EUROPÄISCHE KOMMISSION Brüssel, den 10.1.2017 COM(2017) 8 final 2017/0002(COD) Vorschlag für eine VERORDNUNG DES EUROPÄISCHEN PARLAMENTS UND DES RATES zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG



BEGRÜNDUNG 1.KONTEXT DES VORSCHLAGS •Gründe und Ziele des Vorschlags In Artikel 16 Absatz 1 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV), der mit dem Vertrag von Lissabon eingeführt wurde, ist der Grundsatz verankert, dass jede Person das Recht auf Schutz der sie betreffenden personenbezogenen Daten hat. Mit Artikel 16 Absatz 2 AEUV verfügt die Union zudem seit dem Vertrag von Lissabon über eine besondere Rechtsgrundlage für den Erlass von Datenschutzvorschriften. In Artikel 8 der Charta der Grundrechte der Europäischen Union ist der Schutz personenbezogener Daten als Grundrecht ausgestaltet. Das Recht auf den Schutz personenbezogener Daten gilt auch für die Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der EU. Die Verordnung (EG) Nr. 45/2001, das Kernstück der EU-Vorschriften zum Schutz personenbezogener Daten in den Organen und Einrichtungen der Union, wurde im Jahr 2001 mit zwei Zielen verabschiedet: Schutz des Grundrechts auf Datenschutz und Gewährleistung des freien Verkehrs personenbezogener Daten in der gesamten Union. Die Verordnung wurde durch den Beschluss Nr. 1247/2002/EG ergänzt. Am 27. April 2016 nahmen das Europäische Parlament und der Rat die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) an, die ab dem 25. Mai 2018 gelten wird. Darin wird die Anpassung der Verordnung (EG) Nr. 45/2001 an die Grundsätze und Vorschriften der Verordnung (EU) 2016/679 gefordert, um einen soliden und kohärenten Rechtsrahmen im Bereich des Datenschutzes in der Union zu gewährleisten und zu ermöglichen, dass beide Verordnungen gleichzeitig angewandt werden können. Im Interesse einer einheitlichen Herangehensweise hinsichtlich des Schutzes personenbezogener Daten in der gesamten Union sind die Datenschutzvorschriften für die Organe, Einrichtungen und sonstigen Stellen der Union so weit als möglich den für die Mitgliedstaaten erlassenen Datenschutzvorschriften anzugleichen. Wann immer einer Bestimmung des Vorschlags dasselbe Konzept zugrunde liegt wie einer Bestimmung der Verordnung (EU) 2016/679, sind beide Bestimmungen homogen auszulegen, insbesondere da die Systematik des Vorschlags als Gegenstück zu der Systematik der Verordnung (EU) 2016/679 zu sehen ist. Bei der Überprüfung der Verordnung (EG) Nr. 45/2001 wurden auch die Ergebnisse von Erhebungen, der Konsultation der Interessenträger und der Studie zur Bewertung der Anwendung der Verordnung in den letzten 15 Jahren berücksichtigt. Es handelt sich nicht um eine Initiative im Rahmen des Programms zur Gewährleistung der Effizienz und Leistungsfähigkeit der Rechtsetzung (REFIT). •Kohärenz mit den bestehenden Vorschriften in diesem Bereich Ziel des Vorschlags ist die Angleichung der Bestimmungen der Verordnung (EG) Nr. 45/2001 an die Grundsätze und Vorschriften der Verordnung (EU) 2016/679, um einen soliden und kohärenten Rechtsrahmen im Bereich des Datenschutzes in der Union zu gewährleisten. Der Vorschlag umfasst auch die einschlägigen Vorschriften der Verordnung (EG) XXXX/XX [Verordnung über Privatsphäre und elektronische Kommunikation] über den Schutz der Endeinrichtungen von Endnutzern. •Kohärenz mit der Politik der Union in anderen Bereichen Entfällt 2.RECHTSGRUNDLAGE, SUBSIDIARITÄT UND VERHÄLTNISMÄSSIGKEIT •Rechtsgrundlage Der Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten ist ein Grundrecht, das in Artikel 8 Absatz 1 der Charta der Grundrechte der Europäischen Union verankert ist. Der vorliegende Vorschlag stützt sich auf Artikel 16 AEUV, der die Rechtsgrundlage für den Erlass von Datenschutzvorschriften bildet. Dieser Artikel sieht den Erlass von Vorschriften über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union im Rahmen der Ausübung von Tätigkeiten vor, die in den Anwendungsbereich des Unionsrechts fallen. Vorschriften über den freien Verkehr personenbezogener Daten – auch solcher Daten, die von diesen Organen, Einrichtungen und sonstigen Stellen verarbeitet werden – können ebenfalls auf dieser Grundlage erlassen werden. •Subsidiarität (bei nicht ausschließlicher Zuständigkeit) Der Gegenstand dieser Verordnung fällt in die ausschließliche Zuständigkeit der Union, da nur die Europäische Union Vorschriften über die Verarbeitung personenbezogener Daten durch die Organe und Einrichtungen der Union erlassen kann.

•Verhältnismäßigkeit Damit die grundlegenden Ziele, ein gleichwertiges Schutzniveau für natürliche Personen bei der Verarbeitung personenbezogener Daten und den freien Verkehr personenbezogener Daten in der gesamten Union zu gewährleisten, entsprechend dem Grundsatz der Verhältnismäßigkeit verwirklicht werden können, ist es erforderlich und angemessen, Vorschriften für die Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union festzulegen. Die vorliegende Verordnung geht entsprechend Artikel 5 Absatz 4 des Vertrags über die Europäische Union nicht über das zur Erreichung dieser Ziele erforderliche Maß hinaus. •Wahl des Instruments Eine Verordnung wird als das geeignete Rechtsinstrument angesehen, um den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union und den freien Datenverkehr zu regeln. Sie sieht rechtlich durchsetzbare Rechte für natürliche Personen sowie Pflichten der für die Datenverarbeitung Verantwortlichen in den Organen, Einrichtungen und anderen Stellen der Union vor. Außerdem sieht sie eine unabhängige Aufsichtsbehörde vor, den Europäischen Datenschutzbeauftragten, der für die Überwachung der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union zuständig ist. 3.ERGEBNISSE DER EX-POST-BEWERTUNG, DER KONSULTATION DER INTERESSENTRÄGER UND DER FOLGENABSCHÄTZUNG Die Kommission hat in den Jahren 2010 und 2011 die Interessenträger konsultiert und im Zuge der Vorbereitung des Datenschutz-Reformpakets eine Folgenabschätzung durchgeführt, deren Ergebnisse in die Vorschläge zur Änderung der Verordnung (EG) Nr. 45/2001 eingeflossen sind. In diesem Zusammenhang hat die Kommission auch ihre Datenschutzkoordinatoren befragt. Informationen über die praktische Anwendung der Verordnung (EG) Nr. 45/2001 durch die Organe, Einrichtungen und sonstigen Stellen der Union wurden von dem Europäischen Datenschutzbeauftragten, anderen Organen, Einrichtungen und Stellen der Union, anderen Generaldirektionen der Kommission und einem externen Auftragnehmer beigesteuert. Dem Netz der behördlichen Datenschutzbeauftragten wurde ein Fragebogen übermittelt. Die Datenschutzbeauftragten einer Reihe von Organen, Einrichtungen und sonstigen Stellen der Union hielten am 9. Juli 2015, am 22. Oktober 2015, am 19. Januar 2016 und am 15. März 2016 Workshops ab, die die Reform der Verordnung (EG) Nr. 45/2001 zum Gegenstand hatten. Im Jahr 2013 beschloss die Kommission die Durchführung einer Studie zur Bewertung der Anwendung der Verordnung (EG) Nr. 45/2001 und beauftragte einen externen Auftragnehmer damit. Die Ergebnisse der Studie (Abschlussbericht, fünf Fallstudien und Analyse der einzelnen Artikel) wurden der Kommission am 8. Juni 2015 vorgelegt. Die Bewertung ergab, dass das System und die Tätigkeit der behördlichen Datenschutzbeauftragten und des Europäischen Datenschutzbeauftragten wirksam geregelt sind. Es wurde festgestellt, dass die Aufteilung der Zuständigkeiten zwischen den Datenschutzbeauftragten und dem Europäischen Datenschutzbeauftragten klar und ausgewogen ist und diese jeweils über angemessene Befugnisse verfügen. Problematisch sei mitunter allerdings ein Mangel an Autorität aufgrund unzureichender Unterstützung der Datenschutzbeauftragten durch ihre Vorgesetzten. Die Studie gelangte zu dem Schluss, dass die Verordnung (EG) Nr. 45/2001 durch die Verhängung von Sanktionen durch den Europäischen Datenschutzbeauftragten besser durchgesetzt werden könnte. Eine verstärkte Nutzung seiner Aufsichtsbefugnisse könne die Umsetzung der Datenschutzvorschriften verbessern. Eine weitere Schlussfolgerung bestand darin, dass die für die Datenverarbeitung Verantwortlichen vor Verarbeitungsvorgängen zunächst ein Konzept für das Risikomanagement festlegen und Risikobewertungen vornehmen sollten, um die Anforderungen in Bezug auf Vorratsdatenspeicherung und Sicherheit besser erfüllen zu können. Ferner ergab die Studie, dass die Bestimmungen in Kapitel IV der Verordnung (EG) Nr. 45/2001 über die Telekommunikation überholt sind und dass dieses Kapitel an die e-Datenschutz-Richtlinie angepasst werden muss. Der Studie zufolge müssen auch einige zentrale Begriffsbestimmungen der Verordnung (EG) Nr. 45/2001 klarer gefasst werden. Dazu gehören die Definition der in den Organen, Einrichtungen und sonstigen Stellen der Union für die Datenverarbeitung Verantwortlichen und der Empfänger sowie die Ausweitung der Verpflichtung zur Vertraulichkeit auf externe Auftragsverarbeiter. Des Weiteren wurde in der Studie auf die Notwendigkeit einer Vereinfachung des Systems der Meldung und Vorabkontrolle hingewiesen, um die Effizienz zu erhöhen und den Verwaltungsaufwand zu verringern. Das mit der Bewertungsstudie beauftragte Unternehmen führte eine Online-Umfrage bei 64 Organen, Einrichtungen und sonstigen Stellen der Union durch. 422 für die Datenverarbeitung verantwortliche Bedienstete, 73 Datenschutzbeauftragte, 118 Datenschutzkoordinatoren und 109 IT-Beauftragte beantworteten die Fragen. Darüber hinaus wurden eine Reihe direkter Befragungen von Interessenträgern durchgeführt. Am 26. März 2015 veranstalteten das Bewertungsunternehmen und die Kommission einen abschließenden Workshop, an dem für die Datenverarbeitung Verantwortliche, Datenschutzbeauftragte, Datenschutzkoordinatoren, IT-Beauftragte und Vertreter des Europäischen Datenschutzbeauftragten teilnahmen. •Einholung und Nutzung von Expertenwissen Siehe Erläuterungen zur Bewertungsstudie unter dem vorherigen Punkt. •Folgenabschätzung Die Auswirkungen dieses Vorschlags betreffen hauptsächlich die Organe, Einrichtungen und sonstigen Stellen der Union. Dies bestätigen die Informationen, die bei dem Europäischen Datenschutzbeauftragten, den anderen Organen, Einrichtungen und Stellen der Union, den Generaldirektionen der Kommission und dem externen Auftragnehmer eingeholt wurden. Darüber hinaus wurden die Auswirkungen der neuen Verpflichtungen, die sich aus der Verordnung (EU) 2016/679 ergeben, an welche die vorliegende Verordnung angeglichen werden muss, im Rahmen der Vorbereitungsarbeiten für diese Verordnung bewertet. Daher ist eine spezifische Folgenabschätzung für die vorliegende Verordnung nicht erforderlich. •Effizienz der Rechtsetzung und Vereinfachung Entfällt

