DE Amtsblatt der Europäischen Union C 308/1

Durchführungsbestimmungen in Bezug auf die Verordnung (EG) Nr. 45/2001 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe und Einrichtungen der Gemeinschaft und zum freien Datenverkehr

Beschluss des Präsidiums vom 22. Juni 2005

(2005/C 308/01)

DAS PRÄSIDIUM,

unter Hinweis auf den Vertrag zur Gründung der Europäischen Gemeinschaft und insbesondere dessen Artikel 286,

unter Hinweis auf die Verordnung (EG) Nr. 45/2001 des Europäischen Parlaments und des Rates vom 18. Dezember 2000 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe und Einrichtungen der Gemeinschaft und zum freien Datenverkehr und insbesondere dessen Artikel 24 Absatz 8,

gestützt auf Artikel 22 Absatz 2 seiner Geschäftsordnung,

in Erwägung nachstehender Gründe:

(1) Die Verordnung (EG) Nr. 45/2001 (nachstehend „Verordnung“ genannt) legt die Grundsätze und Bestimmungen fest, die für alle Organe und Einrichtungen der Gemeinschaft gelten, und schreibt vor, dass jedes Organ und jede Einrichtung der Gemeinschaft einen behördlichen Datenschutzbeauftragten bestellt.

(2) Nach Artikel 24 Absatz 8 der Verordnung erlässt jedes Organ und jede Einrichtung der Gemeinschaft weitere Durchführungsbestimmungen gemäß den Bestimmungen des Anhangs jener Verordnung. Diese Durchführungsbestimmungen betreffen insbesondere die Aufgaben, Pflichten und Befugnisse des behördlichen Datenschutzbeauftragten.

(3) Die Durchführungsbestimmungen legen fest, welche Verfahren die betroffenen Personen bei der Wahrnehmung ihrer Rechte und alle Akteure, die bei den Organen und Einrichtungen der Gemeinschaft auf dem Gebiet der Verarbeitung personenbezogener Daten tätig werden, bei der Erfüllung ihrer Pflichten befolgen müssen.

BESCHLIESST:

Artikel 1

Gegenstand

1. Dieser Beschluss enthält weitere Durchführungsbestimmungen zu der Verordnung in Bezug auf das Europäische Parlament. Er ergänzt insbesondere die Bestimmungen der Verordnung in Bezug auf die Aufgaben, Pflichten und Befugnisse des oder der behördlichen Datenschutzbeauftragten des Europäischen Parlaments.

2. Ferner enthält dieser Beschluss die Einzelheiten zur Ausübung der Rechte der betroffenen Personen und das Verfahren zur Meldung der Verarbeitung sowie das Verfahren betreffend den Zugang zu dem vom Datenschutzbeauftragten geführten Register der Verarbeitungen.

Artikel 2

Bestellung, Status und Unabhängigkeit

1. Der Generalsekretär bestellt den Datenschutzbeauftragten, der unter den Beamten der Organe und Einrichtungen der Gemeinschaft aufgrund seiner persönlichen und beruflichen Qualitäten und insbesondere seines Fachwissens auf dem Gebiet des Datenschutzes ausgewählt wird. Der Datenschutzbeauftragte wird nach dem Verfahren des Artikels 29 des Beamtenstatuts ernannt.

2. Der Generalsekretär trägt den behördlichen Datenschutzbeauftragten beim Europäischen Datenschutzbeauftragten ein.

3. Der Datenschutzbeauftragte wird für die Wahrnehmung seiner Aufgaben von allen sonstigen Tätigkeiten beim Europäischen Parlament freigestellt. Er kann andere Aufgaben wahrnehmen, sofern diese nicht zu einem Interessenskonflikt mit seinem Amt als Datenschutzbeauftragter insbesondere in Verbindung mit der Anwendung der Bestimmungen der Verordnung führen.

