Die Europäische Kommission -

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,

gestützt auf die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG ( Datenschutz-Grundverordnung) ¹, insbesondere auf Artikel 45 Absatz 3,

in Erwägung nachstehender Gründe:

1. Einleitung

( 1) Die Verordnung (EU) 2016/679 enthält die Vorschriften für die Übermittlung personenbezogener Daten durch Verantwortliche oder Auftragsverarbeiter in der Union an Drittländer und internationale Organisationen, soweit die betreffenden Übermittlungen in ihren Anwendungsbereich fallen. Die Vorschriften über internationale Datenübermittlung sind in Kapitel V ( Artikel 44 bis 50) der Verordnung festgelegt. Der Fluss personenbezogener Daten in Länder und internationale Organisationen außerhalb der Union sowie aus diesen Ländern und Organisationen ist zwar für die Ausweitung des grenzüberschreitenden Handels und der internationalen Zusammenarbeit wesentlich, dennoch darf das unionsweit gewährleistete Schutzniveau für personenbezogene Daten bei Übermittlungen in Drittländer und an internationale Organisationen nicht untergraben werden ².

( 2) Nach Artikel 45 Absatz 3 der Verordnung (EU) 2016/679 kann die Kommission im Wege eines Durchführungsrechtsaktes beschließen, dass ein Drittland, ein Gebiet oder ein oder mehrere spezifische Sektoren in einem Drittland oder eine internationale Organisation ein angemessenes Schutzniveau bieten. Unter dieser Voraussetzung können personenbezogene Daten nach Artikel 45 Absatz 1 und Erwägungsgrund 103 der Verordnung (EU) 2016/679 ohne weitere Genehmigung an eine internationale Organisation übermittelt werden.

( 3) Wie in Artikel 45 Absatz 2 der Verordnung (EU) 2016/679 festgelegt, muss die Annahme eines Angemessenheitsbeschlusses auf einer umfassenden Analyse der rechtlichen Regelungen der internationalen Organisation beruhen, und zwar sowohl in Bezug auf die für die Datenimporteure geltenden Vorschriften als auch auf die Einschränkungen und Garantien für den Zugang der Behörden zu personenbezogenen Daten. Im Rahmen ihrer Prüfung muss die Kommission feststellen, ob die betreffende internationale Organisation ein Schutzniveau garantiert, das dem innerhalb der Union gewährleisteten Schutzniveau "der Sache nach gleichwertig" ist ³. Die Frage, ob ein Schutzniveau "der Sache nach gleichwertig" ist, wird anhand des Maßstabs beurteilt, der in den Rechtsvorschriften der Union, insbesondere in der Verordnung (EU) 2016/679, festgelegt und durch die Rechtsprechung des Gerichtshofs der Europäischen Union entwickelt wurde ⁴. Eine weitere Orientierungshilfe bietet die "Referenzgrundlage für Angemessenheit" des Europäischen Datenschutzausschusses (EDSA), mit der dieser Standard weiter präzisiert werden soll ⁵.

( 4) Wie der Gerichtshof klargestellt hat, kann von einem Drittland oder einer internationalen Organisation nicht verlangt werden, ein Schutzniveau zu gewährleisten, das mit dem in der Rechtsordnung der Union garantierten Schutzniveau identisch ist ⁶. Insbesondere können sich die Mittel, auf die das betreffende Drittland oder die betreffende internationale Organisation für den Schutz personenbezogener Daten zurückgreift, von denen unterscheiden, die in der Union herangezogen werden, sofern sie sich in der Praxis als wirksam erweisen, um ein angemessenes Schutzniveau zu gewährleisten ⁷. Daher erfordert die Angemessenheitsfeststellung keine Eins-zu-eins-Übereinstimmung mit den Vorschriften der Union. Die Frage ist vielmehr, ob das ausländische System insgesamt aufgrund des Wesensgehalts der Rechte auf Privatsphäre und der Datenschutzgarantien (einschließlich ihrer wirksamen Anwendung, Überwachung und Durchsetzung) sowie aufgrund der Umstände, unter denen die personenbezogenen Daten übermittelt werden, das erforderliche Maß an Schutz bietet ⁸.

( 5) Die Kommission hat den Rechtsrahmen sowie die entsprechende Rechtspraxis der Europäischen Patentorganisation analysiert. Ausgehend von den Feststellungen in den Erwägungsgründen 7 bis 100 gelangt die Kommission zu dem Schluss, dass die Europäische Patentorganisation (EPO) ein angemessenes Schutzniveau für personenbezogene Daten gewährleistet, die im Rahmen der Verordnung (EU) 2016/679 von der Union an die Europäische Patentorganisation übermittelt werden.

( 6) Gemäß diesem Beschluss kann die Übermittlung von Verantwortlichen und Auftragsverarbeitern in der Union an die Europäische Patentorganisation ohne weitere Genehmigung vorgenommen werden. Dieser Beschluss sollte die unmittelbare Anwendung der Verordnung (EU) 2016/679 auf derartige Rechtsträger nicht berühren, wenn die in Artikel 3 der Verordnung festgelegten Bedingungen für den räumlichen Anwendungsbereich der Verordnung erfüllt sind.

2. Vorschriften für die Verarbeitung personenbezogener Daten

2.1. Organisation und Aufgaben der Europäischen Patentorganisation

( 7) Die Europäische Patentorganisation ist eine zwischenstaatliche Organisation, die am 7. Oktober 1977 auf der Grundlage des Europäischen Patentübereinkommens gegründet wurde. Sie hat ihren Sitz in München und zu ihren 39 Vertragsstaaten gehören alle Mitgliedstaaten der Union, Island, Norwegen und Liechtenstein sowie Albanien, Nordmazedonien, Monaco, San Marino, Serbien, die Schweiz, Montenegro, das Vereinigte Königreich und die Türkei ⁹.

( 8) Die Europäische Patentorganisation besitzt Rechtspersönlichkeit ¹⁰ und besteht aus zwei Organen ¹¹: dem Europäischen Patentamt (EPA) und dem Verwaltungsrat. Die Hauptaufgabe der Europäischen Patentorganisation besteht in der Erteilung europäischer Patente ¹² gemäß dem Europäischen Patentübereinkommen, die vom Europäischen Patentamt unter der Aufsicht des Verwaltungsrats vorgenommen wird. Der Verwaltungsrat setzt sich aus Vertretern der Vertragsstaaten zusammen und übt im Namen der Europäischen Patentorganisation Gesetzgebungsbefugnisse aus. Es ist auch für politische Fragen zuständig und überwacht die Tätigkeiten des Europäischen Patentamts ¹³. Das Europäische Patentamt handelt als ausführendes Organ der Europäischen Patentorganisation und wird von einem Präsidenten ¹⁴ geleitet, dem die Verwaltung des Europäischen Patentamts obliegt und dem Verwaltungsrat gegenüber rechenschaftspflichtig ist ¹⁵. Der Präsident bereitet unter anderem den Haushaltsplan des Europäischen Patentamts vor und führt ihn aus, ernennt und überwacht das Personal des Europäischen Patentamts, übt die Disziplinargewalt über das Personal aus, sorgt für das Funktionieren des Europäischen Patentamts, einschließlich der Annahme interner Verwaltungsanweisungen und der Unterrichtung der Öffentlichkeit. Er kann dem Verwaltungsrat Vorschläge zur Änderung des Patentübereinkommens, allgemeiner Vorschriften oder Beschlüsse vorlegen, die in seine Zuständigkeit fallen ¹⁶. Das Europäische Patentamt besteht aus verschiedenen Abteilungen, zu denen eine Eingangsstelle, eine Rechtsabteilung, Prüfungs- und Einspruchsabteilungen sowie die Beschwerdekammern (eine interne, unabhängige Stelle, bei der gegen Entscheidungen der Europäischen Patentorganisation im Rahmen des Patenterteilungsverfahrens Beschwerde eingelegt werden kann) gehören ¹⁷.

( 9) Bei der Wahrnehmung ihrer Aufgaben erhält die Europäische Patentorganisation personenbezogene Daten von einer Reihe verschiedener Akteure in der Union. Europäische Patentanmeldungen ¹⁸ werden fortlaufend von Patentanmeldern bei der Europäischen Patentorganisation eingereicht oder von nationalen Patentämtern der Mitgliedstaaten an die Europäische Patentorganisation übermittelt ¹⁹. Die Europäische Patentorganisation erhält und verarbeitet auch personenbezogene Daten im Rahmen der ihr durch die Verordnung (EU) Nr. 1257/2012 des Europäischen Parlaments und des Rates übertragenen Aufgaben ²⁰. Zu diesen Aufgaben gehören die Entgegennahme und Prüfung von Anträgen auf einheitliche Wirkung europäischer Patente, die Erhebung von Jahresgebühren und die Eintragung der einheitlichen Wirkung ²¹. In diesem Zusammenhang erhält die Europäische Patentorganisation auch Anfragen zu laufenden Beschwerden vor der Beschwerdekammer des Europäischen Patentamts ²² vom Einheitlichen Patentgericht (EPG), die personenbezogene Daten enthalten können, die zur Ermittlung des betreffenden Falls erforderlich sind ²³.

( 10) Ebenso erhält das Europäische Patentamt personenbezogene Daten, die in internationalen Patentanmeldungen enthalten sind, wenn es im Rahmen des Vertrags über die internationale Zusammenarbeit auf dem Gebiet des Patentwesens (Patentzusammenarbeitsvertrag) tätig wird, einem internationalen Vertrag, der es Anmeldern ermöglicht, Patente mit Wirkung für alle an diesem Vertrag beteiligten Staaten zu erhalten ²⁴. Das Europäische Patentamt handelt als Internationale Recherchenbehörde im Rahmen des Patentzusammenarbeitsvertrags und prüft in dieser Eigenschaft die Patentierbarkeit von Erfindungen, die in internationalen Anmeldungen offengelegt werden. Dies hilft den Anmeldern bei der Entscheidung, ob sie einen Antrag auf eine Sachprüfung auf nationaler/Unionsebene einreichen oder nicht ²⁵.

( 11) Darüber hinaus arbeitet die Europäische Patentorganisation im Rahmen eines "Europäischen Patentnetzes" eng mit den nationalen Patentämtern aller Mitgliedstaaten zusammen und tauscht in diesem Zusammenhang personenbezogene Daten mit ihnen aus, beispielsweise bei der Bereitstellung von Schulungen und IT-Dienstleistungen zur Unterstützung und Stärkung der Zusammenarbeit im Rahmen des Europäischen Patentübereinkommens. Ebenso hat es bilaterale Kooperationsvereinbarungen mit Mitgliedstaaten geschlossen, die den Austausch personenbezogener Daten beinhalten, beispielsweise im Zusammenhang mit der Einrichtung von Arbeitsgruppen, der Entsendung und dem Einsatz von Sachverständigen usw. Es arbeitet auch eng mit dem Amt der Europäischen Union für geistiges Eigentum (EUIPO) zusammen, beispielsweise im Rahmen gemeinsamer Schulungen und Sensibilisierungsveranstaltungen sowie in Form der Entsendung von Sachverständigen.

( 12) Schließlich hat die Europäische Patentorganisation Verträge mit mehreren Dienstleistungsanbietern in der Union geschlossen, die als Auftragsverarbeiter im Sinne von Artikel 4 Nummer 8 der Verordnung (EU) 2016/679 handeln und personenbezogene Daten an die Europäische Patentorganisation übermitteln.

2.2. Geltender Rechtsrahmen und Datenschutzvorschriften

( 13) Das Primärrecht, das die Tätigkeiten der Europäischen Patentorganisation regelt, ist in einem internationalen Vertrag festgelegt, dem Europäischen Patentübereinkommen, sowie im Patentzusammenarbeitsvertrag, sofern die Europäische Patentorganisation im Rahmen dieses Vertrags tätig wird. Auf einer zweiten Ebene der Normenhierarchie der Europäischen Patentorganisation befinden sich Rechtsinstrumente, die vom Verwaltungsrat oder, soweit es den Patentzusammenarbeitsvertrag betrifft, von der Versammlung des Patentzusammenarbeitsvertrags erlassen werden. Zu den sekundären Rechtsvorschriften der Europäischen Patentorganisation gehören die Ausführungsordnung zum Europäischen Patentübereinkommen und das sogenannte Statut (das Aspekte im Zusammenhang mit dem Personal des Europäischen Patentamts regelt, einschließlich der Rechte und Pflichten des Personals) ²⁶. Das Recht auf Schutz personenbezogener Daten ist in Artikel 1b des Statuts ²⁷ festgelegt, das auch einige zentrale Bestimmungen des Datenschutzrahmens des Europäischen Patentamts enthält, d. h. Bestimmungen über den Anwendungsbereich des Datenschutzrahmens, den Schutz besonderer Kategorien von Daten und die Ausübung von Rechten durch natürliche Personen. In Artikel 2 Absatz 1 und Artikel 32a des Statuts sind unabhängige Aufsichtsverfahren (der Datenschutzbeauftragte und der Datenschutzausschuss) zur Aufsicht über die Einhaltung der Datenschutzvorschriften festgelegt ²⁸.

( 14) Für den Verwaltungsrat und das Europäische Patentamt sowie für alle ihre Abteilungen gelten dieselben materiellen Anforderungen hinsichtlich des Schutzes personenbezogener Daten. Insbesondere ist die Verarbeitung personenbezogener Daten durch das Europäische Patentamt durch die Durchführungsvorschriften zu den Artikeln 1b und 32a des Statuts der Beamten und sonstigen Bediensteten des Europäischen Patentamts zum Schutz personenbezogener Daten (DSV) geregelt, die vom Verwaltungsrat erlassen wurden ²⁹. Die Verarbeitung personenbezogener Daten durch den Verwaltungsrat unterliegt den Datenschutzvorschriften des Verwaltungsrats, in denen die DSV entsprechend angewendet werden ³⁰. Soweit in diesem Beschluss auf die DSV Bezug genommen wird, umfassen die Verweise auch die entsprechenden Anforderungen, die für den Verwaltungsrat, sein Sekretariat und seine Ausschüsse gelten. Die Struktur und der Inhalt der DSV sind eng an den Datenschutzrahmen der Union ³¹ angelehnt. Insbesondere weisen die DSV viele Gemeinsamkeiten mit der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates ³² auf, in der die Datenschutzanforderungen für die Organe und Einrichtungen der Union festgelegt sind, und sie sind folglich gut auf die spezifische Struktur und die Besonderheiten internationaler Organisationen ausgerichtet, während sie gleichzeitig stark an der Verordnung (EU) 2016/679 orientiert sind.

