(1)

Auf der Grundlage von Artikel 86 des Statuts der Beamten der Europäischen Union (2) sowie gemäß Anhang IX des besagten Statuts, auf der Grundlage des Beschlusses des EDSB vom 23. April 2015 über die Annahme von Durchführungsbestimmungen für Verwaltungsuntersuchungen und Disziplinarverfahren sowie auf der Grundlage der am 29. Januar 2016 von der GD HR der Europäischen Kommission und dem EDSB unterzeichneten Leistungsvereinbarung ist der EDSB befugt, im Rahmen seiner Tätigkeit Verwaltungsuntersuchungen, Vordisziplinar-, Disziplinar- und Aussetzungsverfahren durchzuführen und dem IDOC und dem OLAF entsprechende Fälle zur Kenntnis zu bringen; dies ist mit der Verarbeitung personenbezogener und anderer Daten verbunden.

(2)

Die Mitarbeiter des EDSB sind verpflichtet, etwaige rechtswidrige Handlungen wie Betrug oder Korruption, die zum Nachteil der Interessen der Union sind, oder Verhaltensweisen im Zusammenhang mit der Ausübung dienstlicher Pflichten, die eine schwerwiegende Verletzung der Dienstpflichten der Beamten der Union darstellen können, zu melden. Dies wird durch den Beschluss des EDSB über interne Vorschriften für die Meldung von Missständen (Whistleblowing) vom 14. Juni 2016 geregelt.

(3)

Gemäß seinem Beschluss vom 10. Dezember 2014 über Maßnahmen zur Durchführung der Artikel 12a und 24 des Statuts der Beamten, in denen es um Verfahren zur Bekämpfung von Mobbing geht, hat der EDSB eine Strategie festgelegt, um tatsächliche oder potenzielle Fälle von Mobbing und sexueller Belästigung am Arbeitsplatz zu verhindern und sie wirksam und effizient zu bekämpfen. Mit dem Beschluss wurde ein formloses Verfahren eingeführt, demzufolge sich das mutmaßliche Mobbing-Opfer an Vertrauenspersonen des EDSB wenden kann.

(4)

Der EDSB befasst sich gemäß Artikel 57 Absatz 1 Buchstabe e der Verordnung mit Beschwerden über Verarbeitungstätigkeiten von Organen, Einrichtungen und sonstigen Stellen der Europäischen Union. In diesem Zusammenhang kann der EDSB Untersuchungen zum Gegenstand der Beschwerde durchführen.

(5)

Der EDSB führt gemäß Artikel 57 Absatz 1 Buchstabe f der Verordnung Untersuchungen über die Anwendung der Verordnung durch, um deren Einhaltung durch Organe, Einrichtungen und sonstige Stellen der EU zu überprüfen.

(6)

Auf der Grundlage des Beschlusses des EDSB vom 18. Februar 2014 zur Änderung seiner Vorschriften für die Sicherheit von EU-Verschlusssachen (EU-VS) kann der EDSB etwaige Verletzungen der Sicherheit von EU-VS untersuchen.

(7)

Der EDSB kann seine Tätigkeiten prüfen lassen. Dies erfolgt derzeit durch den internen Auditdienst (Internal Audit Service – im Folgenden „IAS“) der Europäischen Kommission, wie in der am 1. Juni 2012 unterzeichneten Dienstleistungsvereinbarung in ihrer verlängerten Fassung niedergelegt. Auch der Koordinator für die interne Kontrolle ist vollumfänglich zu Prüfungen befugt.

(8)

Im Zusammenhang mit den in den Erwägungsgründen 1 bis 7 beschriebenen Aufgaben kann der EDSB mit anderen Organen, Einrichtungen und sonstigen Stellen der Union zusammenarbeiten und dabei Unterstützung erhalten oder leisten, wie in den jeweiligen Dienstleistungsvereinbarungen, Absichtserklärungen und Kooperationsvereinbarungen festgelegt.

(9)

Der EDSB kann mit nationalen Behörden von Drittländern und internationalen Organisationen auf deren Ersuchen oder auf eigene Initiative zusammenarbeiten und dabei Unterstützung erhalten oder leisten, wie in Artikel 51 der Verordnung festgelegt.

(10)

Der EDSB kann mit den Behörden der EU-Mitgliedstaaten auf deren Ersuchen oder auf eigene Initiative zusammenarbeiten und dabei Unterstützung erhalten oder leisten.

(11)

Auf der Grundlage von Artikel 58 Absatz 4 der Verordnung kann sich der EDSB an Verfahren vor dem Gerichtshof der Europäischen Union beteiligen, indem er den Gerichtshof anruft, angefochtene Entscheidungen des EDSB verteidigt oder Verfahren beitritt, die für seine Aufgaben relevanten sind.

