Entschließung des Europäischen Parlaments vom 12. März 2014 zu Pakistans regionale Rolle und seine politischen Beziehungen zur EU (2013/2168(INI))

P7_TA(2014)0208 A7-0117/2014

Das Europäische Parlament,

–  gestützt auf Artikel 2 und Artikel 21 des Vertrags über die Europäische Union (EUV) und auf den Vertrag über die Arbeitsweise der Europäischen Union (AEUV),

–  in Kenntnis des fünfjährigen Maßnahmenplans EU-Pakistan vom Februar 2012(1),

–  in Kenntnis des Strategischen Rahmens der EU für Menschenrechte und Demokratie und des EU-Aktionsplans für Menschenrechte und Demokratie (11855/2012), die der Rat „Auswärtige Angelegenheiten“ am 25. Juni 2012 angenommen hat(2),

–  in Kenntnis der Europäischen Sicherheitsstrategie mit dem Titel „Ein sicheres Europa in einer besseren Welt“, die vom Europäischen Rat am 12. Dezember 2003 angenommen wurde, und des Berichts über ihre Umsetzung mit dem Titel „Sicherheit schaffen in einer Welt im Wandel“, der vom Europäischen Rat am 11. und 12. Dezember 2008 gebilligt wurde,

–  unter Hinweis auf Verordnung (EU) Nr. 978/2012 des Europäischen Parlaments und des Rates vom 25. Oktober 2012 über ein Schema allgemeiner Zollpräferenzen(3) und insbesondere auf die dadurch geschaffene Sonderregelung für „nachhaltige Entwicklung und verantwortungsvolle Staatsführung“ („APS+“),

–  unter Hinweis auf Anhang VIII der vorstehend genannten Verordnung, in dem die Übereinkommen der Vereinten Nationen/IAO zu den wichtigsten Menschen- und Arbeitnehmerrechten sowie zum Umweltschutz und zu den Grundsätzen der verantwortungsvollen Staatsführung aufgeführt werden, die Pakistan ratifiziert hat, und unter Hinweis darauf, dass das Land eingewilligt hat, sie effektiv umzusetzen,

–  in Kenntnis der Schlussfolgerungen des Rates „Auswärtige Angelegenheiten“ vom 11. März 2013 zu Pakistan,

–  unter Hinweis auf seine Entschließung vom 7. Februar 2013 zu den jüngsten Angriffen auf medizinische Fachkräfte in Pakistan(4), seinen Standpunkt vom 13. September 2012 zu dem Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Einführung autonomer Handelspräferenzen für Pakistan aufgrund der Flutkatastrophe(5) und seine Entschließung vom 15. Dezember 2011 zu der Lage der Frauen in Afghanistan und Pakistan(6) sowie auf die im August 2013 nach Pakistan entsandte Delegation des Unterausschusses für Menschenrechte,

–  in Kenntnis des Berichts des Sonderberichterstatters der Vereinten Nationen für die Förderung und den Schutz der Menschenrechte im Rahmen der Bekämpfung des Terrorismus, Ben Emerson, vom 18. September 2013 und des Berichts des Sonderberichterstatters der Vereinten Nationen für außergerichtliche, summarische oder willkürliche Hinrichtungen, Christof Heyns, vom 13. September 2013,

–  in Kenntnis der Resolution 68/178 der Generalversammlung der Vereinten Nationen vom 18. Dezember 2013 zum Schutz der Menschenrechte und Grundfreiheiten im Rahmen der Bekämpfung des Terrorismus,

–  gestützt auf Artikel 48 seiner Geschäftsordnung,

–  in Kenntnis des Berichts des Ausschusses für auswärtige Angelegenheiten sowie der Stellungnahme des Entwicklungsausschusses (A7-0117/2014),

A.  in der Erwägung, dass die strategische Rolle Pakistans in der Region, seine Beziehungen zu seinen Nachbarn und die Beziehungen zwischen der EU und Pakistan aufgrund der Schlüssellage des Landes im Herzen einer unbeständigen Nachbarschaft, seiner zentralen Bedeutung für die Sicherheit und Entwicklung in Zentral- und Südasien sowie seiner entscheidenden Rolle bei der Bekämpfung des Terrorismus, der Nichtverbreitung von Kernwaffen sowie der Bekämpfung des Drogenhandels, Menschenhandels und anderer transnationaler Bedrohungen erhebliche und zunehmende Bedeutung für die EU haben, die sich alle auf die Sicherheit und das Wohlergehen der europäischen Bürgerinnen und Bürger auswirken;

B.  in der Erwägung, dass im Rahmen der Parlamentswahlen im Mai 2013 erstmals in der modernen Geschichte Pakistans eine Amtsübergabe von einer gewählten Zivilregierung an eine andere stattfand; in der Erwägung, dass der Demokratisierungsprozess Pakistans durch umfassendere gesellschaftliche Veränderungen unterstützt wird, einschließlich einer wachsenden städtischen Mittelklasse, einer zunehmend lebendigen Zivilgesellschaft und unabhängiger Medien;

C.  in der Erwägung, dass der politische und wirtschaftliche Fortschritt des Landes durch allgegenwärtige Probleme der inneren und regionalen Sicherheit gehemmt wird, wie z. B. durch Extremismus, religiöse Konflikte, Selbstmordattentate und gezielte Tötungen sowie die Gesetzlosigkeit in den Stammesgebieten, die durch die Schwäche der Strafverfolgungsbehörden und des Strafrechtssystems verstärkt werden;

D.  in der Erwägung, dass Pakistan einen der höchsten Anteile der Weltbevölkerung ohne Schulbildung hat und dass schätzungsweise 12 Millionen Kinder keine Schule besuchen und etwa zwei Drittel der pakistanischen Frauen und die Hälfte der pakistanischen Männer als Analphabeten gelten; in der Erwägung, dass das Land laut dem Bericht des Weltwirtschaftsforums über das Lohngefälle noch immer den 134. Platz von insgesamt 135 aufgelisteten Ländern belegt;

E.  in der Erwägung, dass Pakistan gemäß dem Globalen Klima-Risiko-Index zu den zwölf Ländern gehört, die in den letzten zwanzig Jahren am meisten vom Klimawandel beeinträchtigt wurden, mehrfach mit Überschwemmungen und Wasserknappheit konfrontiert war und unmittelbar vom Rückgang der Gletscher in den Regionen Himalaja und Karakorum betroffen ist;

F.  in der Erwägung, dass Pakistan ein halbindustrialisiertes Land mit niedrigem mittlerem Einkommen ist, wobei etwa ein Drittel der Bevölkerung unter der Armutsgrenze lebt; in der Erwägung, dass Pakistan an 146. Stelle der 187 Länder des Index für menschliche Entwicklung der Vereinten Nationen 2012 steht und sich gegenüber dem Vorjahr um einen Platz verschlechtert hat; in der Erwägung, dass sich die wirtschaftliche Lage des Landes durch eine Reihe von Naturkatastrophen verschlechtert hat und dass das Wirtschaftswachstum durch das hohe Maß an Unsicherheit, Instabilität und die grassierende Korruption im Lande behindert wird, was die Fähigkeit der Regierung einschränkt, das Land zu entwickeln;

G.   in der Erwägung, dass Pakistan für eine Vielzahl von Gefahren anfällig ist, vornehmlich Überschwemmungen und Erdbeben; in der Erwägung, dass die schlechte Sicherheitslage zusammen mit den gesellschaftlichen Herausforderungen Pakistans der prekären Situation des Landes Vorschub leistet; in der Erwägung, dass die Fähigkeit, der ohnehin verarmten Gemeinden, mit ihrer Lage fertig zu werden, infolge mehrerer Katastrophenjahre hintereinander erschöpft ist und ihre Widerstandskraft im Hinblick auf künftige Naturkatastrophen gravierend geschwunden ist;

H.  in der Erwägung, dass der konstruktive Beitrag Pakistans von entscheidender Bedeutung dabei ist, Versöhnung, Frieden und politische Stabilität in seiner Nachbarschaft und vor allem in Afghanistan herbeizuführen, insbesondere vor dem Hintergrund des geplanten Rückzugs der NATO-Kampftruppen im Jahr 2014;

I.  in der Erwägung, dass Pakistan zu den größten Empfängern von Entwicklungshilfe und humanitärer Hilfe aus der EU gehört, und in der Erwägung, dass die EU der größte Exportmarkt Pakistans ist;

J.  in der Erwägung, dass Pakistan zu einem zunehmend wichtigen Partner der EU wird, wenn es darum geht, den Terrorismus, die Verbreitung von Kernwaffen, Menschenhandel, Drogenhandel und das organisierte Verbrechen zu bekämpfen sowie regionale Stabilität zu verwirklichen;

K.  in der Erwägung, dass die EU und Pakistan vor kurzem beschlossen haben, ihre bilateralen Beziehungen zu vertiefen und auszuweiten, wie dies auch durch den im Februar 2012 eingeleiteten fünfjährigen Maßnahmenplan und den im Juni 2012 veranstalteten ersten Strategischen Dialog EU-Pakistan deutlich wurde;

L.  unter Hinweis auf das Ziel des fünfjährigen Maßnahmenplans EU-Pakistan von 2012, eine strategische Beziehung aufzubauen und eine Partnerschaft für Frieden und Entwicklung auf der Grundlage gemeinsamer Werte und Grundsätze zu schmieden;

M.  in der Erwägung, dass Pakistan nunmehr seit dem 1. Januar 2014 in das Allgemeine Präferenzsystem der EU (APS+) integriert ist;

N.  in der Erwägung, dass die Fabrik „Ali Enterprises“ in Karatschi, die Jeansstoffe für den europäischen Markt hergestellt hat, im September 2012 bei einem Brand zerstört wurde, was dazu geführt hat, dass 286 darin eingeschlossene Arbeiter ums Leben kamen; in der Erwägung, dass durch die Integration Pakistans in das System APS+ die Produktion im Textilsektor erhöht und Verbesserungen bei den Arbeitnehmerrechten und den Produktionsbedingungen noch wichtiger werden könnten;

1.  unterstreicht die wichtige Bedeutung der Wahlen im Mai 2013 für die Konsolidierung der Demokratie und der Zivilregierung in Pakistan; hält die politischen Eliten Pakistans dazu an, dieses Moment zu nutzen, um die demokratischen Institutionen, die Rechtsstaatlichkeit und die zivile Kontrolle in sämtlichen Bereichen der öffentlichen Verwaltung, insbesondere bei den Sicherheitskräften und im Justizwesen, weiter zu stärken, innere und regionale Sicherheit zu fördern, Reformen im Bereich Staatsführung zur Wiederankurbelung des Wirtschaftswachstums, zur Steigerung der Transparenz und zur intensiveren Bekämpfung des organisierten Verbrechens sowie zur Minderung sozialer Missstände zu beschließen und sämtliche Menschenrechtsverletzungen zu beseitigen und wiedergutzumachen;

2.  vertritt gleichwohl die Auffassung, dass der Aufbau einer nachhaltigen Demokratie und einer pluralistischen Gesellschaft sowie die Schaffung von größerer sozialer Gerechtigkeit, die Beseitigung der extremen Armut und Unterernährung in Teilen des Landes, die Anhebung des allgemeinen Bildungsniveaus und die Vorbereitung des Landes auf die Auswirkungen des Klimawandels tiefgreifende und schwierige Reformen der politischen und sozioökonomischen Ordnung Pakistans nach sich ziehen wird, welche weiterhin von feudalistischen Landbesitzstrukturen und politischen Zugehörigkeiten, einseitig ausgerichteten Prioritäten in Bezug auf Militärausgaben auf der einen Seite und Sozialleistungen, Bildung und wirtschaftliche Entwicklung auf der anderen Seite sowie einem dysfunktionalen System der Steuererhebung geprägt ist, das die Kapazität des Staates zur Bereitstellung öffentlicher Güter systematisch untergräbt;

3.  unterstützt und ermutigt die pakistanische Regierung bei dem Bemühen, wirksame Mittel zu entwickeln, um der Möglichkeit von künftigen Naturkatastrophen vorzubeugen und sie zu überwachen sowie die humanitäre Hilfe wirksamer mit den Akteuren vor Ort, internationalen nichtstaatlichen Organisationen und Spendenbeschaffern zu koordinieren und mit ihnen zusammenzuarbeiten;

4.  wiederholt, dass eine verantwortungsvolle Staatsführung, rechenschaftspflichtige und inklusive Institutionen, Gewaltenteilung und die Achtung der Grundrechte wichtige Faktoren sind, um den Zusammenhang zwischen Entwicklung und Sicherheit in Pakistan anzugehen; vertritt außerdem die Ansicht, dass man mittels gewählter Zivilregierungen, die über demokratische Legitimität verfügen, der Übertragung von Befugnissen an die Provinzen und einer wirksame lokale Verwaltung am ehesten in der Lage ist, die Welle von Gewalt und Extremismus einzudämmen, die staatliche Gewalt in den unter Bundesverwaltung stehenden Stammesgebieten wiederherzustellen und die Souveränität und territoriale Unversehrtheit Pakistans sicherzustellen;

5.  unterstützt in diesem Zusammenhang die Absicht der pakistanischen Regierung, Friedensgespräche mit Tehrik-i-Taliban Pakistan (TTP) aufzunehmen, sofern damit der Weg für eine politische und dauerhafte Lösung gegen die Aufstände und für eine gefestigte demokratische Ordnung, in der die Menschenrechte geachtet werden, geebnet wird; appelliert allerdings an die Verhandlungsführer, der Tatsache Rechnung zu tragen, dass das Bildungsniveau – insbesondere das von Frauen – ein ganz entscheidender Faktor für den Fortschritt von Gesellschaften ist, und die Schulbildung für Mädchen zu einem wesentlichen Bestandteil der Verhandlungen zu machen;

6.  würdigt die anhaltenden Bemühungen Pakistans zur Bekämpfung des Terrorismus auf beiden Seiten seiner Grenze und hält die Behörden zu einem entschlosseneren Vorgehen an, um die Möglichkeiten zur Anwerbung und Ausbildung von Terroristen auf pakistanischem Staatsgebiet weiter einzuschränken, weshalb bestimmte Regionen Pakistans ein sicherer Zufluchtsort für terroristische Organisationen geworden sind, deren Ziel es ist, das Land und die Region, insbesondere Afghanistan, zu destabilisieren;

7.  weist darauf hin, dass der pakistanische Taliban-Führer Hakimullah Mehsud am 1. November 2013 durch eine von den USA betriebene Drohne getötet wurde und dass das pakistanische Parlament und die neue Regierung derartige Interventionen formell missbilligt sowie gefordert haben, dass der völkerrechtliche Rahmen für Drohnenangriffe klarer geregelt wird;

8.  fordert die pakistanische Regierung auf, seinen Sicherheitsverpflichtungen nachzukommen und Verantwortung zu übernehmen, indem sie sich im Kampf gegen Extremismus, Terrorismus und Radikalisierung stärker engagiert und strenge und kompromisslose Sicherheits- und Strafverfolgungsmaßnahmen ergreift sowie sich sozioökonomischen Problemen wie der Ungleichheit annimmt, die der Radikalisierung der pakistanischen Jugend Vorschub leisten könnten;

9.  stellt fest, dass sich die pakistanische Regierung entschieden gegen Drohnenangriffe der Vereinigten Staaten auf ihrem Hoheitsgebiet ausgesprochen hat; begrüßt die Resolution der Generalversammlung der Vereinten Nationen, in der gefordert wird, dass der geltende Rechtsrahmen für den Einsatz bewaffneter Drohnen genauer präzisiert werden muss;

10.  begrüßt den Beitrag Pakistans zum Staatsbildungs- und Versöhnungsprozess in Afghanistan, einschließlich der Unterstützung der Wiederaufnahme von Friedensgesprächen; erwartet, dass Pakistan seine positive Haltung im Vorfeld der Präsidentschaftswahlen Afghanistans und darüber hinaus beibehält; zeigt sich besorgt über den geopolitischen Wettbewerb benachbarter Mächte um Einfluss in Afghanistan nach dem Rückzug der NATO-Kampftruppen;

11.  bekundet seine Hoffnung, dass Pakistan bei der Förderung regionaler Stabilität eine konstruktive Rolle einnimmt, unter anderem mit Blick auf die Präsenz der NATO und der EU-Mitgliedstaaten in Afghanistan nach 2014, indem das Engagement in Afghanistan im Trialogformat mit Indien, der Türkei, China, Russland und dem Vereinigten Königreich weiter vorangetrieben und die regionale Zusammenarbeit bei der Bekämpfung von Menschen-, Drogen- und illegalem Warenhandel gefördert wird;

12.  sieht sich ermutigt durch die neuesten konkreten Fortschritte beim Dialog zwischen Pakistan und Indien, insbesondere in Bezug auf Handel und direkte persönliche Kontakte, die durch die konstruktive Haltung beider Parteien möglich wurden; bedauert, dass die Errungenschaften des Dialogs noch immer durch unvorhersehbare Ereignisse gefährdet sind, wie die anhaltenden Vorfälle an der Demarkationslinie zwischen den von Pakistan besetzten und den von Indien besetzten Teilen Kaschmirs; fordert beide Regierungen auf, geeignete Befehlsketten, die Rechenschaftspflicht des Militärstabs und einen zwischenmilitärischen Dialog sicherzustellen, um ähnliche Vorfälle in Zukunft zu vermeiden;

13.  erkennt das legitime Interesse Pakistans am Aufbau von Beziehungen strategischer und wirtschaftlicher Art sowie im Bereich Energie zu China an; hält es für wichtig, dass die geopolitische Stabilität in Südasien durch engere Beziehungen zwischen Pakistan und China gestärkt wird;

14.  weist auf das Bestreben Pakistans nach einer Vollmitgliedschaft in der Shanghaier Organisation für Zusammenarbeit (SOZ) hin, was als ein willkommenes Zeichen dafür gewertet wird, dass das Land bestrebt ist, stärker in multilaterale Initiativen eingebunden zu werden; stellt allerdings fest, dass es keine formellen Mechanismen für die Zusammenarbeit zwischen der SOZ und der EU gibt, und weist darauf hin, dass Unterschiede bei den jeweiligen Rechtsgrundlagen und Auffassungen zu globalen Themen zu verzeichnen sind;

15.  ist besorgt über Berichte, denen zufolge Pakistan in Erwägung zieht, Kernwaffen in Drittländer zu exportieren; erwartet, dass die EU und ihre Mitgliedstaaten Pakistan trotz offizieller Dementierung der Berichte deutlich machen, dass der Export von Kernwaffen inakzeptabel ist; fordert Pakistan als Staat, der über Kernwaffen verfügt, auf, den Export sämtlicher Kernwaffen und des damit verbundenen technischen Fachwissens oder Materials rechtlich zu untersagen und aktiv dazu beizutragen, internationale Anstrengungen zur Nichtverbreitung von Kernwaffen zu unterstützen; ist der Ansicht, dass die Unterzeichnung und Ratifizierung des Vertrags über die Nichtverbreitung von Kernwaffen (NVV) sowohl durch Pakistan als auch Indien die große Bereitschaft zu einem friedlichen Miteinander in der Region signalisieren sowie einen enormen Beitrag zur Sicherheit in der gesamten Region leisten würde;

16.  ist der Ansicht, dass die Bekämpfung von Extremismus und Radikalismus in einem unmittelbaren Zusammenhang mit stärkeren demokratischen Prozessen steht, und bekräftigt das starke Interesse der EU an sowie die kontinuierliche Unterstützung für ein demokratisches, sicheres und verantwortungsvoll regiertes Pakistan mit einem unabhängigen Justizwesen und einer verantwortungsvollen Staatsführung, das Rechtsstaatlichkeit und Menschenrechte achtet, freundschaftliche Beziehungen zu den Nachbarn pflegt und einen stabilisierenden Einfluss auf die Region im Sinn hat;

17.  erinnert daran, dass sich die Beziehungen zwischen der EU und Pakistan traditionell innerhalb eines auf Entwicklung und Handel ausgerichteten Rahmens entwickelt haben; würdigt den wichtigen und dauerhaften Beitrag der Entwicklungszusammenarbeit und humanitären Zusammenarbeit der EU und begrüßt die Entscheidung, Pakistan die EU-Sonderregelung APS+ ab 2014 zu gewähren; fordert Pakistan auf, die daran geknüpften Bedingungen in vollem Maße zu erfüllen, und ersucht die Kommission, zu gewährleisten, dass die verstärkte Überwachung – wie im Rahmen der neuen APS-Verordnung vorgesehen – strikt angewendet wird; betont, dass die Zusammenarbeit insbesondere in den Bereichen Bildung, Demokratieaufbau und Anpassung an den Klimawandel weiterhin im Mittelpunkt stehen sollte;

18.  ist davon überzeugt, dass die Beziehungen zwischen der EU und Pakistan enger und umfassender werden müssen, indem der politische Dialog entwickelt und die auf gegenseitigem Interesse beruhenden Beziehungen zwischen Partnern auf Augenhöhe beibehalten werden; begrüßt vor diesem Hintergrund die Verabschiedung des fünfjährigen Maßnahmenplans und den Beginn des strategischen Dialogs zwischen der EU und Pakistan, die das größere Gewicht der politischen und sicherheitspolitischen Zusammenarbeit unter anderem in der Politik zur Terrorismusbekämpfung sowie bei Abrüstung und Nichtverbreitung und in den Bereichen Einwanderung, Bildung und Kultur widerspiegeln; erwartet jedoch mehr Fortschritte in allen Bereichen des Maßnahmenplans;

19.  legt sowohl der EU als auch Pakistan nahe, im Rahmen des Umsetzungsprozesses zusammenzuarbeiten und den Fortschritt regelmäßig zu überwachen, indem der Dialog zwischen beiden Seiten langfristig intensiviert wird;

20.  vertritt die Auffassung, dass der Übergang Pakistans zur Demokratie der EU eine Gelegenheit geboten hat, in den bilateralen Beziehungen und bei der Unterstützung einen expliziteren politischen Ansatz zu verfolgen; ist der Ansicht, dass bei der Unterstützung der EU für Pakistan der Konsolidierung demokratischer Institutionen auf allen Ebenen, der Stärkung der staatlichen Kapazität und der verantwortungsvollen Staatsführung, dem Aufbau einer wirksamen Strafverfolgung und ziviler Strukturen zur Terrorismusbekämpfung, einschließlich eines unabhängigen Justizwesens, sowie der Stärkung der Zivilgesellschaft und freier Medien Vorrang einzuräumen ist;

21.  begrüßt vor diesem Hintergrund, dass im Zusammenhang mit der Umsetzung der Empfehlungen der Wahlbeobachtungsmissionen der EU von 2008 und 2013 bereits umfassende Programme zur Förderung der Demokratie bestehen;

22.  fordert den EAD und die Kommission auf, eine differenzierte und mehrdimensionale Politik gegenüber Pakistan zu verfolgen, bei der alle der EU zur Verfügung stehenden einschlägigen Instrumente, wie z. B. politischer Dialog, Sicherheitskooperation, Handel und Unterstützung, zusammenwirken, entsprechend dem umfassenden Ansatz der EU für auswärtiges Handeln und angesichts der Vorbereitungen auf das nächste Gipfeltreffen zwischen der EU und Pakistan;

23.  fordert den EAD, die Kommission und den Rat außerdem auf, sicherzustellen, dass die Politik der EU gegenüber Pakistan in den Kontext und in eine umfassendere Strategie für die Region eingebunden ist, und damit die Interessen der EU in ganz Süd- und Zentralasien zu stärken; hält es für wichtig, dass die bilateralen Beziehungen der EU mit Pakistan und den Nachbarländern, insbesondere Indien, China und Iran, auch dazu dienen, die Politik in Bezug auf die Lage in Afghanistan zu erörtern und zu koordinieren, um einen zielgerichteten Ansatz sicherzustellen; betont in dieser Hinsicht, dass eine Verstärkung der Koordinierung der Politik zwischen der EU und den USA und des Dialogs in regionalen Fragen erforderlich ist;

24.  vertritt die Auffassung, dass die Zukunft der Beziehungen zwischen der EU und Pakistan auch vor dem Hintergrund der Weiterentwicklung des institutionellen Instrumentariums der EU für ihr Engagement in Drittländern, insbesondere im Format strategischer Partnerschaften, betrachtet werden sollte; bekräftigt seine Forderung nach einer konzeptionellen Weiterentwicklung des Formats sowie deutlicheren und konsistenteren Maßstäben, um unter anderem zu beurteilen, ob und unter welchen Voraussetzungen sich Pakistan in unbestimmter Zukunft als strategischer Partner der EU qualifizieren könnte;

25.  bekräftigt nachdrücklich, dass Fortschritte in den bilateralen Beziehungen mit Verbesserungen der Menschenrechtssituation in Pakistan verknüpft sind, insbesondere in Bezug auf die Beseitigung moderner Sklaverei, der Kinderarbeit und des Menschenhandels, die Eindämmung geschlechtsbezogener Gewalt, die Stärkung der Rechte von Frauen und Mädchen, einschließlich des Rechts auf Zugang zu Bildung, die Gewährleistung der freien Meinungsäußerung und unabhängiger Medien und die Förderung der Toleranz und des Schutzes gefährdeter Minderheiten durch die wirksame Bekämpfung aller Formen der Diskriminierung; erkennt an, dass dafür der Praxis der Straflosigkeit Einhalt geboten und auf allen Ebenen ein zuverlässiges Rechts- und Justizsystem entwickelt werden muss, das für alle Menschen zugänglich ist;

26.  ist angesichts der Bildungsqualität sowie der erschreckenden Lage der Frauen in vielen Teilen Pakistan zutiefst besorgt; fordert konkrete und sichtbare Maßnahmen zur gesellschaftlichen Durchsetzung der Grundrechte der Frau, darunter die Verabschiedung von Gesetzen gegen häusliche Gewalt sowie Maßnahmen für eine bessere Untersuchung und Strafverfolgung von „Ehrenmorden“ und Säureanschlägen und eine Novellierung der Rechtsvorschriften, die Straflosigkeit begünstigen; verweist auf die Notwendigkeit eines besseren Zugangs zu Bildung und einer besseren Eingliederung von Frauen in den Arbeitsmarkt sowie einer besseren Gesundheitsversorgung von Müttern;

27.  bekundet erneut seine tiefe Besorgnis darüber, dass die Blasphemie-Gesetze Pakistans, die zur Todesstrafe führen können und die oft zur Rechtfertigung von Zensur, Kriminalisierung, Verfolgung und – in bestimmten Fällen – Mord an Angehörigen politischer und religiöser Minderheiten benutzt werden, missbraucht werden können, wobei von diesem möglichen Missbrauch Menschen aller Religionen in Pakistan betroffen sein können; betont, dass die Weigerung, die Blasphemie-Gesetze zu überarbeiten oder aufzuheben, den Nährboden für die ständige Gefährdungslage von Minderheitengemeinschaften bereitet; fordert die pakistanische Regierung auf, ein Moratorium für die Anwendung dieser Gesetze als ersten Schritt in Richtung ihrer Novellierung oder Aufhebung zu erlassen und Einschüchterungskampagnen, Drohungen und Gewalt gegen Christen, Ahmadiyya-Muslime und andere gefährdete Gruppen gegebenenfalls zum Gegenstand von Ermittlungen und Strafverfolgungsmaßnahmen zu machen;

28.  fordert die pakistanischen Behörden insbesondere auf, diejenigen, die zu Gewalt anstiften oder für die gewaltsamen Übergriffe auf Schulen oder Minderheitengruppen verantwortlich sind, etwa auf Schiiten, einschließlich der Hazara-Gemeinschaft, Ahmadis und Christen, festzunehmen und strafrechtlich zu verfolgen, die Sicherheitskräfte anzuweisen, diejenigen, die Angriffen extremistischer Gruppierungen ausgesetzt sind, aktiv zu schützen, Gesetze gegen häusliche Gewalt zu erlassen sowie gewaltsame Verschleppungen, außergerichtliche Hinrichtungen und willkürliche Verhaftungen, insbesondere in Belutschistan, zu beenden;

29.   verurteilt alle Angriffe auf die in Pakistan lebenden Christen und Angehörigen anderer religiöser Minderheiten und erwartet, dass Pakistan seine Bemühungen zur Wahrung der Religions- und Weltanschauungsfreiheit unter anderem durch die Lockerung der strengen Vorschriften gegen Gotteslästerung sowie Schritte hin zur Abschaffung der Todesstrafe verstärkt;

30.  begrüßt, dass 2012 ein Gesetz zur Einsetzung einer nationalen Menschenrechtskommission verabschiedet wurde, und fordert die Regierung mit Nachdruck auf, die Kommission so zu konzipieren, dass sie ihre Arbeit aufnehmen kann;

31.  weist darauf hin, dass die EU der größte Exportpartner Pakistans im Warenhandel ist (22,6 % im Jahr 2012); ist der Auffassung, dass die handelsbezogene Unterstützung Pakistans durch die EU dazu dienen sollte, die Diversifizierung und Entwicklung von Produktionsformen (einschließlich Verarbeitung) zu fördern, die regionale Integration und Technologietransfers zu unterstützen, die Schaffung oder Entwicklung heimischer Produktionskapazitäten zu erleichtern und Einkommensunterschiede zu mindern;

32.  weist darauf hin, dass die APS+-Regelung der EU, in deren Genuss Pakistan seit 2014 kommt, nur Ländern gewährt wird, die verbindlich zugestimmt haben, die internationalen Menschenrechte, die Arbeitnehmerrechte sowie die Übereinkommen zum Umweltschutz und zu einer verantwortungsvollen Staatsführung umzusetzen; hebt insbesondere die Verpflichtungen Pakistans hervor, die sich gemäß der in Anhang VIII aufgeführten Übereinkommen ergeben, und weist die Kommission darauf hin, dass sie in der Pflicht steht, deren effektive Umsetzung zu überwachen; weist ferner darauf hin, dass das APS+ vorrübergehend zurückgenommen wird, falls ein Land seine „bindenden Zusagen […] nicht einhält“;

33.  fordert die staatlichen Stellen Pakistans auf, wirksame Maßnahmen zur Umsetzung der 36 vom Land ratifizierten IAO-Übereinkommen zu ergreifen und insbesondere gewerkschaftliche Tätigkeit zu erlauben, die Arbeitsbedingungen und Sicherheitsstandards zu verbessern sowie Kinderarbeit abzuschaffen und gegen die schlimmste Form der Ausbeutung vorzugehen, unter der drei Millionen weibliche Hausbedienstete leiden.

