Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der EU
Vorwort/Präambel
(1) Diese Verordnung enthält Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe und Einrichtungen der Union sowie Vorschriften zum freien Verkehr personenbezogener Daten untereinander oder mit sonstigen Empfängern, die in der Union niedergelassen sind.
(2) Diese Verordnung schützt die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten.
(3) Der Europäische Datenschutzbeauftragte überwacht die Anwendung der Bestimmungen dieser Verordnung auf alle Verarbeitungen durch Organe und Einrichtungen der Union.
(1) Personenbezogene Daten müssen
a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“),
b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 13 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“),
c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“),
d) sachlich richtig sein und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“),
e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die die personenbezogenen Daten verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 13 verarbeitet werden („Speicherbegrenzung“),
(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 15 und 16 und alle Mitteilungen gemäß den Artikeln 17 bis 24 und Artikel 35, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an ein Kind richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.
(2) Der Verantwortliche ermöglicht der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 17 bis 24. In den in Artikel 12 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte nach den Artikeln 17 bis 24 tätig zu werden, wenn er nachweist, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.
(3) Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 17 bis 24 getroffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Zahl der Anträge erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen nach Möglichkeit in elektronischer Form zu übermitteln, sofern die betroffene Person nichts anderes angibt.
(4) Wird der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig, so unterrichtet er die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, Beschwerde beim Europäischen Datenschutzbeauftragten und einen gerichtlichen Rechtsbehelf einzulegen.
(1) Der Verantwortliche setzt unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen um, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß dieser Verordnung erfolgt. Diese Maßnahmen werden erforderlichenfalls überprüft und aktualisiert.
(2) Sofern dies in einem angemessenen Verhältnis zu den Verarbeitungstätigkeiten steht, müssen die Maßnahmen gemäß Absatz 1 die Anwendung geeigneter Datenschutzvorkehrungen durch den Verantwortlichen umfassen.
(3) Die Einhaltung genehmigter Zertifizierungsverfahren gemäß Artikel 42 der Verordnung (EU) 2016/679 kann als Gesichtspunkt herangezogen werden, um die Erfüllung der Pflichten des Verantwortlichen nachzuweisen.
(1) Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen trifft der Verantwortliche sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen, zum Beispiel Pseudonymisierung, die dafür ausgelegt sind, die Datenschutzgrundsätze, wie etwa Datenminimierung, wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen, um den Anforderungen dieser Verordnung zu genügen und die Rechte der betroffenen Personen zu schützen.
(2) Der Verantwortliche trifft geeignete technische und organisatorische Maßnahmen, die sicherstellen, dass durch Voreinstellung grundsätzlich nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden. Diese Verpflichtung gilt für die Menge der erhobenen personenbezogenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit. Solche Maßnahmen müssen insbesondere sicherstellen, dass personenbezogene Daten durch Voreinstellungen nicht ohne Eingreifen der Person einer unbestimmten Zahl natürlicher Personen zugänglich gemacht werden.
Jedwede Übermittlung personenbezogener Daten, die bereits verarbeitet werden oder nach ihrer Übermittlung an ein Drittland oder eine internationale Organisation verarbeitet werden sollen, ist nur zulässig, wenn der Verantwortliche und der Auftragsverarbeiter die in diesem Kapitel niedergelegten Bedingungen einhalten und auch die sonstigen Bestimmungen dieser Verordnung eingehalten werden; dies gilt auch für die etwaige Weiterübermittlungen personenbezogener Daten aus dem betreffenden Drittland oder der betreffenden internationalen Organisation an ein anderes Drittland oder eine andere internationale Organisation. Alle Bestimmungen dieses Kapitels sind anzuwenden, um sicherzustellen, dass das durch diese Verordnung gewährleistete Schutzniveau für natürliche Personen nicht untergraben wird.
(1) Eine Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation darf vorgenommen werden, wenn die Kommission gemäß Artikel 45 Absatz 3 der Verordnung (EU) 2016/679 oder gemäß Artikel 36 Absatz 3 der Richtlinie (EU) 2016/680 beschlossen hat, dass das betreffende Drittland, ein Gebiet oder ein oder mehrere spezifische Sektoren in diesem Drittland oder die betreffende internationale Organisation ein angemessenes Schutzniveau bietet, und wenn die personenbezogenen Daten ausschließlich übermittelt werden, um die Erfüllung von Aufgaben zu ermöglichen, die in die Zuständigkeit des Verantwortlichen fallen.
(2) Die Organe und Einrichtungen der Union unterrichten die Kommission und den Europäischen Datenschutzbeauftragten über die Fälle, in denen ein Drittland, ein Gebiet oder ein oder mehrere Sektoren in einem Drittland oder eine betreffende internationale Organisation ihres Erachtens kein angemessenes Schutzniveau im Sinne des Absatzes 1 gewährleistet.
(3) Die Kommission stellt gemäß Artikel 45 Absätze 3 oder 5 der Verordnung (EU) 2016/679 oder gemäß Artikel 36 Absatz 3 oder Absatz 5 der Richtlinie (EU) 2016/680 fest, ob ein Drittland, ein Gebiet oder ein oder mehrere Sektoren in einem Drittland oder eine internationale Organisation ein angemessenes Schutzniveau gewährleistet oder nicht, und die Organe und Einrichtungen der Union treffen die erforderlichen Maßnahmen, um den Beschlüssen der Kommission nachzukommen.
(1) Es wird das Amt des Europäischen Datenschutzbeauftragten geschaffen.
(2) Im Hinblick auf die Verarbeitung personenbezogener Daten hat der Europäische Datenschutzbeauftragte sicherzustellen, dass die Grundrechte und Grundfreiheiten natürlicher Personen, insbesondere ihr Recht auf Datenschutz, von den Organen und Einrichtungen der Union geachtet werden.
(3) Der Europäische Datenschutzbeauftragte ist zuständig für die Überwachung und Durchsetzung der Anwendung der Bestimmungen dieser Verordnung und aller anderen Rechtsakte der Union zum Schutz der Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten durch ein Organ oder eine Einrichtung der Union sowie für die Beratung der Organe und Einrichtungen der Union und der betroffenen Personen in allen Fragen der Verarbeitung personenbezogener Daten. Zu diesem Zweck erfüllt der Europäische Datenschutzbeauftragte die Aufgaben nach Artikel 57 und übt die Befugnisse nach Artikel 58 aus.
(4) Für Dokumente, die sich im Besitz des Europäischen Datenschutzbeauftragten befinden, gilt die Verordnung (EG) Nr. 1049/2001. Der Europäische Datenschutzbeauftragte erlässt detaillierte Vorschriften für die Anwendung der Verordnung (EG) Nr. 1049/2001 in Bezug auf diese Dokumente.
(1) Das Europäische Parlament und der Rat ernennen den Europäischen Datenschutzbeauftragten im gegenseitigen Einvernehmen für eine Amtszeit von fünf Jahren, auf der Grundlage einer von der Kommission im Anschluss an eine öffentliche Aufforderung zur Bewerbung aufgestellten Liste. Aufgrund dieser Aufforderung zur Bewerbung können alle Interessenten in der gesamten Union ihre Bewerbung einreichen. Die von der Kommission aufgestellte Liste der Bewerber ist öffentlich und umfasst mindestens drei Bewerber. Der zuständige Ausschuss des Europäischen Parlaments kann auf der Grundlage der von der Kommission aufgestellten Liste beschließen, eine Anhörung abzuhalten, um eine Präferenz kundtun zu können.
Beschluss 2009/917/JI des Rates vom 30. November 2009 über den Einsatz der Informationstechnologie im Zollbereich (ABl. L 323 vom 10.12.2009, S. 20).
(1) Wenn in einem Rechtsakt der Union auf diesen Artikel verwiesen wird, arbeiten der Europäische Datenschutzbeauftragte und die nationalen Aufsichtsbehörden im Rahmen ihrer jeweiligen Kompetenzen und ihrer Zuständigkeiten aktiv zusammen, um eine wirksame Aufsicht über IT-Großsysteme und über Organe, Einrichtungen und sonstige Stellen der Union zu gewährleisten.
(2) Im Rahmen ihrer jeweiligen Kompetenzen und ihrer Zuständigkeiten tauschen sie erforderlichenfalls sachdienliche Informationen aus, helfen sich erforderlichenfalls gegenseitig bei Prüfungen und Kontrollen, prüfen erforderlichenfalls Schwierigkeiten bei der Auslegung oder Anwendung dieser Verordnung und anderer anwendbarer Rechtsakte der Union, befassen sich erforderlichenfalls mit Problemen mit der unabhängigen Aufsicht oder der Ausübung der Rechte betroffener Personen, entwerfen erforderlichenfalls harmonisierte Vorschläge für die Lösung von Problemen und fördern erforderlichenfalls die Sensibilisierung für die Datenschutzrechte.
(3) Für die Zwecke des Absatzes 2 kommen der Europäische Datenschutzbeauftragte und die nationalen Aufsichtsbehörden mindestens zweimal jährlich im Rahmen des Europäischen Datenschutzausschusses zusammen. Der Europäische Datenschutzausschuss kann für diese Zwecke erforderlichenfalls weitere Arbeitsmethoden entwickeln.
(4) Der Europäische Datenschutzausschuss unterbreitet dem Europäischen Parlament, dem Rat und der Kommission alle zwei Jahre einen gemeinsamen Tätigkeitsbericht über die koordinierte Aufsicht.
(1) Unbeschadet gerichtlicher, verwaltungsrechtlicher oder außergerichtlicher Rechtsbehelfe hat jede betroffene Person das Recht auf Beschwerde beim Europäischen Datenschutzbeauftragten, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.
(2) Der Europäische Datenschutzbeauftragte unterrichtet den Beschwerdeführer über den Stand und die Ergebnisse der Prüfung der Beschwerde, einschließlich der Möglichkeit eines gerichtlichen Rechtsbehelfs nach Artikel 64.
(3) Befasst sich der Europäische Datenschutzbeauftragte nicht mit der Beschwerde oder unterrichtet er die betroffene Person nicht innerhalb von drei Monaten über den Fortgang oder das Ergebnis der Prüfung der Beschwerde, so gilt dies als negative Entscheidung des Europäischen Datenschutzbeauftragten.
(1) Der Gerichtshof ist für alle Streitigkeiten im Zusammenhang mit den Bestimmungen dieser Verordnung, einschließlich Schadenersatzansprüchen, zuständig.
(2) Gegen Entscheidungen des Europäischen Datenschutzbeauftragten, einschließlich Entscheidungen gemäß Artikel 63 Absatz 3, kann beim Gerichtshof Klage erhoben werden.
(3) Der Gerichtshof hat die Befugnis zur unbeschränkten Ermessensnachprüfung bezüglich der Geldbußen gemäß Artikel 66. Er kann diese Geldbußen innerhalb der Grenzen des Artikels 66 aufheben, verringern oder erhöhen.
Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat unter den in den Verträgen vorgesehenen Voraussetzungen Anspruch auf Schadenersatz gegen das Organ oder die Einrichtung der Union auf Ersatz des erlittenen Schadens.
Dieses Kapitel gilt nur für die Verarbeitung operativer personenbezogener Daten durch Einrichtungen und sonstige Stellen der Union bei der Ausübung von Tätigkeiten, die in den Anwendungsbereich des Dritten Teils Titel V Kapitel 4 oder 5 AEUV fallen, unbeschadet spezifischer Datenschutzvorschriften, die für eine solche Einrichtung oder sonstige Stelle der Union gelten.
(1) Operative personenbezogene Daten müssen
a) auf rechtmäßige Weise und nach Treu und Glauben verarbeitet werden („Rechtmäßigkeit und Verarbeitung nach Treu und Glauben“);
b) für festgelegte, eindeutige und rechtmäßige Zwecke erhoben und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise verarbeitet werden („Zweckbindung“),
c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
d) sachlich richtig sein und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit operative personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“),
e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die die operativen personenbezogenen Daten verarbeitet werden, erforderlich ist („Speicherbegrenzung“),
(1) Die Kommission wird von dem mit Artikel 93 der Verordnung (EU) 2016/679 eingesetzten Ausschuss unterstützt. Dieser Ausschuss ist ein Ausschuss im Sinne der Verordnung (EU) Nr. 182/2011.
(2) Wird auf diesen Absatz Bezug genommen, so gilt Artikel 5 der Verordnung (EU) Nr. 182/2011.
Spätestens bis zum 30. April 2022 und danach alle fünf Jahre legt die Kommission dem Europäischen Parlament und dem Rat einen Bericht über die Anwendung dieser Verordnung vor, dem erforderlichenfalls geeignete Gesetzgebungsvorschläge beizufügen sind.
(1) Bis zum 30. April 2022 überprüft die Kommission auf der Grundlage der Verträge erlassene Rechtsakte, die die Verarbeitung operativer personenbezogener Daten durch Einrichtungen und sonstige Stellen der Union bei der Ausübung von Tätigkeiten, die in den Anwendungsbereich des Dritten Teils Titel V Kapitel 4 oder Kapitel 5 AEUV fallen, regeln,
a) um zu prüfen, ob sie mit der Richtlinie (EU) 2016/680 und dem Kapitel IX dieser Verordnung in Einklang stehen,
b) um etwaige Abweichungen zu ermitteln, die den Austausch operativer personenbezogener Daten zwischen Einrichtungen und sonstigen Stellen der Union bei der Ausübung von Tätigkeiten in diesen Bereichen und den zuständigen Behörden behindern und
c) um etwaige Abweichungen zu ermitteln, die eine rechtliche Fragmentierung des Datenschutzrechts der Union bewirken können.
(2) Auf der Grundlage der Überprüfung kann die Kommission, um einen einheitlichen und kohärenten Schutz natürlicher Personen bei der Verarbeitung sicherzustellen, geeignete Gesetzgebungsvorschläge insbesondere im Hinblick auf die Anwendung des Kapitels IX dieser Verordnung auf Europol und die Europäische Staatsanwaltschaft und einschließlich, falls erforderlich, zu Anpassungen des Kapitels IX dieser Verordnung vorlegen.
Die Verordnung (EG) Nr. 45/2001 und der Beschluss Nr. 1247/2002/EG werden mit Wirkung vom 11. Dezember 2018 aufgehoben. Bezugnahmen auf die aufgehobene Verordnung und den aufgehobenen Beschluss gelten als Bezugnahmen auf die vorliegende Verordnung.
(1) Beschluss 2014/886/EU des Europäischen Parlaments und des Rates vom 4. Dezember 2014 zur Ernennung des Europäischen Datenschutzbeauftragten und des stellvertretenden Datenschutzbeauftragten (ABl. L 351 vom 9.12.2014, S. 9).
(2) Der stellvertretende Datenschutzbeauftragte ist hinsichtlich seiner Dienstbezüge, seiner Zulagen, seines Ruhegehalts und sonstiger Vergütungen, die anstelle von Dienstbezügen gewährt werden, dem Kanzler des Gerichtshofs gleichgestellt.
(3) Artikel 53 Absätze 4, 5 und 7 sowie die Artikel 55 und 56 gelten für den derzeitigen stellvertretenden Datenschutzbeauftragten bis zum Ende seiner Amtszeit.
(4) Der stellvertretende Datenschutzbeauftragte unterstützt den Europäischen Datenschutzbeauftragten bei der Wahrnehmung seiner Aufgaben und vertritt ihn im Falle seiner Abwesenheit oder Verhinderung bis zum Ende der Amtszeit des derzeitigen stellvertretenden Datenschutzbeauftragten.
(1) Amtsblatt der Europäischen Union
(2) Diese Verordnung findet jedoch auf die Verarbeitung personenbezogener Daten durch Eurojust ab dem 12. Dezember 2019 Anwendung.
(1) Diese Verordnung gilt für die Verarbeitung personenbezogener Daten durch alle Organe und Einrichtungen der Union.
(2) Nur Artikel 3 und Kapitel IX dieser Verordnung gelten für die Verarbeitung operativer personenbezogener Daten durch Einrichtungen und sonstige Stellen der Union bei der Ausübung von Tätigkeiten, die in den Anwendungsbereich des Dritten Teils Titel V Kapitel 4 oder 5 AEUV fallen.
(3) Verordnung (EU) 2016/794 des Europäischen Parlaments und des Rates vom 11. Mai 2016 über die Agentur der Europäischen Union für die Zusammenarbeit auf dem Gebiet der Strafverfolgung (Europol) und zur Ersetzung und Aufhebung der Beschlüsse 2009/371/JI, 2009/934/JI, 2009/935/JI, 2009/936/JI und 2009/968/JI des Rates (ABl. L 135 vom 24.5.2016, S. 53).
Verordnung (EU) 2017/1939 des Rates vom 12. Oktober 2017 zur Durchführung einer Verstärkten Zusammenarbeit zur Errichtung der Europäischen Staatsanwaltschaft (EUStA) (ABl. L 283 vom 31.10.2017, S. 1).
(4) Diese Verordnung gilt nicht für die Verarbeitung personenbezogener Daten durch Missionen gemäß Artikel 42 Absatz 1 sowie Artikel 43 und 44 EUV.
(5) Diese Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.
