Der Verwaltungsrat der Europäischen Agentur für Sicherheit und Gesundheitsschutz am Arbeitsplatz -

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,

gestützt auf die Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG ¹, insbesondere auf Artikel 25,

gestützt auf die Verordnung (EU) 2019/126 des Europäischen Parlaments und des Rates vom 16. Januar 2019 zur Errichtung der Europäischen Agentur für Sicherheit und Gesundheitsschutz am Arbeitsplatz (EU-OSHA) und zur Aufhebung der Verordnung (EG) Nr. 2062/94 des Rates ²,

gestützt auf die Geschäftsordnung des Verwaltungsrats der EU-OSHA,

gestützt auf die Stellungnahme des Europäischen Datenschutzbeauftragten (EDSB) vom 17. Oktober 2019 und auf die Leitlinien des Europäischen Datenschutzbeauftragten zu Artikel 25 der neuen Verordnung und den internen Vorschriften,

in Erwägung nachstehender Gründe:

(1) Die EU-OSHA übt ihre Tätigkeiten gemäß der Verordnung (EU) 2019/126 aus.

(2) Gemäß Artikel 25 Absatz 1 der Verordnung (EU) 2018/1725 müssen Beschränkungen der Anwendung der Artikel 14 bis 21, 35 und 36 sowie des Artikels 4 der Verordnung, insofern dessen Bestimmungen den in den Artikeln 14 bis 21 vorgesehenen Rechten und Pflichten entsprechen, auf von der Agentur zu erlassenden internen Vorschriften beruhen, soweit sie nicht auf Rechtsakten basieren, die auf der Grundlage der Verträge erlassen wurden.

(3) Diese internen Vorschriften, einschließlich ihrer Bestimmungen über die Beurteilung der Notwendigkeit und Verhältnismäßigkeit einer Beschränkung, sollten nicht gelten, wenn eine Beschränkung von Rechten Betroffener durch einen auf der Grundlage der Verträge erlassenen Rechtsakt vorgesehen ist.

(4) Betrifft die Wahrnehmung ihrer Aufgaben die Rechte betroffener Personen gemäß der Verordnung (EU) 2018/1725, prüft die Agentur, ob eine der in der Verordnung vorgesehenen Ausnahmen gegeben ist.

(5) Im Rahmen ihrer Verwaltungstätigkeit ist die Agentur befugt, Verwaltungsuntersuchungen, Disziplinarverfahren und erste Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten durchzuführen, Missstandsmeldungen (Whistleblowing) zu bearbeiten, (formelle und informelle) Verfahren wegen Mobbings zu bearbeiten, interne und externe Beschwerden zu bearbeiten, interne Audits durchzuführen, den Datenschutzbeauftragten Prüfungen gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 vornehmen zu lassen sowie interne (IT-)Sicherheitsüberprüfungen durchzuführen. Außerdem kann die Agentur Anträge von Bediensteten auf Auskunft über ihre eigene medizinische Akte bearbeiten.

Die Agentur verarbeitet mehrere Kategorien personenbezogener Daten, einschließlich harter Daten ("objektive" Daten wie Identifikationsdaten, Kontaktdaten, berufsbezogene Daten, Verwaltungsdaten, Daten aus bestimmten Quellen, elektronische Kommunikations- und Verkehrsdaten) und/oder weicher Daten ("subjektive" fallbezogene Daten wie Begründungen, verhaltensbezogene Daten, Beurteilungen, Leistungs- und Verhaltensdaten sowie Daten, die sich auf den Gegenstand des Verfahrens oder der Tätigkeit beziehen oder im Zusammenhang damit vorgebracht werden).

(6) Die Agentur, vertreten durch ihren Exekutivdirektor, ist der für die Verarbeitung Verantwortliche, auch wenn Befugnisse des für die Verarbeitung Verantwortlichen innerhalb der Agentur weiter delegiert werden, um den operativen Verantwortlichkeiten für bestimmte Vorgänge der Verarbeitung personenbezogener Daten Rechnung zu tragen.