( 15) Hinsichtlich der Datenverarbeitung durch das Europäische Patentamt hat der Präsident weitere rechtlich bindende Instrumente wie Rundschreiben, Beschlüsse und interne Verwaltungsanweisungen erlassen ³³. Insbesondere werden die DSV durch den Beschluss des Präsidenten vom 13. Dezember 2021 betreffend die Verarbeitung personenbezogener Daten im Rahmen des Patenterteilungsverfahrens und damit zusammenhängender Verfahren (Beschluss betreffend Patenterteilungsverfahren) ³⁴, Beschluss vom 7. Dezember 2022 betreffend die Verarbeitung personenbezogener Daten im Rahmen von Verfahren für europäische Patente mit einheitlicher Wirkung (Beschluss betreffend europäische Patente mit einheitlicher Wirkung) ³⁵, Beschluss vom 17. November 2022 über Länder und Einrichtungen, die einen angemessenen Schutz personenbezogener Daten gewährleisten ³⁶, Beschluss vom 2. Mai 2024 zur Bestimmung der operativen Einheiten des Amts, die als delegierte Verantwortliche im Sinne der Datenschutzvorschriften handeln ³⁷, sowie Rundschreiben Nr. 420 zur Umsetzung von Artikel 25 der Datenschutzvorschriften über Beschränkungen der Rechte betroffener Personen (Rundschreiben Nr. 420) ³⁸ ergänzt. Insbesondere für die Verarbeitung von Daten im Rahmen von Patenterteilungsverfahren ist anzumerken, dass die Anforderungen an die Verarbeitung personenbezogener Daten, die direkt im Europäischen Patentübereinkommen und im Patentzusammenarbeitsvertrag festgelegt sind, Vorrang vor den DSV haben. Das Zusammenspiel zwischen dem Europäischen Patentübereinkommen und dem Patentzusammenarbeitsvertrag einerseits und den DSV andererseits wird im Beschluss betreffend Patenterteilungsverfahren ³⁹ und im Beschluss betreffend europäische Patente mit einheitlicher Wirkung klargestellt. Die spezifischen Datenschutzanforderungen, die sich unmittelbar aus dem Europäischen Patentübereinkommen und dem Patentzusammenarbeitsvertrag ergeben, werden in den Erwägungsgründen 55 bis 59 bewertet. Die DSV und ihre ergänzenden Instrumente sind rechtsverbindlich und durchsetzbar und können von natürlichen Personen im Rahmen unabhängiger Rechtsschutzmechanismen geltend gemacht werden, wie in den Erwägungsgründen 89 bis 96 beschrieben.

( 16) Die in den in Erwägungsgrund 15 genannten Rechtsinstrumenten vorgesehenen Vorschriften werden durch Rechtsinstrumente des Datenschutzbeauftragten (siehe Erwägungsgründe 83 bis 88) ⁴⁰ weiter umgesetzt, die für den Verwaltungsrat und das Europäische Patentamt sowie alle ihre Abteilungen gelten ⁴¹.

2.3. Sachlicher und persönlicher Anwendungsbereich der Datenschutzvorschriften

( 17) Gemäß den DSV und dem Statut ⁴² sind alle Bediensteten des Europäischen Patentamts verpflichtet, bei der Verarbeitung personenbezogener Daten die DSV einzuhalten. Der sachliche und persönliche Anwendungsbereich der DSV wird durch die darin definierten Begriffe "personenbezogene Daten", "Verarbeitung", "Verantwortlicher", "delegierter Verantwortlicher" und "Auftragsverarbeiter" bestimmt.

2.3.1. Bestimmung der Begriffe "personenbezogene Daten" und "Verarbeitung"

( 18) Die Bestimmungen der Begriffe "personenbezogene Daten" und "Verarbeitung" in den DSV entsprechen denen der Verordnung (EU) 2016/679 ⁴³. Die DSV gelten für jede Verarbeitung personenbezogener Daten durch das Europäische Patentamt, unabhängig davon, ob diese Verarbeitung personenbezogene Daten seiner eigenen Bediensteten oder Daten anderer Personen betrifft ⁴⁴. Daten, die einer Pseudonymisierung ⁴⁵ unterzogen wurden, sind ebenfalls personenbezogene Daten, während Daten verstorbener Personen oder juristischer Personen oder anonyme Informationen ⁴⁶ gemäß den DSV nicht als personenbezogene Daten zu behandeln sind ⁴⁷.

( 19) Die DSV gelten für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten durch das Europäische Patentamt sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen ⁴⁸.

2.3.2. Verantwortlicher, delegierter Verantwortlicher und Auftragsverarbeiter

( 20) In den DSV wird ein "Verantwortlicher" definiert als eine "Einheit, nämlich das Europäische Patentamt, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten bestimmt" ⁴⁹. Grundsätzlich handelt der Präsident als Verantwortlicher für die vom Europäischen Patentamt durchgeführten Datenverarbeitungsvorgänge ⁵⁰. Dasselbe gilt für den Verwaltungsrat (in dem der Vorsitzende Verantwortlicher ist), die Beschwerdekammern im Rahmen ihrer justiziellen Tätigkeit (in denen der Präsident Verantwortlicher ist ⁵¹ und den engeren Ausschuss (in dem der Vorsitzende Verantwortlicher ist ⁵². Der Verantwortliche kann diese Befugnis an operative Einheiten delegieren, die von einer Führungskraft im höheren Management vertreten werden ⁵³. In solchen Fällen handeln die operativen Einheiten als "delegierte Verantwortliche" ⁵⁴, die den Zweck (z.B. Grund, Begründung und geschäftliche Erfordernisse) und die Mittel eines Verarbeitungsvorgangs bestimmen und sicherstellen, dass alle Verarbeitungsvorgänge, bei denen personenbezogene Daten verarbeitet werden, den Regelungen der DSV entsprechen ⁵⁵. In diesen Fällen bleibt der Verantwortliche für die Verarbeitung personenbezogener Daten verantwortlich. Die DSV sehen auch ein Szenario der "gemeinsamen Verantwortlichkeit" vor, bei dem ein Verantwortlicher über den Zweck und die Mittel der Verarbeitung zusammen mit einem oder mehreren Verantwortlichen außerhalb des Europäischen Patentamts bestimmt ⁵⁶.

( 21) Die Bestimmung des Begriffs "Auftragsverarbeiter" in den DSV entspricht der in Artikel 4 Absatz 8 der Verordnung (EU) 2016/679, d. h. es handelt sich um "eine natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet" ⁵⁷. Der Verantwortliche darf nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen der DSV erfolgt ⁵⁸. Das Verhältnis zwischen dem Verantwortlichen und einem Auftragsverarbeiter muss einem Vertrag oder Rechtsinstrument unterliegen, der bzw. das den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet und in dem Gegenstand und Dauer sowie Art und Zweck der Verarbeitung festgelegt sind ⁵⁹. Der Auftragsverarbeiter darf die Daten nur auf dokumentierte Weisung des Verantwortlichen hin verarbeiten. Der Auftragsverarbeiter ist verpflichtet, den Verantwortlichen bei der Einhaltung seiner Pflichten gemäß den DSV zu unterstützen. Dem Auftragsverarbeiter ist es untersagt, ohne vorherige Genehmigung des Verantwortlichen Unterauftragsverarbeiter zu beauftragen ⁶⁰. Den delegierten Verantwortlichen steht ein Standard-Datenverarbeitungsvertrag zur Verfügung ⁶¹. Ist ein Auftragsverarbeiter in einem Drittland ansässig, muss darüber hinaus jede Weitergabe personenbezogener Daten an diesen Auftragsverarbeiter außerdem den Anforderungen der DSV für internationale Übermittlungen entsprechen, wie in den Erwägungsgründen 68 bis 73 dieses Beschlusses beschrieben ⁶².

2.4. Garantien, Rechte und Pflichten

2.4.1. Rechtmäßigkeit der Verarbeitung und Verarbeitung nach Treu und Glauben

( 22) Die Verarbeitung personenbezogener Daten sollte rechtmäßig und nach Treu und Glauben erfolgen.

( 23) Diese allgemeinen Grundsätze sind in Artikel 4 Absatz 2 Buchstabe a DSV in einer Weise festgelegt, die als identisch mit Artikel 5 Absatz 1 Buchstabe a der Verordnung (EU) 2016/679 angesehen werden kann.

( 24) Das Prinzip der Rechtmäßigkeit wird in Artikel 5 DSV weiter ausgeführt, in dem die Rechtsgrundlagen aufgeführt sind, auf deren Grundlage personenbezogene Daten verarbeitet werden dürfen. Diese Rechtsgrundlagen sind gegeben, wenn eine der nachstehenden Bedingungen erfüllt ist: a) die Verarbeitung ist für die Wahrnehmung einer Aufgabe in Ausübung der amtlichen Tätigkeit der Europäischen Patentorganisation ⁶³ oder in rechtmäßiger Ausübung dem Verantwortlichen übertragener öffentlicher Gewalt, was die für die Verwaltung und die Arbeitsweise des Amts notwendige Verarbeitung einschließt, erforderlich ⁶⁴; b) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt (z.B. die in einer Patentanmeldung genannten Informationen im Europäischen Patentregister zu veröffentlichen) ⁶⁵; c) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen; d) die Einwilligung der betroffenen Person; e) die Weiterübermittlung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen.

( 25) Die Einwilligung wird in den DSV auf die gleiche Weise definiert wie in der Verordnung (EU) 2016/679, nämlich als "jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist" ⁶⁶. Der Verantwortliche muss nachweisen, dass die betroffene Person eingewilligt hat ⁶⁷. Bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, ist dem Umstand Rechnung zu tragen, ob die Erfüllung eines Vertrags von der Einwilligung zu einer Verarbeitung von Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind ⁶⁸. Es kann nur dann davon ausgegangen werden, dass sie ihre Einwilligung freiwillig gegeben hat, wenn sie eine echte oder freie Wahl hat und somit in der Lage ist, die Einwilligung zu verweigern oder zurückzuziehen, ohne Nachteile zu erleiden ⁶⁹. Darüber hinaus setzt die Einwilligung in Kenntnis der Sachlage nach den DSV voraus, dass die betroffene Person mindestens weiß, wer der Verantwortliche ist und für welche Zwecke ihre personenbezogenen Daten verarbeitet werden sollen ⁷⁰. Schließlich hat eine betroffene Person das Recht, ihre Einwilligung jederzeit zu widerrufen ⁷¹.

2.4.2. Verarbeitung besonderer Datenkategorien

( 26) Wenn besondere Kategorien von Daten verarbeitet werden, sollten besondere Garantien vorhanden sein.

( 27) Die DSV enthalten spezifische Vorschriften für die Verarbeitung besonderer Kategorien personenbezogener Daten ⁷², die in gleicher Weise definiert sind wie in der Verordnung (EU) 2016/679, d. h."personenbezogene Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten ⁷³, biometrischen Daten ⁷⁴ zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten ⁷⁵ oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person" ⁷⁶. Gemäß den DSV ist die Verarbeitung besonderer Datenkategorien grundsätzlich verboten, es sei denn, es gilt eine spezifische Ausnahme ⁷⁷.

( 28) Die in Artikel 11 Absatz 2 DSV aufgeführten spezifischen Ausnahmen ähneln denen in Artikel 9 Absätze 2 und 3 der Verordnung (EU) 2016/679, mit einigen Anpassungen an den Rechtsrahmen, in dem das Europäische Patentamt tätig ist. Die Verarbeitung besonderer Kategorien personenbezogener Daten ist nur unter bestimmten und begrenzten Umständen zulässig ⁷⁸, d. h. wenn 1) die betroffene Person ausdrücklich eingewilligt hat, 2) die Verarbeitung zum Schutz lebenswichtiger Interessen einer Person erforderlich ist (und die betroffene Person aus körperlichen oder rechtlichen Gründen außerstande ist, ihre Einwilligung zu geben), 3) die personenbezogenen Daten von der betroffenen Person offensichtlich öffentlich gemacht wurden, 4) die Verarbeitung ist für einen bestimmten Zweck erforderlich ist, der mit der Ausübung der amtlichen Tätigkeit des Europäischen Patentamts oder in Ausübung der dem Verantwortlichen übertragenen rechtmäßigen Befugnisse in Zusammenhang steht ⁷⁹, 5) die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

( 29) Zusätzlich zu den besonderen Kategorien personenbezogener Daten, auf die in Erwägungsgrund 27 Bezug genommen wird, ist gemäß den DSV auch ein besonderer Schutz für die Verarbeitung personenbezogener Daten im Zusammenhang mit strafrechtlichen Verurteilungen und Straftaten erforderlich, d. h. eine solche Verarbeitung darf nur nach Abstimmung mit dem Datenschutzausschuss oder dann erfolgen, wenn dies nach rechtlich bindenden Instrumenten, die geeignete Garantien für die Rechte und Freiheiten der betroffenen Personen vorsehen, zulässig ist ⁸⁰.

2.4.3. Zweckbindung

( 30) Personenbezogene Daten sollten für einen bestimmten Zweck verarbeitet und anschließend nur verwendet werden, soweit dies mit dem Zweck der Verarbeitung nicht unvereinbar ist.

( 31) Dieser Grundsatz wird durch Artikel 4 Absatz 2 Buchstabe b DSV gewährleistet, wonach personenbezogene Daten "für festgelegte, eindeutige und rechtmäßige Zwecke erhoben und nicht in einer mit diesen Zweckbestimmungen nicht zu vereinbarenden Weise weiterverarbeitet werden" dürfen.

( 32) Ähnlich wie nach der Verordnung (EU) 2016/679 ist auch nach den DSV eine Weiterverarbeitung (unabhängig davon, ob der Zweck der Weiterverarbeitung mit dem ursprünglichen Zweck vereinbar ist) zulässig, wenn sie auf der ausdrücklichen Einwilligung der betroffenen Person oder anwendbaren Rechtsvorschriften der Europäischen Patentorganisation beruht ⁸¹. Im letzteren Fall wird in den DSV geregelt, dass die Verarbeitung eine notwendige und verhältnismäßige Maßnahme zum Schutz eines im allgemeinen öffentlichen Interesse liegenden Ziels ⁸² sein muss.

