(1)

Die Europäische Zentralbank (EZB) nimmt ihre Aufgaben gemäß den Verträgen wahr.

(2)

Gemäß Artikel 45 Absatz 3 der Verordnung (EU) 2018/1725 enthält der Beschluss (EU) 2020/655 der Europäischen Zentralbank (EZB/2020/28) (2) die allgemeinen Durchführungsvorschriften der Verordnung (EU) 2018/1725 bei der EZB. Insbesondere werden die Vorschriften zur Ernennung und Funktion des Datenschutzbeauftragten der EZB spezifiziert, einschließlich seiner Aufgaben, Pflichten und Befugnisse.

(3)

Bei der Ausübung der ihr übertragenen Aufgaben handelt die EZB und insbesondere die betreffende Organisationseinheit als Verantwortlicher, insoweit sie allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten bestimmt.

(4)

In Angelegenheiten, welche die interne Arbeitsweise der EZB betreffen, sind verschiedene Geschäftsbereiche der EZB (darunter die Generaldirektion Personal (DG/HR), die Stabstelle Compliance und Governance (CGO), die Direktion Interne Revision (D/IA) und die Generaldirektion Rechtsdienste (DG/L)) mit Aufgaben betraut, welche die Verarbeitung personenbezogener Daten innerhalb des für die Beschäftigung bei der EZB geltenden Rechtsrahmens umfassen. Solche Aufgaben beinhalten beispielsweise Maßnahmen im Zusammenhang mit möglichen Verstößen gegen Dienstpflichten (einschließlich Untersuchungen wegen unangemessenem Verhalten nach dem EZB-Rahmen zur Würde am Arbeitsplatz und die Weiterverfolgung von Meldungen rechtswidriger Handlungen oder von Verstößen gegen Dienstpflichten unabhängig vom Mitteilungsweg, unter anderem über das Whistleblowing-Tool der EZB); Aufgaben im Zusammenhang mit Auswahlverfahren; Aufgaben von DG/HR bei der Ausübung ihrer Funktionen im Bereich Leistungsmanagement, Beförderung oder direkte Ernennung von EZB-Beschäftigten, berufliche Weiterentwicklung einschließlich eines geschäftsbereichsinternen und -übergreifenden Talentmanagements, Gehaltserhöhungen und Bonuszahlungen sowie Entscheidungen zu Mobilität und Abwesenheiten; der Prüfung der von Seiten der EZB-Beschäftigten eingelegten internen Beschwerden (auch im Wege verwaltungsinterner Überprüfungen, Beschwerdeverfahren, besonderer Beschwerdeverfahren oder medizinischer Ausschüsse) und ihre Nachverfolgung; den im Ethikrahmen der EZB verankerten Beratungsaufgaben der CGO (vgl. Teil 0 der Dienstvorschriften der EZB) und den Aufgaben der CGO im Zusammenhang mit der Überwachung privater Finanzgeschäfte zu Compliance-Zwecken (einschließlich der Zusammenarbeit mit externen Dienstleistern gemäß Artikel 0.4.3.3 der Dienstvorschriften der EZB); und im Zusammenhang mit der Durchführung von Aufgaben durch die D/IA und Aufgaben gemäß der Rundverfügung Nr. 1/2006 über interne Verwaltungsuntersuchungen (3) im Rahmen ihrer Untersuchungstätigkeiten und behördlichen Ermittlungen in Situationen, die möglicherweise auf disziplinarischer Ebene EZB-Beschäftigte betreffen (einschließlich der Aufgaben der Personen, welche die Untersuchung durchführen, oder der Mitglieder des Untersuchungsausschusses, in Fällen, in denen sie Beweise erheben und die relevanten Tatsachen ermitteln müssen).