34.  fordert die pakistanische Regierung auf, das unter der Federführung der IAO/IFC erstellte „Better Work Program“ (Programm für besseres Arbeiten) wie zugesagt zu unterzeichnen, um Verbesserungen bei den Gesundheits- und Sicherheitsstandards für Arbeitnehmer weiter voranzutreiben; fordert all diejenigen, die für den Fabrikbrand in der Textilfabrik „Ali Enterprises“ direkt oder indirekt verantwortlich sind, darunter die für die soziale Verantwortung zuständige Prüfgesellschaft und die beteiligten europäischen Einzelhändler, auf, den Überlebenden des Brandes eine vollständige, langfristige und gerechte Entschädigung zukommen zu lassen;

35.  beauftragt seinen Präsidenten, diese Entschließung der Regierung und der Nationalversammlung von Pakistan, dem Rat, der Kommission, der Vizepräsidentin der Kommission/Hohen Vertreterin der Union für Außen- und Sicherheitspolitik, dem EU-Sonderbeauftragten für Menschenrechte sowie den Regierungen der Mitgliedstaaten zu übermitteln.

(1) http://eeas.europa.eu/pakistan/docs/2012_feb_eu_pakistan_5_year_engagement_plan_en.pdf (2) http://www.consilium.europa.eu/uedocs/cms_data/docs/pressdata/EN/foraff/131181.pdf (3) ABl. L 303 vom 31.10.2012, S. 1. (4) Angenommene Texte, P7_TA(2013)0060. (5) ABl. C 353 E vom 3.12.2013, S. 323. (6) ABl. C 168 E vom 14.6.13, S. 119.

Entschließung des Europäischen Parlaments vom 12. März 2014 zu einem Raketenschild für Europa und seine politischen und strategischen Folgen (2013/2170(INI))

P7_TA(2014)0209 A7-0109/2014

Das Europäische Parlament,

–  gestützt auf Artikel 42 Absatz 7 des Vertrags über die Europäische Union (EUV) und Artikel 222 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV),

–  gestützt auf Artikel 24 und Artikel 42 Absatz 2 EUV, Artikel 122 und 196 AEUV und auf Erklärung 37 zu Artikel 222 AEUV,

–  unter Hinweis auf die Europäische Sicherheitsstrategie, die am 12. Dezember 2003 vom Europäischen Rat angenommen wurde, und auf den Bericht über ihre Umsetzung, der am 11. und 12. Dezember 2008 vom Europäischen Rat gebilligt wurde,

–  unter Hinweis auf die Strategie der inneren Sicherheit der Europäischen Union, die am 25. und 26. März 2010 vom Europäischen Rat angenommen wurde,

–  unter Hinweis auf die Schlussfolgerungen des Rates vom 19. Dezember 2013 zur Gemeinsamen Sicherheits- und Verteidigungspolitik,

–  unter Hinweis auf das Strategische Konzept für die Verteidigung und Sicherheit der Mitglieder der Nordatlantikvertrags-Organisation, verabschiedet auf dem NATO-Gipfel in Lissabon am 19. und 20. November 2010,

–  unter Hinweis auf die von den Staats- und Regierungschefs, die an der Tagung des Nordatlantikrats am 20. Mai 2012 teilgenommen haben, abgegebene Gipfelerklärung von Chicago,

–  gestützt auf Artikel 48 seiner Geschäftsordnung,

–  in Kenntnis des Berichts des Ausschusses für auswärtige Angelegenheiten (A7-0109/2014),

A.  in der Erwägung, dass die Frage der Abwehr ballistischer Flugkörper (BMD – Ballistic Missile Defence) bereits in der Vergangenheit angesprochen wurde, in den letzten Jahren jedoch angesichts der stärkeren Bedrohung durch die Verbreitung von Kernwaffen und anderen Massenvernichtungswaffen sowie die Verbreitung von ballistischen Flugkörpern, auf die die Nordatlantik-Vertragsorganisation (NATO) und ihre europäischen Verbündeten effektiv reagieren können müssen, an Aktualität gewonnen hat;

B.  in der Erwägung, dass die Abwehr von Angriffen mit ballistischen oder sonstigen Raketen im Hinblick auf die Dynamik der internationalen Sicherheitslage insoweit eine positive Entwicklung für die Sicherheit Europas darstellen kann, als mehrere staatliche und nichtstaatliche Akteure Raketentechnologien und verschiedene Kapazitäten im Bereich der chemischen, biologischen, radiologischen und nuklearen Verteidigung (CBRN) entwickeln, die das Potenzial haben, europäisches Hoheitsgebiet zu erreichen;

C.  in der Erwägung, dass die NATO ihre Fähigkeit zur Abwehr ballistischer Flugkörper entwickelt, um ihre Kernaufgabe der kollektiven Verteidigung mit dem Ziel, allen europäischen Bevölkerungen, Hoheitsgebieten und Streitkräften, die Mitglied der NATO sind, vollen Schutz vor der wachsenden Bedrohung durch die Verbreitung von ballistischen Flugkörpern zu bieten, wahrzunehmen;

D.  in der Erwägung, dass der wesentliche Beitrag der Vereinigten Staaten zur Abwehr ballistischer Flugkörper eine Bestätigung ihres NATO-Engagements und der Sicherheit Europas und der europäischen Verbündeten darstellt, sowie unter Hervorhebung der Bedeutung des transatlantischen Bündnisses und der Tatsache, dass in Rumänien bereits Anlagen installiert sind und in naher Zukunft weitere Anlagen in Polen hinzukommen sollen;

E.  in der Erwägung, dass sich die Gemeinsame Sicherheits- und Verteidigungspolitik in vollständiger Komplementarität mit der NATO im vereinbarten Rahmen der strategischen Partnerschaft EU-NATO weiterentwickeln wird, wie am 19. Dezember 2013 vom Europäischen Rat bestätigt wurde;

1.  ist der Auffassung, dass die Entwicklung und Implementierung von Technologien zur Abwehr ballistischer Flugkörper der europäischen Sicherheit eine neue Dynamik verleihen, was dazu führt, dass die Mitgliedstaaten berücksichtigen müssen, welche Auswirkungen solche Technologien auf ihre Sicherheit haben;

2.  erinnert daran, dass die Maßnahmen der NATO zur Abwehr ballistischer Flugkörper so konzipiert und konstruiert sind, dass sie der Verteidigung der NATO-Mitgliedstaaten gegen potenzielle Angriffe mit ballistischen Raketen dienen; fordert die Hohe Vertreterin/Vizepräsidentin dazu auf, auf eine strategische Partnerschaft mit der NATO hinzuarbeiten und dabei der Frage der Raketenabwehr Rechnung zu tragen, was dazu führen sollte, dass alle EU-Mitgliedstaaten vollständig erfasst und geschützt sind und eine Situation vermieden wird, bei der die ihnen gebotene Sicherheit sich in irgendeiner Weise unterscheiden würde;

3.  begrüßt die erreichte Übergangsfähigkeit der NATO zur Abwehr ballistischer Flugkörper, die im Rahmen der verfügbaren Mittel Bevölkerungen, Gebieten und Streitkräften in den südeuropäischen NATO-Staaten einen maximalen Schutz vor Angriffen mit ballistischen Flugkörpern bietet; begrüßt ferner das Ziel der vollständigen Abdeckung und des vollständigen Schutzes der europäischen NATO-Mitgliedstaaten bis zum Ende des Jahrzehnts;

4.  betont, dass die von der EU ergriffenen Initiativen wie Pooling & Sharing sich bei der Stärkung der Zusammenarbeit der Mitgliedstaaten im Bereich des BMD-Programms als hilfreich erweisen können, insbesondere bei der Durchführung gemeinsamer Forschungs- und Entwicklungsarbeiten; weist darauf hin, dass eine solche Art der Zusammenarbeit auf lange Sicht auch zur Konsolidierung der europäischen Verteidigungsindustrie beitragen könnte;

5.  fordert den Europäischen Auswärtigen Dienst, die Kommission, die Europäische Verteidigungsagentur und den Rat auf, das Thema Raketenabwehr in künftige Strategien, Studien und Weißbücher auf dem Gebiet der Sicherheit einzubeziehen;

6.  betont, dass angesichts der Finanzkrise und der Haushaltskürzungen nicht genügend Ressourcen eingesetzt werden, um die Verteidigungsfähigkeit in ausreichendem Maße aufrechtzuerhalten, was geringere militärische und industrielle Kapazitäten der EU zur Folge hat;

7.  hebt hervor, dass der BAMD-Plan der NATO in keiner Weise gegen Russland gerichtet ist und dass die NATO bereit ist, mit Russland zusammenzuarbeiten, und zwar auf der Grundlage einer Zusammenarbeit von zwei unabhängigen Raketenabwehrsystemen – dem der NATO und dem Russlands; betont, dass eine Zusammenarbeit mit Russland zwar deutliche Vorteile mit sich bringen könnte, diese aber auf uneingeschränkter Gegenseitigkeit und Transparenz basieren muss, da die Vertiefung des gegenseitigen Vertrauens für den schrittweisen Aufbau einer solchen Zusammenarbeit unabdingbar ist; weist in diesem Zusammenhang darauf hin, dass es kontraproduktiv ist, wenn russische Raketen näher an die NATO- und EU-Grenzen verlagert werden;

8.  beauftragt seinen Präsidenten, diese Entschließung dem Präsidenten des Europäischen Rates, der Vizepräsidentin der Kommission/Hohen Vertreterin der Union für Außen- und Sicherheitspolitik, dem Rat, der Kommission, den Parlamenten der Mitgliedstaaten, der Parlamentarischen Versammlung der NATO und dem Generalsekretär der NATO zu übermitteln.

Entschließung des Europäischen Parlaments vom 12. März 2014 zur Situation und die zukünftigen Perspektiven des EU-Fischereisektors im Kontext des Freihandelsabkommens zwischen der EU und Thailand (2013/2179(INI))

P7_TA(2014)0210 A7-0130/2014

Das Europäische Parlament,

–  unter Hinweis auf Artikel 3 Absatz 5 des Vertrags über die Europäische Union, der die Beziehungen der EU zur übrigen Welt betrifft,

–  unter Hinweis auf die Verordnung (EG) Nr. 1005/2008 des Rates vom 29. September 2008 über ein Gemeinschaftssystem zur Verhinderung, Bekämpfung und Unterbindung der illegalen, nicht gemeldeten und unregulierten Fischerei(1) (IUU-Verordnung),

–  unter Hinweis auf die Mitteilung der Kommission vom 25. Oktober 2011 „Eine neue EU-Strategie (2011-14) für die soziale Verantwortung der Unternehmen“ (COM(2011)0681),

–  unter Hinweis auf die Anfragen zur schriftlichen Beantwortung E-000618/2013 vom 22. Januar 2013 über Missbräuche in den Lieferketten für den Einzelhandel und E‑002894/2013 vom 13. März 2013 über das Freihandelsabkommen mit Thailand und Kinderarbeit in der Konservenindustrie, und die Antworten der Kommission,

–  unter Hinweis auf seine Entschließung vom 22. November 2012 zur externen Dimension der Gemeinsamen Fischereipolitik(2),

–  gestützt auf Artikel 48 seiner Geschäftsordnung,

–  in Kenntnis des Berichts des Fischereiausschusses sowie der Stellungnahme des Ausschusses für internationalen Handel (A7-0130/2014),

A.  in der Erwägung, dass die europäische Fischerei gerade eine die Sektoren Fang, Verarbeitung und Aquakultur betreffende Krise durchlaufen hat, die seine Wettbewerbsfähigkeit dramatisch geschwächt hat, vor allem da der globale Markt gerade eine Liberalisierung erfährt und bestimmte Entwicklungsländer, die über eine Fülle von Meeresressourcen verfügen, dabei sind, sich zu neuen Fischereimächten zu entwickeln;

B.  in der Erwägung, dass die Fischerei und die Fischverarbeitungsindustrie in Europa für die Versorgung der europäischen Bürgerinnen und Bürger mit Lebensmitteln unverzichtbar ist und wesentlich zum Lebensunterhalt der Bevölkerung in den Küstengebieten beiträgt, die weitgehend von dieser Tätigkeit abhängen; in der Erwägung, dass der Fortbestand der Fischerei gefährdet wird, wenn die EU den Handel mit Fischereierzeugnissen mit Entwicklungsländern, die ihre Erzeugnisse in den für sie sehr interessanten Gemeinschaftsmarkt exportieren möchten, liberalisiert, insbesondere wenn diesen Ländern Zollfreiheit gewährt wird;

C.  in der Erwägung, dass die EU der weltweit größte Importeur von Fischereierzeugnissen ist und der Gemeinschaftsmarkt aufgrund seiner Abhängigkeit von Importen für Exporteure sehr attraktiv ist, zumal die Nachfrage nach Fischereierzeugnissen in der EU jedes Jahr um 1,5 % steigt;

D.  in der Erwägung, dass Thailand mit 46 % der globalen Produktion der weltweit größte Erzeuger von Thunfischkonserven ist und seine Exporte von Thunfischkonserven in die EU über 90 000 Tonnen pro Jahr liegen und knapp 20 % aller Importe der Gemeinschaft aus Drittländern ausmachen und dass die USA, die EU und Japan die Hauptexportmärkte für thailändische Fischereierzeugnisse sind;

E.  in der Erwägung, dass Thailand der weltweit größte Importeur von frischem, gekühltem und tiefgefrorenem Thunfisch ist, der in seiner Konservenindustrie verarbeitet wird;

F.  in der Erwägung, dass 80 % des verzehrten Thunfischs Konserventhunfisch ist und dass gemäß den neuesten Daten der Datenbank FISHSTAT der Ernährungs- und Landwirtschaftsorganisation der Vereinten Nationen (FAO) 21 % der weltweiten Produktion von Konserventhunfisch und Thunfischzubereitungen in der EU erfolgt, während die restlichen 79 % in Drittländern, von denen die meisten Entwicklungsländer sind, hergestellt werden;

G.  in der Erwägung, dass Thailand für die EU von großer handelspolitischer, wirtschaftlicher und strategischer Bedeutung ist und dass das Freihandelsabkommen (FHA) zwischen der EU und Thailand für die EU-Wirtschaft insgesamt von beträchtlichem Nutzen ist;

H.  in der Erwägung, dass die EU die regionale Integration der ASEAN-Länder (Mitgliedsländer des Verbands Südostasiatischer Staaten) unterstützt, wobei das Freihandelsabkommen mit Thailand ein wesentliches Element in diesem Integrationsprozess ist, dessen Ziel letztendlich darin besteht, in Zukunft ein interregionales Freihandelsabkommen abzuschließen;

I.  in der Erwägung, dass der Abschluss des Freihandelsabkommens EU-ASEAN, das Indonesien, Malaysia, die Philippinen, Singapur, Thailand, Brunei und Vietnam umfassen sollte, seit 2007 eines der vorrangigen Ziele der EU ist; in der Erwägung, dass die mangelnden Fortschritte bei den Verhandlungen zu diesem regionalen Abkommen dazu geführt haben, dass bilaterale Verhandlungen mit ASEAN‑Mitgliedstaaten, darunter auch Thailand, aufgenommen wurden und auf politischer Ebene die Verpflichtung eingegangen wurde, das Freihandelsabkommen innerhalb von zwei Jahren zum Abschluss zu bringen;

J.  in der Erwägung, dass die Erzeugung von Thunfischkonserven im mittleren westpazifischen Raum fast die Hälfte der weltweiten Produktion ausmacht, wenn man Thailand, Indonesien und die Philippinen zu diesem Raum rechnet;

K.  in der Erwägung, dass die Veränderungen bei den Erzeugern von Thunfischkonserven und -filets mit der Tendenz der weltweiten Versorgung von Verarbeitungsländern mit niedrigen Herstellungskosten und räumlicher Nähe zur Rohware (zum Beispiel Thailand, Philippinen, Indonesien, Papua-Neuguinea und Ecuador) einhergehen und dass die Anzahl an Ländern, die an der Erzeugung und dem Export von Thunfischkonserven beteiligt sind, steigt;

L.  in der Erwägung, dass Thailand und die Philippinen die Länder sind, die am meisten Thunfischzubereitungen und Thunfischkonserven in die EU exportieren, und dass die Importe aus Thailand um 20 % gestiegen sind, während die Importe aus den Philippinen um 5 % zurückgegangen sind;

M.  in der Erwägung, dass sich eine Senkung der Zölle auf Thunfischkonserven und Thunfischzubereitungen auf die Präferenzen für die zur Gruppe der Staaten in Afrika, im Karibischen Raum und im Pazifischen Ozean (AKP) gehörenden Staaten und für die Staaten, die vom System der Allgemeinen Präferenzen (APS+) profitieren, auswirken könnten, in dessen Rahmen sich die begünstigten Drittländer als Gegenleistung für die Einräumung von Zollpräferenzen zur Einhaltung bestimmter politischer Zielvorgaben wie Achtung der Menschenrechte, Arbeitsrecht, Umweltschutz und verantwortungsvolle Regierungsführung verpflichten;

N.  in der Erwägung, dass eine Senkung der Zölle auch den europäischen Markt verzerren würde, da die Thunfischkonservenindustrie der EU mehrheitlich in Regionen angesiedelt ist, die in hohem Maße vom Fischfang abhängen, wie beispielsweise im spanischen Galicien, in der Bretagne, auf den Azoren (eine Region in äußerster Randlage), im Baskenland und auf Sardinien; in der Erwägung, dass die Thunfischindustrie der EU der weltweit zweitgrößte Erzeuger von Thunfischkonserven ist und ihre seit langem etablierte Tätigkeit sowohl mit Blick auf die Schaffung von Mehrwert als auch für die Schaffung von Arbeitsplätzen in der EU bei gleichzeitiger Wahrung der höchsten Sozial-, Umwelt-, Gesundheits- und Hygienestandards von entscheidender Bedeutung ist;

O.  in der Erwägung, dass die Präferenzursprungsregeln hauptsächlich das Ziel haben, eine hinreichende wirtschaftliche Verbindung zwischen den in die EU eingeführten Erzeugnissen und den Ländern herzustellen, die durch die von der EU eingeräumten Präferenzen begünstigt werden, um sicherzustellen, dass diese Präferenzen nicht unberechtigt zum Nutzen anderer Länder umgelenkt werden, denen sie nicht zugedacht waren;

P.  in der Erwägung, dass es bei Debatten über den Handel mit Fischereierzeugnissen um den Handel mit einer natürlichen Ressource geht, deren Nachhaltigkeit von vielen verschiedenen Faktoren wie einer guten Bewirtschaftung und nachhaltigen Nutzung der Fischereiressourcen, der Bekämpfung der illegalen Fischerei, dem Umfang der Umweltbelastung, dem Klimawandel und der Marktnachfrage beeinflusst wird; in der Erwägung, dass diese äußeren Faktoren den internationalen Handel mit Fischereierzeugnissen beeinflussen und dass Fischereierzeugnisse daher als sensible Erzeugnisse zu betrachten sind, die unter besonderen Schutz gestellt werden können;

Q.  in der Erwägung, dass eine ausreichende und durchgängige Versorgung mit Rohware für den Fortbestand und die wirtschaftliche Entwicklung der Thunfischverarbeitungsbetriebe in der EU von zentraler Bedeutung ist;

R.  in der Erwägung, dass die Welthandelsorganisation (WTO) das Argument geltend macht, dass der freie Handel zu einem Wachstum beiträgt, dessen Ziel die nachhaltige Entwicklung in sozialer, wirtschaftlicher und ökologischer Hinsicht ist;

S.  in der Erwägung, dass in diesem Zusammenhang Handelsbestimmungen wesentlich dazu beitragen, dass Handel Vorteile bringt, dass das Ziel erreicht wird, die Gesundheit und die Umwelt zu schützen, und dass eine geeignete Bewirtschaftung der natürlichen Ressourcen sichergestellt wird;

T.  in der Erwägung, dass die Menge an Fisch, die weltweit gehandelt wird, durch die Globalisierung erheblich gestiegen ist und dass die Sorge weit verbreitet ist, dass es vielen Erzeugerländern an ausreichenden Mitteln zur nachhaltigen Bewirtschaftung bzw. Nutzung der Fischbestände, zur Sicherstellung eines angemessenen Schutzes von Gesundheit und Hygiene, zur Verringerung der Umweltauswirkungen von Fischerei und Aquakultur sowie zur Sicherstellung der Wahrung der Menschenrechte im Allgemeinen und zur Förderung von Arbeitnehmerrechten, insbesondere von angemessenen sozialen Bedingungen, im Besonderen fehlt;

U.  in der Erwägung, dass es bei einigen Handelspartnern der EU Defizite hinsichtlich der drei Aspekte einer nachhaltigen Entwicklung der Fischerei gibt, nämlich in sozialer, wirtschaftlicher und ökologischer Hinsicht;

V.  in der Erwägung, dass die nachhaltige Bewirtschaftung der Thunfischbestände von den fünf Regionalen Fischereiorganisationen (RFO) für Thunfisch sichergestellt wird; in der Erwägung, dass die internationale Zusammenarbeit zwischen den Staaten und mit den RFO entscheidend dazu beiträgt, die Nachhaltigkeit der Thunfischbestände zu gewährleisten;

W.  in der Erwägung, dass sowohl die IAO als auch verschiedene nichtstaatlicher Organisationen erst kürzlich erhebliche Defizite bei den sozialen Bedingungen und den Arbeitsbedingungen sowie bei der Achtung der Menschenrechte in der thailändischen Fischwirtschaft aufgezeigt haben; in der Erwägung, dass von den Medien darüber berichtet und von der thailändischen Regierung eingeräumt wurde, dass ein bestimmter Sektor der thailändischen Fischwirtschaft Einwanderer als Zwangsarbeiter einsetzt, die Opfer von Menschenhandel sind, und dass zwei Thunfischkonserven herstellende multinationale Unternehmen in Thailand auf Kinderarbeit zurückgreifen;

X.  in der Erwägung, dass es laut der FAO häufig vorkommt, dass die thailändischen Fischereifahrzeuge von den benachbarten Küstenstaaten beschlagnahmt und die Kapitäne der illegalen Fangs und des unbefugten Eindringens in die ausschließliche Wirtschaftszone des betroffenen Staates bezichtigt werden;

Y.  in der Erwägung, dass die spanischen Behörden im Jahr 2013 die Anlandung und Vermarktung von Thunfisch von unter ghanaischer Flagge fahrenden Thunfischfängern nicht erlaubt haben, weil diese durch die Nichtumsetzung der von der Internationalen Kommission für die Erhaltung des atlantischen Thunfischs empfohlenen Bewirtschaftungsmaßnahmen illegale, nicht gemeldete und unregulierte Fischerei (IUU) betrieben haben, wobei festzuhalten ist, dass bei einer Mehrzahl dieser Thunfischfänger eine Beteiligung in Thailand ansässiger Privatunternehmen vorlag;

Z.  in der Erwägung, dass in den vergangenen Monaten in der EU zahlreiche aus Thailand importierte Chargen von Thunfischkonserven zurückgewiesen wurden, weil sie nicht in ordnungsgemäßer Weise einer Hitzebehandlung unterzogen wurden, wie sie für die Neutralisierung von Mikroorganismen von entscheidender Bedeutung ist, die anderenfalls eine Gefahr für die menschliche Gesundheit wären;

1.  fordert, dass aus Thailand eingeführte Fischereierzeugnisse wie Thunfischkonserven, durch die die Produktion in der EU und der EU-Markt für diese Erzeugnisse gestört werden könnten, als sensible Güter behandelt werden; vertritt zudem die Ansicht, dass Entscheidungen, die mehr Zugang für in Thailand verarbeitete Thunfischkonserven betreffen, nur nach konsequenten Folgenabschätzungen und in enger Konsultation mit der Wirtschaft getroffen werden sollten, damit die möglichen Auswirkungen einer zunehmenden Einfuhrmenge auf die verarbeitende Industrie und die Vermarktung von Meereserzeugnissen in der EU analysiert und bewertet werden;

2.  fordert, die derzeit geltenden Zölle für die Einfuhr von thailändischem Fisch und thailändischen Meeresfrüchten in Konserven und Zubereitungen aus thailändischem Fisch und thailändischen Meeresfrüchten in den EU-Markt aufrecht zu erhalten und sie damit weiterhin von Zollermäßigungen auszuschließen; weist darauf hin, dass im Falle einer Einführung von Zollliberalisierungen lange Übergangszeiträume und Verpflichtungen zu einer Teilliberalisierung, auch die Einführung von Quoten, für Fisch und Meeresfrüchte in Konserven und Zubereitungen aus Fisch und Meeresfrüchten festgelegt werden sollten, damit die Wettbewerbsfähigkeit der Thunfischindustrie der Gemeinschaft sichergestellt und so ihre bedeutende Geschäftstätigkeit in der EU, die mit 25 000 in der Industrie und 54 000 in ihrem Umfeld geschaffenen Arbeitsplätzen auch von großer sozialer Bedeutung ist, gewahrt ist;

3.  fordert, jeweils vor der Einräumung von Zollzugeständnissen gleich welcher Art oder der Einführung anderer Bestimmungen strenge Folgenabschätzungen durchzuführen, mit denen die möglichen Auswirkungen dieser Zollzugeständnisse oder Bestimmungen auf die Branche der Verarbeitung und Vermarktung von Meereserzeugnissen in der EU analysiert und bewertet werden;

4.  fordert, dass im Fall von sensiblen Erzeugnissen ausnahmslos die vollständige Einhaltung von belastbaren und kohärenten strengen Ursprungsregeln sowie die konsequente Beschränkung der Ursprungskumulierung in Bezug auf Erzeugnisse, für die Thailand eher ein Verarbeitungsland als ein Fangland ist, sichergestellt wird.

