(1)

Das Europäische Amt für Betrugsbekämpfung (im Folgenden „das Amt“) wurde durch den Beschluss 1999/352/EG, EGKS, Euratom der Kommission vom 28. April 1999 (1) als Dienststelle der Kommission errichtet. Das Amt führt Untersuchungen in völliger Unabhängigkeit durch.

(2)

Das Amt führt Verwaltungsuntersuchungen zum Zwecke der Bekämpfung von Betrug, Korruption und sonstigen rechtswidrigen Handlungen zum Nachteil der finanziellen Interessen der Union nach Maßgabe der Verordnung (EU, Euratom) Nr. 883/2013 des Europäischen Parlaments und des Rates (2) durch. Zu diesem Zweck übt es die der Kommission durch die einschlägigen Rechtsakte der Union übertragenen Untersuchungsbefugnisse in den Mitgliedstaaten beziehungsweise nach Maßgabe der geltenden Kooperations- und Amtshilfeabkommen und sonstigen Rechtsinstrumente in Drittstaaten und in den Räumlichkeiten internationaler Organisationen aus.

(3)

Das Amt führt zudem Verwaltungsuntersuchungen in den Organen, Einrichtungen und sonstigen Stellen der Union durch, die durch die Verträge oder auf Grundlage der Verträge geschaffen wurden. Im Rahmen seines Mandats zur Durchführung von Untersuchungen sammelt das Amt im Vorfeld, während oder nach einer Untersuchung oder Koordinierungstätigkeit Informationen, die für seine Untersuchungstätigkeit relevant sind (und auch personenbezogene Daten aus unterschiedlichen Quellen wie Behörden, Privatunternehmen oder natürliche Personen einschließen) und tauscht diese mit Organen, Einrichtungen und sonstigen Stellen der Union sowie mit zuständigen Behörden von Mitgliedstaaten oder Drittländern und mit internationalen Organisationen aus.

(4)

Im Rahmen seiner Tätigkeiten verarbeitet das Amt verschiedene Kategorien personenbezogener Daten, insbesondere Kenndaten, Kontaktdaten, berufsbezogene Daten und Daten in Bezug auf die Beteiligung der von der Datenverarbeitung betroffenen Person an dem jeweiligen Fall. Dabei handelt das (durch seinen Generaldirektor vertretene) Amt als für die Verarbeitung Verantwortlicher. Die personenbezogenen Daten werden in einer gesicherten elektronischen Umgebung gespeichert, sodass sowohl jedweder unbefugte Zugang als auch jedwede Datenübermittlung an Personen, die von den Dateien keine Kenntnis haben müssen, verhindert wird. Nach Einstellung einer Untersuchung oder nach dem auf Beschluss des Generaldirektors erfolgten Abschluss einer Untersuchung oder eines Koordinierungsfalls werden alle verarbeiteten personenbezogenen Daten fünfzehn Jahre gespeichert. Nach diesem Zeitraum werden alle fallbezogenen Informationen einschließlich der personenbezogenen Daten in das historische Archiv übertragen.

(5)

Das Amt ist bei der Erfüllung seiner Aufgaben verpflichtet, die Rechte natürlicher Personen bei der Verarbeitung personenbezogener Daten zu achten, die in Artikel 8 Absatz 1 der Charta der Grundrechte der Europäischen Union, in Artikel 16 Absatz 1 des Vertrags und in den sich auf diese Artikel gründenden Rechtsvorschriften anerkannt werden. Ferner ist das Amt verpflichtet, die strengen Vorschriften über die Wahrung der Vertraulichkeit und des Berufsgeheimnisses einzuhalten, die in Artikel 10 der Verordnung Regulation (EU, Euratom) Nr. 883/2013 verankert wurden, und die Achtung der in Artikel 9 dieser Verordnung aufgeführten Verfahrensrechte sicherzustellen, darunter insbesondere das Recht der von der Untersuchung betroffenen Personen auf die Wahrung der Unschuldsvermutung.

(6)

Durch die gesicherte elektronische Umgebung, in der personenbezogene Daten gespeichert werden, sowie durch die in den Artikeln 9 und 10 der Verordnung (EU, Euratom) Nr. 883/2013 festgelegten Verfahrensgarantien und strengen Vorschriften über die Wahrung der Vertraulichkeit und des Berufsgeheimnisses ist ein hoher Schutz gegen etwaige Risiken für die Rechte und Freiheiten der von der Datenverarbeitung betroffenen Personen sichergestellt.

(7)

Unter bestimmten Umständen ist es gleichwohl erforderlich, die in der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates (3) festgelegten Rechte der von der Datenverarbeitung betroffenen Personen mit den Anforderungen in Einklang zu bringen, die für die Untersuchungen, für die Vertraulichkeit des Informationsaustausches mit anderen zuständigen Behörden und im Hinblick auf die vollständige Wahrung der Grundrechte und Freiheiten anderer von der Datenverarbeitung betroffener Personen gelten. Zu diesem Zweck sieht Artikel 25 dieser Verordnung vor, dass das Amt die Anwendung der Artikel 14 bis 22, 35 und 36 sowie von Artikel 4, insofern dessen Bestimmungen den in den Artikeln 14 bis 22 vorgesehenen Rechten und Pflichten entsprechen, beschränken kann.