4. Die Amtszeit des Datenschutzbeauftragten beträgt fünf Jahre und kann ein Mal verlängert werden. Die Bestellung zum Datenschutzbeauftragten kann nicht ohne Zustimmung des Europäischen Datenschutzbeauftragten widerrufen werden, und auch nur dann, wenn der Datenschutzbeauftragte die für die Erfüllung seiner Aufgaben erforderlichen Voraussetzungen nicht mehr erfüllt. Der Europäische Datenschutzbeauftragte wird mit einer Kopie an den Datenschutzbeauftragten schriftlich konsultiert.

5. Der Datenschutzbeauftragte nimmt seine Aufgaben unabhängig wahr. Insbesondere darf der Datenschutzbeauftragte weder von der Anstellungsbehörde noch vom Generalsekretär noch von einer anderen Stelle Weisungen in Bezug auf die interne Anwendung der Verordnung oder auf seine Zusammenarbeit mit dem Europäischen Datenschutzbeauftragten entgegennehmen. Der Datenschutzbeauftragte sieht von allen Handlungen ab, die mit seinem Amt nicht zu vereinbaren sind.

6. Der Datenschutzbeauftragte teilt den zuständigen Behörden des Europäischen Parlaments den Umfang an Personal und Mitteln mit, die für die Wahrnehmung seiner Aufgabe erforderlich sind. Zur Unterstützung bei der Wahrnehmung seiner Aufgaben kann er ferner externes Fachpersonal in Anspruch nehmen.

7. Für den Datenschutzbeauftragten und sein Personal gelten uneingeschränkt die Verordnungen und Regelungen des Beamtenstatuts und der für die sonstigen Bediensteten geltenden Beschäftigungsbedingungen.

8. Der Datenschutzbeauftragte und sein Personal, auf die Artikel 287 des Vertrags Anwendung findet, unterliegen auch nach dem Ende ihrer Amtszeit dem Berufsgeheimnis in Bezug auf alle vertraulichen Dokumente oder Informationen, die sie bei der Erfüllung ihrer Aufgaben erhalten.

Artikel 2a

Stellvertretende Datenschutzbeauftragte

1. Der Generalsekretär des Europäischen Parlaments kann stellvertretende Datenschutzbeauftragte bestellen. Artikel 2 Absätze 4, 5, 7 und 8 findet auch auf die stellvertretenden Datenschutzbeauftragten Anwendung.

2. Der Datenschutzbeauftragte, die stellvertretenden Datenschutzbeauftragten und das Hilfspersonal sind integraler Bestandteil der Dienststelle „Schutz personenbezogener Daten“. Leiter der Dienststelle ist der Datenschutzbeauftragte.

3. Der Datenschutzbeauftragte kann bei allen seinen Aufgaben durch einen Stellvertreter unterstützt bzw. im Falle seiner Abwesenheit oder Verhinderung vertreten werden.

Artikel 3

Aufgaben

1. Der Datenschutzbeauftragte überwacht die Anwendung der Bestimmungen der Verordnung beim Europäischen Parlament. Er nimmt seine Aufgaben in Zusammenarbeit mit dem Europäischen Datenschutzbeauftragten wahr.

2. Der Datenschutzbeauftragte kann jederzeit von jedermann und insbesondere den betroffenen Personen zu allen Fragen in Bezug auf die Anwendung der Verordnung konsultiert werden. Der Datenschutzbeauftragte ist insbesondere gehalten, die Dienststelle Register zu beraten, um den Bestimmungen des Beschlusses des Präsidiums vom 28. November 2001 über den Zugang der Öffentlichkeit zu den Dokumenten des Europäischen Parlaments nachzukommen.

3. Der Datenschutzbeauftragte vertritt den Generalsekretär in allen Fragen im Zusammenhang mit dem Datenschutz; er kann insbesondere an den Sitzungen entsprechender Fachausschüsse oder Fachgremien auf internationaler Ebene teilnehmen.

Artikel 4

Pflichten

Für den Datenschutzbeauftragten gelten folgende Pflichten:

— Unterrichtung: Der Datenschutzbeauftragte unterrichtet die für die Verarbeitung Verantwortlichen des Europäischen Parlaments und die betroffenen Personen über ihre Rechte und Pflichten, die sich aus der Verordnung ergeben. Dazu stellt er die notwendigen Informationen über die geltenden Rechtsvorschriften, die laufenden Verfahren und die vorhandenen mitgeteilten Dateien zur Verfügung und erleichtert die Wahrnehmung der Rechte und Pflichten.