•Grundrechte Das Recht auf Schutz personenbezogener Daten ist in Artikel 8 der Charta der Grundrechte der Europäischen Union, Artikel 16 AEUV und Artikel 8 der Europäischen Menschenrechtskonvention verankert. Wie der Gerichtshof der Europäischen Union betont hat, kann das Recht auf Schutz der personenbezogenen Daten jedoch keine uneingeschränkte Geltung beanspruchen, sondern muss im Hinblick auf seine gesellschaftliche Funktion gesehen werden. Der Datenschutz hängt zudem eng mit der Achtung des Privat- und Familienlebens zusammen, das durch Artikel 7 der Charta geschützt ist. Der vorliegende Vorschlag enthält Vorschriften für den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union und für den freien Datenverkehr. Die folgenden in der Charta verankerten Grundrechte könnten ebenfalls betroffen sein: die Freiheit der Meinungsäußerung (Artikel 11), das Eigentumsrecht und insbesondere der Schutz des geistigen Eigentums (Artikel 17 Absatz 2), das Verbot einer Diskriminierung unter anderem wegen der Rasse, der ethnischen Herkunft, der genetischen Merkmale, der Religion oder der Weltanschauung, der politischen oder sonstigen Anschauung, einer Behinderung oder der sexuellen Ausrichtung (Artikel 21), die Rechte des Kindes (Artikel 24), das Recht auf ein hohes Gesundheitsschutzniveau (Artikel 35), das Recht auf Zugang zu Dokumenten (Artikel 42) und das Recht auf einen wirksamen Rechtsbehelf und ein faires Verfahren (Artikel 47). 4.AUSWIRKUNGEN AUF DEN HAUSHALT Siehe beigefügten Finanzbogen. 5.WEITERE ANGABEN •Durchführungspläne sowie Monitoring-, Bewertungs- und Berichterstattungsmodalitäten Entfällt •Erläuternde Dokumente (bei Richtlinien) Entfällt KAPITEL I – ALLGEMEINE BESTIMMUNGEN Artikel 1 nennt den Gegenstand der Verordnung und – wie Artikel 1 der Verordnung (EG) Nr. 45/2001 – ihre beiden Zielsetzungen: Schutz des Grundrechts auf Datenschutz und Gewährleistung des freien Verkehrs personenbezogener Daten in der gesamten Union. Außerdem wird die Hauptaufgabe des Europäischen Datenschutzbeauftragten genannt. Artikel 2 bestimmt den Anwendungsbereich der Verordnung: Sie soll für die automatisierte und nichtautomatisierte Verarbeitung personenbezogener Daten durch alle Organe und Einrichtungen der Union gelten, soweit die Verarbeitung im Rahmen von Tätigkeiten erfolgt, die ganz oder teilweise in den Anwendungsbereich des Unionsrechts fallen. Der sachliche Anwendungsbereich dieser Verordnung ist technologieneutral. Der Schutz personenbezogener Daten gilt für die automatisierte Verarbeitung personenbezogener Daten ebenso wie für die manuelle Verarbeitung personenbezogener Daten, wenn die personenbezogenen Daten in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Artikel 3 enthält die Begriffsbestimmungen. Abgesehen von den Ausdrücken „Organe und Einrichtungen der Union“, „Verantwortlicher“, „Nutzer“ und „Verzeichnis“, für die diese Verordnung eigene Definitionen enthält, sind die verwendeten Ausdrücke in der Verordnung (EU) 2016/679, der Verordnung (EU) 0000/00 [neue Verordnung über Privatsphäre und elektronische Kommunikation], der Richtlinie 00/0000/EU [Richtlinie über den europäischen Kodex für die elektronische Kommunikation] und der Richtlinie 2008/63/EG der Kommission definiert. KAPITEL II – GRUNDSÄTZE In Artikel 4 sind die Grundsätze für die Verarbeitung personenbezogener Daten niedergelegt, die denen in Artikel 5 der Verordnung (EU) 2016/679 entsprechen. Gegenüber der Verordnung (EG) Nr. 45/2001 kommen die neuen Grundsätze der Transparenz und der Integrität und Vertraulichkeit hinzu. Artikel 5 basiert auf Artikel 6 der Verordnung (EU) 2016/679 und enthält die Kriterien für eine rechtmäßige Verarbeitung, allerdings mit Ausnahme des Kriteriums des berechtigten Interesses des Verantwortlichen, das nicht für den öffentlichen Sektor gilt und somit für die Organe und Einrichtungen der Union nicht anwendbar ist. Die bereits in Artikel 5 der Verordnung (EG) Nr. 45/2001 enthaltenen Kriterien werden beibehalten. In Artikel 6 werden die Bedingungen für die „Verarbeitung für einen anderen konformen Zweck“ im Einklang mit Artikel 6 Absatz 4 der Verordnung (EU) 2016/679 aufgeführt. Im Vergleich zu Artikel 6 der Verordnung (EG) Nr. 45/2001 bietet diese neue Bestimmung mehr Flexibilität und Rechtssicherheit in Bezug auf eine Weiterverarbeitung für kompatible Zwecke. In Artikel 7 werden im Einklang mit Artikel 7 der Verordnung (EU) 2016/679 die Bedingungen für die Einwilligung festgelegt, die eine rechtswirksame Grundlage für eine rechtmäßige Verarbeitung darstellt.

Artikel 8 enthält analog zu Artikel 8 der Verordnung (EU) 2016/679 weitere Bedingungen für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten von Kindern im Zusammenhang mit Diensten der Informationsgesellschaft, die Kindern direkt angeboten werden. Das Mindestalter, das ein Kind haben muss, damit es eine gültige Einwilligung erteilen kann, wird auf 13 Jahre festgelegt. Artikel 9 enthält wie Artikel 8 der Verordnung (EG) Nr. 45/2001 Vorgaben zur Gewährleistung eines bestimmten Schutzniveaus bei der Übermittlung personenbezogener Daten an in der Union niedergelassene und der Verordnung (EU) 2016/679 oder der Richtlinie (EU) 2016/680 unterliegende Empfänger, die nicht Organe oder Einrichtungen der Union sind. So wird klargestellt, dass in Fällen, in denen die Übermittlung auf Veranlassung des Verantwortlichen erfolgt, die Erforderlichkeit und Angemessenheit der Übermittlung nachzuweisen ist. Artikel 10 enthält in Anlehnung an Artikel 9 der Verordnung (EU) 2016/679 und ausgehend von Artikel 10 der Verordnung (EG) Nr. 45/2001 das grundsätzliche Verbot der Verarbeitung besonderer Kategorien personenbezogener Daten sowie die Ausnahmen von diesem Verbot. Artikel 11 enthält im Einklang mit Artikel 10 der Verordnung (EU) 2016/679 und mit Artikel 10 Absatz 5 der Verordnung (EG) Nr. 45/2001 die Bedingungen für die Verarbeitung personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten. Artikel 12 regelt die Informationspflichten des Verantwortlichen gegenüber der betroffenen Person im Einklang mit Artikel 11 der Verordnung (EU) 2016/679, wonach der Verantwortliche, sofern er anhand der von ihm verarbeiteten personenbezogenen Daten eine natürliche Person nicht identifizieren kann, nicht verpflichtet sein sollte, zur bloßen Einhaltung einer Vorschrift dieser Verordnung zusätzliche Daten einzuholen, um die betroffene Person zu identifizieren. Allerdings sollte er sich nicht weigern, zusätzliche Informationen entgegenzunehmen, die von der betroffenen Person beigebracht werden, um ihre Rechte geltend zu machen. Artikel 13, der sich auf Artikel 89 Absatz 1 der Verordnung (EU) 2016/679 stützt, enthält Bestimmungen über Garantien in Bezug auf die Verarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke. KAPITEL III – RECHTE DER BETROFFENEN PERSON Abschnitt 1 – Transparenz und Modalitäten Artikel 14 verpflichtet in Anlehnung an Artikel 12 der Verordnung (EU) 2016/679 die Verantwortlichen, transparente, leicht zugängliche und verständliche Informationen bereitzustellen und Verfahren und Vorkehrungen für die Ausübung der Rechte der betroffenen Person – gegebenenfalls einschließlich Möglichkeiten für die Antragstellung auf elektronischem Weg – vorzusehen, innerhalb einer bestimmten Frist auf den Antrag der betroffenen Person zu reagieren und eine Ablehnung des Antrags zu begründen. Da die Organe und Einrichtungen der Union für Verwaltungskosten, die im Zusammenhang mit der Bereitstellung der Informationen entstehen, keinesfalls Gebühren erheben sollten, wurde diese Möglichkeit aus der Verordnung (EU) 2016/679 nicht übernommen. Abschnitt 2 – Informationspflicht und Auskunftsrecht In Artikel 15 wird in Anlehnung an Artikel 13 der Verordnung (EU) 2016/679 und ausgehend von Artikel 11 der Verordnung (EG) Nr. 45/2001 die Informationspflicht des Verantwortlichen gegenüber der betroffenen Person festgelegt, wenn personenbezogene Daten bei der betroffenen Person erhoben werden. Demnach sind der betroffenen Person Informationen zur Verfügung zu stellen, unter anderem über die Dauer der Speicherung und das Beschwerderecht oder im Zusammenhang mit internationalen Datenübermittlungen. In Artikel 16 wird in Anlehnung an Artikel 14 der Verordnung (EU) 2016/679 und ausgehend von Artikel 12 der Verordnung (EG) Nr. 45/2001 die Informationspflicht des Verantwortlichen gegenüber der betroffenen Person zusätzlich präzisiert: Wenn personenbezogene Daten nicht von der betroffenen Person selbst erlangt wurden, so ist ihr die Quelle mitzuteilen, aus der die Daten stammen. Es werden auch die in der Verordnung (EU) 2016/679 vorgesehenen Ausnahmeregelungen übernommen. So entfällt beispielsweise die Informationspflicht, wenn die betroffene Person bereits über die Informationen verfügt, wenn sich die Bereitstellung dieser Informationen als unmöglich erweist oder für den Verantwortlichen mit einem unverhältnismäßigen Aufwand verbunden wäre, wenn die personenbezogenen Daten nach Unionsrecht dem Berufsgeheimnis unterliegen und daher vertraulich behandelt werden müssen oder wenn die Erfassung oder Offenlegung ausdrücklich gesetzlich vorgesehen ist. Dies könnte zum Beispiel für Verfahren gelten, an denen für soziale Sicherheit oder Gesundheit zuständige Stellen beteiligt sind. Artikel 17 regelt im Einklang mit Artikel 15 der Verordnung (EU) 2016/679 und ausgehend von Artikel 13 der Verordnung (EG) Nr. 45/2001 das Recht der betroffenen Person auf Zugang zu ihren personenbezogenen Daten und fügt neue Elemente hinzu wie die Pflicht, die betroffene Person über die Dauer der Speicherung sowie über das Recht auf Berichtigung und Löschung sowie das Beschwerderecht zu informieren. Abschnitt 3 – Berichtigung und Löschung Artikel 18 regelt in Anlehnung an Artikel 16 der Verordnung (EU) 2016/679 und ausgehend von Artikel 14 der Verordnung (EG) Nr. 45/2001 das Recht der betroffenen Person auf Berichtigung ihrer Daten. Artikel 19 regelt im Einklang mit Artikel 17 der Verordnung (EU) 2016/679 und ausgehend von Artikel 16 der Verordnung (EG) Nr. 45/2001 das Recht der betroffenen Person auf Löschung ihrer Daten („Recht auf Vergessenwerden“). Es werden die Bedingungen für das Recht auf Vergessenwerden aufgeführt. Hierzu zählt auch die Pflicht des Verantwortlichen, der die personenbezogenen Daten veröffentlicht hat, Dritte über den Antrag der betroffenen Person auf Löschung aller Verbindungen zu diesen personenbezogenen Daten oder auf Löschung von Kopien oder Replikationen dieser Daten zu informieren. Artikel 20 führt das Recht auf Einschränkung der Verarbeitung in bestimmten Fällen ein, wobei der mehrdeutige Ausdruck „Sperrung“, der in der Verordnung (EG) Nr. 45/2001 verwendet wird, vermieden wird und für Kohärenz mit der neuen Terminologie in Artikel 18 der Verordnung (EU) 2016/679 gesorgt wird. Artikel 21 sieht im Einklang mit Artikel 19 der Verordnung (EU) 2016/679 und ausgehend von Artikel 17 der Verordnung (EG) Nr. 45/2001 die Pflicht des Verantwortlichen vor, den Empfängern, denen personenbezogene Daten offengelegt wurden, eine Berichtigung oder Löschung der personenbezogene Daten oder eine Einschränkung ihrer Verarbeitung mitzuteilen, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden. Der Verantwortliche unterrichtet auch die betroffene Person über diese Empfänger, wenn sie dies verlangt. Artikel 22 führt im Einklang mit Artikel 20 der Verordnung (EU) 2016/679 das Recht der betroffenen Person auf Datenübertragbarkeit ein, d. h. das Recht, die sie betreffenden personenbezogenen Daten, die sie einem Verantwortlichen bereitgestellt hat, zu erhalten, und das Recht, diese Daten direkt einem anderen Verantwortlichen übermitteln zu lassen, wenn dies technisch machbar ist. Als Voraussetzung für die Ausübung dieses Rechts und zur weiteren Verbesserung des Zugangs natürlicher Personen zu ihren Daten ist vorgesehen, dass der Verantwortliche diese Daten in einem strukturierten, gängigen maschinenlesbaren Format zur Verfügung stellen muss. Dieses Recht besteht nur, wenn die Verarbeitung auf einer Einwilligung der betroffenen Person oder einem von ihr geschlossenen Vertrag beruht. Abschnitt 4 – Widerspruchsrecht und automatisierte Entscheidungsfindung im Einzelfall