Für die Zwecke dieser Verordnung bezeichnet der Ausdruck:
1. „personenbezogene Daten“ alle Informationen die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;
2. „operative personenbezogene Daten“ alle personenbezogene Daten, die von Einrichtungen oder sonstigen Stellen der Union bei der Ausübung von Tätigkeiten, die in den Anwendungsbereich des Dritten Teils Titel V Kapitel 4 oder 5 AEUV fallen, verarbeitet werden, um die in den Rechtsakten zur Gründung dieser Einrichtungen oder sonstigen Stellen festgelegten Ziele und Aufgaben zu erfüllen;
3. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, der Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;
4. „Einschränkung der Verarbeitung“ die Markierung gespeicherter personenbezogener Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken;
5. „Profiling“ jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen;
6. „Pseudonymisierung“ die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden;
7. „Dateisystem“ jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird;
8. „Verantwortlicher“ das Organ oder die Einrichtung der Union oder die Generaldirektion oder sonstige Organisationseinheit, das beziehungsweise die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten bestimmt; sind die Zwecke und Mittel dieser Verarbeitung durch einen besonderen Rechtsakt der Union bestimmt, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien für seine Benennung nach dem Unionsrecht vorgesehen werden;
9. „Verantwortliche, die nicht Organe oder Einrichtungen der Union sind“ Verantwortliche im Sinne des Artikels 4 Nummer 7 der Verordnung (EU) 2016/679 sowie Verantwortliche im Sinne des Artikels 3 Nummer 8 der Richtlinie (EU) 2016/680;
10. „Organe und Einrichtungen der Union“ die Organe, Einrichtungen und sonstigen Stellen der Union, die durch den EUV, den AEUV oder den Euratom-Vertrag oder auf deren Grundlage geschaffen wurden,
11. „zuständige Behörde“ eine staatliche Stelle in einem Mitgliedstaat, die für die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder die Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, zuständig ist;
12. „Auftragsverarbeiter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet;
13. „Empfänger“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, der personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht. Behörden, die im Rahmen eines bestimmten Untersuchungsauftrags nach dem Unionsrecht oder dem Recht der Mitgliedstaaten möglicherweise personenbezogene Daten erhalten, gelten jedoch nicht als Empfänger; die Verarbeitung dieser Daten durch die genannten Behörden erfolgt im Einklang mit den geltenden Datenschutzvorschriften gemäß den Zwecken der Verarbeitung;
14. „Dritter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, außer der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten;
15. „Einwilligung“ der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist;
16. „Verletzung des Schutzes personenbezogener Daten“ eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden;
17. „genetische Daten“ personenbezogene Daten zu den ererbten oder erworbenen genetischen Eigenschaften einer natürlichen Person, die eindeutige Informationen über die Physiologie oder die Gesundheit dieser natürlichen Person liefern und insbesondere aus der Analyse einer biologischen Probe der betreffenden natürlichen Person gewonnen wurden;
18. „biometrische Daten“ mit speziellen technischen Verfahren gewonnene personenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen einer natürlichen Person, die die eindeutige Identifizierung dieser natürlichen Person ermöglichen oder bestätigen, wie Gesichtsbilder oder daktyloskopische Daten;
19. „Gesundheitsdaten“ personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen;
20. „Dienst der Informationsgesellschaft“ eine Dienstleistung im Sinne des Artikels 1 Nummer 1 Buchstabe b der Richtlinie (EU) 2015/1535 des Europäischen Parlaments und des Rates;
21. „internationale Organisation“ eine völkerrechtliche Organisation und ihre nachgeordneten Stellen oder jede sonstige Einrichtung, die durch eine zwischen zwei oder mehr Ländern geschlossene Übereinkunft oder auf der Grundlage einer solchen Übereinkunft geschaffen wurde;
22. „nationale Aufsichtsbehörde“ eine von einem Mitgliedstaat gemäß Artikel 51 der Verordnung (EU) 2016/679 oder gemäß Artikel 41 der Richtlinie (EU) 2016/680 eingerichtete unabhängige staatliche Stelle;
23. „Nutzer“ jede natürliche Person, die ein Netz oder eine Endeinrichtung nutzt, das beziehungsweise die unter der Kontrolle eines Organs oder einer Einrichtung der Union betrieben wird;
24. „Verzeichnis“ ein öffentlich zugängliches Nutzerverzeichnis oder ein internes Nutzerverzeichnis in gedruckter oder elektronischer Form, das innerhalb eines Organs oder einer Einrichtung der Union zugänglich ist oder das von Organen und Einrichtungen der Union gemeinsam genutzt wird;
25. „elektronisches Kommunikationsnetz“ ein Übertragungssystem, das auf einer permanenten Infrastruktur oder einer zentralen Verwaltungskapazität beruhen kann, sowie gegebenenfalls Vermittlungs- und Leitwegeinrichtungen sowie anderweitige Ressourcen — einschließlich der nicht aktiven Netzbestandteile —, die die Übertragung von Signalen über Kabel, Funk, optische oder andere elektromagnetische Einrichtungen ermöglichen, einschließlich Satellitennetze, feste (leitungs- und paketvermittelte, einschließlich des Internets) und mobile terrestrische Netze, Stromleitungssysteme, soweit sie zur Signalübertragung genutzt werden, Netze für Hör- und Fernsehfunk sowie Kabelfernsehnetze, unabhängig von der Art der übertragenen Informationen;
26. „Endeinrichtung“ eine Endeinrichtung im Sinne des Artikels 1 Nummer 1 der Richtlinie 2008/63/EG der Kommission.
f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“).
(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).
(1) Die Verarbeitung ist nur rechtmäßig, wenn und soweit mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Organ oder der Einrichtung der Union übertragen wurde,
b) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt,
c) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen,
d) die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben,
e) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen.
(2) Die Rechtsgrundlage für eine Verarbeitung gemäß Absatz 1 Buchstaben a und b wird im Unionsrecht festgelegt.
Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf Unionsrecht, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 25 Absatz 1 genannten Ziele darstellt, so berücksichtigt der Verantwortliche — um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, kompatibel ist — unter anderem
a) jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung,
b) den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen,
c) die Art der personenbezogenen Daten, insbesondere ob besondere Kategorien personenbezogener Daten gemäß Artikel 10 verarbeitet werden oder ob personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten nach Artikel 11 verarbeitet werden,
d) die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen,
e) das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann.
(1) Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.
(2) Erfolgt die Einwilligung der betroffenen Person durch eine schriftliche Erklärung, die noch andere Sachverhalte betrifft, so muss das Ersuchen um Einwilligung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache so erfolgen, dass es von den anderen Sachverhalten klar zu unterscheiden ist. Teile der Erklärung sind dann nicht verbindlich, wenn sie einen Verstoß gegen diese Verordnung darstellen.
(3) Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen. Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Die betroffene Person wird vor Abgabe der Einwilligung hiervon in Kenntnis gesetzt. Der Widerruf der Einwilligung muss so einfach wie die Erteilung der Einwilligung sein.
(4) Bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, muss dem Umstand in größtmöglichem Umfang Rechnung getragen werden, ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind.
(1) Gilt Artikel 5 Absatz 1 Buchstabe d bei einem Angebot von Diensten der Informationsgesellschaft, das einem Kind direkt gemacht wird, so ist die Verarbeitung der personenbezogenen Daten des Kindes rechtmäßig, wenn das Kind das 13. Lebensjahr vollendet hat. Hat das Kind noch nicht das 13. Lebensjahr vollendet, so ist diese Verarbeitung nur rechtmäßig, sofern und soweit diese Einwilligung durch den Träger der elterlichen Verantwortung für das Kind oder mit dessen Zustimmung erteilt wird.
(2) Der Verantwortliche unternimmt unter Berücksichtigung der verfügbaren Technik angemessene Anstrengungen, um sich in solchen Fällen zu vergewissern, dass die Einwilligung durch den Träger der elterlichen Verantwortung für das Kind oder mit dessen Zustimmung erteilt wurde.
(3) Absatz 1 lässt das allgemeine Vertragsrecht der Mitgliedstaaten, wie etwa die Vorschriften zur Gültigkeit, zum Zustandekommen oder zu den Rechtsfolgen eines Vertrags in Bezug auf ein Kind, unberührt.
(1) Unbeschadet der Artikel 4 bis 6 und 10 werden personenbezogene Daten an in der Union niedergelassene Empfänger, die nicht Organe oder Einrichtungen der Union sind, nur übermittelt, wenn
a) der Empfänger nachweist, dass die Daten für die Wahrnehmung einer Aufgabe erforderlich sind, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Empfänger übertragen wurde, oder
b) wenn der Empfänger nachweist, dass die Übermittlung der Daten für einen bestimmten, im öffentlichen Interesse liegenden Zweck erforderlich ist, und der Verantwortliche in Fällen, in denen Gründe für die Annahme vorliegen, dass die berechtigten Interessen der betroffenen Person beeinträchtigt werden könnten, nachweist, dass die Übermittlung der personenbezogenen Daten für diesen Zweck verhältnismäßig ist, nachdem er die unterschiedlichen widerstreitenden Interessen nachweislich gegeneinander abgewogen hat.
(2) Veranlasst der Verantwortliche die Übermittlung nach diesem Artikel, so weist er anhand der Kriterien nach Absatz 1 Buchstabe a oder b nach, dass die Übermittlung personenbezogener Daten erforderlich und angemessen in Bezug auf den Übermittlungszweck ist.
(3) Die Organe und Einrichtungen der Union müssen das Recht auf Schutz personenbezogener Daten mit dem Recht auf Zugang zu Dokumenten nach dem Unionsrecht in Einklang bringen.
(1) Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder zur sexuellen Orientierung einer natürlichen Person sind untersagt.
(2) Absatz 1 gilt nicht in folgenden Fällen:
a) die betroffene Person hat in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt, es sei denn, nach Unionsrecht kann das Verbot nach Absatz 1 durch die Einwilligung der betroffenen Person nicht aufgehoben werden,
b) die Verarbeitung ist erforderlich, damit der Verantwortliche oder die betroffene Person die ihm bzw. ihr aus dem Arbeitsrecht und dem Recht der sozialen Sicherheit und des Sozialschutzes erwachsenden Rechte ausüben und seinen bzw. ihren diesbezüglichen Pflichten nachkommen kann, soweit dies nach Unionsrecht, das geeignete Garantien für die Grundrechte und die Interessen der betroffenen Person vorsieht, zulässig ist,
c) die Verarbeitung ist zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen Person erforderlich und die betroffene Person ist aus körperlichen oder rechtlichen Gründen außerstande, ihre Einwilligung zu geben,
d) die Verarbeitung erfolgt auf der Grundlage geeigneter Garantien durch eine politisch, weltanschaulich, religiös oder gewerkschaftlich ausgerichtete Organisation ohne Gewinnerzielungsabsicht, die in ein Organ oder eine Einrichtung der Union integriert ist, im Rahmen ihrer rechtmäßigen Tätigkeiten und unter der Voraussetzung, dass sich die Verarbeitung ausschließlich auf die Mitglieder oder ehemalige Mitglieder dieser Organisation oder auf Personen, die im Zusammenhang mit deren Tätigkeitszweck regelmäßige Kontakte mit ihr unterhalten, bezieht und die Daten nicht ohne Einwilligung der betroffenen Personen nach außen offengelegt werden,
e) die Verarbeitung bezieht sich auf personenbezogene Daten, die die betroffene Person offensichtlich öffentlich gemacht hat,
f) die Verarbeitung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen des Gerichtshofs im Rahmen seiner justiziellen Tätigkeit erforderlich,
g) die Verarbeitung ist auf der Grundlage des Unionsrechts, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz achtet und angemessene und spezifische Maßnahmen zum Schutz der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich,
h) die Verarbeitung ist für Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich auf der Grundlage des Unionsrechts oder aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs und vorbehaltlich der in Absatz 3 genannten Bedingungen und Garantien erforderlich,
i) die Verarbeitung ist aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit, wie dem Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren oder zur Gewährleistung hoher Qualitäts- und Sicherheitsstandards bei der Gesundheitsversorgung und bei Arzneimitteln und Medizinprodukten, auf der Grundlage des Unionsrechts, das angemessene und spezifische Maßnahmen zur Wahrung der Rechte und Freiheiten der betroffenen Person, insbesondere des Berufsgeheimnisses, vorsieht, erforderlich, oder
j) die Verarbeitung ist auf der Grundlage des Unionsrechts, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke erforderlich.
(3) Die in Absatz 1 genannten personenbezogenen Daten dürfen zu den in Absatz 2 Buchstabe h genannten Zwecken verarbeitet werden, wenn diese Daten von Fachpersonal oder unter dessen Verantwortung verarbeitet werden und dieses Fachpersonal nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen dem Berufsgeheimnis unterliegt, oder von einer anderen Person, die ebenfalls nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen einer Geheimhaltungspflicht unterliegt.
Die Verarbeitung personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln aufgrund von Artikel 5 Absatz 1 darf nur unter behördlicher Aufsicht vorgenommen werden oder wenn dies nach dem Unionsrecht, das geeignete Garantien für die Rechte und Freiheiten der betroffenen Personen vorsieht, zulässig ist.
(1) Ist für die Zwecke, für die ein Verantwortlicher personenbezogene Daten verarbeitet, die Identifizierung der betroffenen Person durch den Verantwortlichen nicht oder nicht mehr erforderlich, so ist dieser nicht verpflichtet, ausschließlich zum Zweck der Einhaltung dieser Verordnung zusätzliche Informationen aufzubewahren, einzuholen oder zu verarbeiten, um die betroffene Person zu identifizieren.
(2) Kann der Verantwortliche in Fällen gemäß Absatz 1 des vorliegenden Artikels nachweisen, dass er nicht in der Lage ist, die betroffene Person zu identifizieren, so unterrichtet er die betroffene Person hierüber, sofern möglich. In diesen Fällen finden die Artikel 17 bis 22 keine Anwendung, es sei denn, die betroffene Person stellt zur Ausübung ihrer in diesen Artikeln niedergelegten Rechte zusätzliche Informationen bereit, die ihre Identifizierung ermöglichen.
Die Verarbeitung zu im öffentlichen Interesse liegenden Archivzwecken, zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken unterliegt geeigneten Garantien für die Rechte und Freiheiten der betroffenen Person gemäß dieser Verordnung. Mit diesen Garantien wird sichergestellt, dass technische und organisatorische Maßnahmen bestehen, mit denen insbesondere die Achtung des Grundsatzes der Datenminimierung gewährleistet wird. Zu diesen Maßnahmen kann die Pseudonymisierung gehören, sofern es möglich ist, diese Zwecke auf diese Weise zu erfüllen. In allen Fällen, in denen diese Zwecke durch die Weiterverarbeitung, bei der die Identifizierung von betroffenen Personen nicht oder nicht mehr möglich ist, erfüllt werden können, werden diese Zwecke auf diese Weise erfüllt.
(5) Informationen gemäß den Artikeln 15 und 16 sowie alle Mitteilungen und Maßnahmen gemäß den Artikeln 17 bis 24 und Artikel 35 werden unentgeltlich zur Verfügung gestellt. Bei offensichtlich unbegründeten oder — insbesondere im Fall von häufiger Wiederholung -exzessiven Anträgen einer betroffenen Person kann sich der Verantwortliche weigern, aufgrund des Antrags tätig zu werden. Der Verantwortliche hat den Nachweis für den offensichtlich unbegründeten oder exzessiven Charakter des Antrags zu erbringen.
(6) Hat der Verantwortliche begründete Zweifel an der Identität der natürlichen Person, die den Antrag gemäß den Artikeln 17 bis 23 stellt, so kann er unbeschadet des Artikels 12 zusätzliche Informationen anfordern, die zur Bestätigung der Identität der betroffenen Person erforderlich sind.
(7) Die Informationen, die den betroffenen Personen gemäß den Artikeln 15 und 16 bereitzustellen sind, können in Kombination mit standardisierten Bildsymbolen bereitgestellt werden, um in leicht wahrnehmbarer, verständlicher und klar nachvollziehbarer Form einen aussagekräftigen Überblick über die beabsichtigte Verarbeitung zu vermitteln. Werden die Bildsymbole in elektronischer Form dargestellt, so müssen sie maschinenlesbar sein.
(8) Erlässt die Kommission nach Artikel 12 Absatz 8 der Verordnung (EU) 2016/679 delegierte Rechtsakte, in denen sie die durch Bildsymbole darzustellenden Informationen und die Verfahren für die Bereitstellung standardisierter Bildsymbole festlegt, so stellen die Organe und Einrichtungen der Union gegebenenfalls die Informationen gemäß den Artikeln 15 und 16 der vorliegenden Verordnung in Kombination mit diesen standardisierten Bildsymbolen bereit.
(1) Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten sämtliche folgenden Informationen mit:
a) den Namen und die Kontaktdaten des Verantwortlichen,
b) die Kontaktdaten des Datenschutzbeauftragten,
c) die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung,
d) gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten,
e) gegebenenfalls die Absicht des Verantwortlichen, personenbezogene Daten an ein Drittland oder eine internationale Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder — im Falle von Übermittlungen nach Artikel 48 — einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, wie eine Kopie von ihnen zu erhalten ist oder wo sie verfügbar sind.
(2) Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten die folgenden weiteren Informationen zur Verfügung, die notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten:
a) die Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer,
b) das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung in Bezug auf die betroffene Person, oder gegebenenfalls eines Widerspruchrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit,
c) wenn die Verarbeitung auf Artikel 5 Absatz 1 Buchstabe d oder Artikel 10 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird,
d) das Bestehen eines Beschwerderechts beim Europäischen Datenschutzbeauftragten,
e) ob die Bereitstellung personenbezogener Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche mögliche Folgen die Nichtbereitstellung hätte,
f) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling nach Artikel 24 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
(3) Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiter zu verarbeiten als den, für den die personenbezogenen Daten erhoben wurden, so stellt er der betroffenen Person vor dieser weiteren Verarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen nach Absatz 2 zur Verfügung.
(4) Die Absätze 1, 2 und 3 finden keine Anwendung, wenn und soweit die betroffene Person bereits über die Informationen verfügt.
(1) Wurden personenbezogene Daten nicht bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person folgende Informationen mit:
a) den Namen und die Kontaktdaten des Verantwortlichen,
b) die Kontaktdaten des Datenschutzbeauftragten,
c) die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung,
d) die Kategorien personenbezogener Daten, die verarbeitet werden,
e) gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten,
f) gegebenenfalls die Absicht des Verantwortlichen, die personenbezogene Daten an einen Empfänger in einem Drittland oder einer internationalen Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 48 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, eine Kopie von ihnen zu erhalten, oder wo sie verfügbar sind.
(2) Zusätzlich zu den Informationen nach Absatz 1 stellt der Verantwortliche der betroffenen Person die folgenden weiteren Informationen zur Verfügung, die erforderlich sind, um der betroffenen Person gegenüber eine faire und transparente Verarbeitung zu gewährleisten:
a) die Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer,
(1) Die betroffene Person hat das Recht, vom Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über die personenbezogenen Daten und auf folgende Informationen:
a) die Verarbeitungszwecke,
b) die Kategorien personenbezogener Daten, die verarbeitet werden,
c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt wurden oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen,
d) falls möglich, die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer,
e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung; n,
f) das Bestehen eines Beschwerderechts beim Europäischen Datenschutzbeauftragten
g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten,
h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 24 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
Die betroffene Person hat das Recht, von dem Verantwortlichen unverzüglich die Berichtigung sie betreffender unrichtiger personenbezogener Daten zu verlangen. Unter Berücksichtigung der Zwecke der Verarbeitung hat die betroffene Person das Recht, die Vervollständigung unvollständiger personenbezogener Daten — auch mittels einer ergänzenden Erklärung — zu verlangen.