— Anfragen des Europäischen Datenschutzbeauftragten: Der Datenschutzbeauftragte kommt Anfragen des Europäischen Datenschutzbeauftragten nach.

— Zusammenarbeit mit dem Europäischen Datenschutzbeauftragten: Der Datenschutzbeauftragte arbeitet im Rahmen seiner Zuständigkeiten mit dem Europäischen Datenschutzbeauftragten auf dessen Ersuchen oder aus eigener Initiative zusammen, insbesondere bei der Bearbeitung von Beschwerden und bei der Wahrnehmung der Kontrollbefugnisse.

— Unterrichtung des Europäischen Datenschutzbeauftragten: Der Datenschutzbeauftragte unterrichtet den Europäischen Datenschutzbeauftragten über neue Sachverhalte beim Europäischen Parlament, die für den Schutz personenbezogener Daten von Belang sind.

— Register der Verarbeitungen: Der Datenschutzbeauftragte führt gemäß Artikel 26 der Verordnung ein Register der von den für die Verarbeitung Verantwortlichen vorgenommenen Verarbeitungen und sorgt dafür, dass jedermann dieses Register einsehen kann.

— Meldung von Verarbeitungen, die besondere Risiken beinhalten können: Der Datenschutzbeauftragte meldet dem Europäischen Datenschutzbeauftragten alle Fälle von Verarbeitungen, die besondere Risiken im Sinne von Artikel 27 der Verordnung beinhalten können. Im Zweifelsfall konsultiert der Datenschutzbeauftragte den Europäischen Datenschutzbeauftragten zu der Notwendigkeit einer Vorabkontrolle.

— Gewährleistung der Rechte und Freiheiten der betroffenen Personen: Der Datenschutzbeauftragte trägt dafür Sorge, dass die Rechte und Freiheiten der betroffenen Personen durch die Verarbeitungen nicht beeinträchtigt werden und dass niemand dadurch Schaden nimmt, dass er dem Datenschutzbeauftragten einen Umstand zur Kenntnis gebracht hat, von dem er annimmt, dass er eine Verletzung der Bestimmungen der Verordnung darstellt.

Artikel 5

Befugnisse

1. Zur Erfüllung seiner Aufgaben und unter den in der Verordnung vorgesehenen Bedingungen kann der Datenschutzbeauftragte:

— auf eigene Initiative gegenüber den für die Verarbeitung Verantwortlichen oder gegenüber dem Generalsekretär Empfehlungen in Fragen der Anwendung der Datenschutzbestimmungen oder dieser Durchführungsbestimmungen aussprechen;

— auf eigene Initiative oder auf Ersuchen des für die Verarbeitung Verantwortlichen, des Personalrats des Europäischen Parlaments oder jeder natürlichen Person Fragen und Vorkommnisse prüfen, die mit seinen Aufgaben in direktem Zusammenhang stehen und ihm zur Kenntnis gebracht werden. Bei dieser Prüfung müssen der Grundsatz der Unparteilichkeit und die Rechte der betroffenen Person gewahrt werden. Der Datenschutzbeauftragte übermittelt das Ergebnis seiner Prüfung der Person, die ihn damit beauftragt hat, und dem für die Verarbeitung Verantwortlichen;

— dem Generalsekretär jeden Verstoß gegen die Bestimmungen der Verordnung zur Kenntnis bringen;

— regelmäßig an den Sitzungen mit dem Europäischen Datenschutzbeauftragten und/oder den behördlichen Datenschutzbeauftragten der übrigen Organe und Einrichtungen teilnehmen, um einen gegenseitigen Informationsaustausch aufzubauen, eine interinstitutionelle Zusammenarbeit zu gewährleisten und die Anwendung der geltenden Verfahren anzugleichen;