Artikel 23 regelt in Anlehnung an Artikel 21 der Verordnung (EU) 2016/679 und ausgehend von Artikel 18 der Verordnung (EG) Nr. 45/2001 das Widerspruchsrecht der betroffenen Person. Artikel 24 betrifft analog zu Artikel 22 der Verordnung (EU) 2016/679 und ausgehend von Artikel 19 der Verordnung (EG) Nr. 45/2001 das Recht der betroffenen Person, nicht einer ausschließlich auf einer automatisierten Verarbeitung einschließlich Profiling beruhenden Maßnahme unterworfen zu werden. Abschnitt 5 – Beschränkungen Artikel 25 erlaubt Beschränkungen der Rechte der betroffenen Person, die in den Artikeln 14 bis 22, 34 und 38 festgelegt sind, sowie der Grundsätze des Artikels 4 (soweit dessen Bestimmungen den in den Artikeln 14 bis 22 vorgesehenen Rechten und Pflichten entsprechen). Diese Beschränkungen sollten in Rechtsakten, die auf der Grundlage der Verträge erlassen wurden, oder in internen Vorschriften der Organe und Einrichtungen der Union vorgesehen sein. Ist die Möglichkeit einer solchen Beschränkung nicht in einem auf der Grundlage der Verträge erlassenen Rechtsakt oder in einer internen Vorschrift der Organe und Einrichtungen der Union vorgesehen, so können diese eine Ad-hoc-Beschränkung verhängen, sofern diese in Bezug auf einen bestimmten Verarbeitungsvorgang den Wesensgehalt der Grundrechte und Grundfreiheiten achtet und in einer demokratischen Gesellschaft eine erforderliche und angemessene Maßnahme darstellt, mit der eines oder mehrere der Ziele gewahrt werden, die die Beschränkung der Rechte betroffener Personen erlauben. Dieser Ansatz steht im Einklang mit Artikel 23 der Verordnung (EU) 2016/679. Im Gegensatz zu Artikel 23 der Verordnung (EU) 2016/679 und im Einklang mit Artikel 20 der Verordnung (EG) Nr. 45/2001 ist die Möglichkeit einer Beschränkung des Widerspruchsrechts und des Rechts, nicht einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden, nicht vorgesehen. Die Voraussetzungen für Beschränkungen stehen im Einklang mit der Grundrechtecharta und der Europäischen Menschenrechtskonvention in ihrer Auslegung durch den Gerichtshof der Europäischen Union und den Europäischen Gerichtshof für Menschenrechte. KAPITEL IV – VERANTWORTLICHER UND AUFTRAGSVERARBEITER Abschnitt 1 – Allgemeine Pflichten Artikel 26 lehnt sich an Artikel 24 der Verordnung (EU) 2016/679 an und führt den Grundsatz der Rechenschaftspflicht ein: So ist der Verantwortliche verpflichtet, diese Verordnung einzuhalten und dies nachzuweisen, unter anderem durch Einführung geeigneter technischer und organisatorischer Maßnahmen und gegebenenfalls interner Maßnahmen und Verfahren, die die Einhaltung der Verordnung gewährleisten. Artikel 24 Absatz 3 der Verordnung (EU) 2016/679 wurde nicht übernommen, da die Organe und Einrichtungen der Union keinen Verhaltensregeln oder Zertifizierungsverfahren unterliegen sollten. Artikel 27 regelt im Einklang mit Artikel 25 der Verordnung (EU) 2016/679 die Pflichten, die dem Verantwortlichen aus den Grundsätzen des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen erwachsen. Artikel 28 über die gemeinsam Verantwortlichen, der sich an Artikel 26 der Verordnung (EU) 2016/679 anlehnt, präzisiert die Zuständigkeiten der gemeinsam Verantwortlichen – ob in Organen oder Einrichtungen der Union oder nicht – in Bezug auf ihr Verhältnis untereinander sowie gegenüber der betroffenen Person. Diese Bestimmung betrifft den Fall, dass alle gemeinsam Verantwortlichen derselben rechtlichen Regelung (der vorliegenden Verordnung) unterliegen, und den Fall, dass die einen dieser Verordnung und die anderen einem anderen Rechtsinstrument (der Verordnung (EU) 2016/679, der Richtlinie (EU) 2016/680, der Richtlinie (EU) 2016/681 oder anderen spezifischen Datenschutzregelungen für Organe und Einrichtungen der Union) unterliegen. In Artikel 29 werden in Anlehnung an Artikel 28 der Verordnung (EU) 2016/679 und ausgehend von Artikel 23 der Verordnung (EG) Nr. 45/2001 die Stellung und die Pflichten der Auftragsverarbeiter beschrieben, einschließlich der Festlegung, dass ein Auftragsverarbeiter, der unter Verstoß gegen die Verordnung die Zwecke und die Mittel der Verarbeitung bestimmt, in Bezug auf diese Verarbeitung als Verantwortlicher gilt. Artikel 30 über die Verarbeitung unter der Aufsicht des Verantwortlichen und des Auftragsverarbeiters, der sich auf Artikel 29 der Verordnung (EU) 2016/679 stützt, sieht vor, dass der Auftragsverarbeiter und dem Verantwortlichen oder dem Auftragsverarbeiter unterstellte Personen, die Zugang zu personenbezogenen Daten haben, diese Daten nur auf Weisung des Verantwortlichen verarbeiten dürfen, es sei denn, sie sind nach dem Recht der Union oder der Mitgliedstaaten dazu verpflichtet. Artikel 31, der sich an Artikel 30 der Verordnung (EU) 2016/679 anlehnt, führt – anstelle der nach Artikel 25 der Verordnung (EG) Nr. 45/2001 erforderlichen Vorabmeldung beim Datenschutzbeauftragten und des Registers der behördlichen Datenschutzbeauftragten – die Pflicht des Verantwortlichen und des Auftragsverarbeiters ein, eine Liste der Verarbeitungen zu führen, für die sie die Verantwortung tragen. Im Gegensatz zur Verordnung (EU) 2016/679 werden „Vertreter“ nicht genannt, da Organe und Einrichtungen der Union keine Vertreter, sondern stets eigene Datenschutzbeauftragte haben. Bezugnahmen auf Datenübermittlungen im Rahmen von Ausnahmeregelungen für bestimmte Fälle, wie sie in der Verordnung (EU) 2016/679 vorgesehen sind, wurden nicht übernommen, da derartige Übermittlungen nicht Gegenstand der vorliegenden Verordnung sind. Die obligatorische Liste der Verarbeitungen kann auf der Ebene eines Organs oder einer Einrichtung der Union zentral geführt werden. In einem solchen Fall dürfen die Organe und Einrichtungen der Union ihre Listen der Verarbeitungen in einem öffentlich zugänglichen Register führen. Artikel 32, der sich auf Artikel 31 der Verordnung (EU) 2016/679 stützt, betrifft die Pflichten der Organe und Einrichtungen der Union im Hinblick auf die Zusammenarbeit mit dem Europäischen Datenschutzbeauftragten. Abschnitt 2 – Sicherheit personenbezogener Daten und Vertraulichkeit der elektronischen Kommunikation Artikel 33 verpflichtet im Einklang mit Artikel 32 der Verordnung (EU) 2016/679 und ausgehend von Artikel 22 der Verordnung (EG) Nr. 45/2001 den Verantwortlichen, geeignete Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung zu treffen, und dehnt diese Pflicht auf die Auftragsverarbeiter aus, ungeachtet ihres Vertragsverhältnisses mit dem Verantwortlichen. Artikel 34 stützt sich auf Artikel 36 der Verordnung (EG) Nr. 45/2001 und gewährleistet die Vertraulichkeit der elektronischen Kommunikation innerhalb der Organe und Einrichtungen der Union. Artikel 35 beruht auf der bestehenden Praxis in den Organen und Einrichtungen der Union und schützt die sich auf Endeinrichtungen der Endnutzer beziehenden Informationen beim Zugriff auf die öffentlich zugänglichen Websites und mobilen Anwendungen der Organe und Einrichtungen der Union im Einklang mit der Verordnung (EU) XXXX/XX [neue Verordnung über Privatsphäre und elektronische Kommunikation], insbesondere Artikel 8. Artikel 36, der sich auf Artikel 38 der Verordnung (EG) Nr. 45/2001 stützt, dient dem Schutz personenbezogener Daten in öffentlichen und privaten Verzeichnissen von Organen und Einrichtungen der Union. Die Artikel 37 und 38 führen im Einklang mit den Artikeln 33 und 34 der Verordnung (EU) 2016/679 eine Meldepflicht für Verletzungen des Schutzes personenbezogener Daten ein. Abschnitt 3 – Datenschutz-Folgenabschätzung und vorherige Konsultation

Artikel 39, der auf Artikel 35 der Verordnung (EU) 2016/679 basiert, verpflichtet die Verantwortlichen und Auftragsverarbeiter, vor der Verarbeitung eine Datenschutz-Folgenabschätzung durchzuführen, wenn die Verarbeitungsvorgänge voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge haben. Diese Verpflichtung gilt insbesondere in den folgenden Fällen: systematische und umfassende Bewertung persönlicher Aspekte in Bezug auf natürliche Personen, die auf einer automatisierten Verarbeitung einschließlich Profiling beruht, umfangreiche Verarbeitung von besonderen Kategorien personenbezogener Daten und systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. Artikel 40 basiert auf Artikel 36 der Verordnung (EU) 2016/679 und betrifft die Fälle, in denen die Konsultation des Europäischen Datenschutzbeauftragten und dessen Genehmigung vor der Verarbeitung obligatorisch sind. Absatz 1 entspricht jedoch dem Erwägungsgrund 94 der Verordnung (EU) 2016/679 und stellt klar, wann eine Konsultationspflicht besteht. Abschnitt 4 – Unterrichtung und legislative Konsultation Artikel 41 verpflichtet die Organe und Einrichtungen der Union, den Europäischen Datenschutzbeauftragten über die Ausarbeitung von Verwaltungsmaßnahmen und internen Vorschriften in Bezug auf die Verarbeitung personenbezogener Daten zu unterrichten. Artikel 42 verpflichtet die Kommission zur Konsultation des Europäischen Datenschutzbeauftragten nach der Annahme von Vorschlägen für einen Gesetzgebungsakt und von an den Rat gerichteten Empfehlungen oder Vorschlägen nach Artikel 218 AEUV sowie bei der Ausarbeitung von delegierten Rechtsakten und Durchführungsrechtsakten, die Auswirkungen auf den Schutz der Rechte und Freiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten haben. Ist ein solcher Rechtsakt für den Schutz der Rechte und Freiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten von besonderer Bedeutung, kann die Kommission auch den Europäischen Datenschutzausschuss konsultieren. In diesen Fällen sollten beide Stellen ihre Arbeit im Hinblick auf eine gemeinsame Stellungnahme koordinieren. Für die Erteilung des Rats in den genannten Fällen wird eine Frist von acht Wochen festgesetzt, wobei in dringenden Fälle und in sonstigen Fällen, in denen dies angezeigt ist (zum Beispiel wenn die Kommission delegierte Rechtsakte oder Durchführungsrechtsakte ausarbeitet), Ausnahmen möglich sind. Abschnitt 5 – Pflicht zur Stellungnahme zu mutmaßlichen Verstößen Artikel 43 verpflichtet Verantwortliche und Auftragsverarbeiter zur Stellungnahme zu mutmaßlichen Verstößen, wenn der Europäische Datenschutzbeauftragte beschlossen hat, sie mit einer Angelegenheit zu befassen. Abschnitt 6 – Datenschutzbeauftragter Artikel 44, der sich an Artikel 37 Absatz 1 Buchstabe a der Verordnung (EU) 2016/679 und Artikel 24 der Verordnung (EG) Nr. 45/2001 anlehnt, sieht vor, dass die Organe und Einrichtungen der Union einen Datenschutzbeauftragten haben müssen. Artikel 45 regelt in Anlehnung an Artikel 38 der Verordnung (EU) 2016/679 und Artikel 24 der Verordnung (EG) Nr. 45/2001 die Stellung des