(1)

Die Exekutivagentur für kleine und mittlere Unternehmen (EASME) („die Agentur“) wurde durch den Durchführungsbeschluss 2013/771/EU eingerichtet, um Aufgaben im Zusammenhang mit der Durchführung von Unionsprogrammen im Bereich Energie, Umwelt, Klimaschutz, Wettbewerbsfähigkeit und KMU, Forschung und Innovation sowie IKT (3) wahrzunehmen.

(2)

Im Rahmen ihrer administrativen und operativen Tätigkeit kann die Agentur Verwaltungsuntersuchungen, Vorverfahren in Disziplinarsachen, Disziplinarverfahren und Dienstenthebungsverfahren gemäß dem Statut der Beamten der Europäischen Union und den Beschäftigungsbedingungen für die sonstigen Bediensteten der Europäischen Union, so wie diese in der Verordnung (EWG, Euratom, EGKS) Nr. 259/68 des Rates („Statut“) (4) niedergelegt sind, sowie gemäß den Durchführungsbestimmungen für die Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren durchführen. Bei Bedarf kann die Agentur vorläufige Maßnahmen im Zusammenhang mit Fällen von möglichem Betrug und Unregelmäßigkeiten ergreifen und entsprechende Fälle dem OLAF melden.

(3)

Die Beschäftigten der Agentur sind verpflichtet, potenziell rechtswidrige Handlungen, einschließlich Betrug oder Korruption, zum Nachteil der Interessen der Union, zu melden. Die Beschäftigten sind auch verpflichtet, Verhaltensweisen zu melden, die mit der Ausübung beruflicher Pflichten im Zusammenhang stehen und eine schwerwiegende Verletzung der Pflichten von Beamten der Union darstellen könnten. Dies ist in den internen Vorschriften oder Grundsätzen zur Meldung von Missständen („Whistleblowing“) geregelt.

(4)

Die Agentur hat Grundsätze für die Prävention von Mobbing und sexueller Belästigung im Arbeitsumfeld sowie ein wirksames Vorgehen bei erwiesenen oder mutmaßlichen Fällen gemäß Durchführungsmaßnahmen entsprechend dem Statut aufgestellt; demnach ist ein informelles Verfahren vorgesehen, bei dem sich mutmaßliche Opfer von Mobbing bzw. sexueller Belästigung an die Vertrauenspersonen der Agentur wenden können.

(5)

Die Agentur kann zudem interne (IT-)Sicherheitsuntersuchungen sowie Untersuchungen wegen möglicher Verstöße gegen Sicherheitsvorschriften für den Schutz von Verschlusssachen der Europäischen Union („EU-VS“) durchführen.

(6)

Die Agentur unterliegt hinsichtlich ihrer Tätigkeiten sowohl internen als auch externen Audits, die unter anderem von dem Internen Auditdienst der Europäischen Kommission und vom Europäischen Rechnungshof durchgeführt werden.

(7)

Die Agentur kann Ersuchen der Europäischen Staatsanwaltschaft (EUStA) sowie Anträge auf Zugang zu den medizinischen Akten der Bediensteten der Agentur bearbeiten und Untersuchungen durch den Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung durchführen.

(8)

Im Zusammenhang mit solchen Verwaltungsuntersuchungen, Audits, Ermittlungen oder Ersuchen arbeitet die Agentur mit anderen Organen, Einrichtungen und sonstigen Stellen der Union zusammen.

(9)

Die Agentur kann mit nationalen Behörden von Drittländern und internationalen Organisationen auf deren Ersuchen oder aus eigener Initiative zusammenarbeiten.

(10)

Die Agentur kann auch mit Behörden der EU-Mitgliedstaaten auf deren Ersuchen oder aus eigener Initiative zusammenarbeiten.

(11)

Die Agentur kann Gegenstand von Beschwerden, Verfahren oder Untersuchungen durch Hinweisgeber oder den Europäischen Bürgerbeauftragten sein.

