(1)   Dieser Beschluss enthält Vorschriften betreffend die Bedingungen, unter denen die Agentur im Rahmen von Verwaltungsuntersuchungen und Disziplinarverfahren bei der Meldung von Fällen an OLAF gemäß der Verordnung (EU, Euratom) Nr. 883/2013 gemäß Artikel 25 der Verordnung (EU) 2018/1725 die Anwendung der in den Artikeln 14 bis 21, 35 und 36 sowie von Artikel 4 insofern beschränken kann, als seine Bestimmungen den in den Artikeln 14 bis 21 geregelten Rechten und Pflichten entsprechen.

(2)   Dieser Beschluss gilt für Verarbeitungen personenbezogener Daten durch die Agentur für die Zwecke der Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren sowie für vorläufige Aktivitäten im Zusammenhang mit potenziellen, dem OLAF (gemäß der Verordnung (EU), Euratom) Nr. 883/2013) gemeldeten Unregelmäßigkeiten, im Umgang mit Meldungen von Missständen (Whistleblowing), (formellen und informellen) Verfahren bei Belästigung, der Bearbeitung von internen und externen Beschwerden, internen Audits, Untersuchungen durch den Datenschutzbeauftragten in Übereinstimmung mit Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 sowie intern oder mit externer Beteiligung (z. B. CERT-EU) gehandhabten (IT-)Sicherheitsuntersuchungen.

Dieser Beschluss sollte ferner für Tätigkeiten der Agentur im Zusammenhang mit Unterstützung und Zusammenarbeit gelten, die die Agentur außerhalb ihrer Verwaltungsuntersuchungen anderen Organen, Einrichtungen und sonstigen Stellen der Union, zuständigen Behörden der Mitgliedstaaten und internationalen Organisationen zum Schutz ihrer Verarbeitungsvorgänge bereitstellt.

Des Weiteren gilt dieser Beschluss für Tätigkeiten im Zusammenhang mit der Zusammenarbeit mit Organen und Einrichtungen der EU und der Übermittlung von Informationen über eine Verwaltungsuntersuchung oder ein Disziplinarverfahren, wenn der Empfänger solche Informationen für die Prüfung der Frage benötigt, ob eine formelle Untersuchung oder ein formelles Verfahren eingeleitet werden muss.

(3)   Die Agentur verarbeitet mehrere Kategorien personenbezogener Daten, wie Identifizierungsdaten, Kontaktdaten, berufliche Daten. Bei den betreffenden Datenkategorien kann es sich um harte Daten (beispielsweise Verwaltungsangaben, Telefonnummer, Privatanschrift, elektronische Kommunikation und Verkehrsdaten) und/oder weiche Daten (beispielsweise Beurteilungsberichte, Eröffnung von Untersuchungen, Berichte über Voruntersuchungen, Aufzeichnungen/Protokolle von Zeugenaussagen und Anhörungen im Rahmen der Untersuchung, soziale Aktivitäten und Verhalten von Bediensteten, Kommentare zu den Fähigkeiten und der Effizienz des/der betroffenen Bediensteten usw.) handeln.

(4)   Die möglicherweise diesem Beschluss unterliegenden Kategorien betroffener Personen sind Bedienstete und ehemalige Bedienstete der Agentur, also (ehemalige) Bedienstete, Beamte/Administratoren, abgeordnete nationale Sachverständige und Praktikanten sowie (ehemalige) Auftragnehmer der Agentur.

(5)   Vorbehaltlich der in diesem Beschluss aufgeführten Bedingungen können die Beschränkungen auf folgende Rechte angewandt werden: Unterrichtung und Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person gemäß den Artikeln 16 und 35 der Verordnung (EU) 2018/1725; Auskunftsrecht der betroffenen Person gemäß Artikel 17 der Verordnung (EU) 2018/1725; Recht auf Berichtigung, Löschung, Einschränkung der Verarbeitung und Mitteilung im Zusammenhang mit der Berichtigung oder Löschung gemäß Artikel 18, Artikel 19 Absatz 1, Artikel 20 und 21 der Verordnung (EU) 2018/1725,

(1)   Die Europäische Arzneimittel-Agentur, vertreten durch ihren Exekutivdirektor, fungiert als der für die Verarbeitung Verantwortliche. Intern wurde der Leiter der Abteilung „Administration and Corporate Management“ als bevollmächtigter Verantwortlicher für die unter diesen Beschluss fallenden Tätigkeiten ernannt. Betrifft die Verwaltungsuntersuchung oder das Disziplinarverfahren den Leiter der Abteilung „Administration and Corporate Management“, fungiert der stellvertretende Exekutivdirektor als Verantwortlicher mit Blick auf diese Untersuchung bzw. dieses Verfahren.