Datenschutzbeauftragten. Artikel 46 nennt in Anlehnung an Artikel 39 der Verordnung (EU) 2016/679 und Artikel 24 sowie Absätze 2 und 3 des Anhangs der Verordnung (EG) Nr. 45/2001 die wesentlichen Aufgaben des Datenschutzbeauftragten. KAPITEL V – ÜBERMITTLUNGEN PERSONENBEZOGENER DATEN AN DRITTLÄNDER ODER INTERNATIONALE ORGANISATIONEN Artikel 47 knüpft an Artikel 9 der Verordnung (EG) Nr. 45/2001 an und sieht im Einklang mit Artikel 44 der Verordnung (EU) 2016/679 den allgemeinen Grundsatz vor, dass Übermittlungen personenbezogener Daten an Drittländer oder internationale Organisationen nur zulässig sind, wenn die sonstigen Bestimmungen dieser Verordnung und die in Kapitel V niedergelegten Bedingungen eingehalten werden; dies gilt auch für Weiterübermittlungen personenbezogener Daten durch das Drittland oder die internationale Organisation an ein anderes Drittland oder eine andere internationale Organisation. Gemäß Artikel 48 darf eine Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation vorgenommen werden, wenn die Kommission nach Artikel 45 Absatz 3 der Verordnung (EU) 2016/679 durch Beschluss festgestellt hat, dass in dem Drittland, einem Gebiet oder einem oder mehreren spezifischen Sektoren in diesem Drittland oder in einer internationalen Organisation ein angemessenes Schutzniveau gewährleistet ist, und wenn die personenbezogenen Daten ausschließlich übermittelt werden, um die Erfüllung von Aufgaben zu ermöglichen, die in die Kompetenz des Verantwortlichen fallen. Die Absätze 2 und 3 dieses Artikels wurden aus Artikel 9 der Verordnung (EG) Nr. 45/2001 übernommen. Sie dienen der Überwachung des Schutzniveaus in Drittländern und internationalen Organisationen. Nach Artikel 49, der sich an Artikel 46 der Verordnung (EU) 2016/679 anlehnt, sind für Datenübermittlungen an Drittländer in Fällen, in denen die Kommission keinen Angemessenheitsbeschluss erlassen hat, geeignete Garantien erforderlich, insbesondere in Form von Standarddatenschutzklauseln und Standardvertragsklauseln. Auftragsverarbeiter, die kein Organ und keine Einrichtung der Union sind, können gemäß der Verordnung (EU) 2016/679 auf verbindliche interne Datenschutzvorschriften, Verhaltensregeln und Zertifizierungsmechanismen zurückgreifen. Absatz 4, der die Organe und Einrichtungen der Union verpflichtet, den Europäischen Datenschutzbeauftragten über Kategorien von Fällen zu unterrichten, in denen sie diesen Artikel angewandt haben, entspricht Artikel 9 Absatz 8 der Verordnung (EG) Nr. 45/2001, der wegen seiner Besonderheit übernommen wurde. Absatz 5 dient analog zu Artikel 46 Absatz 5 der Verordnung (EU) 2016/679 der Fortschreibung der Gültigkeit der bisherigen Genehmigungen. Artikel 50 sieht im Einklang mit Artikel 48 der Verordnung (EU) 2016/679 vor, dass Urteile von Gerichten und Entscheidungen von Verwaltungsbehörden eines Drittlands, mit denen die Übermittlung oder Offenlegung personenbezogener Daten verlangt wird, unbeschadet anderer Gründe für die Übermittlung nach diesem Kapitel nur anerkannt oder vollstreckbar werden dürfen, wenn sie auf eine in Kraft befindliche internationale Übereinkunft wie etwa ein Rechtshilfeabkommen zwischen dem ersuchenden Drittland und der Union gestützt sind. Artikel 51 enthält ebenso wie Artikel 49 der Verordnung (EU) 2016/679 Ausnahmeregelungen für bestimmte Datenübermittlungen. Dies betrifft insbesondere Datenübermittlungen, die aus wichtigen Gründen des öffentlichen Interesses erforderlich sind, wie zum Beispiel für den internationalen Datenaustausch zwischen Wettbewerbsbehörden, Steuer- oder Zollverwaltungen oder zwischen Diensten, die für Angelegenheiten der sozialen Sicherheit oder für die Fischerei zuständig sind. Absatz 5 über die Pflicht zur Unterrichtung des Europäischen Datenschutzbeauftragten über Kategorien von Fällen, in denen für eine Übermittlung eine Ausnahmeregelung angewandt wurde, entspricht dem bisherigen Artikel 9 Absatz 8 der Verordnung (EG) Nr. 45/2001. Artikel 52 basiert auf Artikel 50 der Verordnung (EU) 2016/679 und sieht ausdrücklich Mechanismen der internationalen Zusammenarbeit zum Schutz personenbezogener Daten zwischen dem Europäischen Datenschutzbeauftragten – in Zusammenarbeit mit der Kommission und dem Europäischen Datenschutzausschuss – und den Aufsichtsbehörden von Drittländern vor. KAPITEL VI – DER EUROPÄISCHE DATENSCHUTZBEAUFTRAGTE Artikel 53, der auf Artikel 41 der Verordnung (EG) Nr. 45/2001 aufbaut, betrifft die Schaffung des Amts des Europäischen Datenschutzbeauftragten.

Artikel 54 greift Artikel 42 der Verordnung (EG) Nr. 45/2001 und Artikel 3 des Beschlusses Nr. 1247/2002/EG auf und regelt die Ernennung des Europäischen Datenschutzbeauftragten durch das Europäische Parlament und den Rat. Des Weiteren wird die Dauer seiner Amtszeit auf fünf Jahre festgelegt. Artikel 55 greift Artikel 43 der Verordnung (EG) Nr. 45/2001 und Artikel 1 des Beschlusses Nr. 1247/2002/EG auf. Er enthält Regelungen und allgemeine Bedingungen, die die Wahrnehmung der Aufgaben des Europäischen Datenschutzbeauftragten, sein Personal und die Finanzmittel betreffen. Artikel 56 baut auf Artikel 52 der Verordnung (EU) 2016/679 und Artikel 44 der Verordnung (EG) Nr. 45/2001 auf und präzisiert die Bedingungen für die Unabhängigkeit des Europäischen Datenschutzbeauftragten unter Berücksichtigung der Rechtsprechung des Gerichtshofs der Europäischen Union. Artikel 57, dem Artikel 45 der Verordnung (EG) Nr. 45/2001 zugrunde liegt, verpflichtet den Europäischen Datenschutzbeauftragten, während und nach Ablauf seiner Amtszeit über vertrauliche Informationen, die ihm bei der Wahrnehmung seiner dienstlichen Aufgaben bekannt geworden sind, Verschwiegenheit zu bewahren. Artikel 58, der sich an Artikel 57 der Verordnung (EU) 2016/679 und Artikel 46 der Verordnung (EG) Nr. 45/2001 anlehnt, nennt die Aufgaben des Europäischen Datenschutzbeauftragten, zu denen die Entgegennahme und Prüfung von Beschwerden sowie die Sensibilisierung der Öffentlichkeit für die Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Datenverarbeitung gehört. Artikel 59 legt in Anlehnung an Artikel 58 der Verordnung (EU) 2016/679 und Artikel 47 der Verordnung (EG) Nr. 45/2001 die Befugnisse des Europäischen Datenschutzbeauftragten fest. Artikel 60 sieht analog zu Artikel 59 der Verordnung (EU) 2016/679 und Artikel 48 der Verordnung (EG) Nr. 45/2001 die Pflicht des Europäischen Datenschutzbeauftragten vor, jedes Jahr einen Tätigkeitsbericht vorzulegen. KAPITEL VII – ZUSAMMENARBEIT UND KOHÄRENZ Artikel 61 führt in Anlehnung an Artikel 61 der Verordnung (EU) 2016/679 und Artikel 46 Buchstabe f der Verordnung (EG) Nr. 45/2001 ausdrückliche Vorschriften für die Zusammenarbeit des Europäischen Datenschutzbeauftragten mit nationalen Aufsichtsbehörden ein. Artikel 62 regelt die Pflichten des Europäischen Datenschutzbeauftragten im Rahmen der mit den nationalen Aufsichtsbehörden koordinierten Aufsicht in Fällen, in denen in anderen Rechtsakten der Union auf diesen Artikel verwiesen wird. Ziel ist eine koordinierte Aufsicht nach einem einheitlichen Modell. Dieses Modell könnte für die koordinierte Aufsicht über IT-Großsysteme wie Eurodac, das Schengener Informationssystem der zweiten Generation, das Visa-Informationssystem, das Zollinformationssystem oder das Binnenmarktinformationssystem genutzt werden, aber auch für die Aufsicht über einige Agenturen der Union wie beispielsweise Europol, für die ein spezielles Modell der Zusammenarbeit zwischen dem Europäischen Datenschutzbeauftragten und den nationalen Behörden geschaffen wird. Der Europäische Datenschutzausschuss sollte als zentrales Forum agieren, um die wirksame koordinierte Aufsicht umfassend zu gewährleisten. KAPITEL VIII – RECHTSBEHELFE, HAFTUNG UND SANKTIONEN Artikel 63 sieht in Anlehnung an Artikel 77 der Verordnung (EU) 2016/679 und Artikel 32 der Verordnung (EG) Nr. 45/2001 das Recht einer jeden betroffenen Person vor, Beschwerde beim Europäischen Datenschutzbeauftragten einzulegen. Er enthält auch die Verpflichtung des Europäischen Datenschutzbeauftragten, sich mit der Beschwerde zu befassen und die betroffene Person über den Fortgang und das Ergebnis der Prüfung der Beschwerde innerhalb von drei Monaten zu unterrichten. Nach Ablauf dieser Frist gilt die Beschwerde als zurückgewiesen. Artikel 64 entspricht Artikel 32 Absatz 1 der Verordnung (EG) Nr. 45/2001. Demnach ist der Gerichtshof der Europäischen Union für alle Streitigkeiten im Zusammenhang mit den Bestimmungen dieser Verordnung, einschließlich Schadenersatzansprüchen, zuständig. Artikel 65 gewährleistet den Anspruch auf Schadenersatz sowohl für materielle als auch für immaterielle Schäden unter den in den Verträgen vorgesehenen Voraussetzungen, auch in Bezug auf die Haftung. Artikel 66 basiert auf Artikel 83 der Verordnung (EU) 2016/679 und verleiht dem Europäischen Datenschutzbeauftragten die Befugnis, als letztes Mittel Geldbußen gegen Organe und Einrichtungen der Union zu verhängen, wenn das Organ oder die Einrichtung der Union einer Anordnung des Europäischen Datenschutzbeauftragten nach Artikel 59 Absatz 2 Buchstaben a bis h und j nicht nachkommt. In dem Artikel werden auch die Kriterien für die Festsetzung der Höhe der Geldbuße in jedem Einzelfall genannt, wohingegen sich die jährlichen Höchstbeträge an den in einigen Mitgliedstaaten geltenden Geldbußen orientieren. Artikel 67 ermöglicht im Einklang mit Artikel 80 Absatz 1 der Verordnung (EU) 2016/679 bestimmten Einrichtungen, Organisationen und Vereinigungen, im Namen einer betroffenen Person Beschwerde einzulegen. Artikel 68 sieht im Einklang mit Artikel 33 der Verordnung (EG) Nr. 45/2001 spezifische Bestimmungen zum Schutz von Unionsbeschäftigten vor, die beim Europäischen Datenschutzbeauftragten eine Beschwerde wegen eines mutmaßlichen Verstoßes gegen diese Verordnung einlegen, ohne den Dienstweg zu beschreiten. Artikel 69 basiert auf Artikel 49 der Verordnung (EG) Nr. 45/2001 und sieht Sanktionen gegen Beamte oder sonstige Bedienstete der Europäischen Union vor, die die in dieser Verordnung festgelegten Pflichten verletzen. KAPITEL IX – DURCHFÜHRUNGSRECHTSAKTE Artikel 70 regelt das Ausschussverfahren für die Übertragung von Durchführungsbefugnissen auf die Kommission in Fällen, in denen es nach Artikel 291 AEUV einheitlicher Bedingungen für die Durchführung der verbindlichen Rechtsakte der Union bedarf. Es gilt das Prüfverfahren.

KAPITEL X – SCHLUSSBESTIMMUNGEN Artikel 71 hebt die Verordnung (EG) Nr. 45/2001 und den Beschluss Nr. 1247/2002/EG auf und legt fest, dass Bezugnahmen auf die beiden aufgehobenen Rechtsakte als Bezugnahmen auf die vorliegende Verordnung gelten. In Artikel 72 wird klargestellt, dass die laufende Amtszeit des Europäischen Datenschutzbeauftragten und des stellvertretenden Datenschutzbeauftragten von dieser Verordnung unberührt bleiben und dass Artikel 54 Absätze 4, 5 und 7 sowie die Artikel 56 und 57 der Verordnung für den derzeitigen stellvertretenden Datenschutzbeauftragten bis zum Ende seiner Amtszeit am 5. Dezember 2019 gelten. Gemäß Artikel 73 soll diese Verordnung ab dem 25. Mai 2018 gelten, sodass ihre Anwendung zum gleichen Zeitpunkt beginnt wie die der Verordnung (EU) 2016/679.