(7) Die personenbezogenen Daten werden in einem elektronischen Umfeld oder in Papierform sicher aufbewahrt, um den unrechtmäßigen Zugang zu den Daten oder die Übermittlung der Daten an Personen, die nicht auf deren Kenntnis angewiesen sind, zu verhindern. Die medizinischen Akten werden vom Arzt des von der Agentur beauftragten externen Dienstleisters aufbewahrt. Die verarbeiteten personenbezogenen Daten werden in dem in den Datenschutzerklärungen oder Verzeichnissen der Agentur angegebenen Zeitraum nur so lange aufbewahrt, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich und angemessen ist.

(8) Die internen Vorschriften sollten für sämtliche Verarbeitungsvorgänge gelten, die von der Agentur ausgeführt werden im Zusammenhang mit Verwaltungsuntersuchungen, Disziplinarverfahren, ersten Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten, Verfahren wegen gemeldeter Missstände (Whistleblowing), (formellen und informellen) Verfahren wegen Mobbings, der Bearbeitung interner und externer Beschwerden, internen Audits, vom Datenschutzbeauftragten durchgeführten Prüfungen gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725, intern oder mit externer Beteiligung (z.B. durch das CERT-EU) durchgeführten (IT-)Sicherheitsüberprüfungen sowie der Bearbeitung von Anträgen auf Auskunft über die eigene medizinische Akte.

(9) Diese internen Vorschriften sollten für die Verarbeitungsvorgänge gelten, die vor der Einleitung der vorstehend genannten Verfahren, während dieser Verfahren und bei der Überwachung der aufgrund des Ergebnisses dieser Verfahren getroffenen Folgemaßnahmen ausgeführt werden. Dies sollte auch die Unterstützung und Zusammenarbeit umfassen, die die Agentur außerhalb ihrer administrativen Untersuchungen für nationale Behörden und internationale Organisationen leistet.

(10) Wenn diese internen Vorschriften Anwendung finden, muss die Agentur für jede Beschränkung unter Angabe von Gründen erklären, warum diese unbedingt erforderlich und in einer demokratischen Gesellschaft verhältnismäßig ist und den Wesensgehalt der Grundrechte und -freiheiten achtet.

(11) In diesem Rahmen ist die Agentur gehalten, die Grundrechte der betroffenen Personen in den vorgenannten Verfahren im größtmöglichen Umfang zu achten, insbesondere diejenigen in Bezug auf die Rechte auf Unterrichtung, Auskunft und Berichtigung, Löschung, Einschränkung der Verarbeitung, Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Personen bzw. Vertraulichkeit der Kommunikation, so wie diese in der Verordnung (EU) 2018/1725 verankert sind.

(12) Die Agentur kann jedoch verpflichtet sein, die Unterrichtung der betroffenen Person und andere Rechte der betroffenen Person zu beschränken, um insbesondere ihre eigenen Untersuchungen, die Untersuchungen und Verfahren anderer Behörden sowie die Rechte anderer Personen im Zusammenhang mit ihren eigenen Untersuchungen oder anderen Verfahren zu schützen.

(13) Die Agentur kann daher die Unterrichtung zum Zweck des Schutzes der Untersuchung sowie der Grundrechte und Grundfreiheiten anderer betroffener Personen beschränken.

(14) Die Agentur sollte regelmäßig überprüfen, dass die Bedingungen, die die Beschränkung rechtfertigen, gegeben sind, und die Beschränkung aufheben, soweit diese nicht länger gegeben sind.

(15) Der für die Verarbeitung Verantwortliche sollte den Datenschutzbeauftragten zum Zeitpunkt einer Zurückstellung und während der Überprüfungen unterrichten

- hat folgenden Beschluss erlassen:

Artikel 1 Gegenstand und Anwendungsbereich

(1) Mit diesem Beschluss werden Vorschriften in Bezug auf die Bedingungen festgelegt, unter denen die Agentur im Rahmen ihrer unter Absatz 2 aufgeführten Verfahren die Anwendung der Rechte, die in den Artikeln 14 bis 21, 35 und 36 sowie Artikel 4 der Verordnung (EU) 2018/1725 vorgesehen sind, gemäß Artikel 25 der Verordnung beschränken darf.