( 33) Beruht die Weiterverarbeitung nicht auf diesen beiden Gründen, so ist in den DSV festgelegt, welche Faktoren bei der Beurteilung der Vereinbarkeit des Zwecks der Weiterverarbeitung mit dem Zweck, für den die personenbezogenen Daten ursprünglich erhoben wurden, zu berücksichtigen sind ⁸³. Dieser Ansatz und die in den DSV aufgeführten Faktoren sind identisch mit denen in Artikel 6 Absatz 4 der Verordnung (EU) 2016/679 und Artikel 6 der Verordnung (EU) 2018/1725 ⁸⁴.

2.4.4. Richtigkeit der Daten und Datenminimierung, Speicherbegrenzung und Datensicherheit

( 34) Personenbezogene Daten müssen sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein. Ferner müssen sie dem Zweck angemessen und dafür erheblich sein und dürfen das für die Zwecke der Verarbeitung notwendige Maß nicht überschreiten und sollten grundsätzlich nicht länger gespeichert werden, als dies für den Zweck, zu dem sie verarbeitet werden, erforderlich ist.

( 35) Diese Grundsätze sind in Artikel 4 Absatz 2 Buchstaben c, d und e DSV in gleicher Weise festgelegt wie in der Verordnung (EU) 2016/679.

( 36) Personenbezogene Daten müssen zudem in einer Weise verarbeitet werden, die ihre Sicherheit gewährleistet, einschließlich des Schutzes vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung. Zu diesem Zweck müssen Unternehmer geeignete technische oder organisatorische Maßnahmen treffen, um personenbezogene Daten vor möglichen Bedrohungen zu schützen. Diese Maßnahmen müssen unter Berücksichtigung des Stands der Technik und der damit verbundenen Kosten bewertet werden.

( 37) Die Datensicherheit ist im Rechtsrahmen der Europäischen Patentorganisation durch den Grundsatz der Integrität und Vertraulichkeit in Artikel 4 Absatz 2 Buchstabe f und Artikel 33 DSV verankert, und zwar in nahezu gleicher Weise wie in der Verordnung (EU) 2016/679. Insbesondere ist in den DSV festgelegt, dass ein dem Risiko angemessenes Sicherheitsniveau durch geeignete technische und organisatorische Maßnahmen gewährleistet werden muss, wobei der Stand der Technik, die Implementierungskosten sowie die Art, der Umfang, die Umstände und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen zu berücksichtigen sind.

( 38) Darüber hinaus enthalten die DSV spezifische Anforderungen an den Umgang mit und die Meldung von Verletzungen des Schutzes personenbezogener Daten ⁸⁵. Zunächst ist der Verantwortliche verpflichtet, dem Datenschutzbeauftragten unverzüglich (und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde) eine Verletzung des Schutzes personenbezogener Daten zu melden, es sei denn, die Verletzung des Schutzes personenbezogener Daten führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen ⁸⁶. Ebenso ist ein Auftragsverarbeiter verpflichtet, dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich zu melden ⁸⁷. In der Meldung sind insbesondere die Art der Verletzung, ihre wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung zu beschreiben ⁸⁸. Wenn die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge hat, so benachrichtigt der Verantwortliche die betroffene Person unverzüglich von der Verletzung ⁸⁹. Die Benachrichtigung der betroffenen Person muss eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten in klarer und einfacher Sprache ⁹⁰ enthalten und ist nicht erforderlich, wenn der Verantwortliche durch nachfolgende Maßnahmen sichergestellt hat, dass das hohe Risiko für die Rechte und Freiheiten der betroffenen Personen nicht mehr besteht ⁹¹.

2.4.5. Transparenz

( 39) Betroffene Personen müssen über die Hauptmerkmale der Verarbeitung ihrer personenbezogenen Daten unterrichtet werden.

( 40) Gemäß den DSV ist der Verantwortliche verpflichtet, natürlichen Personen zum Zeitpunkt der Erhebung personenbezogener Daten Informationen mitzuteilen, insbesondere über seinen Namen und die Kontaktdaten (sowie die Kontaktdaten des Datenschutzbeauftragten), den Zweck und die Rechtsgrundlage für die Verarbeitung, die Empfänger oder Kategorien von Empfängern, gegebenenfalls die Absicht, die Daten an Empfänger außerhalb des Europäischen Patentamts zu übermitteln, sowie über die geltenden Rechte und die Möglichkeit, Rechtsbehelfe einzulegen ⁹². Das Gleiche gilt, wenn personenbezogene Daten für einen anderen Zweck verarbeitet werden als den, für den die Daten erhoben wurden ⁹³. Beide Verpflichtungen gelten nur, soweit die betroffene Person noch nicht über die Informationen verfügt ⁹⁴.

( 41) Zusammen mit den gleichen Informationen müssen den betroffenen Personen zusätzliche Informationen darüber, aus welcher Quelle die personenbezogenen Daten stammen und um welche Kategorien personenbezogener Daten es sich handelt, mitgeteilt werden, wenn personenbezogene Daten nicht direkt bei ihnen erhoben werden ⁹⁵. Diese Informationen müssen unter Berücksichtigung der spezifischen Umstände der Verarbeitung der personenbezogenen Daten innerhalb einer angemessenen Frist nach Erlangung der personenbezogenen Daten (längstens jedoch innerhalb eines Monats) mitgeteilt werden ⁹⁶. Falls die personenbezogenen Daten zur Kommunikation mit der betroffenen Person verwendet werden sollen, sollten die gleichen Informationen spätestens zum Zeitpunkt der ersten Mitteilung an die Person zur Verfügung gestellt werden ⁹⁷. Die Informationen, auf die in Erwägungsgrund 40 Bezug genommen wird, müssen auch vor jeder weiteren Verarbeitung zur Verfügung gestellt werden oder, falls eine Offenlegung an einen anderen Empfänger beabsichtigt ist, spätestens zum Zeitpunkt der Offenlegung personenbezogener Daten an einen Dritten ⁹⁸. Diese Verpflichtung findet in einer Reihe von Fällen keine Anwendung, nämlich wenn eine betroffene Person bereits über die betreffenden Informationen verfügt; wenn diese Informationen gemäß dem Europäischen Patentübereinkommen und/oder anderen anwendbaren Rechtsvorschriften der Europäischen Patentorganisation dem Berufsgeheimnis unterliegen und daher vertraulich behandelt werden müssen ⁹⁹; wenn die Erteilung dieser Informationen sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde; dies gilt insbesondere für die Verarbeitung für Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke, soweit sie die Verwirklichung der Ziele dieser Verarbeitung unmöglich machen oder ernsthaft beeinträchtigen würde; oder wenn die Erlangung oder Offenlegung dieser Informationen durch das Europäische Patentübereinkommen oder andere anwendbare Rechtsvorschriften, die geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person vorsehen, ausdrücklich geregelt ist ¹⁰⁰.

2.4.6. Rechte des Einzelnen

( 42) Betroffene Personen sollten bestimmte Rechte besitzen, die gegenüber dem Datenverantwortlichen oder dem Auftragsverarbeiter durchgesetzt werden können, insbesondere ein Auskunftsrecht, das Recht auf Berichtigung, das Recht, der Verarbeitung zu widersprechen, und das Recht auf Löschung von Daten. Gleichzeitig können diese Rechte Beschränkungen unterliegen, sofern diese Beschränkungen notwendig und verhältnismäßig sind, um wichtige Ziele von allgemeinem öffentlichem Interesse zu schützen.

2.4.6.1. Rechte gemäß den Datenschutzvorschriften

( 43) Die Notwendigkeit, die Ausübung der einer Person zustehenden Rechte zu erleichtern, ist in Artikel 1b Absatz 4 des Statuts festgelegt. Zur weiteren Umsetzung dieser Anforderung werden natürlichen Personen durch die DSV dieselben Rechte eingeräumt, wie sie in der Verordnung (EU) 2016/679 festgelegt sind, nämlich Auskunftsrechte (Artikel 18 DSV), das Recht auf Berichtigung (Artikel 19 DSV), das Recht auf Löschung (Artikel 20 DSV), das Recht auf Einschränkung der Verarbeitung (Artikel 21 DSV), das Recht auf Datenübertragbarkeit (Artikel 22 DSV), das Widerspruchsrecht (Artikel 23 DSV) und das Recht, nicht einer automatisierten Entscheidungsfindung unterworfen zu werden (Artikel 24 DSV).

( 44) Die DSV enthalten auch allgemeine Bestimmungen für die Bearbeitung von Anträgen natürlicher Personen auf Ausübung von Rechten, nach denen der Verantwortliche verpflichtet ist, mit den betroffenen Personen in einer klaren und einfachen Sprache in präziser, transparenter, verständlicher und leicht zugänglicher Form (schriftlich oder auf anderem Wege) zu kommunizieren ¹⁰¹. Der Verantwortliche muss den Personen Informationen über die auf Antrag getroffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags (die Frist kann um zwei weitere Monate verlängert werden, wenn dies im Hinblick auf die Komplexität und die Zahl der Anträge erforderlich ist) zur Verfügung stellen ¹⁰². Bei offenkundig unbegründeten oder - insbesondere im Fall von häufiger Wiederholung - exzessiven Anträgen einer betroffenen Person kann sich der Verantwortliche weigern, aufgrund des Antrags tätig zu werden ¹⁰³. Wird der Verantwortliche auf einen Antrag hin nicht tätig, so hat er die betroffene Person hiervon zu unterrichten und sie über die Möglichkeit, Rechtsbehelfe einzulegen, zu informieren ¹⁰⁴.

( 45) Erstens, hinsichtlich des Auskunftsrechts, räumen die DSV natürlichen Personen das Recht ein, vom Europäischen Patentamt eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden oder nicht, und, wenn dies der Fall ist, problemlos ¹⁰⁵ und in angemessenen Abständen ¹⁰⁶ Auskunft über diese personenbezogenen Daten zu erhalten. Darüber hinaus haben natürliche Personen das Recht, Informationen zu verlangen, insbesondere über den Zweck der Verarbeitung, die betroffenen Datenkategorien, die Empfänger, an die Daten weitergeleitet werden, und die geplante Dauer, für die die Daten gespeichert werden ¹⁰⁷.

( 46) Zweitens sieht die DSV vor, dass das in den DSV vorgesehene Recht auf Berichtigung es natürlichen Personen ermöglicht, die Berichtigung unrichtiger Daten oder die Vervollständigung unvollständiger Daten (z.B. mittels einer ergänzenden Erklärung) zu verlangen ¹⁰⁸. Nach der Berichtigung ist der Verantwortliche verpflichtet, dies allen Empfängern mitzuteilen, denen die personenbezogenen Daten offengelegt wurden ¹⁰⁹. Gemäß den DSV findet das Recht auf Berichtigung auf objektive und faktische Daten Anwendung und nicht auf subjektive Erklärungen ¹¹⁰, obwohl es in diesem Fall natürlichen Personen gestattet ist, bestehende Daten durch eine zweite Stellungnahme oder eine Gegenstudie zu ergänzen oder Anmerkungen vorzubringen ¹¹¹.

( 47) Drittens räumen die DSV natürlichen Personen auch ein Recht auf Löschung ¹¹² ein, insbesondere wenn a) personenbezogene Daten für den Zweck, für den sie verarbeitet werden, nicht mehr notwendig sind; b) die betroffene Person ihre Einwilligung widerruft und es an einer anderweitigen Rechtsgrundlage für die Verarbeitung fehlt; c) die betroffene Person Widerspruch gegen die Verarbeitung einlegt und keine vorrangigen berechtigten Gründe für die Verarbeitung vorliegen; d) die Daten unrechtmäßig verarbeitet wurden oder e) die Löschung der personenbezogenen Daten zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt ¹¹³. Der Verantwortliche muss allen Empfängern, denen die Daten offengelegt wurden, eine Löschung mitteilen, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden ¹¹⁴. Ebenso muss der Verantwortliche, wenn er die personenbezogenen Daten öffentlich gemacht hat, angemessene Maßnahmen treffen, um andere Verantwortliche, die diese Daten verarbeiten, darüber zu informieren, dass eine betroffene Person die Löschung dieser Daten verlangt hat ¹¹⁵. Das Recht auf Löschung gilt nicht für die folgenden Szenarien, soweit die Verarbeitung der Daten erforderlich ist, a) zur Ausübung des Rechts auf freie Meinungsäußerung und Information; b) zur Erfüllung einer rechtlichen Verpflichtung, der das Europäische Patentamt unterliegt, oder einer Verpflichtung, die sich aus der Pflicht des Europäischen Patentamts zur Zusammenarbeit mit den Vertragsstaaten ergibt ¹¹⁶, oder in Ausübung der dem Europäischen Patentamt übertragenen öffentlichen Gewalt ¹¹⁷; c) aus Gründen der Zusammenarbeit mit den Vertragsstaaten im Bereich der öffentlichen Gesundheit ¹¹⁸; d) zu Archivierungszwecken, zu wissenschaftlichen oder historischen Forschungszwecken und zu statistischen Zwecken (soweit eine Löschung die Verwirklichung der Ziele dieser Verarbeitung voraussichtlich unmöglich machen oder ernsthaft beeinträchtigen würde) oder e) zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen ¹¹⁹.

( 48) Viertens ist in Artikel 21 DSV das Recht auf Einschränkung der Verarbeitung geregelt, d. h. die Markierung gespeicherter personenbezogener Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken, wozu auch die Programmierung von Maßnahmen zur dauerhaften Verhinderung des Zugangs zu solchen Daten gehört ¹²⁰. Dieses Recht kann insbesondere geltend gemacht werden, wenn die Richtigkeit personenbezogener Daten von der betroffenen Person bestritten wird (für eine Dauer, die es dem Verantwortlichen ermöglicht, die Richtigkeit zu überprüfen) oder wenn die Verarbeitung unrechtmäßig ist, die betroffene Person aber die Löschung der Daten ablehnt ¹²¹. Wurde die Verarbeitung eingeschränkt, so dürfen personenbezogene Daten - von ihrer Speicherung abgesehen - nur mit ausdrücklicher Einwilligung der Person, zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen, zum Schutz der Rechte Dritter oder für die Wahrnehmung einer Aufgabe, die in Ausübung der amtlichen Tätigkeit der Europäischen Patentorganisation (was die für die Verwaltung und die Arbeitsweise des Europäischen Patentsamts notwendige Verarbeitung einschließt) erfolgt, verarbeitet werden ¹²².