— einen jährlichen Tätigkeitsbericht für den Generalsekretär und den Europäischen Datenschutzbeauftragten zu den Tätigkeiten im Bereich des Datenschutzes beim Europäischen Parlament ausarbeiten und dem Personal des Europäischen Parlaments zugänglich machen;

— eine Stellungnahme über die Rechtmäßigkeit tatsächlicher oder vorgeschlagener Verarbeitungsmaßnahmen, über die erforderlichen Maßnahmen zur Gewährleistung von deren Rechtmäßigkeit oder über die Einschlägigkeit oder Unangemessenheit von Sicherheitsdaten oder -maßnahmen abgeben. Die Stellungnahme kann insbesondere alle Fragen im Zusammenhang mit der Meldung von Datenverarbeitungsmaßnahmen betreffen.

2. Der Datenschutzbeauftragte hat jederzeit Zugang zu den Daten, die Gegenstand der Verarbeitung sind, sowie zu allen Geschäftsräumen, Datenverarbeitungsanlagen und Datenträgern.

Artikel 6

Verfahren zur Meldung von Verarbeitungen

1. Der für die Verarbeitung Verantwortliche meldet dem Datenschutzbeauftragten die beabsichtigte Datenverarbeitung vorab und so frühzeitig, dass gegebenenfalls eine Vorabkontrolle im Sinne von Artikel 27 Absatz 3 der Verordnung durchgeführt werden kann. Dazu kann er das über das Intranet des Europäischen Parlaments verfügbare Meldeformular benutzen. Bei der Meldung müssen in jedem Falle die Bestimmungen des Absatzes 3 beachtet werden. Die Meldung muss von dem für die Verarbeitung Verantwortlichen unterzeichnet sein und der Dienststelle „Schutz personenbezogener Daten“ per Hauspost, auf elektronischem Wege oder per Fax übermittelt werden. In den beiden letztgenannten Fällen muss das in Papierform unterzeichnete Original der Dienststelle „Schutz personenbezogener Daten“ innerhalb von zehn Kalendertagen nach der Übermittlung zugehen.

2. Die zum Zeitpunkt des Inkrafttretens der Verordnung, nämlich dem 1. Februar 2002, bereits begonnenen Verarbeitungen werden von dem für die Verarbeitung Verantwortlichen nach dem in Absatz 1 genannten Meldeverfahren unverzüglich gemeldet.

3. Die Meldung enthält mindestens folgende Angaben:

a) Name und Anschrift des für die Verarbeitung Verantwortlichen und Angabe der Dienststellen des Europäischen Parlaments, die mit der Verarbeitung personenbezogener Daten für einen bestimmten Zweck beauftragt sind;

b) Zweckbestimmung(en) der Verarbeitung;

c) eine Beschreibung der Kategorie(n) der betroffenen Personen und der diesbezüglichen Daten oder Datenkategorien;

d) Rechtsgrundlage der Verarbeitung, für die die Daten bestimmt sind;

e) Empfänger oder Kategorien von Empfängern, denen die Daten mitgeteilt werden können;

f) eine allgemeine Angabe der Fristen für die Sperrung und Löschung der verschiedenen Datenkategorien;

g) geplante Datenübermittlungen in Drittländer oder an internationale Organisationen sowie an Empfänger, die den einzelstaatlichen Rechtsvorschriften eines Mitgliedstaats unterliegen;

h) eine allgemeine Beschreibung, die es ermöglicht, vorläufig zu beurteilen, ob die Maßnahmen nach Artikel 22 der Verordnung zur Gewährleistung der Sicherheit der Verarbeitung angemessen sind.

4. Der für die Verarbeitung Verantwortliche unterrichtet den Datenschutzbeauftragten umgehend über alle Änderungen hinsichtlich der in Absatz 3 genannten Angaben.

Artikel 7

Register der Verarbeitungen

1. Der Datenschutzbeauftragte führt ein Register der gemäß Artikel 6 gemeldeten Verarbeitungen. Das Register enthält die Einzelheiten zu allen beim Europäischen Parlament durchgeführten gemeldeten Verarbeitungen und insbesondere Angaben zu der für die Verarbeitung verantwortlichen Dienststelle, den verarbeiteten Daten und dem Zweck der Verarbeitung.