(2) Im Rahmen der Verwaltungsarbeit der Agentur gilt dieser Beschluss für die Verarbeitungsvorgänge der Agentur, die personenbezogene Daten betreffen und den folgenden Zwecken dienen: der Durchführung von Verwaltungsuntersuchungen, Disziplinarverfahren, ersten Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten, Verfahren wegen gemeldeter Missstände (Whistleblowing), (formellen und informellen) Verfahren wegen Mobbings, der Bearbeitung interner und externer Beschwerden, der Durchführung interner Audits, vom Datenschutzbeauftragten durchgeführten Prüfungen gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 sowie intern oder mit externer Beteiligung (z.B. durch das CERT-EU) durchgeführten (IT-)Sicherheitsüberprüfungen, der Durchsetzung zivilrechtlicher Ansprüche sowie der Bearbeitung von Anträgen auf Auskunft über die eigene medizinische Akte.

(3) Die entsprechenden Kategorien personenbezogener Daten umfassen harte Daten ("objektive" Daten wie Identifikationsdaten, Kontaktdaten, berufsbezogene Daten, Verwaltungsdaten, Daten aus bestimmten Quellen, elektronische Kommunikations- und Verkehrsdaten) und/oder weiche Daten ("subjektive" fallbezogene Daten wie Begründungen, verhaltensbezogene Daten, Bewertungen, Leistungs- und Verhaltensdaten sowie Daten, die sich auf den Gegenstand des Verfahrens oder der Tätigkeit beziehen oder im Zusammenhang damit übertragen werden).

(4) Betrifft die Wahrnehmung ihrer Aufgaben die Rechte betroffener Personen gemäß der Verordnung (EU) 2018/1725, prüft die Agentur, ob eine der in der Verordnung vorgesehenen Ausnahmen gegeben ist.

(5) Unter den in diesem Beschluss genannten Bedingungen können die folgenden Rechte beschränkt werden: die Rechte auf Unterrichtung der betroffenen Personen, Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Personen bzw. Vertraulichkeit der Kommunikation.

Artikel 2 Angabe des für die Verarbeitung Verantwortlichen und Garantien

(1) Verletzungen des Schutzes personenbezogener Daten, Datenverluste oder unbefugte Offenlegung werden durch die folgenden Schutzmaßnahmen verhindert:

1. Dokumente in Papierform werden in gesicherten Schränken aufbewahrt und ausschließlich befugtem Personal zugänglich gemacht.
2. Alle elektronischen Daten werden in einer sicheren IT-Anwendung gemäß den Sicherheitsstandards der Agentur sowie in speziellen elektronischen Ordnern gespeichert, die ausschließlich befugtem Personal zugänglich sind. Angemessene Zugangsrechte werden auf individueller Basis erteilt.
3. Der Schutz der Datenbank erfolgt durch ein System mit einmaliger Anmeldung mit Kennwort und automatischer Verbindung mit Benutzerkennung und Kennwort (Single Sign-on-System). Die Ersetzung von Benutzern ist streng untersagt. Elektronische Aufzeichnungen (E-Aufzeichnungen) werden sicher aufbewahrt, um die Vertraulichkeit und den Schutz der darin enthaltenen Daten zu garantieren.
4. Der Arzt des externen Dienstleisters, der die medizinischen Akten aufbewahrt, ist an einschlägige vertragliche Klauseln über die Geheimhaltung und Verarbeitung personenbezogener Daten gebunden.
5. Alle Personen, die Zugang zu den Daten haben, sind zur Geheimhaltung verpflichtet.

(2) Der für die Verarbeitungsvorgänge Verantwortliche ist die Agentur, vertreten durch ihren Exekutivdirektor, der die Funktion des für die Verarbeitung Verantwortlichen übertragen kann. Den betroffenen Personen werden die Angaben zum stellvertretenden für die Verarbeitung Verantwortlichen in den auf der Website und/oder im Intranet der Agentur veröffentlichten Datenschutzerklärungen oder Verzeichnissen mitgeteilt.

(3) Die Aufbewahrungsfrist für die in Artikel 1 Absatz 3 genannten personenbezogenen Daten ist nicht länger als für die Datenverarbeitungszwecke erforderlich und angemessen. Sie darf keinesfalls länger sein als die Aufbewahrungsfrist, die in den Datenschutzerklärungen oder Verzeichnissen angegeben ist, auf die in Artikel 5 Absatz 1 Bezug genommen wird.