( 49) Fünftens ist in Artikel 1b Absatz 4 des Statuts und Artikel 23 der DSV ein Widerspruchsrecht festgelegt. Insbesondere haben natürliche Personen das Recht, jederzeit gegen die Verarbeitung personenbezogener Daten, die zur Wahrnehmung einer Aufgabe im Rahmen der Ausübung der amtlichen Tätigkeiten des Europäischen Patentamts oder in rechtmäßiger Ausübung der dem Verantwortlichen übertragenen öffentlichen Gewalt erfolgt, Widerspruch einzulegen ¹²³. Die Personen müssen spätestens zum Zeitpunkt der ersten Kommunikation mit ihnen ausdrücklich auf dieses bestehende Recht hingewiesen werden ¹²⁴. Für den Fall, dass eine Person der Verarbeitung personenbezogener Daten widerspricht, ist in den DSV geregelt, dass der Verantwortliche die Verarbeitung beenden muss, es sei denn, der Verantwortliche kann zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen ¹²⁵.

( 50) Sechstens ist in den DSV das Recht auf Datenübertragbarkeit geregelt, wonach natürliche Personen die Möglichkeit haben, ihre personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und diese Daten an einen anderen Verantwortlichen zu übertragen ¹²⁶. Dieses Recht besteht, wenn die Verarbeitung mittels automatisierter Verfahren erfolgt und auf einer Einwilligung der betroffenen Person beruht oder zur Erfüllung eines Vertrags mit der Person oder im Interesse der Person erfolgt ¹²⁷.

( 51) Schließlich haben Personen gemäß den DSV das Recht, nicht einer automatisierten Entscheidungsfindung unterworfen zu werden, d. h. einer ausschließlich auf einer automatisierten Verarbeitung - einschließlich Profiling - beruhenden Entscheidung, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt ¹²⁸. In den DSV ist festgelegt, dass eine automatisierte Entscheidungsfindung erfolgen kann, wenn sie auf der ausdrücklichen Einwilligung der betroffenen Person beruht oder wenn sie für den Abschluss oder die Erfüllung eines Vertrags mit der Person erforderlich ist. In diesem Fall muss der Verantwortliche angemessene Maßnahmen treffen, wie z.B. das Recht auf Erwirkung des Eingreifens, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung ¹²⁹. Eine automatisierte Entscheidungsfindung kann auch aufgrund eines Rechtsinstruments zulässig sein, wenn dieses angemessene Maßnahmen zur Wahrung der Rechte der betroffenen Personen vorsieht ¹³⁰. Nimmt der Verantwortliche eine automatisierte Entscheidungsfindung - einschließlich Profiling - vor, muss er die betroffene Person im Rahmen seiner Transparenzpflichten proaktiv darüber informieren und aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person zur Verfügung stellen ¹³¹. Die gleichen Informationen sind auf Antrag zur Verfügung zu stellen ¹³².

2.4.6.2. Beschränkungen der Rechte des Einzelnen

( 52) Ähnlich wie in Artikel 23 der Verordnung (EU) 2016/679 und Artikel 25 der Verordnung (EU) 2018/1725 ist in Artikel 25 DSV geregelt, dass spezifische Rechtsvorschriften im Rechtsrahmen der Europäischen Patentorganisation die Anwendung der in den Erwägungsgründen 43 bis 51 ¹³³ genannten Rechte beschränken können (d. h. die Anwendung der Rechte vorübergehend einschränken ¹³⁴, sofern eine solche Beschränkung den Wesensgehalt der Grundrechte ¹³⁵ und Grundfreiheiten achtet und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellt, um bestimmte Ziele sicherzustellen ¹³⁶. Ferner muss eine Beschränkung in "klaren und präzisen" Bestimmungen enthalten sein, die Rechtswirkungen gegenüber betroffenen Personen entfalten sollen und die mindestens auf der Ebene des Präsidenten erlassen werden müssen ¹³⁷. Diese Bestimmungen müssen insbesondere den Zweck der Verarbeitung, den Umfang der Beschränkung, die Garantien gegen Missbrauch sowie die Speicherfristen sowie die geltenden Garantien enthalten ¹³⁸.

( 53) Derzeit ist das einzige Rechtsinstrument, in dem Beschränkungen der Rechte des Einzelnen vorgesehen sind, das Rundschreiben Nr. 420 (ein vom Präsidenten erlassenes, rechtlich bindendes Instrument). Darin wird klargestellt, wie und unter welchen Bedingungen der Verantwortliche Beschränkungen anwenden kann, und es werden die spezifischen Szenarien abschließend festgelegt, in denen Rechte beschränkt werden können und für welche Ziele ¹³⁹. Insbesondere ist dort vorgesehen, dass das Europäische Patentamt Rechte des Einzelnen für bestimmte spezifische Ziele beschränken kann: a) und b) bei der Durchführung von Ermittlungs- oder Disziplinarverfahren im Zusammenhang mit dem Personal ¹⁴⁰; c) im Rahmen der internen Streitbeilegung oder der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen, einschließlich Schiedsverfahren, um die Vertraulichkeit von Informationen und Dokumenten von Beteiligten, Beitretenden oder anderen rechtmäßigen Quellen zu wahren; d) bei der Verarbeitung gesundheitsbezogener Daten in medizinischen Verfahren und Akten, jedoch nur zum Schutz der Rechte natürlicher Personen ¹⁴¹; e) und f) bei der Durchführung interner Prüfungen in Bezug auf das Europäische Patentamt sowie Prüfungen, die vom Datenschutzbeauftragten durchgeführt werden; g) beim IT-Störungsmanagement und bei Ereignismeldungen betreffend die physische Sicherheit; und h) bei der wechselseitigen Unterstützung zwischen dem Amt und zuständigen Behörden einschließlich der Vertragsstaaten des Europäischen Patentübereinkommens und internationaler Organisationen oder bei der Kooperation mit diesen im Zusammenhang mit Tätigkeiten, die in entsprechenden Service-Level-Agreements, Memoranda of Understanding und Zusammenarbeitsvereinbarungen definiert sind, sei es auf deren Ersuchen oder auf Veranlassung des Europäischen Patentamts ¹⁴².

( 54) Ob eine Beschränkung in einem bestimmten Fall zur Anwendung kommen kann, ist vom Verantwortlichen im Einzelfall unter Berücksichtigung der maßgeblichen Umstände zu bestimmen ¹⁴³. Bei der Entscheidung, ob eine Beschränkung angewendet werden muss oder nicht, muss der Verantwortliche zunächst die Notwendigkeit und Verhältnismäßigkeit dieser Beschränkung im konkreten Fall unter Beteiligung des Datenschutzbeauftragten prüfen ¹⁴⁴. Im Rahmen dieser Prüfung werden die potenziellen Risiken für die Rechte und Freiheiten der betroffenen Person gegen die Risiken für die Rechte und Freiheiten anderer betroffener Personen und die Risiken einer Behinderung des Zwecks und Ergebnisses des Verarbeitungsvorgangs abgewogen ¹⁴⁵. Beschränkungen müssen durch eine Aufzeichnung der Prüfung der Beschränkung von Rechten dokumentiert werden, aus der hervorgeht, welche Rechte wie lange, aus welchen Gründen und auf welchen Rechtsgrundlagen beschränkt werden sollen ¹⁴⁶. Darüber hinaus müssen geeignete technische und organisatorische Maßnahmen getroffen werden, solange eine Beschränkung zur Anwendung kommt ¹⁴⁷. Eine Beschränkung darf nur so lange Anwendung finden, wie die Gründe für die Beschränkung bestehen ¹⁴⁸. Wird ein Recht beschränkt, muss der Verantwortliche die betroffene Person über die wesentlichen Gründe hierfür und über das Recht, Beschwerde einzureichen, unterrichten ¹⁴⁹.

2.4.6.3. Spezifische Vorschriften im Zusammenhang mit dem Patenterteilungsverfahren

( 55) Die Bestimmungen des Gründungsvertrags der Europäischen Patentorganisation (d. h. des Europäischen Patentübereinkommens), des Patentzusammenarbeitsvertrags und die nach diesen anwendbaren Bestimmungen (die zusammen das Primärrecht der Europäischen Patentorganisation darstellen) enthalten bestimmte spezifische Anforderungen im Zusammenhang mit dem Patenterteilungsverfahren, die sich auf die Ausübung bestimmter Rechte nach den DSV auswirken können ¹⁵⁰. Im Beschluss betreffend Patenterteilungsverfahren wird ein Überblick über diese Anforderungen des Primärrechts gegeben, es wird erläutert, wie die Rechte der betroffenen Personen in diesem Zusammenhang ausgeübt werden können, und es werden mögliche Ausnahmen klar dargelegt ¹⁵¹. In dem Rundschreiben Nr. 420 wird festgelegt, dass durch die Bestimmungen, die die Anwendung von Datenschutzrechten beschränken können, der Anwendungsbereich einer Ausnahme eindeutig benannt werden muss und daher die verschiedenen betroffenen Interessen gegeneinander abgewogen werden müssen ¹⁵².

( 56) Erstens ist das Europäische Patentamt gemäß Artikel 127 des Europäischen Patentübereinkommens verpflichtet, das Europäische Patentregister zu führen, in dem bestimmte gesetzlich definierte personenbezogene Daten veröffentlicht werden. Gemäß dem Primärrecht müssen Patentanmeldungen während des Patenterteilungsverfahrens in der Regel so bald wie möglich nach Ablauf von achtzehn Monaten nach dem Anmeldetag veröffentlicht werden. Im Europäischen Patentübereinkommen ist festgelegt, dass die in solchen Patentanmeldungen enthaltenen personenbezogenen Daten entweder durch Akteneinsicht oder durch Einsichtnahme in das Register zugänglich sind ¹⁵³. Vor der Veröffentlichung stehen Patentanmeldungen ohne ausdrückliche Zustimmung des Anmelders nicht zur Einsichtnahme zur Verfügung. Ähnliche Regelungen sind im Patentzusammenarbeitsvertrag niedergelegt ¹⁵⁴.

( 57) Zweitens ist die Möglichkeit, die Berichtigung der Informationen zu verlangen, die im Rahmen eines Patenterteilungsverfahrens verwendet werden, im Europäischen Patentübereinkommen ausdrücklich geregelt ¹⁵⁵. Insbesondere sieht das Europäische Patentübereinkommen nur die Möglichkeit vor, die Berichtigung von Mängeln in beim Europäischen Patentamt eingereichten Unterlagen ¹⁵⁶, die Berichtigung von Fehlern in Entscheidungen ¹⁵⁷, die Berichtigung von Übersetzungen ¹⁵⁸ und die Berichtigung der Erfindernennung ¹⁵⁹ zu verlangen. Die Berichtigung personenbezogener Daten in Unterlagen, die im Rahmen des Patenterteilungsverfahrens verwendet werden, kann daher auch nur in diesen Fällen verlangt werden. Gleiches gilt für die Möglichkeit, eine Einschränkung der Verarbeitung der Daten zu verlangen ¹⁶⁰.

( 58) Drittens sind im Europäischen Patentübereinkommen spezifische Aufbewahrungs- und Veröffentlichungsanforderungen für bestimmte Schriftstücke vorgeschrieben, die im Rahmen des Patenterteilungsverfahrens verwendet werden und die sich auf die Möglichkeit auswirken, die Löschung der darin enthaltenen Informationen, einschließlich personenbezogener Daten, zu verlangen ¹⁶¹. Insbesondere müssen im Europäischen Patentblatt veröffentlichte Patentanmeldungen und Patentinformationen aufbewahrt und öffentlich zugänglich gemacht werden ¹⁶². Daher würde die Löschung der in diesen Schriftstücken enthaltenen personenbezogenen Daten gegen grundlegende gesetzliche Verpflichtungen des Europäischen Patentamts verstoßen ( Artikel 129 Buchstabe a des Europäischen Patentübereinkommens) und kann nicht verlangt werden. Andere Akten müssen vom Europäischen Patentamt für einen im Europäischen Patentübereinkommen festgelegten Zeitraum aufbewahrt werden, der grundsätzlich fünf Jahre beträgt ¹⁶³. Während dieses Zeitraums kann eine Löschung der in diesen Akten enthaltenen Informationen (einschließlich personenbezogener Daten) nicht verlangt werden.

( 59) Daher können die Beschränkungen der Ausübung von Rechten, die sich aus den in den Erwägungsgründen 55 bis 58 genannten Bestimmungen ergeben, insbesondere unter Berücksichtigung ihres begrenzten Anwendungsbereichs und ihrer eingeschränkten Anwendungsbedingungen als auf das Maß beschränkt angesehen werden, das erforderlich und verhältnismäßig ist, um für das ordnungsgemäße Funktionieren des Patenterteilungsverfahrens Sorge zu tragen, wie es im öffentlichen Interesse für die Erfüllung der amtlichen Aufgaben des Europäischen Patentamts erforderlich ist. Soweit in dem Europäischen Patentübereinkommen und dem Patentzusammenarbeitsvertrag die Ausübung der Datenschutzrechte nicht ausdrücklich geregelt ist, d. h. in allen anderen als den in den Erwägungsgründen 55 bis 58 beschriebenen Szenarien, gelten die Anforderungen der DSV in vollem Umfang.

2.4.7. Weiterübermittlung von Daten

( 60) Das Schutzniveau für personenbezogene Daten, die aus der Union an die Europäische Patentorganisation übermittelt werden, darf nicht durch die Weiterübermittlung solcher Daten an Empfänger in einem Drittland oder an eine andere internationale Organisation beeinträchtigt werden.