(1) Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:
a) die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig,
b) die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung nach Artikel 5 Absatz 1 Buchstabe d oder Artikel 10 Absatz 2 Buchstabe a stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung,
c) die betroffene Person legt gemäß Artikel 23 Absatz 1 Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor,
d) die personenbezogenen Daten wurden unrechtmäßig verarbeitet,
e) die Löschung der personenbezogenen Daten ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt,
f) die personenbezogenen Daten wurden in Bezug auf angebotene Dienste der Informationsgesellschaft gemäß Artikel 8 Absatz 1 erhoben.
(2) Hat der Verantwortliche die personenbezogenen Daten öffentlich gemacht und ist er gemäß Absatz 1 zu deren Löschung verpflichtet, so trifft er unter Berücksichtigung der verfügbaren Technik und der Implementierungskosten angemessene Maßnahmen, auch technischer Art, um die Verantwortlichen oder die Verantwortlichen, die nicht Organe und Einrichtungen der Union sind, die diese personenbezogenen Daten verarbeiten, darüber zu informieren, dass eine betroffene Person von ihnen die Löschung aller Links zu diesen personenbezogenen Daten oder von Kopien oder Replikationen dieser personenbezogenen Daten verlangt hat.
(3) Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist
a) zur Ausübung des Rechts auf freie Meinungsäußerung und Information,
b) zur Erfüllung einer rechtlichen Verpflichtung, der der Verantwortliche unterliegt, oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde,
c) aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit gemäß Artikel 10 Absatz 2 Buchstaben h und i sowie Absatz 3,
d) für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke, soweit das in Absatz 1 genannte Recht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt, oder
e) zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
(1) Die betroffene Person hat das Recht, bei dem Verantwortlichen eine Einschränkung der Verarbeitung zu erwirken, wenn eine der folgenden Voraussetzungen gegeben ist:
a) die Richtigkeit der personenbezogenen Daten wird von der betroffenen Person bestritten, und zwar für eine Dauer, die es dem Verantwortlichen ermöglicht, die Richtigkeit einschließlich der Vollständigkeit der personenbezogenen Daten zu überprüfen,
b) die Verarbeitung ist unrechtmäßig und die betroffene Person lehnt die Löschung der personenbezogenen Daten ab und verlangt stattdessen die Einschränkung der Nutzung der personenbezogenen Daten,
c) der Verantwortliche benötigt die personenbezogenen Daten nicht länger für die Zwecke der Verarbeitung, die betroffene Person benötigt sie jedoch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen,
d) die betroffene Person hat Widerspruch gegen die Verarbeitung nach Artikel 23 Absatz 1 eingelegt und es ist noch nicht geklärt, ob die berechtigten Gründe des Verantwortlichen gegenüber denen der betroffenen Person überwiegen.
(2) Wurde die Verarbeitung gemäß Absatz 1 eingeschränkt, so dürfen diese personenbezogenen Daten — von ihrer Speicherung abgesehen — nur mit Einwilligung der betroffenen Person oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder zum Schutz der Rechte einer anderen natürlichen oder juristischen Person oder aus Gründen eines wichtigen öffentlichen Interesses der Union oder eines Mitgliedstaats verarbeitet werden.
(3) Eine betroffene Person, die eine Einschränkung der Verarbeitung gemäß Absatz 1 erwirkt hat, wird von dem Verantwortlichen unterrichtet, bevor die Einschränkung aufgehoben wird.
(4) In automatisierten Dateisystemen erfolgt die Einschränkung der Verarbeitung grundsätzlich durch technische Mittel. Die Tatsache, dass personenbezogene Daten eingeschränkt sind, wird in dem System auf eine Weise angegeben, die deutlich macht, dass die personenbezogenen Daten nicht genutzt werden dürfen.
Der Verantwortliche teilt allen Empfängern, denen personenbezogene Daten offengelegt wurden, eine Berichtigung oder Löschung der personenbezogenen Daten oder eine Einschränkung der Verarbeitung nach Artikel 18, Artikel 19 Absatz 1 und Artikel 20 mit, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden. Der Verantwortliche unterrichtet die betroffene Person über diese Empfänger, wenn die betroffene Person dies verlangt.
(1) Die betroffene Person hat das Recht, die sie betreffenden personenbezogenen Daten, die sie einem Verantwortlichen bereitgestellt hat, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten, und sie hat das Recht, diese Daten einem anderen Verantwortlichen ohne Behinderung durch den Verantwortlichen, dem die personenbezogenen Daten bereitgestellt wurden, zu übermitteln, sofern
a) die Verarbeitung auf einer Einwilligung gemäß Artikel 5 Absatz 1 Buchstabe d oder Artikel 10 Absatz 2 Buchstabe a oder auf einem Vertrag gemäß Artikel 5 Absatz 1 Buchstabe c beruht und
b) die Verarbeitung mittels automatisierter Verfahren erfolgt.
(2) Bei der Ausübung ihres Rechts auf Datenübertragbarkeit nach Absatz 1 hat die betroffene Person das Recht, zu erwirken, dass die personenbezogenen Daten direkt von einem Verantwortlichen einem anderen Verantwortlichen, oder Verantwortlichen, die nicht Organe oder Einrichtungen der Union sind, übermittelt werden, soweit dies technisch machbar ist.
(3) Die Ausübung des Rechts nach Absatz 1 des vorliegenden Artikels lässt Artikel 19 unberührt. Dieses Recht gilt nicht für eine Verarbeitung, die für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde.
(4) Das Recht gemäß Absatz 1 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.
(1) Die betroffene Person hat das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung sie betreffender personenbezogener Daten, die aufgrund von Artikel 5 Absatz 1 Buchstabe a erfolgt, Widerspruch einzulegen; dies gilt auch für ein auf diese Bestimmung gestütztes Profiling. Der Verantwortliche verarbeitet die personenbezogenen Daten nicht mehr, es sei denn, er kann zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
(2) Die betroffene Person muss spätestens zum Zeitpunkt der ersten Kommunikation mit ihr ausdrücklich auf das Recht nach Absatz 1 hingewiesen werden; dieser Hinweis hat in einer verständlichen und von anderen Informationen getrennten Form zu erfolgen.
(3) Im Zusammenhang mit der Nutzung von Diensten der Informationsgesellschaft kann die betroffene Person unbeschadet der Artikel 36 und 37 ihr Widerspruchsrecht mittels automatisierter Verfahren ausüben, bei denen technische Spezifikationen verwendet werden.
(4) Die betroffene Person hat das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, gegen die sie betreffende Verarbeitung sie betreffender personenbezogener Daten, die zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken erfolgt, Widerspruch einzulegen, es sei denn, die Verarbeitung ist zur Erfüllung einer im öffentlichen Interesse liegenden Aufgabe erforderlich.
(1) Die betroffene Person hat das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung — einschließlich Profiling — beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkungen entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.
(2) Absatz 1 gilt nicht, wenn die Entscheidung
a) für den Abschluss oder die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen erforderlich ist,
b) aufgrund von Unionsrecht zulässig ist, das auch angemessene Maßnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person enthält, oder
c) mit ausdrücklicher Einwilligung der betroffenen Person erfolgt.
(3) In den in Absatz 2 Buchstaben a und c genannten Fällen trifft der Verantwortliche angemessene Maßnahmen, um die Rechte und Freiheiten sowie die berechtigten Interessen der betroffenen Person zu wahren, wozu mindestens das Recht auf Erwirkung des Eingreifens einer Person seitens des Verantwortlichen, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung gehört.
(4) Entscheidungen nach Absatz 2 des vorliegenden Artikels dürfen nicht auf besonderen Kategorien personenbezogener Daten gemäß Artikel 10 Absatz 1 beruhen, sofern nicht Artikel 10 Absatz 2 Buchstabe a oder g gilt und angemessene Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person getroffen wurden.
(1) Die Anwendung der Artikel 14 bis 22, 35 und 36 sowie des Artikels 4, insofern dessen Bestimmungen den in den Artikeln 14 bis 22 vorgesehenen Rechten und Pflichten entsprechen, kann durch auf der Grundlage der Verträge erlassene Rechtsakte beziehungsweise in Angelegenheiten, die die Tätigkeit der Organe und Einrichtungen der Union betreffen, durch von diesen festgelegte interne Vorschriften beschränkt werden, sofern eine solche Beschränkung den Wesensgehalt der Grundrechte und Grundfreiheiten achtet und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellt, die Folgendes sicherstellt:
a) die nationale Sicherheit, die öffentliche Sicherheit oder die Landesverteidigung der Mitgliedstaaten,
b) die Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten oder die Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit,
c) sonstige wichtige Ziele des allgemeinen öffentlichen Interesses der Union oder eines Mitgliedstaats, insbesondere die Ziele der gemeinsamen Außen- und Sicherheitspolitik der Union oder ein wichtiges wirtschaftliches oder finanzielles Interesse der Union oder eines Mitgliedstaats, etwa im Währungs-, Haushalts- und Steuerbereich sowie im Bereich der öffentlichen Gesundheit und der sozialen Sicherheit,
d) die innere Sicherheit der Organe und Einrichtungen der Union einschließlich ihrer elektronischen Kommunikationsnetze,
e) der Schutz der Unabhängigkeit der Justiz und der Schutz von Gerichtsverfahren,
f) die Verhütung, Ermittlung, Aufdeckung und Verfolgung von Verstößen gegen die berufsständischen Regeln reglementierter Berufe,
g) Kontroll-, Überwachungs-, und Ordnungsfunktionen, die dauernd oder zeitweise mit der Ausübung öffentlicher Gewalt in den unter den Buchstaben a bis c genannten Fällen verbunden sind,
h) der Schutz der betroffenen Person oder der Rechte und Freiheiten anderer Personen,
i) die Durchsetzung zivilrechtlicher Ansprüche.
(2) Jeder Rechtsakt bzw. jede interne Vorschrift gemäß Absatz 1 muss insbesondere gegebenenfalls spezifische Vorschriften enthalten in Bezug auf:
a) die Zwecke der Verarbeitung oder die Verarbeitungskategorien;
b) die Kategorien personenbezogener Daten;
c) den Umfang der vorgenommenen Beschränkungen;
d) die Garantien gegen Missbrauch oder unrechtmäßigen Zugang oder unrechtmäßige Übermittlung;
e) die Angaben zu dem Verantwortlichen oder den Kategorien von Verantwortlichen;
f) die jeweiligen Speicherfristen sowie die geltenden Garantien unter Berücksichtigung von Art, Umfang und Zwecken der Verarbeitung oder der Verarbeitungskategorien und
g) die Risiken für die Rechte und Freiheiten der betroffenen Personen.
(3) In Bezug auf die Verarbeitung personenbezogener Daten zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken kann Unionsrecht, einschließlich interner Vorschriften, die von Organen und Einrichtungen der Union in Fragen, die ihre Tätigkeit betreffen, erlassen wurden, vorbehaltlich der in Artikel 13 genannten Bedingungen und Garantien insoweit Ausnahmeregelungen von den in den Artikeln 17, 18, 20 und 23 genannten Rechten vorsehen, als diese Rechte voraussichtlich die Verwirklichung der spezifischen Zwecke unmöglich machen oder ernsthaft beeinträchtigen und solche Ausnahmeregelungen für die Erfüllung dieser Zwecke notwendig sind.
(4) In Bezug auf die Verarbeitung personenbezogener Daten für im öffentlichen Interesse liegende Archivierungszwecke kann Unionsrecht, einschließlich interner Vorschriften, die von Organen und Einrichtungen der Union in Fragen, die ihre Tätigkeit betreffen, erlassen wurden, vorbehaltlich der in Artikel 13 genannten Bedingungen und Garantien insoweit Ausnahmeregelungen von den in den Artikeln 17, 18, 20, 21, 22 und 23 genannten Rechten vorsehen, als diese Rechte voraussichtlich die Verwirklichung der spezifischen Zwecke unmöglich machen oder ernsthaft beeinträchtigen und solche Ausnahmeregelungen für die Erfüllung dieser Zwecke notwendig sind.
(5) Amtsblatt der Europäischen Union
(6) Findet eine Beschränkung gemäß Absatz 1 Anwendung, ist die betroffene Person gemäß dem Unionsrecht über die wesentlichen Gründe für diese Beschränkung und über ihr Beschwerderecht beim Europäischen Datenschutzbeauftragten zu unterrichten.
(7) Wird eine Beschränkung gemäß Absatz 1 angewandt, um der betroffenen Person die Auskunft zu verweigern, so teilt der Europäische Datenschutzbeauftragte bei der Prüfung der Beschwerde der betroffenen Person nur mit, ob die Daten ordnungsgemäß verarbeitet wurden und, falls dies nicht der Fall ist, ob notwendige Korrekturen vorgenommen wurden.
(8) Die Unterrichtung nach den Absätzen 6 und 7 des vorliegenden Artikels sowie in Artikel 45 Absatz 2 kann zurückgestellt, unterlassen oder abgelehnt werden, wenn sie die Wirkung der gemäß Absatz 1 des vorliegenden Artikels angewendeten Beschränkung zunichtemachen würde.
(3) Ein genehmigtes Zertifizierungsverfahren gemäß Artikel 42 der Verordnung (EU) 2016/679 kann als Gesichtspunkt herangezogen werden, um die Erfüllung der in den Absätzen 1 und 2 genannten Anforderungen nachzuweisen.
(1) Legen zwei oder mehr Verantwortliche oder ein oder mehrere Verantwortliche zusammen mit einem oder mehreren Verantwortlichen, die nicht Organe oder Einrichtungen der Union sind, gemeinsam die Zwecke der und die Mittel zur Verarbeitung fest, so sind sie gemeinsam Verantwortliche. Sie legen in einer Vereinbarung in transparenter Form fest, wer von ihnen welche Verpflichtung für die Einhaltung ihrer Datenschutzpflichten hat, insbesondere was die Wahrnehmung der Rechte der betroffenen Person und ihre jeweiligen Informationspflichten nach den Artikeln 15 und 16 angeht, sofern und soweit die jeweiligen Zuständigkeiten der gemeinsam Verantwortlichen nicht durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen die gemeinsam Verantwortlichen unterliegen, festgelegt sind. In der Vereinbarung kann eine Anlaufstelle für betroffene Personen angegeben werden.
(2) Die Vereinbarung gemäß Absatz 1 muss die jeweiligen tatsächlichen Funktionen und Beziehungen der gemeinsam Verantwortlichen gegenüber den betroffenen Personen gebührend widerspiegeln. Das wesentliche der Vereinbarung wird der betroffenen Person zur Verfügung gestellt.
(3) Ungeachtet der Einzelheiten der Vereinbarung gemäß Absatz 1 kann die betroffene Person ihre Rechte im Rahmen dieser Verordnung bei und gegenüber jedem einzelnen der Verantwortlichen geltend machen.
(1) Erfolgt eine Verarbeitung im Auftrag eines Verantwortlichen, so arbeitet dieser nur mit Auftragsverarbeitern, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen dieser Verordnung erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet.
(2) Der Auftragsverarbeiter nimmt keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen in Anspruch. Im Falle einer allgemeinen schriftlichen Genehmigung informiert der Auftragsverarbeiter den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung anderer Auftragsverarbeiter, wodurch der Verantwortliche die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben.
(3) Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments nach dem Recht der Union oder dem Recht der Mitgliedstaaten, der bzw. das den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet und in dem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festgelegt sind. Dieser Vertrag bzw. dieses andere Rechtsinstrument sieht insbesondere vor, dass der Auftragsverarbeiter
a) die personenbezogenen Daten nur auf dokumentierte Weisung des Verantwortlichen — auch in Bezug auf Übermittlungen personenbezogener Daten an ein Drittland oder eine internationale Organisation — sofern er nicht nach dem Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet,
b) gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen,
c) alle gemäß Artikel 33 erforderlichen Maßnahmen ergreift,
d) die in den Absätzen 2 und 4 genannten Bedingungen für die Inanspruchnahme der Dienste eines weiteren Auftragsverarbeiters einhält,
e) angesichts der Art der Verarbeitung den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei unterstützt, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III genannten Rechte der betroffenen Person nachzukommen,
f) unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen den Verantwortlichen bei der Einhaltung der in den Artikeln 33 bis 41 genannten Pflichten unterstützt,
g) nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten nach Wahl des Verantwortlichen entweder löscht oder zurückgibt und die vorhandenen Kopien löscht, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht,
h) dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in diesem Artikel niedergelegten Pflichten zur Verfügung stellt und Überprüfungen — einschließlich Inspektionen —, die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, ermöglicht und dazu beiträgt.
Mit Blick auf Unterabsatz 1 Buchstabe h informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich, falls er der Auffassung ist, dass eine Weisung gegen diese Verordnung oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt.
(4) Nimmt der Auftragsverarbeiter die Dienste eines weiteren Auftragsverarbeiters in Anspruch, um bestimmte Verarbeitungstätigkeiten im Namen des Verantwortlichen auszuführen, so werden diesem weiteren Auftragsverarbeiter im Wege eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht des betreffenden Mitgliedstaats dieselben Datenschutzpflichten auferlegt, die in dem Vertrag oder anderen Rechtsinstrument zwischen dem Verantwortlichen und dem Auftragsverarbeiter nach Absatz 3 festgelegt sind, wobei insbesondere hinreichende Garantien dafür geboten werden müssen, dass die geeigneten technischen und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung entsprechend den Anforderungen dieser Verordnung erfolgt. Kommt der weitere Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, so haftet der erste Auftragsverarbeiter gegenüber dem Verantwortlichen weiterhin in vollem Umfang für die Einhaltung der Pflichten jenes anderen Auftragsverarbeiters.
(5) Wenn es sich bei einem Auftragsverarbeiter nicht um ein Organ oder eine Einrichtung der Union handelt, kann die Einhaltung genehmigter Verhaltensregeln gemäß Artikel 40 Absatz 5 der Verordnung (EU) 2016/679 oder eines genehmigten Zertifizierungsverfahrens gemäß Artikel 42 der Verordnung (EU) 2016/679 herangezogen werden, um hinreichende Garantien im Sinne der Absätze 1 und 4 des vorliegenden Artikels nachzuweisen.
(6) Unbeschadet eines individuellen Vertrags zwischen dem Verantwortlichen und dem Auftragsverarbeiter kann der Vertrag oder das andere Rechtsinstrument im Sinne der Absätze 3 und 4 des vorliegenden Artikels ganz oder teilweise auf den in den Absätzen 7 und 8 des vorliegenden Artikels genannten Standardvertragsklauseln beruhen, auch wenn diese Bestandteil einer Zertifizierung sind, die einem Auftragsverarbeiter, der weder ein Organ noch eine Einrichtung der Union ist, gemäß Artikel 42 der Verordnung (EU) 2016/679 erteilt wurde.