2017/0002 (COD) Vorschlag für eine VERORDNUNG DES EUROPÄISCHEN PARLAMENTS UND DES RATES zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG DAS EUROPÄISCHE PARLAMENT UND DER RAT DER EUROPÄISCHEN UNION — gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union, insbesondere auf Artikel 16 Absatz 2, auf Vorschlag der Europäischen Kommission, nach Zuleitung des Entwurfs des Gesetzgebungsakts an die nationalen Parlamente, nach Stellungnahme des Europäischen Wirtschafts- und Sozialausschusses, gemäß dem ordentlichen Gesetzgebungsverfahren, in Erwägung nachstehender Gründe: (1)Der Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten ist ein Grundrecht. Nach Artikel 8 Absatz 1 der Charta der Grundrechte der Europäischen Union (im Folgenden „Charta“) sowie Artikel 16 Absatz 1 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) hat jede Person das Recht auf Schutz der sie betreffenden personenbezogenen Daten. (2)Mit der Verordnung (EG) Nr. 45/2001 des Europäischen Parlaments und des Rates werden durchsetzbare Rechte für natürliche Personen vorgesehen, die Pflichten hinsichtlich der Datenverarbeitung durch die Verantwortlichen der Organe und Einrichtungen der Gemeinschaft festgelegt und der Europäische Datenschutzbeauftragte als unabhängige Aufsichtsbehörde eingerichtet, der für die Überwachung der Verarbeitung personenbezogener Daten durch die Organe und Einrichtungen der Union zuständig ist. Sie gilt jedoch nicht für die Verarbeitung personenbezogener Daten im Rahmen von Tätigkeiten der Organe und Einrichtungen der Union, die nicht in den Anwendungsbereich des Unionsrechts fallen. (3)Die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates und die Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates wurden am 27. April 2016 angenommen. Während die Verordnung allgemeine Bestimmungen zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zur Sicherstellung des freien Verkehrs personenbezogener Daten innerhalb der Union enthält, sind in der Richtlinie besondere Bestimmungen zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zur Sicherstellung des freien Verkehrs personenbezogener Daten innerhalb der Union im Bereich der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit geregelt. (4)In der Verordnung (EU) 2016/679 wird betont, dass Anpassungen der Verordnung (EG) Nr. 45/2001 notwendig sind, um einen solideren und kohärenten Datenschutzrahmen in der Union zu gewährleisten und zu ermöglichen, dass diese Verordnung gleichzeitig mit der Verordnung (EU) 2016/679 angewandt werden kann.

(5)Im Interesse einer einheitlichen Herangehensweise hinsichtlich des Schutzes personenbezogener Daten in der gesamten Union und des freien Verkehrs personenbezogener Daten innerhalb der Union sollten die Datenschutzbestimmungen für die Organe und Einrichtungen der Union so weit als möglich an die in den Mitgliedstaaten für den öffentlichen Dienst erlassenen Datenschutzbestimmungen angeglichen werden. Soweit die Bestimmungen dieser Verordnung auf demselben Konzept beruhen wie die der Verordnung (EU) 2016/679, sollten beide Bestimmungen einheitlich ausgelegt werden, insbesondere da der Rahmen der vorliegenden Verordnung als dem Rahmen der Verordnung (EU) 2016/679 gleichwertig verstanden werden sollte. (6)Personen, deren personenbezogene Daten in einem beliebigen Kontext von den Organen oder Einrichtungen der Union verarbeitet werden, z. B. weil sie bei diesen Organen oder Einrichtungen beschäftigt sind, sollten geschützt werden. Diese Verordnung sollte nicht für die Verarbeitung der personenbezogenen Daten Verstorbener gelten. Sie gilt ferner nicht für die Verarbeitung personenbezogener Daten juristischer Personen und insbesondere als juristische Person gegründeter Unternehmen, einschließlich Name, Rechtsform oder Kontaktdaten der juristischen Person. (7)Um ein ernsthaftes Risiko einer Umgehung der Vorschriften zu vermeiden, sollte der Schutz natürlicher Personen technologieneutral sein und nicht von den verwendeten Techniken abhängen. Der Schutz natürlicher Personen sollte für die automatisierte Verarbeitung personenbezogener Daten ebenso gelten wie für die manuelle Verarbeitung von personenbezogenen Daten, wenn die personenbezogenen Daten in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Akten oder Aktensammlungen sowie ihre Deckblätter, die nicht nach bestimmten Kriterien geordnet sind, sollten nicht in den Anwendungsbereich dieser Verordnung fallen. (8)In der Erklärung Nr. 21 zum Schutz personenbezogener Daten im Bereich der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit im Anhang zur Schlussakte der Regierungskonferenz, die den Vertrag von Lissabon annahm, erkannte die Regierungskonferenz an, dass es sich aufgrund der Besonderheiten dieser Bereiche als erforderlich erweisen könnte, auf Artikel 16 AEUV gestützte besondere Vorschriften über den Schutz personenbezogener Daten und den freien Verkehr personenbezogener Daten im Bereich der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit zu erlassen. Diese Verordnung sollte daher für Agenturen der Union gelten, die Tätigkeiten im Bereich der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit ausführen, soweit das für diese Agenturen geltende Unionsrecht keine besonderen Vorschriften für die Verarbeitung von personenbezogenen Daten enthält. (9)Die Richtlinie (EU) 2016/680 enthält harmonisierte Vorschriften zum Schutz und zum freien Verkehr personenbezogener Daten, die zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit verarbeitet werden. Um zu fördern, dass natürliche Personen in der Union auf der Grundlage unionsweit durchsetzbarer Rechte das gleiche Maß an Schutz genießen, und um zu verhindern, dass Unterschiede, die den Austausch personenbezogener Daten zwischen den Agenturen der Union, die im Bereich der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit tätig sind, und den zuständigen Behörden in den Mitgliedstaaten behindern, sollten sich die Vorschriften für den Schutz und den freien Verkehr operativer personenbezogener Daten, die von diesen Agenturen der Union verarbeitet werden, auf die dieser Verordnung zugrunde liegenden Grundsätze stützen und im Einklang mit der Richtlinie (EU) 2016/680 stehen. (10)Wird im Gründungsrechtsakt einer Agentur der Union, deren Tätigkeiten in den Anwendungsbereich von Titel V Kapitel 4 und 5 des Vertrags fallen, eine eigenständige Datenschutzregelung für die Verarbeitung operativer personenbezogener Daten festgelegt, sollte diese Regelung von dieser Verordnung unberührt bleiben. Bis zum 6. Mai 2019 sollte die Kommission jedoch nach Artikel 62 der Richtlinie (EU) 2016/680 Rechtsakte der Union über die Verarbeitung durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, überprüfen und gegebenenfalls die erforderlichen Vorschläge zur Änderung dieser Rechtsakte unterbreiten, damit ein einheitliches Vorgehen beim Schutz personenbezogener Daten im Bereich der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit gewährleistet ist. (11)Die Grundsätze des Datenschutzes sollten für alle Informationen gelten, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Einer Pseudonymisierung unterzogene personenbezogene Daten, die durch Heranziehung zusätzlicher Informationen einer natürlichen Person zugeordnet werden könnten, sollten als Informationen über eine identifizierbare natürliche Person betrachtet werden. Um festzustellen, ob eine natürliche Person identifizierbar ist, sollten alle Mittel berücksichtigt werden, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren, wie beispielsweise das Aussondern. Bei der Feststellung, ob Mittel nach allgemeinem Ermessen wahrscheinlich zur Identifizierung der natürlichen Person genutzt werden, sollten alle objektiven Faktoren, wie die Kosten der Identifizierung und der dafür erforderliche Zeitaufwand, herangezogen werden, wobei die zum Zeitpunkt der Verarbeitung verfügbare Technologie und technologische Entwicklungen zu berücksichtigen sind. Die Grundsätze des Datenschutzes sollten daher nicht für anonyme Informationen gelten, d. h. für Informationen, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen, oder personenbezogene Daten, die in einer Weise anonymisiert worden sind, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann. Diese Verordnung betrifft somit nicht die Verarbeitung solcher anonymer Daten, auch für statistische oder für Forschungszwecke. (12)Die Anwendung der Pseudonymisierung auf personenbezogene Daten kann die Risiken für die betroffenen Personen senken und die Verantwortlichen und die Auftragsverarbeiter bei der Einhaltung ihrer Datenschutzpflichten unterstützen. Durch die ausdrückliche Einführung der „Pseudonymisierung“ in dieser Verordnung ist nicht beabsichtigt, andere Datenschutzmaßnahmen auszuschließen. (13)Natürlichen Personen werden unter Umständen Online-Kennungen wie IP-Adressen und Cookie-Kennungen, die ihre Geräte oder Software-Anwendungen und -Tools oder -Protokolle liefern, oder sonstige Kennungen wie Funkfrequenzkennzeichnungen zugeordnet. Dies kann Spuren hinterlassen, die insbesondere in Kombination mit eindeutigen Kennungen und anderen beim Server eingehenden Informationen dazu benutzt werden können, um Profile der natürlichen Personen zu erstellen und sie zu identifizieren. (14)Die Einwilligung sollte durch eine eindeutige bestätigende Handlung erfolgen, mit der freiwillig, für den konkreten Fall, in informierter Weise und unmissverständlich bekundet wird, dass die betroffene Person mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist, etwa in Form einer schriftlichen Erklärung, die auch elektronisch erfolgen kann, oder einer mündlichen Erklärung. Dies könnte etwa durch Anklicken eines Kästchens beim Besuch einer Internetseite, durch die Auswahl technischer Einstellungen für Dienste der Informationsgesellschaft oder durch eine andere Erklärung oder Verhaltensweise geschehen, mit der die betroffene Person in dem jeweiligen Kontext eindeutig ihr Einverständnis mit der beabsichtigten Verarbeitung ihrer personenbezogenen Daten signalisiert. Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit der betroffenen Person sollten daher keine Einwilligung darstellen. Die Einwilligung sollte sich auf alle zu demselben Zweck oder denselben Zwecken vorgenommenen Verarbeitungsvorgänge beziehen. Wenn die Verarbeitung mehreren Zwecken dient, sollte für alle diese Verarbeitungszwecke eine Einwilligung gegeben werden. Wird die betroffene Person auf elektronischem Weg zur Einwilligung aufgefordert, so muss die Aufforderung in klarer und knapper Form und ohne unnötige Unterbrechung des Dienstes, für den die Einwilligung gegeben wird, erfolgen. (15)Jede Verarbeitung personenbezogener Daten sollte rechtmäßig und fair erfolgen. Für natürliche Personen sollte Transparenz dahin gehend bestehen, dass sie betreffende personenbezogene Daten erhoben, verwendet, eingesehen oder anderweitig verarbeitet werden und in welchem Umfang die personenbezogenen Daten verarbeitet werden und künftig noch verarbeitet werden. Der Grundsatz der Transparenz setzt voraus, dass alle Informationen und Mitteilungen zur Verarbeitung dieser personenbezogenen Daten leicht zugänglich und verständlich und in klarer, einfacher Sprache abgefasst sind. Dieser Grundsatz betrifft insbesondere die Informationen über die Identität des Verantwortlichen und die Zwecke der Verarbeitung und sonstige Informationen, die eine faire und transparente Verarbeitung im Hinblick auf die betroffenen natürlichen Personen gewährleisten, sowie deren Recht, eine Bestätigung und Auskunft darüber zu erhalten, welche sie betreffenden personenbezogenen Daten verarbeitet werden. Natürliche Personen sollten über die Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung personenbezogener Daten informiert und darüber aufgeklärt werden, wie sie ihre diesbezüglichen Rechte geltend machen können. Insbesondere sollten die bestimmten Zwecke, zu denen die personenbezogenen Daten verarbeitet werden, eindeutig und rechtmäßig sein und zum Zeitpunkt der Erhebung der personenbezogenen Daten feststehen. Die personenbezogenen Daten sollten für die Zwecke, zu denen sie verarbeitet werden, angemessen und erheblich sowie auf das für die Zwecke ihrer Verarbeitung notwendige Maß beschränkt sein. Dies erfordert insbesondere, dass die Speicherfrist für personenbezogene Daten auf das unbedingt erforderliche Minimum beschränkt bleibt. Personenbezogene Daten sollten nur verarbeitet werden dürfen, wenn der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann. Um sicherzustellen, dass die personenbezogenen Daten nicht länger als nötig gespeichert werden, sollte der Verantwortliche Fristen für ihre Löschung oder regelmäßige Überprüfung vorsehen. Es sollten alle vertretbaren Schritte unternommen werden, damit unrichtige personenbezogene Daten gelöscht oder berichtigt werden. Personenbezogene Daten sollten so verarbeitet werden, dass ihre Sicherheit und Vertraulichkeit hinreichend gewährleistet ist, wozu auch gehört, dass Unbefugte keinen Zugang zu den Daten haben und weder die Daten noch die Geräte, mit denen diese verarbeitet werden, benutzen können. (16)Im Einklang mit dem Grundsatz der Rechenschaftspflicht sollten die Organe und Einrichtungen der Union bei der Übermittlung personenbezogener Daten innerhalb der Organe und Einrichtungen der Union bzw. an andere Organe und Einrichtungen der Union prüfen, ob diese personenbezogenen Daten für die rechtmäßige Erfüllung der Aufgaben erforderlich sind, die in den Zuständigkeitsbereich des Empfängers – der nicht zum Verantwortlichen gehört – fallen. Insbesondere sollte der Verantwortliche im Falle eines Antrags des Empfängers auf Übermittlung personenbezogener Daten das Vorliegen einschlägiger Gründe für die rechtmäßige Verarbeitung personenbezogener Daten sowie die Zuständigkeit des Empfängers überprüfen und die Notwendigkeit der Übermittlung dieser Daten vorläufig bewerten. Bestehen Zweifel an der Notwendigkeit, holt der Verantwortliche weitere Auskünfte vom Empfänger ein. Der Empfänger sollte sicherstellen, dass die Notwendigkeit der Übermittlung der Daten im Nachhinein überprüft werden kann. (17)Damit die Verarbeitung rechtmäßig ist, sollten personenbezogene Daten auf der Grundlage verarbeitet werden, dass die Verarbeitung für die Wahrnehmung einer Aufgabe durch die Organe und Einrichtungen der Union im öffentlichen Interesse oder in Ausübung ihrer öffentlichen Gewalt, für die Erfüllung der rechtlichen Verpflichtung, der der Verantwortliche unterliegt, erforderlich ist, bzw. auf einer sonstigen zulässigen Rechtsgrundlage verarbeitet werden, auf die in dieser Verordnung Bezug genommen wird – einschließlich der Einwilligung der betroffenen Person – oder auf der Grundlage, dass sie für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder für die Durchführung vorvertraglicher Maßnahmen auf Antrag der betroffenen Person erforderlich ist. Die Verarbeitung personenbezogener Daten durch die Organe und Einrichtungen der Union zur Wahrnehmung einer Aufgabe im öffentlichen Interesse schließt die Verarbeitung personenbezogener Daten ein, die für die Verwaltung und das Funktionieren dieser Organe und Einrichtungen erforderlich ist. Die Verarbeitung personenbezogener Daten sollte ebenfalls als rechtmäßig angesehen werden, wenn sie erforderlich ist, um ein lebenswichtiges Interesse der betroffenen Person oder einer anderen natürlichen Person zu schützen. Personenbezogene Daten sollten grundsätzlich nur dann aufgrund eines lebenswichtigen Interesses einer anderen natürlichen Person verarbeitet werden, wenn die Verarbeitung offensichtlich nicht auf eine andere Rechtsgrundlage gestützt werden kann. Einige Arten der Verarbeitung können sowohl wichtigen Gründen des öffentlichen Interesses als auch lebenswichtigen Interessen der betroffenen Person dienen; so kann beispielsweise die Verarbeitung für humanitäre Zwecke einschließlich der Überwachung von Epidemien und deren Ausbreitung oder in humanitären Notfällen insbesondere bei Naturkatastrophen oder vom Menschen verursachten Katastrophen erforderlich sein. (18)Das Unionsrecht einschließlich der internen Vorschriften, auf die in dieser Verordnung Bezug genommen wird, sollten klar und präzise sein und ihre Anwendung sollte für diejenigen, die ihr unterliegen, im Einklang mit der Rechtsprechung des Gerichtshofs der Europäischen Union und des Europäischen Gerichtshofs für Menschenrechte klar und vorhersehbar sein. (19)Die Verarbeitung personenbezogener Daten für andere Zwecke als die, für die die personenbezogenen Daten ursprünglich erhoben wurden, sollte nur zulässig sein, wenn die Verarbeitung mit den Zwecken, für die die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist. In diesem Fall ist keine andere gesonderte Rechtsgrundlage erforderlich als diejenige für die Erhebung der personenbezogenen Daten. Ist die Verarbeitung für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde, so können im Unionsrecht die Aufgaben und Zwecke bestimmt und konkretisiert werden, für die eine Weiterverarbeitung als vereinbar und rechtmäßig erachtet wird. Die Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke sollte als vereinbarer und rechtmäßiger Verarbeitungsvorgang gelten. Die im Unionsrecht vorgesehene Rechtsgrundlage für die Verarbeitung personenbezogener Daten kann auch als Rechtsgrundlage für eine Weiterverarbeitung dienen. Um festzustellen, ob ein Zweck der Weiterverarbeitung mit dem Zweck, für den die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist, sollte der Verantwortliche nach Einhaltung aller Anforderungen für die Rechtmäßigkeit der ursprünglichen Verarbeitung unter anderem prüfen, ob ein Zusammenhang zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung besteht, in welchem Kontext die Daten erhoben wurden, insbesondere die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, in Bezug auf die weitere Verwendung dieser Daten, um welche Art von personenbezogenen Daten es sich handelt, welche Folgen die beabsichtigte Weiterverarbeitung für die betroffenen Personen hat und ob sowohl beim ursprünglichen als auch beim beabsichtigten Weiterverarbeitungsvorgang geeignete Garantien bestehen. (20)Erfolgt die Verarbeitung mit Einwilligung der betroffenen Person, sollte der Verantwortliche nachweisen können, dass die betroffene Person ihre Einwilligung zu dem Verarbeitungsvorgang gegeben hat. Insbesondere bei Abgabe einer schriftlichen Erklärung in anderer Sache sollten Garantien sicherstellen, dass die betroffene Person weiß, dass und in welchem Umfang sie ihre Einwilligung erteilt. Nach der Richtlinie 93/13/EWG des Rates sollte eine vom Verantwortlichen vorformulierte Einwilligungserklärung in verständlicher und leicht zugänglicher Form in einer klaren, einfachen Sprache zur Verfügung gestellt werden, und sie sollte keine missbräuchlichen Klauseln beinhalten. Damit sie in Kenntnis der Sachlage ihre Einwilligung geben kann, sollte die betroffene Person mindestens wissen, wer der Verantwortliche ist und für welche Zwecke ihre personenbezogenen Daten verarbeitet werden sollen. Es sollte nur dann davon ausgegangen werden, dass sie ihre Einwilligung freiwillig gegeben hat, wenn sie eine echte oder freie Wahl hat und somit in der Lage ist, die Einwilligung zu verweigern oder zurückzuziehen, ohne Nachteile zu erleiden. (21)Kinder verdienen bei ihren personenbezogenen Daten besonderen Schutz, da Kinder sich der betreffenden Risiken, Folgen und Garantien und ihrer Rechte bei der Verarbeitung personenbezogener Daten möglicherweise weniger bewusst sind. Ein solch besonderer Schutz sollte insbesondere die Erstellung von Persönlichkeitsprofilen und die Erhebung von personenbezogenen Daten von Kindern bei der Nutzung von Diensten betreffen, die Kindern auf Websites der Organe und Einrichtungen der Union direkt angeboten werden, wie beispielsweise interpersonelle Kommunikationsdienste oder Online-Ticketverkauf, und wenn die Verarbeitung personenbezogener Daten mit Einwilligung erfolgt. (22)Bitten Empfänger, die in der Union niedergelassen sind und der Verordnung (EU) 2016/679 oder der Richtlinie (EU) 2016/680 unterliegen, die Organe und Einrichtungen der Union um Übermittlung personenbezogener Daten, sollten sie nachweisen, dass diese Übermittlung zur Erreichung ihres Ziels erforderlich und angemessen ist und nicht über das für die Verwirklichung dieses Ziels erforderliche Maß hinausgeht. Erfolgt die Übermittlung auf eigene Veranlassung der Organe und Einrichtungen der Union, so sollten diese unter Beachtung des Grundsatzes der Transparenz nachweisen, dass die Übermittlung erforderlich ist. (23)Personenbezogene Daten, die ihrem Wesen nach hinsichtlich der Grundrechte und Grundfreiheiten besonders sensibel sind, verdienen einen besonderen Schutz, da im Zusammenhang mit ihrer Verarbeitung erhebliche Risiken für die Grundrechte und Grundfreiheiten auftreten können. Diese personenbezogenen Daten sollten personenbezogene Daten umfassen, aus denen die rassische oder ethnische Herkunft hervorgeht, wobei die Verwendung des Begriffs „rassische Herkunft“ in dieser Verordnung nicht bedeutet, dass die Union Theorien, mit denen versucht wird, die Existenz verschiedener menschlicher Rassen zu belegen, gutheißt. Die Verarbeitung von Lichtbildern sollte nicht grundsätzlich als Verarbeitung besonderer Kategorien von personenbezogenen Daten angesehen werden, da Lichtbilder nur dann von der Definition des Begriffs „biometrische Daten“ erfasst werden, wenn sie mit speziellen technischen Mitteln verarbeitet werden, die die eindeutige Identifizierung oder Authentifizierung einer natürlichen Person ermöglichen. Zusätzlich zu den speziellen Anforderungen an die Verarbeitung sensibler Daten sollten die allgemeinen Grundsätze und andere Bestimmungen dieser Verordnung, insbesondere hinsichtlich der Bedingungen für eine rechtmäßige Verarbeitung, gelten. Ausnahmen von dem allgemeinen Verbot der Verarbeitung dieser besonderen Kategorien personenbezogener Daten sollten ausdrücklich vorgesehen werden, unter anderem bei ausdrücklicher Einwilligung der betroffenen Person oder bei bestimmten Notwendigkeiten, insbesondere wenn die Verarbeitung im Rahmen rechtmäßiger Tätigkeiten bestimmter Vereinigungen oder Stiftungen vorgenommen wird, die sich für die Ausübung von Grundfreiheiten einsetzen. (24)Aus Gründen des öffentlichen Interesses in Bereichen der öffentlichen Gesundheit kann es notwendig sein, besondere Kategorien personenbezogener Daten auch ohne Einwilligung der betroffenen Person zu verarbeiten. Diese Verarbeitung sollte angemessenen und besonderen Maßnahmen zum Schutz der Rechte und Freiheiten natürlicher Personen unterliegen. In diesem Zusammenhang sollte der Begriff „öffentliche Gesundheit“ im Sinne der Verordnung (EG) Nr. 1338/2008 des Europäischen Parlaments und des Rates ausgelegt werden und alle Elemente im Zusammenhang mit der Gesundheit wie den Gesundheitszustand einschließlich Morbidität und Behinderung, die sich auf diesen Gesundheitszustand auswirkenden Determinanten, den Bedarf an Gesundheitsversorgung, die der Gesundheitsversorgung zugewiesenen Mittel, die Bereitstellung von Gesundheitsversorgungsleistungen und den allgemeinen Zugang zu diesen Leistungen sowie die entsprechenden Ausgaben und die Finanzierung und schließlich die Ursachen der Mortalität einschließen. Eine solche Verarbeitung von Gesundheitsdaten aus Gründen des öffentlichen Interesses darf nicht dazu führen, dass Dritte solche personenbezogenen Daten zu anderen Zwecken verarbeiten.