( 61) In den DSV wird zwischen "Übertragung personenbezogener Daten" (d. h. der Weitergabe von Daten durch das Europäische Patentamt an seine Vertragsstaaten) und "Übermittlung personenbezogener Daten" (der Weitergabe von Daten durch das Europäische Patentamt an eine andere Person oder Einrichtung außerhalb des Europäischen Patentamts) unterschieden ¹⁶⁴.

2.4.7.1. Übertragung von Daten

( 62) Erstens ist in den DSV vorgesehen, dass eine Übertragung von Daten an ein nationales Amt für geistiges Eigentum eines Vertragsstaats des Europäischen Patentübereinkommens erfolgen kann, wenn die Daten für a) die Wahrnehmung von Aufgaben im Zuständigkeitsbereich des Empfängers oder die Ausübung von diesem übertragener öffentlicher Gewalt und b) die Übertragung für die Ausübung der amtlichen Aufgaben/Befugnisse des Europäischen Patentamts erforderlich sind ¹⁶⁵. Solche Übertragungen erfolgen im Rahmen des im Europäischen Patentübereinkommen und im Patentzusammenarbeitsvertrag vorgesehenen Patenterteilungsverfahrens ¹⁶⁶.

( 63) Zweitens können nach den DSV Daten an eine Behörde eines Vertragsstaats des Europäischen Patentübereinkommens ¹⁶⁷ übertragen werden, wenn die Daten für die Ausübung der Aufgaben dieser Behörde erforderlich sind und die Übertragung mit den Aufgaben und dem Funktionieren des Europäischen Patentamts kompatibel ist ¹⁶⁸. Solche Übertragungen sind nach dem Europäischen Patentübereinkommen oder anderen Rechtsinstrumenten, die das Patenterteilungsverfahren regeln, nicht ausdrücklich vorgeschrieben, können aber dennoch für die Ausübung der Aufgaben des Europäischen Patentamts erforderlich sein, beispielsweise für die Zusammenarbeit des Europäischen Patentamts mit seinen Vertragsstaaten im Rahmen von Konsultationsprozessen, die Abordnung und Entsendung von Sachverständigen oder die Bereitstellung von Informationen über das Personal des Europäischen Patentamts zum Zwecke der Festlegung von Sozialleistungen, Steuerpflichten usw.

( 64) Der Datenschutzbeauftragte hat Datenschutzklauseln für die Aufnahme in Absichtserklärungen zur Regelung der in den Erwägungsgründen 62 und 63 beschriebenen Übertragungen ausgearbeitet, in denen unter anderem Datenschutzgrundsätze, die Beschränkung der Weiterverarbeitung auf zulässige Zwecke, die Rechte der betroffenen Personen sowie Pflichten in Bezug auf Datensicherheit und Datenschutzverletzungen und eine unabhängige Aufsicht vorgesehen sind ¹⁶⁹.

( 65) In beiden in den Erwägungsgründen 62 und 63 beschriebenen Szenarien muss der Empfänger gemäß den DSV nachweisen, dass die Übertragung der Daten für einen bestimmten Zweck erforderlich ist, der sich aus den Verpflichtungen des Europäischen Patentamts zur Zusammenarbeit mit dem Vertragsstaat oder den Vertragsstaaten ergibt ¹⁷⁰. Der Verantwortliche muss für jede Übertragung nachweisen können, dass diese Übertragung erforderlich und angemessen ist in Bezug auf den spezifischen Zweck, für den sie erfolgt ¹⁷¹. Jede Übertragung von Daten muss so erfolgen, dass das durch die DSV gebotene Schutzniveau gewahrt bleibt ¹⁷². Gemäß den vom Datenschutzbüro herausgegebenen Leitlinien bedeutet dies, dass geeignete Garantien vorhanden sein müssen, unter anderem indem sichergestellt wird, dass ausschließlich angemessene, relevante und für die Erreichung des Zwecks absolut notwendige Daten übertragen werden dürfen ¹⁷³. Besteht Grund zu der Annahme, dass die berechtigten Interessen der betroffenen Person beeinträchtigt sein könnten, muss der Verantwortliche nachweisen, dass die Übertragung der personenbezogenen Daten für diesen Zweck verhältnismäßig ist, nachdem er die unterschiedlichen widerstreitenden Interessen gegeneinander abgewogen hat ¹⁷⁴.

( 66) Hinsichtlich dieser beiden Szenarien ist es auch wichtig zu beachten, dass alle Vertragsstaaten des Europäischen Patentübereinkommens auch Vertragsparteien der Europäischen Konvention zum Schutz der Menschenrechte und Grundfreiheiten sind, die der Zuständigkeit des Europäischen Gerichtshofs für Menschenrechte unterliegen, sowie ebenfalls Vertragsparteien des Übereinkommens des Europarats zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten sind (SEV Nr. 108).

( 67) Schließlich ist es gemäß den DSV zulässig, Daten an einen Auftragsverarbeiter zu übertragen, der sich im Europäischen Wirtschaftsraum (EWR) befindet, sofern die in den DSV festgelegten Anforderungen für die Hinzuziehung von Auftragsverarbeitern erfüllt sind ¹⁷⁵.

2.4.7.2. Übermittlung von Daten

( 68) Die Weitergabe personenbezogener Daten an Einrichtungen außerhalb des Europäischen Patentamts, bei denen es sich nicht um eine Behörde oder ein nationales Amt für geistiges Eigentum der Vertragsstaaten des Europäischen Patentübereinkommens oder einen Auftragsverarbeiter im EWR handelt, gilt vorbehaltlich spezifischer Anforderungen gemäß den DSV als "Übermittlung" personenbezogener Daten ¹⁷⁶. Diese Anforderungen gelten beispielsweise für die Weitergabe von Daten an Auftragsverarbeiter außerhalb des EWR, an Verantwortliche in oder außerhalb von Vertragsstaaten, an Behörden in Nichtvertragsstaaten und an andere internationale Organisationen. Gemäß den DSV darf das durch das Europäische Patentamt gewährleistete Schutzniveau für natürliche Personen bei der Übermittlung von Daten an Dritte grundsätzlich nicht untergraben werden ¹⁷⁷. Gemäß den Leitlinien des Datenschutzbüros muss der "Schutz der übermittelten personenbezogenen Daten in dem Drittland oder der internationalen Organisation im Wesentlichen dem durch die DSV gewährleisteten Schutz gleichwertig sein" ¹⁷⁸.

( 69) Gemäß den DSV dürfen personenbezogene Daten nur dann an Empfänger außerhalb des Europäischen Patentamts übermittelt werden, wenn im Land des Empfängers oder innerhalb der internationalen Organisation ein angemessener Schutz gewährleistet ist und diese Übermittlung ausschließlich die Wahrnehmung von Aufgaben des Europäischen Patentamts ermöglichen soll ¹⁷⁹. Der Präsident erlässt einen Angemessenheitsbeschluss ¹⁸⁰, über den er im Zweifelsfall nach Anhörung des Datenschutzbeauftragten und des Datenschutzausschusses entscheidet ¹⁸¹. Das Datenschutzbüro hat einen "Angemessenheitsverweis" ausgearbeitet, in dem die Kriterien für Angemessenheitsbeschlüsse festgelegt sind ¹⁸². Insbesondere muss der Rechtsrahmen des Drittlandes oder der internationalen Organisation die wichtigsten datenschutzrechtlichen Grundsätze, die Rechte der betroffenen Personen, Vorschriften zu Weiterübermittlungen, Verfahrens- und Durchsetzungsmechanismen sowie Rechtsschutz für natürliche Personen umfassen. Erlässt der Präsident einen Angemessenheitsbeschluss, kann die Übermittlung ohne zusätzliche Garantien zum Schutz der Privatsphäre erfolgen ¹⁸³. Das Europäische Patentamt geht derzeit davon aus, dass die Mitgliedstaaten sowie Norwegen, Island und Liechtenstein sowie alle Länder, für die ein Angemessenheitsbeschluss der Kommission ¹⁸⁴ und der Organe und Einrichtungen der Union vorliegt, ein angemessenes Schutzniveau bieten ¹⁸⁵.

( 70) Gemäß den DSV darf der Verantwortliche oder der Auftragsverarbeiter, falls kein Angemessenheitsbeschluss vorliegt, personenbezogene Daten nur dann an Empfänger außerhalb des Europäischen Patentamts übermitteln, wenn der Verantwortliche oder der Auftragsverarbeiter geeignete Garantien vorgesehen hat und den betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung stehen ¹⁸⁶. Solche geeigneten Garantien können in Verwaltungsvereinbarungen mit Behörden oder internationalen Organisationen, in Vertragsklauseln (nach Anhörung des Datenschutzausschusses) ¹⁸⁷ oder in Zertifizierungsverfahren aufgenommen werden ¹⁸⁸. Das Datenschutzbüro hat einen Überblick über die Vorschriften erstellt, die in die Verwaltungsvereinbarungen aufgenommen werden sollen ¹⁸⁹. Ein Muster für eine Datenschutzvereinbarung für die Übermittlung an Auftragsverarbeiter steht ebenfalls zur Verfügung ¹⁹⁰. Gemäß den Leitlinien des Datenschutzbüros muss das Europäische Patentamt bewerten, ob der Datenimporteur aufgrund des für ihn geltenden Rechtsrahmens daran gehindert wäre, seinen Verpflichtungen im Rahmen eines Übermittlungsinstruments nachzukommen, und erforderlichenfalls ergänzende Maßnahmen ergreifen ¹⁹¹. Zur Wahrnehmung dieser Bewertung empfiehlt das Datenschutzbüro in den Erläuterungen zur Übertragung und Übermittlung personenbezogener Daten des Europäischen Patentamts, die einschlägigen Leitlinien des Europäischen Datenschutzausschusses und des Europäischen Datenschutzbeauftragten zu berücksichtigen ¹⁹².

( 71) Gemäß den DSV muss das Europäische Patentamt bei Datenübermittlungen an Länder oder Organisationen, für die ein Angemessenheitsbeschluss vorliegt, sowie bei Datenübermittlungen auf der Grundlage geeigneter Garantien nachweisen, dass die Übermittlung für diesen Zweck der Verarbeitung erforderlich und verhältnismäßig ist ¹⁹³. Darüber hinaus muss das Europäische Patentamt, nachdem es die unterschiedlichen Interessen gegeneinander abgewogen hat, nachweisen, dass die Übermittlung verhältnismäßig ist, wenn Gründe für die Annahme vorliegen, dass die berechtigten Interessen der betroffenen Personen beeinträchtigt werden könnten ¹⁹⁴. Überdies muss (durch vertragliche Garantien) sichergestellt werden, dass der Empfänger die Daten nur für die Zwecke verarbeiten oder nutzen darf, für die sie übermittelt wurden, und dass die Daten nach der Realisierung dieses Zwecks gelöscht werden ¹⁹⁵.

( 72) Falls kein Angemessenheitsbeschluss oder geeignete Garantien vorliegen, ist gemäß den DSV die Übermittlung personenbezogener Daten an Empfänger außerhalb des Europäischen Patentamts, "nur in Ausnahmefällen" zulässig, wenn eine sogenannte Ausnahme unter den gleichen Bedingungen wie in den entsprechenden Vorschriften des Datenschutzrechts der Union Anwendung findet ¹⁹⁶. Dies ist der Fall, wenn a) die betroffene Person in die Übermittlung ausdrücklich eingewilligt hat ¹⁹⁷; b) und c) die Übermittlung gelegentlich erfolgt und für die Erfüllung eines Vertrags mit der betroffenen Person oder im Interesse der betroffenen Person (oder für die Durchführung vorvertraglicher Maßnahmen auf Antrag der betroffenen Person) erforderlich ist ¹⁹⁸; d) die Übermittlung für die Wahrnehmung einer Aufgabe in Ausübung der amtlichen Tätigkeit der Europäischen Patentorganisation oder in rechtmäßiger Ausübung dem Verantwortlichen übertragener öffentlicher Gewalt erforderlich ist ¹⁹⁹; e) die Übermittlung gelegentlich erfolgt und zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist ²⁰⁰; f) die Übermittlung zum Schutz lebenswichtiger Interessen der betroffenen Person oder anderer Personen erforderlich ist, sofern die betroffene Person aus physischen oder rechtlichen Gründen außerstande ist, ihre Einwilligung zu geben ²⁰¹, oder g) die Übermittlung aus einem Register erfolgt, das zur Information der Öffentlichkeit bestimmt ist und entweder der gesamten Öffentlichkeit oder allen Personen, die ein berechtigtes Interesse nachweisen können, zur Einsichtnahme offensteht, soweit die festgelegten Voraussetzungen für die Einsichtnahme im Einzelfall gegeben sind ²⁰². Nach den Leitlinien des Datenschutzbüros können diese Ausnahmen naturgemäß nicht für systematische und regelmäßige Übermittlungen geltend gemacht werden ²⁰³.

( 73) Schließlich kann der Präsident hinsichtlich der Übermittlung bestimmter Kategorien von Daten an Länder oder Organisationen, für die kein Angemessenheitsbeschluss vorliegt, solche Übermittlungen aus wichtigen Gründen in Verbindung mit der rechtmäßigen Ausübung dem Europäischen Patentamt übertragener öffentlicher Gewalt weiter beschränken ²⁰⁴. Bislang hat der Präsident von diesen Befugnissen keinen Gebrauch gemacht.

2.4.8. Rechenschaftspflicht

( 74) Nach dem Grundsatz der Rechenschaftspflicht müssen Daten verarbeitende Unternehmen geeignete technische und organisatorische Maßnahmen treffen, um ihren Datenschutzpflichten wirksam nachzukommen und dies insbesondere gegenüber der zuständigen Aufsichtsbehörde nachweisen zu können.

( 75) In Artikel 4 Absatz 1 DSV wird ein allgemeiner Grundsatz der Rechenschaftspflicht festgelegt, wonach der Verantwortliche für die Einhaltung der DSV verantwortlich ist und in der Lage sein muss, deren Einhaltung nachzuweisen. Insbesondere muss der Verantwortliche unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte natürlicher Personen geeignete technische und organisatorische Maßnahmen umsetzen, um die Einhaltung der Vorschriften sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß diesen Vorschriften erfolgt ²⁰⁵. In diesem Zusammenhang werden in den DSV auch die Grundsätze des Datenschutzes durch Technik und durch datenschutzfreundliche Voreinstellungen umgesetzt, indem der Verantwortliche verpflichtet wird, Maßnahmen zu ergreifen, die dafür ausgelegt sind, die Datenschutzgrundsätze umzusetzen und die Einhaltung der DSV sicherzustellen, sowie zu gewährleisten, dass grundsätzlich nur personenbezogene Daten verarbeitet werden, die für den jeweiligen bestimmten Verarbeitungszweck erforderlich sind ²⁰⁶.