(5)

Gemäß dem Beschluss (EU) 2016/456 der Europäischen Zentralbank (EZB/2016/3) (4) muss die EZB dem Europäischen Amt für Betrugsbekämpfung auf dessen Antrag oder auf eigene Initiative Informationen übermitteln, die sich im Besitz der EZB befinden und aufgrund derer sich ein Verdacht auf mögliche Fälle von Betrug, Korruption oder sonstige rechtswidrige Handlungen zum Nachteil der finanziellen Interessen der Union ergibt. Der Beschluss (EU) 2016/456 (EZB/2016/3) sieht vor, dass Betroffene in solchen Fällen rasch unterrichtet werden sollen, sofern dies die Untersuchung nicht beeinträchtigt, und dass auf keinen Fall Schlussfolgerungen gezogen werden dürfen, die Betroffene mit Namen nennen, ohne dass den Betroffenen die Gelegenheit gegeben wurde, sich zu den sie betreffenden Tatsachen einschließlich der sie belastenden Tatsachen zu äußern.

(6)

Nach Artikel 4 Buchstabe b des Beschlusses (EU) 2020/655 (EZB/2020/28) prüft der Datenschutzbeauftragte Angelegenheiten und Vorfälle im Zusammenhang mit dem Datenschutz entweder auf eigene Initiative oder auf Antrag der EZB.

(7)

Die Abteilung Schutz und Sicherheit innerhalb der Direktion Verwaltung ist für die Durchführung von Untersuchungen zum Schutz der physischen Sicherheit von Personen, Räumlichkeiten und Eigentum bei der EZB sowie für die Erfassung von Erkenntnissen über Bedrohungen (Threat Intelligence) und die Analyse von Sicherheitsvorfällen zuständig.

(8)

Die EZB ist zur loyalen Zusammenarbeit mit den nationalen Behörden, einschließlich der nationalen Strafverfolgungsbehörden, verpflichtet. Insbesondere kann die EZB gemäß dem Beschluss (EU) 2016/1162 der Europäischen Zentralbank (EZB/2016/19) (5) auf Ersuchen einer nationalen Strafverfolgungsbehörde die ihr zur Verfügung stehenden vertraulichen Informationen, die sich auf die Aufgaben, die der EZB durch die Verordnung (EU) Nr. 1024/2013 (6) übertragen wurden, oder sich auf die Geldpolitik oder andere Aufgaben der EZB im Rahmen des ESZB/Eurosystems beziehen, an die NCA oder NZB zur Offenlegung gegenüber der betreffenden nationalen Strafverfolgungsbehörde unter bestimmten Bedingungen übermitteln.

(9)

Gemäß der Verordnung (EU) 2017/1939 (7) des Rates muss die EZB der Europäischen Staatsanwaltschaft (EUStA) unverzüglich alle Informationen übermitteln, wenn ein Verdacht auf eine in ihre Zuständigkeit fallende Straftat besteht.

(10)

Die EZB muss bei der Wahrnehmung ihrer jeweiligen Aufgaben mit den EU-Einrichtungen zusammenarbeiten, die Aufsichts-, Überwachungs- oder Prüfungsaufgaben gegenüber der EZB wahrnehmen, wie dem Europäischen Datenschutzbeauftragten, dem Europäischen Rechnungshof und dem Europäischen Bürgerbeauftragten. In diesem Zusammenhang kann die EZB personenbezogene Daten verarbeiten, damit sie Anfragen beantworten, solche Stellen konsultieren und ihnen Informationen zur Verfügung stellen kann.

(11)

Gemäß dem internen Streitbeilegungsrahmen der EZB können sich EZB-Beschäftigte jederzeit mit einem Mediator in Verbindung setzen, um den Mediator um Unterstützung bei der Beilegung oder Verhinderung von arbeitsbezogenen Streitigkeiten zu ersuchen. Dieser Rahmen sieht vor, dass jede Kommunikation mit dem Mediator vertraulich behandelt wird. Alles, was während des Mediationsverfahrens erwähnt wird, gilt als privilegiert und jede an der Mediation beteiligte Partei darf diese Informationen unbeschadet etwaiger Gerichtsverfahren ausschließlich für die Zwecke des Mediationsverfahrens verwenden. In Ausnahmefällen kann der Mediator Informationen offenlegen, wenn die Offenlegung erforderlich erscheint, um die unmittelbare Gefahr einer ernsthaften Beeinträchtigung der körperlichen oder geistigen Unversehrtheit einer Person abzuwenden.