(8)

In Übereinstimmung mit Artikel 10 Absatz 4 der Verordnung (EU, Euratom) Nr. 883/2013 hat das Amt gemäß Artikel 24 der Verordnung (EG) Nr. 45/2001 des Europäischen Parlaments und des Rates (4) einen Datenschutzbeauftragten benannt.

(9)

Damit die Vertraulichkeit und die Wirksamkeit der Untersuchungen und sonstigen operativen Tätigkeiten des Amts sichergestellt und zugleich die in der Verordnung (EU) 2018/1725 festgelegten Standards des Schutzes personenbezogener Daten eingehalten werden können, ist es erforderlich, interne Vorschriften festzulegen, nach deren Maßgabe das Amt die Rechte von der Datenbearbeitung betroffener Personen in Übereinstimmung mit Artikel 25 dieser Verordnung beschränken kann.

(10)

Der sachliche Anwendungsbereich dieser internen Vorschriften sollte sich auf sämtliche Verarbeitungsvorgänge erstrecken, die das Amt bei der Erfüllung seiner unabhängigen Untersuchungsfunktion durchführt. Diese Vorschriften sollten zudem für alle Verarbeitungsvorgänge gelten, die vor der Einleitung interner oder externer Untersuchungen nach den Artikeln 3 und 4 der Verordnung (EU, Euratom) Nr. 883/2013 und während der Überwachung der zu den Untersuchungsergebnissen ergriffenen Folgemaßnahmen durchgeführt werden. Ferner sollten sie für alle Verarbeitungsvorgänge gelten, die Bestandteil der mit der Untersuchungsfunktion verbundenen Tätigkeiten des Amts sind, also insbesondere für das Betrugsmeldesystem, operative Analysen, Datenbanken für die internationale Zusammenarbeit sowie für operative Maßnahmen, in deren Rahmen möglicherweise Untersuchungsdaten verarbeitet werden (beispielsweise bei Untersuchungen des Datenschutzbeauftragten des Amts oder bei sonstigen vom Amt abgewickelten Beschwerdeverfahren). Sie sollten zudem die Unterstützung und die Zusammenarbeit einschließen, die das Amt außerhalb des Rahmens seiner Verwaltungsuntersuchungen für nationale Behörden und internationale Organisationen leistet.

(11)

Um den Artikeln 14, 15 und 16 der Verordnung (EU) 2018/1725 nachzukommen, sollte das Amt in Form der auf seiner Website veröffentlichten Datenschutzhinweise allgemein alle Personen, deren personenbezogene Daten im Zuge seiner Tätigkeiten verarbeitet werden, auf transparente und kohärente Weise über diese Verarbeitung und über ihre Rechte informieren und zudem alle an einer Untersuchung beteiligten und von der Datenverarbeitung betroffenen Personen - d. h. von der Untersuchung betroffene Personen („Betroffene“), Zeugen und Hinweisgeber - jeweils individuell in angemessener Form unterrichten.

(12)

Unbeschadet der Anwendung der in der Verordnung (EU) 2018/1725 festgelegten Ausnahmen kann sich das Amt veranlasst sehen, die Information der von der Datenverarbeitung betroffenen Personen und die Anwendung ihrer sonstigen Rechte zu beschränken, um seine Untersuchungen, die Untersuchungen und Gerichtsverfahren mitgliedstaatlicher Behörden, seine Untersuchungswerkzeuge und -methoden sowie die Rechte anderer mit seinen Untersuchungen verbundener Personen zu schützen.

(13)

In einigen Fällen kann die Übermittlung bestimmter Informationen an die von der Datenverarbeitung betroffenen Personen oder die Offenlegung der Tatsache, dass eine Untersuchung im Gange ist, die Verwirklichung des Zwecks der Datenverarbeitung unmöglich machen oder schwerwiegend behindern und die Fähigkeit des Amts, der zuständigen nationalen Behörden oder der Organe, Einrichtungen und sonstigen Stellen der EU, künftige Untersuchungen wirksam durchzuführen, zunichtemachen oder schwerwiegend beeinträchtigen.

(14)

Das Amt ist ferner gehalten, die Identität von internen und externen Hinweisgebern sowie von Zeugen zu schützen, da diese für ihre Zusammenarbeit mit dem Amt keine negativen Auswirkungen erleiden sollen.

(15)

Aus diesen Gründen kann sich das Amt veranlasst sehen, bestimmte Gründe für in Artikel 25 der Verordnung (EU) 2018/1725 genannte Beschränkungen der Information über Datenverarbeitungsvorgänge geltend zu machen, die das Amt im Zuge der Erfüllung seiner in Artikel 2 des Beschlusses 1999/352/EG, EGKS, Euratom festgelegten Aufgaben durchführt.

