt werden. Gemäß der Politik der EIB hinsichtlich der Würde am Arbeitsplatz und den Leitlinien der EIB für Einsprüche gegen Beurteilungsergebnisse muss die EIB Beschwerden wegen Belästigung und Einsprüche gegen Beurteilungsergebnisse prüfen.

Hauptzuständig für die Organisation und Abwicklung der in Artikel 40 und 41 der Personalordnungen I und II sowie in der Politik hinsichtlich der Würde am Arbeitsplatz und den Leitlinien für Einsprüche gegen Beurteilungsergebnisse beschriebenen Verfahren ist die Direktion Personal der EIB. In erster Linie unterstützt die Direktion Personal die Stellen, die für die Verfahren zuständig sind, und dient als ihr Sekretariat.

Bei der Erfüllung ihrer Aufgaben ist die Direktion Personal verpflichtet, die Rechte natürlicher Personen bei der Verarbeitung personenbezogener Daten zu achten, die in Artikel 8 Absatz 1 der Charta der Grundrechte der Europäischen Union, in Artikel 16 Absatz 1 des Vertrags über die Arbeitsweise der Europäischen Union und in Rechtsakten, die sich auf diese Artikel gründen, anerkannt werden. Ferner muss die Direktion Personal die strengen Vorschriften über die Wahrung der Vertraulichkeit und des Berufsgeheimnisses einhalten, die in der Personalordnung und im Verhaltenskodex für das Personal der EIB verankert sind, und dafür sorgen, dass die Verfahrensrechte der von der Untersuchung betroffenen Personen und Zeugen beachtet werden, insbesondere das Recht auf ein ordentliches Verfahren, auf Verteidigung und auf die Unschuldsvermutung.

Unter bestimmten Umständen ist es erforderlich, die in der Verordnung (EU) 2018/1725 (1) festgelegten Rechte von betroffenen Personen mit den Zwecken und Anforderungen der Aufgaben der Direktion Personal und der vollständigen Wahrung der Grundrechte und Freiheiten anderer betroffener Personen in Einklang zu bringen. Zu diesem Zweck sieht Artikel 25 der Verordnung vor, dass die Direktion Personal die Anwendung der Artikel 14 bis 22 und 35 sowie von Artikel 4, insofern dessen Bestimmungen den in den Artikeln 14 bis 22 vorgesehenen Rechten und Pflichten entsprechen, beschränken kann.

Damit die Verfahren des Disziplinar- und des Schlichtungsausschusses, die gemäß Artikel 40 bzw. Artikel 41 der Personalordnungen I und II eingerichtet werden, sowie des Gremiums für die Würde am Arbeitsplatz und des Schiedsgremiums, die gemäß der Politik hinsichtlich der Würde am Arbeitsplatz bzw. der Leitlinien für Einsprüche gegen Beurteilungsergebnisse eingerichtet werden, effektiv sind und gleichzeitig der Schutz personenbezogener Daten gemäß der Verordnung (EU) 2018/1725 gewährleistet wird, müssen interne Vorschriften festgelegt werden, nach deren Maßgabe die Direktion Personal die Rechte von betroffenen Personen in Übereinstimmung mit Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung (EU) 2018/1725 beschränken kann.

Die internen Vorschriften sollten für alle Verarbeitungsvorgänge gelten, die die Direktion Personal bei der Erfüllung ihrer in Artikel 40 und 41 der Personalordnungen I und II, der Politik hinsichtlich der Würde am Arbeitsplatz und den Leitlinien für Einsprüche gegen Beurteilungsergebnisse festgelegten Mandate durchführt. Die Vorschriften sollten für alle Verarbeitungsvorgänge gelten, die im Vorfeld der Verfahren des Disziplinarausschusses, des Schlichtungsausschusses, des Gremiums für die Würde am Arbeitsplatz und des Schiedsgremiums, während der Dauer der Verfahren und bei der Umsetzung der Ergebnisse der Verfahren durchgeführt werden.

Um den Artikeln 14, 15 und 16 der Verordnung (EU) 2018/1725 nachzukommen, sollte der Verantwortliche durch Datenschutzhinweise im Intranet der EIB transparent und kohärent alle Personen über seine Tätigkeit, bei der ihre personenbezogenen Daten verarbeitet werden, sowie über ihre Rechte informieren und zudem alle von seiner Tätigkeit betroffenen Personen – d. h. von der Untersuchung betroffene Personen, Verfahrensparteien und Zeugen – jeweils einzeln unterrichten.