(7) Die Kommission kann im Einklang mit dem Prüfverfahren gemäß Artikel 96 Absatz 2 Standardvertragsklauseln zur Regelung der in den Absätzen 3 und 4 des vorliegenden Artikels genannten Fragen festlegen.
(8) Der Europäische Datenschutzbeauftragte kann Standardvertragsklauseln zur Regelung der in den Absätzen 3 und 4 genannten Angelegenheiten festlegen.
(9) Der Vertrag oder das andere Rechtsinstrument im Sinne der Absätze 3 und 4 ist schriftlich abzufassen, was auch in einem elektronischen Format erfolgen kann.
(10) Unbeschadet der Artikel 65 und 66 gilt ein Auftragsverarbeiter, der unter Verstoß gegen diese Verordnung die Zwecke und Mittel der Verarbeitung bestimmt, in Bezug auf diese Verarbeitung als Verantwortlicher.
Der Auftragsverarbeiter und jede dem Verantwortlichen oder dem Auftragsverarbeiter unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich auf Weisung des Verantwortlichen verarbeiten, es sei denn, dass sie nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zur Verarbeitung verpflichtet sind.
(1) Jeder Verantwortliche führt ein Verzeichnis aller Verarbeitungstätigkeiten, die seiner Zuständigkeit unterliegen. Dieses Verzeichnis enthält sämtliche folgenden Angaben:
a) den Namen und die Kontaktdaten des Verantwortlichen, des Datenschutzbeauftragten und gegebenenfalls des Auftragsverarbeiters und des gemeinsam mit ihm Verantwortlichen,
b) die Zwecke der Verarbeitung,
c) eine Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten,
d) die Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, einschließlich Empfängern in Mitgliedstaaten, Drittländern oder internationalen Organisationen,
e) gegebenenfalls Übermittlungen von personenbezogenen Daten an ein Drittland oder an eine internationale Organisation, einschließlich der Angabe des betreffenden Drittlands oder der betreffenden internationalen Organisation sowie die Dokumentierung geeigneter Garantien,
f) wenn möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien,
g) wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen nach Artikel 33.
(2) Jeder Auftragsverarbeiter führt ein Verzeichnis zu allen Kategorien von im Auftrag eines Verantwortlichen durchgeführten Tätigkeiten der Verarbeitung, die Folgendes enthält:
a) den Namen und die Kontaktdaten des Auftragsverarbeiters oder der Auftragsverarbeiter und jedes Verantwortlichen, in dessen Auftrag der Auftragsverarbeiter tätig ist, sowie des Datenschutzbeauftragten,
b) die Kategorien von Verarbeitungen, die im Auftrag jedes Verantwortlichen durchgeführt werden,
c) gegebenenfalls Übermittlungen von personenbezogener Daten an ein Drittland oder an eine internationale Organisation, einschließlich der Angabe des betreffenden Drittlands oder der betreffenden internationalen Organisation sowie die Dokumentierung geeigneter Garantien,
d) wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen nach Artikel 33.
(3) Das in den Absätzen 1 und 2 genannte Verzeichnis ist schriftlich zu führen, was auch in einem elektronischen Format erfolgen kann.
(4) Die Organe und Einrichtungen der Union stellen das Verzeichnis auf Anfrage dem Europäischen Datenschutzbeauftragten zur Verfügung.
(5) Die Organe und Einrichtungen der Union führen ihre Verzeichnisse der Verarbeitungen in einem zentralen Register, es sei denn, dies ist unter Berücksichtigung der Größe des Organs oder der Einrichtung der Union nicht sachgerecht. Sie machen das Register öffentlich zugänglich.
Die Organe und Einrichtungen der Union arbeiten auf Anfrage mit dem Europäischen Datenschutzbeauftragten bei der Erfüllung seiner Aufgaben zusammen.
(1) Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; diese Maßnahmen schließen gegebenenfalls unter anderem Folgendes ein:
a) die Pseudonymisierung und Verschlüsselung personenbezogener Daten,
b) die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen,
c) die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen,
d) ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.
(2) Bei der Beurteilung des angemessenen Schutzniveaus sind insbesondere die Risiken zu berücksichtigen, die mit der Verarbeitung verbunden sind, insbesondere durch — ob unbeabsichtigt oder unrechtmäßig — Vernichtung, Verlust, Veränderung oder unbefugte Offenlegung von beziehungsweise unbefugten Zugang zu personenbezogenen Daten, die übermittelt, gespeichert oder auf andere Weise verarbeitet wurden.
(3) Der Verantwortliche und der Auftragsverarbeiter unternehmen Schritte, um sicherzustellen, dass ihnen unterstellte natürliche Personen, die Zugang zu personenbezogenen Daten haben, diese nur auf Anweisung des Verantwortlichen verarbeiten, es sei denn, sie sind nach Unionsrecht zur Verarbeitung verpflichtet.
(4) Die Einhaltung eines genehmigten Zertifizierungsverfahrens gemäß Artikel 42 der Verordnung (EU) 2016/679 kann als Gesichtspunkt herangezogen werden, um die Erfüllung der in Absatz 1 genannten Anforderungen nachzuweisen.
(1) Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese dem Europäischen Datenschutzbeauftragten, es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Erfolgt die Meldung beim Europäischen Datenschutzbeauftragten nicht innerhalb von 72 Stunden, so ist ihr eine Begründung für die Verzögerung beizufügen.
(2) Wenn dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt wird, meldet er diese dem Verantwortlichen unverzüglich.
(3) Die Meldung nach Absatz 1 enthält zumindest folgende Informationen:
a) eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze,
b) den Namen und die Kontaktdaten des Datenschutzbeauftragten,
c) eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten,
d) eine Beschreibung der vom Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.
(4) Wenn und soweit die Informationen nicht zur gleichen Zeit bereitgestellt werden können, kann der Verantwortliche diese Informationen ohne unangemessene weitere Verzögerung schrittweise zur Verfügung stellen.
(5) Der Verantwortliche unterrichtet den Datenschutzbeauftragten über die Verletzung des Schutzes personenbezogener Daten.
(1) Hat die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so benachrichtigt der Verantwortliche die betroffene Person unverzüglich von der Verletzung.
(2) Die in Absatz 1 des vorliegenden Artikels genannte Benachrichtigung der betroffenen Person beschreibt in klarer und einfacher Sprache die Art der Verletzung des Schutzes personenbezogener Daten und enthält zumindest die in Artikel 34 Absatz 3 Buchstaben b, c und d genannten Informationen und Maßnahmen.
(3) Die Benachrichtigung der betroffenen Person gemäß Absatz 1 ist nicht erforderlich, wenn eine der folgenden Bedingungen erfüllt ist:
a) der Verantwortliche geeignete technische und organisatorische Sicherheitsvorkehrungen getroffen hat und diese Vorkehrungen auf die von der Verletzung betroffenen personenbezogenen Daten angewandt wurden, insbesondere solche, durch die die personenbezogenen Daten für alle Personen, die nicht zum Zugang zu den personenbezogenen Daten befugt sind, unzugänglich gemacht werden, etwa durch Verschlüsselung,
b) der Verantwortliche durch nachfolgende Maßnahmen sichergestellt hat, dass das hohe Risiko für die Rechte und Freiheiten der betroffenen Personen gemäß Absatz 1 aller Wahrscheinlichkeit nach nicht mehr besteht,
c) dies mit einem unverhältnismäßigen Aufwand verbunden wäre. In diesem Fall hat stattdessen eine öffentliche Bekanntmachung oder eine ähnliche Maßnahme zu erfolgen, durch die die betroffenen Personen vergleichbar wirksam informiert werden.
(4) Wenn der Verantwortliche die betroffene Person nicht bereits über die Verletzung des Schutzes personenbezogener Daten benachrichtigt hat, kann der Europäische Datenschutzbeauftragte unter Berücksichtigung der Wahrscheinlichkeit, mit der die Verletzung des Schutzes personenbezogener Daten zu einem hohen Risiko führt, von dem Verantwortlichen verlangen, dies nachzuholen, oder er kann mit einem Beschluss feststellen, dass bestimmte der in Absatz 3 genannten Voraussetzungen erfüllt sind.
Die Organe und Einrichtungen der Union gewährleisten die Vertraulichkeit der elektronischen Kommunikation, insbesondere durch Sicherung ihrer elektronischen Kommunikationsnetze.
Die Organe und Einrichtungen der Union schützen die Informationen, die an Endeinrichtungen der Nutzer übertragen werden, dort gespeichert werden, sich darauf beziehen, dort verarbeitet werden oder daraus erhoben werden, beim Zugriff auf ihre öffentlich zugänglichen Websites und mobilen Anwendungen im Einklang mit Artikel 5 Absatz 3 der Richtlinie 2002/58/EG.
(1) Personenbezogene Daten in Nutzerverzeichnissen und der Zugang zu solchen Verzeichnissen sind auf das für die besonderen Zwecke des Nutzerverzeichnisses unbedingt erforderliche Maß zu beschränken.
(2) Die Organe und Einrichtungen der Union treffen die erforderlichen Maßnahmen, um zu verhindern, dass die in diesen Verzeichnissen enthaltenen personenbezogenen Daten, unabhängig davon, ob sie der Öffentlichkeit zugänglich sind, für Zwecke des Direktmarketings verwendet werden.
(1) Hat eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so führt der Verantwortliche vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durch. Für die Untersuchung mehrerer ähnlicher Verarbeitungsvorgänge mit ähnlich hohen Risiken kann eine einzige Abschätzung vorgenommen werden.
(2) Der Verantwortliche holt bei der Durchführung einer Datenschutz-Folgenabschätzung den Rat des Datenschutzbeauftragten ein.
(3) Eine Datenschutz-Folgenabschätzung nach Absatz 1 ist insbesondere in folgenden Fällen erforderlich:
a) systematische und umfassende Bewertung persönlicher Aspekte natürlicher Personen, die sich auf eine automatisierte Verarbeitung einschließlich Profiling gründet und die ihrerseits als Grundlage für Entscheidungen dient, die Rechtswirkungen gegenüber natürlichen Personen entfalten oder diese in ähnlicher erheblicher Weise beeinträchtigen,
b) umfangreiche Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Artikel 10 oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 11 oder
c) systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.
(4) Der Europäische Datenschutzbeauftragte erstellt eine Liste der Verarbeitungsvorgänge, für die gemäß Absatz 1 eine Datenschutz-Folgenabschätzung durchzuführen ist, und veröffentlicht diese.
(5) Der Europäische Datenschutzbeauftragte kann des Weiteren eine Liste der Arten von Verarbeitungsvorgängen erstellen und veröffentlichen, für die keine Datenschutz-Folgenabschätzung erforderlich ist.
(6) Vor Festlegung der in den Absätzen 4 und 5 des vorliegenden Artikels genannten Listen fordert der Europäische Datenschutzbeauftragte den durch Artikel 68 der Verordnung (EU) 2016/679 eingerichteten Europäischen Datenschutzausschuss auf, diese Listen gemäß Artikel 70 Absatz 1 Buchstabe e der genannten Verordnung zu prüfen, wenn sie sich auf Verarbeitungsvorgänge eines Verantwortlichen beziehen, der gemeinsam mit einem oder mehreren Verantwortlichen, die nicht Organe oder Einrichtungen der Union sind, tätig ist.
(7) Die Folgenabschätzung enthält zumindest Folgendes:
a) eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Zwecke der Verarbeitung,
b) eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf die Zwecke,
c) eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen gemäß Absatz 1 und
d) die zur Bewältigung der Risiken geplanten Abhilfemaßnahmen, einschließlich Garantien, Sicherheitsvorkehrungen und Verfahren, durch die der Schutz personenbezogener Daten sichergestellt und der Nachweis dafür erbracht wird, dass diese Verordnung eingehalten wird, wobei den Rechten und berechtigten Interessen der betroffenen Personen und sonstiger Betroffener Rechnung getragen wird.
(8) Die Einhaltung genehmigter Verhaltensregeln gemäß Artikel 40 der Verordnung (EU) 2016/679 durch die zuständigen Auftragsverarbeiter, die nicht Organe und Einrichtungen der Union sind, ist bei der Beurteilung der Auswirkungen der von diesen durchgeführten Verarbeitungsvorgänge, insbesondere für die Zwecke einer Datenschutz-Folgenabschätzung, gebührend zu berücksichtigen.
(9) Der Verantwortliche holt gegebenenfalls den Standpunkt der betroffenen Personen oder ihrer Vertreter zu der beabsichtigten Verarbeitung unbeschadet des Schutzes öffentlicher Interessen oder der Sicherheit der Verarbeitungsvorgänge ein.
(10) Falls die Verarbeitung gemäß Artikel 5 Absatz 1 Buchstabe a oder b auf einem auf der Grundlage der Verträge erlassenen Rechtsakt beruht, in dem der konkrete Verarbeitungsvorgang oder die konkreten Verarbeitungsvorgänge geregelt sind, und bereits im Rahmen der allgemeinen Folgenabschätzung vor Erlass dieses Rechtsakts eine Datenschutz-Folgenabschätzung erfolgte, gelten die Absätze 1 bis 6 des vorliegenden Artikels nicht, sofern in dem genannten Rechtsakt nichts anderes bestimmt ist.
(11) Erforderlichenfalls führt der Verantwortliche eine Überprüfung durch, um zu bewerten, ob die Verarbeitung gemäß der Datenschutz-Folgenabschätzung durchgeführt wird; dies gilt zumindest, wenn hinsichtlich des mit den Verarbeitungsvorgängen verbundenen Risikos Änderungen eingetreten sind.
(1) Der Verantwortliche konsultiert vor der Verarbeitung den Europäischen Datenschutzbeauftragten, wenn aus einer Datenschutz-Folgenabschätzung gemäß Artikel 39 hervorgeht, dass die Verarbeitung ohne Garantien, Sicherheitsvorkehrungen und Verfahren zur Risikominderung ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hätte, und das Risiko nach Auffassung des Verantwortlichen nicht durch in Bezug auf verfügbare Technologien und Implementierungskosten vertretbare Mittel gemindert werden kann. Der Verantwortliche holt den Rat des Datenschutzbeauftragten zur Notwendigkeit einer vorherigen Konsultation ein.
(2) Falls der Europäische Datenschutzbeauftragte der Auffassung ist, dass die geplante Verarbeitung gemäß Absatz 1 nicht im Einklang mit dieser Verordnung stünde, insbesondere weil der Verantwortliche das Risiko nicht ausreichend ermittelt oder nicht ausreichend eingedämmt hat, unterbreitet der Europäische Datenschutzbeauftragte dem Verantwortlichen und gegebenenfalls dem Auftragsverarbeiter innerhalb eines Zeitraums von bis zu acht Wochen nach Eingang des Ersuchens um Konsultation entsprechende schriftliche Empfehlungen und kann seine in Artikel 58 genannten Befugnisse ausüben. Diese Frist kann unter Berücksichtigung der Komplexität der beabsichtigten Verarbeitung um sechs Wochen verlängert werden. Der Europäische Datenschutzbeauftragte unterrichtet den Verantwortlichen oder gegebenenfalls den Auftragsverarbeiter über eine solche Fristverlängerung innerhalb eines Monats nach Eingang des Ersuchens um Konsultation zusammen mit den Gründen für die Verzögerung. Diese Fristen können ausgesetzt werden, bis der Europäische Datenschutzbeauftragte die für die Zwecke der Konsultation angeforderten Informationen erhalten hat.
(3) Der Verantwortliche stellt dem Europäischen Datenschutzbeauftragten bei einer Konsultation gemäß Absatz 1 folgende Informationen zur Verfügung:
a) gegebenenfalls Angaben zu den jeweiligen Zuständigkeiten des Verantwortlichen, der gemeinsam Verantwortlichen und der an der Verarbeitung beteiligten Auftragsverarbeiter,
b) die Zwecke und die Mittel der beabsichtigten Verarbeitung,
(1) Die Organe und Einrichtungen der Union unterrichten den Europäischen Datenschutzbeauftragten über die Ausarbeitung von Verwaltungsmaßnahmen und internen Vorschriften in Bezug auf die Verarbeitung personenbezogener Daten, an denen ein Organ oder eine Einrichtung der Union allein oder gemeinsam mit anderen beteiligt ist.
(2) Die Organe und Einrichtungen der Union konsultieren den Europäischen Datenschutzbeauftragten bei der Ausarbeitung der internen Vorschriften gemäß Artikel 25.
(1) Nach der Annahme von Vorschlägen für einen Gesetzgebungsakt, für Empfehlungen oder Vorschläge an den Rat nach Artikel 218 AEUV sowie bei der Ausarbeitung von delegierten Rechtsakten und Durchführungsrechtsakten, die Auswirkungen auf den Schutz der Rechte und Freiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten haben, konsultiert die Kommission den Europäischen Datenschutzbeauftragten.
(2) Ist ein Rechtsakt gemäß Absatz 1 für den Schutz der Rechte und Freiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten von besonderer Bedeutung, kann die Kommission auch den Europäischen Datenschutzausschuss konsultieren. In diesen Fällen koordinieren der Europäische Datenschutzbeauftragte und der Europäische Datenschutzausschuss ihre Arbeit im Hinblick auf eine gemeinsame Stellungnahme.
(3) Der nach den Absätzen 1 und 2 eingeholte Rat wird innerhalb eines Zeitraums von bis zu acht Wochen nach Eingang des Ersuchens um Konsultation nach den Absätzen 1 und 2 schriftlich erteilt. In dringenden Fällen oder wenn dies sonst geboten ist, kann die Kommission die Frist verkürzen.
(4) Dieser Artikel gilt nicht, wenn die Kommission nach der Verordnung (EU) 2016/679 verpflichtet ist, den Europäischen Datenschutzausschuss zu konsultieren.
(1) Jedes Organ und jede Einrichtung der Union benennt einen Datenschutzbeauftragten.
(2) Die Organe und Einrichtungen der Union können für mehrere Organe oder Einrichtungen unter Berücksichtigung ihrer Organisationsstruktur und ihrer Größe einen gemeinsamen Datenschutzbeauftragten benennen.
(3) Der Datenschutzbeauftragte wird auf der Grundlage seiner beruflichen Qualifikation und insbesondere des Fachwissens benannt, das er auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis besitzt, sowie auf der Grundlage seiner Fähigkeit zur Erfüllung der in Artikel 45 genannten Aufgaben.