Das Register dient der Unterrichtung von jedermann und erleichtert ferner die Wahrnehmung der in den Artikeln 13 bis 19 der Verordnung genannten Rechte der betroffenen Person.

2. Das Register enthält die Angaben gemäß Artikel 6 Absatz 3 Buchstaben a) bis g) dieses Beschlusses.

3. Der Datenschutzbeauftragte kann Maßnahmen zur Berichtigung von Angaben ergreifen, die im Register enthalten sind, falls er dies für erforderlich erachtet, um die Richtigkeit der Angaben zu gewährleisten.

Artikel 8

Allgemeine Bestimmungen über die Wahrnehmung der Rechte durch die betroffenen Personen

1. Das Recht auf Auskunft, Berichtigung, Sperrung, Löschung und Widerspruch kann nur von der betroffenen Person oder deren beauftragtem Vertreter wahrgenommen werden.

2. Der Antrag auf Wahrnehmung eines dieser Rechte ist an den für die Verarbeitung Verantwortlichen zu richten. Ein entsprechendes Formular kann in elektronischer Form über das Intranet des Europäischen Parlaments aufgerufen werden. Der Antrag muss folgende Angaben enthalten:

— Name, Vorname und Kontaktadresse der betroffenen Person

— Angabe des wahrgenommenen Rechts

— gegebenenfalls Belege für den Antrag

— die Kategorie(n) der betreffenden Daten

— Unterschrift und Datum des Antrags.

Der Antrag kann per Hauspost oder per Briefpost, auf elektronischem Wege oder per Fax eingereicht werden, damit die Übermittlung und der Eingang des Antrags bestätigt werden können. Bei fehlerhaften oder unzureichenden Angaben im Antrag kann der für die Verarbeitung Verantwortliche zusätzliche Auskünfte verlangen. Der für die Verarbeitung Verantwortliche muss die Berechtigung des Antragstellers überprüfen.

3. Der für die Verarbeitung Verantwortliche muss den Antrag auf Wahrnehmung der Rechte beantworten, selbst wenn keine personenbezogenen Daten in der Datei vorhanden sind. Der Antragsteller erhält binnen fünf Werktagen nach Eingang des Antrags eine Empfangsbestätigung. Der für die Verarbeitung Verantwortliche ist jedoch nicht gehalten, eine Empfangsbestätigung zu versenden, wenn binnen fünf Werktagen eine eingehende Beantwortung des Antrags erfolgt. Die Antwort erfolgt auf demselben Übermittlungsweg, den die betroffene Person gewählt hat.

4. Der für die Verarbeitung Verantwortliche muss der betroffenen Person mitteilen, dass sie das Recht hat, eine Beschwerde beim Europäischen Datenschutzbeauftragten einzureichen, wenn sie der Ansicht ist, dass ihre Rechte gemäß Artikel 286 des Vertrags bei der Verarbeitung der ihre Person betreffenden Daten verletzt worden sind.

5. Die Wahrnehmung dieser Rechte ist für die betroffene Person unentgeltlich.

6. Vorbehaltlich der Anwendung von Artikel 17 dieses Beschlusses kann ein Antrag auf Wahrnehmung des Rechts in den Fällen nach Artikel 20 der Verordnung abgelehnt werden.

Artikel 9

Auskunftsrecht

1. Die betroffene Person hat das Recht, jederzeit frei und ungehindert innerhalb von drei Monaten nach Eingang eines Antrags unentgeltlich von dem für die Verarbeitung Verantwortlichen folgende Auskünfte zu erhalten:

— die Bestätigung, ob sie betreffende Daten verarbeitet werden oder nicht;

— zumindest Angaben zu den Zwecken der Verarbeitung, den Datenkategorien, die verarbeitet werden, den Empfängern oder Kategorien von Empfängern, an die die Daten übermittelt werden;

— eine Mitteilung in verständlicher Form über die Daten, die Gegenstand der Verarbeitung sind, sowie alle verfügbaren Informationen über die Herkunft der Daten;

— Auskunft über den logischen Aufbau der automatisierten Verarbeitung der sie betreffenden Daten.