(4) Wenn die Agentur eine Beschränkung in Erwägung zieht, sind die Risiken für die Rechte und Freiheiten der betroffenen Person abzuwägen, insbesondere gegenüber dem Risiko für die Rechte und Freiheiten anderer betroffener Personen sowie dem Risiko, dass die Wirksamkeit der von der Agentur durchgeführten Untersuchungen oder Verfahren, z.B. durch Vernichtung von Beweismaterial, zunichtegemacht wird. Bei den Risiken für die Rechte und Freiheiten der betroffenen Person handelt es sich insbesondere, jedoch nicht ausschließlich um Reputationsrisiken sowie Risiken für das Verteidigungsrecht und den Anspruch auf rechtliches Gehör.

Artikel 3 Beschränkungen

(1) Die Agentur darf Beschränkungen nur vornehmen, um Folgendes sicherzustellen:

1. die nationale Sicherheit, die öffentliche Sicherheit oder die Landesverteidigung der Mitgliedstaaten;
2. die Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten oder die Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit;
3. sonstige wichtige Ziele des allgemeinen öffentlichen Interesses der Union oder eines Mitgliedstaats, insbesondere die Ziele der gemeinsamen Außen- und Sicherheitspolitik der Union oder ein wichtiges wirtschaftliches oder finanzielles Interesse der Union oder eines Mitgliedstaats, etwa im Währungs-, Haushalts- und Steuerbereich sowie im Bereich der öffentlichen Gesundheit und der sozialen Sicherheit;
4. die innere Sicherheit der Organe und Einrichtungen der Union einschließlich ihrer elektronischen Kommunikationsnetze;
5. die Verhütung, Ermittlung, Aufdeckung und Verfolgung von Verstößen gegen die berufsständischen Regeln reglementierter Berufe,
6. Kontroll-, Überwachungs- oder Ordnungsfunktionen, die dauernd oder zeitweise mit der Ausübung öffentlicher Gewalt für die unter den Buchstaben a bis c genannten Zwecke verbunden sind;
7. den Schutz der betroffenen Person oder der Rechte und Freiheiten anderer Personen;
8. die Durchsetzung zivilrechtlicher Ansprüche.

(2) Als eine spezifische Anwendung zu den in Absatz 1 genannten Zwecken kann die Agentur für personenbezogene Daten, die mit Dienststellen der Kommission oder anderen Organen, Einrichtungen und sonstigen Stellen der Union, zuständigen Behörden der Mitgliedstaaten oder Drittländern oder internationalen Organisationen ausgetauscht werden, unter folgenden Umständen Beschränkungen vornehmen:

1. wenn die Beschränkung der Ausübung dieser Rechte und Pflichten durch Kommissionsdienststellen oder andere Organe, Einrichtungen und sonstige Stellen der Union aufgrund anderer in Artikel 25 der Verordnung (EU) 2018/1725 vorgesehener Rechtsakte oder gemäß Kapitel IX der genannten Verordnung oder gemäß den Gründungsakten anderer Organe, Einrichtungen und sonstigen Stellen der Union möglich ist;
2. wenn die Beschränkung der Ausübung dieser Rechte und Pflichten durch zuständige Behörden der Mitgliedstaaten aufgrund in Artikel 23 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates ³ genannter Rechtsakte, oder aufgrund nationaler Maßnahmen zur Umsetzung der Artikel 13 Absatz 3, Artikel 15 Absatz 3 oder Artikel 16 Absatz 3 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates ⁴ möglich ist;
3. wenn die Ausübung dieser Rechte und Pflichten die in Wahrnehmung ihrer Aufgaben erfolgende Zusammenarbeit der Agentur mit Drittländern oder internationalen Organisationen gefährden könnte.

Bevor die Agentur unter den in den Buchstaben a und b des ersten Unterabsatzes genannten Voraussetzungen Beschränkungen vornimmt, konsultiert sie die zuständigen Dienststellen der Kommission, die Einrichtungen, Organe und sonstigen Stellen der Union oder die zuständigen Behörden der Mitgliedstaaten, es sei denn, für die Agentur ist klar, dass die Vornahme der Beschränkung in einem der unter diesen beiden Buchstaben genannten Rechtsakte vorgesehen ist.