(4) Der Datenschutzbeauftragte muss Bediensteter des Organs oder der Einrichtung der Union sein. Die Organe und Einrichtungen der Union können, wenn von der Möglichkeit nach Absatz 2 nicht Gebrauch gemacht wird, unter Berücksichtigung ihrer Größe einen Datenschutzbeauftragten benennen, der seine Aufgaben auf der Grundlage eines Dienstleistungsvertrags erfüllt.
(5) Die Organe und Einrichtungen der Union veröffentlichen die Kontaktdaten des Datenschutzbeauftragten und teilen sie dem Europäischen Datenschutzbeauftragten mit.
(1) Die Organe und Einrichtungen der Union stellen sicher, dass der Datenschutzbeauftragte ordnungsgemäß und frühzeitig in alle mit dem Schutz personenbezogener Daten zusammenhängenden Fragen eingebunden wird.
(2) Die Organe und Einrichtungen der Union unterstützen den Datenschutzbeauftragten bei der Erfüllung seiner Aufgaben gemäß Artikel 45, indem sie die für die Erfüllung seiner Aufgaben erforderlichen Ressourcen und den Zugang zu personenbezogenen Daten und Verarbeitungsvorgängen sowie die zur Erhaltung seines Fachwissens erforderlichen Ressourcen zur Verfügung stellen.
(3) Die Organe und Einrichtungen der Union stellen sicher, dass der Datenschutzbeauftragte bei der Erfüllung dieser Aufgaben keine Anweisungen bezüglich der Ausübung dieser Aufgaben erhält. Der Datenschutzbeauftragte darf von dem Verantwortlichen oder dem Auftragsverarbeiter wegen der Erfüllung seiner Aufgaben nicht abberufen oder benachteiligt werden. Der Datenschutzbeauftragte berichtet unmittelbar der höchsten Managementebene des Verantwortlichen oder des Auftragsverarbeiters.
(4) Betroffene Personen können den Datenschutzbeauftragten zu allen mit der Verarbeitung ihrer personenbezogenen Daten und mit der Wahrnehmung ihrer Rechte gemäß dieser Verordnung im Zusammenhang stehenden Fragen zu Rate ziehen.
(5) Der Datenschutzbeauftragte und sein Personal sind nach Unionsrecht bei der Erfüllung ihrer Aufgaben an die Wahrung der Geheimhaltung oder der Vertraulichkeit gebunden.
(6) Der Datenschutzbeauftragte kann andere Aufgaben und Pflichten wahrnehmen. Der Verantwortliche oder der Auftragsverarbeiter stellt sicher, dass derartige Aufgaben und Pflichten nicht zu einem Interessenkonflikt führen.
(7) Der Verantwortliche und der Auftragsverarbeiter, der betreffende Personalausschuss sowie jede natürliche Person können den Datenschutzbeauftragten zu jeder Frage im Zusammenhang mit der Auslegung oder Anwendung dieser Verordnung zu Rate ziehen, ohne den Dienstweg einzuhalten. Niemand darf benachteiligt werden, weil er dem zuständigen Datenschutzbeauftragten eine Angelegenheit zur Kenntnis gebracht und einen mutmaßlichen Verstoß gegen diese Verordnung dargelegt hat.
(8) Der Datenschutzbeauftragte wird für eine Amtszeit von drei bis fünf Jahren benannt und kann wiederernannt werden. Der Datenschutzbeauftragte kann von dem Organ oder der Einrichtung der Union, das beziehungsweise die ihn benannt hat, wenn er die Voraussetzungen für die Wahrnehmung seiner Aufgaben nicht mehr erfüllt und nur mit Zustimmung des Europäischen Datenschutzbeauftragten seines Amtes enthoben werden.
(9) Nach seiner Benennung wird der Datenschutzbeauftragte durch das Organ oder die Einrichtung der Union, das beziehungsweise die ihn benannt hat, beim Europäischen Datenschutzbeauftragten eingetragen.
(1) Dem Datenschutzbeauftragten obliegen folgende Aufgaben:
a) Unterrichtung und Beratung des Verantwortlichen oder des Auftragsverarbeiters und der Beschäftigten, die Verarbeitungen durchführen, hinsichtlich ihrer Pflichten nach dieser Verordnung sowie nach sonstigen Datenschutzbestimmungen der Union,
b) Gewährleistung der internen Anwendung dieser Verordnung auf unabhängige Weise; Überwachung der Einhaltung dieser Verordnung, anderer geltender Vorschriften des Unionsrechts, die Datenschutzbestimmungen enthalten, sowie von Strategien des Verantwortlichen oder des Auftragsverarbeiters für den Schutz personenbezogener Daten einschließlich der Zuweisung von Zuständigkeiten, der Sensibilisierung und der Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter und der diesbezüglichen Überprüfungen,
c) Sicherstellung der Unterrichtung betroffener Personen über ihre Rechte und Pflichten nach dieser Verordnung,
d) Beratung — auf Anfrage — im Zusammenhang mit der Notwendigkeit einer Meldung oder Benachrichtigung nach den Artikeln 34 und 35 im Falle einer Verletzung des Schutzes personenbezogener Daten,
e) Beratung — auf Anfrage — im Zusammenhang mit der Datenschutz-Folgenabschätzung und Überwachung ihrer Durchführung gemäß Artikel 39 und Konsultation des Europäischen Datenschutzbeauftragten, wenn Zweifel an der Notwendigkeit einer Datenschutz-Folgenabschätzung bestehen,
f) Beratung — auf Anfrage — im Zusammenhang mit der Notwendigkeit einer vorherigen Konsultation des Europäischen Datenschutzbeauftragten nach Artikel 40; Konsultation des Europäischen Datenschutzbeauftragten, wenn Zweifel an der Notwendigkeit einer vorherigen Konsultation bestehen,
(1) Falls kein Beschluss nach Artikel 45 Absatz 3 der Verordnung (EU) 2016/679 oder nach Artikel 36 Absatz 3 der Richtlinie (EU) 2016/680 vorliegt, darf ein Verantwortlicher oder ein Auftragsverarbeiter personenbezogene Daten an ein Drittland oder eine internationale Organisation nur übermitteln, sofern der Verantwortliche oder der Auftragsverarbeiter geeignete Garantien vorgesehen hat und sofern den betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung stehen.
(2) Die in Absatz 1 genannten geeigneten Garantien können, ohne dass hierzu eine besondere Genehmigung des Europäischen Datenschutzbeauftragten erforderlich wäre, bestehen in:
a) einem rechtlich bindenden und durchsetzbaren Dokument zwischen den Behörden oder öffentlichen Stellen,
b) Standarddatenschutzklauseln, die von der Kommission gemäß dem Prüfverfahren nach Artikel 96 Absatz 2 erlassen werden,
c) vom Europäischen Datenschutzbeauftragten angenommenen Standardschutzklauseln, die von der Kommission gemäß dem Prüfverfahren nach Artikel 96 Absatz 2 genehmigt wurden,
d) wenn es sich bei dem Auftragsverarbeiter nicht um ein Organ oder eine Einrichtung der Union handelt, verbindliche interne Datenschutzvorschriften, Verhaltensregeln oder Zertifizierungsmechanismen gemäß Artikel 46 Absatz 2 Buchstaben b, e und f der Verordnung (EU) 2016/679.
(3) Vorbehaltlich der Genehmigung durch den Europäischen Datenschutzbeauftragten können die geeigneten Garantien gemäß Absatz 1 auch insbesondere bestehen in:
a) Vertragsklauseln, die zwischen dem Verantwortlichen oder dem Auftragsverarbeiter und dem Verantwortlichen, dem Auftragsverarbeiter oder dem Empfänger der personenbezogenen Daten im Drittland oder der internationalen Organisation vereinbart wurden, oder
b) Bestimmungen, die in Verwaltungsvereinbarungen zwischen Behörden oder öffentlichen Stellen aufzunehmen sind und durchsetzbare und wirksame Rechte für die betroffenen Personen einschließen.
(4) Vom Europäischen Datenschutzbeauftragten auf der Grundlage von Artikels 9 Absatz 7 der Verordnung (EG) Nr. 45/2001 erteilte Genehmigungen bleiben so lange gültig, bis sie erforderlichenfalls vom Europäischen Datenschutzbeauftragten geändert, ersetzt oder aufgehoben werden.
(5) Die Organe und Einrichtungen der Union unterrichten den Europäischen Datenschutzbeauftragten über Kategorien von Fällen, in denen dieser Artikel angewandt wurde.
Jegliches Urteil eines Gerichts eines Drittlands und jegliche Entscheidung einer Verwaltungsbehörde eines Drittlands, mit denen von einem Verantwortlichen oder einem Auftragsverarbeiter die Übermittlung oder Offenlegung personenbezogener Daten verlangt wird, dürfen unbeschadet anderer Gründe für die Übermittlung gemäß Kapitel jedenfalls nur dann anerkannt oder vollstreckbar werden, wenn sie auf eine in Kraft befindliche internationale Übereinkunft wie etwa ein Rechtshilfeabkommen zwischen dem ersuchenden Drittland und der Union gestützt sind.
(1) Falls weder ein Angemessenheitsbeschluss nach Artikel 45 Absatz 3 der Verordnung (EU) 2016/679 oder nach Artikel 36 Absatz 3 der Richtlinie (EU) 2016/680 vorliegt noch geeignete Garantien nach Artikel 48 der vorliegenden Verordnung bestehen, ist eine Übermittlung oder eine Reihe von Übermittlungen personenbezogener Daten an ein Drittland oder an eine internationale Organisation nur unter einer der folgenden Bedingungen zulässig:
a) die betroffene Person hat in die vorgeschlagene Datenübermittlung ausdrücklich eingewilligt, nachdem sie über die für sie bestehenden möglichen Risiken derartiger Datenübermittlungen ohne Vorliegen eines Angemessenheitsbeschlusses und ohne geeignete Garantien unterrichtet wurde,
b) die Übermittlung ist für die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen oder für die Durchführung vorvertraglicher Maßnahmen auf Antrag der betroffenen Person erforderlich,
c) die Übermittlung ist zum Abschluss oder zur Erfüllung eines im Interesse der betroffenen Person von dem Verantwortlichen mit einer anderen natürlichen oder juristischen Person geschlossenen Vertrags erforderlich,
d) die Übermittlung ist aus wichtigen Gründen des öffentlichen Interesses erforderlich,
e) die Übermittlung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich,
f) die Übermittlung ist zum Schutz lebenswichtiger Interessen der betroffenen Person oder anderer Personen erforderlich, sofern die betroffene Person aus physischen oder rechtlichen Gründen außerstande ist, ihre Einwilligung zu geben, oder
g) die Übermittlung erfolgt aus einem Register, das gemäß Unionsrecht zur Information der Öffentlichkeit bestimmt ist und entweder der gesamten Öffentlichkeit oder allen Personen, die ein berechtigtes Interesse nachweisen können, zur Einsichtnahme offensteht, aber nur soweit die im Unionsrecht festgelegten Voraussetzungen für die Einsichtnahme im Einzelfall gegeben sind.
(2) Absatz 1 Buchstaben a, b und c gilt nicht für Tätigkeiten, die Organe und Einrichtungen der Union in Ausübung ihrer hoheitlichen Befugnisse durchführen.
(3) Das öffentliche Interesse im Sinne des Absatzes 1 Buchstabe d muss im Unionsrecht anerkannt sein.
(4) Datenübermittlungen gemäß Absatz 1 Buchstabe g dürfen nicht die Gesamtheit oder ganze Kategorien der im Register enthaltenen personenbezogenen Daten umfassen, es sei denn, dies ist nach Unionsrecht zulässig. Wenn das Register der Einsichtnahme durch Personen mit berechtigtem Interesse dient, darf die Übermittlung nur auf Anfrage dieser Personen oder nur dann erfolgen, wenn diese Personen die Adressaten der Übermittlung sind.
(5) Liegt kein Angemessenheitsbeschluss vor, so können im Unionsrecht aus wichtigen Gründen des öffentlichen Interesses ausdrücklich Beschränkungen der Übermittlung bestimmter Kategorien von personenbezogen Daten an Drittländer oder internationale Organisationen vorgesehen werden.
(6) Die Organe und Einrichtungen der Union unterrichten den Europäischen Datenschutzbeauftragten über Kategorien von Fällen, in denen dieser Artikel angewandt wurde.
In Bezug auf Drittländer und internationale Organisationen trifft der Europäische Datenschutzbeauftragte in Zusammenarbeit mit der Kommission und dem Europäischen Datenschutzausschuss geeignete Maßnahmen zur
a) Entwicklung von Mechanismen der internationalen Zusammenarbeit, durch die die wirksame Durchsetzung von Rechtsvorschriften zum Schutz personenbezogener Daten erleichtert wird,
b) gegenseitigen Leistung internationaler Amtshilfe bei der Durchsetzung von Rechtsvorschriften zum Schutz personenbezogener Daten, unter anderem durch Meldungen, Beschwerdeverweisungen, Amtshilfe bei Untersuchungen und Informationsaustausch, sofern geeignete Garantien für den Schutz personenbezogener Daten und anderer Grundrechte und Grundfreiheiten bestehen,
c) Einbindung maßgeblicher Interessenträger in Diskussionen und Tätigkeiten, die zum Ausbau der internationalen Zusammenarbeit bei der Durchsetzung von Rechtsvorschriften zum Schutz personenbezogener Daten dienen,
d) Förderung des Austauschs und der Dokumentation von Rechtsvorschriften und Praktiken zum Schutz personenbezogener Daten einschließlich Zuständigkeitskonflikten mit Drittländern.
(3) Die Amtszeit des Europäischen Datenschutzbeauftragten kann einmal verlängert werden.
(4) Die Aufgaben des Europäischen Datenschutzbeauftragten enden,
a) wenn das Amt des Europäischen Datenschutzbeauftragten neu besetzt wird,
b) wenn der Europäische Datenschutzbeauftragte sein Amt niederlegt,
c) wenn der Europäische Datenschutzbeauftragte seines Amtes enthoben oder verpflichtend in den Ruhestand versetzt wird.
(5) Der Europäischen Datenschutzbeauftragten kann auf Antrag des Europäischen Parlaments, des Rates oder der Kommission vom Gerichtshof seines Amtes enthoben oder seiner Ruhegehaltsansprüche oder an ihrer Stelle gewährten Vergünstigungen für verlustig erklärt werden, wenn er die Voraussetzungen für die Wahrnehmung seiner Aufgaben nicht mehr erfüllt oder eine schwere Verfehlung begangen hat.
(6) Im Falle einer regulären Neubestellung oder eines freiwilligen Rücktritts bleibt der Europäische Datenschutzbeauftragte dennoch bis zur Neubesetzung im Amt.
(7) Die Artikel 11 bis 14 sowie Artikel 17 des Protokolls über die Vorrechte und Befreiungen der Europäischen Union finden auch auf den Europäischen Datenschutzbeauftragten Anwendung.
(1) Der Europäische Datenschutzbeauftragte ist hinsichtlich seiner Dienstbezüge, seiner Zulagen, seines Ruhegehalts und sonstiger anstelle von Dienstbezügen gewährten Vergütungen einem Richter am Gerichtshof gleichgestellt.
(2) Die Haushaltsbehörde gewährleistet, dass der Europäische Datenschutzbeauftragte mit dem für die Erfüllung seiner Aufgaben erforderlichen Personal und den erforderlichen finanziellen Mitteln ausgestattet wird.
(3) Der Haushalt des Europäischen Datenschutzbeauftragten wird in einer eigenen Haushaltslinie im Abschnitt zu den Verwaltungsausgaben des Gesamthaushaltplans der Union ausgewiesen.
(4) Der Europäische Datenschutzbeauftragte wird von einer Geschäftsstelle unterstützt. Die Beamten und sonstigen Bediensteten dieser Geschäftsstelle werden vom Europäischen Datenschutzbeauftragten eingestellt und ihr Vorgesetzter ist der Europäische Datenschutzbeauftragte. Sie unterstehen ausschließlich seiner Leitung. Ihre Zahl wird jährlich im Rahmen des Haushaltsverfahrens festgelegt. Auf Mitarbeiter des Europäischen Datenschutzbeauftragten, die an der Ausführung von Aufgaben beteiligt sind, die gemäß dem Unionsrecht dem Datenschutzausschuss übertragen wurden, findet Artikel 75 Absatz 2 der Verordnung (EU) 2016/679 Anwendung.
(5) Die Beamten und sonstigen Bediensteten der Geschäftsstelle des Europäischen Datenschutzbeauftragten unterliegen den Vorschriften und Regelungen für die Beamten und sonstigen Bediensteten der Union.
(6) Der Europäische Datenschutzbeauftragte hat seinen Sitz in Brüssel.
(1) Der Europäische Datenschutzbeauftragte handelt bei der Erfüllung seiner Aufgaben und bei der Ausübung seiner Befugnisse gemäß dieser Verordnung völlig unabhängig.
(2) Der Europäische Datenschutzbeauftragte unterliegt bei der Erfüllung seiner Aufgaben und der Ausübung seiner Befugnisse gemäß dieser Verordnung weder direkter noch indirekter Beeinflussung von außen und ersucht weder um Weisungen noch nimmt er Weisungen entgegen.
(3) Der Europäische Datenschutzbeauftragte sieht von allen mit den Aufgaben seines Amtes nicht zu vereinbarenden Handlungen ab und übt während seiner Amtszeit keine andere mit seinem Amt nicht zu vereinbarende entgeltliche oder unentgeltliche Tätigkeit aus.
(4) Nach Ablauf seiner Amtszeit ist der Europäische Datenschutzbeauftragte verpflichtet, im Hinblick auf die Annahme von Tätigkeiten und Vorteilen ehrenhaft und zurückhaltend zu handeln.
Der Europäische Datenschutzbeauftragte und sein Personal sind während ihrer Amtszeit und auch nach deren Beendigung verpflichtet, über alle vertraulichen Informationen, die ihnen bei der Wahrnehmung ihrer dienstlichen Aufgaben bekannt geworden sind, Verschwiegenheit zu bewahren.