5.  fordert, dass Einfuhren von Thunfischkonserven und anderen Fischereierzeugnissen aus Thailand, soweit möglich, denselben Wettbewerbsbedingungen wie Fischereierzeugnisse aus der EU unterliegen sollten; ist der Ansicht, dass diese Forderung insbesondere bedeutet, dass das Freihandelsabkommen ein anspruchsvolles Kapitel über Handel und nachhaltige Entwicklung enthalten muss, in dessen Rahmen Thailand sich dazu verpflichtet, die in den grundlegenden IAO-Übereinkommen verankerten international anerkannten Arbeitsnormen – einschließlich der Arbeitsnormen in Bezug auf Zwangsarbeit und Kinderarbeit – zu achten, zu fördern und umzusetzen; vertritt ferner die Auffassung, dass die Achtung der Menschenrechte, der Umweltschutz und die Bewahrung und nachhaltige Nutzung der Fischbestände, die Bekämpfung illegalen, nichtgemeldeten und nichtregulierten Fischfangs und die Einhaltung der Gesundheits- und Pflanzenschutzvorschriften der EU konsequent durchgesetzt werden sollten; ist daher der Ansicht, dass die Kommission dem Parlament regelmäßig darüber Bericht erstatten sollte, ob Thailand den vorstehend genannten Verpflichtungen nachkommt;

6.  fordert die Kommission auf, dafür zu sorgen, dass die IUU-Verordnung wirksam umgesetzt wird und dass bei den Verhandlungen über ein Freihandelsabkommen die Aufnahme eines expliziten Verweises auf diese Verordnung in das Abkommen erreicht wird;

7.  ist der Auffassung, dass die beste Art, die umfassende Zusammenarbeit Thailands im Kampf gegen die IUU-Fischerei sicherzustellen, die Aufnahme eines expliziten Verweises auf die IUU-Verordnung in den Text des Freihandelsabkommens ist;

8.  fordert, in das Freihandelsabkommen die Verpflichtung zur Erfüllung der Übereinkommen der Internationalen Arbeitsorganisation sowie zu einer Verbesserung von Transparenz, Überwachung, Aufsicht und Rückverfolgbarkeit in der thailändischen Fischerei aufzunehmen, um die Überwachung der Fangtätigkeiten zu ermöglichen;

9.  fordert nachdrücklich dazu auf, die Rückverfolgbarkeit der Erzeugnisse – neben der zentralen Bedeutung, die ihr als grundlegendes Instrument zur Bekämpfung der illegalen Fischerei zukommt – als wesentliches Element des Schutzes der menschlichen Gesundheit und der Umwelt sicherzustellen;

10.  fordert, dass im Rahmen des Freihandelsabkommens die Übereinstimmung mit den übrigen Politikbereichen der Gemeinschaft gewahrt und die Förderung von Strategien zur Wahrnehmung von sozialer Verantwortung durch die Unternehmen aufrechterhalten wird; verlangt die Einführung von Schutzklauseln;

11.  betont, dass bei der Entscheidung des Parlaments über die Zustimmung zum Freihandelsabkommen dem Gesamtergebnis der Verhandlungen Rechnung getragen wird, auch was die Fischerei betrifft.

12.  fordert Gegenseitigkeit beim Zugang zu den Märkten und die Beseitigung jeder Form von Diskriminierung im Dienstleistungsbereich;

13.  hofft, dass Thailand, der weltweit größte Erzeuger von Thunfischkonserven, sich an den drei Regionalen Fischereiorganisationen (RFO) in der Region – der Interamerikanischen Kommission für tropischen Thunfisch, der Kommission für die Erhaltung und Bewirtschaftung weit wandernder Fischbestände im westlichen und mittleren Pazifik und der regionalen Fischereiorganisation des Südpazifiks, sowie auch der RFO für Thunfisch im Indischen Ozean, deren Mitglied es ist – beteiligen und mit ihnen zusammenarbeiten wird;

14.  befürwortet die Durchführung einer Politik für die Erhaltung der Fischereiressourcen und ihre nachhaltige Bewirtschaftung;

15.  beauftragt seinen Präsidenten, diese Entschließung dem Rat und der Kommission zu übermitteln.

(1) ABl. L 286 vom 29.10.2008, S. 1. (2) Angenommene Texte, P7_TA(2012)0461.

Entschließung des Europäischen Parlaments vom 12. März 2014 zum europäischen gastronomischen Erbe: Kulturelle und bildungsspezifische Aspekte (2013/2181(INI))

P7_TA(2014)0211 A7-0127/2014

Das Europäische Parlament,

–  in Kenntnis des Berichts seines Ausschusses für Umweltfragen, Volksgesundheit und Lebensmittelsicherheit zu dem Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates betreffend die Information der Verbraucher über Lebensmittel (COM(2008)0040)(1),

–  in Kenntnis des Berichts der UNESCO über Ernährung aus dem Jahr 2002,

–  in Kenntnis des Berichts der WHO mit dem Titel „Food and Nutrition Policy for Schools“ (Lebensmittel- und Ernährungsstrategie für Schulen),

–  unter Hinweis auf das Weißbuch der Kommission vom 30. Mai 2007 zu dem Thema „Ernährung, Übergewicht, Adipositas: Eine Strategie für Europa“ (COM(2007)0279),

–  in Kenntnis der Schlussfolgerungen der europäischen Ministerkonferenz der WHO zum Thema „Ernährung und nichtübertragbare Krankheiten im Kontext von Gesundheit 2020“, die am 4. und 5. Juli 2013 in Wien stattfand,

–  in Kenntnis des Übereinkommens zur Bewahrung des immateriellen Kulturerbes der UNESCO vom 17. Oktober 2003,

–  unter Hinweis auf die Aufnahme der mediterranen Ernährungsweise in die Repräsentative Liste der UNESCO des immateriellen Kulturerbes der Menschheit vom 16. November 2010 und vom 4. Dezember 2013,

–  unter Hinweis auf die Aufnahme der französischen Esskultur in die Repräsentative Liste der UNESCO des immateriellen Kulturerbes der Menschheit (Entscheidung 5.COM 6.14),

–  gestützt auf Artikel 48 seiner Geschäftsordnung,

–  in Kenntnis des Berichts des Ausschusses für Kultur und Bildung (A7-0127/2014),

Bildungsspezifische Aspekte

A.  in der Erwägung, dass die Gesundheit und das Wohlergehen der Bevölkerung sowohl gegenwärtig als auch zukünftig von der Ernährungsweise und der Umwelt und somit von der Art abhängig sind, wie Landwirtschaft, Fischerei und Viehzucht betrieben werden;

B.  in der Erwägung, dass die WHO in ihrer globalen Initiative für Gesundheit an den Schulen die Bildungseinrichtungen als einen wichtigen Ort für den Erwerb theoretischer und praktischer Kenntnisse über Gesundheit, Ernährung und Gastronomie erachtet;

C.  in der Erwägung, dass eine schlechte Ernährung dramatische Folgen haben kann; in der Erwägung, dass die europäischen Gesundheitsminister anlässlich der europäischen Ministerkonferenz der WHO im Juli 2013 zu einem konzertierten Vorgehen zur „Bekämpfung der Adipositas“ und schlechter Ernährung aufgerufen haben, die die Ursachen für eine Epidemie nichtübertragbarer Krankheiten wie Herz-Kreislauf-Krankheiten, Diabetes oder Krebs sind;

D.  in der Erwägung, dass die normierte Darstellung des Körpers und des Essens in der Gesellschaft schwerwiegende Essstörungen und psychische Erkrankungen wie Anorexie oder Bulimie verursachen können; in der Erwägung, dass es wichtig ist, diese Fragen insbesondere mit Jugendlichen zu thematisieren;

E.  in der Erwägung, dass dem Europäischen Informationszentrum für Lebensmittel (EUFIC) zufolge im Jahr 2006 bei rund 33 Millionen Menschen in Europa das Risiko einer Fehlernährung bestand; in der Erwägung, dass sich die Situation seit dem Beginn der Krise weiter verschlimmert hat;

F.  in der Erwägung, dass die Kindheit ein entscheidender Zeitraum ist, um gesundheitsfördernde Verhaltensweisen anzuerziehen und Kenntnisse über eine gesunde Lebensweise zu erwerben, und in der Erwägung, dass die Schule einer der Orte ist, an dem effiziente Maßnahmen zur langfristigen Formung gesunder Verhaltensweisen der neuen Generationen entwickelt werden können;

G.  in der Erwägung, dass die Bildungseinrichtungen über Örtlichkeiten und Instrumente verfügen, die zu einer Verbesserung sowohl des Wissensstandes als auch der Handhabung von Lebensmitteln sowie zur Festigung von Ernährungsgewohnheiten beitragen können, die zusammen mit moderater und dauerhafter sportlicher Aktivität einen gesunden Lebensstil ermöglichen;

H.  in der Erwägung, dass Information, Aufklärung und Bewusstseinsbildung Teil der EU-Strategie zur Unterstützung der Mitgliedstaaten bei der Verringerung alkoholbedingter Schäden sind (COM (2006)0625 final), und in der Erwägung, dass in dieser Strategie auch die angemessenen Konsummuster beschrieben sind; in der Erwägung, dass der Rat am 5. Juni 2001 eine Empfehlung zum Alkoholkonsum von jungen Menschen, insbesondere von Kindern und Jugendlichen, abgegeben hat, welche die Förderung eines sektorübergreifenden Ansatzes bei der Bildung vorsieht;

I.  in der Erwägung, dass auf dem Treffen des europäischen Netzwerks der Stiftungen für Ernährung (European Nutrition Foundations Network, ENF) zu dem Thema „Ernährung in den Schulen Europas: Die Rolle der Stiftungen“ die Notwendigkeit anerkannt wurde, die Ernährung sowohl unter ernährungsrelevanten als auch unter gastronomischen Aspekten in den schulischen Lehrplan aufzunehmen, und einstimmig beschlossen wurde, dieses Anliegen Institutionen wie dem Europäischen Parlament und der Kommission zu unterbreiten;

J.  in der Erwägung, dass verschiedene Länder über verschiedene inländische Institutionen die Anerkennung der mediterranen Ernährungsweise als ein von der UNESCO anerkanntes immaterielles Kulturerbe der Menschheit angestoßen haben, was bedeutet, dass Verhaltensmuster gefördert und verankert werden, die eine gesunde Lebensweise sicherstellen, wobei ein durchweg sektorübergreifender Ansatz verfolgt wird, der erzieherische, ernährungsrelevante, schulische, familiäre, gebietsbezogene, landschaftliche und andere Aspekte berücksichtigt;

K.  in der Erwägung, dass die mediterrane Ernährungsweise eine ausgewogene und gesunde Ernährungs- und Lebensweise darstellt, die in direktem Zusammenhang mit der Prävention chronischer Krankheiten und der Förderung der Gesundheit steht, und dies sowohl im schulischen als auch im familiären Umfeld;

L.  in der Erwägung, dass mit den europäischen Programmen „Food at School“ (Essen in der Schule) das Ziel verfolgt wird sicherzustellen, dass das in den Schulkantinen angebotene Essen den Grundsätzen einer hochwertigen und ausgewogenen Ernährung entspricht; in der Erwägung, dass Bildung im weitesten Sinne, auch im Bereich der Ernährung, dazu beiträgt, dass bei den Schülern eine gesunde, auf einer ausgewogenen Ernährung basierende Lebensweise gefestigt wird;

M.  in der Erwägung, dass eine ernsthafte Ernährungserziehung auch die Schulung der Bürgerinnen und Bürger hinsichtlich der Wechselwirkung zwischen Nahrungsmitteln, der Nachhaltigkeit von Nahrungsmitteln und der Gesundheit des Planeten umfasst;

N.  in der Erwägung, dass aufgrund der gestiegenen Preise in Schulkantinen und von Lebensmitteln eine Reihe von Haushalten und insbesondere von Kindern häufig keinen Zugang zu ausgewogener und hochwertiger Ernährung haben;

O.  in der Erwägung, dass sich die Medien und die Werbung auf das Konsumverhalten der Bürgerinnen und Bürger auswirken;

P.  in der Erwägung, dass es zum Erwerb eingehender Kenntnisse über verwendete Erzeugnisse und die ihnen eigene und geschmackliche Qualität auch entscheidend ist, angemessene und für jeden Verbraucher eindeutige Kennzeichnungssysteme in Bezug auf die Zusammensetzung von Erzeugnissen und deren Herkunft zu entwickeln;

Q.  in der Erwägung, dass die Berufsausbildung von Personal in der Gastronomie zur Weitergabe, zur Förderung, zum Fortbestand und zur Entwicklung der europäischen Gastronomie beiträgt;

Kulturelle Aspekte

R.  in der Erwägung, dass die Gastronomie eine Gesamtheit von Kenntnissen, Erfahrungen, Künsten und des Kunsthandwerks ist, die es ermöglicht, sich gesund und genussvoll zu ernähren;

S.  in der Erwägung, dass die Gastronomie Teil unserer Identität ist und ein wesentliches Element sowohl des europäischen Kulturerbes als auch des Kulturerbes der Mitgliedstaaten darstellt;

T.  in der Erwägung, dass die EU die Kennzeichnung, die Verteidigung und den weltweiten Schutz der geografischen Angaben, Ursprungsbezeichnungen und traditionellen Spezialitäten bei Lebensmitteln aus landwirtschaftlicher Erzeugung fördert;

U.  in der Erwägung, dass die Gastronomie nicht nur eine erlesene Kunst der Essenszubereitung, sondern auch eine engagierte Art ist, den Wert der verwendeten Rohstoffe, deren Qualität und der erforderlichen Exzellenz in sämtlichen Phasen der Lebensmittelverarbeitung unter Einbeziehung des Tier- und Umweltschutzes anzuerkennen;

V.  in der Erwägung, dass die Gastronomie eng mit der Landwirtschaft der verschiedenen Regionen Europas und ihrer lokalen Erzeugnisse verbunden ist;

W.  in der Erwägung, dass es wichtig ist, die Riten und Bräuche, die beispielsweise mit der lokalen und regionalen Gastronomie in Zusammenhang stehen, zu bewahren und die Entwicklung der europäischen Gastronomie zu fördern;

X.  in der Erwägung, dass die Gastronomie eines der wichtigsten kulturellen Güter des Menschen ist und dass dieser Begriff nicht nur die sogenannte „Haute cuisine“ umfasst, sondern alle kulinarischen Ausdrucksformen der verschiedenen Regionen und unterschiedlichen sozialen Schichten, einschließlich der mit der einheimischen Kochkunst verbundenen Ausdrucksformen;

Y.  in der Erwägung, dass der Fortbestand der regionaltypischen Küche als kulinarisches und kulturelles Erbe sehr oft durch die Überschwemmung mit standardisierten Nahrungsmitteln gefährdet wird;

Z.  in der Erwägung, dass die Qualität, die Verbreitung und die Vielfalt der europäischen Gastronomie eine hochwertige europäische Lebensmittelproduktion in ausreichender Menge erfordern;

Aa.  in der Erwägung, dass die Gastronomie durch die verschiedenen Aspekte der Ernährung gekennzeichnet ist, und in der Erwägung, dass ihre drei Grundpfeiler die Gesundheit, die Ernährungsgewohnheiten und der Genuss sind; in der Erwägung, dass die Tischkultur in zahlreichen Ländern Geselligkeit vermittelt und eine wichtige Möglichkeit für sozialen Kontakt darstellt; in der Erwägung, dass außerdem die verschiedenen Esskulturen zum Austausch und zur Verbreitung der unterschiedlichen Kulturen beitragen; in der Erwägung, dass sie auch einen positiven Einfluss auf soziale und familiäre Beziehungen hat;

Ab.  in der Erwägung, dass die Anerkennung der mediterranen Ernährungsweise durch die UNESCO als immaterielles Kulturerbe bedeutsam ist, weil sie davon ausgeht, dass diese Ernährungsweise das Ergebnis von Wissen, Fertigkeiten, Praktiken, Ritualen, Traditionen und Symbolen in Verbindung mit dem landwirtschaftlichen Anbau und der Ernte, mit der Fischerei und der Viehzucht aber auch mit der Art, Lebensmittel zu konservieren, zu verarbeiten, zuzubereiten, zu teilen und zu verzehren, ist;

Ac.  in der Erwägung, dass die Ernährungsgewohnheiten der europäischen Bevölkerung ein reiches soziokulturelles Erbe darstellen, welches von Generation zu Generation weitergegeben werden muss; in der Erwägung, dass die Schulen neben den Familien die geeigneten Orte für den Erwerb dieser Kenntnisse sind;

Ad.  in der Erwägung, dass sich die Gastronomie zu einem der wichtigsten Werbeträger im Tourismusbereich entwickelt und dass das Zusammenspiel Tourismus/Gastronomie/Ernährung sehr positive Auswirkungen auf die Tourismusförderung hat;

Ae.  in der Erwägung, dass es wichtig ist, den künftigen Generationen die Vielfältigkeit der Gastronomie ihrer Region und der europäischen Gastronomie im Allgemeinen zu vermitteln;

Af.  in der Erwägung, dass die Gastronomie einen Beitrag zur Förderung des kulturellen Erbes der Regionen leistet;

Ag.  in der Erwägung, dass es unbedingt erforderlich ist, die lokalen und regionalen Erzeugnisse zu fördern, um einerseits das gastronomische Erbe zu bewahren und andererseits einen angemessenen Ertrag für die Erzeuger und den Zugang zu diesen Erzeugnissen für möglichst viele Menschen sicherzustellen;

Ah.  in der Erwägung, dass die Gastronomie eine Quelle der kulturellen, aber auch der wirtschaftlichen Vielfalt der verschiedenen Regionen der EU darstellt;

Ai.  in der Erwägung, dass das europäische Kulturerbe aus einer Gesamtheit materieller und immaterieller Elemente besteht, und im Fall der Gastronomie und des Essens auch durch die Orte und die Landschaften geformt wird, aus denen die Erzeugnisse zum Verzehr stammen;

Aj.  in der Erwägung, dass die Nachhaltigkeit, die Vielfalt und der kulturelle Reichtum der europäischen Gastronomie auf einer hochwertigen lokalen Produktion beruhen;

Bildungsspezifische Aspekte

1.  ersucht die Mitgliedstaaten darum, als Mittel zur Verbesserung der Gesundheit und des Wohlbefindens der Bevölkerung, der Lebensmittelqualität und der Achtung der Umwelt die Erforschung und sensorische Erfahrung von Lebensmitteln, Gesundheitsaspekten der Ernährung und Ernährungsgewohnheiten ab der frühen Kindheit in die Bildungs- und Lehrpläne aufzunehmen und dabei auch die historischen, territorialen und kulturellen, aber auch erfahrungsgestützten Aspekte zu berücksichtigen; begrüßt die Programme zur gastronomischen Erziehung in den Schulen, die in einigen Mitgliedstaaten – zuweilen in Zusammenarbeit mit führenden Küchenchefs – durchgeführt werden; unterstreicht, wie wichtig es ist, die Erziehung zu gesunder Ernährung mit der Bekämpfung von Stereotypen zu verbinden, die schwerwiegende Essstörungen und psychische Erkrankungen wie Anorexie oder Bulimie hervorrufen können;

2.  betont ebenso, wie wichtig es ist, die Empfehlungen der WHO zur Bekämpfung von Übergewicht und schlechter Ernährung umzusetzen; ist besorgt über das ungelöste Problem der Fehlernährung in Europa und dessen Zunahme seit Beginn der Krise, und fordert die Mitgliedstaaten nachdrücklich auf, allen eine gesunde Ernährung zu ermöglichen, insbesondere indem für den Qualitätsanforderungen entsprechende und allgemein zugängliche Schul- oder Gemeinschaftskantinen gesorgt wird;

3.  betont die Notwendigkeit, den schulischen Lehrplan außerdem durch Informationen über die insbesondere lokale gastronomische Kultur, die Vorbereitung, Verarbeitung, Konservierung und den Vertrieb von Lebensmitteln, ihre soziokulturellen Einflüsse und die Rechte der Verbraucher zu bereichern; fordert die Mitgliedstaaten nachdrücklich auf, Workshops in ihre Lehrpläne aufzunehmen, die auf die Entfaltung der Sinne, insbesondere des Geschmacks, in Verbindung mit dem Nährwert von Lebensmitteln und dem regionalen und nationalen gastronomischen Erbe ausgerichtet sind;

4.  erinnert daran, dass die Ernährung in einigen europäischen Ländern bereits in den Lehrplan aufgenommen wurde, während sie in anderen Ländern als solche nicht zwingend im Lehrplan vorgesehen ist, sondern mit Hilfe anderer Ressourcen, wie Programmen von Kommunalbehörden oder privater Einrichtungen abgedeckt wird;

5.  bekräftigt die Notwendigkeit, dass in den Schulen Ernährungserziehung stattfinden und gelehrt werden muss, wie man sich gut, gesund und genussvoll ernährt;

6.  weist darauf hin, dass die sportliche Betätigung und die körperliche Aktivität in den Grundschulen und weiterführenden Schulen in der gesamten EU verstärkt werden müssen;

7.  erinnert daran, dass gesunde Ernährung das Wohlbefinden von Kindern steigert und ihre Lernfähigkeit verbessert sowie zur Stärkung ihrer Abwehrkräfte beiträgt und ihnen dabei hilft, sich gesund zu entwickeln;

8.  weist darauf hin, dass die Ernährungsgewohnheiten in der Kindheit die Vorlieben und die Wahl der Nahrungsmittel – wie auch die Art und Weise, wie man Lebensmittel zubereitet und verzehrt – im Erwachsenenalter beeinflussen können; weist darauf hin, dass die Kindheit somit eine entscheidende Zeit für die Geschmackserziehung ist und die Schule ein wichtiger Ort ist, um Schülern die Vielfalt der Erzeugnisse und der Gastronomie nahe zu bringen;

9.  ist der Auffassung, dass Programme angeboten werden sollten, um für Aufklärung und Bewusstseinsbildung bezüglich der Folgen eines übermäßigen Konsums alkoholischer Getränke zu sorgen und ein angemessenes, intelligentes Konsumverhalten durch das Verständnis der besonderen Merkmale von Weinen, ihren geografischen Angaben, der Traubensorten, der Herstellungsverfahren und der Bedeutung traditioneller Begriffe zu fördern;

10.  ersucht die Kommission darum, Projekte zum Austausch von Informationen und Gepflogenheiten im Bereich Ernährung, Lebensmittel und Gastronomie zu fördern, zum Beispiel im Rahmen der Reihe Comenius (Schulbildung) des Programms Erasmus+; fordert die EU und ihre Mitgliedstaaten darüber hinaus auf, den interkulturellen Austausch in Sektoren mit Bezug zum Gastgewerbe, zu Lebensmitteln und zur Gastronomie zu fördern und die Chancen zu nutzen, die sich durch das Erasmus+-Programm für hochwertige Ausbildung, Mobilität und Praktika für Lernende und Fachkräfte bieten;

11.  betont, dass an der Erziehung im Bereich Ernährung und Gastronomie, einschließlich der Achtung der Natur und der Umwelt, die Familie, die Lehrer, die Bildungsgemeinschaft, Informationsträger und alle im Bildungsbereich tätigen Fachleute beteiligt sein sollten;

12.  unterstreicht den Nutzen der Informations- und Kommunikationstechnologien (IKT) für das Lernen als gutes Instrument für die Bildung; fordert die Einrichtung von interaktiven Plattformen, die den Zugang zum europäischen, nationalen und regionalen gastronomischen Erbe und dessen Verbreitung erleichtern, um die Erhaltung und die Weitergabe von traditionellem Fachwissen zwischen Fachleuten, Handwerkern und den Bürgerinnen und Bürgern zu fördern;

13.  fordert die Kommission, den Rat und die Mitgliedstaaten auf, strengere Rahmenbedingungen für Inhalte und Werbung in Bezug auf Lebensmittel, vor allem unter dem Gesichtspunkt der Ernährung, zu prüfen;

14.  fordert die Mitgliedstaaten auf, dafür zu sorgen, dass jede Art von Werbung oder Sponsoring für ungesunde Lebensmittel („Junk Food“) in den Schulen untersagt ist;

15.  fordert die Mitgliedstaaten auf, eine sachgerechte Ausbildung der Lehrer und Professoren in Zusammenarbeit mit Ernährungswissenschaftlern und Ärzten sicherzustellen, damit diese den Fachbereich „Ernährungswissenschaften“ korrekt in Schulen und Universitäten lehren können; erinnert daran, dass Ernährung und Umwelt voneinander abhängig sind, und fordert dementsprechend auch zur Aktualisierung der Kenntnisse im Bereich der natürlichen Umwelt auf;

16.  fordert die Kommission und den Rat auf, die Ausbildungsprogramme für Fachkräfte in der Gastronomie zu prüfen; hält die Mitgliedstaaten dazu an, diese Ausbildungswege zu fördern; hebt hervor, dass sich diese Ausbildungswege mit der lokalen und europäischen Gastronomie, der Produktvielfalt, der Vorbereitung, Verarbeitung, Konservierung und dem Vertrieb von Lebensmitteln befassen müssen;