2. Die betroffene Person kann ihre persönlichen Daten auf folgendem Wege einsehen:

— Einsichtnahme vor Ort;

— Ausstellung einer von dem für die Verarbeitung Verantwortlichen erstellten beglaubigten Kopie;

— Ausstellung einer elektronischen Kopie;

— andere Verfahren, die dem für die Verarbeitung Verantwortlichen zur Verfügung stehen und an die Datei angepasst sind.

Artikel 10

Recht auf Berichtigung

1. Die betroffene Person hat das Recht, von dem für die Verarbeitung Verantwortlichen zu verlangen, dass unrichtige oder unvollständige personenbezogene Daten unverzüglich berichtigt werden.

2. Der Antrag auf Berichtigung muss die zu berichtigenden Daten und die durchzuführende Berichtigung angeben. Der Antrag kann gegebenenfalls durch entsprechende Belege ergänzt werden.

3. Wird der Antrag auf Berichtigung angenommen, so erfolgt die Berichtigung umgehend und die betroffene Person wird hiervon unterrichtet. Bei einer Ablehnung des Antrags auf Berichtigung verfügt der für die Verarbeitung Verantwortliche über eine Frist von 15 Werktagen, um die betroffene Person durch ein mit Gründen versehenes Schreiben hiervon zu unterrichten.

Artikel 11

Recht auf Sperrung

1. Die betroffene Person hat das Recht, von dem für die Verarbeitung Verantwortlichen die Sperrung von Daten zu verlangen, wenn

a) ihre Richtigkeit von der betroffenen Person bestritten wird, und zwar für eine Dauer, die es dem für die Verarbeitung Verantwortlichen ermöglicht, die Richtigkeit einschließlich der Vollständigkeit der Daten zu überprüfen, oder

b) der für die Verarbeitung Verantwortliche sie für die Erfüllung seiner Aufgaben nicht länger benötigt, sie aber für Beweiszwecke weiter aufbewahrt werden müssen, oder

c) die Verarbeitung unrechtmäßig ist, die betroffene Person Einspruch gegen ihre Löschung erhebt und statt dessen ihre Sperrung fordert.

2. Der Antrag auf Sperrung muss die zu sperrenden Daten enthalten. Die betroffene Person, die die Sperrung beantragt und erreicht hat, wird von dem für die Verarbeitung Verantwortlichen hiervon unterrichtet. Sie wird auch mindestens 15 Werktage im voraus über die Aufhebung der Sperrung unterrichtet.

3. Der für die Verarbeitung Verantwortliche muss sich binnen 15 Werktagen nach Eingang des Antrags auf Sperrung dazu äußern. Wird der Antrag angenommen, so muss er binnen 30 Werktagen ausgeführt werden und die betroffene Person wird hiervon unterrichtet. Bei einer Ablehnung des Antrags auf Sperrung verfügt der für die Verarbeitung Verantwortliche über eine Frist von 15 Werktagen, um die betroffene Person durch ein mit Gründen versehenes Schreiben hiervon zu unterrichten.

4. In automatisierten Dateien wird die Sperrung durch technische Mittel gewährleistet. Die Tatsache, dass die personenbezogenen Daten gesperrt sind, ist in dem System in einer Weise anzugeben, aus der klar wird, dass die personenbezogenen Daten nicht verwendet werden dürfen.

5. Gemäß diesem Artikel gesperrte personenbezogene Daten werden mit Ausnahme ihrer Speicherung nur verarbeitet, wenn sie für Beweiszwecke erforderlich sind, wenn die betroffene Person ihre Einwilligung gegeben hat oder die Rechte eines Dritten geschützt werden müssen.

Artikel 12

Recht auf Löschung

1. Die betroffene Person hat das Recht, von dem für die Verarbeitung Verantwortlichen die Löschung der Daten zu verlangen, wenn deren Verarbeitung rechtswidrig ist.