Um eine wirksame Zusammenarbeit aufrechtzuerhalten, kann sich die Direktion Personal zudem veranlasst sehen, die Rechte der von der Datenverarbeitung betroffenen Personen zu beschränken, um Informationen mit personenbezogenen Daten zu schützen, welche von anderen EIB-Dienststellen, den Organen, Einrichtungen und sonstigen Stellen der Europäischen Union, von zuständigen Behörden von Mitgliedstaaten oder Drittländern oder von internationalen Organisationen stammen. Zu diesem Zweck sollte die Direktion Personal diese anderen EIB-Dienststellen, Organe, Einrichtungen und sonstigen Stellen, Behörden und internationalen Organisationen zu den jeweiligen Gründen für die Notwendigkeit und die Verhältnismäßigkeit der Beschränkungen konsultieren.

Die Direktion Personal sollte alle Beschränkungen transparent handhaben und jeweils in dem entsprechenden Erfassungssystem verzeichnen.

Gemäß Artikel 25 Absatz 8 der Verordnung (EU) 2018/1725 können die Verantwortlichen die Unterrichtung von betroffenen Person über die Gründe für die Anwendung einer Beschränkung zurückstellen, unterlassen oder ablehnen, wenn sie dem Zweck der Beschränkung zuwiderlaufen würde. Dies trifft vor allem zu, sofern die Rechte aus den Artikeln 16 und 35 der Verordnung (EU) 2018/1725 beschränkt werden. Um sicherzustellen, dass das Recht der betroffenen Person auf Unterrichtung nach den Artikeln 16 und 35 der Verordnung (EU) 2018/1725 nur solange beschränkt wird, wie die Gründe für die Zurückstellung der Unterrichtung Geltung haben, sollte die Direktion Personal ihren diesbezüglichen Standpunkt regelmäßig überprüfen.

In allen Fällen, in denen die Rechte anderer von der Datenverarbeitung betroffener Personen beschränkt werden, sollte die Direktion Personal von Fall zu Fall prüfen, ob die Unterrichtung über die Beschränkung deren Zweck zuwiderlaufen würde.

Der Datenschutzbeauftragte (DSB) der EIB kann eine unabhängige Überprüfung der angewendeten Beschränkungen vornehmen, um deren Vereinbarkeit mit diesem Beschluss sicherzustellen —

HAT FOLGENDEN BESCHLUSS GEFASST:

Artikel 1 Gegenstand und Anwendungsbereich (1) Dieser Beschluss enthält die Vorschriften, die der in Artikel 2 Absatz 1 näher definierte Verantwortliche bei der Unterrichtung von betroffenen Personen über die Verarbeitung ihrer Daten gemäß den Artikeln 14, 15 und 16 von Verordnung (EU) 2018/1725 beachten muss. Ferner werden die Bedingungen festgelegt, unter denen der jeweilige Verantwortliche die Anwendung der Artikel 14 bis 22 und 35 sowie von Artikel 4 der Verordnung in Übereinstimmung mit Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung beschränken kann. (2) Dieser Beschluss gilt für die Verarbeitung personenbezogener Daten durch die Direktion Personal für die Zwecke der oder in Verbindung mit den Aktivitäten, die sie zur Erfüllung ihrer Aufgaben nach Artikel 40 und 41 der Personalordnungen I und II, der Politik hinsichtlich der Würde am Arbeitsplatz und den Leitlinien für Einsprüche gegen Beurteilungsergebnisse in ihrer jeweils aktuellen Fassung durchführt. (3) Im Rahmen ihrer Tätigkeit verarbeitet die Direktion Personal verschiedene Kategorien personenbezogener Daten, insbesondere Kenndaten, Kontaktdaten, berufsbezogene Daten und Daten in Bezug auf die Beteiligung der betroffenen Person an dem jeweiligen Fall.

Artikel 2 Verantwortlicher und Schutzmaßnahmen (1) Verantwortlich für die Datenverarbeitungsvorgänge ist der Personalleiter. (2) Die personenbezogenen Daten werden in einer gesicherten elektronischen und physischen Umgebung gespeichert, sodass sowohl jedweder unbefugte Zugang als auch jedwede Datenübermittlung an Personen, die von den Dateien keine Kenntnis haben müssen, verhindert wird. (3) Die verarbeiteten personenbezogenen Daten werden mindestens sechs Monate und höchstens zehn Jahre aufbewahrt. Die bei den jeweiligen Verfahren anwendbaren Aufbewahrungsfristen sind im Aufbewahrungszeitplan der Direktion Personal genauer geregelt. (4) In begründeten Ausnahmefällen können vorbehaltlich der Zustimmung des DSB längere Fristen gelten.