17.  weist darauf hin, dass im Rahmen der Ausbildung von Fachkräften für die Gastronomie der Schwerpunkt auf einer „hausgemachten“ sowie lokalen und vielfältigen Verarbeitung liegen muss;

18.  fordert die Mitgliedstaaten auf, Kenntnisse und bewährte Verfahren zu bildungspolitischen Tätigkeiten in Zusammenhang mit der Gastronomie auszutauschen und das gastronomische Bewusstsein in den verschiedenen Regionen zu fördern; fordert ebenfalls dazu auf, einen Austausch bewährter Verfahren oder die Entwicklung von Überlegungen zur Verkürzung der Nahrungsmittelkette zu organisieren, wobei der Schwerpunkt auf der lokalen und saisonalen Verarbeitung liegen sollte;

19.  betont die Notwendigkeit, Finanzierungsprogramme im Rahmen der Gemeinsamen Agrarpolitik für die Jahre 2014-2020 zu nutzen, um in den Schulen für gesunde Essgewohnheiten zu werben;

20.  erinnert daran, dass die Anerkennung der mediterranen Ernährungsweise und der französischen Esskultur als Teil des von der UNESCO anerkannten immateriellen Kulturerbes der Menschheit den Anstoß zur Schaffung von Institutionen und Einrichtungen gegeben hat, die Kenntnisse über eine ausgewogene und gesunde Ernährung, deren praktische Umsetzung sowie die Vermittlung der Werte einer solchen Ernährung und die entsprechenden Ernährungsgewohnheiten fördern;

Kulturelle Aspekte

21.  unterstreicht die Notwendigkeit, die Vielfalt und Qualität der Regionen, Landschaften und Erzeugnisse, die Grundlage der europäischen Gastronomie sind, welche Teil unseres Kulturerbes ist und zudem für eine ganz eigene, weltweit anerkannte Lebensart steht, zu verbreiten; betont, dass dies zuweilen die Achtung örtliche Gewohnheiten erfordert;

22.  stellt fest, dass die Gastronomie ein Instrument für die Schaffung von Wachstum und Arbeitsplätzen in vielen Wirtschaftssektoren ist, einschließlich der Industriezweige wie u. a. das Gastgewerbe, der Fremdenverkehr, die Agrar- und Ernährungswirtschaft und die Forschung; stellt fest, dass sich in der Gastronomie zudem ein ausgeprägter Sinn für den Natur- und Umweltschutz entwickeln kann, der sichergestellt, dass Lebensmittel einen authentischeren Geschmack erhalten und weniger mit Zusatz- oder Konservierungsstoffen verarbeitet werden;

23.  betont die Bedeutung der Gastronomie bei der Förderung des Gastgewerbes in Europa und umgekehrt;

24.  erkennt die Rolle an, die unsere hoch qualifizierten und begabten Küchenchefs bei der Bewahrung und Verbreitung unseres gastronomischen Erbes spielen, und weist darauf hin, wie wichtig es ist, unser kulinarisches Wissen zu erhalten, da dies sowohl in der Bildung als auch in der Wirtschaft maßgeblich zu einer Wertsteigerung führt;

25.  begrüßt die Initiativen zur Förderung des kulinarischen Erbes Europas, wie beispielsweise kulinarische Messen und Festivals auf lokaler und regionaler Ebene, die das Konzept der Nähe als Element des Schutzes der Umwelt und unserer Umgebung stärken und für mehr Vertrauen beim Verbraucher sorgen; ermutigt diese Initiativen dazu, eine europäische Dimension einzubeziehen;

26.  begrüßt die drei EU-Gütezeichen für geografische Angaben und traditionelle Spezialitäten, die unter „geschützte Ursprungsbezeichnung“ (g. U.), „geschützte geografische Angabe“ (g. g. A.) und „garantiert traditionelle Spezialität“ (g. t. S.) bekannt sind und den Wert europäischer landwirtschaftlicher Erzeugnisse auf EU-Ebene und internationaler Ebene steigern; fordert die Mitgliedstaaten und ihre Regionen auf, geschützte Ursprungsbezeichnungen, insbesondere gemeinsame geschützte Ursprungsbezeichnungen, für gleichartige Produkte zu entwickeln, die aus grenzübergreifenden geografischen Gebieten stammen;

27.  begrüßt Initiativen wie „Slow Food“, die sich dafür einsetzen, dass alle Menschen die soziale und kulturelle Bedeutung von Essen zu schätzen lernen, ebenso wie die Initiative „Wine in Moderation“, die eine auf dem Prinzip der Mäßigung basierende Lebensweise und ein moderates Trinkverhalten bei Alkohol fördert;

28.  unterstreicht gleichermaßen die Rolle, die die Gastronomischen Akademien, der europäische Verband der Stiftungen für Ernährung und die Internationale Gastronomische Akademie mit Sitz in Paris bei der Beschäftigung mit dem gastronomischen Erbe und seiner Verbreitung spielen;

29.  fordert die Mitgliedstaaten auf, Maßnahmen zur qualitativen und quantitativen Verbesserung des gastronomischen Wirtschaftszweigs an sich und in Bezug auf sein touristisches Angebot im Rahmen der kulturellen und wirtschaftlichen Entwicklung der verschiedenen Regionen zur formulieren und umzusetzen;

30.  betont, dass die Gastronomie ein sehr wichtiges kulturelles Exportgut für die EU und die einzelnen Mitgliedstaaten ist;

31.  fordert die Mitgliedstaaten auf, Initiativen in Verbindung mit dem Landwirtschaftstourismus zu unterstützen, die eine bessere Kenntnis des Kultur- und Landschaftserbes fördern, regionale Unterstützung leisten und der ländlichen Entwicklung zuträglich sind;

32.  fordert die Mitgliedstaaten und die Kommission nachdrücklich auf, die kulturellen Aspekte der Gastronomie zu entwickeln und Ernährungsgewohnheiten zu fördern, die die Gesundheit der Verbraucher aufrechterhalten, den Austausch und die Verbreitung der Kulturen fördern und für die Regionen werben sowie gleichzeitig die Freude am Essen, die Geselligkeit und den sozialen Kontakt bewahren;

33.  fordert die Mitgliedstaaten auf, zusammenzuarbeiten und Initiativen zu unterstützen, die dem Erhalt der hohen Qualität, Vielfalt, Heterogenität und Einzigartigkeit der handwerklich hergestellten, lokalen, regionalen und nationalen Erzeugnisse dienen, um gegen die Homogenisierung anzugehen, die letztlich zu einer Verarmung des gastronomischen Erbes Europas führen würde;

34.  fordert die Kommission, den Rat und die Mitgliedstaaten auf, in ihren Überlegungen zur Ernährungspolitik zu berücksichtigen, wie wichtig die Förderung einer nachhaltigen, vielfältigen, hochwertigen und in ausreichender Menge vorhandenen europäischen Lebensmittelproduktion für die Stärkung der kulinarischen Vielfalt Europas ist;

35.  fordert die Kommission und die Mitgliedstaaten auf, die Maßnahmen zur Anerkennung und Kennzeichnung der europäischen Lebensmittelproduktion zu stärken, um den Wert dieser Erzeugnisse zu steigern, eine verbesserte Verbraucherinformation zu bieten und die Vielfalt der europäischen Gastronomie zu schützen;

36.  weist darauf hin, dass es wichtig ist, die gastronomischen Qualitätserzeugnisse anzuerkennen und aufzuwerten; fordert die Kommission, den Rat und die Mitgliedstaaten auf, die Einrichtung einer Verbraucherinformation in Erwägung zu ziehen, mit der Gastwirte auf lokale, vor Ort aus Rohprodukten zubereitete Gerichte hinweisen;

37.  hält die Kommission, den Rat und die Mitgliedstaaten dazu an, die Auswirkungen von Rechtsvorschriften zu prüfen, die sie zu den Kapazitäten, der Vielfalt und der Qualität der Lebensmittelproduktion in der Europäischen Union annehmen, und Maßnahmen zu ergreifen, um die Fälschung von Erzeugnissen zu bekämpfen;

38.  unterstützt die Initiativen, die von den Mitgliedstaaten und ihren Regionen unter Umständen entwickelt werden, um alle Gebiete, Landschaften und Erzeugnisse, die das lokale kulinarische Erbe bilden, zu fördern und zu erhalten; fordert die Regionen auf, eine lokale und diätetische Gastronomie für die Schulspeisung und Gemeinschaftsverpflegung in Verbindung mit lokalen Erzeugern zu nutzen, um das regionale gastronomische Erbe zu erhalten und zu fördern, die lokale Landwirtschaft anzukurbeln und kurze Transportwege auszubauen;

39.  fordert die Mitgliedstaaten auf, Maßnahmen zur Wahrung des mit der Gastronomie im Zusammenhang stehenden europäischen Erbes zu ergreifen, die beispielsweise im Schutz des architektonischen Erbes der traditionellen Lebensmittelmärkte, der Weinkellereien und anderer Einrichtungen, aber auch der mit Ernährung und Gastronomie im Zusammenhang stehenden Gerätschaften und Maschinen bestehen könnten;

40.  betont, wie wichtig es ist, die kulturelle Vielfalt der europäischen Gastronomie zu erfassen, zu registrieren, zu übermitteln und zu verbreiten; ermutigt zur Einrichtung einer europäischen Beobachtungsstelle für die Gastronomie;

41.  regt an, dass die Kommission die europäische Gastronomie in ihre kulturellen Programme und Initiativen aufnimmt;

42.  begrüßt die Aufnahme der französischen Esskultur neben der mediterranen Ernährungsweise, der traditionellen mexikanischen Küche und dem kroatischen Gewürzbrot in die Repräsentative Liste der UNESCO des immateriellen Kulturerbes der Menschheit und ermutigt die Mitgliedstaaten, die Aufnahme ihrer gastronomischen Traditionen und Praktiken in das Übereinkommen zum Schutz des Kultur- und Naturerbes der Welt der UNESCO zu beantragen, um zum Erhalt derselben beizutragen;

43.  schlägt den europäischen Städten vor, eine Bewerbung als Stadt der Gastronomie der UNESCO im Rahmen des Programmes „Creative Cities“ einzureichen;

o
o   o

44.  beauftragt seinen Präsidenten, diese Entschließung dem Rat und der Kommission sowie den Regierungen und Parlamenten der Mitgliedstaaten zu übermitteln.

(1) ABl C 33 E vom 5.2.2013, S. 360.

Legislative Entschließung des Europäischen Parlaments vom 12. März 2014 zu dem Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (allgemeine Datenschutzverordnung) (COM(2012)0011 – C7-0025/2012 – 2012/0011(COD))	P7_TA(2014)0212 A7-0402/2013
BERICHTIGUNGEN COR01

(Ordentliches Gesetzgebungsverfahren: erste Lesung)

Das Europäische Parlament,

–  in Kenntnis des Vorschlags der Kommission an das Europäische Parlament und den Rat (COM(2012)0011),

–  gestützt auf Artikel 294 Absatz 2 sowie Artikel 16 Absatz 2 und 114 Absatz 1 des Vertrags über die Arbeitsweise der Europäischen Union, auf deren Grundlage ihm der Vorschlag der Kommission unterbreitet wurde (C7‑0025/2012),

–  gestützt auf Artikel 294 Absatz 3 des Vertrags über die Arbeitsweise der Europäischen Union,

–  in Kenntnis der von der belgischen Abgeordnetenkammer, dem deutschen Bundesrat, dem französischen Senat, dem italienischen Abgeordnetenhaus und dem schwedischen Reichstag im Rahmen des Protokolls Nr. 2 über die Anwendung der Grundsätze der Subsidiarität und der Verhältnismäßigkeit vorgelegten begründeten Stellungnahmen, in denen geltend gemacht wird, dass der Entwurf eines Gesetzgebungsakts nicht mit dem Subsidiaritätsprinzip vereinbar ist,

–  in Kenntnis der Stellungnahme des Europäischen Wirtschafts- und Sozialausschusses vom 23. Mai 2012(1),

–  nach Anhörung des Ausschusses der Regionen,

–  in Kenntnis der Stellungnahme des Europäischen Datenschutzbeauftragten vom 7. März 2012(2),

–  in Kenntnis der Stellungnahme der Agentur der Europäischen Union für Grundrechte vom 1. Oktober 2012,

–  gestützt auf Artikel 55 seiner Geschäftsordnung,

–  in Kenntnis des Berichts des Ausschusses für bürgerliche Freiheiten, Justiz und Inneres sowie der Stellungnahmen des Ausschusses für Beschäftigung und soziale Angelegenheiten, des Ausschusses für Industrie, Forschung und Energie, des Ausschusses für Binnenmarkt und Verbraucherschutz und des Rechtsausschusses (A7-0402/2013),

1.  legt den folgenden Standpunkt in erster Lesung fest;

2.  fordert die Kommission auf, es erneut zu befassen, falls sie beabsichtigt, ihren Vorschlag entscheidend zu ändern oder durch einen anderen Text zu ersetzen;

3.  beauftragt seinen Präsidenten, den Standpunkt des Parlaments dem Rat und der Kommission sowie den nationalen Parlamenten zu übermitteln.

Standpunkt des Europäischen Parlaments festgelegt in erster Lesung am 12. März 2014 im Hinblick auf den Erlass der Verordnung (EU) Nr. .../2014 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung)

(Text von Bedeutung für den EWR)

DAS EUROPÄISCHE PARLAMENT UND DER RAT DER EUROPÄISCHEN UNION –

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union, insbesondere auf Artikel 16 Absatz 2 und Artikel 114 Absatz 1,

auf Vorschlag der Europäischen Kommission,

nach Zuleitung des Entwurfs des Gesetzgebungsakts an die nationalen Parlamente,

nach Stellungnahme des Europäischen Wirtschafts- und Sozialausschusses(3),

nach Anhörung des Ausschusses der Regionen,

nach Stellungnahme des Europäischen Datenschutzbeauftragten(4)

gemäß dem ordentlichen Gesetzgebungsverfahren(5),

in Erwägung nachstehender Gründe:

(1)  Der Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten ist ein Grundrecht. Gemäß Artikel 8 Absatz 1 der Charta der Grundrechte der Europäischen Union (‘Charta‘) sowie Artikel 16 Absatz 1 des Vertrags über die Arbeitsweise der Europäischen Union hat jede Person das Recht auf Schutz der sie betreffenden personenbezogenen Daten.

(2)  Die Verarbeitung personenbezogener Daten steht im Dienste des Menschen; die Grundsätze und Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten sollten gewährleisten, dass ungeachtet der Staatsangehörigkeit oder des gewöhnlichen Aufenthaltsorts der natürlichen Personen deren Grundrechte und Grundfreiheiten und insbesondere deren Recht auf Schutz personenbezogener Daten gewahrt bleiben. Die Datenverarbeitung sollte zur Vollendung eines Raums der Freiheit, der Sicherheit und des Rechts und einer Wirtschaftsunion, zum wirtschaftlichen und sozialen Fortschritt, zur Stärkung und zum Zusammenwachsen der Volkswirtschaften innerhalb des Binnenmarktes sowie zum Wohlergehen der Menschen beitragen.

(3)  Zweck der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates(6) ist die Harmonisierung der Vorschriften zum Schutz der Grundrechte und Grundfreiheiten natürlicher Personen bei der Datenverarbeitung sowie die Gewährleistung des freien Verkehrs personenbezogener Daten zwischen den Mitgliedstaaten.

(4)  Die wirtschaftliche und soziale Integration als Folge eines funktionierenden Binnenmarktes hat zu einem deutlichen Anstieg des grenzüberschreitenden Verkehrs geführt. Der unionsweite Datenaustausch zwischen wirtschaftlichen und sozialen Akteuren, staatlichen Stellen und Privatpersonen hat zugenommen. Das Unionsrecht verpflichtet die Verwaltungen der Mitgliedstaaten zur Zusammenarbeit und zum Austausch personenbezogener Daten, um ihren Pflichten nachkommen oder für eine Behörde eines anderen Mitgliedstaats Aufgaben durchführen zu können.

(5)  Der rasche technologische Fortschritt und die Globalisierung stellen den Datenschutz vor neue Herausforderungen. Das Ausmaß, in dem Daten ausgetauscht und erhoben werden, ist dramatisch gestiegen. Die Technik macht es möglich, dass Privatwirtschaft und Staat zur Ausübung ihrer Tätigkeiten in einem noch nie dagewesenen Umfang auf personenbezogene Daten zugreifen können. Zunehmend werden auch private Informationen ins weltweite Netz gestellt und damit öffentlich zugänglich gemacht. Die Technik hat das wirtschaftliche und gesellschaftliche Leben verändert, weshalb der Datenverkehr innerhalb der Union sowie die Datenübermittlung an Drittländer und internationale Organisationen noch weiter erleichtert werden muss, wobei gleichzeitig ein hohes Maß an Datenschutz zu gewährleisten ist.

(6)  Diese Entwicklungen erfordern einen soliden, kohärenteren und durchsetzbaren Rechtsrahmen im Bereich des Datenschutzes in der Union, um eine Vertrauensbasis zu schaffen, die die digitale Wirtschaft dringend benötigt, um im Binnenmarkt weiter wachsen zu können. Jede Person sollte die Kontrolle über ihre eigenen Daten besitzen, und private Nutzer, Wirtschaft und Staat sollten in rechtlicher und praktischer Hinsicht über mehr Sicherheit verfügen.

(7)  Die Ziele und Grundsätze der Richtlinie 95/46/EG besitzen nach wie vor Gültigkeit, doch hat die Richtlinie eine unterschiedliche Handhabung des Datenschutzes in der Union, Rechtsunsicherheit sowie die weit verbreitete öffentliche Meinung, dass speziell im Internet der Datenschutz nicht immer gewährleistet ist, nicht verhindern können. Unterschiede beim Schutz der Rechte und Grundfreiheiten von Personen im Zusammenhang mit der Verarbeitung personenbezogener Daten in den Mitgliedstaaten, vor allem beim Recht auf Schutz dieser Daten, kann den freien Verkehr solcher Daten in der gesamten Union behindern. Diese Unterschiede im Schutzniveau können ein Hemmnis für die unionsweite Ausübung von Wirtschaftstätigkeiten darstellen, den Wettbewerb verzerren und die Behörden an der Erfüllung der ihnen nach dem Unionsrecht obliegenden Pflichten hindern. Sie erklären sich aus den Unterschieden bei der Umsetzung und Anwendung der Richtlinie 95/46/EG.

(8)  Um ein hohes Maß an Datenschutz für den Einzelnen zu gewährleisten und die Hemmnisse für den Verkehr personenbezogener Daten zu beseitigen, sollte der Schutz der Rechte und Freiheiten von Personen bei der Verarbeitung dieser Daten in allen Mitgliedstaaten gleichwertig sein. Die Vorschriften zum Schutz der Grundrechte und Grundfreiheiten von natürlichen Personen bei der Verarbeitung personenbezogener Daten sollten unionsweit kohärent und einheitlich angewandt werden.

(9)  Ein unionsweiter wirksamer Schutz personenbezogener Daten erfordert eine Stärkung und Präzisierung der Rechte der betroffenen Personen sowie eine Verschärfung der Auflagen für diejenigen, die personenbezogene Daten verarbeiten und darüber entscheiden, aber ebenso gleiche Befugnisse der Mitgliedstaaten bei der Überwachung und Gewährleistung der Einhaltung der Vorschriften zum Schutz personenbezogener Daten sowie gleiche Sanktionen im Falle ihrer Verletzung.

(10)  Artikel 16 Absatz 2 des Vertrags über die Arbeitsweise der Europäischen Union ermächtigt das Europäische Parlament und den Rat, Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Verkehr solcher Daten festzulegen.

(11)  Damit jeder in der Union das gleiche Maß an Datenschutz genießt und Unterschiede, die den freien Datenverkehr im Binnenmarkt behindern könnten, beseitigt werden, ist eine Verordnung erforderlich, die überall in der Union für Wirtschaftsteilnehmer einschließlich Kleinstunternehmen sowie kleiner und mittlerer Unternehmen Rechtsicherheit und Transparenz schafft, den Einzelnen mit denselben durchsetzbaren Rechten ausstattet, dieselben Pflichten und Zuständigkeiten für die für die Verarbeitung Verantwortlichen und Auftragsverarbeiter vorsieht und eine einheitliche Kontrolle der Verarbeitung personenbezogener Daten in allen Mitgliedstaaten sowie gleiche Sanktionen und eine wirksame Zusammenarbeit zwischen den Aufsichtsbehörden der einzelnen Mitgliedstaaten gewährleistet. Um der besonderen Situation von Kleinstunternehmen sowie kleinen und mittleren Unternehmen Rechnung zu tragen, enthält diese Verordnung eine Reihe von abweichenden Regelungen. Außerdem werden die Organe und Einrichtungen der Union sowie die Mitgliedstaaten und deren Aufsichtsbehörden dazu angehalten, bei der Anwendung dieser Verordnung die besonderen Bedürfnisse von Kleinstunternehmen sowie kleinen und mittleren Unternehmen zu berücksichtigen. Für die Definition des Begriffs des Kleinstunternehmens sowie kleiner und mittlerer Unternehmen sollte die Empfehlung 2003/361/EG der Kommission(7) maßgebend sein.

(12)  Der durch diese Verordnung gewährte Schutz betrifft die Verarbeitung personenbezogener Daten natürlicher Personen ungeachtet ihrer Staatsangehörigkeit oder ihres Wohnorts. Im Falle juristischer Personen und insbesondere von als juristische Person gegründeten Unternehmen, deren Daten, zum Beispiel deren Name, Rechtsform oder Kontaktdaten, verarbeitet werden, sollte eine Berufung auf diese Verordnung nicht möglich sein. Dies sollte auch dann gelten, wenn der Name der juristischen Person die Namen einer oder mehrerer natürlichen Personen enthält.

(13)  Der Schutz natürlicher Personen sollte technologieneutral sein und nicht von den verwendeten Verfahren abhängen, da andernfalls das Risiko einer Umgehung der Vorschriften groß wäre. Er sollte für die automatisierte Verarbeitung personenbezogener Daten ebenso gelten wie für die manuelle Verarbeitung von personenbezogenen Daten, die in einem Ablagesystem gespeichert sind oder gespeichert werden sollen. Akten oder Aktensammlungen sowie ihre Deckblätter, die nicht nach bestimmten Kriterien geordnet sind, sollten vom Anwendungsbereich der Verordnung ausgenommen werden.

(14)  Die Verordnung behandelt weder Fragen des Schutzes von Grundrechten und Grundfreiheiten und des freien Datenverkehrs im Zusammenhang mit Tätigkeiten, die nicht in den Anwendungsbereich des Unionsrechts fallen. , noch die Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen, Ämter und Agenturen der Union, für die Die Verordnung (EG) Nr. 45/2001 maßgeblich ist, noch die von den Mitgliedstaaten im Rahmen der Gemeinsamen Außen- und Sicherheitspolitik der Union durchgeführte Verarbeitung personenbezogener Daten.45/2001 des Europäischen Parlaments und des Rates(8) sollte mit dieser Verordnung in Einklang gebracht und im Einklang mit dieser Verordnung angewendet werden. [Abänd. 1]

(15)  Die Verordnung sollte nicht für die von einer natürlichen Person vorgenommene Verarbeitung von personenbezogenen Daten rein persönlicher, oder familiärer oder häuslicher Natur zu nichtgewerblichen Zwecken und somit ohne Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit gelten, wie zum Beispiel das Führen eines Schriftverkehrs oder von Anschriftenverzeichnissen. Ebenfalls nicht ausgenommen werden sollten oder Privatverkäufe. Die Verordnung sollte jedoch auf die für die Verarbeitung Verantwortliche oder Verantwortlichen und die Auftragsverarbeiter, die die Instrumente für die Verarbeitung personenbezogener Daten für solche persönlichen oder familiären Tätigkeiten bereitstellen, Anwendung finden. [Abänd. 2]

(16)  Der Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, die der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder Vollstreckung strafrechtlicher Sanktionen durch die zuständigen Behörden dienen, sowie der freie Verkehr solcher Daten sind in einem eigenen EU-Rechtsinstrument geregelt. Deshalb sollte diese Verordnung auf Verarbeitungstätigkeiten dieser Art keine Anwendung finden. Personenbezogene Daten, die von Behörden nach dieser Verordnung verarbeitet werden, sollten jedoch, wenn sie zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder strafrechtlichen Verfolgung von Straftaten oder der Vollstreckung von Strafurteilen verwendet werden, dem spezifischeren EU-Instrument (Richtlinie 2014/.../EU des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr) unterliegen.

(17)  Die vorliegende Verordnung sollte die Anwendung der Richtlinie 2000/31/EG des Europäischen Parlaments und des Rates(9) und speziell die Vorschriften der Artikel 12 bis 15 zur Verantwortlichkeit von Anbietern reiner Vermittlungsdienste nicht berühren.

(18)  Diese Verordnung ermöglicht es, dass bei der Anwendung ihrer Vorschriften der Grundsatz des Zugangs der Öffentlichkeit zu amtlichen Dokumenten berücksichtigt wird. Persönliche Daten in Dokumenten, die sich im Besitz einer Behörde oder öffentlichen Einrichtung befinden, können von dieser Behörde oder Einrichtung gemäß unionsrechtlichen oder mitgliedstaatlichen Vorschriften über den Zugang der Öffentlichkeit zu amtlichen Dokumenten offen gelegt werden, die das Recht auf Schutz der personenbezogenen Daten mit dem Recht der Öffentlichkeit auf Zugang zu amtlichen Dokumenten in Einklang bringen und einen fairen Ausgleich der verschiedenen bestehenden Interessen schaffen. [Abänd. 3]

(19)  Jede Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten einer Niederlassung eines für die Verarbeitung Verantwortlichen oder eines Auftragsverarbeiters in der Union sollte gemäß dieser Verordnung erfolgen, gleich, ob die Verarbeitung in oder außerhalb der Union stattfindet. Eine Niederlassung setzt die effektive und tatsächliche Ausübung einer Tätigkeit durch eine feste Einrichtung voraus. Die Rechtsform einer solchen Einrichtung, gleich, ob es sich um eine Zweigstelle oder eine Tochtergesellschaft mit eigener Rechtspersönlichkeit handelt, ist dabei unerheblich.