2. Der Antrag auf Löschung muss die zu löschenden Daten enthalten. Wird die Rechtswidrigkeit der Verarbeitung von dem für die Verarbeitung Verantwortlichen bestritten, so muss dieser die Rechtmäßigkeit der Verarbeitung nachweisen.

3. Der für die Verarbeitung Verantwortliche muss binnen 15 Werktagen nach Eingang des Antrags auf Löschung dazu Stellung nehmen. Wird der Antrag angenommen, so muss er unverzüglich ausgeführt werden. Vertritt der für die Verarbeitung Verantwortliche die Auffassung, dass der Antrag unbegründet ist, so verfügt er über eine Frist von 15 Werktagen, um die betroffene Person durch ein mit Gründen versehenes Schreiben hiervon zu unterrichten.

4. Die Löschung beinhaltet das materielle Verschwinden der Daten, ohne dass diese durch eine Kennung oder die Einrichtung einer alternativen Datei mit den gelöschten Daten ersetzt würden. Ist eine Löschung der Daten aus technischen Gründen nicht möglich, so sorgt der für die Verarbeitung Verantwortliche für ihre unverzügliche Sperrung. Die betroffene Person wird über dieses Verfahren umfassend unterrichtet.

Artikel 12a

Mitteilung an Dritte

Die betroffene Person hat das Recht, von dem für die Verarbeitung Verantwortlichen zu verlangen, dass Dritten, denen die Daten übermittelt wurden, jede Berichtigung, Löschung oder Sperrung dieser Daten gemäß Artikel 10 bis 12 mitgeteilt wird, es sei denn, dass sich dies als unmöglich erweist oder einen unverhältnismäßigen Aufwand bedeutet. Wird die Mitteilung an Dritte aus Gründen der Unmöglichkeit oder des unverhältnismäßigen Aufwands abgelehnt, so verfügt der für die Verarbeitung Verantwortliche über eine Frist von 15 Werktagen, um die betroffene Person durch ein mit Gründen versehenes Schreiben hiervon zu unterrichten.

Artikel 13

Widerspruchsrecht

1. Die betroffene Person hat das Recht, jederzeit aus zwingenden und schutzwürdigen, sich aus ihrer besonderen Situation ergebenden Gründen gegen die Verarbeitung von sie betreffenden Daten Widerspruch einzulegen, außer in den Fällen nach Artikel 5 Buchstaben b), c) und d) der Verordnung.

2. Die betroffene Person hat das Recht, vor der ersten Weitergabe personenbezogener Daten an Dritte oder vor deren erstmaliger Nutzung im Auftrag Dritter zum Zwecke der Direktwerbung informiert zu werden und ausdrücklich auf das Recht hingewiesen zu werden, kostenfrei gegen eine solche Weitergabe oder Nutzung Widerspruch einlegen zu können.

3. In dem Antrag ist anzugeben, um welche Daten es sich handelt.

4. Der für die Verarbeitung Verantwortliche muss der betroffenen Person binnen 15 Werktagen nach Eingang des Antrags antworten. Vertritt der für die Verarbeitung Verantwortliche die Auffassung, dass der Antrag unbegründet ist, so teilt er der betroffenen Person dies durch ein mit Gründen versehenes Schreiben mit.

5. Bei berechtigtem Widerspruch darf sich die Verarbeitung nach Absatz 1 nicht mehr auf diese Daten beziehen.

Artikel 14

Kontrollverfahren

1. Jeder für die Verarbeitung Verantwortliche muss den Datenschutzbeauftragten bei der Erfüllung seiner Aufgaben unterstützen und ihm auf Anfrage binnen 20 Werktagen Auskunft erteilen. Der Datenschutzbeauftragte hat bei der Erfüllung seiner Aufgaben jederzeit Zugang zu den Daten, die Gegenstand der Verarbeitung sind, sowie zu allen Geschäftsräumen, Datenverarbeitungsanlagen und Datenträgern.

2. Der Datenschutzbeauftragte kann beschließen, jederzeit eine andere Art von Kontrolle durchzuführen, um die ordnungsgemäße Anwendung der Verordnung durch das Europäische Parlament zu gewährleisten.