Artikel 3 Anwendbare Ausnahmen und Beschränkungen (1) Bei der Ausübung ihrer Pflichten in Bezug auf die Rechte der betroffenen Personen nach der Verordnung (EU) 2018/1725 prüft die Direktion Personal, ob in der Verordnung festgelegte Ausnahmen Anwendung finden. (2) Die Direktion Personal kann vorbehaltlich der Artikel 4 bis 7 dieses Beschlusses die Anwendung der Artikel 14 bis 22 und 35 der Verordnung (EU) 2018/1725 sowie von Artikel 4, insofern dessen Bestimmungen den in den Artikeln 14 bis 22 der Verordnung vorgesehenen Rechten und Pflichten entsprechen, beschränken, falls die Ausübung dieser Rechte und Pflichten dem Zweck der in Artikel 40 und 41 der Personalordnungen I und II, der Politik hinsichtlich der Würde am Arbeitsplatz und den Leitlinien für Einsprüche gegen Beurteilungsergebnisse festgelegten Verfahren zuwiderlaufen oder die Rechte und Freiheiten anderer Personen beeinträchtigen würde. (3) Die Direktion Personal kann vorbehaltlich der Artikel 4 bis 7 dieses Beschlusses die in Absatz 2 dieses Artikels genannten Rechte und Pflichten in Bezug auf personenbezogene Daten, die sie bei anderen EIB-Dienststellen oder bei anderen Organen, Einrichtungen und sonstigen Stellen der Europäischen Union, bei zuständigen Behörden von Mitgliedstaaten oder bei internationalen Organisationen eingeholt hat, beschränken, a) falls die Ausübung dieser Rechte und Pflichten durch andere EIB-Dienststellen oder andere Organe, Einrichtungen oder sonstige Stellen der Europäischen Union auf der Grundlage anderer in Artikel 25 der Verordnung vorgesehener Rechtsakte oder nach Kapitel IX der Verordnung beschränkt werden könnte, b) falls die Ausübung dieser Rechte und Pflichten durch zuständige Behörden von Mitgliedstaaten auf der Grundlage in Artikel 23 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (2) genannter Rechtsakte oder nationaler Maßnahmen zur Umsetzung von Artikel 13 Absatz 3, Artikel 15 Absatz 3 oder Artikel 16 Absatz 3 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates (3) beschränkt werden könnte, c) falls durch die Ausübung dieser Rechte und Pflichten die von der Direktion Personal im Rahmen ihrer Aufgaben geleistete Zusammenarbeit mit Drittländern oder internationalen Organisationen beeinträchtigt werden könnte. Vor einer etwaigen Anwendung von Beschränkungen in den in Unterabsatz 1 Buchstaben a und b genannten Fällen konsultiert die Direktion Personal die zuständigen EIB-Dienststellen, Organe, Einrichtungen und sonstigen Stellen der Europäischen Union oder die zuständigen Behörden von Mitgliedstaaten, es sei denn, die Direktion Personal ist sich im Klaren darüber, dass in einem der unter diesen beiden Buchstaben genannten Rechtsakte die Anwendung einer Beschränkung geregelt ist. Unterabsatz 1 Buchstabe c findet keine Anwendung, wenn die Interessen, Grundrechte oder Freiheiten der betroffenen Personen gegenüber dem Interesse der Europäischen Union an der Zusammenarbeit mit Drittländern oder internationalen Organisationen überwiegen. (4) Die Absätze 1, 2 und 3 berühren nicht die Anwendung anderer EIB-Beschlüsse zur Festlegung interner Vorschriften über die Unterrichtung betroffener Personen und die Beschränkung bestimmter Rechte gemäß Artikel 25 der Verordnung (EU) 2018/1725.

Artikel 4 Unterrichtung der von der Datenverarbeitung betroffenen Personen (1) Die Direktion Personal veröffentlicht im EIB-Intranet Datenschutzhinweise, durch die alle betroffenen Personen über die Tätigkeit der Direktion Personal, die die Verarbeitung ihrer personenbezogenen Daten mit sich bringt, informiert werden. (2) Die Direktion Personal informiert alle betroffenen Personen, die Verfahrensparteien, von der Untersuchung betroffene Personen oder Zeugen sind, jeweils einzeln. (3) Wenn die Direktion Personal die Unterrichtung der in Absatz 2 genannten betroffenen Personen ganz oder teilweise beschränkt, erstellt sie eine Aufzeichnung über die Gründe für die Beschränkung einschließlich einer Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung. In der Aufzeichnung gibt sie an, inwieweit die Unterrichtung dem Zweck des jeweiligen Verfahrens oder von Beschränkungen gemäß Artikel 3 Absatz 3 zuwiderlaufen oder die Rechte und Freiheiten anderer betroffener Personen beeinträchtigen würde. Die Aufzeichnung sowie etwaige Dokumente, die die zugrunde liegenden Fakten und die rechtlichen Grundlagen enthalten, werden registriert. Sie werden dem Europäischen Datenschutzbeauftragten (EDSB) auf Anforderung zur Verfügung gestellt. (4) Die in Absatz 3 genannte Beschränkung gilt so lange, wie die Gründe bestehen, die die Beschränkung rechtfertigen. Bestehen die Gründe für die Beschränkung nicht mehr, übermittelt die Direktion Personal der betroffenen Person die jeweiligen Informationen unter Angabe der Gründe für die Beschränkung. Gleichzeitig unterrichtet die Direktion Personal die betroffene Person über die Möglichkeit, jederzeit Beschwerde beim EDBS oder einen Rechtsbehelf vor dem Gerichtshof der Europäischen Union einzulegen. Die Direktion Personal überprüft die Anwendung einer Beschränkung mindestens alle sechs Monate nach der erstmaligen Anwendung sowie bei Abschluss des jeweiligen Verfahrens. Danach prüft der Verantwortliche jährlich, ob die Beschränkung aufrechterhalten werden muss.