(1) Unbeschadet anderer in dieser Verordnung dargelegter Aufgaben muss der Europäische Datenschutzbeauftragte
a) die Anwendung dieser Verordnung durch die Organe und Einrichtungen der Union überwachen und durchsetzen, mit Ausnahme der Verarbeitung personenbezogener Daten durch den Gerichtshof im Rahmen seiner justiziellen Tätigkeit,
b) die Öffentlichkeit für die Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung sensibilisieren und sie darüber aufklären. Besondere Beachtung finden dabei spezifische Maßnahmen für Kinder,
c) die Verantwortlichen und die Auftragsverarbeiter für die ihnen aus dieser Verordnung entstehenden Pflichten sensibilisieren,
d) auf Anfrage jeder betroffenen Person Informationen über die Ausübung ihrer Rechte nach dieser Verordnung zur Verfügung stellen und gegebenenfalls zu diesem Zweck mit den nationalen Aufsichtsbehörden zusammenarbeiten,
e) sich mit Beschwerden einer betroffenen Person oder Beschwerden einer Stelle, einer Organisation oder eines Verbandes gemäß Artikel 67 befassen, den Gegenstand der Beschwerde in angemessenem Umfang untersuchen und den Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung unterrichten, insbesondere, wenn eine weitere Untersuchung oder eine Koordinierung mit einer anderen Aufsichtsbehörde notwendig ist,
f) Untersuchungen über die Anwendung dieser Verordnung durchführen, auch auf der Grundlage von Informationen einer anderen Aufsichtsbehörde oder einer anderen Behörde,
g) von sich aus oder auf Anfrage alle Organe und Einrichtungen der Union bei legislativen und administrativen Maßnahmen zum Schutz der Rechte und Freiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten beraten,
h) maßgebliche Entwicklungen verfolgen, soweit sie sich auf den Schutz personenbezogener Daten auswirken, insbesondere die Entwicklung der Informations- und Kommunikationstechnologie,
i) Standardvertragsklauseln im Sinne des Artikels 29 Absatz 8 und Artikel 48 Absatz 2 Buchstabe c festlegen,
j) eine Liste der Verarbeitungsarten erstellen und führen, für die gemäß Artikel 39 Absatz 4 eine Datenschutz-Folgenabschätzung durchzuführen ist,
k) an den Tätigkeiten des Europäischen Datenschutzausschusses teilnehmen,
l) nach Artikel 75 der Verordnung (EU) 2016/679 die Geschäftsstelle für den Europäischen Datenschutzausschuss bereitstellen,
m) Beratung in Bezug auf die in Artikel 40 Absatz 2 genannten Verarbeitungsvorgänge leisten,
n) Vertragsklauseln und Bestimmungen im Sinne des Artikels 48 Absatz 3 genehmigen,
o) interne Verzeichnisse über Verstöße gegen diese Verordnung und gemäß Artikel 58 Absatz 2 ergriffene Maßnahmen führen,
p) jede sonstige Aufgabe im Zusammenhang mit dem Schutz personenbezogener Daten erfüllen; und
q) sich eine Geschäftsordnung geben.
(2) Der Europäische Datenschutzbeauftragte erleichtert das Einreichen von in Absatz 1 Buchstabe e genannten Beschwerden mittels eines Beschwerdeformulars, das auch elektronisch ausgefüllt werden kann, ohne dass andere Kommunikationsmittel ausgeschlossen werden.
(3) Die Erfüllung der Aufgaben des Europäischen Datenschutzbeauftragten ist für die betroffene Person unentgeltlich.
(4) Bei offenkundig unbegründeten oder — insbesondere im Fall von häufiger Wiederholung — exzessiven Anfragen kann sich der Europäische Datenschutzbeauftragte weigern, aufgrund der Anfrage tätig zu werden. In diesem Fall trägt der Europäische Datenschutzbeauftragte die Beweislast für den offenkundig unbegründeten oder exzessiven Charakter der Anfrage.
(1) Der Europäische Datenschutzbeauftragte verfügt über folgende Untersuchungsbefugnisse
a) den Verantwortlichen und den Auftragsverarbeiter anzuweisen, alle Informationen bereitzustellen, die für die Erfüllung seiner Aufgaben erforderlich sind,
b) Untersuchungen in Form von Datenschutzprüfungen durchzuführen,
c) den Verantwortlichen oder den Auftragsverarbeiter auf einen vermeintlichen Verstoß gegen diese Verordnung hinzuweisen,
d) von dem Verantwortlichen und dem Auftragsverarbeiter Zugang zu allen personenbezogenen Daten und Informationen, die zur Erfüllung seiner Aufgaben notwendig sind, zu erhalten,
e) gemäß dem Unionsrecht Zugang zu den Räumlichkeiten, einschließlich aller Datenverarbeitungsanlagen und -geräte, des Verantwortlichen und des Auftragsverarbeiters zu erhalten.
(2) Der Europäische Datenschutzbeauftragte verfügt über folgende Abhilfebefugnisse
a) einen Verantwortlichen oder einen Auftragsverarbeiter zu warnen, dass die beabsichtigten Verarbeitungsvorgänge voraussichtlich gegen diese Verordnung verstoßen,
b) einen Verantwortlichen oder einen Auftragsverarbeiter zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen diese Verordnung verstoßen hat,
c) den betroffenen Verantwortlichen oder Auftragsverarbeiter und erforderlichenfalls das Europäische Parlament, den Rat und die Kommission mit der Angelegenheit zu befassen,
d) den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, den Anträgen der betroffenen Person auf Ausübung der ihr nach dieser Verordnung zustehenden Rechte zu entsprechen,
e) den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit dieser Verordnung zu bringen,
f) den Verantwortlichen anzuweisen, die von einer Verletzung des Schutzes personenbezogener Daten betroffene Person entsprechend zu benachrichtigen,
g) eine vorübergehende oder endgültige Beschränkung der Verarbeitung, einschließlich eines Verbots, zu verhängen,
h) die Berichtigung oder Löschung von personenbezogener Daten oder die Einschränkung der Verarbeitung gemäß den Artikeln 18, 19 und 20 und die Unterrichtung der Empfänger, an die diese personenbezogenen Daten gemäß Artikel 19 Absatz 2 und Artikel 21 offengelegt wurden, über solche Maßnahmen anzuordnen,
i) bei Nichtbefolgung einer der unter den Buchstaben d bis h und j dieses Absatzes genannten Maßnahmen durch ein Organ oder eine Einrichtung der Union je nach den Umständen des Einzelfalls eine Geldbuße gemäß Artikel 66 zu verhängen,
j) die Aussetzung der Übermittlung von Daten an einen Empfänger in einem Mitgliedstaat, einem Drittland oder an eine internationale Organisation anzuordnen.
(3) Der Europäische Datenschutzbeauftragte verfügt über folgende Genehmigungsbefugnisse und beratenden Befugnisse
a) betroffene Personen bei der Ausübung ihrer Rechte zu beraten,
b) gemäß dem Verfahren der vorherigen Konsultation nach Artikel 40 und gemäß Artikel 41 Absatz 2 den Verantwortlichen zu beraten,
c) zu allen Fragen, die im Zusammenhang mit dem Schutz personenbezogener Daten stehen, von sich aus oder auf Anfrage Stellungnahmen an die Organe und Einrichtungen der Union sowie an die Öffentlichkeit zu richten,
d) Standarddatenschutzklauseln nach Artikel 29 Absatz 8 und Artikel 48 Absatz 2 Buchstabe c festzulegen,
e) Vertragsklauseln gemäß Artikel 48 Absatz 3 Buchstabe a zu genehmigen,
f) Verwaltungsvereinbarungen gemäß Artikel 48 Absatz 3 Buchstabe b zu genehmigen,
g) Verarbeitungsvorgänge auf der Grundlage von gemäß Artikel 40 Absatz 4 erlassenen Durchführungsrechtsakten zu genehmigen.
(4) Der Europäische Datenschutzbeauftragte ist befugt, unter den in den Verträgen vorgesehenen Voraussetzungen den Gerichtshof anzurufen und beim Gerichtshof anhängigen Verfahren beizutreten.
(5) Die Ausübung der dem Europäischen Datenschutzbeauftragten mit diesem Artikel übertragenen Befugnisse erfolgt vorbehaltlich geeigneter Garantien nach Unionsrecht, einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren.
Wenn der Europäische Datenschutzbeauftragte seine Befugnisse nach Artikel 58 Absatz 2 Buchstaben a, b und c ausübt, teilt der betroffene Verantwortliche oder Auftragsverarbeiter dem Europäischen Datenschutzbeauftragten innerhalb einer angemessenen Frist, die vom Europäischen Datenschutzbeauftragten unter Berücksichtigung der Umstände des Einzelfalls festzulegen ist, seinen Standpunkt mit. Diese Stellungnahme umfasst auch eine Beschreibung der gegebenenfalls im Anschluss an die Bemerkungen des Europäischen Datenschutzbeauftragten getroffenen Maßnahmen.
(1) Der Europäische Datenschutzbeauftragte legt dem Europäischen Parlament, dem Rat und der Kommission einen Jahresbericht über seine Tätigkeit vor, den er gleichzeitig veröffentlicht.
(2) Der Europäische Datenschutzbeauftragte übermittelt den in Absatz 1 genannten Bericht den übrigen Organen und Einrichtungen der Union, die im Hinblick auf eine etwaige Prüfung des Berichts durch das Europäische Parlament Stellungnahmen abgeben können.
(1) Der Europäische Datenschutzbeauftragte kann je nach den Umständen des Einzelfalls Geldbußen gegen Organe und Einrichtungen der Union verhängen, wenn ein Organ oder eine Einrichtung der Union einer Anordnung des Europäischen Datenschutzbeauftragten nach Artikel 58 Absatz 2 Buchstaben d bis h und j nicht nachkommt. Bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag wird in jedem Einzelfall Folgendes gebührend berücksichtigt:
a) Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des ihnen entstandenen Schadens,
b) Maßnahmen des Organs oder der Einrichtung der Union zur Minderung des den betroffenen Personen entstandenen Schadens,
c) Grad der Verantwortung des Organs oder der Einrichtung der Union unter Berücksichtigung der von ihnen gemäß den Artikeln 27 und 33 getroffenen technischen und organisatorischen Maßnahmen,
d) etwaige ähnliche frühere Verstöße des Organs oder der Einrichtung der Union,
e) Umfang der Zusammenarbeit mit dem Europäischen Datenschutzbeauftragten, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Folgen zu mindern,
f) Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind,
g) Art und Weise, wie der Verstoß dem Europäischen Datenschutzbeauftragten bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang das Organ oder die Einrichtung der Union den Verstoß mitgeteilt hat,
h) Einhaltung von nach Artikel 58 bereits früher gegen das Organ oder die Einrichtung der Union in Bezug auf denselben Gegenstand angeordneten Maßnahmen. Das zur Verhängung dieser Geldbußen führende Verfahren wird innerhalb eines den Umständen des Falles angemessenen zeitlichen Rahmens unter Berücksichtigung der in Artikel 69 genannten Maßnahmen und Verfahren durchgeführt.
(2) 25000
250000
(3) Bei Verstößen des Organs oder der Einrichtung der Union gegen die folgenden Bestimmungen werden im Einklang mit Absatz 1 des vorliegenden Artikels Geldbußen in Höhe von bis zu 50000 EUR pro Verstoß und bis zu insgesamt 500000 EUR pro Jahr verhängt:
a) wesentliche Grundsätze für die Verarbeitung, einschließlich Voraussetzungen für die Einwilligung, nach den Artikeln 4, 5, 7 und 10,
b) Rechte der betroffenen Personen nach den Artikeln 14 bis 24,
c) Übermittlung personenbezogener Daten an einen Empfänger in einem Drittland oder an eine internationale Organisation nach den Artikeln 46 bis 50.
(4) Verstößt ein Organ oder eine Einrichtung der Union bei gleichen oder miteinander verbundenen oder kontinuierlichen Verarbeitungsvorgängen gegen mehrere Bestimmungen dieser Verordnung oder mehrmals gegen dieselbe Bestimmung dieser Verordnung, so übersteigt der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß.
(5) Bevor der Europäische Datenschutzbeauftragte Entscheidungen nach diesem Artikel trifft, gibt er dem Organ oder der Einrichtung der Union, gegen das beziehungsweise die sich das von ihm geführte Verfahren richtet, Gelegenheit, sich zu den von ihm erhobenen Einwänden zu äußern. Der Europäische Datenschutzbeauftragte stützt seine Entscheidungen nur auf die Einwände, zu denen sich die Parteien äußern konnten. Die Beschwerdeführer werden eng in das Verfahren einbezogen.
(6) Die Verteidigungsrechte der betroffenen Parteien werden während des Verfahrens in vollem Umfang gewahrt. Sie haben vorbehaltlich des berechtigten Interesses von natürlichen Personen oder Unternehmen am Schutz ihrer personenbezogenen Daten oder Geschäftsgeheimnisse das Recht, die Akte des Europäischen Datenschutzbeauftragten einzusehen.
(7) Das Aufkommen aus den nach diesem Artikel verhängten Geldbußen zählt zu den Einnahmen des Gesamthaushalts der Union.
Die betroffene Person hat das Recht, eine Einrichtung, Organisation oder Vereinigung ohne Gewinnerzielungsabsicht, die nach Unionsrecht oder dem Recht eines Mitgliedstaats ordnungsgemäß gegründet wurde, deren satzungsmäßige Ziele im öffentlichem Interesse liegen und die im Bereich des Schutzes der Rechte und Freiheiten betroffener Personen in Bezug auf den Schutz ihrer personenbezogenen Daten tätig ist, zu beauftragen, in ihrem Namen Beschwerde beim Europäischen Datenschutzbeauftragten einzureichen, in ihrem Namen die in den Artikeln 63 und 64 genannten Rechte wahrzunehmen und in ihrem Namen das Recht auf Schadensersatz gemäß Artikel 65 in Anspruch zu nehmen.
Beschäftigte eines Organs oder einer Einrichtung der Union können beim Europäischen Datenschutzbeauftragten Beschwerde wegen eines mutmaßlichen Verstoßes gegen diese Verordnung einlegen, auch ohne den Dienstweg einzuhalten. Niemand darf benachteiligt werden, weil er Beschwerde beim Europäischen Datenschutzbeauftragten eingereicht und einen solchen mutmaßlichen Verstoß dargelegt hat.
Verletzt ein Beamter und sonstiger Bediensteter der Union vorsätzlich oder fahrlässig die in dieser Verordnung festgelegten Pflichten, so können nach den Vorschriften und Verfahren des Statuts Disziplinarstrafen und andere Maßnahmen gegen den Beamten oder sonstigen Bediensteten verhängt werden.
f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der operativen personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“).
(2) Eine Verarbeitung durch denselben oder einen anderen Verantwortlichen für einen anderen der im Rechtsakt zur Gründung der Einrichtung oder sonstigen Stelle der Union genannten Zwecke als den, für den die operativen personenbezogenen Daten erhoben werden, ist erlaubt, sofern
a) der Verantwortliche nach dem Unionsrecht befugt ist, solche operativen personenbezogenen Daten für diesen Zweck zu verarbeiten, und
b) die Verarbeitung für diesen anderen Zweck nach dem Unionsrecht erforderlich und verhältnismäßig ist.
(3) Die Verarbeitung durch denselben oder einen anderen Verantwortlichen kann die Archivierung im öffentlichen Interesse und die wissenschaftliche, statistische oder historische Verwendung für die im Rechtsakt zur Gründung der Einrichtung oder sonstigen Stelle der Union genannten Zwecke umfassen, sofern geeignete Garantien für die Rechte und Freiheiten der betroffenen Personen vorhanden sind.
(4) Der Verantwortliche ist für die Einhaltung der Absätze 1, 2 und 3 verantwortlich und muss deren Einhaltung nachweisen können.
(1) Die Verarbeitung operativer personenbezogener Daten ist nur rechtmäßig, wenn und soweit die Verarbeitung für die Erfüllung einer Aufgabe durch Einrichtungen und sonstige Stellen der Union bei der Ausübung von Tätigkeiten, die in den Anwendungsbereich des Dritten Teils Titel V Kapitel 4 oder Kapitel 5 AEUV fallen, erforderlich ist und wenn sie sich auf Unionsrecht stützt.
(2) In spezifischen Rechtsakten der Union zur Regelung der Verarbeitung innerhalb des Anwendungsbereichs dieses Kapitels sind zumindest die Ziele der Verarbeitung, die zu verarbeitenden operativen personenbezogenen Daten, die Zwecke der Verarbeitung und die Fristen für die Speicherung der operativen personenbezogenen Daten oder für die regelmäßige Überprüfung, ob die operativen personenbezogenen Daten weiter gespeichert werden müssen, anzugeben.
Der Verantwortliche unterscheidet gegebenenfalls und so weit wie möglich zwischen den operativen personenbezogenen Daten verschiedener Kategorien betroffener Personen, wie etwa den in den Rechtsakten zur Gründung der Einrichtungen und sonstigen Stellen der Union aufgeführten Kategorien.
(1) Der Verantwortliche unterscheidet so weit wie möglich zwischen faktenbasierten operativen personenbezogenen Daten und auf persönlichen Einschätzungen beruhenden operativen personenbezogenen Daten.
(2) Der Verantwortliche ergreift alle angemessenen Maßnahmen, um zu gewährleisten, dass operative personenbezogene Daten, die unrichtig, unvollständig oder nicht mehr aktuell sind, nicht übermittelt oder bereitgestellt werden. Zu diesem Zweck überprüft der Verantwortliche gegebenenfalls und soweit durchführbar, die Qualität der operativen personenbezogenen Daten vor ihrer Übermittlung oder Bereitstellung, beispielsweise durch Konsultation der zuständigen Behörde, von der die Daten stammen. Bei jeder Übermittlung operativer personenbezogener Daten werden nach Möglichkeit die erforderlichen Informationen beigefügt, die es dem Empfänger gestatten, die Richtigkeit, die Vollständigkeit und die Zuverlässigkeit der operativen personenbezogenen Daten sowie deren Aktualitätsgrad zu beurteilen.
(3) Wird festgestellt, dass unrichtige operative personenbezogene Daten übermittelt worden sind oder die operativen personenbezogenen Daten unrechtmäßig übermittelt worden sind, so ist dies dem Empfänger unverzüglich mitzuteilen. In diesem Fall ist gemäß Artikel 82 eine Berichtigung oder Löschung oder die Einschränkung der Verarbeitung der betreffenden operativen personenbezogenen Daten vorzunehmen.
(1) Sofern in dem auf den übermittelnden Verantwortlichen anwendbaren Unionsrecht besondere Verarbeitungsbedingungen vorgesehen sind, weist der Verantwortliche den Empfänger der operativen personenbezogenen Daten darauf hin, dass diese Bedingungen gelten und einzuhalten sind.
(2) Der Verantwortliche beachtet die von einer übermittelnden zuständigen Behörde gemäß Artikel 9 Absätze 3 und 4 der Richtlinie (EU) 2016/680 vorgesehenen besonderen Verarbeitungsbedingungen.