(12)

Die Agentur kann an Rechtssachen vor dem Gerichtshof der Europäischen Union beteiligt sein; dies ist der Fall, wenn sie dort Klage erhebt, eine von ihr getroffene Entscheidung, die vor dem Gerichtshof angefochten wird, verteidigt oder in Rechtssachen, die ihre Aufgaben betreffen, als Streithelfer dem Rechtsstreit beitritt. In diesem Zusammenhang kann es vorkommen, dass die Agentur die Vertraulichkeit personenbezogener Daten in den von den Parteien oder Streithelfern erlangten Dokumenten wahren muss.

(13)

Im Rahmen ihrer Tätigkeit verarbeitet die Agentur verschiedene Kategorien personenbezogener Daten, darunter Daten zur Identifizierung natürlicher Personen, Kontaktdaten, Daten über berufliche Zuständigkeiten und Aufgaben, Angaben zu Verhalten und Leistungen auf privater und beruflicher Ebene und Finanzdaten sowie in einigen spezifischen Fällen auch sensible Daten (z. B. Gesundheitsdaten). Personenbezogene Daten umfassen faktische „harte“ Daten sowie „weiche“ Bewertungsdaten.

Unter „harten Daten“ versteht man objektive, faktische Daten wie Daten zur Identifizierung, Kontaktdaten, berufliche Daten, Verwaltungsdaten, Metadaten im Zusammenhang mit der elektronischen Kommunikation und Verkehrsdaten.

„Weiche Daten“ sind subjektive Daten und umfassen insbesondere die Beschreibung und Bewertung von Situationen und Umständen, Stellungnahmen, Beobachtungen im Zusammenhang mit betroffenen Personen, Verhaltens- und Leistungsdaten von betroffenen Personen und die Begründung einzelner Entscheidungen, die mit dem Gegenstand des Verfahrens oder der Tätigkeit der Agentur gemäß dem geltenden Rechtsrahmen zusammenhängen oder in diesem Zusammenhang vorgelegt wurden.

Bewertungen, Beobachtungen und Stellungnahmen gelten als personenbezogene Daten im Sinne von Artikel 3 Absatz 1 der Verordnung.

(14)

Aufgrund der Verordnung ist die Agentur daher verpflichtet, die betroffenen Personen über diese Verarbeitungstätigkeiten zu informieren und deren Rechte als betroffene Personen zu wahren.

(15)

Die Agentur verpflichtet sich, die Grundrechte der betroffenen Personen in größtmöglichem Umfang zu wahren, insbesondere das Recht auf Unterrichtung, Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Personen oder Vertraulichkeit der Kommunikation, wie in der Verordnung festgelegt. Die Agentur kann jedoch auch verpflichtet sein, die Rechte und Pflichten der betroffenen Person einzuschränken, um ihre eigenen Tätigkeiten sowie die Grundrechte und -freiheiten anderer zu schützen.

(16)

Daher hat die Agentur gemäß Artikel 25 Absätze 1 und 5 der Verordnung die Möglichkeit, unter bestimmten Bedingungen die Anwendung der Artikel 14 bis 22, 35 und 36 sowie des Artikels 4 der Verordnung, insofern dessen Bestimmungen den in den Artikeln 14 bis 20 vorgesehenen Rechten und Pflichten entsprechen, zu beschränken, und zwar auf der Grundlage von internen Vorschriften, die auf der höchsten Verwaltungsebene der Agentur erlassen und im Amtsblatt der Europäischen Union veröffentlicht werden, sofern sie sich nicht auf Rechtsakte stützen, die auf der Grundlage der Verträge erlassen wurden.

(17)

Verschiedene in der Verordnung verankerte Rechte der betroffenen Personen können beschränkt werden, unter anderem ihre Rechte auf Unterrichtung, auf Auskunft über personenbezogene Daten, auf Berichtigung, auf Löschung, auf Einschränkung der Verarbeitung, auf Benachrichtigung über Verletzungen des Schutzes ihrer personenbezogenen Daten sowie auf Vertraulichkeit der Kommunikation.

(18)

Die Agentur ist unter Umständen gehalten, diese Rechte mit den Zielen von Verwaltungsuntersuchungen, Audits, Ermittlungen und Gerichtsverfahren in Einklang zu bringen. Die Agentur kann auch gehalten sein, die Rechte einer betroffenen Person gegen die Grundrechte und Grundfreiheiten anderer betroffener Personen abzuwägen.