(20)  Um sicherzugehen, dass Personen nicht des Schutzes beraubt werden, auf den sie nach dieser Verordnung ein Anrecht haben, sollte die Verarbeitung personenbezogener Daten von in der Union ansässigen betroffenen Personen durch einen nicht in der Union niedergelassenen für die Verarbeitung Verantwortlichen dieser Verordnung unterliegen, wenn die Verarbeitung dazu dient, diesen Personen Produkte und Dienstleistungen gegen Entgelt oder unentgeltlich anzubieten oder das Verhalten dieser diese Personen zu beobachten. Um festzustellen, ob dieser für die Verarbeitung Verantwortliche diesen betroffenen Personen in der Union Waren oder Dienstleistungen anbietet, sollte geprüft werden, ob er offensichtlich beabsichtigt, in einem oder mehreren Mitgliedstaaten der Union ansässigen betroffenen Personen Dienstleistungen anzubieten. [Am. 4]

(21)  Ob eine Verarbeitungstätigkeit der Beobachtung des Verhaltens Überwachung von Personen gilt, sollte daran festgemacht werden, ob ihre Internetaktivitätensie – unabhängig von dem Ursprung der Daten und unabhängig davon, ob andere Daten, einschließlich Daten aus öffentlichen Registern und Bekanntmachungen in der Union, die von außerhalb der Union zugänglich sind, einschließlich mit der Absicht der Verwendung, oder der möglichen nachfolgenden Verwendung über sie erhoben werden – mit mit Hilfe von Datenverarbeitungstechniken nachvollzogen verfolgt werden, durch die einer Person ein Profil zugeordnet wird, das insbesondere die Grundlage für sie betreffende Entscheidungen bildet oder anhand dessen ihre persönliche Vorlieben, Verhaltensweisen oder Gepflogenheiten analysiert oder vorausgesagt werden sollen. [Am. 5]

(22)  Ist nach internationalem Recht das innerstaatliche Recht eines Mitgliedstaats anwendbar, z. B. in einer diplomatischen oder konsularischen Vertretung eines Mitgliedstaats, sollte die Verordnung auch auf einen nicht in der EU niedergelassenen für die Verarbeitung Verantwortlichen Anwendung finden.

(23)  Die Schutzprinzipien Grundsätze des Datenschutzes sollten für alle Informationen gelten, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. Um festzustellen, ob eine Person bestimmbar ist, sind sollten alle Mittel zu berücksichtigenberücksichtigt werden, die von dem für die Verarbeitung Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen aller Voraussicht nach zum unmittelbaren oder mittelbaren Identifizieren oder Herausgreifen der Person genutzt werden. Bei der Prüfung der Frage, ob Mittel nach allgemeinem Ermessen aller Voraussicht nach zur Identifizierung der Person genutzt werden, sollten alle objektiven Faktoren, wie die Kosten der Identifizierung und der dafür erforderliche Zeitaufwand, herangezogen werden, wobei sowohl die zum Zeitpunkt der Verarbeitung verfügbare Technologie als auch die technologische Entwicklung zu berücksichtigen sind. Die Grundsätze des Datenschutzes sollten daher nicht für anonyme Daten gelten, d. h. für Daten, die in einer Weise anonymisiert worden sind, dass die betroffene Person sich nicht mehr identifiziert werden kann. auf eine bestimmte oder bestimmbare natürliche Person beziehen. Die Verordnung betrifft daher nicht die Verarbeitung solcher anonymen Daten, auch wenn sie für statistische und Forschungszwecke verwendet werden. [Abänd. 6]

(24)  Bei der Inanspruchnahme von Online-Diensten Diese Verordnung sollte auf eine Verarbeitung angewandt werden dem Nutzer unter Umständen Online-Kennungen wie IP-Adressen oder Cookie-Kennungen, die sein Gerät oderdie Kennungen umfasst, die Geräte, Software-Anwendungen und -Tools oder Protokolle liefern, zugeordnet. Dies kann Spuren hinterlassen, die zusammen mit eindeutigen Kennungen und anderen beim Server eingehenden Informationen dazu benutzt werden können, um Profile der betroffenen Personen zu erstellen und sie zu identifizieren. Hieraus folgt, dass Kennnummern, Standortdaten, Online-Kennungen oder sonstige Elemente als solche nicht zwangsläufig und unter allen Umständen als personenbezogene Daten zu betrachten sind.wie etwa IP-Adressen, Cookie-Kennungen und Funkfrequenzkennzeichnungen, es sei denn, diese Kennungen beziehen sich nicht auf eine bestimmte oder bestimmbare natürliche Person. [Abänd. 7]

(25)  Die Einwilligung sollte explizit ausdrücklich mittels einer geeigneten Methode erfolgen, die eine ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage abgegebene Willensbekundung der betroffenen Person in Form einer Erklärung oder einer eindeutigen bestätigenden Handlung, die auf einer Entscheidung der betroffenen Person basiert, ermöglicht, die sicherstellt, dass der betreffenden Person bewusst ist, dass sie ihre Einwilligung in die Verarbeitung personenbezogener Daten gibt. Eine eindeutige bestätigende Handlung könnte, etwa durch das Anklicken eines Kästchens beim Besuch einer Internetseite und durch oder jede sonstige Erklärung oder Verhaltensweise sein, mit der die betroffene Person in dem jeweiligen Kontext klar und deutlich sein oder ihr Einverständnis mit der beabsichtigten Verarbeitung ihrer personenbezogenen Daten signalisiert. Eine stillschweigende Einwilligung ohne Zutun der betroffenen Person stellt Schweigen, die bloße Nutzung eines Dienstes oder Untätigkeit sollten daher keine Einwilligung dardarstellen. Die Einwilligung sollte sich auf alle zu demselben Zweck oder denselben Zwecken vorgenommene Verarbeitungsvorgänge beziehen. Wird die betroffene Person auf elektronischem Weg zur Einwilligung aufgefordert, muss die Aufforderung in klarer und knapper Form und ohne unnötige Unterbrechung des Dienstes, in dessen Bereitstellung eingewilligt wird, erfolgen. [Abänd. 8]

(26)  Zu den personenbezogenen Gesundheitsdaten sollten alle Daten gezählt werden, die sich auf den Gesundheitszustand eines von der Verarbeitung Betroffenen beziehen, außerdem Informationen über die Vormerkung der betreffenden Person zur Erbringung medizinischer Leistungen, Angaben über Zahlungen oder die Berechtigung zum Empfang medizinischer Dienstleistungen, Nummern, Symbole oder Kennzeichen, die einer bestimmten Person zugeteilt wurden, um diese für medizinische Zwecke eindeutig zu identifizieren, jede Art von Informationen über die betreffende Person, die im Rahmen der Erbringung von medizinischen Dienstleistungen erhoben wurden, Informationen, die von der Prüfung oder Untersuchung eines Körperteils oder einer körpereigenen Substanz, darunter biologischer Proben, abgeleitet wurden, die Identifizierung einer Person als Erbringer einer Gesundheitsleistung für die betroffene Person sowie Informationen etwa über Krankheiten, Behinderungen, Krankheitsrisiken, Vorerkrankungen, klinische Beahndlungen oder den physiologischen oder biomedizinischen Zustand der betroffenen Person unabhängig von der Herkunft der Daten, gleich, ob sie von einem Arzt oder sonstigem medizinischen Personal, einem Krankenhaus, einem medizinischen Gerät oder einem In-Vitro-Diagnose-Test stammen.

(27)  Zur Bestimmung der Hauptniederlassung eines für die Verarbeitung Verantwortlichen in der Union sollten objektive Kriterien herangezogen werden; ein Kriterium sollte dabei die effektive und tatsächliche Ausübung von Managementtätigkeiten durch eine feste Einrichtung sein, in deren Rahmen die Grundsatzentscheidungen zur Festlegung der Zwecke, Bedingungen und Mittel der Verarbeitung getroffen werden. Dabei sollte nicht ausschlaggebend sein, ob die Verarbeitung der personenbezogenen Daten tatsächlich an diesem Ort ausgeführt wird; das Vorhandensein und die Verwendung technischer Mittel und Verfahren zur Verarbeitung personenbezogener Daten begründet an sich noch keine Hauptniederlassung und ist daher kein ausschlaggebender Faktor für das Bestehen einer solchen Niederlassung. Die Hauptniederlassung des Auftragsverarbeiters sollte der Ort sein, an dem sich seine Hauptverwaltung in der Union befindet.

(28)  Eine Unternehmensgruppe sollte aus einem herrschenden Unternehmen und den von diesem abhängigen Unternehmen bestehen, wobei das herrschende Unternehmen dasjenige sein sollte, das zum Beispiel aufgrund von Eigentümerschaft, finanzieller Beteiligung oder sonstiger Bestimmungen, die die Tätigkeit des Unternehmens regeln, oder der Befugnis, Datenschutzvorschriften einzuführen, einen beherrschenden Einfluss auf die übrigen Unternehmen ausüben kann.

(29)  Die personenbezogenen Daten von Kindern müssen besonderen Schutz genießen, da Kinder sich der Risiken, Folgen, Vorsichtsmaßnahmen und ihrer Rechte bei der Verarbeitung personenbezogener Daten weniger bewusst sein dürften. Bei der Definition, wann eine Erfolgt die Datenverarbeitung mit Einwilligung der betroffenen Person als in Bezug auf das unmittelbare Angebot von Waren oder Dienstleistungen an ein Kind giltbis zum vollendeten dreizehnten Lebensjahr, sollte die Definition in der UN-Konvention über die Rechte Einwilligung hierzu durch die Eltern oder den rechtlichen Vertreter des Kindes zugrunde gelegt oder mit deren Zustimmung erteilt werden. Sind die Adressaten Kinder, sollte altersgerechte Sprache verwendet werden. Andere Gründe der rechtmäßigen Verarbeitung, etwa Gründe des öffentlichen Interesses, sollten anwendbar bleiben, etwa Verarbeitung im Zusammenhang mit Präventions- oder Beratungsdiensten, die unmittelbar einem Kind angeboten werden. [Abänd. 9]

(30)  Jede Verarbeitung personenbezogener Daten sollte gegenüber den betroffenen Personen nach Recht und Gesetz sowie nach Treu und Glauben und in transparenter Form erfolgen. Insbesondere sollten die besonderen Zwecke, zu denen die Daten verarbeitet werden, eindeutig und rechtmäßig sein und zum Zeitpunkt der Datenerfassung feststehen. Die erfassten Daten sollten dem Zweck angemessen und sachlich relevant sowie auf das für die Zwecke der Datenverarbeitung notwendige Minimum beschränkt sein; dies heißt vor allem, dass nicht unverhältnismäßig viele Daten erfasst werden und die Speicherfrist auf das unbedingt erforderliche Mindestmaß beschränkt bleibt. Personenbezogene Daten sollten nur verarbeitet werden dürfen, wenn der Zweck der Verarbeitung nicht durch andere Mittel erreicht werden kann. Es sollten alle vertretbaren Schritte unternommen werden, damit unzutreffende oder unvollständige personenbezogene Daten gelöscht oder berichtigt werden. Um sicherzustellen, dass die Daten nicht länger als nötig gespeichert werden, sollte der für die Verarbeitung Verantwortliche Fristen für deren Löschung oder regelmäßige Überprüfung vorsehen.

(31)  Damit die Verarbeitung rechtmäßig ist, müssen personenbezogene Daten mit Einwilligung der betroffenen Person oder auf einer sonstigen zulässigen Rechtsgrundlage verarbeitet werden, die sich aus dieser Verordnung oder – wann immer in dieser Verordnung darauf Bezug genommen wird – aus dem sonstigen Unionsrecht oder dem Recht der Mitgliedstaaten ergibt. Bei Kindern oder nicht geschäftsfähigen Personen sollte das Unionsrecht oder das Recht der Mitgliedstaaten die Voraussetzungen für die Einwilligung oder die Zustimmung zur Einwilligung dieser Person regeln. [Abänd. 10]

(32)  Erfolgt die Verarbeitung mit Einwilligung der betroffenen Person, sollte die Beweislast, dass die betroffene Person ihre Einwilligung zu dem Verarbeitungsvorgang gegeben hat, bei dem für die Verarbeitung Verantwortlichen liegen. Vor allem bei Abgabe einer schriftlichen Erklärung in anderem Zusammenhang sollten Vorkehrungen getroffen werden, die sicherstellen, dass die betroffene Person weiß, dass und wozu sie ihre Einwilligung erteilt. Um den Grundsatz der Datenminimierung einzuhalten, sollte die Beweislast nicht so verstanden werden, dass sie die positive Identifizierung der betroffenen Personen erfordert, es sei denn, diese ist notwendig. In Anlehnung an die Regelungen des Zivilrechts (z. B. Richtlinie 93/13/EWG(10)) sollten Datenschutzregelungen so klar und transparent wie möglich sein. Sie sollten keine verborgenen oder nachteiligen Klauseln enthalten. In die Verarbeitung von personenbezogenen Daten Dritter kann nicht eingewilligt werden. [Abänd. 11]

(33)  Um sicherzugehen, dass die Einwilligung ohne Zwang erfolgt, sollte klargestellt werden, dass die Einwilligung keine rechtswirksame Grundlage für die Verarbeitung liefert, wenn die betreffende Person keine echte Wahlfreiheit hat und somit nicht in der Lage ist, die Einwilligung zu verweigern oder zurückzuziehen, ohne dadurch Nachteile zu erleiden. Dies ist insbesondere dann der Fall, wenn es sich bei dem für die Verarbeitung Verantwortlichen um eine Behörde handelt, die aufgrund ihrer einschlägigen hoheitlichen Befugnisse eine Verpflichtung auferlegen kann und die Einwilligung deshalb nicht als ohne Zwang abgegeben gelten kann. Die Verwendung von Voreinstellungen, die die betroffene Person verändern muss, um der Verarbeitung zu widersprechen, wie etwa standardmäßig angekreuzte Kästchen, drückt keine freie Einwilligung aus. Die Einwilligung für die Verarbeitung zusätzlicher personenbezogener Daten, die für die Bereitstellung von Dienstleistungen nicht notwendig sind, sollten für die Verwendung dieser Dienstleistungen nicht verlangt werden. Wird die Einwilligung widerrufen, so kann dies zur Beendigung oder Nichterbringung einer Dienstleistung führen, die von den personenbezogenen Daten abhängig ist. Kann nicht eindeutig festgestellt werden, ob der beabsichtigte Zweck noch besteht, sollte der für die Verarbeitung Verantwortliche in regelmäßigen Abständen die betroffene Person über die Verarbeitung unterrichten und eine erneute Bestätigung seiner oder ihrer Einwilligung verlangen. [Abänd. 12]

(34)  Die Einwilligung liefert keine rechtliche Handhabe für die Verarbeitung personenbezogener Daten, wenn zwischen der Position der betroffenen Person und des für die Verarbeitung Verantwortlichen ein klares Ungleichgewicht besteht. Dies ist vor allem dann der Fall, wenn sich die betroffene Person in einem Abhängigkeitsverhältnis von dem für die Verarbeitung Verantwortlichen befindet, zum Beispiel dann, wenn personenbezogene Daten von Arbeitnehmern durch den Arbeitgeber im Rahmen von Beschäftigungsverhältnissen verarbeitet werden. Handelt es sich bei dem für die Verarbeitung Verantwortlichen um eine Behörde, bestünde ein Ungleichgewicht nur bei Verarbeitungsvorgängen, bei denen die Behörde aufgrund ihrer jeweiligen obrigkeitlichen Befugnisse eine Verpflichtung auferlegen kann und deshalb die Einwilligung nicht als ohne Zwang abgegeben gelten kann, wobei die Interessen der betroffenen Person zu berücksichtigen sind. [Abänd. 13]

(35)  Die Verarbeitung von Daten sollte rechtmäßig sein, wenn sie für die Erfüllung oder den geplanten Abschluss eines Vertrags erforderlich ist.

(36)  Erfolgt die Verarbeitung durch den für die Verarbeitung Verantwortlichen aufgrund einer ihm obliegenden gesetzlichen Verpflichtung oder ist die Verarbeitung zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung hoheitlicher Gewalt erforderlich, muss hierfür eine Rechtsgrundlage im Unionsrecht oder im nationalen Recht bestehen, die im Falle einer Beschneidung von Rechten und Freiheiten den Anforderungen der Charta genügt. Dies schließt auch Tarifverträge ein, die nach einzelstaatlichem Recht für allgemein verbindlich erklärt werden können. Desgleichen muss im Unionsrecht oder im nationalen Recht geregelt werden, ob es sich bei dem für die Verarbeitung Verantwortlichen, der mit der Wahrnehmung einer Aufgabe betraut wurde, die im öffentlichen Interesse liegt oder in Ausübung hoheitlicher Gewalt erfolgt, um eine Behörde oder um eine andere unter das öffentliche Recht fallende natürliche oder juristische Person oder eine natürliche oder juristische Person des Privatrechts, wie beispielsweise eine Berufsvereinigung, handeln soll. [Abänd. 14]

(37)  Die Verarbeitung personenbezogener Daten sollte ebenfalls als rechtmäßig angesehen werden, wenn sie erforderlich ist, um ein lebenswichtiges Interesse der betroffenen Person zu schützen.

(38)  Die Rechtmäßigkeit der Verarbeitung kann durch die berechtigten Interessen eines für die Verarbeitung Verantwortlichen begründet seinoder, im Fall der Weitergabe, die berechtigten Interessen eines Dritten, dem die Daten weitergegeben wurden, können eine Rechtsgrundlage für die Verarbeitung darstellen, sofern die berechtigten Erwartungen der betroffenen Person, die auf ihrem Verhältnis zu dem für die Verarbeitung Verantwortlichen beruhen, erfüllt werden und die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen. Diese Interessen sind besonders sorgfältig abzuwägen, wenn es sich bei der betroffenen Person um ein Kind handelt, da Kinder besonders schutzwürdig sind. Sofern die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen, sollte von der Verarbeitung, die auf pseudonymisierte Daten beschränkt ist, vermutet werden, dass die berechtigten Erwartungen der betroffenen Person, die auf ihrem Verhältnis zu dem für die Verarbeitung Verantwortlichen beruhen, erfüllt werden. Die betroffene Person sollte das Recht haben, aus Gründen, die sich aus ihrer besonderen Situation ergeben, der Verarbeitung zu widersprechen, ohne dass ihr dadurch Kosten entstehen. Aus Transparenzgründen sollte der für die Verarbeitung Verantwortliche verpflichtet werden, seine berechtigten Interessen gegenüber der betroffenen Person ausdrücklich darzulegen und diese außerdem zu dokumentieren und die betroffene Person über ihr Widerspruchsrecht zu belehren. Insbesondere dann, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer weiteren Verarbeitung rechnen muss könnten die Interessen und Grundrechte der betroffenen Person das Interesse des für die Verarbeitung Verantwortlichen überwiegen. Da es dem Gesetzgeber obliegt, per Gesetz die Rechtsgrundlage für die Verarbeitung von Daten durch Behörden zu schaffen, greift dieser Rechtfertigungsgrund nicht bei Verarbeitungen durch Behörden, die diese in Erfüllung ihrer Aufgaben vornehmen. [Abänd. 15]

(39)  Die Verarbeitung von Daten durch Behörden, Computer-Notdienste (Computer Emergency Response Teams – CERT beziehungsweise Computer Security Incident Response Teams - CSIRT), Betreiber von elektronischen Kommunikationsnetzen und –diensten sowie durch Anbieter von Sicherheitstechnologien und -diensten stellt in dem Maße ein berechtigtes Interesse des jeweiligen für die Verarbeitung Verantwortlichen dar, wie dies für die Gewährleistung der Netz- und Informationssicherheit unbedingt notwendig und verhältnismäßig ist, d. h. soweit dadurch die Fähigkeit eines Netzes oder Informationssystems gewährleistet wird, mit einem vorgegebenen Grad der Zuverlässigkeit Störungen oder widerrechtliche mutwillige Eingriffe abzuwehren, die die Verfügbarkeit, Authentizität, Vollständigkeit und Vertraulichkeit von gespeicherten oder übermittelten Daten sowie die Sicherheit damit zusammenhängender Dienste, die über diese Netze oder Informationssysteme angeboten werden bzw. zugänglich sind, beeinträchtigen. Ein solches berechtigtes Interesse könnte beispielsweise darin bestehen, den unberechtigten Zugang zu elektronischen Kommunikationsnetzen, die Verbreitung schädlicher Programmcodes, die Abwehr von Angriffen in Form der gezielten Überlastung von Servern („Denial of access“-Angriffe) sowie Schädigungen von Computer- und elektronischen Kommunikationssystemen zu verhindern. Dieser Grundsatz gilt auch für die Verarbeitung personenbezogener Daten zur Beschränkung missbräuchlichen Zugangs zu und die Verwendung von öffentlich zugänglichen Netzwerken oder Informationssystemen, wie das Führen schwarzer Listen von elektronischen Kennungen. [Abänd. 16]

(39a)  Sofern die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen, sollte die Vermutung gelten, dass die Verhütung oder Begrenzung von Schäden beim für die Datenverarbeitung Verantwortlichen für die berechtigten Interessen des für die Datenverarbeitung Verantwortlichen oder, im Fall der Weitergabe, für die berechtigten Interessen des Dritten, an den die Daten weitergegeben wurden, durchgeführt wird und die berechtigten Erwartungen der betroffenen Person, die auf ihrem Verhältnis zu dem für die Verarbeitung Verantwortlichen beruhen, erfüllt werden. Dieser Grundsatz gilt auch für die Durchsetzung von Rechtsansprüchen gegen eine betroffene Person, wie die Einziehung von Forderungen oder zivilrechtliche Schadensersatzansprüche und Rechtsbehelfe. [Abänd. 17]

(39b)  Sofern die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen, sollte die Vermutung gelten, dass die Verarbeitung personenbezogener Daten zum Zwecke der Direktvermarktung für eigene oder ähnliche Waren und Dienstleistungen oder zum Zwecke der Direktvermarktung auf dem Postweg für die berechtigten Interessen des für die Datenverarbeitung Verantwortlichen oder, im Fall der Weitergabe, für die berechtigten Interessen des Dritten, an den die Daten weitergegeben wurden, durchgeführt wird und die berechtigten Erwartungen der betroffenen Person, die auf ihrem Verhältnis zu dem für die Verarbeitung Verantwortlichen beruhen, erfüllt werden, wenn gut sichtbare Informationen über das Widerspruchsrecht und die Quelle der personenbezogenen Daten angegeben werden. Die Verarbeitung von Angaben über Geschäftskontakte sollten im Allgemeinen so betrachtet werden, dass sie für die berechtigten Interessen des für die Datenverarbeitung Verantwortlichen oder, im Fall der Weitergabe, für die berechtigten Interessen des Dritten, an den die Daten weitergegeben wurden, durchgeführt wird und die berechtigten Erwartungen der betroffenen Person, die auf ihrem Verhältnis zu dem für die Verarbeitung Verantwortlichen beruhen, erfüllt werden. Dies sollte auch für die Verarbeitung personenbezogener Daten gelten, die die betroffene Person offenkundig veröffentlicht hat. [Abänd. 18]

(40)  Die Verarbeitung personenbezogener Daten für andere Zwecke sollte nur zulässig sein, wenn diese mit den Zwecken, für die sie ursprünglich erhoben wurden, vereinbar sind, beispielsweise dann, wenn die Verarbeitung für historische oder statistische Zwecke oder zum Zwecke der wissenschaftlichen Forschung erforderlich ist. Ist der andere Zweck nicht mit dem ursprünglichen Zweck, für den die Daten erhoben wurden, vereinbar, muss der für die Verarbeitung Verantwortliche hierfür die Einwilligung der betroffenen Person einholen oder die Verarbeitung auf einen anderen Rechtmäßigkeitsgrund stützen, der sich beispielsweise aus dem Unionsrecht oder dem Recht des Mitgliedstaats, dem der für die Verarbeitung Verantwortliche unterliegt, ergibt. In jedem Fall sollte gewährleistet sein, dass die in dieser Verordnung niedergelegten Grundsätze angewandt werden und die betroffene Person über diese anderen Zwecke unterrichtet wird. [Abänd. 19]

(41)  Personenbezogene Daten, die ihrem Wesen nach besonders sensibel und anfällig für eine Verletzung von Grundrechten oder der Privatsphäre sind, bedürfen eines besonderen Schutzes. Derartige Daten dürfen nicht ohne ausdrückliche Einwilligung der betroffenen Person verarbeitet werden. Ausnahmen von diesem Verbot sollten im Bedarfsfall jedoch ausdrücklich vorgesehen werden, insbesondere wenn die Verarbeitung im Rahmen rechtmäßiger Tätigkeiten bestimmter Vereinigungen oder Stiftungen vorgenommen wird, die sich für die Ausübung von Grundfreiheiten einsetzen. [Abänd. 20]

(42)  Ausnahmen vom Verbot der Verarbeitung sensibler Datenkategorien sollten auch dann erlaubt sein, wenn es dafür eine gesetzliche Grundlage gibt, und – vorbehaltlich bestimmter Garantien zum Schutz der personenbezogenen Daten und anderer Grundrechte – wenn dies durch ein öffentliches Interesse gerechtfertigt ist, speziell wenn es um gesundheitliche Belange geht, wie die Gewährleistung der öffentlichen Gesundheit oder der sozialen Sicherheit oder die Verwaltung von Leistungen der Gesundheitsfürsorge, vor allem wenn dadurch die Qualität und Wirtschaftlichkeit der Verfahren zur Abrechnung von Krankenversicherungsleistungen sichergestellt werden soll, oder wenn die Verarbeitung historischen oder statistischen Zwecke Zwecken oder wissenschaftliche Forschungszwecken oder Archivdiensten dient. [Abänd. 21]

(43)  Auch die Verarbeitung personenbezogener Daten durch staatliche Stellen für verfassungsrechtlich oder im internationalen Recht verankerte Ziele von staatlich anerkannten Religionsgemeinschaften erfolgt aus Gründen des öffentlichen Interesses.

(44)  Wenn es in einem Mitgliedstaat zum Funktionieren des demokratischen Systems gehört, dass die politischen Parteien im Zusammenhang mit Wahlen Daten über die politische Einstellung von Personen sammeln, kann die Verarbeitung derartiger Daten aus Gründen des öffentlichen Interesses zugelassen werden, sofern angemessene Garantien vorgesehen werden.

(45)  Kann der für die Verarbeitung Verantwortliche anhand der von ihm verarbeiteten Daten eine natürliche Person nicht bestimmen, sollte er nicht verpflichtet sein, zur bloßen Einhaltung einer Vorschrift dieser Verordnung zusätzliche Daten einzuholen, um die betroffene Person zu bestimmen. Macht die betroffene Person von ihrem Auskunftsrecht Gebrauch, sollte der für die Verarbeitung Verantwortliche das Recht haben, bei der betroffenen Person weitere Informationen einzuholen, die ihn in die Lage versetzen, die von der betreffenden Person gesuchten personenbezogenen Daten zu lokalisieren. Ist es der betroffenen Person möglich, diese Informationen bereitzustellen, sollte der für die Verarbeitung Verantwortliche nicht die Möglichkeit haben, sich auf einen Mangel an Informationen zu berufen, um ein Ersuchen um Zugang abzulehnen. [Abänd. 22]

(46)  Der Grundsatz der Transparenz setzt voraus, dass eine für die Öffentlichkeit oder die betroffene Person bestimmte Information leicht zugänglich sowie in einfacher und verständlicher Sprache abgefasst ist. Dies gilt ganz besonders für bestimmte Situationen wie etwa Werbung im Internet, wo die große Zahl der Beteiligten und die Komplexität der dazu benötigten Technik es der betroffenen Person schwer machen zu erkennen und nachzuvollziehen, ob, von wem und zu welchem Zweck seine Daten erfasst werden. Wenn sich die Verarbeitung speziell an Kinder richtet, sollten aufgrund der besonderen Schutzwürdigkeit von Kindern Informationen und Hinweise in einer kindgerechten Sprache erfolgen.