(12)

Die EZB ist bestrebt, Arbeitsbedingungen zu gewährleisten, welche die Gesundheit und Sicherheit ihrer Beschäftigten schützen und deren Würde am Arbeitsplatz achten, indem sie Beratungsdienste zur Unterstützung der Beschäftigten anbietet. Die EZB-Beschäftigten können in allen Fragen, einschließlich emotionaler, persönlicher und arbeitsbezogener Fragen, die Dienste eines Beraters in sozialen Angelegenheiten (Social Counsellor) in Anspruch nehmen. Der Social Counsellor hat keinen Zugang zu den Personalakten der EZB-Beschäftigten, es sei denn, es liegt eine ausdrückliche Genehmigung der entsprechenden Person vor. Informationen, die eine Person gegenüber dem Social Counsellor erhält, oder Erklärungen, die sie an den Social Counsellor abgegeben hat, dürfen nur weitergegeben werden, wenn diese Person dies ausdrücklich genehmigt hat oder dies gesetzlich vorgeschrieben ist.

(13)

In Angelegenheiten ihrer internen Arbeitsweise verarbeitet die EZB mehrere Kategorien von Daten, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen können. Nicht abschließende Listen dieser Kategorien von personenbezogenen Daten, welche von der EZB in Angelegenheiten ihrer internen Arbeitsweise verarbeitet werden, sind den Anhängen dieses Beschlusses zu entnehmen. Personenbezogene Daten könnten auch Teil einer Bewertung sein, die unter anderem vom zuständigen Geschäftsbereich in Bezug auf die zu prüfende Angelegenheit vorgenommen wird, beispielsweise eine durch DG/HR, DG/L, D/IA oder durch einen Disziplinarausschuss oder ein Untersuchungsgremium durchgeführte Bewertung, ob ein Verstoß gegen Dienstpflichten vorliegt.

(14)

Im Zusammenhang mit den Erwägungsgründen 4 bis 13 ist es angemessen, die Gründe zu präzisieren, aus denen die EZB die Rechte betroffener Personen beschränken kann.

(15)

Bei der Wahrnehmung ihrer Aufgaben ist die EZB bestrebt, wichtige Ziele des allgemeinen öffentlichen Interesses der Union zu verfolgen. Daher sollte die Wahrnehmung solcher Aufgaben im Sinne der Verordnung (EU) 2018/1725, insbesondere des Artikels 25 Absatz 1 Buchstaben b, c, d, f, g und h, sichergestellt werden.

(16)

Nach Artikel 25 Absatz 1 der Verordnung (EU) 2018/1725 sollten Beschränkungen der Anwendung der Artikel 14 bis 22, 35 und 36 sowie des Artikels 4 der genannten Verordnung, insofern dessen Bestimmungen den in den Artikeln 14 bis 22 vorgesehenen Rechten und Pflichten entsprechen, durch interne Vorschriften oder Rechtsakte, die auf der Grundlage der Verträge erlassen werden, festgelegt werden. Dementsprechend sollte die EZB die Vorschriften festlegen, nach denen sie die Rechte betroffener Personen bei der Wahrnehmung ihrer Aufsichtsaufgaben beschränken kann.

(17)

Die EZB sollte rechtfertigen, aus welchen Gründen solche Beschränkungen von Rechten betroffener Personen in einer demokratischen Gesellschaft zur Sicherstellung der Ziele, welche die EZB in Ausübung ihrer öffentlichen Gewalt verfolgt, und der damit verbundenen Aufgaben unbedingt erforderlich und verhältnismäßig sind; ferner sollte sie rechtfertigen, wie sie den Wesensgehalt der Grundrechte und Grundfreiheiten achtet, wenn sie solche Beschränkungen auferlegt.

(18)

In diesem Rahmen ist die EZB gehalten, die Grundrechte der betroffenen Personen weitestgehend zu achten, insbesondere im Zusammenhang mit der in der Verordnung (EU) 2018/1725 vorgesehenen Informationspflicht und den Rechten auf Auskunft, auf Berichtigung, auf Löschung, auf Einschränkung der Verarbeitung, auf Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person sowie auf Vertraulichkeit der Kommunikation.