(2)   Die personenbezogenen Daten werden in einer elektronischen Datei und/oder auf Papier gespeichert. Zur Vermeidung von Verletzungen des Schutzes personenbezogener Daten, Datenverlusten oder unbefugtem Zugang bestehen folgende Garantien:

(3)   Es gelten die folgenden Speicherungs- und Aufbewahrungsfristen:

(4)   Das Risiko für die Rechte und Freiheiten der betroffenen Person kann Risiken für das Recht auf Wahrung der Vertraulichkeit ihrer privaten Kommunikation, das Recht auf freie Meinungsäußerung und Information und das Recht auf Verteidigung und auf rechtliches Gehör nach sich ziehen. Diese Risiken werden abgewogen gegen die Gründe und Zwecke, die eine Anwendung der in diesem Beschluss vorgesehenen Beschränkungen rechtfertigen. Dieses Abwägen ist ordnungsgemäß zu dokumentieren und nach einer Prüfung des Einzelfalls vorzunehmen, damit sichergestellt ist, dass eine Beschränkung nur angewandt wird, wenn sie notwendig ist und auf verhältnismäßige Weise sowie im Einklang mit den in diesem Beschluss niedergelegten Vorschriften erfolgt.

(1)   Gemäß Artikel 25 Absatz 1 der Verordnung (EU) 2018/1725 nur angewandt werden, wenn sie Folgendes sicherstellt:

(2)   Als eine spezifische Anwendung der vorstehend in Absatz 1 beschriebenen Zwecke kann die Agentur unter folgenden Umständen Beschränkungen in Bezug auf personenbezogene Daten, die mit Dienststellen der Kommission oder anderen Organen, Einrichtungen und sonstigen Stellen der Union, zuständigen Behörden von Mitgliedstaaten oder Drittländern oder internationalen Organisation ausgetauscht werden, auferlegen:

Vor der Auflage von Beschränkungen unter den in den Buchstaben a und b des ersten Unterabsatzes genannten Umständen konsultiert die Agentur die relevanten Dienststellen der Kommission, die Organe, Einrichtungen und sonstigen Stellen der Union oder die zuständigen Behörden von Mitgliedstaaten, es sei denn, für die Agentur ist klar, dass die Auflage einer Beschränkung durch einen der in diesen Punkten genannten Rechtsakte vorgesehen ist.

(3)   Jede Beschränkung muss in einer demokratischen Gesellschaft notwendig und verhältnismäßig sein und den Wesensgehalt der Grundrechte und Grundfreiheiten wahren.

(4)   Auf der Grundlage der vorliegenden Vorschriften wird eine Prüfung von Notwendigkeit und Verhältnismäßigkeit vorgenommen. Zu Rechenschaftszwecken wird dies von Fall zu Fall mittels einer internen Beurteilungsmitteilung dokumentiert.

(5)   Beschränkungen sind angemessen zu überwachen, und spätestens alle sechs Monate hat eine regelmäßige Prüfung zu erfolgen, bei der beurteilt wird, ob die Bedingungen, die eine bestimmte Beschränkung rechtfertigen, noch immer gegeben sind.

(6)   Beschränkungen sind aufzuheben, sobald die Voraussetzungen für ihre Anwendung nicht länger gegeben sind, wenn beispielsweise die Wahrnehmung der Rechte der betroffenen Person (z. B. Information über die Datenverarbeitung und Akteneinsicht) den Zweck der betreffenden Untersuchung oder des betreffenden Verfahrens nicht länger gefährdet.

(1)   Der Verantwortliche informiert (im Namen der Agentur) den DSB der Agentur unverzüglich, sobald er die Wahrnehmung der Rechte der betroffenen Person im Einklang mit diesem Beschluss beschränkt, und gewährt Zugang zu den Aufzeichnungen und Unterlagen bezüglich der Notwendigkeit und Verhältnismäßigkeit der Beschränkung (einschließlich aller Dokumente, die zugrundeliegende sachliche und rechtliche Elemente enthalten). Dieses Erfordernis gilt ebenfalls für alle späteren Prüfungen der Beschränkung.