(47)  Es gilt, die Modalitäten festzulegen, die es einer betroffenen Person ermöglichen, die ihr nach diese Verordnung zustehenden Rechte wahrzunehmen, etwa dass sie ein kostenfreies Auskunftsrecht oder ein Recht auf Berichtigung oder Löschung von der Daten besitzt wahrzunehmen oder von ihrem Widerspruchsrecht Gebrauch machen kann. Der für die Verarbeitung Verantwortliche sollte verpflichtet werden, innerhalb einer bestimmten angemessenen Frist auf das Ansuchen der betroffenen Person zu antworten und eine etwaige Ablehnung des Ansuchens zu begründen. [Abänd. 23]

(48)  Die Grundsätze von Treu und Glauben und Transparenz bei der Verarbeitung setzen voraus, dass die betroffene Person insbesondere über die Existenz des Verarbeitungsvorgangs und seine Zwecke, die Speicherfrist,voraussichtliche Speicherdauer für den jeweiligen Zweck, ob Daten an Dritte oder in Drittstaaten übermittelt werden sollen, die betreffenden Widerspruchsmöglichkeiten und das Recht auf Auskunft sowie das Recht auf Berichtigung und Löschung der Daten und das Beschwerderecht informiert wirdwerden sollte. Werden die Daten bei der betroffenen Person erhoben, sollte dieser darüber hinaus mitgeteilt werden, ob sie verpflichtet ist, die Daten bereitzustellen, und welche Folgen eine Zurückhaltung der Daten nach sich ziehen würde. Diese Information sollte den betroffenen Personen nach der Bereitstellung vereinfachter Informationen in Form standardisierter Icons präsentiert werden, was auch bedeuten kann, dass sie leicht zugänglich ist. Das sollte auch bedeuten, dass personenbezogene Daten in einer Weise verarbeitet werden, die es den betroffenen Personen erlaubt, ihre Rechte wirksam wahrzunehmen. [Abänd. 24]

(49)  Die Unterrichtung einer betroffenen Person, dass sie betreffende personenbezogene Daten verarbeitet werden, sollte zum Zeitpunkt der Erhebung erfolgen oder für den Fall, dass die Daten nicht bei ihr erhoben werden, innerhalb einer angemessenen Frist, die sich nach dem konkreten Einzelfall richtet. Wenn die Daten rechtmäßig an einen anderen Empfänger weitergegeben werden dürfen, sollte die betroffene Person bei der erstmaligen Weitergabe der Daten an diesen Empfänger darüber aufgeklärt werden.

(50)  Diese Pflicht erübrigt sich jedoch, wenn die betroffene Person bereits informiert ist oder wenn die Speicherung oder Weitergabe ausdrücklich gesetzlich geregelt ist oder wenn sich die Unterrichtung der betroffenen Person als unmöglich erweist oder mit unverhältnismäßig hohem Aufwand verbunden ist. Letzteres könnte insbesondere bei Verarbeitungen für historische oder statistische Zwecke oder zum Zwecke der wissenschaftlichen Forschung der Fall sein; als Anhaltspunkt können dabei die Zahl der betroffenen Personen, das Alter der Daten oder etwaige Ausgleichsmaßnahmen dienen. [Abänd. 25]

(51)  Jede Person sollte ein Auskunftsrecht hinsichtlich der Daten, die bei ihr erhoben worden sind, besitzen und dieses Recht problemlos wahrnehmen können, um sich von der Rechtmäßigkeit ihrer Verarbeitung überzeugen zu können. Jede betroffene Person sollte daher ein Anrecht einen Anspruch darauf haben zu wissen und zu erfahren, zu welchen Zwecken die Daten verarbeitet werden, wie lange sie voraussichtlich gespeichert werden, wer die Empfänger der Daten sind, nach welcher allgemeinen Logik die Daten verarbeitet werden und welche Folgen eine solche Verarbeitung haben kann, zumindest in Fällen, in denen die Verarbeitung auf Profiling basiert. Dabei dürfen sollten die Grundrechte und Grundfreiheiten anderer Personen, etwa das Geschäftsgeheimnis oder die Rechte an geistigem Eigentum und insbesondere das Urheberrecht geistige Eigentum, etwa im Zusammenhang mit Urheberrechten an Software, nicht angetastet werden. Dies darf jedoch nicht dazu führen, dass der betroffenen Person jegliche Auskunft verweigert wird. [Abänd. 26]

(52)  Der für die Verarbeitung Verantwortliche sollte alle vertretbaren Mittel nutzen, um die Identität einer Auskunft suchenden betroffenen Person zu überprüfen, insbesondere im Rahmen von Online-Diensten und im Falle von Online-Kennungen. Ein für die Verarbeitung Verantwortlicher sollte personenbezogene Daten nicht nur deshalb speichern, um auf mögliche Ansuchen reagieren zu können.

(53)  Jede Person sollte ein Recht auf Berichtigung der sie betreffenden personenbezogenen Daten besitzen sowie ein ‚Recht auf Vergessenwerden’Recht auf Löschung, wenn die Speicherung ihrer Daten unter Verstoß gegen die Verordnung erfolgt ist. Insbesondere sollten betroffene Personen Anspruch darauf haben, dass ihre personenbezogenen Daten gelöscht und nicht weiter verarbeitet werden, wenn sich die Zwecke, für die die Daten erhoben wurden, erübrigt haben, wenn die betroffenen Personen ihre Einwilligung in die Verarbeitung widerrufen oder Widerspruch gegen die Verarbeitung der sie betreffenden personenbezogenen Daten eingelegt haben oder wenn die Verarbeitung ihrer personenbezogenen Daten aus anderen Gründen unter Verstoß gegen die Verordnung erfolgt ist. Dieses Recht ist besonders wichtig in Fällen, in denen die betroffene Person ihre Einwilligung noch im Kindesalter gegeben hat und insofern die mit der Verarbeitung verbundenen Gefahren nicht in vollem Umfang absehen konnte und die Daten – besonders die im Internet gespeicherten – später löschen möchte. Die weitere Speicherung der Daten sollte jedoch zulässig sein, wenn dies für historische oder statistische Zwecke, zum Zwecke der wissenschaftlichen Forschung, aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit oder zur Ausübung des Rechts auf freie Meinungsäußerung erforderlich ist, wenn es hierfür eine gesetzliche Grundlage gibt oder wenn eine beschränkte Verarbeitung der Daten anstatt ihrer Löschung gerechtfertigt ist. Auch sollte das Recht auf Löschung nicht gelten, wenn die Speicherung personenbezogener Daten notwendig ist, um einen Vertrag mit der betroffenen Person zu erfüllen, oder wenn die Speicherung dieser Daten gesetzlich vorgeschrieben ist. [Abänd. 27]

(54)  Um dem ‚Recht auf Vergessenwerden’ im Netz mehr Geltung zu verschaffen, sollte das Recht auf Löschung so weit gehen, dass ein für die Verarbeitung Verantwortlicher, der die personenbezogenen Daten ohne rechtlichen Grund öffentlich gemacht hat, die Pflicht hat, alle notwendigen Schritte zu unternehmen, um die Daten, auch bei Dritten, die diese Daten verarbeiten, mitzuteilen, dass eine betroffene Person die Löschung von Links zu diesen Daten oder von Kopien oder Reproduktionen dieser Daten verlangt. Der für die Verarbeitung Verantwortliche sollte im Hinblick auf Daten, für deren Veröffentlichung er die Verantwortung trägt, alle vertretbaren Schritte, auch technischer Art, unternehmen, damit diese Information die betroffenen Dritten auch tatsächlich erreicht. Werden personenbezogene Daten von Dritten veröffentlicht, sollte der für die Verarbeitung Verantwortliche für die Veröffentlichung in die Pflicht genommen werden, wenn er die Veröffentlichung gestattet hat.zu löschen, wobei das Recht der betroffenen Person unberührt bleibt, Schadensersatz zu verlangen. [Abänd. 28]

(54a)  Vom Betroffenen bestrittene Daten, deren Richtigkeit oder Unrichtigkeit sich nicht feststellen lässt, sollten bis zur Klärung der Angelegenheit gesperrt werden. [Abänd. 29]

(55)  Damit die betroffenen Personen eine bessere Kontrolle über ihre eigenen Daten haben und ihr Auskunftsrecht besser ausüben können, sollten sie im Falle einer elektronischen Verarbeitung ihrer personenbezogenen Daten in einem strukturierten gängigen Format ebenfalls Anspruch auf Erhalt einer Kopie der sie betreffenden Daten in einem gängigen elektronischen Format haben. Die betroffene Person sollte auch befugt sein, die von ihr zur Verfügung gestellten Daten von einer automatisierten Anwendung, etwa einem sozialen Netzwerk, auf eine andere Anwendung zu übertragen. Die für Datenverarbeitung Verantwortlichen sollten dazu angehalten werden sollte nahegelegt werden, interoperable Formate zu entwickeln, die die Datenübertragbarkeit ermöglichen. Dies sollte dann möglich sein, wenn die betroffene Person die Daten dem automatisierten Verarbeitungssystem mit ihrer ausdrücklichen Einwilligung oder im Zuge der Erfüllung eines Vertrags zur Verfügung gestellt hat. Anbieter von Diensten der Informationsgesellschaft sollten die Übertragung dieser Daten für die Bereitstellung ihrer Dienste nicht verbindlich vorschreiben. [Abänd. 30]

(56)  In Fällen, in denen die personenbezogenen Daten zum Schutz der lebenswichtigen Interessen der betroffenen Person oder im öffentlichen Interesse, in Ausübung hoheitlicher Gewalt oder aufgrund der berechtigten Interessen des für die Verarbeitung Verantwortlichen rechtmäßig verarbeitet werden dürfen, sollte jede betroffene Person trotzdem das Recht haben, unentgeltlich und auf einfache und effektive Weise Widerspruch gegen die Verarbeitung der sie betreffenden Daten einzulegen. Die Beweislast sollte bei dem für die Verarbeitung Verantwortlichen liegen, der darlegen muss, dass seine berechtigten Interessen Vorrang vor den Interessen oder Grundrechten und Grundfreiheiten der betroffenen Person haben. [Abänd. 31]

(57)  Werden personenbezogene Daten verarbeitet, um Direktwerbung für nichtkommerzielle Zwecke zu betreiben, sollte Hat die betroffene Person unentgeltlich, einfach und effektiv Widerspruch gegen eine solche Verarbeitung einlegen können. das Recht, der Verarbeitung zu widersprechen, sollte der für die Verarbeitung Verantwortliche dies der betroffenen Person ausdrücklich und in verständlicher Art und Form unter Verwendung einer klaren und einfachen Sprache zur Verfügung stellen und diese klar von anderen Informationen trennen. [Abänd. 32]

(58)  Eine Unbeschadet der Rechtmäßigkeit der Datenverarbeitung sollte jede natürliche Person braucht das Recht haben, dem Profiling zu widersprechen. Profiling, das Maßnahmen zur Folge hat, durch die sich keiner Maßnahme unterwerfen lassen, rechtliche Konsequenzen für die betroffene Person ergeben, oder die ähnlich erhebliche Auswirkungen auf Profiling im Wege der automatischen Datenverarbeitung basiert. Eine solche Maßnahme die Interessen, Rechte oder Freiheiten der betroffenen Personen hat, sollte allerdings nur erlaubt sein, wenn sie ausdrücklich per Gesetz genehmigt wurde, bei Abschluss oder in Erfüllung eines Vertrags durchgeführt wird oder wenn die betroffene Person ihre Einwilligung hierzu erteilt hat. In jedem Fall sollte eine solche Verarbeitung mit angemessenen Garantien verbunden werden wie, einschließlich der spezifischen Unterrichtung der betroffenen Person oder und dem Anspruch auf direkten persönlichen Kontakt persönliche Prüfung sowie dem generellen Ausschluss von Kindern von einer solchen Maßnahme. Diese Maßnahmen sollten nicht dazu führen, dass Menschen aufgrund ihrer Rasse, ethnischer Herkunft, politischen Überzeugung, Religion oder Weltanschauung, Mitgliedschaft in einer Gewerkschaft, sexueller Orientierung oder Geschlechtsidentität diskriminiert werden. [Abänd. 33]

(58a)   Stützt sich das Profiling ausschließlich auf die Verarbeitung pseudonymisierter Daten, sollte die Vermutung gelten, dass es keine erheblichen Auswirkungen auf die Interessen, Rechte oder Freiheiten der betroffenen Personen hat. Erlaubt das Profiling, sei es auf Grundlage einer einzigen Quelle pseudonymisierter Daten oder einer Sammlung pseudonymisierter Daten aus verschiedenen Quellen, dem für die Verarbeitung Verantwortlichen pseudonymisierte Daten einer spezifischen betroffenen Person zuzuordnen, sollten die verarbeiteten Daten nicht länger als pseudonymisiert betrachtet werden. [Abänd. 34]

(59)  Im Unionsrecht oder im Recht der Mitgliedstaaten können Beschränkungen bestimmter Grundsätze sowie des Rechts auf Unterrichtung, Auskunft, Berichtigung, Löschung, Datenübertragbarkeit und Widerspruch, von Maßnahmen, die auf der Erstellung von Profilen beruhen, oder des Rechts auf Zugang oder Herausgabe von Daten und des Widerspruchrechts, von Profiling, und von Mitteilungen über eine Verletzung des Schutzes personenbezogener Daten an eine betroffene Person sowie von bestimmten damit zusammenhängenden Pflichten der für die Verarbeitung Verantwortlichen vorgesehen werden, soweit dies in einer demokratischen Gesellschaft notwendig und verhältnismäßig ist, um die öffentliche Sicherheit aufrechtzuerhalten, wozu unter anderem der Schutz von Menschenleben bei Naturkatastrophen oder vom Menschen verursachten Katastrophen sowie die Verhütung, Aufdeckung und strafrechtliche Verfolgung von Straftaten und von Verstößen gegen Berufsstandsregeln bei reglementierten Berufen gehört, und um sonstige spezifische und klar definierte öffentliche Interessen der Union oder eines Mitgliedstaats, etwa wichtige wirtschaftliche oder finanzielle Interessen, oder die betroffene Person und die Rechte und Freiheiten anderer Personen zu schützen. Diese Beschränkungen müssen mit der Charta und mit der Europäischen Konvention zum Schutz der Menschenrechte und Grundfreiheiten im Einklang stehen. [Abänd. 35]

(60)  Die Verantwortung und Haftung des für die Verarbeitung Verantwortlichen für jedwede durch diesen oder in dessen Auftrag erfolgende Verarbeitung personenbezogener Daten sollte umfassend geregelt werden, insbesondere im Hinblick auf Dokumentation, Datensicherheit, Folgenabschätzungen, Datenschutzbeauftragte und Kontrolle durch Datenschutzbehörden. Insbesondere sollte der für die Verarbeitung Verantwortliche dafür Sorge tragen, dass jeder Verarbeitungsvorgang im Einklang mit dieser Verordnung steht, und er sollte dies auch nachweisen müssendazu auch in der Lage sein. Dies sollte von unabhängigen internen oder externen Prüfern überprüft werden. [Abänd. 36]

(61)  Zum Schutz der in Bezug auf die Verarbeitung personenbezogener Daten bestehenden Rechte und Freiheiten der betroffenen Personen ist es erforderlich, dass geeignete technische und organisatorische Maßnahmen sowohl bei der Konzipierung der Verarbeitungsvorgänge als auch zum Zeitpunkt der Verarbeitung getroffen werden, damit die Anforderungen dieser Verordnung erfüllt werden. Um die Einhaltung dieser Anforderungen sicherzustellen und nachzuweisen, sollte der für die Verarbeitung Verantwortliche interne Strategien festlegen und geeignete Maßnahmen ergreifen, die insbesondere dem Grundsatz des Datenschutzes durch Technik (data protection by design) und durch datenschutzfreundliche Voreinstellungen (data protection by default) Genüge tun. Der Grundsatz des Datenschutzes durch Technik verlangt, dass der Datenschutz während des gesamten Lebenszyklus der Technologie eingebaut sein muss, von der frühesten Entwicklungsphase über ihre endgültige Einführung und Verwendung bis zur endgültigen Außerbetriebnahme. Das sollte auch die Verantwortlichkeit für die Waren und Dienstleistungen, die von dem für die Verarbeitung Verantwortlichen oder von dem Auftragsverarbeiter verwendet werden, einschließen. Der Grundsatz der datenschutzfreundlichen Voreinstellungen verlangt auf Diensten und Waren installierte Einstellungen zum Schutz der Privatsphäre, die standardmäßig mit den allgemeinen Grundsätzen des Datenschutzes vereinbar sein sollten, wie etwa mit dem Grundsatz der Datenminimierung und dem Grundsatz der Zweckbeschränkung. [Abänd. 37]

(62)  Zum Schutz der Rechte und Freiheiten der betroffenen Personen sowie zur Klärung der Verantwortung und der Haftung der für die Verarbeitung Verantwortlichen und des Auftragsverarbeiters bedarf es – auch mit Blick auf die Überwachungs- und sonstigen Maßnahmen von Aufsichtsbehörden – einer klaren Zuteilung Verteilung der Verantwortlichkeiten durch diese Verordnung, insbesondere für Fälle, in denen ein für die Verarbeitung Verantwortlicher die Verarbeitungszwecke, -bedingungen und ‑mittel gemeinsam mit anderen für die Verarbeitung Verantwortlichen festlegt oder ein Verarbeitungsvorgang im Auftrag eines für die Verarbeitung Verantwortlichen durchgeführt wird. Die Regelung zwischen den gemeinsam für die Verarbeitung Verantwortlichen sollte die tatsächlichen Aufgaben und Beziehungen der gemeinsam für die Verarbeitung Verantwortlichen widerspiegeln. Die Verarbeitung personenbezogener Daten nach Maßgabe dieser Verordnung sollte auch die Möglichkeit umfassen, dass der für die Verarbeitung Verantwortliche den gemeinsam für die Verarbeitung Verantwortlichen oder einem Auftragsverarbeiter die Daten zum Zwecke der Datenverarbeitung in deren Namen übermittelt. [Abänd. 38]

(63)  Jeder Verarbeitet ein für die Verarbeitung Verantwortliche Verantwortlicher ohne Niederlassung in der Union, dessen Verarbeitungstätigkeiten sich auf personenbezogene Daten von betroffenen Personen in der Union ansässige betroffene Personen beziehen und dazu dienen, diesen Personen Waren oder Dienstleistungen anzubieten oder deren Verhalten zu beobachten, sollte der für die Verarbeitung Verantwortliche einen Vertreter benennen müssen, es sei denn, dieser der für die Verarbeitung Verantwortliche ist in einem Drittland niedergelassen, das einen angemessenen Schutz bietet, oder es handelt sich um ein kleines oder mittleres Unternehmen, die Verarbeitung in Bezug auf weniger als 5 000 betroffene Personen innerhalb eines Zeitraumes von zwölf aufeinanderfolgenden Monaten, die nicht in Bezug auf besondere Kategorien personenbezogener Daten durchgeführt wird, oder um eine Behörde oder um eine öffentliche Einrichtung oder der betreffende für die Verarbeitung Verantwortliche bietet den betroffenen Personen nicht nur gelegentlich Waren oder Dienstleistungen an. Der Vertreter sollte im Namen des für die Verarbeitung Verantwortlichen tätig werden und den Aufsichtsbehörden als Ansprechpartner dienen. [Abänd. 39]

(64)  Zur Klärung der Frage, ob ein für die Verarbeitung Verantwortlicher betroffenen Personen in der Union ansässigen betroffenen Personen nur gelegentlich Waren und Dienstleistungen anbietet, sollte jeweils geprüft werden, ob aus dem allgemeinen Tätigkeitsprofil des für die Verarbeitung Verantwortlichen ersichtlich ist, dass das Anbieten der betreffenden Waren und Dienstleistungen lediglich eine zusätzlich zu seinen Haupttätigkeiten hinzukommende Tätigkeit darstellt. [Abänd. 40]

(65)  Zum Nachweis der Um die Einhaltung der in dieser Verordnung festgelegten Bestimmungen nachweisen zu können, sollte der für die Verarbeitung Verantwortliche jeden Verarbeitungsvorgang dokumentierenoder der Auftragsverarbeiter die zur Erfüllung der in dieser Verordnung festgelegten Anforderungen notwendige Dokumentation vorhalten. Jeder für die Verarbeitung Verantwortliche und jeder Auftragsverarbeiter sollte verpflichtet sein, mit der Aufsichtsbehörde zusammenzuarbeiten und dieser auf Verlangen die entsprechende Dokumentation vorzulegen, damit diese für die betreffenden Verarbeitungsvorgänge anhand Bewertung der Einhaltung dieser Unterlagen kontrolliert Verordnung herangezogen werden können. Es sollte aber ebenso wichtig sein, bewährten Verfahren und der Einhaltung der Vorschriften Beachtung zu schenken und nicht nur der Zusammenstellung der Dokumentation. [Abänd. 41]

(66)  Zur Aufrechterhaltung der Sicherheit und zur Vorbeugung gegen eine gegen diese Verordnung verstoßende Verarbeitung sollte der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter die mit der Verarbeitung verbundenen Risiken ermitteln und Maßnahmen zu deren Eindämmung ergreifen. Diese Maßnahmen müssen unter Berücksichtigung des Standes der Technik und der dabei anfallenden Kosten ein Schutzniveau gewährleisten, das den von der Verarbeitung ausgehenden Risiken und der Art der zu schützenden personenbezogenen Daten angemessen ist. Die Kommission sollte Bei der Festlegung technischer Standards und organisatorischer Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung sollten die technologische Neutralität, die Interoperabilität sowie Innovationen fördern und sowie gegebenenfalls die Zusammenarbeit mit Drittländern zusammenarbeiten gefördert werden. [Abänd. 42]

(67)  Eine Verletzung des Schutzes personenbezogener Daten kann erhebliche wirtschaftliche Schäden und soziale Nachteile einschließlich des Identitätsbetrugs für die betroffene Person nach sich ziehen, wenn nicht rechtzeitig und angemessen reagiert wird. Deshalb sollte der für die Verarbeitung Verantwortliche nach Bekanntwerden einer derartigen Verletzung die Aufsichtsbehörde ohne unangemessene Verzögerung – falls möglich binnen 24 von der angenommen werden sollte, dass sie nicht länger als 72 Stunden dauern sollte – davon in Kenntnis setzen. Falls die Benachrichtigung nicht binnen 24 Stunden erfolgen kann, Gegebenenfalls sollten in ihr der Benachrichtigung die Gründe für die Verzögerung angegeben werden müssen. Natürliche Personen, für die eine derartige Verletzung des Schutzes ihrer personenbezogenen Daten nachteilige Auswirkungen haben könnte, sollten ohne unangemessene Verzögerung benachrichtigt werden, damit sie die erforderlichen Sicherheitsvorkehrungen treffen können. Die Auswirkungen einer solchen Verletzung sollten als nachteilig für den Schutz der personenbezogenen Daten oder der Privatsphäre einer natürlichen Person angesehen werden, wenn sie zum Beispiel einen Identitätsdiebstahl oder -betrug, eine physische Schädigung, eine erhebliche Demütigung oder Rufschädigung zur Folge haben. Die Benachrichtigung sollte eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten sowie an die betroffene Person gerichtete Empfehlungen zur Minderung etwaiger negativer Auswirkungen dieser Verletzung beinhalten. Die Benachrichtigung der betroffenen Person sollte stets so rasch wie nach allgemeinem Ermessen möglich, in enger Absprache mit der Aufsichtsbehörde und nach Maßgabe der von dieser oder von anderen zuständigen Behörden (z.B. Strafverfolgungsbehörden) erteilten Weisungen erfolgen. Damit eine betroffene Person das Risiko eines unmittelbaren Schadens für sich klein halten kann, bedarf es beispielsweise ihrer sofortigen Benachrichtigung, wohingegen eine längere Benachrichtigungsfrist gerechtfertigt sein kann, wenn es darum geht, geeignete Maßnahmen gegen fortlaufende oder ähnliche Verletzungen der Datensicherheit zu ergreifen. [Abänd. 43]

(68)  Um bestimmen zu können, ob eine gegebene Verletzung des Schutzes personenbezogener Daten der Aufsichtsbehörde und der betroffenen Person ohne unangemessene Verzögerung gemeldet wurde, sollte jeweils überprüft werden, ob der für die Verarbeitung Verantwortliche ausreichende technische Vorkehrungen und organisatorische Maßnahmen getroffen hat, um sofort feststellen zu können, ob eine Verletzung des Schutzes personenbezogener Daten aufgetreten ist, und um die Aufsichtsbehörde und die betroffene Person umgehend unterrichten zu können, noch bevor persönliche oder wirtschaftliche Interessen Schaden nehmen können, wobei die Art und Schwere der Verletzung des Schutzes personenbezogener Daten sowie deren negative Folgen für die betroffene Person zu berücksichtigen sind.

(69)  Bei der detaillierten Regelung des Formats und der Verfahren für die Meldung von Verletzungen des Schutzes personenbezogener Daten sollten die Umstände der Verletzung hinreichend berücksichtigt werden, beispielsweise ob personenbezogene Daten durch geeignete technische Sicherheitsvorkehrungen geschützt waren, die die Wahrscheinlichkeit eines Identitätsbetrugs oder anderer Formen des Datenmissbrauchs wirksam verringern. Überdies sollten solche Regeln und Verfahren den berechtigten Interessen der Strafverfolgungsbehörden in Fällen Rechnung tragen, in denen die Untersuchung der Umstände der Verletzung durch ein frühzeitiges Bekanntwerden in unnötiger Weise behindert würde.

(70)  Gemäß der Richtlinie 95/46/EG waren Verarbeitungen personenbezogener Daten bei den Aufsichtsbehörden generell meldepflichtig. Diese Meldepflicht ist mit einem bürokratischen und finanziellen Aufwand verbunden und hat doch keineswegs in allen Fällen zu einem besseren Schutz personenbezogener Daten geführt. Diese unterschiedslose allgemeine Meldepflicht sollte daher abgeschafft und durch wirksame Verfahren und Mechanismen ersetzt werden, die sich stattdessen vorrangig mit jenen Verarbeitungsvorgängen befassen, die aufgrund ihres Wesens, ihres Umfangs oder ihrer Zwecke konkrete Risiken für die Rechte und Freiheiten betroffener Personen bergen können. In derartigen Fällen sollte der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter vor der Verarbeitung eine Datenschutz-Folgenabschätzung durchführen, die sich insbesondere mit den Maßnahmen, Garantien und Verfahren befasst, durch die der Schutz personenbezogener Daten sichergestellt und die Einhaltung der Bestimmungen dieser Verordnung nachgewiesen werden sollen.