( 76) Der Verantwortliche und die Auftragsverarbeiter müssen ein Verzeichnis aller Verarbeitungstätigkeiten führen, das unter anderem Angaben über den Zweck der Verarbeitung, die Kategorien der verarbeiteten Daten, die Kategorien von Empfängern, gegenüber denen die Daten offengelegt werden, und gegebenenfalls über alle Übermittlungen von personenbezogenen Daten enthält ²⁰⁷. Diese Verzeichnisse sind grundsätzlich öffentlich zugänglich (sofern sie keine vertraulichen Informationen enthalten) und in einem öffentlich zugänglichen Datenschutzregister enthalten. Sie müssen dem Datenschutzausschuss auf Anfrage vorgelegt werden ²⁰⁸. Jede operative Einheit muss außerdem mindestens eine Datenschutz-Verbindungsperson (für eine verlängerbare Amtszeit von einem bis drei Jahren) ernennen, die eine vorgeschriebene Schulung zum Datenschutz absolvieren und den Verantwortlichen bei der Erfüllung seiner Pflichten unterstützen muss ²⁰⁹.

( 77) Schließlich sind in den DSV verschiedene Instrumente aufgeführt, die die Verantwortlichen und Auftragsverarbeiter bei ihren Bemühungen um Einhaltung der Vorschriften unterstützen können. So kann beispielsweise gemäß den DSV die Einhaltung genehmigter Zertifizierungsverfahren als Nachweis für die Erfüllung der Pflichten aus den DSV dienen ²¹⁰. Darüber hinaus ist in den DSV unter bestimmten Bedingungen die Durchführung einer Datenschutz-Folgenabschätzung oder eine vorherige Konsultation des Datenschutzbeauftragten und des Datenschutzausschusses vorgeschrieben. Eine Datenschutz-Folgenabschätzung ist erforderlich, wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat ²¹¹. Dies ist z.B. erforderlich im Falle einer systematischen und umfassenden Bewertung persönlicher Aspekte, die als Grundlage für automatisierte Entscheidungen dienen, oder einer umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten. ²¹² Geht aus einer Datenschutz-Folgenabschätzung hervor, dass die Verarbeitung ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hätte und das Risiko nicht durch vertretbare Sicherheitsvorkehrungen gemindert werden kann, muss der Verantwortliche den Datenschutzausschuss konsultieren ²¹³. Der Datenschutzausschuss muss schriftliche Empfehlungen unterbreiten, wenn er der Auffassung ist, dass die geplante Verarbeitung nicht im Einklang mit den DSV stünde ²¹⁴. Im Allgemeinen ist der Verantwortliche verpflichtet, den Datenschutzbeauftragten zu konsultieren, wenn er Vorschriften oder Betriebsdokumentationen zur Umsetzung von Beschränkungen der Rechte des Einzelnen ausarbeitet ²¹⁵.

2.5. Aufsicht und Durchsetzung

( 78) Um sicherzustellen, dass in der Praxis ein angemessenes Datenschutzniveau gewährleistet ist, sollte eine unabhängige Aufsichtsbehörde mit der Befugnis zur Überwachung und Durchsetzung der Einhaltung der Datenschutzvorschriften eingerichtet werden. Diese Behörde sollte bei der Erfüllung ihrer Aufgaben und der Ausübung ihrer Befugnisse vollkommen unabhängig und unparteiisch handeln.

( 79) Durch den Rechtsrahmen der Europäischen Patentorganisation werden zwei Stellen mit der Aufsicht über die Einhaltung der Datenschutzvorschriften durch das Europäische Patentamt betraut: der Datenschutzbeauftragte und der Datenschutzausschuss. Beide Stellen werden im Rahmen von Artikel 32a des Statuts eingerichtet, während ihr Status und ihre Befugnisse in den DSV näher ausgeführt werden ²¹⁶. Ihre Aufgaben ergänzen sich und beinhalten Kooperation; jede Stelle bleibt in ihren jeweiligen Funktionen jedoch unabhängig.

2.5.1. Unabhängigkeit

( 80) Gemäß dem Statut handeln der Datenschutzbeauftragte und der Datenschutzausschuss bei der Wahrnehmung ihrer Aufgaben und Ausübung ihrer Befugnisse vollkommen unabhängig von innerer und äußerer Einflussnahme ²¹⁷. Dieser Grundsatz wird durch verschiedene zusätzliche Garantien ergänzt, die ihre Unabhängigkeit sicherstellen.

( 81) Der Datenschutzbeauftragte (und seine Stellvertreter) werden vom Präsidenten auf der Grundlage ihrer beruflichen Qualifikation und insbesondere des Fachwissens ernannt, das sie auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis besitzen ²¹⁸. Der Datenschutzbeauftragte wird für eine verlängerbare Amtszeit von drei bis fünf Jahren ernannt. Der Datenschutzausschuss ist vor jeder vorgeschlagenen Abberufung oder Entlassung des Datenschutzbeauftragten zu konsultieren ²¹⁹. Eine solche vorherige Konsultation vor der Abberufung oder Entlassung des Datenschutzbeauftragten soll eine zusätzliche Prüfung und Überprüfung im Falle einer vorgeschlagenen Abberufung oder Entlassung sicherstellen. Eine solche Abberufung oder Entlassung kann aus einem der folgenden Gründe erfolgen ²²⁰: wenn der Datenschutzbeauftragte die zur Wahrnehmung seiner Aufgaben erforderlichen Voraussetzungen nicht mehr erfüllt ²²¹; bei unzulänglichen fachlichen Leistungen ²²²; oder als Folge von Disziplinarstrafen ²²³. Die DSV sieht auch vor, dass der Datenschutzbeauftragte nicht wegen der Wahrnehmung seiner Aufgaben abberufen oder benachteiligt werden darf ²²⁴. Der Datenschutzbeauftragte muss in alle mit dem Schutz personenbezogener Daten zusammenhängenden Fragen eingebunden werden und dem Präsidenten und dem Verwaltungsrat jährliche Tätigkeitsberichte vorlegen ²²⁵. Das Europäische Patentamt muss dem Datenschutzbeauftragten die für die Wahrnehmung seiner Aufgaben erforderlichen Ressourcen zur Verfügung stellen ²²⁶.

( 82) Der Datenschutzausschuss besteht aus drei externen Experten auf dem Gebiet des Datenschutzes, nämlich einem Vorsitzenden und zwei anderen Mitgliedern ²²⁷ sowie jeweils einem stellvertretenden Mitglied, die vom Präsidenten des Europäischen Patentamts für eine verlängerbare Amtszeit von drei Jahren ernannt werden ²²⁸. Die Mitglieder des Datenschutzausschusses müssen über die Befähigung zum Richteramt verfügen oder Datenschutz-Fachkräfte mit nachgewiesener Sachkenntnis und auf nationaler oder internationaler Ebene erworbener Erfahrung auf dem Gebiet des Datenschutzrechts sein. Sie dürfen keine Bediensteten des Europäischen Patentamts sein oder in den letzten zehn Jahren in dessen Dienst gestanden haben ²²⁹. Gemäß Artikel 48 Absatz 6 DSV üben die Mitglieder des Datenschutzausschusses ihre Aufgaben in völliger Unabhängigkeit aus. Insbesondere dürfen Mitglieder des Datenschutzausschusses weder Weisungen vom Europäischen Patentamt oder vom Verwaltungsrat anfordern, noch sind sie an solche Weisungen gebunden. In der Geschäftsordnung des Datenschutzausschusses ist außerdem festgelegt, dass dieser bei der Erfüllung seiner Aufgaben unparteiisch und in voller Unabhängigkeit handeln muss ²³⁰. Darüber hinaus können Mitglieder des Datenschutzausschusses vom Europäischen Patentamt nur aus wichtigem Grund entlassen werden ²³¹. Die Mitglieder des Datenschutzausschusses unterliegen einer Verschwiegenheitspflicht ²³² und dürfen nicht in Fällen tätig werden, wenn für sie ein Interessenkonflikt besteht, insbesondere ein persönliches Interesse ²³³. Das Europäische Patentamt ist verpflichtet, den Datenschutzausschuss bei der Erfüllung seiner Aufgaben zu unterstützen, indem es die für die Wahrnehmung dieser Aufgaben erforderlichen Ressourcen sowie rechtliche und administrative Unterstützung (mittels eines Sekretariats und der Bereitstellung des Zugangs zu personenbezogenen Daten und Verarbeitungsvorgängen für den Datenschutzausschuss) zur Verfügung stellt ²³⁴.

2.5.2. Aufgaben und Befugnisse

( 83) Zu den Aufgaben des Datenschutzbeauftragten gehören: Unterrichtung des Verantwortlichen oder der Auftragsverarbeiter hinsichtlich ihrer Pflichten und entsprechende Beratung; Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter; Sicherstellung der Unterrichtung betroffener Personen über ihre Rechte und Pflichten nach den DSV; unabhängige Überwachung der internen Anwendung und der Einhaltung der DSV sowie anderer Rechtsvorschriften der Europäischen Patentorganisation, die sich auf den Datenschutz auswirken ²³⁵. Betroffene Personen können den Datenschutzbeauftragten zu allen mit der Verarbeitung ihrer personenbezogenen Daten und mit der Wahrnehmung ihrer Rechte ²³⁶ im Zusammenhang stehenden Fragen zurate ziehen, und der Verantwortliche und die Auftragsverarbeiter können den Datenschutzbeauftragten zu jeder Frage im Zusammenhang mit der Auslegung oder Anwendung der DSV zurate ziehen ²³⁷.

( 84) Im Rahmen seiner Aufsichtsfunktion hat der Datenschutzbeauftragte die Befugnis, Datenschutzprüfungen und -untersuchungen durchzuführen ²³⁸. Die Prüfungen werden vom Datenschutzbeauftragten gemäß einem jährlichen Prüfungsplan veranlasst, der in Absprache mit dem Datenschutzausschuss erstellt wird ²³⁹. Bei einer Prüfung liegt der Schwerpunkt auf der Bewertung von Datenschutzunterlagen, Erklärungen und einschlägigen Unterlagen, z.B. um die Richtigkeit und Vollständigkeit der einschlägigen Datenschutzunterlagen, die korrekte Anwendung von Risikomanagementmethoden, die Richtigkeit und Aktualität der Antworten an betroffene Personen oder die ordnungsgemäße Durchführung und die Anzahl der Datenschutz-Folgenabschätzungen zu überprüfen ²⁴⁰. Nach den der Kommission vorliegenden Angaben des Datenschutzbeauftragten wurden im Jahr 2023 drei und im Jahr 2024 vier Prüfungen durchgeführt. Eine Datenschutzuntersuchung kann vom Datenschutzbüro auf eigene Initiative, auf der Grundlage eines Antrags des Datenschutzausschusses oder eines Gremiums innerhalb der Europäischen Patentorganisation (z.B. des Präsidenten oder eines delegierten Verantwortlichen) oder auf der Grundlage anderweitig erhaltener Informationen (z.B. von Dritten und natürlichen Personen) veranlasst werden ²⁴¹. Die vom Datenenschutzausschuss beantragten Untersuchungen werden vom Datenschutzbeauftragten unabhängig durchgeführt. Der Datenschutzausschuss kann zu allen Fragen, die möglicherweise auftauchen, Stellung nehmen und/oder eine zusätzliche Untersuchung beantragen ²⁴². Der Schwerpunkt der Inspektionen liegt auf Verarbeitungsvorgängen oder bestimmten Aspekten davon oder damit zusammenhängenden Vorgängen, um sicherzustellen, dass bei der betreffenden Verarbeitung die Anforderungen der DSV eingehalten werden und der Schutz der Rechte und Freiheiten der betroffenen Personen gewährleistet ist ²⁴³.

( 85) Der Datenschutzbeauftragte hat Zugang zu allen relevanten Informationen, einschließlich der verarbeiteten personenbezogenen Daten sowie zu allen Diensträumen, Datenverarbeitungsanlagen und Datenträgern ²⁴⁴. Alle Bediensteten und operativen Einheiten des Europäischen Patentamts sind verpflichtet, den Datenschutzbeauftragten bei der Erfüllung seiner Pflichten zu unterstützen, unter anderem durch Gewährung des Zugangs zu Räumlichkeiten und relevanten Informationen ²⁴⁵.

( 86) Nach Abschluss einer Prüfung oder Untersuchung erstellt das Datenschutzbüro einen Bericht, in dem es seine Feststellungen, Schlussfolgerungen und empfohlenen Abhilfemaßnahmen darlegt ²⁴⁶. Solche Maßnahmen können beispielsweise Präventiv- oder Abmilderungsmaßnahmen zur Verbesserung der Einhaltung der Vorschriften sowie Maßnahmen zur Behebung der Nichteinhaltung umfassen (z.B. um die Verarbeitung mit den DSV in Einklang zu bringen, Anfragen betroffener Personen auf Ausübung ihrer Rechte zu bearbeiten, eine Verarbeitung auszusetzen oder zu beenden usw.) ²⁴⁷. Der Datenschutzbeauftragte kann auch der zuständigen Anstellungsbehörde Verletzungen der Verpflichtungen der DSV durch Bedienstete zur Kenntnis bringen und gegebenenfalls die Einleitung administrativer Ermittlungen empfehlen, um festzustellen, ob disziplinarische oder sonstige Maßnahmen erforderlich sind ²⁴⁸. Bedienstete, die die in den DSV festgelegten Pflichten vorsätzlich oder fahrlässig verletzen, können disziplinarisch oder auf andere Weise entsprechend dem Statut zur Verantwortung gezogen werden ²⁴⁹.