(3) Jede Beschränkung muss im Hinblick auf die Risiken für die Rechte und Freiheiten der betroffenen Personen notwendig und verhältnismäßig sein und den Wesensgehalt der Grundrechte und Grundfreiheiten in einer demokratischen Gesellschaft achten.

(4) Wird eine Beschränkung in Betracht gezogen, ist deren Notwendigkeit und Verhältnismäßigkeit auf Grundlage der vorliegenden Vorschriften zu prüfen. Zu Rechenschaftszwecken ist dies im Einzelfall in einem internen Bewertungsvermerk zu dokumentieren.

(5) Sobald die die Beschränkungen rechtfertigenden Umstände nicht mehr vorliegen, werden die Beschränkungen aufgehoben. Insbesondere, wenn nicht mehr anzunehmen ist, dass die Ausübung des beschränkten Rechts die Wirkung der vorgenommenen Beschränkung zunichtemachen oder die Rechte oder Freiheiten anderer betroffener Personen beeinträchtigen würde.

Artikel 4 Überprüfung durch den Datenschutzbeauftragten

(1) Die Agentur unterrichtet den Datenschutzbeauftragten der Agentur ("DSB") unverzüglich, wenn der für die Verarbeitung Verantwortliche gemäß diesem Beschluss Rechte betroffener Personen beschränkt oder Beschränkungen verlängert. Der für die Verarbeitung Verantwortliche gewährt dem DSB Zugang zu dem Verzeichnis, das die Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung enthält, und dokumentiert das Datum, an dem der DSB unterrichtet wird, im Verzeichnis.

(2) Der DSB kann den für die Verarbeitung Verantwortlichen schriftlich auffordern, die Geltung der Beschränkungen zu überprüfen. Der für die Verarbeitung Verantwortliche unterrichtet den DSB schriftlich über das Ergebnis der Überprüfung.

(3) Der für die Verarbeitung Verantwortliche unterrichtet den DSB über die Aufhebung der Beschränkung.

Artikel 5 Unterrichtung der betroffenen Person

(1) In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der für die Verarbeitung Verantwortliche das Recht auf Unterrichtung im Rahmen der folgenden Verarbeitungsvorgänge beschränken:

1. Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren;
2. erste Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten;
3. Verfahren wegen gemeldeter Missstände (Whistleblowing);
4. (formelle und informelle) Verfahren wegen Mobbings;
5. Bearbeitung interner und externer Beschwerden;
6. interne Audits;
7. vom Datenschutzbeauftragten durchgeführte Prüfungen gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725;
8. intern oder mit externer Beteiligung (z.B. durch das CERT-EU) durchgeführte (IT-)Sicherheitsüberprüfungen.

In die auf der Website und/oder im Intranet der Agentur veröffentlichten Datenschutzerklärungen oder Verzeichnisse im Sinne von Artikel 31 der Verordnung (EU) 2018/1725, die die betroffenen Personen über ihre Rechte im Rahmen eines gegebenen Verfahrens informieren, nimmt die Agentur Informationen über die potenzielle Beschränkung dieser Rechte auf. Diese Unterrichtung bezieht sich darauf, welche Rechte beschränkt werden können, die Gründe dafür und die mögliche Dauer.

(2) Unbeschadet der Bestimmungen in Absatz 3 unterrichtet die Agentur, sofern dies verhältnismäßig ist, alle betroffenen Personen, die als von den spezifischen Verarbeitungsvorgängen betroffene Personen gelten, einzeln, unverzüglich und schriftlich über gegenwärtige oder künftige Beschränkungen ihrer Rechte.

(3) Wenn die Agentur das in Absatz 2 vorgesehene Recht auf Unterrichtung der betroffenen Personen ganz oder zum Teil beschränkt, erfasst sie die Gründe für die Beschränkung und die Rechtsgrundlage gemäß Artikel 3 dieses Beschlusses, einschließlich einer Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung, in einer Aufzeichnung.