(1) Die Verarbeitung operativer personenbezogener Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, von biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person sowie operativer personenbezogener Daten, die die Gesundheit oder das Sexualleben oder die sexuelle Orientierung einer natürlichen Person betreffen, ist nur dann erlaubt, wenn sie für operative Zwecke unbedingt erforderlich ist sowie innerhalb des Mandats der betreffenden Einrichtung oder sonstigen Stelle der Union und vorbehaltlich geeigneter Garantien für die Rechte und Freiheiten der betroffenen Person erfolgt. Eine Diskriminierung natürlicher Personen anhand solcher personenbezogenen Daten ist verboten.
(2) Der Datenschutzbeauftragte ist unverzüglich von der Anwendung dieses Artikels zu unterrichten.
(1) Eine ausschließlich auf einer automatischen Verarbeitung beruhende Entscheidung — einschließlich Profiling —, die eine nachteilige Rechtsfolge für die betroffene Person hat oder sie erheblich beeinträchtigt, ist verboten, es sei denn, sie ist nach dem Unionsrecht, dem der Verantwortliche unterliegt und das geeignete Garantien für die Rechte und Freiheiten der betroffenen Person bietet, zumindest das Recht auf persönliches Eingreifen seitens des Verantwortlichen, erlaubt.
(2) Entscheidungen nach Absatz 1 dieses Artikels dürfen nicht auf den besonderen Kategorien personenbezogener Daten nach Artikel 76 beruhen, sofern nicht geeignete Maßnahmen zum Schutz der Rechte, Freiheiten sowie der berechtigten Interessen der betroffenen Person getroffen wurden.
(3) Profiling, das zur Folge hat, dass natürliche Personen auf der Grundlage von besonderen Datenkategorien nach Artikel 76 diskriminiert werden, ist nach dem Unionsrecht verboten.
(1) Der Verantwortliche trifft alle angemessenen Maßnahmen, um der betroffenen Person alle Informationen gemäß Artikel 79 sowie alle Mitteilungen gemäß den Artikeln 80 bis 84 und 92, die sich auf die Verarbeitung beziehen, in präziser, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln. Die Übermittlung der Informationen erfolgt in einer beliebigen geeigneten Form, wozu auch die elektronische Übermittlung zählt. Grundsätzlich übermittelt der Verantwortliche die Informationen in derselben Form, in der er den Antrag erhalten hat.
(2) Der Verantwortliche erleichtert die Ausübung der der betroffenen Person gemäß den Artikeln 79 bis 84 zustehenden Rechte.
(3) Der Verantwortliche setzt die betroffene Person unverzüglich, in jedem Fall aber spätestens innerhalb von drei Monaten nach Eingang des Antrags, schriftlich darüber in Kenntnis, wie mit ihrem Antrag verfahren wurde.
(4) Der Verantwortliche stellt die Informationen gemäß Artikel 79 sowie alle gemachten Mitteilungen und getroffenen Maßnahmen gemäß den Artikeln 80 bis 84 und 92 unentgeltlich zur Verfügung. Bei offenkundig unbegründeten oder — insbesondere im Fall von häufiger Wiederholung — exzessiven Anträgen einer betroffenen Person kann sich der Verantwortliche weigern, aufgrund des Antrags tätig zu werden. Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen.
(5) Hat der Verantwortliche begründete Zweifel an der Identität der natürlichen Person, die den Antrag gemäß den Artikeln 80 oder 82 stellt, so kann er zusätzliche Informationen anfordern, die zur Bestätigung der Identität der betroffenen Person erforderlich sind.
(1) Der Verantwortliche stellt der betroffenen Person zumindest die folgenden Informationen zur Verfügung:
a) den Namen und die Kontaktdaten der Einrichtung oder sonstigen Stelle der Union,
b) die Kontaktdaten des Datenschutzbeauftragten,
c) die Zwecke, für die die operativen personenbezogenen Daten verarbeitet werden,
d) das Bestehen eines Beschwerderechts beim Europäischen Datenschutzbeauftragten sowie dessen Kontaktdaten,
e) das Bestehen eines Rechts auf Auskunft und Berichtigung oder Löschung operativer personenbezogener Daten und Einschränkung der Verarbeitung der operativen personenbezogenen Daten der betroffenen Person durch den Verantwortlichen.
(2) Zusätzlich zu den in Absatz 1 genannten Informationen erteilt der Verantwortliche der betroffenen Person in besonderen durch das Unionsrecht vorgesehenen Fällen die folgenden zusätzlichen Informationen, um die Ausübung der Rechte der betroffenen Person zu ermöglichen:
a) die Rechtsgrundlage der Verarbeitung,
b) die Dauer, für die die operativen personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer,
c) gegebenenfalls die Kategorien von Empfängern der operativen personenbezogenen Daten, auch der Empfänger in Drittländern oder in internationalen Organisationen;
d) erforderlichenfalls weitere Informationen, insbesondere wenn die operativen personenbezogenen Daten ohne Wissen der betroffenen Person erhoben werden.
(3) Der Verantwortliche kann zu nachstehenden Zwecken die Unterrichtung der betroffenen Person gemäß Absatz 2 soweit und solange aufschieben, einschränken oder unterlassen, wie diese Maßnahme in einer demokratischen Gesellschaft erforderlich und verhältnismäßig ist und sofern den Grundrechten und den berechtigten Interessen der betroffenen natürlichen Person Rechnung getragen wird:
a) Gewährleistung, dass behördliche oder gerichtliche Untersuchungen, Ermittlungen oder Verfahren nicht behindert werden,
b) Gewährleistung, dass die Verhütung, Aufdeckung, Ermittlungen oder Verfolgung von Straftaten oder die Strafvollstreckung nicht beeinträchtigt werden,
c) Schutz der öffentlichen Sicherheit der Mitgliedstaaten,
d) Schutz der nationalen Sicherheit der Mitgliedstaaten,
e) Schutz der Rechte und Freiheiten anderer, wie Opfer oder Zeugen.
Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu erhalten, ob sie betreffende operative personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie das Recht, Auskunft über operative personenbezogene Daten und zu folgenden Informationen zu erhalten:
a) die Zwecke der Verarbeitung und deren Rechtsgrundlage;
b) die Kategorien der operativen personenbezogenen Daten, die verarbeitet werden;
c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die operativen personenbezogenen Daten offengelegt worden sind, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
d) falls möglich, die geplante Dauer, für die die operativen personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
e) das Bestehen eines Rechts auf Berichtigung oder Löschung operativer personenbezogener Daten oder auf Einschränkung der Verarbeitung der operativen personenbezogenen Daten der betroffenen Person durch den Verantwortlichen;
f) das Bestehen eines Beschwerderechts beim Europäischen Datenschutzbeauftragten sowie dessen Kontaktdaten;
g) Mitteilung zu den operativen personenbezogenen Daten, die Gegenstand der Verarbeitung sind, sowie alle verfügbaren Informationen über die Herkunft der Daten.
(1) Der Verantwortliche kann zu nachstehenden Zwecken das Recht der betroffenen Person auf Auskunft teilweise oder vollständig einschränken, soweit und solange wie diese teilweise oder vollständige Einschränkung in einer demokratischen Gesellschaft erforderlich und verhältnismäßig ist und den Grundrechten und den berechtigten Interessen der betroffenen natürlichen Person Rechnung getragen wird:
a) Gewährleistung, dass behördliche oder gerichtliche Untersuchungen, Ermittlungen oder Verfahren nicht behindert werden,
b) Gewährleistung, dass die Verhütung, Aufdeckung, Ermittlungen oder Verfolgung von Straftaten oder die Strafvollstreckung nicht beeinträchtigt werden,
c) Schutz der öffentlichen Sicherheit der Mitgliedstaaten,
d) Schutz der nationalen Sicherheit der Mitgliedstaaten,
e) Schutz der Rechte und Freiheiten anderer, wie Opfer und Zeugen.
(2) In den in Absatz 1 genannten Fällen unterrichtet der Verantwortliche die betroffene Person unverzüglich schriftlich über die Verweigerung oder die Einschränkung der Auskunft und die Gründe hierfür. Dies gilt nicht, wenn die Erteilung dieser Informationen einem der in Absatz 1 genannten Zwecke zuwiderliefe. Der Verantwortliche unterrichtet die betroffene Person über die Möglichkeit, gegen die Entscheidung Beschwerde beim Europäischen Datenschutzbeauftragten einzulegen oder einen gerichtlichen Rechtsbehelf beim Gerichtshof einzulegen. Der Verantwortliche dokumentiert die sachlichen oder rechtlichen Gründe für die Entscheidung. Diese Angaben werden dem Europäischen Datenschutzbeauftragten auf Anfrage zur Verfügung gestellt.
(1) Die betroffene Person hat das Recht, von dem Verantwortlichen unverzüglich die Berichtigung sie betreffender unrichtiger operativer personenbezogener Daten zu verlangen. Unter Berücksichtigung der Zwecke der Verarbeitung hat die betroffene Person das Recht, die Vervollständigung unvollständiger operativer personenbezogener Daten — auch mittels einer ergänzenden Erklärung — zu verlangen.
(2) Der Verantwortliche löscht operative personenbezogene Daten unverzüglich, und die betroffene Person hat das Recht, von dem Verantwortlichen die unverzügliche Löschung sie betreffender operativer personenbezogener Daten zu verlangen, wenn die Verarbeitung gegen die Artikel 71, Artikel 72 Absatz 1 oder Artikel 76 verstößt oder wenn die operativen personenbezogenen Daten zur Erfüllung einer rechtlichen Verpflichtung gelöscht werden müssen, der der Verantwortliche unterliegt.
(3) Anstatt Löschung kann der Verantwortliche die Verarbeitung einschränken, wenn
a) die betroffene Person die Richtigkeit der personenbezogenen Daten bestreitet und die Richtigkeit oder Unrichtigkeit nicht festgestellt werden kann oder
b) die personenbezogenen Daten für Beweiszwecke weiter aufbewahrt werden müssen.
Unterliegt die Verarbeitung einer Einschränkung gemäß Unterabsatz 1 Buchstabe a, unterrichtet der Verantwortliche die betroffene Person, bevor er die Einschränkung aufhebt.
In ihrer Verarbeitung eingeschränkte Daten dürfen nur zu dem Zweck verarbeitet werden, der ihrer Löschung entgegenstand.
(4) Der Verantwortliche unterrichtet die betroffene Person schriftlich über eine Verweigerung der Berichtigung oder Löschung operativer personenbezogener Daten oder der Einschränkung der Verarbeitung, und über die Gründe für die Verweigerung. Der Verantwortliche kann zu nachstehenden Zwecken die Zurverfügungstellung der Informationen teilweise oder vollständig einschränken, soweit diese Einschränkung in einer demokratischen Gesellschaft erforderlich und verhältnismäßig ist und den Grundrechten und den berechtigten Interessen der betroffenen natürlichen Person Rechnung getragen wird:
a) Gewährleistung, dass behördliche oder gerichtliche Untersuchungen, Ermittlungen oder Verfahren nicht behindert werden,
b) Gewährleistung, dass die Verhütung, Aufdeckung, Ermittlungen oder Verfolgung von Straftaten oder die Strafvollstreckung nicht beeinträchtigt werden,
c) Schutz der öffentlichen Sicherheit der Mitgliedstaaten,
d) Schutz der nationalen Sicherheit der Mitgliedstaaten,
e) Schutz der Rechte und Freiheiten anderer, wie Opfer und Zeugen.
Der Verantwortliche unterrichtet die betroffene Person über die Möglichkeit, gegen die Entscheidung Beschwerde beim Europäischen Datenschutzbeauftragten einzulegen oder einen gerichtlichen Rechtsbehelf beim Gerichtshof einzulegen.
(5) Der Verantwortliche teilt die Berichtigung von unrichtigen operativen personenbezogenen Daten der zuständigen Behörde mit, von der die unrichtigen operativen personenbezogenen Daten stammen.
(6) Der Verantwortliche setzt in Fällen der Berichtigung, Löschung oder Einschränkung der Verarbeitung nach den Absätzen 1, 2 oder 3 die Empfänger in Kenntnis und weist sie darauf hin, dass sie die ihrer Verantwortung unterliegenden operativen personenbezogenen Daten berichtigen, löschen oder deren Verarbeitung einschränken müssen.
Stammen die operativen personenbezogenen Daten von einer zuständigen Behörde, überprüfen die Einrichtungen und sonstigen Stellen der Union vor einer Entscheidung über das Auskunftsrecht einer betroffenen Person bei der betreffenden zuständigen Behörde, ob diese personenbezogenen Daten in einer gerichtlichen Entscheidung, einem Dokument oder einer Verfahrensakte enthalten sind und in strafrechtlichen Ermittlungen und in Strafverfahren in dem Mitgliedstaat dieser zuständigen Behörde verarbeitet wurden. Ist dies der Fall, wird eine Entscheidung über das Auskunftsrecht in Abstimmung und enger Zusammenarbeit mit der betreffenden zuständigen Behörde getroffen.
(1) In den in Artikel 79 Absatz 3, Artikel 81 und Artikel 82 Absatz 4 genannten Fällen können die Rechte der betroffenen Person auch über den Europäischen Datenschutzbeauftragten ausgeübt werden.
(2) Der Verantwortliche unterrichtet die betroffene Person über die Möglichkeit, ihre Rechte gemäß Absatz 1 über den Europäischen Datenschutzbeauftragten auszuüben.
(3) Wird das in Absatz 1 genannte Recht ausgeübt, unterrichtet der Europäische Datenschutzbeauftragte die betroffene Person zumindest darüber, dass alle erforderlichen Prüfungen oder eine Überprüfung durch den Europäischen Datenschutzbeauftragten erfolgt sind. Der Europäische Datenschutzbeauftragte hat zudem die betroffene Person über ihr Recht auf einen gerichtlichen Rechtsbehelf beim Gerichtshof zu unterrichten.
(1) Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen trifft der Verantwortliche sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung angemessene technische und organisatorische Maßnahmen — wie z. B. Pseudonymisierung —, die dafür ausgelegt sind, Datenschutzgrundsätze wie etwa Datenminimierung wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen, um den Anforderungen dieser Verordnung und des Rechtsakts zu seiner Gründung zu genügen und die Rechte der betroffenen Personen zu schützen.
(2) Der Verantwortliche trifft geeignete technische und organisatorische Maßnahmen, die sicherstellen, dass durch Voreinstellung nur operative personenbezogene Daten verarbeitet werden, die dem Verarbeitungszweck angemessen, erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sind. Diese Verpflichtung gilt für die Menge der erhobenen operativen personenbezogenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit. Solche Maßnahmen müssen insbesondere sicherstellen, dass operative personenbezogene Daten durch Voreinstellungen nicht ohne Eingreifen einer Person einer unbestimmten Zahl von natürlichen Personen zugänglich gemacht werden.
(1) Legen zwei oder mehr Verantwortliche oder ein oder mehrere Verantwortliche zusammen mit einem oder mehreren Verantwortlichen, die nicht Organe oder Einrichtungen der Union sind, gemeinsam die Zwecke der und die Mittel zur Verarbeitung fest, so sind sie gemeinsam Verantwortliche. Sie legen in einer Vereinbarung in transparenter Form ihre jeweiligen Zuständigkeiten bei der Einhaltung ihrer Datenschutzpflichten fest, insbesondere was die Ausübung der Rechte der betroffenen Person und ihre jeweiligen Informationspflichten nach Artikel 79 angeht, sofern und soweit die jeweiligen Zuständigkeiten der gemeinsam Verantwortlichen nicht durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen die gemeinsam Verantwortlichen unterliegen, festgelegt sind. In der Regelung kann eine Anlaufstelle für betroffene Personen angegeben werden.
(2) Die Vereinbarung nach Absatz 1 muss die jeweiligen tatsächlichen Funktionen und Beziehungen der gemeinsam Verantwortlichen gegenüber der betroffenen Person gebührend widerspiegeln. Das wesentliche der Vereinbarung wird der betroffenen Person zur Verfügung gestellt.
(3) Ungeachtet der Einzelheiten der Vereinbarung gemäß Absatz 1 kann die betroffene Person ihre Rechte im Rahmen dieser Verordnung bei und gegenüber jedem einzelnen der Verantwortlichen geltend machen.
(1) Soll eine Verarbeitung im Namen eines Verantwortlichen vorgenommen werden, so arbeitet dieser nur mit Auftragsverarbeitern zusammen, die hinreichende Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen dieser Verordnung und des Rechtsakts zur Gründung des Auftragsverarbeiters erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet.
(2) Der Auftragsverarbeiter nimmt keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen in Anspruch. Im Falle einer allgemeinen schriftlichen Genehmigung unterrichtet der Auftragsverarbeiter den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung anderer Auftragsverarbeiter, wodurch der Verantwortliche die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben.
(3) Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags, oder eines anderen Rechtsinstruments nach Unionsrecht oder dem Recht der Mitgliedstaaten, der bzw. das den Auftragsverarbeiter an den Verantwortlichen bindet und in dem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der operativen personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festgelegt sind. Dieser Vertrag bzw. dieses andere Rechtsinstrument sieht insbesondere vor, dass der Auftragsverarbeiter
a) nur auf Weisung des Verantwortlichen handelt,
b) gewährleistet, dass sich die zur Verarbeitung der operativen personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;
c) den Verantwortlichen mit geeigneten Mitteln dabei unterstützt, die Einhaltung der Bestimmungen über die Rechte der betroffenen Person zu gewährleisten,
d) alle operativen personenbezogenen Daten nach Abschluss der Erbringung der Verarbeitungsleistungen — nach Wahl des Verantwortlichen — löscht bzw. dem Verantwortlichen zurückgibt und bestehende Kopien vernichtet, sofern nicht nach Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der operativen personenbezogenen Daten besteht;
e) dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in diesem Artikel niedergelegten Pflichten zur Verfügung stellt,
f) die in Absatz 2 und dem vorliegenden Absatz aufgeführten Bedingungen für die Inanspruchnahme der Dienste eines weiteren Auftragsverarbeiters einhält.
(4) Der Vertrag oder das andere Rechtsinstrument im Sinne von Absatz 3 ist schriftlich abzufassen, was auch in einem elektronischen Format erfolgen kann.
(5) Ein Auftragsverarbeiter, der unter Verstoß gegen diese Verordnung oder den Rechtsakt zur Gründung des Verantwortlichen die Zwecke und die Mittel der Verarbeitung bestimmt, gilt in Bezug auf diese Verarbeitung als Verantwortlicher.