Artikel 15

Rechtsbehelfe

1. Alle beim Europäischen Parlament beschäftigten Personen können beim Europäischen Datenschutzbeauftragten eine Beschwerde nach Artikel 33 der Verordnung einreichen. Die Einreichung einer Beschwerde führt nicht zu einer Aussetzung der Fristen zur Einreichung einer Beschwerde nach Artikel 90 des Beamtenstatuts.

2. Unabhängig von dem in Absatz 1 genannten Recht kann jede beim Europäischen Parlament beschäftigte Person eine Beschwerde nach Artikel 90 des Beamtenstatuts zu einer Frage in Bezug auf die Verarbeitung personenbezogener Daten bei der Anstellungsbehörde einreichen. In diesem Fall wird der Datenschutzbeauftragte von der zuständigen Dienststelle konsultiert.

Artikel 16

Einschränkungen

1. Der für die Verarbeitung Verantwortliche kann die in den Artikeln 9 bis 13 dieses Beschlusses vorgesehenen Rechte aus den in Artikel 20 Absatz 1 der Verordnung genannten Gründen einschränken. Der für die Verarbeitung Verantwortliche konsultiert vorab den Datenschutzbeauftragten.

2. Findet eine Einschränkung statt, so unterrichtet der für die Verarbeitung Verantwortliche die betroffene Person gemäß dem Gemeinschaftsrecht über die wesentlichen Gründe für diese Einschränkung und darüber, dass sie das Recht hat, sich an den Europäischen Datenschutzbeauftragten und an den Gerichtshof zu wenden.

3. Der für die Verarbeitung Verantwortliche beantwortet umgehend Anträge im Zusammenhang mit der Anwendung von Einschränkungen bei der Wahrnehmung der Rechte und begründet die diesbezügliche Entscheidung.

Artikel 17

Für die Verarbeitung Verantwortliche

1. Der Generalsekretär kann durch besonderen Beschluss eine ihm unterstellte Behörde als den für die Verarbeitung Verantwortlichen im Sinne von Artikel 2 Buchstabe d) der Verordnung ernennen.

2. Der für die Verarbeitung Verantwortliche hat darauf zu achten, dass die unter seiner Aufsicht durchgeführten Verarbeitungen der Verordnung entsprechen, und hat dabei insbesondere

— den Datenschutzbeauftragten und den Europäischen Datenschutzbeauftragten bei der Wahrnehmung ihrer jeweiligen Aufgaben zu unterstützen und ihnen dazu insbesondere in Beantwortung ihrer Anfragen binnen höchstens 20 Werktagen die entsprechenden Auskünfte zu erteilen;

— geeignete technische und organisatorische Maßnahmen zu ergreifen und dem Personal des Europäischen Parlaments oder anderen ihm unterstehenden Personen entsprechende Anweisungen zu geben, um sowohl die Vertraulichkeit der Verarbeitung als auch ein Sicherheitsniveau zu gewährleisten, das den von der Verarbeitung ausgehenden Risiken entspricht;

— dem Datenschutzbeauftragten jede Verarbeitung von Daten gemäß Artikel 6 vorab zu melden.

Artikel 17a

Zugang zu den Dokumenten

1. Das Register der Verarbeitungen ist öffentlich und in elektronischer Form zugänglich. Jedermann kann es unmittelbar einsehen und beim Datenschutzbeauftragten des Europäischen Parlaments eine beglaubigte Kopie des Eintrags einer bestimmten Verarbeitung beantragen. Es besteht ferner die Möglichkeit eines mittelbaren Zugangs über den Europäischen Datenschutzbeauftragten.

2. Die Dokumente des Datenschutzbeauftragten und seiner Dienststellen unterliegen der Anwendung der Verordnung (EG) Nr. 1049/2001 des Europäischen Parlaments und des Rates vom 30. Mai 2001 über den Zugang der Öffentlichkeit zu Dokumenten des Europäischen Parlaments, des Rates und der Kommission.

Artikel 18

Inkrafttreten

Dieser Beschluss tritt am Tage nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.