(25)Kann der Verantwortliche anhand der von ihm verarbeiteten personenbezogenen Daten eine natürliche Person nicht identifizieren, so sollte er nicht verpflichtet sein, zur bloßen Einhaltung einer Vorschrift dieser Verordnung zusätzliche Daten einzuholen, um die betroffene Person zu identifizieren. Allerdings sollte er sich nicht weigern, zusätzliche Informationen entgegenzunehmen, die von der betroffenen Person beigebracht werden, um ihre Rechte geltend zu machen. Die Identifizierung sollte die digitale Identifizierung einer betroffenen Person – beispielsweise durch Authentifizierungsverfahren etwa mit denselben Berechtigungsnachweisen, wie sie die betroffene Person verwendet, um sich bei dem von dem Verantwortlichen bereitgestellten Online-Dienst anzumelden – einschließen. (26)Die Verarbeitung personenbezogener Daten für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke sollte geeigneten Garantien für die Rechte und Freiheiten der betroffenen Person nach dieser Verordnung unterliegen. Mit diesen Garantien sollte sichergestellt werden, dass technische und organisatorische Maßnahmen bestehen, mit denen insbesondere der Grundsatz der Datenminimierung gewährleistet wird. Die Weiterverarbeitung personenbezogener Daten für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke erfolgt erst dann, wenn der Verantwortliche geprüft hat, ob es möglich ist, diese Zwecke durch die Verarbeitung von personenbezogenen Daten, bei der die Identifizierung von betroffenen Personen nicht oder nicht mehr möglich ist, zu erfüllen, sofern geeignete Garantien bestehen (wie z. B. die Pseudonymisierung von personenbezogenen Daten). Die Organe und Einrichtungen der Union sollten im Unionsrecht, gegebenenfalls auch in internen Vorschriften, geeignete Garantien in Bezug auf die Verarbeitung personenbezogener Daten für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke vorsehen. (27)Es sollten Modalitäten festgelegt werden, die einer betroffenen Person die Ausübung der Rechte, die ihr nach dieser Verordnung zustehen, erleichtern, darunter auch Mechanismen, die dafür sorgen, dass sie unentgeltlich insbesondere Zugang zu personenbezogenen Daten und deren Berichtigung oder Löschung beantragen und gegebenenfalls erhalten oder von ihrem Widerspruchsrecht Gebrauch machen kann. So sollte der Verantwortliche auch dafür sorgen, dass Anträge elektronisch gestellt werden können, insbesondere wenn die personenbezogenen Daten elektronisch verarbeitet werden. Der Verantwortliche sollte verpflichtet werden, den Antrag der betroffenen Person unverzüglich, spätestens aber innerhalb eines Monats zu beantworten und gegebenenfalls zu begründen, warum er den Antrag ablehnt. (28)Die Grundsätze einer fairen und transparenten Verarbeitung machen es erforderlich, dass die betroffene Person über die Existenz des Verarbeitungsvorgangs und seine Zwecke unterrichtet wird. Der Verantwortliche sollte der betroffenen Person alle weiteren Informationen zur Verfügung stellen, die unter Berücksichtigung der besonderen Umstände und Rahmenbedingungen, unter denen die personenbezogenen Daten verarbeitet werden, notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten. Darüber hinaus sollte er die betroffene Person darauf hinweisen, dass Profiling stattfindet und welche Folgen dies hat. Werden die personenbezogenen Daten bei der betroffenen Person erhoben, so sollte dieser darüber hinaus mitgeteilt werden, ob sie verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche Folgen eine Zurückhaltung der Daten nach sich ziehen würde. Die betreffenden Informationen können in Kombination mit standardisierten Bildsymbolen bereitgestellt werden, um in leicht wahrnehmbarer, verständlicher und klar nachvollziehbarer Form einen aussagekräftigen Überblick über die beabsichtigte Verarbeitung zu vermitteln. Werden die Bildsymbole in elektronischer Form dargestellt, so sollten sie maschinenlesbar sein. (29)Dass sie betreffende personenbezogene Daten verarbeitet werden, sollte der betroffenen Person zum Zeitpunkt der Erhebung mitgeteilt werden oder, falls die Daten nicht von ihr, sondern aus einer anderen Quelle erlangt werden, innerhalb einer angemessenen Frist, die sich nach dem konkreten Einzelfall richtet. Wenn die personenbezogenen Daten rechtmäßig einem anderen Empfänger offengelegt werden dürfen, sollte die betroffene Person bei der erstmaligen Offenlegung der personenbezogenen Daten für diesen Empfänger darüber aufgeklärt werden. Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck zu verarbeiten als den, für den die Daten erhoben wurden, so sollte er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und andere erforderliche Informationen zur Verfügung stellen. Konnte der betroffenen Person nicht mitgeteilt werden, woher die personenbezogenen Daten stammen, weil verschiedene Quellen benutzt wurden, so sollte die Unterrichtung allgemein gehalten werden. (30)Eine betroffene Person sollte ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, besitzen und dieses Recht problemlos und in angemessenen Abständen wahrnehmen können, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können. Dies schließt das Recht betroffener Personen auf Auskunft über ihre eigenen gesundheitsbezogenen Daten ein, etwa Daten in ihren Patientenakten, die Informationen wie beispielsweise Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu Behandlungen oder Eingriffen enthalten. Jede betroffene Person sollte daher ein Anrecht darauf haben zu wissen und zu erfahren, insbesondere zu welchen Zwecken die personenbezogenen Daten verarbeitet werden und, wenn möglich, wie lange sie gespeichert werden, wer die Empfänger der personenbezogenen Daten sind, nach welcher Logik die automatische Verarbeitung personenbezogener Daten erfolgt und welche Folgen eine solche Verarbeitung haben kann, zumindest in Fällen, in denen die Verarbeitung auf Profiling beruht. Dieses Recht sollte die Rechte und Freiheiten anderer Personen, etwa Geschäftsgeheimnisse oder Rechte des geistigen Eigentums und insbesondere das Urheberrecht an Software, nicht beeinträchtigen. Dies darf jedoch nicht dazu führen, dass der betroffenen Person jegliche Auskunft verweigert wird. Verarbeitet der Verantwortliche eine große Menge von Informationen über die betroffene Person, so sollte er verlangen können, dass die betroffene Person präzisiert, auf welche Information oder welche Verarbeitungsvorgänge sich ihr Auskunftsersuchen bezieht, bevor er ihr Auskunft erteilt. (31)Eine betroffene Person sollte ein Recht auf Berichtigung der sie betreffenden personenbezogenen Daten besitzen sowie ein „Recht auf Vergessenwerden“, wenn die Speicherung ihrer Daten gegen diese Verordnung oder gegen das Unionsrecht, dem der Verantwortliche unterliegt, verstößt. Betroffene Personen sollten Anspruch darauf haben, dass ihre personenbezogenen Daten gelöscht und nicht mehr verarbeitet werden, wenn die personenbezogenen Daten hinsichtlich der Zwecke, für die sie erhoben bzw. anderweitig verarbeitet wurden, nicht mehr benötigt werden, wenn die betroffenen Personen ihre Einwilligung in die Verarbeitung widerrufen oder Widerspruch gegen die Verarbeitung der sie betreffenden personenbezogenen Daten eingelegt haben oder wenn die Verarbeitung ihrer personenbezogenen Daten aus anderen Gründen gegen diese Verordnung verstößt. Dieses Recht ist insbesondere wichtig in Fällen, in denen die betroffene Person ihre Einwilligung noch im Kindesalter gegeben hat und insofern die mit der Verarbeitung verbundenen Gefahren nicht in vollem Umfang absehen konnte und die personenbezogenen Daten – insbesondere die im Internet gespeicherten – später löschen möchte. Die betroffene Person sollte dieses Recht auch dann ausüben können, wenn sie kein Kind mehr ist. Die weitere Speicherung der personenbezogenen Daten sollte jedoch rechtmäßig sein, wenn sie für die Ausübung des Rechts auf freie Meinungsäußerung und Information, zur Erfüllung einer rechtlichen Verpflichtung, für die Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde, aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit, für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. (32)Um dem „Recht auf Vergessenwerden“ im Netz mehr Geltung zu verschaffen, sollte das Recht auf Löschung ausgeweitet werden, indem ein Verantwortlicher, der die personenbezogenen Daten öffentlich gemacht hat, verpflichtet wird, den Verantwortlichen, die diese personenbezogenen Daten verarbeiten, mitzuteilen, alle Links zu diesen personenbezogenen Daten oder Kopien oder Replikationen der personenbezogenen Daten zu löschen. Dabei sollte der Verantwortliche, unter Berücksichtigung der verfügbaren Technologien und der ihm zur Verfügung stehenden Mittel, angemessene Maßnahmen – auch technischer Art – treffen, um die Verantwortlichen, die diese personenbezogenen Daten verarbeiten, über den Antrag der betroffenen Person zu informieren. (33)Methoden zur Beschränkung der Verarbeitung personenbezogener Daten könnten unter anderem darin bestehen, dass ausgewählte personenbezogene Daten vorübergehend auf ein anderes Verarbeitungssystem übertragen werden, dass sie für Nutzer gesperrt werden oder dass veröffentliche Daten vorübergehend von einer Website entfernt werden. In automatisierten Dateisystemen sollte die Einschränkung der Verarbeitung grundsätzlich durch technische Mittel so erfolgen, dass die personenbezogenen Daten in keiner Weise weiterverarbeitet werden und nicht verändert werden können. Auf die Tatsache, dass die Verarbeitung der personenbezogenen Daten beschränkt wurde, sollte in dem System unmissverständlich hingewiesen werden. (34)Um im Fall der Verarbeitung personenbezogener Daten mit automatischen Mitteln eine bessere Kontrolle über die eigenen Daten zu haben, sollte die betroffene Person außerdem berechtigt sein, die sie betreffenden personenbezogenen Daten, die sie einem Verantwortlichen bereitgestellt hat, in einem strukturierten, gängigen, maschinenlesbaren und interoperablen Format zu erhalten und sie einem anderen Verantwortlichen zu übermitteln. Die Verantwortlichen sollten dazu aufgefordert werden, interoperable Formate zu entwickeln, die die Datenübertragbarkeit ermöglichen. Dieses Recht sollte dann gelten, wenn die betroffene Person die personenbezogenen Daten mit ihrer Einwilligung zur Verfügung gestellt hat oder die Verarbeitung zur Erfüllung eines Vertrags erforderlich ist. Es sollte daher nicht gelten, wenn die Verarbeitung der personenbezogenen Daten zur Erfüllung einer rechtlichen Verpflichtung, der der Verantwortliche unterliegt, oder für die Wahrnehmung einer ihm übertragenen Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung ihm übertragener öffentlicher Gewalt erfolgt, erforderlich ist. Das Recht der betroffenen Person, sie betreffende personenbezogene Daten zu übermitteln oder zu empfangen, sollte für den Verantwortlichen nicht die Pflicht begründen, technisch kompatible Datenverarbeitungssysteme zu übernehmen oder beizubehalten. Ist im Fall eines bestimmten Satzes personenbezogener Daten mehr als eine betroffene Person tangiert, so sollte das Recht auf Empfang der Daten die Grundrechte und Grundfreiheiten anderer betroffener Personen nach dieser Verordnung unberührt lassen. Dieses Recht sollte zudem das Recht der betroffenen Person auf Löschung ihrer personenbezogenen Daten und die Beschränkungen dieses Rechts nach dieser Verordnung nicht berühren und insbesondere nicht bedeuten, dass die Daten, die sich auf die betroffene Person beziehen und von ihr zur Erfüllung eines Vertrags zur Verfügung gestellt worden sind, gelöscht werden, soweit und solange diese personenbezogenen Daten für die Erfüllung des Vertrags notwendig sind. Soweit technisch machbar, sollte die betroffene Person das Recht haben, zu erwirken, dass die personenbezogenen Daten direkt von einem Verantwortlichen einem anderen Verantwortlichen übermittelt werden. (35)Dürfen die personenbezogenen Daten möglicherweise rechtmäßig verarbeitet werden, weil die Verarbeitung für die Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt – die dem Verantwortlichen übertragen wurde – erforderlich ist, sollte jede betroffene Person trotzdem das Recht haben, Widerspruch gegen die Verarbeitung der sich aus ihrer besonderen Situation ergebenden personenbezogenen Daten einzulegen. Der Verantwortliche sollte darlegen müssen, dass seine zwingenden berechtigten Interessen Vorrang vor den Interessen oder Grundrechten und Grundfreiheiten der betroffenen Person haben. (36)Die betroffene Person sollte das Recht haben, keiner Entscheidung – was eine Maßnahme einschließen kann – zur Bewertung von sie betreffenden persönlichen Aspekten unterworfen zu werden, die ausschließlich auf einer automatisierten Verarbeitung beruht und die rechtliche Wirkung für die betroffene Person entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt wie Online-Einstellungsverfahren ohne jegliches menschliche Eingreifen. Zu einer derartigen Verarbeitung zählt auch das „Profiling“, das in jeglicher Form automatisierter Verarbeitung personenbezogener Daten unter Bewertung der persönlichen Aspekte in Bezug auf eine natürliche Person besteht, insbesondere zur Analyse oder Prognose von Aspekten in Bezug auf Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben oder Interessen, Zuverlässigkeit oder Verhalten, Aufenthaltsort oder Ortswechsel der betroffenen Person, soweit dies rechtliche Wirkung für die betroffene Person entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Eine auf einer derartigen Verarbeitung, einschließlich des Profilings, beruhende Entscheidungsfindung sollte erlaubt sein, wenn dies nach dem Unionsrecht ausdrücklich zulässig ist. In jedem Fall sollte eine solche Verarbeitung mit angemessenen Garantien verbunden sein, einschließlich der spezifischen Unterrichtung der betroffenen Person und des Anspruchs auf direktes Eingreifen einer Person, auf Darlegung des eigenen Standpunkts, auf Erläuterung der nach einer entsprechenden Bewertung getroffenen Entscheidung sowie des Rechts auf Anfechtung der Entscheidung. Diese Maßnahme sollte kein