(12)

Im Rahmen der oben aufgeführten Tätigkeiten erhebt und verarbeitet der EDSB diesbezügliche Informationen und verschiedene Kategorien personenbezogener Daten: Daten zur Identifizierung einer natürlichen Person, Kontaktdaten, berufliche Zuständigkeiten und Aufgaben, Angaben zu Verhalten und Leistungen auf privater und beruflicher Ebene sowie Finanzdaten. Der EDSB ist der für die Verarbeitung Verantwortliche.

(13)

Der Schutz personenbezogener Daten und deren Absicherung gegen Zugriff oder Weitergabe auf unbeabsichtigte oder rechtswidrige Weise sind bei der Aufbewahrung sowohl in einem physischen als auch in einem elektronischen Umfeld gewährleistet. Die Daten werden nach der Verarbeitung gemäß den anwendbaren Aufbewahrungsvorschriften des EDSB gespeichert, wie in den Vorschriften über Verzeichnisse geschützter Daten gemäß Artikel 31 der Verordnung festgelegt. Nach Ablauf der Aufbewahrungsfrist werden die fallbezogenen Informationen – einschließlich personenbezogener Daten – gelöscht, anonymisiert oder in historische Archive übertragen.

(14)

Dabei muss der EDSB seiner Verpflichtung nachkommen, die betroffenen Personen über die oben genannten Verarbeitungstätigkeiten zu informieren und ihre Rechte im Einklang mit der Verordnung zu wahren.

(15)

Unter bestimmten Umständen kann es erforderlich sein, die in der Verordnung niedergelegten Rechte der betroffenen Personen mit den Erfordernissen der oben genannten Tätigkeiten in Einklang zu bringen und dabei die Grundrechte und Grundfreiheiten anderer betroffener Personen uneingeschränkt zu achten. Zu diesem Zweck ist in Artikel 25 der Verordnung unter strengen Auflagen die Möglichkeit vorgesehen, die Anwendung der Artikel 14 bis 20, 35 und 36 sowie des Artikels 4, insofern dessen Bestimmungen den in den Artikeln 14 bis 20 vorgesehenen Rechten und Pflichten entsprechen, zu beschränken. Für diesen Fall müssen interne Vorschriften erlassen werden, unter denen der EDSB diese Rechte gemäß besagtem Artikel der Verordnung beschränken kann.

(16)

Dieser Fall könnte insbesondere eintreten, wenn der betroffenen Person in der Phase der vorläufigen Beurteilung, während der eigentlichen Verwaltungsuntersuchung, vor einer etwaigen Einstellung des Verfahrens oder im Vordisziplinarverfahren Informationen über die Verarbeitung personenbezogener Daten erteilt werden sollen. Unter bestimmten Umständen könnten solche Auskünfte die Fähigkeit des EDSB zu einer wirksamen Untersuchung erheblich beeinträchtigen, wenn beispielsweise die Gefahr besteht, dass die betroffene Person Beweise vernichtet oder potenzielle Zeugen beeinflusst, bevor sie angehört werden. Außerdem muss der EDSB womöglich die Rechte und Freiheiten nicht nur der betroffenen, sondern auch anderer beteiligter Personen schützen.

(17)

Möglicherweise muss ein Zeuge oder Informant geschützt werden, der darum gebeten hat, dass seine Identität nicht offengelegt wird. In einem solchen Fall kann der EDSB beschließen, den Zugang zur Identität, zu den Aussagen und zu anderen personenbezogenen Daten des Informanten und anderer Beteiligter zu beschränken, um deren Rechte und Freiheiten zu schützen.

(18)

Es könnte notwendig sein, die Identität eines Mitarbeiters, der sich im Zusammenhang mit einem Mobbing-Verfahren an die Vertrauensperson des EDSB gewandt hat, vertraulich zu behandeln. In einem solchen Fall kann der EDSB beschließen, den Zugang zur Identität, zu den Aussagen und zu anderen personenbezogenen Daten des mutmaßlichen Opfers, des Beschuldigten und anderer Beteiligter zu beschränken, um deren Rechte und Freiheiten zu schützen.

(19)

Wenn der EDSB Beschwerden über Verarbeitungstätigkeiten der Organe, Einrichtungen und sonstigen Stellen der EU bearbeitet, könnte es für ihn unter bestimmten Umständen erforderlich sein, die Wirksamkeit seiner Untersuchungen zu wahren und gegebenenfalls die Beteiligten sowie deren Rechte und Freiheiten zu schützen.