(19)

So kann es für die Agentur z. B. in der Vorphase einer Verwaltungsuntersuchung oder während der eigentlichen Verwaltungsuntersuchung, vor einer etwaigen Verfahrenseinstellung oder im Vorverfahren von Disziplinarsachen erforderlich sein, die Informationen zu beschränken, die der betroffenen Person über die Verarbeitung ihrer personenbezogenen Daten mitgeteilt werden. Unter bestimmten Umständen kann die Mitteilung solcher Informationen die Fähigkeit der Agentur, die Untersuchung wirksam durchzuführen, erheblich beeinträchtigen; beispielsweise wenn die Gefahr besteht, dass die betreffende Person Beweise vernichten oder potenzielle Zeugen beeinflussen könnte, bevor diese vernommen werden. Es kann auch erforderlich sein, dass die Agentur die Rechte und Freiheiten von Zeugen oder anderen beteiligten Personen schützen muss.

(20)

Unter Umständen muss die Agentur die Anonymität von Zeugen oder Hinweisgebern wahren, die darum gebeten haben, nicht identifiziert zu werden. In solchen Fällen kann die Agentur beschließen, die Auskunft über die Identität, Aussagen und sonstige personenbezogene Daten solcher Personen oder der verdächtigten Person zu beschränken, um deren Rechte und Freiheiten zu schützen.

(21)

Unter Umständen muss die Agentur vertrauliche Informationen schützen, die einen Mitarbeiter betreffen, der sich im Zusammenhang mit einem Verfahren wegen Mobbing oder sexueller Belästigung an Vertrauenspersonen der Agentur gewandt hat. In solchen Fällen kann es für die Agentur erforderlich sein, die Auskunft über die Identität, Aussagen und sonstige personenbezogene Daten des mutmaßlichen Opfers, des mutmaßlichen Täters und anderer Beteiligter zu beschränken, um die Rechte und Freiheiten aller Beteiligten zu schützen.

(22)

Im Zusammenhang mit Auswahl- und Einstellungsverfahren, Personalbeurteilungen und Vergabeverfahren kann das Recht auf Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung nur zu bestimmten Zeitpunkten und unter den Bedingungen ausgeübt werden, die in den entsprechenden Verfahren vorgesehen sind, um die Rechte anderer betroffener Personen zu schützen und die Grundsätze der Gleichbehandlung und des Beratungsgeheimnisses zu wahren.

(23)

Die Agentur kann auch den Zugang von Einzelpersonen zu ihren medizinischen Daten, beispielsweise psychologischer oder psychiatrischer Art, beschränken, da derartige Daten möglicherweise sensibel sind; und der medizinische Dienst der Kommission möchte betroffenen Personen unter Umständen nur indirekt Auskunft über ihren Arzt erteilen. Die betroffene Person kann das Recht auf Berichtigung von Beurteilungen oder Gutachten des medizinischen Dienstes der Kommission ausüben, indem sie entsprechende Anmerkungen oder einen Bericht eines Arztes ihrer Wahl vorlegt.

(24)

Die Agentur, vertreten durch ihren Direktor, ist der Verantwortliche; dies gilt auch, wenn Befugnisse des Verantwortlichen innerhalb der Agentur an zuständige „delegierte Verantwortliche“ delegiert werden, um den operativen Verantwortlichkeiten für bestimmte Tätigkeiten der Verarbeitung personenbezogener Daten Rechnung zu tragen.

(25)

Die personenbezogenen Daten werden sicher in einer elektronischen Umgebung im Sinne des Beschlusses (EU, Euratom) 2017/46 der Kommission (5) oder auf Papier gespeichert, wobei verhindert wird, dass Personen, die keine Kenntnis von diesen Daten haben müssen, unrechtmäßiger Zugang zu den Daten gewährt wird oder diese Daten unrechtmäßig übermittelt werden. Die verarbeiteten personenbezogenen Daten werden nur so lange aufbewahrt, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich und angemessen ist, und zwar für den in den Datenschutzhinweisen und -aufzeichnungen der Agentur angegebenen Zeitraum.