Kind betreffen. Um unter Berücksichtigung der besonderen Umstände und Rahmenbedingungen, unter denen die personenbezogenen Daten verarbeitet werden, der betroffenen Person gegenüber eine faire und transparente Verarbeitung zu gewährleisten, sollte der Verantwortliche geeignete mathematische oder statistische Verfahren für das Profiling verwenden, technische und organisatorische Maßnahmen treffen, mit denen in geeigneter Weise insbesondere sichergestellt wird, dass Faktoren, die zu unrichtigen personenbezogenen Daten führen, korrigiert werden und das Risiko von Fehlern minimiert wird, und personenbezogene Daten in einer Weise sichern, dass den potenziellen Bedrohungen für die Interessen und Rechte der betroffenen Person Rechnung getragen wird und mit denen verhindert wird, dass es gegenüber natürlichen Personen aufgrund von Rasse, ethnischer Herkunft, politischer Meinung, Religion oder Weltanschauung, Gewerkschaftszugehörigkeit, genetischer Anlagen oder Gesundheitszustand sowie sexueller Orientierung zu diskriminierenden Wirkungen oder zu Maßnahmen kommt, die eine solche Wirkung haben. Automatisierte Entscheidungsfindung und Profiling auf der Grundlage besonderer Kategorien von personenbezogenen Daten sollten nur unter bestimmten Bedingungen erlaubt sein. (37)In auf der Grundlage der Verträge oder interner Vorschriften der Organe und Einrichtungen der Union erlassenen Rechtsakten können Beschränkungen hinsichtlich bestimmter Grundsätze und des Rechts auf Unterrichtung, Zugang zu und Berichtigung oder Löschung von personenbezogenen Daten, des Rechts auf Datenübertragbarkeit, Vertraulichkeit der elektronischen Kommunikation sowie Mitteilungen über eine Verletzung des Schutzes personenbezogener Daten an eine betroffene Person und bestimmten damit zusammenhängenden Pflichten der Verantwortlichen vorgesehen werden, soweit dies in einer demokratischen Gesellschaft erforderlich und angemessen ist, um die öffentliche Sicherheit aufrechtzuerhalten, wozu unter anderem die Verhütung, Aufdeckung und Verfolgung von Straftaten oder die Strafvollstreckung – was auch den Schutz vor und die Abwehr von Gefahren für die öffentliche Sicherheit einschließt – wozu unter anderem der Schutz von Menschenleben insbesondere bei Naturkatastrophen oder vom Menschen verursachten Katastrophen, der Schutz der inneren Sicherheit der Organe und Einrichtungen der Union und sonstiger wichtiger Ziele des allgemeinen öffentlichen Interesses der Union oder eines Mitgliedstaats, vor allem wichtige wirtschaftliche oder finanzielle Interessen der Union oder eines Mitgliedstaates, das Führen öffentlicher Register aus Gründen des allgemeinen öffentlichen Interesses oder etwa der Schutz betroffener Personen und der Rechte und Freiheiten anderer Personen, einschließlich in den Bereichen Sozialschutz, öffentliche Gesundheit und humanitäre Hilfe, gehören. Wenn die Beschränkung nicht in einem auf der Grundlage der Verträge oder ihrer internen Vorschriften erlassenen Rechtsakt vorgesehen ist, können die Organe und Einrichtungen der Union in einem konkreten Fall eine Ad-hoc-Beschränkung hinsichtlich bestimmter Grundsätze und Rechte der betroffenen Person geltend machen, sofern die Beschränkung in Bezug auf einen bestimmten Verarbeitungsvorgang den Wesensgehalt der Grundrechte und Grundfreiheiten achtet und in einer demokratischen Gesellschaft eine erforderliche und angemessene Maßnahme darstellt, mit der eines oder mehrere der in Absatz 1 genannten Ziele gewahrt werden. Diese Beschränkung sollte dem Datenschutzbeauftragten gemeldet werden. Sämtliche Beschränkungen sollten mit der Charta und mit der Europäischen Konvention zum Schutz der Menschenrechte und Grundfreiheiten im Einklang stehen. (38)Die Verantwortung und Haftung des Verantwortlichen für jedwede Verarbeitung personenbezogener Daten, die durch ihn oder in seinem Namen erfolgt, sollte geregelt werden. Insbesondere sollte der Verantwortliche geeignete und wirksame Maßnahmen treffen müssen und nachweisen können, dass die Verarbeitungstätigkeiten im Einklang mit dieser Verordnung stehen und die Maßnahmen auch wirksam sind. Dabei sollte er die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung und das Risiko für die Rechte und Freiheiten natürlicher Personen berücksichtigen. Die Risiken für die Rechte und Freiheiten natürlicher Personen – mit unterschiedlicher Eintrittswahrscheinlichkeit und Schwere – können aus einer Verarbeitung personenbezogener Daten hervorgehen, die zu einem physischen, materiellen oder immateriellen Schaden führen könnte, insbesondere wenn die Verarbeitung zu einer Diskriminierung, einem Identitätsdiebstahl oder -betrug, einem finanziellen Verlust, einer Rufschädigung, einem Verlust der Vertraulichkeit von dem Berufsgeheimnis unterliegenden personenbezogenen Daten, der unbefugten Aufhebung der Pseudonymisierung oder anderen erheblichen wirtschaftlichen oder gesellschaftlichen Nachteilen führen kann, wenn die betroffenen Personen um ihre Rechte und Freiheiten gebracht oder daran gehindert werden, die sie betreffenden personenbezogenen Daten zu kontrollieren, wenn personenbezogene Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Zugehörigkeit zu einer Gewerkschaft hervorgehen, und genetische Daten, Gesundheitsdaten oder das Sexualleben oder strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln betreffende Daten verarbeitet werden, wenn persönliche Aspekte bewertet werden, insbesondere wenn Aspekte, die die Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben oder Interessen, die Zuverlässigkeit oder das Verhalten, den Aufenthaltsort oder Ortswechsel betreffen, analysiert oder prognostiziert werden, um persönliche Profile zu erstellen oder zu nutzen, wenn personenbezogene Daten schutzbedürftiger natürlicher Personen, insbesondere Daten von Kindern, verarbeitet werden oder wenn die Verarbeitung eine große Menge personenbezogener Daten und eine große Anzahl von betroffenen Personen betrifft. Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der betroffenen Person sollten in Bezug auf die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung bestimmt werden. Das Risiko sollte anhand einer objektiven Bewertung beurteilt werden, bei der festgestellt wird, ob die Datenverarbeitung ein Risiko oder ein hohes Risiko birgt. (39)Zum Schutz der in Bezug auf die Verarbeitung personenbezogener Daten bestehenden Rechte und Freiheiten natürlicher Personen ist es erforderlich, dass geeignete technische und organisatorische Maßnahmen getroffen werden, damit die Anforderungen dieser Verordnung erfüllt werden. Um die Einhaltung dieser Verordnung nachweisen zu können, sollte der Verantwortliche interne Strategien festlegen und Maßnahmen ergreifen, die insbesondere den Grundsätzen des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen Genüge tun. Solche Maßnahmen könnten unter anderem darin bestehen, dass die Verarbeitung personenbezogener Daten minimiert wird, personenbezogene Daten so schnell wie möglich pseudonymisiert werden, Transparenz in Bezug auf die Funktionen und die Verarbeitung personenbezogener Daten hergestellt wird, der betroffenen Person ermöglicht wird, die Verarbeitung personenbezogener Daten zu überwachen, und der Verantwortliche in die Lage versetzt wird, Sicherheitsfunktionen zu schaffen und zu verbessern. Den Grundsätzen des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen sollte auch bei öffentlichen Ausschreibungen Rechnung getragen werden. (40)Zum Schutz der Rechte und Freiheiten der betroffenen Personen sowie zur Klärung der Verantwortung und der Haftung der Verantwortlichen und der Auftragsverarbeiter bedarf es einer klaren Zuteilung der Verantwortlichkeiten durch diese Verordnung, insbesondere für Fälle, in denen ein Verantwortlicher die Verarbeitungszwecke und mittel gemeinsam mit anderen Verantwortlichen festlegt oder ein Verarbeitungsvorgang im Auftrag eines Verantwortlichen durchgeführt wird. (41)Damit die Anforderungen dieser Verordnung in Bezug auf die vom Auftragsverarbeiter im Namen des Verantwortlichen vorzunehmende Verarbeitung eingehalten werden, sollte ein Verantwortlicher, der einen Auftragsverarbeiter mit Verarbeitungstätigkeiten betrauen will, nur Auftragsverarbeiter heranziehen, die – insbesondere im Hinblick auf Fachwissen, Zuverlässigkeit und Ressourcen – hinreichende Garantien dafür bieten, dass technische und organisatorische Maßnahmen – auch für die Sicherheit der Verarbeitung – getroffen werden, die den Anforderungen dieser Verordnung genügen. Die Einhaltung genehmigter Verhaltensregeln oder eines genehmigten Zertifizierungsverfahrens durch Auftragsverarbeiter, die nicht Organe und Einrichtungen der Union sind, kann als Faktor herangezogen werden, um die Erfüllung der Pflichten des Verantwortlichen nachzuweisen. Die Durchführung einer Verarbeitung durch einen Auftragsverarbeiter sollte auf Grundlage eines Vertrags oder eines anderen Rechtsinstruments nach dem Recht der Union oder der Mitgliedstaaten erfolgen, der bzw. das den Auftragsverarbeiter an den Verantwortlichen bindet und in dem Gegenstand und Dauer der Verarbeitung, Art und Zwecke der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien von betroffenen Personen festgelegt sind, wobei die besonderen Aufgaben und Pflichten des Auftragsverarbeiters bei der geplanten Verarbeitung und das Risiko für die Rechte und Freiheiten der betroffenen Person zu berücksichtigen sind. Der Verantwortliche und der Auftragsverarbeiter sollten entscheiden können, ob sie einen individuellen Vertrag oder Standardvertragsklauseln verwenden, die entweder unmittelbar von der Kommission erlassen oder aber vom Datenschutzbeauftragten angenommen und dann von der Kommission erlassen wurden. Nach Beendigung der Verarbeitung im Namen des Verantwortlichen sollte der Auftragsverarbeiter die personenbezogenen Daten nach Wahl des Verantwortlichen entweder zurückgeben oder löschen, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht. (42)Zum Nachweis der Einhaltung dieser Verordnung sollten Verantwortliche eine Liste der in ihrer Zuständigkeit liegenden Verarbeitungstätigkeiten und Auftragsverarbeiter eine Liste der Kategorien der in ihrer Zuständigkeit liegenden Verarbeitungstätigkeiten führen. Die Organe und Einrichtungen der Union sollten verpflichtet sein, mit dem Europäischen Datenschutzbeauftragten zusammenzuarbeiten und diesem auf Anfrage die entsprechende Liste vorzulegen, damit die betreffenden Verarbeitungsvorgänge anhand dieser Liste kontrolliert werden können. Den Organen und Einrichtungen der Union sollte es möglich sein, ein zentrales Register einzurichten, in dem sie ihre Verarbeitungstätigkeiten verzeichnen. Aus Gründen der Transparenz sollte es ihnen zudem möglich sei, dieses Register öffentlich zugänglich zu machen. (43)Zur Aufrechterhaltung der Sicherheit und zur Vorbeugung gegen eine gegen diese Verordnung verstoßende Verarbeitung sollte der Verantwortliche oder der Auftragsverarbeiter die mit der Verarbeitung verbundenen Risiken ermitteln und Maßnahmen zu ihrer Eindämmung, wie etwa eine Verschlüsselung, treffen. Diese Maßnahmen sollten unter Berücksichtigung des Stands der Technik und der Implementierungskosten ein Schutzniveau – auch hinsichtlich der Vertraulichkeit – gewährleisten, das den von der Verarbeitung ausgehenden Risiken und der Art der zu schützenden personenbezogenen Daten angemessen ist. Bei der Bewertung der Datensicherheitsrisiken sollten die mit der Verarbeitung personenbezogener Daten verbundenen Risiken berücksichtigt werden, wie etwa – ob unbeabsichtigt oder unrechtmäßig – Vernichtung, Verlust, Veränderung oder unbefugte Offenlegung von oder unbefugter Zugang zu personenbezogenen Daten, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden, insbesondere wenn dies zu einem physischen, materiellen oder immateriellen Schaden führen könnte.

(44)Die Organe und Einrichtungen der Union sollten die Vertraulichkeit der elektronischen Kommunikation nach Artikel 7 der Charta sicherstellen. Insbesondere sollten die Organe und Einrichtungen der Union die Sicherheit ihrer elektronischen Kommunikationsnetze sicherstellen sowie die sich auf die Endeinrichtungen der Endnutzer beziehenden Informationen bei deren Zugriff auf ihre öffentlich zugänglichen Websites und mobilen Anwendungen nach der Verordnung (EU) XXXX/XX [neue Verordnung über Privatsphäre und elektronische Kommunikation] schützen und die personenbezogenen Daten in den Nutzerverzeichnissen schützen. (45)Eine Verletzung des Schutzes personenbezogener Daten kann – wenn nicht rechtzeitig und angemessen reagiert wird – einen physischen, materiellen oder immateriellen Schaden für natürliche Personen nach sich ziehen. Deshalb sollte der Verantwortliche, sobald ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, den Europäischen Datenschutzbeauftragten von der Verletzung des Schutzes personenbezogener Daten unverzüglich und, falls möglich, binnen höchstens 72 Stunden, nachdem ihm die Verletzung bekannt wurde, unterrichten, es sei denn, der Verantwortliche kann im Einklang mit dem Grundsatz der Rechenschaftspflicht nachweisen, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen führt. Falls diese Benachrichtigung nicht binnen 72 Stunden erfolgen kann, sollten in ihr die Gründe für die Verzögerung angegeben werden, und die Informationen können schrittweise ohne unangemessene weitere Verzögerung bereitgestellt werden. Sind solche Verzögerungen gerechtfertigt, sollten weniger sensible oder weniger konkrete Informationen über die Verletzung so schnell wie möglich veröffentlicht werden, anstatt mit der Benachrichtigung zu warten, bis das zugrunde liegende Ereignis beseitigt wurde. (46)Der Verantwortliche sollte die betroffene Person unverzüglich von der Verletzung des Schutzes personenbezogener Daten benachrichtigen, wenn diese Verletzung des Schutzes personenbezogener Daten voraussichtlich zu einem hohen Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen führt, damit diese die erforderlichen Vorkehrungen treffen können. Die Benachrichtigung sollte eine Beschreibung der Art