Artikel 5 Auskunftsrecht der von der Datenverarbeitung betroffenen Personen (1) Wenn betroffene Personen gemäß Artikel 17 der Verordnung (EU) 2018/1725 Auskunft über ihre personenbezogenen, im Zusammenhang mit einem oder mehreren konkreten Fällen verarbeiteten Daten oder über einen konkreten Datenverarbeitungsvorgang beantragen, beschränkt die Direktion Personal die Prüfung des Antrags auf diese personenbezogenen Daten. (2) Wenn die Direktion Personal das Auskunftsrecht nach Artikel 17 der Verordnung teilweise oder vollständig beschränkt, ergreift sie folgende Maßnahmen: a) Die Direktion Personal unterrichtet die betroffene Person über die angewendete Beschränkung, über die ausschlaggebenden Gründe sowie über die Möglichkeit, eine Beschwerde beim EDSB oder einen Rechtsbehelf vor dem Gerichtshof der Europäischen Union einzulegen. b) Die Direktion Personal erstellt eine Aufzeichnung über die Gründe für die Beschränkung einschließlich einer Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung. Darin gibt sie an, inwieweit die Unterrichtung dem Zweck des jeweiligen Verfahrens oder von Beschränkungen gemäß Artikel 3 Absatz 3 zuwiderlaufen oder die Rechte und Freiheiten anderer von der Datenverarbeitung betroffener Personen beeinträchtigen würde. Die Unterrichtung nach Buchstabe a kann nach Maßgabe von Artikel 25 Absatz 8 der Verordnung (EU) 2018/1725 zurückgestellt, unterlassen oder abgelehnt werden. (3) Die Aufzeichnung nach Absatz 2 Unterabsatz 1 Buchstabe b und etwaige Dokumente, die die zugrunde liegenden Fakten und die rechtlichen Grundlagen enthalten, werden registriert. Sie werden dem EDSB auf Anforderung zur Verfügung gestellt. Es gilt Artikel 25 Absatz 7 der Verordnung (EU) 2018/1725.

Artikel 6 Recht auf Berichtigung, Löschung und Einschränkung der Verarbeitung Wenn die Direktion Personal das Recht auf Berichtigung, Löschung oder Einschränkung der Verarbeitung nach Artikel 18, Artikel 19 Absatz 1 und Artikel 20 Absatz 1 der Verordnung (EU) 2018/1725 ganz oder teilweise beschränkt, ergreift sie die in Artikel 5 Absatz 2 dieses Beschlusses genannten Maßnahmen und registriert die betreffende Aufzeichnung nach Maßgabe von Artikel 5 Absatz 3 des Beschlusses.

Artikel 7 Benachrichtigung einer betroffenen Person über eine Verletzung des Schutzes personenbezogener Daten Wenn die Direktion Personal die Benachrichtigung einer betroffenen Person über die Verletzung des Schutzes personenbezogener Daten gemäß Artikel 35 der Verordnung (EU) 2018/1725 beschränkt, zeichnet sie die Gründe der Beschränkung auf und registriert die Aufzeichnung nach Maßgabe von Artikel 4 Absatz 3 dieses Beschlusses. Es gilt Artikel 4 Absatz 4 dieses Beschlusses.

Artikel 8 Überprüfung durch den Datenschutzbeauftragten Die Direktion Personal informiert den DSB unverzüglich, wenn Rechte von betroffenen Personen gemäß diesem Beschluss beschränkt werden, und gewährt ihm Zugang zu der Aufzeichnung und der Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung. Der DSB kann die Direktion Personal schriftlich auffordern, die Anwendung der Beschränkungen zu überprüfen. Die Direktion Personal wird den DSB schriftlich über das Ergebnis der angeforderten Überprüfung informieren.

Artikel 9 Inkrafttreten Dieser Beschluss wurde am 26. Februar 2019 vom Verwaltungsrat der EIB genehmigt und tritt am Tag seiner Veröffentlichung auf der Website der EIB in Kraft.

Luxemburg, den 26. Februar 2019

(1) Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG (ABl. L 295 vom 21.11.2018, S. 39).

(2) Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1).

(3) Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates (ABl.L 119 vom 4.5.2016, S. 89).