( 87) Der Datenschutzausschuss ist über das Ergebnis der Prüfungen und Untersuchungen zu informieren ²⁵⁰. Der Prüfungs- oder Untersuchungsbericht ist dem Datenschutzausschuss auf Verlangen vorzulegen. Der Datenschutzausschuss ist berechtigt, zum Bericht des Datenschutzbeauftragten Stellung zu nehmen, einschließlich zu den Feststellungen des Datenschutzbeauftragten, ob ein Verstoß gegen die DSV vorliegt oder nicht, zu vorgeschlagenen Abhilfemaßnahmen, und er kann zusätzliche Untersuchungsmaßnahmen beantragen ²⁵¹. Führt eine Prüfung oder Inspektion durch den Datenschutzbeauftragten zu dem Schluss, dass ein Verstoß (d. h. ein Verstoß gegen die DSV) vorliegt, ist der Bericht des Datenschutzbeauftragten dem Datenschutzausschuss zur Validierung der Schlussfolgerungen und der empfohlenen Abhilfemaßnahmen vorzulegen. Bei Einwendungen des Datenschutzausschusses gegen die Schlussfolgerungen oder empfohlenen Abhilfemaßnahmen des Datenschutzbeauftragten, übermittelt der Datenschutzausschuss dem Datenschutzbeauftragten seine Anmerkungen, einschließlich etwaiger Änderungen der vorgeschlagenen Schlussfolgerungen und empfohlenen Abhilfemaßnahmen, die dieser entsprechend umsetzen sollte. Vom Datenschutzausschuss validierte Abhilfemaßnahmen sind für den Verantwortlichen und die delegierten Verantwortlichen verbindlich und können von einzelnen Personen vor den in Erwägungsgrund 95 beschriebenen Rechtsschutzmechanismen geltend gemacht werden ²⁵². Der Datenschutzbeauftragte muss die Umsetzung der Abhilfemaßnahmen (grundsätzlich sechs Monate nach ihrer Mitteilung) überprüfen und dem Präsidenten jährlich über den Stand der Umsetzung Bericht erstatten ²⁵³.

( 88) Neben seiner Aufgabe, die Einhaltung der DSV durchzusetzen, gehören zu den weiteren Aufgaben des Datenschutzausschusses die Beratung des Präsidenten beim Erlass von Angemessenheitsbeschlüssen, die Beratung des Verantwortlichen hinsichtlich der Notwendigkeit der Durchführung einer Datenschutz-Folgenabschätzung und die Prüfung von Beschwerden von natürlichen Personen (siehe Erwägungsgründe 92 bis 96) ²⁵⁴.

2.6. Rechtsbehelfe

( 89) Um einen angemessenen Schutz und insbesondere die Durchsetzung der Rechte des Einzelnen zu gewährleisten, sollten der betroffenen Person wirksame Rechtsbehelfe, einschließlich Schadenersatz, zur Verfügung stehen.

( 90) Der Rechtsrahmen des Europäischen Patentamts bietet natürlichen Personen Rechtsschutz durch eine Kombination verschiedener Möglichkeiten.

( 91) Erstens können betroffene Personen, die der Ansicht sind, dass die Verarbeitung ihrer personenbezogenen Daten durch das Europäische Patentamt ihre Rechte verletzt (d. h. gegen die DSV verstößt), gemäß Artikel 49 DSV einen Antrag auf Überprüfung durch den delegierten Verantwortlichen stellen. Der delegierte Verantwortliche prüft den Antrag und trifft eine Entscheidung ²⁵⁵. Bevor der delegierte Verantwortliche eine Entscheidung trifft, muss er den Datenschutzbeauftragten konsultieren, der spätestens fünfzehn Kalendertage nach Eingang des Antrags auf Überprüfung eine schriftliche Stellungnahme abgibt ²⁵⁶. Der delegierte Verantwortliche muss der Person innerhalb eines Monats nach Eingang des Antrags antworten ²⁵⁷. Die Entscheidung ist der betroffenen Person zusammen mit Informationen über die Möglichkeit, weitere Rechtsbehelfe einzulegen, mitzuteilen ²⁵⁸. Wird der Verantwortliche oder der delegierte Verantwortliche nicht bis zum Ende des Zeitraums von drei Monaten tätig, so gilt dies als stillschweigende Ablehnung des Antrags.

( 92) Zweitens können betroffene Personen eine Entscheidung oder eine stillschweigende Ablehnung eines Antrags auf Überprüfung durch einen delegierten Verantwortlichen anfechten, indem sie eine Beschwerde beim Datenschutzausschuss einreichen ²⁵⁹.

( 93) Bei der Prüfung einer Beschwerde muss der Datenschutzausschuss die betroffene Person, den Verantwortlichen und gegebenenfalls den Auftragsverarbeiter auffordern, ihre Standpunkte zu den streitigen Forderungen und Sachverhalten schriftlich darzulegen und Belege oder Anmerkungen und Argumente zu den bereits vorliegenden Belegen vorzulegen ²⁶⁰. In diesem Zusammenhang kann der Datenschutzausschuss von den Parteien alle Informationen anfordern, die zur Bearbeitung der Beschwerde erforderlich sind, und darüber hinaus über den Datenschutzbeauftragten weitere Informationen einholen ²⁶¹. Bei der Entscheidung über die erforderlichen Folgemaßnahmen im Anschluss an eine Beschwerde muss der Datenschutzausschuss unter anderem die Art und Schwere des mutmaßlichen Verstoßes, die Zahl der betroffenen Personen, die betroffene Kategorien von Daten und die Dauer des Verstoßes berücksichtigen ²⁶². Der Datenschutzausschuss kann die Parteien auffordern, sich um eine gütliche Beilegung zu bemühen, ermutigt zu einer gütlichen Beilegung und unterstützt diese aktiv ²⁶³. Der Beschwerdeführer kann aufgrund der Schwere der mutmaßlichen Verletzung oder in Anbetracht der Schwere des Risikos für die Rechte der betroffenen Personen den Datenschutzausschuss auch auffordern, die Beschwerde einem Dringlichkeitsverfahren zu unterziehen ²⁶⁴.

( 94) Nach Prüfung einer Beschwerde übermittelt der Datenschutzausschuss dem Verantwortlichen eine begründete Stellungnahme, die eine Darlegung des Sachverhalts, die Hauptargumente der Parteien, die Überlegungen des Datenschutzausschusses und seine Empfehlungen umfasst ²⁶⁵. Im Falle eines Dringlichkeitsverfahrens muss der Datenschutzausschuss innerhalb von zwei Monaten nach Einreichung der Beschwerde förmlich eine begründete Stellungnahme abgeben ²⁶⁶. In seiner mit Gründen versehenen Stellungnahme kann der Datenschutzausschuss alle Empfehlungen aussprechen, die er für erforderlich hält, auch Unterlassungsanordnungen (z.B. Beendigung der rechtswidrigen Datenverarbeitung, Löschung unrechtmäßig verarbeiteter Daten) und Ersatz für materielle oder immaterielle Schäden ²⁶⁷. Die begründete Stellungnahme muss der betroffenen Person und dem Verantwortlichen übermittelt werden (d. h. dem Präsidenten des Amtes, dem Präsidenten der Beschwerdekammern, dem Vorsitzenden des Verwaltungsrats oder dem Vorsitzenden des engeren Ausschusses - je nachdem, ob die Beschwerde das Amt, die Beschwerdekammern, den Verwaltungsrat oder den engeren Ausschuss betraf). Der Verantwortliche trifft im Anschluss an die mit Gründen versehene Stellungnahme des Datenschutzausschusses eine endgültige verbindliche Entscheidung ²⁶⁸. Die endgültige Entscheidung wird der betroffenen Person, dem Datenschutzausschuss und dem Datenschutzbeauftragten mitgeteilt ²⁶⁹. Sollte der Verantwortliche beschließen, einem oder mehreren Aspekten der mit Gründen versehenen Stellungnahme nicht Folge zu leisten, so erläutert er dies schriftlich in der Entscheidung ²⁷⁰.

( 95) Eine betroffene Person, die mit der Entscheidung des Verantwortlichen nicht zufrieden ist, kann weitere Rechtsbehelfe einlegen und dabei auf die begründete Stellungnahme des Datenschutzausschusses Bezug nehmen. Die Bediensteten des Europäischen Patentamts können die Entscheidung vor dem Verwaltungsgericht der Internationalen Arbeitsorganisation anfechten ²⁷¹. Jede andere betroffene Person, die mit der Entscheidung des Verantwortlichen nicht einverstanden ist, kann innerhalb von drei Monaten ab Erhalt der Entscheidung den Präsidenten um ein Ad-hoc-Schiedsverfahren ersuchen ²⁷². In den DSV ist ein spezielles Verfahren für Ad-hoc-Schiedsverfahren vorgesehen ²⁷³. Insbesondere muss innerhalb von drei Monaten nach Eingang des Antrags der betroffenen Person vom Generalsekretär des Ständigen Schiedshofs ein Schiedsrichter auf der Grundlage der in den DSV festgelegten Kriterien bestellt werden ²⁷⁴. Der Schiedsrichter muss rechtskundig sein, als Rechtsanwalt in einem Vertragsstaat des Europäischen Patentübereinkommens zugelassen sein, relevante Sachkenntnis in Datenschutzfragen nachweisen können und mit dem Recht der internationalen Organisationen vertraut sein ²⁷⁵. Zusätzlich zur Erfüllung dieser Kriterien dürfen nur Personen bestellt werden, die weder für das Europäische Patentamt noch für die betroffene Person gearbeitet oder in deren Dienst gestanden haben. In den DSV ist festgelegt, dass der Schiedsrichter unabhängig und unparteiisch handeln ²⁷⁶, jede Partei gleich behandeln und ihnen die Gelegenheit geben muss, in jeder Phase des Verfahrens ihren Standpunkt vorzubringen ²⁷⁷. Die Schiedsverfahren sind nicht öffentlich ²⁷⁸ und unterliegen dem Europäischen Patentübereinkommen, den DSV, einschließlich aller Ausführungsbestimmungen, dem Recht der internationalen Organisationen und den Grundsätzen des Völkerrechts ²⁷⁹. Während jede Partei ihre eigenen Kosten und Auslagen für die rechtliche Vertretung jeweils selbst zu tragen hat (sofern der Schiedsrichter nicht anderes entscheidet), werden die Gebühren und Aufwendungen des Schiedsrichters sowie die Kosten für mögliche Gutachten und Zeugen von der Europäischen Patentorganisation getragen ²⁸⁰. Ein Vergleich muss in Form eines schriftlichen Schiedsspruchs mit vereinbartem Wortlaut geschlossen werden, der endgültig und bindend ist ²⁸¹.

( 96) Jede natürliche Person, der wegen eines Verstoßes gegen die DSV ein Schaden entstanden ist, kann gemäß den in den Erwägungsgründen 91 bis 95 beschriebenen Verfahren vom Europäischen Patentamt eine Entschädigung verlangen ²⁸². Das Europäische Patentamt haftet nicht, wenn es nachweist, dass es für den Umstand, durch den der Schaden eingetreten ist, nicht verantwortlich ist.

3. Zugang zu und Verwendung von aus der Union an das Europäische Patentamt übermittelten personenbezogenen Daten durch Behörden

( 97) Der Rechtsrahmen, innerhalb dessen das Europäische Patentamt Anträge von Behörden - in seinen Vertragsstaaten und in Drittländern - zu personenbezogenen Daten, die vom Europäischen Patentamt verarbeitet werden, bewertet und beantwortet, ergibt sich aus dem Protokoll über die Vorrechte und Immunitäten der Europäischen Patentorganisation ²⁸³, den Anforderungen der Datenschutzvorschriften (DSV) an die Übertragung und Übermittlung personenbezogener Daten und dem Völkerrecht.

( 98) Erstens gilt für die Verarbeitung personenbezogener Daten durch das Europäische Patentamt zum Zwecke seiner amtlichen Tätigkeiten die Immunität der Europäischen Patentorganisation. Die Immunitäten der Europäischen Patentorganisation werden durch eine Pflicht zur Zusammenarbeit gemäß Artikel 20 des Protokolls über die Vorrechte und Immunitäten ergänzt. Folglich wird jeder Antrag einer Behörde eines Vertragsstaats auf Erhalt von Daten, die vom Europäischen Patentamt verarbeitet werden, vom Präsidenten gemäß (Artikel 20 Absatz 1) des Protokolls über die Vorrechte und Immunitäten, wonach die Europäische Patentorganisation "jederzeit mit den zuständigen Behörden der Vertragsstaaten zusammenarbeiten [wird], um die Rechtspflege zu erleichtern, die Einhaltung der Vorschriften über Sicherheit und Ordnung sowie über den Gesundheits- und Arbeitsschutz und ähnlicher staatlicher Rechtsvorschriften zu gewährleisten und jeden Missbrauch der in diesem Protokoll vorgesehenen Vorrechte, Immunitäten und Erleichterungen zu verhindern" geprüft. Ausnahmsweise kann die Europäische Patentorganisation auf ihre Immunität von der Gerichtsbarkeit und Vollstreckung verzichten ²⁸⁴. Bei der Entscheidung über einen Antrag auf Zusammenarbeit entscheidet der Präsident nach eigenem Ermessen, ob das Ersuchen mit dem Rechtsrahmen der Organisation in Einklang steht ²⁸⁵. Der Präsident kann in seiner Entscheidung zu dem Schluss kommen, dass das Europäische Patentamt einem Antrag nach dem Protokoll über die Vorrechte und Immunitäten nachkommen und personenbezogene Daten nur unter Einhaltung der in den DSV festgelegten Anforderungen für die Übertragung von Daten offenlegen darf (siehe Erwägungsgründe 62 bis 67). Gemäß den DSV muss der Empfänger nachweisen, dass die Übertragung der Daten für einen bestimmten Zweck erforderlich ist, der sich aus den Verpflichtungen des Europäischen Patentamts zur Zusammenarbeit mit dem/den Vertragsstaat(en) ergibt ²⁸⁶. Der Verantwortliche muss für jede Übertragung nachweisen können, dass diese Übertragung erforderlich und angemessen ist in Bezug auf den spezifischen Zweck, für den sie durchgeführt wird ²⁸⁷. Jede Übertragung von Daten muss so erfolgen, dass das durch die DSV gebotene Schutzniveau gewahrt bleibt ²⁸⁸. Gemäß den vom Datenschutzbüro herausgegebenen Leitlinien bedeutet dies, dass geeignete Garantien vorhanden sein müssen, unter anderem indem sichergestellt wird, dass ausschließlich angemessene, relevante und für die Erreichung des Zwecks absolut notwendige Daten übertragen werden dürfen ²⁸⁹. Besteht Grund zu der Annahme, dass die Rechte und Freiheiten der betroffenen Person beeinträchtigt sein könnten, muss der Verantwortliche nachweisen, dass die Übertragung der personenbezogenen Daten für diesen Zweck verhältnismäßig ist, nachdem er die unterschiedlichen widerstreitenden Interessen gegeneinander abgewogen hat ²⁹⁰.