(19)

Die EZB kann jedoch zum Schutz der Wahrnehmung ihrer Aufgaben verpflichtet sein, die Informationen an betroffene Personen sowie die Rechte betroffener Personen zu beschränken, insbesondere bei ihren eigenen Untersuchungen und Verfahren, bei Untersuchungen und Verfahren anderer Behörden sowie bei den im Zusammenhang mit ihren eigenen Untersuchungen oder anderen Verfahren bestehenden Grundrechten und Grundfreiheiten anderer Personen.

(20)

Die EZB sollte eine bereits angewandte Beschränkung aufheben, soweit sie nicht mehr erforderlich ist.

(21)

Damit die Einhaltung dieses Beschlusses und der Verordnung (EU) 2018/1725 sichergestellt ist, sollte der Datenschutzbeauftragte die Anwendung von Beschränkungen überprüfen.

(22)

Obwohl in diesem Beschluss die Regeln festgelegt werden, nach denen die EZB die Rechte betroffener Personen beschränken kann, wenn die EZB personenbezogene Daten in Angelegenheiten ihrer internen Arbeitsweise verarbeitet, hat das Direktorium einen gesonderten Beschluss erlassen, mit dem interne Vorschriften über die Beschränkung der Rechte bei der Wahrnehmung ihrer Aufsichtsaufgaben verabschiedet wurden.

(23)

Die EZB kann eine Ausnahmeregelung gemäß der Verordnung (EU) 2018/1725 anwenden, womit die Notwendigkeit entfällt, eine Beschränkung in Betracht zu ziehen; dies ist insbesondere bei den in Artikel 15 Absatz 4, Artikel 16 Absatz 5, Artikel 19 Absatz 3 und Artikel 35 Absatz 5 der genannten Verordnung vorgesehenen Ausnahmeregelungen der Fall.

(24)

Ausnahmen von den Rechten betroffener Personen nach den Artikeln 17, 18, 20, 21, 22 und 23 der Verordnung (EU) 2018/1725 für im öffentlichen Interesse liegende Archivzwecke können vorbehaltlich der nach Artikel 25 Absatz 4 der Verordnung (EU) 2018/1725 erforderlichen Bedingungen und Garantien in internen Vorschriften oder Rechtsakten vorgesehen werden, die von der EZB auf der Grundlage der Verträge in Bezug auf ihre Archivierung erlassen wurden.

(25)

Der Europäische Datenschutzbeauftragte wurde gemäß Artikel 41 Absatz 2 der Verordnung (EU) 2018/1725 konsultiert und hat am 12. März 2021 eine Stellungnahme abgegeben —

(26)

Die Personalvertretung wurde angehört —

1.

„Verarbeitung“ Verarbeitung im Sinne von Artikel 3 Nummer 3 der Verordnung (EU) 2018/1725;

2.

„personenbezogene Daten“ personenbezogene Daten im Sinne von Artikel 3 Nummer 1 der Verordnung (EU) 2018/1725;

3.

„betroffene Person“ eine identifizierte oder identifizierbare natürliche Person; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

4.

„Zentrales Register“ der öffentlich zugängliche Speicherort für alle bei der EZB ausgeführten Verarbeitungstätigkeiten im Zusammenhang mit personenbezogenen Daten, das vom Datenschutzbeauftragten der EZB geführt wird und auf das in Artikel 9 des Beschlusses (EU) 2020/655 (EZB/2020/28) Bezug genommen wird;

5.

„Verantwortlicher“ die EZB und insbesondere die zuständige organisatorische Einheit innerhalb der EZB, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten bestimmt und für den Verarbeitungsvorgang verantwortlich ist;

6.

„Organe und Einrichtungen der Union“ Organe und Einrichtungen der Union im Sinne von Artikel 3 Nummer 10 der Verordnung (EU) 2018/1725.

a)

der Verantwortliche führt die Rechte auf, die beschränkt werden können, die Gründe für die Beschränkung und die mögliche Dauer der Beschränkung;

b)

der Verantwortliche nimmt die in Buchstabe a genannten Informationen in seine Datenschutzhinweise, Datenschutzerklärungen und die in Artikel 31 der Verordnung (EU) 2018/1725 genannten Verzeichnisse von Verarbeitungstätigkeiten auf.