(26)

Die Agentur nimmt nur dann Beschränkungen vor, wenn sie den Wesensgehalt der Grundrechte und Grundfreiheiten achten, unbedingt notwendig sind und eine in einer demokratischen Gesellschaft verhältnismäßige Maßnahme darstellen. Die Agentur gibt die Gründe zur Rechtfertigung dieser Beschränkungen an und unterrichtet die betroffenen Personen über diese Gründe und ihr Recht, gemäß Artikel 25 Absatz 6 der Verordnung eine Beschwerde beim EDSB einzureichen.

(27)

Nach dem Grundsatz der Rechenschaftspflicht führt die Agentur Aufzeichnungen über die von ihr vorgenommenen Beschränkungen.

(28)

Bei der Verarbeitung personenbezogener Daten, die die Agentur im Rahmen ihrer Aufgaben mit anderen Organisationen austauscht, erfolgt eine wechselseitige Konsultation zwischen der Agentur und diesen Organisationen über etwaige Gründe für die Vornahme von Beschränkungen sowie die Notwendigkeit und Verhältnismäßigkeit der Beschränkungen, es sei denn, dies würde die Tätigkeiten der Agentur gefährden.

(29)

Diese internen Vorschriften gelten somit für alle Tätigkeiten zur Verarbeitung personenbezogener Daten, die von der Agentur für folgende Zwecke durchgeführt werden: Verwaltungsuntersuchungen, Disziplinarverfahren, vorläufige Aktivitäten im Zusammenhang mit potenziellen, dem OLAF gemeldeten Unregelmäßigkeiten, Ermittlungen der Europäischen Staatsanwaltschaft (EUStA), Verfahren in Bezug auf gemeldete Missstände („Whistleblowing“), (formelle und informelle) Verfahren in Bezug auf Fälle von Mobbing, Bearbeitung von internen und externen Beschwerden, Anträge auf Auskunft über oder Berichtigung der eigenen medizinischen Akten, vom Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung durchgeführte Untersuchungen, (IT-)Sicherheitsuntersuchungen, die intern oder mit externer Beteiligung (z. B. von CERT-EU) durchgeführt werden, Audits, Verfahren vor dem Gerichtshof der Europäischen Union oder nationalen Behörden, Auswahl- und Einstellungsverfahren, Personalbeurteilung und öffentliche Auftragsvergabe, wie vorstehend aufgeführt.

(30)

Diese internen Vorschriften gelten für Verarbeitungstätigkeiten, die vor der Einleitung der vorstehend genannten Verfahren, während dieser Verfahren und bei der Überwachung der aufgrund des Ergebnisses dieser Verfahren getroffenen Folgemaßnahmen vorgenommen werden. Dies sollte auch die von der Agentur für andere Institutionen der Union, nationale Behörden und internationale Organisationen außerhalb ihrer administrativen Untersuchungen geleistete Unterstützung und Zusammenarbeit umfassen.

(31)

Die Agentur kann die Unterrichtung der betroffenen Person über die Gründe für die Beschränkung gemäß Artikel 25 Absatz 8 der Verordnung zurückstellen, unterlassen oder ablehnen, wenn die Unterrichtung die Wirkung der vorgenommenen Beschränkung zunichtemachen würde. Die Agentur prüft im Einzelfall, ob die Mitteilung der Beschränkung ihre Wirkung zunichtemachen würde.

(32)

Die Agentur hebt die Beschränkung auf, sobald die Voraussetzungen für die Beschränkung nicht mehr gegeben sind, und überprüft diese Voraussetzungen regelmäßig.

(33)

Zur Gewährleistung des größtmöglichen Schutzes der Rechte und Freiheiten der betroffenen Personen und im Einklang mit Artikel 44 Absatz 1 der Verordnung wird der Datenschutzbeauftragte der Agentur rechtzeitig vor der Anwendung oder Überprüfung einer Beschränkung konsultiert, damit dieser die Einhaltung dieses Beschlusses überprüfen kann.

(34)

Artikel 16 Absatz 5 und Artikel 17 Absatz 4 der Verordnung sehen Ausnahmen vom Recht der betroffenen Personen auf Unterrichtung und Auskunft vor. Soweit diese Ausnahmen Anwendung finden, ist es für die Agentur nicht erforderlich, eine auf diesem Beschluss beruhende Beschränkung vorzunehmen —