(2)   Der DSB kann den Verantwortlichen schriftlich dazu auffordern, die Anwendung der Beschränkungen zu prüfen. Der Verantwortliche informiert den DSB schriftlich über das Ergebnis der angeforderten Prüfung.

(3)   Der Informationsaustausch mit dem DSB während des gesamten Verfahrens wird aufgezeichnet und schriftlich dokumentiert.

(1)   Die Agentur nimmt in die in ihrem Intranet veröffentlichte Datenschutzerklärung für Verwaltungsuntersuchungen und Disziplinarverfahren eine Unterrichtung über eine mögliche Beschränkung dieser Rechte auf. Die Unterrichtung bezieht sich darauf, welche Rechte beschränkt werden können, die Gründe für diese Beschränkung und ihre mögliche Dauer.

(2)   Darüber hinaus informiert die Agentur unverzüglich und in Schriftform und unbeschadet der folgenden Absätze einzelne betroffene Personen über ihre Rechte im Zusammenhang mit bestehenden oder künftigen Beschränkungen.

(3)   Wenn die Agentur ganz oder teilweise die Unterrichtung betroffener Personen nach diesem Beschluss beschränkt, zeichnet sie die Gründe für die Beschränkung auf, einschließlich einer Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung. Zu diesem Zweck wird in der Aufzeichnung festgehalten, inwiefern die Unterrichtung den Zweck der betreffenden Untersuchung oder des betreffenden Verfahrens gefährden oder sich nachteilig auf die Rechte und Freiheiten anderer auswirken würde. Die Aufzeichnung und gegebenenfalls die Dokumente, die zugrundeliegende sachliche und rechtliche Elemente enthalten, werden registriert. Sie werden dem Europäischen Datenschutzbeauftragten auf Anfrage zur Verfügung gestellt.

(4)   Die in Absatz 3 erwähnte Beschränkung gilt so lange, wie die sie rechtfertigenden Gründe dafür gelten. Gelten die Gründe für die Beschränkung nicht mehr, stellt die Agentur der betroffenen Person die entsprechenden Informationen zur Verfügung und gibt ihr Auskunft über die Gründe der Beschränkung. Die betroffenen Personen können sich jederzeit mit Fragen an den DSB wenden.

(5)   Gleichzeitig informiert die Agentur die betroffene Person über die Möglichkeit, jederzeit Beschwerde beim Europäischen Datenschutzbeauftragten oder einen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen.

(6)   Die Agentur prüft die Anwendung der Beschränkung alle sechs Monate nach ihrer Auferlegung sowie am Ende des Verfahrens.

(1)   Wenn betroffene Personen gemäß Artikel 17 der Verordnung (EU) 2018/1725 Auskunft über ihre personenbezogenen Daten im Zusammenhang mit einem oder mehreren spezifischen Fällen oder über einen bestimmten Verarbeitungsvorgang beantragen, begrenzt die Agentur ihre Prüfung des Antrags ausschließlich auf diese personenbezogenen Daten.

(2)   Wenn die Agentur das in Artikel 17 der Verordnung (EU) 2018/1725 genannte Auskunftsrecht ganz oder teilweise beschränkt, ergreift sie folgende Maßnahmen:

Die in Buchstabe a erwähnte Unterrichtung kann gemäß Artikel 25 Absatz 8 der Verordnung (EU) 2018/1725 zurückgestellt, unterlassen oder abgelehnt werden.

(3)   Die in Buchstabe b von Absatz 2 erwähnte Aufzeichnung und gegebenenfalls die Dokumente, die zugrundeliegende sachliche und rechtliche Elemente enthalten, werden registriert. Sie werden dem Europäischen Datenschutzbeauftragten auf Anfrage zur Verfügung gestellt. Es gilt Artikel 25 Absatz 7 der Verordnung (EU) 2018/1725.

(1)   Wenn die Agentur die Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person gemäß Artikel 35 der Verordnung (EU) 2018/1725 beschränkt, zeichnet sie gemäß Artikel 5 Absätze 3 bis 6 dieses Beschlusses die Gründe für die Beschränkung auf und registriert sie.

(2)   Wenn die Agentur das in Artikel 36 der Verordnung (EU) 2018/1725 erwähnte Recht auf Vertraulichkeit der elektronischen Kommunikation einer betroffenen Person beschränkt, zeichnet sie gemäß Artikel 5 Absätze 3 6 dieses Beschlusses die Gründe für die Beschränkung auf und registriert sie.