( 99) Zweitens gibt es kein für das Europäische Patentamt geltendes Rechtsinstrument, das speziell die Bearbeitung von Anträgen von Behörden aus Drittländern (d. h. die nicht Vertragspartei des Europäischen Patentübereinkommens sind) auf Zugang zu den vom Europäischen Patentamt verarbeiteten Daten regelt. Daher kann eine Offenlegung als Reaktion auf einen solchen Antrag nur erfolgen, wenn die Anforderungen für die internationale Übermittlung von Daten gemäß den DSV (wie in den Erwägungsgründen 68 bis 73 beschrieben) erfüllt sind. Dies wäre nur dann der Fall, wenn für das betreffende Land ein Angemessenheitsbeschluss erlassen wurde, der sich auf die Übermittlung erstreckt, wenn geeignete Garantien bestehen oder eine Ausnahme gilt.

( 100) Die Einhaltung des Protokolls über die Vorrechte und Immunitäten durch den Präsidenten, einschließlich der Art und Weise, wie Ersuchen um Zusammenarbeit von Behörden bearbeitet wurden, unterliegt der Aufsicht des Verwaltungsrats, während die Einhaltung der Anforderungen an die Übertragung und Übermittlung personenbezogener Daten in den DSV der Aufsicht des Datenschutzbeauftragten und des Datenschutzausschusses unterliegt, wie in den Erwägungsgründen 84 bis 88 beschrieben. Natürliche Personen können die in den Erwägungsgründen 90 bis 96 beschriebenen Rechtsbehelfsmöglichkeiten in Bezug auf die unter Verstoß gegen die DSV erfolgten Übertragungen oder Übermittlungen ihrer personenbezogenen Daten in Anspruch nehmen.

4. Schlussfolgerungen

( 101) Nach Auffassung der Kommission gewährleistet die Europäische Patentorganisation ein Schutzniveau für aus der Union übermittelte personenbezogene Daten, das im Wesentlichen dem durch die Verordnung (EU) 2016/679 garantierten Schutzniveau entspricht.

( 102) Auf der Grundlage der Feststellungen dieses Beschlusses sollte entschieden werden, dass die Europäische Patentorganisation bei der Übermittlung personenbezogener Daten aus der Union an die Europäische Patentorganisation ein angemessenes Schutzniveau im Sinne von Artikel 45 der Verordnung (EU) 2016/679, ausgelegt im Lichte der Charta der Grundrechte der Europäischen Union, gewährleistet.

5. Auswirkungen dieses Beschlusses und Maßnahmen der Datenschutzbehörden

( 103) Die Mitgliedstaaten und ihre Organe müssen die notwendigen Maßnahmen treffen, um Rechtsakten der Unionsorgane nachzukommen, da für diese Rechtsakte eine Vermutung der Rechtmäßigkeit gilt, sodass sie Rechtswirkungen entfalten, solange sie nicht zurückgenommen, im Rahmen einer Nichtigkeitsklage für nichtig erklärt oder infolge eines Vorabentscheidungsersuchens oder einer Einrede der Rechtswidrigkeit für ungültig erklärt wurden.

( 104) Daher ist ein nach Artikel 45 Absatz 3 der Verordnung (EU) 2016/679 erlassener Angemessenheitsbeschluss der Kommission für alle Organe der Mitgliedstaaten, an die er gerichtet ist, einschließlich ihrer unabhängigen Aufsichtsbehörden, verbindlich. So können insbesondere Übermittlungen von einem Verantwortlichen oder Auftragsverarbeiter in der Union an die Europäische Patentorganisation ohne weitere Genehmigung vorgenommen werden.

( 105) Es sei daran erinnert, dass gemäß Artikel 58 Absatz 5 der Verordnung (EU) 2016/679 und wie vom Gerichtshof der Europäischen Union in der Rechtssache C-362/14 ²⁹¹ erläutert Folgendes gilt: Wenn eine nationale Datenschutzbehörde, auch auf eine Beschwerde hin, die Vereinbarkeit eines Angemessenheitsbeschlusses der Kommission mit den Grundrechten des Einzelnen auf Privatsphäre und Datenschutz infrage stellt, muss das nationale Recht Rechtsbehelfe vorsehen, die es der Datenschutzbehörde ermöglichen, diese Rügen vor einem nationalen Gericht geltend zu machen, das gegebenenfalls ein Vorabentscheidungsverfahren beim Gerichtshof einleiten muss.

6. Überwachung, Aussetzung, Aufhebung oder Änderung dieses Beschlusses

( 106) Nach der Rechtsprechung des Gerichtshofs und gemäß Artikel 45 Absatz 4 der Verordnung (EU) 2016/679 sollte die Kommission nach Erlass eines Angemessenheitsbeschlusses die relevanten Entwicklungen in dem Drittland oder der internationalen Organisation fortlaufend überwachen, um festzustellen, ob dieses Land bzw. diese Organisation weiterhin ein im Wesentlichen gleichwertiges Schutzniveau bieten. Eine solche Kontrolle ist auf jeden Fall erforderlich, wenn der Kommission Informationen vorliegen, die Anlass zu begründeten Zweifeln geben.

( 107) Daher sollte die Kommission die Situation in Bezug auf den Rechtsrahmen der Europäischen Patentorganisation und die tatsächliche Praxis bei der Verarbeitung personenbezogener Daten, wie in diesem Beschluss geprüft, fortlaufend überwachen. Um diesen Prozess zu erleichtern, wird die Europäische Patentorganisation ersucht, die Kommission über wesentliche Entwicklungen im Zusammenhang mit diesem Beschluss zu unterrichten, und zwar in Bezug auf die Verarbeitung personenbezogener Daten und die Einschränkungen und Garantien, die für den Zugriff der Behörden auf personenbezogene Daten gelten.

( 108) Damit die Kommission ihre Überwachungsfunktion wirksam ausüben kann, sollten die Mitgliedstaaten die Kommission über alle relevanten Maßnahmen der nationalen Datenschutzbehörden informieren, insbesondere über Anfragen oder Beschwerden von betroffenen Personen in der Union in Bezug auf die Übermittlung personenbezogener Daten aus der Union an zertifizierte Organisationen an die Europäische Patentorganisation.

( 109) In Anwendung des Artikels 45 Absatz 3 der Verordnung (EU) 2016/679 und angesichts der Tatsache, dass sich das durch den Rechtsrahmen der Europäischen Patentorganisation gewährte Schutzniveau ändern könnte, sollte die Kommission nach der Annahme dieses Beschlusses regelmäßig prüfen, ob die Feststellungen über die Angemessenheit des durch die Europäische Patentorganisation gewährleisteten Schutzniveaus noch sachlich und rechtlich gerechtfertigt sind. Solche Evaluierungen sollten mindestens alle vier Jahre stattfinden und sich auf alle Aspekte der Funktionsweise dieses Beschlusses, einschließlich der Funktionsweise der einschlägigen Aufsichts- und Durchsetzungsmechanismen, erstrecken.

( 110) Zur Durchführung der Überprüfung sollte die Kommission mit der Europäischen Patentorganisation, einschließlich ihres Datenschutzbeauftragten und des Datenschutzausschusses, zusammenkommen. Die Teilnahme an diesem Treffen sollte Vertretern der Mitglieder des Europäischen Datenschutzausschusses offenstehen. Im Rahmen der Überprüfung sollte die Kommission die Europäische Patentorganisation ersuchen, umfassende Informationen über alle Aspekte, die für die Feststellung der Angemessenheit von Belang sind, vorzulegen. Die Kommission sollte auch Erläuterungen zu allen für diesen Beschluss maßgeblichen, ihr vorliegenden Informationen einholen, einschließlich Informationen vom Europäischen Datenschutzausschuss, einzelnen Datenschutzbehörden, zivilgesellschaftlichen Gruppen, öffentlichen Berichten oder Medienberichten oder jeder anderen verfügbaren Informationsquelle.

( 111) Auf der Grundlage der Überprüfung sollte die Kommission einen öffentlichen Bericht erstellen, der dem Europäischen Parlament und dem Rat vorgelegt wird.

( 112) Lassen verfügbare Informationen, insbesondere Informationen, die sich aus der Überwachung von Entwicklungen, die sich auf die Funktionsweise dieses Beschlusses auswirken könnten, durch die Kommission gemäß Artikel 45 Absatz 4 der Verordnung (EU) 2016/679 ergeben oder von der Europäischen Patentorganisation oder den Behörden der Mitgliedstaaten zur Verfügung gestellt werden, darauf schließen, dass das von der Europäischen Patentorganisation gewährte Schutzniveau möglicherweise nicht mehr angemessen ist, sollte die Kommission die Europäische Patentorganisation davon in Kenntnis setzen und sie auffordern, innerhalb einer bestimmten, angemessenen Frist geeignete Maßnahmen zu ergreifen.

( 113) Falls die Europäische Patentorganisation nach Ablauf dieser Frist keine derartigen Maßnahmen ergriffen hat oder nicht auf andere Weise glaubhaft gemacht hat, dass dieser Beschluss weiterhin auf einem angemessenen Schutzniveau beruht, wird die Kommission das Verfahren gemäß Artikel 93 Absatz 2 der Verordnung (EU) 2016/679 einleiten, um diesen Beschluss teilweise oder vollständig auszusetzen oder aufzuheben.

( 114) Alternativ wird die Kommission dieses Verfahren einleiten, um den Beschluss zu ändern, indem sie insbesondere Datenübermittlungen zusätzlichen Bedingungen unterwirft oder den Anwendungsbereich der Angemessenheitsfeststellung auf Datenübermittlungen beschränkt, für die auch weiterhin ein angemessenes Schutzniveau gewährleistet ist.

( 115) Die Kommission sollte ferner die Einleitung des Verfahrens zur Änderung, Aussetzung oder Aufhebung dieses Beschlusses in Betracht ziehen, wenn die Europäische Patentorganisation im Rahmen der Überprüfung oder anderweitig nicht die Informationen oder Erläuterungen liefert, die für die Bewertung des Schutzniveaus für personenbezogene Daten, die aus der Union übermittelt werden, oder in Bezug auf die Einhaltung dieses Beschlusses erforderlich sind. In diesem Zusammenhang sollte die Kommission Überlegungen dazu anstellen, inwieweit die relevanten Informationen aus anderen Quellen bezogen werden können.

( 116) In hinreichend begründeten Fällen äußerster Dringlichkeit wird die Kommission von der Möglichkeit Gebrauch machen, nach dem in Artikel 93 Absatz 3 der Verordnung (EU) 2016/679 genannten Verfahren sofort geltende Durchführungsrechtsakte zur Aussetzung, Aufhebung oder Änderung des Beschlusses zu erlassen.

7. Schlussbemerkungen

( 117) Der Europäische Datenschutzausschuss hat seine Stellungnahme veröffentlicht ²⁹², der bei der Ausarbeitung dieses Beschlusses Rechnung getragen wurde.

( 118) Die in diesem Beschluss vorgesehenen Maßnahmen entsprechen der Stellungnahme des gemäß Artikel 93 Absatz 1 der Verordnung (EU) 2016/679 eingesetzten Ausschusses. -

- hat folgenden Beschluss erlassen:

Artikel 1

Für die Zwecke des Artikels 45 der Verordnung (EU) 2016/679 gewährleistet die Europäische Patentorganisation ein angemessenes Schutzniveau für personenbezogene Daten, die aus der Union an die Europäische Patentorganisation übermittelt werden.

Artikel 2

Üben die zuständigen Behörden in den Mitgliedstaaten zum Schutz natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten ihre Befugnisse nach Artikel 58 der Verordnung (EU) 2016/679 im Hinblick auf die Übermittlung von Daten im Rahmen des Anwendungsbereichs gemäß Artikel 1 aus, so unterrichtet der betreffende Mitgliedstaat unverzüglich die Kommission darüber.

Artikel 3

(1) Die Kommission überwacht fortlaufend die Anwendung des Rechtsrahmens der Europäischen Patentorganisation, auf den sich dieser Beschluss stützt, um zu prüfen, ob die Europäische Patentorganisation weiterhin ein angemessenes Schutzniveau im Sinne von Artikel 1 gewährleistet.

(2) Die Mitgliedstaaten und die Kommission unterrichten einander über Fälle, in denen die Europäische Patentorganisation die Einhaltung des Rechtsrahmens, auf den sich dieser Beschluss stützt, nicht gewährleistet.

(3) Mindestens alle vier Jahre evaluiert die Kommission die Feststellung in Artikel 1 auf der Grundlage aller verfügbaren Informationen, einschließlich der Informationen, die sie im Rahmen einer gemeinsam mit der Europäischen Patentorganisation durchgeführten Überprüfung erhalten hat.

(4) Liegen der Kommission Hinweise darauf vor, dass ein angemessenes Schutzniveau nicht länger gewährleistet ist, so unterrichtet die Kommission die Europäische Patentorganisation darüber. Erforderlichenfalls beschließt die Kommission nach Artikel 45 Absatz 5 der Verordnung (EU) 2016/679, diesen Beschluss auszusetzen, zu ändern oder zu widerrufen oder seinen Anwendungsbereich einzuschränken.

Die Kommission kann diesen Beschluss auch aussetzen, aufheben oder ändern, wenn sie aufgrund mangelnder Zusammenarbeit der Europäischen Patentorganisation nicht feststellen kann, ob die in Artikel 1 dieses Beschlusses genannte Prüfung berührt ist.

Artikel 4

Dieser Beschluss ist an die Mitgliedstaaten gerichtet.

Brüssel, den 15. Juli 2025

ENDE