(16)

Um eine wirksame Zusammenarbeit aufrechterhalten zu können, kann sich das Amt zudem veranlasst sehen, die Rechte der von der Datenverarbeitung betroffenen Personen zu beschränken, um Informationen zu schützen, die personenbezogene Daten enthalten, welche aus Kommissionsdienststellen, aus anderen Organen, Einrichtungen und sonstigen Stellen der Union, aus zuständigen Behörden von Mitgliedstaaten oder Drittländern oder aus internationalen Organisationen stammen. Zu diesem Zweck sollte das Amt diese Organe, Einrichtungen und sonstigen Stellen, Behörden und internationalen Organisationen zu den jeweiligen Gründen für die Notwendigkeit und die Verhältnismäßigkeit der Beschränkungen konsultieren.

(17)

Häufig tauscht das Amt bei der Ausübung seiner Untersuchungsfunktion unter anderem mit Kommissionsdienststellen und mit Exekutivagenturen, die letzteren bei der Durchführung ihrer Programme Unterstützung leisten, Informationen aus, die personenbezogene Daten enthalten. Dieser Beschluss regelt in Übereinstimmung mit Artikel 25 Absatz 5 der Verordnung (EU) 2018/1725, welcher vorsieht, dass die internen Vorschriften auf der höchsten Verwaltungsebene der Organe, Einrichtungen und sonstigen Stellen der Union zu erlassen sind, die Verarbeitung personenbezogener Daten, die in Informationen enthalten sind, welche diese Stellen dem Amt übermitteln müssen. Folglich sind alle Kommissionsdienststellen und Exekutivagenturen, die personenbezogene Daten verarbeiten, über deren Verarbeitung sie das Amt nach Artikel 8 Absatz 1 der Verordnung (EU, Euratom) Nr. 883/2013 zu unterrichten haben, oder die das Amt bereits im Zuge seiner Aufgabenerfüllung verarbeitet hat, gehalten, die in diesem Beschluss festgelegten Vorschriften anzuwenden, um die vom Amt durchgeführten Verarbeitungsvorgänge zu schützen. In derartigen Fällen sollten die betreffenden Kommissionsdienststellen und Exekutivagenturen daher das Amt zu den jeweiligen Gründen für die Beschränkungen sowie zu deren Notwendigkeit und Verhältnismäßigkeit konsultieren, damit eine kohärente Anwendung der Beschränkungen sichergestellt wird.

(18)

Das Amt sowie gegebenenfalls die Kommissionsdienststellen und Exekutivagenturen sollten alle Beschränkungen auf transparente Weise handhaben und jede ihrer Anwendungen in dem entsprechenden Erfassungssystem verzeichnen.

(19)

Gemäß Artikel 25 Absatz 8 der Verordnung (EU) 2018/1725 können die für die Datenverarbeitung Verantwortlichen die Unterrichtung der von der Datenverarbeitung betroffenen Person über die Gründe für die Anwendung einer Beschränkung zurückstellen oder unterlassen, wenn durch die Unterrichtung die Wirkung der angewendeten Beschränkung zunichtegemacht würde. Insbesondere würde bei der Anwendung einer Beschränkung der in den Artikeln 16 und 35 der Verordnung (EU) 2018/1725 verankerten Rechte die Unterrichtung über diese Anwendung die Wirkung der angewendeten Beschränkung zunichtemachen. Um sicherzustellen, dass das Recht der von der Datenverarbeitung betroffenen Person auf Unterrichtung nach den Artikeln 16 und 38 der Verordnung (EU) 2018/1725 nur solange beschränkt wird, wie die Gründe für die Zurückstellung der Unterrichtung Geltung haben, sollte das Amt seinen diesbezüglichen Standpunkt regelmäßig überprüfen.

(20)

In allen Fällen, in denen die Rechte anderer von der Datenverarbeitung betroffener Personen beschränkt werden, sollte der für die Datenverarbeitung Verantwortliche von Fall zu Fall prüfen, ob durch die Unterrichtung über die angewendete Beschränkung die Wirkung der angewendeten Beschränkung zunichtegemacht würde.

(21)

Der Datenschutzbeauftragte des Amts und gegebenenfalls der Datenschutzbeauftragte der Kommission oder der betreffenden Exekutivagentur sollten zudem eine unabhängige Überprüfung der angewendeten Beschränkungen vornehmen, um deren Vereinbarkeit mit diesem Beschluss sicherzustellen.

(22)

Die Verordnung (EU) 2018/1725 ersetzt die Verordnung (EG) Nr. 45/2001 ohne Übergangsfrist ab dem Datum ihres Inkrafttretens. Die Möglichkeit, bestimmte Rechte zu beschränken, wurde in der Verordnung (EG) Nr. 45/2001 vorgesehen. Um zu vermeiden, dass die Verwirklichung des Zwecks der in die Zuständigkeit des Amts fallenden Untersuchungen gefährdet wird und die Rechte und Freiheiten anderer Personen beeinträchtigt werden, sollte dieser Beschluss ab dem Datum des Inkrafttretens der Verordnung (EU) 2018/1725 gelten.

(23)

Der Europäische Datenschutzbeauftragte hat am 23. November 2018 eine Stellungnahme abgegeben —