(71)  Dies sollte insbesondere für neu geschaffene umfangreiche Dateien gelten, die dazu dienen, große Mengen personenbezogener Daten auf regionaler, nationaler oder supranationaler Ebene zu verarbeiten, und die eine große Zahl von Personen betreffen könnten.

(71a)  Folgenabschätzungen sind der wesentliche Kern jedes nachhaltigen Datenschutzrahmens und stellen sicher, dass sich Unternehmen von Anfang an aller möglichen Konsequenzen ihrer Datenverarbeitungsvorgänge bewusst sind. Werden Folgenabschätzungen mit Sorgfalt durchgeführt, kann die Wahrscheinlichkeit einer Verletzung des Datenschutzes oder eines Eingriffs in die Privatsphäre ganz wesentlich beschränkt werden. Bei den Datenschutz-Folgenabschätzungen sollte somit das gesamte Lebenszyklusmanagement personenbezogener Daten von der Erhebung über die Verarbeitung bis zur Löschung berücksichtigt werden und im Einzelnen die beabsichtigten Verarbeitungsvorgänge, die Risiken für die Rechte und Freiheiten von betroffenen Personen, die beabsichtigten Maßnahmen zur Eindämmung der Risiken, die Schutzmechanismen und Sicherheitsmaßnahmen sowie die Mechanismen beschrieben werden, durch die die Einhaltung der Verordnung sichergestellt wird. [Abänd. 44]

(71b)  Die für die Verarbeitung Verantwortlichen sollten sich auf den Schutz personenbezogener Daten während des gesamten Datenlebenszyklus von der Erhebung über die Verarbeitung bis zur Löschung konzentrieren, indem sie von Anfang an in einen nachhaltigen Datenmanagementrahmen investieren und darauf folgend umfassende Einhaltungsmechanismen einrichten. [Abänd. 45]

(72)  Unter bestimmten Umständen kann es vernünftig und unter ökonomischen Gesichtspunkten sinnvoll sein, eine Datenschutz-Folgenabschätzung nicht auf ein bestimmtes Projekt zu beziehen, sondern sie thematisch breiter anzulegen – beispielsweise wenn Behörden oder öffentliche Einrichtungen eine gemeinsame Anwendung oder Verarbeitungsplattform schaffen möchten oder wenn mehrere für die Verarbeitung Verantwortliche eine gemeinsame Anwendung oder Verarbeitungsumgebung für einen gesamten Wirtschaftssektor, für ein bestimmtes Marktsegment oder für eine weit verbreitete horizontale Tätigkeit einführen möchten.

(73)  Datenschutz-Folgeabschätzungen sollten von einer Behörde oder öffentlichen Einrichtung durchgeführt werden, sofern eine solche Folgenabschätzung nicht schon anlässlich des Erlasses des Gesetzes erfolgt ist, auf dessen Grundlage die Behörde oder Einrichtung ihre Aufgaben wahrnimmt und das den fraglichen Verarbeitungsvorgang oder die fraglichen Arten von Verarbeitungsvorgängen regelt. [Abänd. 46]

(74)  In Fällen, in denen die Datenschutz-Folgenabschätzung ergibt, dass bestimmte Verarbeitungsvorgänge große konkrete Risiken für die Rechte und Freiheiten von betroffenen Personen bergen, zum Beispiel das Risiko, infolge des Rückgriffs auf neue Technologien von dem Recht auf Datenschutz nicht Gebrauch machen zu können, sollte der Datenschutzbeauftragte oder die Aufsichtsbehörde vor Beginn dieser Vorgänge zu der Frage, ob die geplante risikobehaftete Verarbeitung gegen die Bestimmungen dieser Verordnung verstößt, zu Rate gezogen werden müssen und Abhilfevorschläge unterbreiten dürfen. Eine solche Konsultation der Aufsichtsbehörde sollte auch bei der Ausarbeitung einer gesetzgeberischen Maßnahme des nationalen Parlaments oder einer darauf basierenden Maßnahme erfolgen, die die Art der Verarbeitung und geeignete Garantien festlegt. [Abänd. 47]

(74a)  Folgenabschätzungen können nur hilfreich sein, wenn die für die Verarbeitung Verantwortlichen sicherstellen, dass sie die Versprechen einhalten, die ursprünglich in ihnen gegeben wurden. Deshalb sollten die für die Verarbeitung Verantwortlichen regelmäßig Überprüfungen der Einhaltung der Datenschutzvorschriften vornehmen, durch die nachgewiesen wird, dass die eingerichteten Datenverarbeitungsmechanismen die Zusagen einhalten, die in den Datenschutz-Folgenabschätzungen gegeben wurden. Außerdem sollte nachgewiesen werden, dass der für die Datenverarbeitung Verantwortliche in der Lage ist, der autonomen Wahl betroffener Personen zu entsprechen. Darüber hinaus sollte er in dem Fall, dass die Überprüfung Unstimmigkeiten bei der Einhaltung ergibt, diesen Umstand hervorheben und Empfehlungen abgeben, wie eine vollständige Einhaltung erreicht werden kann. [Abänd. 48]

(75)  In Fällen, in denen die Verarbeitung im öffentlichen Sektor erfolgt oder durch ein privates Großunternehmen erfolgt sich im privaten Sektor auf mehr als 5 000 betroffene Personen innerhalb von zwölf Monaten bezieht, oder in denen die Kerntätigkeit eines Unternehmens ungeachtet seiner Größe Verarbeitungsvorgänge sensibler Daten einschließt, oder Verarbeitungsvorgänge, die einer regelmäßigen und systematischen Überwachung bedürfen, sollte der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter bei der Überwachung der unternehmensinternen Einhaltung der Bestimmungen dieser Verordnung von einer weiteren Person unterstützt werden. Bei der Feststellung, ob Daten einer großen Zahl von betroffenen Personen verarbeitet werden, sollten archivierte Daten, die in einer Art und Weise beschränkt sind, dass sie nicht den gewöhnlichen Datenzugangs- und Verarbeitungsoperationen des für die Verarbeitung Verantwortlichen unterworfen sind und nicht mehr geändert werden können, nicht berücksichtigt werden. Derartige Datenschutzbeauftragte sollten unabhängig davon, ob es sich um Angestellte des für die Verarbeitung Verantwortlichen handelt oder nicht, und unabhängig davon, ob sie diese Aufgabe in Vollzeit wahrnehmen, ihre Pflichten und Aufgaben in vollständiger Unabhängigkeit ausüben können und einen besonderen Kündigungsschutz genießen. Letztendlich sollte das Management einer Organisation verantwortlich bleiben. Der Datenschutzbeauftragte sollte insbesondere vor der Planung, der Ausschreibung, Entwicklung und Einrichtung von Systemen der automatischen Verarbeitung personenbezogener Daten konsultiert werden, um die Grundsätze des Datenschutzes durch Technik und der datenschutzfreundlichen Voreinstellungen zu gewährleisten. [Abänd. 49]

(75a)  Der Datenschutzbeauftragte sollte zumindest die folgenden Qualifikationen besitzen: umfassende Kenntnisse des Datenschutzrechts und seiner Anwendung, einschließlich technischer und organisatorischer Maßnahmen und Verfahren; Beherrschung der fachlichen Anforderungen an den Datenschutz durch Technik, die datenschutzfreundlichen Voreinstellungen und die Datensicherheit; sektorspezifisches Wissen entsprechend der Größe des für die Verarbeitung Verantwortlichen oder Auftragsverarbeiters und der Sensibilität der zu verarbeitenden Daten; die Fähigkeit, Überprüfungen, Konsultationen, Dokumentationen und Protokolldateianalysen durchzuführen; sowie die Fähigkeit, mit Arbeitnehmervertretungen zu arbeiten. Der für die Verarbeitung Verantwortliche sollte dem Datenschutzbeauftragten ermöglichen, an Weiterbildungsmaßnahmen teilzunehmen, um das für die Durchführung seiner Aufgaben erforderliche Spezialwissen zu bewahren. Die Benennung als Datenschutzbeauftragter erfordert nicht unbedingt eine Vollzeittätigkeit des Mitarbeiters. [Abänd. 50]

(76)  Verbände oder andere Vertreter bestimmter Kategorien von für die Verarbeitung Verantwortlichen sollten ermutigt werden, nach Anhörung der Arbeitnehmervertreter im Einklang mit dieser Verordnung stehende Verhaltenskodizes zu erstellen, um eine wirksame Anwendung dieser Verordnung zu erleichtern, bei der den Eigenheiten der in bestimmten Sektoren erfolgenden Verarbeitungen Rechnung getragen wird. Derartige Verhaltenskodizes sollten ein Handeln der Unternehmen in Übereinstimmung mit dieser Verordnung vereinfachen. [Abänd. 51]

(77)  Um die Transparenz zu erhöhen und die Einhaltung dieser Verordnung zu verbessern, sollte angeregt werden, dass Zertifizierungsmechanismen sowie Datenschutzsiegel und –prüfzeichen standardisierte Datenschutzprüfzeichen eingeführt werden, die den betroffenen Personen einen raschen, zuverlässigen und überprüfbaren Überblick über das Datenschutzniveau einschlägiger Erzeugnisse und Dienstleistungen ermöglichen. Ein „Europäisches Datenschutzsiegel“ sollte auf europäischer Ebene eingeführt werden, um unter betroffenen Personen Vertrauen und für die für die Verarbeitung Verantwortlichen Rechtssicherheit zu schaffen sowie gleichzeitig die Verbreitung europäischer Datenschutzstandards außerhalb der EU zu fördern, indem es nicht-europäischen Unternehmen vereinfacht wird, Zugang zu europäischen Märkten zu erhalten, indem sie sich zertifizieren lassen. [Abänd. 52]

(78)  Der grenzüberschreitende Verkehr von personenbezogenen Daten ist für die Entwicklung des internationalen Handels und der grenzübergreifenden Zusammenarbeit notwendig. Durch die Zunahme dieser Datenströme sind neue Herausforderungen und Anforderungen in Bezug auf den Schutz personenbezogener Daten entstanden. Der durch diese Verordnung unionsweit garantierte Schutz natürlicher Personen sollte jedoch bei der Übermittlung von personenbezogenen Daten aus der Union in Drittländer oder an internationale Organisationen nicht unterminiert werden. In jedem Fall sollten derartige Datenübermittlungen an Drittländer nur unter strikter Einhaltung dieser Verordnung zulässig sein.

(79)  Internationale Abkommen zwischen der Union und Drittländern über die Übermittlung von personenbezogenen Daten einschließlich geeigneter Garantien für die betroffenen Personen werden von dieser Verordnung nicht berührt, wodurch ein angemessener Schutz der Grundrechte für die Bürgerinnen und Bürger sichergestellt wird. [Abänd. 53]

(80)  Die Kommission kann mit Wirkung für die gesamte Union beschließen, dass bestimmte Drittländer oder bestimmte Gebiete oder Verarbeitungssektoren eines Drittlands oder eine internationale Organisation einen angemessenen Datenschutz bieten, und auf diese Weise in Bezug auf die Drittländer und internationalen Organisationen, die für fähig gehalten werden, einen solchen Schutz zu bieten, in der gesamten Union für Rechtssicherheit und eine einheitliche Rechtsanwendung sorgen. In derartigen Fällen dürfen personenbezogene Daten ohne weitere Genehmigung an diese Länder übermittelt werden. Die Kommission kann sich, nach Benachrichtigung und Abgabe einer vollständigen Begründung an das Drittland, auch für die Aufhebung eines solchen Beschlusses entscheiden. [Abänd. 54]

(81)  In Übereinstimmung mit den Grundwerten der Union, zu denen insbesondere der Schutz der Menschenrechte zählt, sollte die Kommission bei der Inaugenscheinnahme eines Drittlandes berücksichtigen, inwieweit dort die Rechtsstaatlichkeit gewahrt ist, ein Rechtschutz existiert und die internationalen Menschenrechtsbestimmungen eingehalten werden.

(82)  Die Kommission kann ebenso per Beschluss feststellen, dass bestimmte Drittländer oder bestimmte Gebiete oder Verarbeitungssektoren eines Drittlands oder eine internationale Organisation keinen angemessenen Datenschutz bieten. Rechtsvorschriften, die den extraterritorialen Zugang zu personenbezogenen Daten, die in der EU verarbeitet werden, ohne die Zulässigkeit nach dem Recht der Union oder der Mitgliedstaaten vorsehen, sollten als Anhaltspunkt für fehelende Angemessenheit betrachtet werden. Die Übermittlung personenbezogener Daten an derartige Drittländer sollte daher verboten werden. In diesem Falle sollten Konsultationen zwischen der Kommission und den betreffenden Drittländern oder internationalen Organisationen vorgesehen werden. [Abänd. 55]

(83)  Bei Fehlen eines Angemessenheitsbeschlusses sollte der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter als Ausgleich für den in einem Drittland bestehenden Mangel an Datenschutz geeignete Garantien für den Schutz der betroffenen Person vorsehen. Diese Garantien können darin bestehen, dass auf verbindliche unternehmensinterne Datenschutzvorschriften, von der Kommission oder von einer Aufsichtsbehörde angenommene Standarddatenschutzklauseln, oder von einer Aufsichtsbehörde genehmigte Vertragsklauseln oder auf sonstige geeignete, angemessene, aufgrund der Umstände einer Datenübermittlung oder einer Kategorie von Datenübermittlungen gerechtfertigte und von einer Aufsichtsbehörde gebilligte Maßnahmen zurückgegriffen wird. Durch diese geeigneten Garantien sollte die Achtung der Rechte betroffener Personen wie bei der Verarbeitung innerhalb der Union gewahrt werden, insbesondere hinsichtlich der Begrenzung des Zwecks sowie des Rechts auf Zugang, Berichtigung, Löschung und Forderung von Schadenersatz. Diese Garantien sollten insbesondere die Einhaltung der Grundsätze der Verarbeitung personenbezogener Daten und die Rechte der betroffenen Personen gewährleisten, wirksame Rechtsbehelfe bereithalten, sicherstellen, dass die Grundsätze des Datenschutzes durch Technik und der datenschutzfreundlichen Voreinstellungen befolgt werden sowie gewährleisten, dass es einen Datenschutzbeauftragten gibt. [Abänd. 56]

(84)  Die dem für die Verarbeitung Verantwortlichen oder dem Auftragsverarbeiter offen stehende Möglichkeit, auf die von der Kommission oder einer Aufsichtsbehörde erlassenen Standard-Datenschutzklauseln zurückzugreifen, sollte den für die Verarbeitung Verantwortlichen oder den Auftragsverarbeiter keinesfalls daran hindern, die Standard-Datenschutzklauseln auch in umfangreicheren Verträgen zu verwenden oder ihnen weitere Klauseln oder ergänzende Garantien hinzuzufügen, solange letztere weder mittelbar noch unmittelbar im Widerspruch zu den von der Kommission oder einer Aufsichtsbehörde erlassenen Standard-Datenschutzklauseln stehen oder die Grundrechte und Freiheiten der betroffenen Personen beschneiden. Die von der Kommission angenommenen Standarddatenschutzklauseln könnten unterschiedliche Situationen erfassen, insbesondere die Übermittlungen von für die Verarbeitung Verantwortlichen mit Sitz in der Union an für die Verarbeitung Verantwortlichen mit Sitz außerhalb der Union und von für die Verarbeitung Verantwortlichen mit Sitz in der Union an Auftragsverarbeiter und Unterverarbeiter mit Sitz außerhalb der Union. Den für die Verarbeitung Verantwortlichen und Auftragsverarbeitern sollte nahegelegt werden, mit zusätzlichen vertraglichen Verpflichtungen, welche die Standard-Schutzklauseln ergänzen, noch wirksamere Garantien zu bieten. [Abänd. 57]

(85)  Jede Unternehmensgruppe sollte für ihre grenzüberschreitenden Datenübermittlungen aus der Union an Organisationen der gleichen Unternehmensgruppe genehmigte verbindliche unternehmensinterne Datenschutzvorschriften anwenden dürfen, sofern in diesen unternehmensinternen Vorschriften alle Grundprinzipien und durchsetzbare Rechte enthalten sind, die geeignete Garantien für die Übermittlungen beziehungsweise Kategorien von Übermittlungen personenbezogener Daten bieten. [Abänd. 58]

(86)  Datenübermittlungen sollten unter bestimmten Voraussetzungen zulässig sein, nämlich wenn die betroffene Person ihre Einwilligung erteilt hat, wenn die Übermittlung im Rahmen eines Vertrags oder Gerichtsverfahrens oder zur Wahrung eines im Unionsrecht oder im Recht eines Mitgliedstaates festgelegten wichtigen öffentlichen Interesses erforderlich ist oder wenn die Übermittlung aus einem gesetzlich vorgesehenen Register erfolgt, das von der Öffentlichkeit oder Personen mit berechtigtem Interesse eingesehen werden kann. In diesem Fall sollte sich eine solche Übermittlung nicht auf die Gesamtheit oder ganze Kategorien der im Register enthaltenen Daten erstrecken dürfen. Ist das betreffende Register zur Einsichtnahme durch Personen mit berechtigtem Interesse bestimmt, sollte die Übermittlung nur auf Antrag dieser Personen oder nur dann erfolgen, wenn diese Personen die Adressaten der Übermittlung sind, wobei den Interessen und Grundrechten der betroffenen Person in vollem Umfang Rechnung zu tragen ist. [Abänd. 59]

(87)  Diese Ausnahmeregelung sollte insbesondere für Datenübermittlungen gelten, die zur Wahrung eines wichtigen öffentlichen Interesses erforderlich sind, beispielsweise für den grenzüberschreitenden Datenaustausch zwischen Wettbewerbs-, Steuer-, Zoll- oder Finanzaufsichtsbehörden, zwischen für Angelegenheiten der sozialen Sicherheit oder für die öffentliche Gesundheit zuständigen Diensten oder zwischen für die Verhütung, Aufdeckung, Untersuchung und Verfolgung von Straftaten, einschließlich für die Verhinderung von Geldwäsche und die Bekämpfung der Terrorismusfinanzierung, zuständigen Behörden. Die Übermittlung von personenbezogenen Daten sollte ebenfalls als rechtmäßig angesehen werden, wenn sie erforderlich ist, um ein lebenswichtiges Interesse der betroffenen Person oder einer anderen Person zu schützen und die betroffene Person außerstande ist, ihre Einwilligung zu geben. Die Übermittlung personenbezogener Daten aus solch einem wichtigen öffentlichen Interesse sollte lediglich für gelegentliche Übermittlungen verwendet werden. In jedem Fall sollte eine sorgfältige Beurteilung aller Umstände der Übermittlung erfolgen. [Abänd. 60]

(88)  Übermittlungen, die weder als häufig noch als massiv gelten können, sollten auch im Falle berechtigter Interessen des für die Verarbeitung Verantwortlichen oder des Auftragsverarbeiters möglich sein, wenn letztere sämtliche Umstände der Datenübermittlung geprüft haben. Bei der Verarbeitung zu historischen oder statistischen Zwecken oder für wissenschaftliche Forschungszwecke sollten die legitimen gesellschaftlichen Erwartungen in Bezug auf einen Wissenszuwachs berücksichtigt werden. [Abänd. 61]

(89)  In allen Fällen, in denen kein Kommissionsbeschluss zur Angemessenheit des in einem Drittland bestehenden Schutzes vorliegt, sollte der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter auf Lösungen zurückgreifen, durch die rechtlich verbindlich sichergestellt wird, dass die betroffenen Personen die für die Verarbeitung ihrer personenbezogenen Daten in der Union geltenden Rechte und Garantien genießen, sobald die Daten übermittelt sind, soweit die Verarbeitung weder massiv noch wiederholt oder strukturiert ist. Diese Garantie sollte finanzielle Entschädigungsleistungen in Fällen des Verlusts oder eines unerlaubten Zugangs oder einer unerlaubten Verarbeitung von Daten sowie eine vom einzelstaatlichen Recht unabhängige Verpflichtung enthalten, vollständige Angaben über den Zugang zu den Daten durch Behörden im Drittstaat enthalten. [Abänd. 62]

(90)  Manche Drittländer erlassen Gesetze, Verordnungen und sonstige Rechtsakte, durch die die Datenverarbeitungstätigkeiten von natürlichen und juristischen Personen, die der Rechtsprechung der Mitgliedstaaten unterliegen, unmittelbar reguliert werden. Die Anwendung dieser Gesetze, Verordnungen und sonstigen Rechtsakte außerhalb des Hoheitsgebiets derartiger Drittländer kann gegen internationales Recht verstoßen und dem durch diese Verordnung in der Union gewährleisteten Schutz natürlicher Personen zuwiderlaufen. Datenübermittlungen sollten daher nur zulässig sein, wenn die in dieser Verordnung festgelegten Bedingungen für Datenübermittlungen in Drittländer eingehalten werden. Dies kann unter anderem der Fall sein, wenn die Weitergabe aus einem wichtigen öffentlichen Interesse erforderlich ist, das im Unionsrecht oder im Recht des Mitgliedstaats, dem der für die Verarbeitung Verantwortliche unterliegt, anerkannt ist. Die Bedingungen für das Bestehen eines wichtigen öffentlichen Interesses sollten von der Kommission in einem delegierten Rechtsakt näher festgelegt werden. In Fällen, in denen die für die Verarbeitung Verantwortlichen oder Auftragsverarbeiter mit unvereinbaren Anforderungen an die Einhaltung der Regelungen der EU einerseits und denjenigen eines Drittlands andererseits konfrontiert sind, sollte die Kommission dafür sorgen, dass Unionsrecht immer vorgeht. Die Kommission sollte dem für die Verarbeitung Verantwortlichen und dem Auftragsverarbeiter Orientierung und Hilfestellung bieten, und sie sollte versuchen, den Regelungskonflikt mit dem betreffenden Drittland zu lösen.[Abänd. 63]

(91)  Bei der Übermittlung personenbezogener Daten über Grenzen hinweg ist der Einzelne womöglich weniger in der Lage, seine Datenschutzrechte wahrzunehmen und sich insbesondere gegen die unrechtmäßige Nutzung oder Weitergabe dieser Informationen zu schützen. Zugleich können die Aufsichtsbehörden unter Umständen nicht in der Lage sein, Beschwerden nachzugehen oder Untersuchungen in Bezug auf Tätigkeiten außerhalb der Grenzen ihres Mitgliedstaats durchzuführen. Ihre Bemühungen um grenzübergreifende Zusammenarbeit können auch durch unzureichende Präventiv- und Abhilfebefugnisse, nicht übereinstimmende rechtliche Regelungen und praktische Hindernisse wie Ressourcenknappheit behindert werden. Daher bedarf es der Förderung einer engeren Zusammenarbeit zwischen den Datenschutz-Aufsichtsbehörden, damit sie Informationen austauschen und mit den Aufsichtsbehörden in anderen Ländern Untersuchungen durchführen können.

(92)  Die Errichtung von Aufsichtsbehörden in den Mitgliedstaaten, die ihre Aufgabe völlig unabhängig erfüllen, ist ein wesentliches Element des Schutzes des Einzelnen im Hinblick auf die Verarbeitung personenbezogener Daten. Die Mitgliedstaaten können mehr als eine Aufsichtsbehörde errichten, wenn dies ihrer verfassungsmäßigen, organisatorischen und administrativen Struktur entspricht. Die Behörden müssen über angemessene finanzielle und personelle Ressourcen verfügen, um ihre Rolle vollständig wahrzunehmen, wobei die Bevölkerungszahl und der Umfang der Verarbeitung personenbezogener Daten zu berücksichtigen ist. [Abänd. 64]

(93)  Errichtet ein Mitgliedstaat mehrere Aufsichtsbehörden, so sollte er durch ein Rechtsinstrument sicherstellen, dass diese Aufsichtsbehörden am Kohärenz-Verfahren beteiligt werden. Insbesondere sollte dieser Mitgliedstaat eine Aufsichtsbehörde bestimmen, die als zentrale Anlaufstelle für eine wirksame Beteiligung dieser Behörden an dem Verfahren fungiert und eine rasche und reibungslose Zusammenarbeit mit anderen Aufsichtsbehörden, dem Europäischen Datenschutzausschuss und der Kommission gewährleistet.

(94)  Jede Aufsichtsbehörde sollte mit Finanzmitteln, Personal (unter besonderer Berücksichtigung der Sicherstellung angemessener technischer und rechtlicher Kenntnisse und Fähigkeiten des Personals), Räumlichkeiten und einer Infrastruktur ausgestattet werden, die für die effektive Wahrnehmung ihrer Aufgaben, auch der Aufgaben im Zusammenhang mit der Amtshilfe und der Zusammenarbeit mit anderen Aufsichtsbehörden in der gesamten Union, notwendig und angemessen sind. [Abänd. 65]

(95)  Die allgemeinen Anforderungen an die Mitglieder der Aufsichtsbehörde sollten gesetzlich von jedem Mitgliedstaat geregelt werden und insbesondere vorsehen, dass diese Mitglieder entweder vom Parlament oder von der Regierung des Mitgliedstaats ernannt werden, wobei dafür Sorge getragen wird, dass die Möglichkeit der politischen Einflussnahme minimiert wird; ferner sollten sie Bestimmungen über die persönliche Eignung der Mitglieder, die Vermeidung von Interessenskonflikten und ihre die Stellung der Mitglieder enthalten. [Abänd. 66]

(96)  Die Aufsichtsbehörden sollten die Anwendung der Bestimmungen dieser Verordnung überwachen und zu ihrer einheitlichen Anwendung in der gesamten Union beitragen, um natürliche Personen im Hinblick auf die Verarbeitung ihrer Daten zu schützen und den freien Verkehr personenbezogener Daten im Binnenmarkt zu erleichtern. Zu diesem Zweck bedarf es der Zusammenarbeit der Aufsichtsbehörden untereinander und mit der Kommission.

(97)  Findet die Verarbeitung personenbezogener Daten im Zusammenhang mit der Tätigkeit einer Niederlassung eines für die Verarbeitung Verantwortlichen oder eines Auftragsverarbeiters in der Union in mehr als einem Mitgliedstaat statt, sollte eine einzige Aufsichtsbehörde als zentrale Anlaufstelle und federführende Behörde für die Überwachung der Tätigkeit des für die Verarbeitung Verantwortlichen oder Auftragsverarbeiters in der gesamten Union zuständig sein und die entsprechenden Beschlüsse fassen, damit die einheitliche Anwendung der Vorschriften verbessert, Rechtssicherheit gewährleistet und der Verwaltungsaufwand der für die Verarbeitung Verantwortlichen oder Auftragsverarbeiter verringert wird. [Abänd. 67]

(98)  Die zuständige Aufsichtsbehördefederführende Behörde, die die Aufgaben einer solchen zentralen Kontaktstelle übernimmt, sollte die Aufsichtsbehörde des Mitgliedstaats sein, in dem der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter seine Hauptniederlassung oder eine Vertretung hat. In bestimmten Fällen kann die federführende Behörde auf Antrag einer zuständigen Behörde im Rahmen des Kohärenzverfahrens vom Europäischen Datenausschuss bestimmt werden. [Abänd. 68]

(98a)  Betroffene Personen, deren personenbezogene Daten von einem für die Verarbeitung Verantwortlichen oder einem Auftragsverarbeiter in einem anderen Mitgliedstaat verarbeitet werden, sollten sich bei einer Aufsichtsbehörde ihrer Wahl beschweren können. Die federführende Datenschutzbehörde sollte ihre Arbeit mit der Arbeit der anderen betroffenen Behörden koordinieren. [Abänd. 69]

(99)  Obgleich diese Verordnung auch für die Tätigkeit der nationalen Gerichte gilt, sollten - damit die Unabhängigkeit der Richter bei der Ausübung ihrer richterlichen Aufgaben unangetastet bleibt - die Aufsichtsbehörden nicht für personenbezogene Daten zuständig sein, die von Gerichten in ihrer gerichtlichen Eigenschaft verarbeitet werden. Diese Ausnahme sollte allerdings streng begrenzt werden auf rein justizielle Tätigkeiten in Gerichtsverfahren und sich nicht auf andere Tätigkeiten beziehen, mit denen je nach dem nationalen Recht Richter betraut sein können.