Die Aufzeichnung sowie gegebenenfalls die Unterlagen, die die tatsächlichen und rechtlichen Grundlagen enthalten, werden in einem Register verzeichnet. Sie werden dem Europäischen Datenschutzbeauftragten auf Anforderung zur Verfügung gestellt.

(4) Eine Beschränkung im Sinne von Absatz 3 gilt, solange die Gründe dafür weiterhin vorliegen.

Wenn die Gründe für die Beschränkung nicht mehr vorliegen, unterrichtet die Agentur die betroffene Person über die Hauptgründe, auf denen die Vornahme der Beschränkung beruht. Gleichzeitig teilt die Agentur der betroffenen Person mit, dass sie jederzeit Beschwerde beim Europäischen Datenschutzbeauftragten oder einen Rechtsbehelf beim Gerichtshof der Europäischen Union einlegen kann.

Die Agentur überprüft die verhängte Beschränkung alle sechs Monate sowie bei Abschluss der Prüfung, des Verfahrens oder der Untersuchung. Danach überwacht der für die Verarbeitung Verantwortliche alle sechs Monate, ob es notwendig ist, die Beschränkung aufrechtzuerhalten.

Artikel 6 Recht der betroffenen Person auf Auskunft

(1) In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der für die Verarbeitung Verantwortliche, soweit dies notwendig und verhältnismäßig ist, das Recht auf Auskunft im Rahmen der folgenden Verarbeitungsvorgänge beschränken:

1. Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren;
2. erste Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten;
3. Verfahren wegen gemeldeter Missstände (Whistleblowing);
4. (formelle und informelle) Verfahren wegen Mobbings;
5. Bearbeitung interner und externer Beschwerden;
6. interne Audits;
7. vom Datenschutzbeauftragten durchgeführte Prüfungen gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725;
8. intern oder mit externer Beteiligung (z.B. durch das CERT-EU) durchgeführte (IT-)Sicherheitsüberprüfungen.
9. Bearbeitung von Anträgen auf Auskunft über die eigene medizinische Akte.

Verlangen von der Datenverarbeitung betroffene Personen gemäß Artikel 17 der Verordnung (EU) 2018/1725 Auskunft über ihre im Zusammenhang mit einem oder mehreren spezifischen Fällen verarbeiteten personenbezogenen Daten oder über einen spezifischen Datenverarbeitungsvorgang, beschränkt die Agentur ihre Antragsprüfung auf die betreffenden personenbezogenen Daten.

(2) Beschränkt die Agentur das in Artikel 17 der Verordnung (EU) 2018/1725 vorgesehene Auskunftsrecht ganz oder zum Teil, ergreift sie die folgenden Maßnahmen:

1. Sie unterrichtet die betroffene Person in ihrer Antwort auf den Antrag über die vorgenommene Beschränkung und die Hauptgründe dafür sowie über die Möglichkeit, Beschwerde beim Europäischen Datenschutzbeauftragten oder einen gerichtlichen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen;
2. in einem internen Beurteilungsvermerk notiert sie die Gründe für die Beschränkung, einschließlich einer Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung und ihrer Dauer.

Beschränkungen des Rechts auf Einsicht in die eigene medizinische Akte sind nur in Bezug auf persönliche medizinische Daten psychologischer oder psychiatrischer Art zulässig, sofern die Auskunft über solche Daten wahrscheinlich die Gesundheit der betroffenen Person gefährdet. Eine solche Beschränkung darf nicht über das für den Schutz der betroffenen Person unbedingt erforderliche Maß hinausgehen. Die Auskunft über solche Informationen wird einem von der betroffenen Person als Mittelsperson gewählten Arzt gewährt. Diesem Arzt ist Einsichtnahme in alle Informationen zu geben sowie Ermessen zu gewähren, über die Art und Weise sowie den Inhalt der Auskunft, die der betroffenen Personen erteilt wird, zu entscheiden.

Die in Buchstabe a vorgesehene Unterrichtung kann zurückgestellt, unterlassen oder abgelehnt werden, wenn sie die Wirkung der gemäß Artikel 25 Absatz 8 der Verordnung (EU) 2018/1725 vorgenommenen Beschränkung zunichtemachen würde.