(1) Der Verantwortliche protokolliert die folgenden Verarbeitungsvorgänge in automatisierten Verarbeitungssystemen: Erhebung, Veränderung, Zugriff, Abfrage, Offenlegung einschließlich Übermittlung, Kombination und Löschung von operativen personenbezogenen Daten. Die Protokolle über Abfragen und Offenlegungen müssen es ermöglichen, die Begründung, das Datum und die Uhrzeit dieser Vorgänge, die Identifizierung der Person, die die operativen personenbezogenen Daten abgefragt oder offengelegt hat, und so weit wie möglich die Identität des Empfängers solcher operativen personenbezogenen Daten festzustellen.
(2) Die Protokolle werden ausschließlich zur Überprüfung der Rechtmäßigkeit der Datenverarbeitung, der Eigenüberwachung, der Sicherstellung der Integrität und Sicherheit der operativen personenbezogenen Daten sowie für Strafverfahren verwendet. Die Protokolle müssen nach drei Jahren gelöscht werden, sofern sie nicht für eine laufende Kontrolle benötigt werden.
(3) Der Verantwortliche stellt die Protokolle seinem Datenschutzbeauftragten und dem Europäischen Datenschutzbeauftragten auf Anforderung zur Verfügung.
(1) Hat eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so führt der Verantwortliche vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz operativer personenbezogener Daten durch.
(2) Die Folgenabschätzung gemäß Absatz 1 trägt den Rechten und den berechtigten Interessen der betroffenen Personen und sonstiger Betroffener Rechnung und enthält zumindest eine allgemeine Beschreibung der geplanten Verarbeitungsvorgänge und eine Bewertung der in Bezug auf die Rechte und Freiheiten der betroffenen Personen bestehenden Risiken sowie der geplanten Abhilfemaßnahmen, Garantien, Sicherheitsvorkehrungen und Verfahren, durch die der Schutz operativer personenbezogener Daten sichergestellt und der Nachweis dafür erbracht wird, dass die Datenschutzvorschriften eingehalten werden.
(1) Der Verantwortliche konsultiert vor der Verarbeitung in neu anzulegenden Dateisystemen den Europäischen Datenschutzbeauftragten, wenn
a) aus einer Datenschutz-Folgenabschätzung gemäß Artikel 89 hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern der Verantwortliche keine Maßnahmen zur Eindämmung des Risikos trifft, oder
b) die Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, Mechanismen oder Verfahren, ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen zur Folge hat.
(2) Der Europäische Datenschutzbeauftragte kann eine Liste der Verarbeitungsvorgänge erstellen, die der Pflicht zur vorherigen Konsultation nach Absatz 1 unterliegen.
(3) Der Verantwortliche legt dem Europäischen Datenschutzbeauftragten die in Artikel 89 genannte Datenschutz-Folgenabschätzung vor und übermittelt ihm auf Anfrage alle sonstigen Informationen, die er benötigt, um die Ordnungsgemäßheit der Verarbeitung sowie insbesondere die in Bezug auf den Schutz der operativen personenbezogenen Daten der betroffenen Person bestehenden Gefahren und die diesbezüglichen Garantien bewerten zu können.
(4) Falls der Europäische Datenschutzbeauftragte der Auffassung ist, dass die geplante Verarbeitung gemäß Absatz 1 nicht im Einklang mit dieser Verordnung oder dem Rechtsakt zur Gründung der betreffenden Einrichtung oder sonstigen Stelle der Union stünde, insbesondere weil der Verantwortliche das Risiko nicht ausreichend ermittelt oder nicht ausreichend eingedämmt hat, unterbreitet er dem Verantwortlichen innerhalb eines Zeitraums von bis zu sechs Wochen nach Erhalt des Ersuchens um Konsultation entsprechende schriftliche Empfehlungen. Diese Frist kann unter Berücksichtigung der Komplexität der geplanten Verarbeitung um einen weiteren Monat verlängert werden. Der Europäische Datenschutzbeauftragte unterrichtet den Verantwortlichen über eine solche Fristverlängerung innerhalb eines Monats nach Eingang des Antrags auf Konsultation zusammen mit den Gründen für die Verzögerung.
(1) Der Verantwortliche und der Auftragsverarbeiter treffen unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, insbesondere im Hinblick auf die Verarbeitung besonderer Kategorien operativer personenbezogener Daten.
(2) Der Verantwortliche und der Auftragsverarbeiter ergreifen im Hinblick auf die automatisierte Verarbeitung nach einer Risikobewertung Maßnahmen, die Folgendes bezwecken:
a) Verwehrung des Zugangs zu Datenverarbeitungsanlagen, mit denen die Verarbeitung durchgeführt wird, für Unbefugte („Zugangskontrolle“);
b) Verhinderung des unbefugten Lesens, Kopierens, Veränderns oder Entfernens von Datenträgern („Datenträgerkontrolle“);
c) Verhinderung der unbefugten Eingabe operativer personenbezogener Daten sowie der unbefugten Kenntnisnahme, Änderung oder Löschung gespeicherter operativer personenbezogener Daten („Speicherkontrolle“);
d) Verhinderung der Nutzung automatisierter Verarbeitungssysteme mit Hilfe von Einrichtungen zur Datenübertragung durch Unbefugte („Benutzerkontrolle“);
e) Gewährleistung, dass die zur Benutzung eines automatisierten Verarbeitungssystems Berechtigten ausschließlich zu den ihrer Zugangsberechtigung unterliegenden operativen personenbezogenen Daten Zugang haben („Zugangskontrolle“);
f) Gewährleistung, dass überprüft und festgestellt werden kann, an welche Stellen operative personenbezogene Daten mit Hilfe von Einrichtungen zur Datenübertragung übermittelt oder zur Verfügung gestellt wurden oder werden können („Übertragungskontrolle“);
g) Gewährleistung, dass nachträglich überprüft und festgestellt werden kann, welche operativen personenbezogenen Daten zu welcher Zeit und von wem in automatisierte Datenverarbeitungssysteme eingegeben worden sind („Eingabekontrolle“);
h) Verhinderung, dass bei der Übertragung operativer personenbezogener Daten oder beim Transport von Datenträgern die operativen personenbezogenen Daten unbefugt gelesen, kopiert, geändert oder gelöscht werden können („Transportkontrolle“);
i) Gewährleistung, dass eingesetzte Systeme im Störungsfall wiederhergestellt werden können („Wiederherstellung“);
j) Gewährleistung, dass alle Funktionen des Systems zur Verfügung stehen, auftretende Fehlfunktionen gemeldet werden („Zuverlässigkeit“) und gespeicherte personenbezogene operative Daten nicht durch Fehlfunktionen des Systems beschädigt werden können („Datenintegrität“).
(1) Der Verantwortliche meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich, und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, dem Europäischen Datenschutzbeauftragten, es sei denn, die Verletzung des Schutzes personenbezogener Daten führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Erfolgt die Meldung an den Europäischen Datenbeauftragten nicht binnen 72 Stunden, so ist ihr eine Begründung für die Verzögerung beizufügen.
(2) Die Meldung nach Absatz 1 enthält zumindest folgende Informationen:
a) eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien operativer personenbezogener Daten und der ungefähren Zahl der betroffenen operativen personenbezogenen Datensätze,
b) Name und die Kontaktdaten des Datenschutzbeauftragten,
c) eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten,
d) eine Beschreibung der vom Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls der Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.
(3) Wenn und soweit die in Absatz 2 genannten Informationen nicht zur gleichen Zeit bereitgestellt werden können, können diese Informationen ohne unangemessene weitere Verzögerung schrittweise zur Verfügung gestellt werden.
(4) Der Verantwortliche dokumentiert Verletzungen des Schutzes personenbezogener Daten nach Absatz 1 einschließlich aller im Zusammenhang mit der Verletzung des Schutzes personenbezogener Daten stehenden Fakten, deren Auswirkungen und der ergriffenen Abhilfemaßnahmen. Anhand dieser Dokumentation muss der Europäische Datenschutzbeauftragte die Einhaltung dieses Artikels überprüfen können.
(5) Sind von der Verletzung des Schutzes personenbezogener Daten operative personenbezogene Daten betroffen, die von oder an zuständige Behörden übermittelt wurden, teilt der Verantwortliche die in Absatz 2 genannten Informationen den zuständigen Behörden unverzüglich mit.
(1) Hat die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so benachrichtigt der Verantwortliche die betroffene Person unverzüglich von der Verletzung.
(2) Die in Absatz 1 dieses Artikels genannte Benachrichtigung der betroffenen Person beschreibt in klarer und einfacher Sprache die Art der Verletzung des Schutzes personenbezogener Daten und enthält zumindest die in Artikel 92 Absatz 2 Buchstaben b, c und d genannten Informationen und Empfehlungen.
(3) Die Benachrichtigung der betroffenen Person gemäß Absatz 1 ist nicht erforderlich, wenn eine der folgenden Bedingungen erfüllt ist:
a) der Verantwortliche hat geeignete technische und organisatorische Sicherheitsvorkehrungen getroffen, und diese Vorkehrungen wurden auf die von der Verletzung betroffenen operativen personenbezogenen Daten angewandt, insbesondere solche, durch die die operativen personenbezogenen Daten für alle Personen, die nicht zum Zugang zu den operativen personenbezogenen Daten befugt sind, unzugänglich gemacht werden, etwa durch Verschlüsselung;
b) der Verantwortliche hat durch nachfolgende Maßnahmen sichergestellt, dass das hohe Risiko für die Rechte und Freiheiten der betroffenen Personen gemäß Absatz 1 aller Wahrscheinlichkeit nach nicht mehr besteht;
c) dies wäre mit einem unverhältnismäßigen Aufwand verbunden. In diesem Fall hat stattdessen eine öffentliche Bekanntmachung oder eine ähnliche Maßnahme zu erfolgen, durch die die betroffenen Personen vergleichbar wirksam informiert werden.
(4) Wenn der Verantwortliche die betroffene Person nicht bereits über die Verletzung des Schutzes personenbezogener Daten benachrichtigt hat, kann der Europäische Datenschutzbeauftragte unter Berücksichtigung der Wahrscheinlichkeit, mit der die Verletzung des Schutzes personenbezogener Daten zu einem hohen Risiko führt, von dem Verantwortlichen verlangen, dies nachzuholen oder er kann feststellen, dass bestimmte der in Absatz 3 genannten Voraussetzungen erfüllt sind.
(5) Die Benachrichtigung der betroffenen Person gemäß Absatz 1 dieses Artikels kann unter den in Artikel 79 Absatz 3 genannten Voraussetzungen und aus den dort genannten Gründen aufgeschoben, eingeschränkt oder unterlassen werden.
(1) Vorbehaltlich der in den Rechtsakten zur Gründung der Einrichtung oder sonstigen Stelle der Union festgelegten Einschränkungen und Bedingungen darf der Verantwortliche operative personenbezogene Daten an eine Behörde eines Drittlandes oder an eine internationale Organisation nur übermitteln, soweit dies für die Erfüllung der Aufgaben des Verantwortlichen erforderlich ist und wenn die in diesem Artikel festgelegten Bedingungen eingehalten werden, nämlich:
a) die Kommission hat einen Angemessenheitsbeschluss gemäß Artikel 36 Absatz 3 der Richtlinie (EU) 2016/680 angenommen, dem zufolge das betreffende Drittland oder ein Gebiet oder ein verarbeitender Sektor in diesem Drittland oder die betreffende internationale Organisation ein angemessenes Datenschutzniveau bietet;
b) falls die Kommission keinen Angemessenheitsbeschluss gemäß Buchstabe a angenommen hat: eine internationale Übereinkunft gemäß Artikel 218 AEUV wurde zwischen der Union und dem betreffenden Drittland oder der betreffenden internationalen Organisation geschlossen, die angemessene Garantien hinsichtlich des Schutzes der Privatsphäre, der Grundrechte und der Grundfreiheiten von natürlichen Personen bietet;
c) falls die Kommission keinen Angemessenheitsbeschluss gemäß Buchstabe b angenommen hat oder keine internationale Übereinkunft gemäß Buchstabe b geschlossen wurde: vor dem Beginn der Anwendung des entsprechenden Rechtsakts zur Gründung der betreffenden Einrichtung oder sonstigen Stelle der Union wurde ein Kooperationsabkommen zwischen dieser Einrichtung oder sonstigen Stelle der Union und dem betreffenden Drittland geschlossen, das den Austausch operativer personenbezogener Daten erlaubt.
(2) In den Rechtsakten zur Gründung der Einrichtungen oder sonstigen Stellen der Union können spezifischere Bestimmungen über die Bedingungen für die internationale Übermittlung operativer personenbezogener Daten beibehalten oder eingeführt werden, insbesondere über die Datenübermittlung auf der Grundlage geeigneter Garantien und über Ausnahmen für bestimmte Fälle.
(3) Der Verantwortliche veröffentlicht auf seiner Website ein Verzeichnis der in Absatz 1 Buchstabe a genannten Angemessenheitsbeschlüsse, Übereinkünfte, Verwaltungsvereinbarungen und sonstigen Rechtsinstrumente, die sich auf die Übermittlung operativer personenbezogener Daten gemäß Absatz 1 beziehen und hält dieses Verzeichnis auf dem neuesten Stand.
(4) Der Verantwortliche führt detaillierte Aufzeichnungen über alle Übermittlungen gemäß diesem Artikel.
In den Rechtsakten zur Gründung der Einrichtungen und sonstigen Stellen der Union bei der Ausübung von Tätigkeiten, die in den Anwendungsbereich des Dritten Teils Titel V Kapitel 4 oder Kapitel 5 AEUV fallen, kann der Europäische Datenschutzbeauftragte bei der Ausübung seiner Kontrollbefugnisse verpflichtet werden, die Geheimhaltung von gerichtlichen Ermittlungen und Strafverfahren im Einklang mit dem Unionsrecht oder dem Recht der Mitgliedstaaten weitest gehend zu berücksichtigen.
b) das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung in Bezug auf die betroffene Person, oder gegebenenfalls eines Widerspruchrechts gegen die sowie des Rechts auf Datenübertragbarkeit,
c) wenn die Verarbeitung auf Artikel 5 Absatz 1 Buchstabe d oder Artikel 10 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird,
d) das Bestehen eines Beschwerderechts beim Europäischen Datenschutzbeauftragten,
e) aus welcher Quelle die personenbezogenen Daten stammen und gegebenenfalls, ob sie aus öffentlich zugänglichen Quellen stammen,
f) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling nach Artikel 24 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
(3) Der Verantwortliche erteilt die Informationen gemäß den Absätzen 1 und 2:
a) unter Berücksichtigung der spezifischen Umstände der Verarbeitung der personenbezogenen Daten innerhalb einer angemessenen Frist nach Erlangung der personenbezogenen Daten, längstens jedoch innerhalb eines Monats,
b) falls die personenbezogenen Daten zur Kommunikation mit der betroffenen Person verwendet werden sollen, spätestens zum Zeitpunkt der ersten Mitteilung an sie oder
c) falls die Offenlegung an einen anderen Empfänger beabsichtigt ist, spätestens zum Zeitpunkt der ersten Offenlegung der personenbezogenen Daten.
(4) Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erlangt wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung.
(5) Die Absätze 1 bis 4 finden keine Anwendung, wenn und soweit
a) die betroffene Person bereits über die Informationen verfügt,
b) die Erteilung dieser Informationen sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde; dies gilt insbesondere für die Verarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke oder soweit die Verpflichtung gemäß Absatz 1 voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt,
c) die Erlangung oder Offenlegung durch Unionsrecht, die geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person vorsehen, ausdrücklich geregelt ist oder
d) die personenbezogenen Daten gemäß dem Unionsrecht dem Berufsgeheimnis, einschließlich einer gesetzlichen Geheimhaltungspflicht, unterliegen und daher vertraulich behandelt werden müssen.
(6) In den in Absatz 5 Buchstabe b genannten Fällen ergreift der Verantwortliche geeignete Maßnahmen zum Schutz der Rechte, Freiheiten und berechtigten Interessen der betroffenen Person, etwa indem der die Informationen öffentlich zugänglich macht.
(2) Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Schutzmaßnahmen gemäß Artikel 48 im Zusammenhang mit der Übermittlung unterrichtet zu werden.
(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.
(4) Das Recht auf Erhalt einer Kopie gemäß Absatz 3 darf die Rechte und Freiheiten anderer nicht beeinträchtigen.
(6) Der Verantwortliche dokumentiert Verletzungen des Schutzes personenbezogener Daten einschließlich aller im Zusammenhang mit der Verletzung des Schutzes personenbezogener Daten stehenden Fakten, deren Auswirkungen und der ergriffenen Abhilfemaßnahmen. Diese Dokumentation muss dem Europäischen Datenschutzbeauftragten die Überprüfung der Einhaltung der Bestimmungen dieses Artikels ermöglichen.
d) die Kontaktdaten des Datenschutzbeauftragten,
e) die Datenschutz-Folgenabschätzung gemäß Artikel 39 und
f) alle sonstigen vom Europäischen Datenschutzbeauftragten angeforderten Informationen.
(4) Die Kommission kann im Wege eines Durchführungsrechtsakts eine Liste der Fälle festlegen, in denen die Verantwortlichen den Europäischen Datenschutzbeauftragten zu einer Verarbeitung zur Erfüllung einer vom Verantwortlichen im öffentlichen Interesse wahrgenommenen Aufgabe, unter anderem zur Verarbeitung personenbezogener Daten zu Zwecken des Sozialschutzes und der öffentlichen Gesundheit, konsultieren und seine vorherige Genehmigung einholen müssen.
h) Sicherstellung, dass die Rechte und Freiheiten der betroffenen Personen durch die Verarbeitungen nicht beeinträchtigt werden.
(2) Der Datenschutzbeauftragte kann an den Verantwortlichen und an den Auftragsverarbeiter Empfehlungen für die praktische Verbesserung des Datenschutzes richten und diese in Fragen der Anwendung der Datenschutzbestimmungen beraten. Darüber hinaus kann er von sich aus oder auf Ersuchen des Verantwortlichen oder des Auftragsverarbeiters, des zuständigen Personalausschusses oder jeder natürlichen Person Fragen und Vorkommnisse, die mit seinen Aufgaben in direktem Zusammenhang stehen und ihm zur Kenntnis gelangen, prüfen und der Person, die ihn mit der Prüfung beauftragte, oder dem Verantwortlichen oder dem Auftragsverarbeiter Bericht erstatten.
(3) Jedes Organ und die Einrichtung der Union erlässt weitere den Datenschutzbeauftragten betreffende Durchführungsvorschriften. Diese Durchführungsvorschriften betreffen insbesondere die Aufgaben, Pflichten und Befugnisse des Datenschutzbeauftragten.
EUR-Lex