(20)

Wenn der EDSB bei Untersuchungen über die Anwendung der Verordnung überprüft, ob letztere von Organen, Einrichtungen und sonstigen Stellen der EU eingehalten wird, könnte es für ihn unter bestimmten Umständen erforderlich sein, die Wirksamkeit dieser Untersuchungen zu wahren und gegebenenfalls die Beteiligten sowie deren Rechte und Freiheiten zu schützen.

(21)

Wenn der EDSB etwaige Verletzungen der Sicherheit von EU-VS untersucht, könnte es für ihn unter bestimmten Umständen erforderlich sein, die Wirksamkeit seiner Untersuchungen zu wahren und gegebenenfalls die innere Sicherheit der Organe, Einrichtungen und sonstigen Stellen der EU, einschließlich ihrer elektronischen Kommunikationsnetzwerke, sowie die Rechte und Freiheiten der betroffenen Personen zu schützen.

(22)

Wenn der EDSB im Rahmen der oben aufgeführten Tätigkeiten mit anderen Organen, Einrichtungen und sonstigen Stellen der Union, mit Behörden der EU-Mitgliedstaaten, nationalen Behörden von Drittstaaten und internationalen Organisationen zusammenarbeitet und dabei Unterstützung erhält oder leistet, könnte es für ihn unter bestimmten Umständen erforderlich sein, die Wirksamkeit der von ihm oder dem Kooperationspartner durchgeführten Untersuchungen zu wahren und gegebenenfalls die Beteiligten sowie deren Rechte und Freiheiten zu schützen.

(23)

Wenn der EDSB den Gerichtshof der Europäischen Union anruft oder sich an dessen Verfahren beteiligt, kann es für ihn erforderlich sein, die Vertraulichkeit der personenbezogenen Daten in Unterlagen zu wahren, die die Parteien oder Streithelfer im Zusammenhang mit der Gerichtssache erlangen.

(24)

Der EDSB sollte solche Beschränkungen nur vornehmen, wenn sie den Wesensgehalt der Grundrechte und Grundfreiheiten achten und eine unbedingt notwendige und verhältnismäßige Maßnahme in einer demokratischen Gesellschaft darstellen. Der EDSB sollte die Gründe für solche Beschränkungen darlegen und erläutern.

(25)

Gestützt auf den Grundsatz der Rechenschaftspflicht sollte der EDSB ein Verzeichnis über die Anwendung der Beschränkungen führen.

(26)

Wenn der EDSB personenbezogene Daten verarbeitet, die er im Rahmen seiner Aufgaben mit anderen Organisationen austauscht, sollte er diese Organisationen hinsichtlich etwaiger einschlägiger Gründe für die Anwendung von Beschränkungen und hinsichtlich der Notwendigkeit und Verhältnismäßigkeit dieser Beschränkungen konsultieren und von ihnen konsultiert werden, sofern dies nicht die Tätigkeiten des EDSB gefährdet.

(27)

Gemäß Artikel 25 Absatz 6 der Verordnung (EU) 2018/1725 ist der für die Verarbeitung Verantwortliche verpflichtet, die betroffene Person über die wesentlichen Gründe für die Beschränkung und über ihr Beschwerderecht beim EDSB zu unterrichten.

(28)

Gemäß Artikel 25 Absatz 8 der Verordnung kann der EDSB diese Unterrichtung zurückstellen, unterlassen oder ablehnen, wenn sie die Wirkung der angewendeten Beschränkung zunichtemachen würde. Der EDSB sollte im Einzelfall prüfen, ob die Unterrichtung über die Beschränkung deren Wirkung aufheben würde.

(29)

Der EDSB sollte die Beschränkung aufheben, sobald die sie rechtfertigenden Voraussetzungen nicht länger gegeben sind, und das Vorliegen dieser Voraussetzungen regelmäßig überprüfen.

(30)

Um den größtmöglichen Schutz der Rechte und Freiheiten der betroffenen Personen zu gewährleisten, sollte der Datenschutzbeauftragte gemäß Artikel 44 Absatz 1 der Verordnung frühzeitig über alle Beschränkungen unterrichtet werden und überprüfen, ob sie mit diesem Beschluss in Einklang stehen.

(31)

Die Anwendung der oben genannten Beschränkungen berührt nicht die etwaige Anwendung der Bestimmungen von Artikel 16 Absatz 5 und Artikel 17 Absatz 4 betreffend die Informationspflicht, wenn die Daten nicht bei der betroffenen Person erhoben wurden, bzw. das Auskunftsrecht der betroffenen Person.