Die Agentur überprüft die verhängte Beschränkung alle sechs Monate sowie bei Abschluss der betreffenden Untersuchung. Danach überwacht der für die Verarbeitung Verantwortliche alle sechs Monate, ob es notwendig ist, die Beschränkung aufrechtzuerhalten.

(3) Die Aufzeichnung sowie gegebenenfalls die Unterlagen, die die tatsächlichen und rechtlichen Grundlagen enthalten, werden in einem Register verzeichnet. Sie werden dem Europäischen Datenschutzbeauftragten auf Anforderung zur Verfügung gestellt.

Artikel 7 Recht auf Berichtigung, Löschung und Einschränkung der Verarbeitung

(1) In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der für die Verarbeitung Verantwortliche, soweit dies notwendig und verhältnismäßig ist, das Recht auf Berichtigung, Löschung und Einschränkung der Verarbeitung im Rahmen der folgenden Verarbeitungsvorgänge beschränken:

1. Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren;
2. erste Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten;
3. Verfahren wegen gemeldeter Missstände (Whistleblowing);
4. (formelle und informelle) Verfahren wegen Mobbings;
5. Bearbeitung interner und externer Beschwerden;
6. interne Audits;
7. vom Datenschutzbeauftragten durchgeführte Prüfungen gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725;
8. intern oder mit externer Beteiligung (z.B. durch das CERT-EU) durchgeführte (IT-)Sicherheitsüberprüfungen.

(2) Beschränkt die Agentur das in den Artikeln 18, 19 Absatz 1 und 20 Absatz 1 der Verordnung (EU) 2018/1725 vorgesehene Recht auf Berichtigung, Löschung und Einschränkung der Verarbeitung ganz oder zum Teil, muss sie die in Artikel 6 Absatz 2 dieses Beschlusses genannten Maßnahmen ergreifen und die Aufzeichnung gemäß Artikel 6 Absatz 3 in einem Register verzeichnen.

Artikel 8 Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person und Vertraulichkeit der elektronischen Kommunikation

(1) In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der für die Verarbeitung Verantwortliche, soweit dies notwendig und verhältnismäßig ist, das Recht auf Benachrichtigung über eine Verletzung des Schutzes personenbezogener Daten im Rahmen der folgenden Verarbeitungsvorgänge beschränken:

1. Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren;
2. erste Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten;
3. Verfahren wegen gemeldeter Missstände (Whistleblowing);
4. (formelle und informelle) Verfahren wegen Mobbings;
5. Bearbeitung interner und externer Beschwerden;
6. interne Audits;
7. vom Datenschutzbeauftragten durchgeführte Prüfungen gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725;
8. intern oder mit externer Beteiligung (z.B. durch das CERT-EU) durchgeführte (IT-)Sicherheitsüberprüfungen.

(2) In hinreichend begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann der für die Verarbeitung Verantwortliche, soweit dies notwendig und verhältnismäßig ist, das Recht auf Vertraulichkeit der elektronischen Kommunikation im Rahmen der folgenden Verarbeitungsvorgänge beschränken:

1. Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren;
2. erste Maßnahmen im Zusammenhang mit dem OLAF gemeldeten Fällen möglicher Unregelmäßigkeiten;
3. Verfahren wegen gemeldeter Missstände (Whistleblowing);
4. formelle Verfahren wegen Mobbing;
5. Bearbeitung interner und externer Beschwerden;
6. intern oder mit externer Beteiligung (z.B. durch das CERT-EU) durchgeführte (IT-)Sicherheitsüberprüfungen.

(3) Beschränkt die Agentur die in den Artikeln 35 und 36 der Verordnung (EU) 2018/1725 vorgesehenen Rechte auf Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Personen bzw. auf die Vertraulichkeit der elektronischen Kommunikation, muss sie die Gründe dafür gemäß Artikel 5 Absatz 3 dieses Beschlusses aufzeichnen und die Aufzeichnung in einem Register verzeichnen. Es gilt Artikel 5 Absatz 4 dieses Beschlusses.

Artikel 9 Inkrafttreten

Dieser Beschluss tritt am Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.

Geschehen zu Bilbao am 11. Dezember 2019.

ENDE