(100)  Um die einheitliche Überwachung und Durchsetzung dieser Verordnung in der gesamten Union sicherzustellen, sollten die Aufsichtsbehörden in jedem Mitgliedstaat dieselben Aufgaben und Befugnisse haben, darunter, insbesondere im Fall von Beschwerden Einzelner, Untersuchungsbefugnisse sowie rechtsverbindliche Interventions-, Beschluss- und Sanktionsbefugnisse sowie die Befugnis, Gerichtsverfahren anzustrengen. Die Aufsichtsbehörden sollten ihre Untersuchungsbefugnisse, was den Zugang zu Räumlichkeiten anbelangt, im Einklang mit dem Unionsrecht und dem einzelstaatlichen Recht ausüben. Dies betrifft vor allem das Erfordernis einer vorherigen richterlichen Genehmigung.

(101)  Jede Aufsichtsbehörde sollte Beschwerden von betroffenen Personen oder von Verbänden, die im öffentlichen Interesse handeln, entgegennehmen und die Angelegenheit untersuchen. Die auf eine Beschwerde folgende Untersuchung sollte vorbehaltlich gerichtlicher Überprüfung so weit gehen, wie dies im Einzelfall angemessen ist. Die Aufsichtsbehörde sollte die betroffene Person oder den Verband innerhalb eines angemessenen Zeitraums über den Fortgang und die Ergebnisse der Beschwerde unterrichten. Sollten weitere Untersuchungen oder die Abstimmung mit einer anderen Aufsichtsbehörde vonnöten sein, sollte die betroffene Person auch hierüber informiert werden. [Abänd. 70]

(102)  Die Aufklärungsmaßnahmen der Aufsichtsbehörden für die breite Öffentlichkeit sollten an die für die Verarbeitung Verantwortlichen, die Auftragsverarbeiter einschließlich Kleinst-, Klein- und Mittelunternehmen und die betroffenen Personen gerichtete spezifische Maßnahmen einschließen.

(103)  Die Aufsichtsbehörden sollten sich gegenseitig bei der Erfüllung ihrer Aufgaben unterstützen, damit eine einheitliche Anwendung und Durchsetzung dieser Verordnung im Binnenmarkt gewährleistet ist.

(104)  Jede Aufsichtsbehörde sollte berechtigt sein, an gemeinsamen Maßnahmen von Aufsichtsbehörden teilzunehmen. Die ersuchte Aufsichtsbehörde sollte auf das Ersuchen binnen einer festgelegten Frist antworten müssen.

(105)  Um die einheitliche Anwendung dieser Verordnung in der gesamten Union sicherzustellen, sollte ein Verfahren zur Gewährleistung einer einheitlichen Rechtsanwendung (Kohärenz-VerfahrenKohärenzverfahren) eingeführt werden, das die Aufsichtsbehörden verpflichtet, untereinander und mit der Kommission zusammenzuarbeiten. Dieses Verfahren sollte insbesondere dann angewendet werden, wenn eine Aufsichtsbehörde beabsichtigt, eine Maßnahme in Bezug auf Verarbeitungsvorgänge zu treffen, die mit dem Angebot von Waren oder Dienstleistungen für Personen in mehreren Mitgliedstaaten oder der Beobachtung des Verhaltens dieser Personen im Zusammenhang stehen oder die den freien Verkehr personenbezogener Daten erheblich beeinträchtigen könnten. Ferner sollte es zur Anwendung kommen, wenn eine Aufsichtsbehörde oder die Kommission beantragen, dass die Angelegenheit im Rahmen des Kohärenzverfahrens behandelt wird. Darüber hinaus sollten die betroffenen Personen das Recht haben, dass die Kohärenz durchgesetzt wird, wenn sie der Ansicht sind, dass eine Maßnahme einer Datenschutzbehörde eines Mitgliedstaats dieses Kriterium nicht erfüllt hat. Dieses Verfahren sollte andere Maßnahmen, die die Kommission möglicherweise in Ausübung ihrer Befugnisse nach den Verträgen trifft, unberührt lassen. [Abänd. 71]

(106)  Bei Anwendung des Kohärenzverfahrens sollte der Europäische Datenschutzausschuss, falls von der einfachen Mehrheit seiner Mitglieder so entschieden wird oder falls eine andere Aufsichtsbehörde oder die Kommission darum ersuchen, binnen einer festgelegten Frist eine Stellungnahme abgeben.

(106a)  Um die einheitliche Anwendung dieser Verordnung sicherzustellen, kann der Europäische Datenschutzausschuss in Einzelfällen einen Beschluss fassen, der für die zuständigen Aufsichtsbehörden verbindlich ist. [Abänd. 72]

(107)  Um die Übereinstimmung mit dieser Verordnung zu gewährleisten, kann die Kommission eine Stellungnahme in der Angelegenheit abgeben oder einen Beschluss fassen, der die Aufsichtsbehörde verpflichtet, die geplante Maßnahme auszusetzen. [Abänd. 73]

(108)  Es kann dringender Handlungsbedarf zum Schutz der Interessen von betroffenen Personen bestehen, insbesondere wenn eine erhebliche Behinderung der Durchsetzung des Rechts einer betroffenen Person droht. Daher sollten die Aufsichtsbehörden bei der Anwendung des Kohärenzverfahrens einstweilige Maßnahmen mit einer festgelegten Geltungsdauer treffen können.

(109)  Die Anwendung dieses Verfahrens sollte eine Bedingung für die rechtliche Gültigkeit und die Durchsetzung des entsprechenden Beschlusses durch eine Aufsichtsbehörde sein. In anderen Fällen von grenzübergreifender Relevanz können die betroffenen Aufsichtsbehörden auf bilateraler oder multilateraler Ebene Amtshilfe leisten und gemeinsame Untersuchungen durchführen, ohne auf das Kohärenz-Verfahren zurückzugreifen.

(110)  Auf Unionsebene sollte ein Europäischer Datenschutzausschuss eingerichtet werden. Dieser ersetzt die mit der Richtlinie 95/46/EG eingesetzte Arbeitsgruppe für den Schutz der Rechte von Personen bei der Verarbeitung personenbezogener Daten. Er sollte aus dem Leiter einer Aufsichtsbehörde jedes Mitgliedstaats und dem Europäischen Datenschutzbeauftragten gebildet werden. Die Kommission sollte sich an seinen Tätigkeiten beteiligen. Der Europäische Datenschutzausschuss sollte zur einheitlichen Anwendung der Verordnung in der gesamten Union beitragen, die Kommission Organe der Union beraten und die Zusammenarbeit der Aufsichtsbehörden in der Union fördern, einschließlich der Koordinierung gemeinsamer Maßnahmen. Der Europäische Datenschutzausschuss sollte bei der Erfüllung seiner Aufgaben unabhängig handeln. Der Europäische Datenschutzausschuss sollte den Dialog mit den betroffenen Interessenträgern, wie Verbände betroffener Personen, Verbraucherorganisationen, für die Verarbeitung Verantwortliche sowie weitere relevante Interessenträger und Experten, stärken. [Abänd. 74]

(111)  Jede Betroffene PersonPersonen, die sich in ihren Rechten verletzt siehtsehen, die ihr ihnen aufgrund dieser Verordnung zustehen, sollte sollten das Recht auf Beschwerde bei einer Aufsichtsbehörde in einem Mitgliedstaat sowie das Recht auf einen wirksamen gerichtlichen Rechtsbehelf im Sinne von Artikel 47 der Charta haben, wenn die Aufsichtsbehörde auf die Beschwerde nicht reagiert oder nicht tätig wird, obwohl dies zum Schutz der Rechte der betroffenen Person notwendig ist. [Abänd. 75]

(112)  Einrichtungen, Organisationen oder Verbände, die sich den Schutz der Rechte und Interessen der betroffenen Personen im Bereich des Datenschutzes zum Ziel gesetzt haben und im öffentlichen Interesse handeln und die nach dem Recht eines Mitgliedstaats gegründet sind, sollten das Recht haben, im Namen der betroffenen Person mit deren Einwilligung Beschwerde bei einer Aufsichtsbehörde oder einen gerichtlichen Rechtsbehelf einzulegen, wenn sie von der betroffenen Person dazu beauftragt werden, oder unabhängig von der Beschwerde einer betroffenen Person eine eigene Beschwerde zu erheben, wenn ihrer Ansicht nach der Schutz personenbezogener Daten Vorschriften dieser Verordnung verletzt wurde. [Abänd. 76]

(113)  Jede natürliche oder juristische Person sollte das Recht auf einen gerichtlichen Rechtsbehelf gegen sie betreffende Entscheidungen einer Aufsichtsbehörde haben. Für Verfahren gegen eine Aufsichtsbehörde sollten die Gerichte des Mitgliedstaats zuständig sein, in dem die Aufsichtsbehörde ihren Sitz hat.

(114)  Um den gerichtlichen Schutz der betroffenen Person in Situationen zu stärken, in denen die zuständige Aufsichtsbehörde ihren Sitz in einem anderen Mitgliedstaat als dem Mitgliedstaat hat, in dem die betroffene Person ansässig ist, sollte die betroffene Person eine Einrichtung, Organisation oder einen Verband, die sich den Schutz der Rechte und Interessen der betroffenen Personen im Bereich des Datenschutzes zum Ziel gesetzt haben, darum ersuchen die/der im öffentlichen Interesse handelt, beauftragen können, in ihrem Namen vor dem zuständigen Gericht in dem anderen Mitgliedstaat Klage gegen die Aufsichtsbehörde zu erheben. [Abänd. 77]

(115)  In Fällen, in denen die zuständige Aufsichtsbehörde mit Sitz in einem anderen Mitgliedstaat nicht tätig wird oder unzureichende Maßnahmen in Bezug auf eine Beschwerde getroffen hat, sollte die betroffene Person die Aufsichtsbehörde in dem Mitgliedstaat ihres gewöhnlichen Aufenthalts ersuchen können, vor dem zuständigen Gericht im anderen Mitgliedstaat Klage gegen die dortige Aufsichtsbehörde zu erheben. Dies gilt nicht für Personen, die außerhalb der EU ansässig sind. Die ersuchte Aufsichtsbehörde sollte entscheiden können, ob es angemessen ist, dem Ersuchen stattzugeben; diese Entscheidung sollte von einem Gericht nachgeprüft werden können. [Abänd. 78]

(116)  Bei Verfahren gegen für die Verarbeitung Verantwortliche oder Auftragsverarbeiter sollte es dem Kläger überlassen bleiben, ob er die Gerichte des Mitgliedstaats anruft, in dem der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter eine Niederlassung hat oder, im Fall des gewöhnlichen Aufenthalts in der EU, in dem die betroffene Person ihren gewöhnlichen Aufenthalt hat; dies gilt nicht, wenn es sich bei dem für die Verarbeitung Verantwortlichen um eine Behörde der Union oder eines Mitgliedstaats handelt, die in Ausübung ihrer hoheitlichen Befugnisse tätig geworden ist. [Abänd. 79]

(117)  Gibt es Hinweise auf in verschiedenen Mitgliedstaaten anhängige Parallelverfahren, sollten die Gerichte verpflichtet sein, sich miteinander in Verbindung zu setzen. Die Gerichte sollten die Möglichkeit haben, ein Verfahren auszusetzen, wenn in einem anderen Mitgliedstaat ein Parallelverfahren anhängig ist. Die Mitgliedstaaten sollten sicherstellen, dass effiziente Klagemöglichkeiten vorhanden sind, mit denen rasch Maßnahmen zur Abstellung oder Verhinderung eines Verstoßes gegen diese Verordnung erwirkt werden können.

(118)  Finanzielle oder sonstige Schäden, die einer Person aufgrund einer rechtswidrigen Verarbeitung entstehen, sollten von dem für die Verarbeitung Verantwortlichen oder dem Auftragsverarbeiter ersetzt werden, die nur dann von ihrer Haftung befreit werden können, wenn sie nachweisen, dass ihnen der Schaden nicht angelastet werden kann, insbesondere weil ein Fehlverhalten der betroffenen Person oder ein Fall höherer Gewalt vorliegt. [Abänd. 80]

(119)  Gegen jede – privatem oder öffentlichem Recht unterliegende – Person, die gegen diese Verordnung verstößt, sollten Sanktionen verhängt werden. Die Mitgliedstaaten sollten dafür sorgen, dass die Sanktionen wirksam, verhältnismäßig und abschreckend sind, und alle Maßnahmen zu ihrer Anwendung treffen. Die Vorschriften über Sanktionen sollten angemessenen Verfahrensgarantien nach Maßgabe der allgemeinen Grundsätze des Unionsrechts und der Charta unterliegen, einschließlich des Rechts auf einen wirksamen gerichtlichen Rechtsbehelf und ein ordnungsgemäßes Verfahren und des Verbots der doppelten Strafverfolgung (ne bis in idem). [Abänd. 81]

(119a)  Bei der Anwendung der Sanktionen sollten die Mitgliedstaaten angemessenen Verfahrensgarantien, einschließlich des Rechts auf einen wirksamen gerichtlichen Rechtsbehelf und ein ordnungsgemäßes Verfahren und ein Verbot der doppelten Strafverfolgung (ne bis in idem) uneingeschränkte Beachtung schenken. [Abänd. 82]

(120)  Um die verwaltungsrechtlichen Sanktionen, die bei Verstößen gegen diese Verordnung verhängt werden können, zu vereinheitlichen und ihnen mehr Wirkung zu verleihen, sollte jede Aufsichtsbehörde befugt sein, verwaltungsrechtliche Vergehen zu ahnden. Diese Vergehen sollten in dieser Verordnung zusammen mit der Obergrenze der entsprechenden Geldbußen aufgeführt werden, die in jedem Einzelfall im Verhältnis zu den besonderen Umständen des Falls und unter Berücksichtigung insbesondere der Art, Schwere und Dauer des Verstoßes festzusetzen sind. Abweichungen bei der Anwendung verwaltungsrechtlicher Sanktionen können im Kohärenzverfahren behandelt werden.

(121)  Sofern erforderlich, sollten für die Verarbeitung personenbezogener Daten zu ausschließlich journalistischen Zwecken Ausnahmen oder zu künstlerischen oder literarischen Zwecken sind Ausnahmen Abweichungen von bestimmten Vorschriften dieser Verordnung vorzusehenvorgesehen werden, um das Recht auf Schutz der personenbezogenen Daten mit dem Recht auf freie Meinungsäußerung und insbesondere dem Recht, Informationen zu empfangen und weiterzugeben, wie es unter anderem in Artikel 11 der Charta garantiert ist, in Einklang zu bringen. Dies sollte insbesondere für die Verarbeitung personenbezogener Daten im audiovisuellen Bereich sowie in Nachrichten- und Pressearchiven gelten. Die Mitgliedstaaten sollten deshalb Rechtsvorschriften zur Regelung der Abweichungen und Ausnahmen erlassen, die zum Zwecke der Abwägung zwischen diesen Grundrechten notwendig sind. Die Mitgliedstaaten sollten solche Abweichungen und Ausnahmen in Bezug auf die allgemeinen Grundsätze, die Rechte der betroffenen Person, den für die Verarbeitung Verantwortlichen und den Auftragsverarbeiter, die Übermittlung von Daten in Drittländer oder an internationale Organisationen, die unabhängigen Aufsichtsbehörden sowie in Bezug auf die Zusammenarbeit und die einheitliche Rechtsanwendung und spezifische Datenverarbeitungssituationen regeln. Die Mitgliedstaaten sollten dies jedoch nicht zum Anlass nehmen, Ausnahmeregelungen für die anderen Bestimmungen dieser Verordnung vorzusehen. Um der Bedeutung des Rechts auf freie Meinungsäußerung in einer demokratischen Gesellschaft Rechnung zu tragen, müssen sind Begriffe wie Journalismus, die sich auf diese Freiheit beziehen, weit ausgelegt werden. Die Mitgliedstaaten sollten deshalb für die nach dieser Verordnung zu regelnden Abweichungen und Ausnahmen Tätigkeiten als „journalistisch“ einstufen, wenn das Ziel dieser Tätigkeit in der auszulegen, um alle Tätigkeiten, die auf die Weitergabe von Informationen, Meinungen und Vorstellungen an die Öffentlichkeit bestehtabzielen, unabhängig davon, auf welchem Wege dies geschiehtwelche Medien dafür herangezogen werden, zu erfassen und auch technologischen Fortschritt zu berücksichtigen. Diese Tätigkeiten sind mit oder ohne Erwerbszweck möglich und sollten nicht auf Medienunternehmen beschränkt werden. [Abänd. 83]

(122)  Für die Verarbeitung von personenbezogenen Gesundheitsdaten als besonderer Datenkategorie, die eines höheren Schutzes bedarf, lassen sich häufig berechtigte Gründe zugunsten des Einzelnen wie der Gesellschaft insgesamt anführen, insbesondere wenn es darum geht, die Kontinuität der Gesundheitsversorgung über die Landesgrenzen hinaus zu gewährleisten. Diese Verordnung sollte daher vorbehaltlich besonderer und geeigneter Garantien zum Schutz der Grundrechte und der personenbezogenen Daten natürlicher Personen die Bedingungen für die Verarbeitung personenbezogener Gesundheitsdaten harmonisieren. Dies schließt das Recht natürlicher Personen auf Auskunft über ihre eigenen gesundheitsbezogenen Daten ein, etwa Daten in ihren Patientenakten, die Informationen wie beispielsweise Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu Behandlungen oder Eingriffen enthalten.

(122a)   Eine Person, die beruflich personenbezogene Gesundheitsdaten verarbeitet, sollte, wenn möglich, anonymisierte oder pseudonymisierte Daten erhalten, sodass die Identität nur dem Hausarzt oder Spezialisten bekannt ist, der eine solche Verarbeitung von Daten angefordert hat. [Abänd. 84]

(123)  Aus Gründen des öffentlichen Interesses in Bereichen der öffentlichen Gesundheit kann es notwendig sein, personenbezogene Gesundheitsdaten auch ohne Einwilligung der betroffenen Person zu verarbeiten. In diesem Zusammenhang sollte der Begriff „öffentliche Gesundheit“ im Sinne der Verordnung (EG) Nr. 1338/2008 des Europäischen Parlaments und des Rates(11) vom 16. Dezember 2008 zu Gemeinschaftsstatistiken über öffentliche Gesundheit und über Gesundheitsschutz und Sicherheit am Arbeitsplatz ausgelegt werden und alle Elemente im Zusammenhang mit der Gesundheit wie Gesundheitszustand einschließlich Morbidität und Behinderung, die sich auf diesen Gesundheitszustand auswirkenden Determinanten, den Bedarf an Gesundheitsversorgung, die der Gesundheitsversorgung zugewiesenen Mittel, die Bereitstellung von und den allgemeinen Zugang zu Gesundheitsversorgungsleistungen sowie die entsprechenden Ausgaben und die Finanzierung und schließlich die Ursachen der Mortalität einschließen. Eine solche Verarbeitung personenbezogener Gesundheitsdaten aus Gründen des öffentlichen Interesses darf nicht dazu führen, dass Dritte, unter anderem Arbeitnehmer, Versicherungs- und Finanzunternehmen, solche personenbezogene Daten zu anderen Zwecken verarbeiten. [Abänd. 85]

(123a)   Die Verarbeitung personenbezogener Gesundheitsdaten als eine Sonderkategorie von Daten kann für historische oder statistische Zwecke oder zum Zweck der wissenschaftlichen Forschung erforderlich sein. Daher sieht diese Verordnung eine Ausnahme von dem Erfordernis der Einwilligung in Fällen der Forschung von hohem öffentlichem Interesse vor. [Abänd. 86]

(124)  Die allgemeinen Grundsätze des Schutzes natürlicher Personen bei der Verarbeitung personenbezogener Daten sollten auch im Beschäftigungskontext Kontext von Beschäftigung und sozialer Sicherheit gelten. Die Mitgliedstaaten sollten daher in den Grenzen gemäß den in dieser Verordnung festgelegten Vorschriften und Mindeststandards die Verarbeitung personenbezogener Daten im Beschäftigungskontext gesetzlich und die Verarbeitung personenbezogener Daten im Bereich der sozialen Sicherheit regeln können. Ist in einem Mitgliedsstaat eine gesetzliche Grundlage zur Regelung von Angelegenheiten des Beschäftigungsverhältnisses durch Vereinbarung zwischen den Arbeitnehmervertretern und der Leitung des Unternehmens oder des herrschenden Unternehmens einer Unternehmensgruppe (Kollektivvereinbarung) oder nach Maßgabe der Richtlinie 2009/38/EG des Europäischen Parlaments und des Rates(12) vorgesehen, kann die Verarbeitung personenbezogener Daten im Beschäftigungskontext auch durch eine solche Vereinbarung geregelt werden können. [Abänd. 87]

(125)  Die Verarbeitung personenbezogener Daten zu historischen oder statistischen Zwecken oder zum Zwecke der wissenschaftlichen Forschung sollte, um rechtmäßig zu sein, auch anderen einschlägigen Rechtsvorschriften unter anderem zu klinischen Versuchen genügen.

(125a)  Personenbezogene Daten können anschließend auch durch Archivdienste verarbeitet werden, deren Hauptaufgabe oder rechtliche Pflicht darin besteht, Archivgut im Interesse der Öffentlichkeit zu erfassen, zu erhalten, bekanntzumachen, auszuwerten und zu verbreiten. Das Recht der Mitgliedstaaten sollte das Recht auf Schutz personenbezogener Daten mit den Rechtsvorschriften über Archive und den öffentlichen Zugang zu Verwaltungsinformationen in Einklang bringen. Die Mitgliedstaaten sollten sich dafür einsetzen, dass – insbesondere durch die Europäische Archivgruppe – Regeln erarbeitet werden, die die Vertraulichkeit von Daten gegenüber Dritten sowie die Authentizität, Vollständigkeit und ordnungsgemäße Erhaltung der Daten sicherstellen. [Abänd. 88]

(126)  Wissenschaftliche Forschung im Sinne dieser Verordnung sollte Grundlagenforschung, angewandte Forschung und privat finanzierte Forschung einschließen und darüber hinaus dem in Artikel 179 Absatz 1 des Vertrags über die Arbeitsweise der Europäischen Union festgeschriebenen Ziel, einen europäischen Raum der Forschung zu schaffen, Rechnung tragen. Die Verarbeitung personenbezogener Daten zu historischen oder statistischen Zwecken oder wissenschaftlichen Forschungszwecken sollte nicht dazu führen, dass personenbezogene Daten zu anderen Zwecken verarbeitet werden, es sei denn, die betroffene Person stimmt ihr zu oder die Verarbeitung erfolgt auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats. [Abänd. 89]

(127)  Hinsichtlich der Befugnisse der Aufsichtsbehörden, von dem für die Verarbeitung Verantwortlichen oder vom Auftragsverarbeiter Zugang zu personenbezogenen Daten oder zu seinen Räumlichkeiten zu erlangen, können die Mitgliedstaaten in den Grenzen dieser Verordnung den Schutz des Berufsgeheimnisses oder anderer gleichwertiger Geheimhaltungspflichten gesetzlich regeln, soweit dies notwendig ist, um das Recht auf Schutz der personenbezogenen Daten mit einer Pflicht zur Wahrung des Berufsgeheimnisses in Einklang zu bringen.

(128)  Im Einklang mit Artikel 17 des Vertrags über die Arbeitsweise der Europäischen Union achtet diese Verordnung den Status, den Kirchen und religiöse Vereinigungen oder Gemeinschaften in den Mitgliedstaaten nach deren Rechtsvorschriften genießen, und beeinträchtigt ihn nicht. Wendet eine Kirche in einem Mitgliedstaat zum Zeitpunkt des Inkrafttretens dieser Verordnung umfassende angemessene Regeln zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten an, sollten diese Regeln weiter gelten, wenn sie mit dieser Verordnung in Einklang gebracht und als vereinbar anerkannt werden. Kirchen und religiöse Vereinigungen oder Gemeinschaften sollten verpflichtet werden, eine völlig unabhängige Datenschutzaufsicht einzurichten. [Abänd. 90]

(129)  Um die Zielvorgaben dieser Verordnung zu erfüllen, d. h. die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere ihr Recht auf Schutz ihrer personenbezogenen Daten zu schützen und den freien Verkehr personenbezogener Daten innerhalb der Union zu gewährleisten, sollte der Kommission die Befugnis übertragen werden, Rechtsakte nach Artikel 290 des Vertrags über die Arbeitsweise der Europäischen Union zu erlassen. Delegierte Rechtsakte sollten insbesondere erlassen werden in Bezug auf die Rechtmäßigkeit der Verarbeitung, zur Festlegung der Kriterien und Bedingungen für die Einwilligung eines Kindes, für die Verarbeitung besonderer Kategorien personenbezogener Daten, zur Beurteilung offensichtlich unverhältnismäßiger Anträge und Gebühren für die Ausübung der Rechte der betroffenen Person, zur Festlegung der Kriterien und Anforderungen im Hinblick auf die Unterrichtung der betroffenen Person sowie in Bezug auf deren Auskunftsrecht, in Bezug auf der Übermittlung auf Icons gestützter Informationen, das Recht auf Vergessenwerden und auf Löschung, betreffend auf Profiling basierende Maßnahmen, zur Festlegung der Kriterien und Anforderungen betreffend die Pflichten des für die Verarbeitung Verantwortlichen in Bezug auf Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen, in Bezug auf Auftragsverarbeiter, zur Festlegung der Kriterien und Anforderungen betreffend die Dokumentation und die Sicherheit der Verarbeitung, zur Festlegung der Kriterien und Anforderungen für die Feststellung einer Verletzung des Schutzes personenbezogener Daten und für deren Meldung bei der Aufsichtsbehörde sowie für die Umstände, unter denen anzunehmen ist, dass sich eine solche Verletzung negativ auf die betroffene Person auswirken wird, zur Festlegung der Kriterien und Bedingungen für Verarbeitungsvorgänge, für die eine Datenschutz-Folgenabschätzung erforderlich ist, zurdie Erklärung, dass Verhaltenskodizes mit dieser Verordnung vereinbar sind, die Festlegung der Kriterien und Anforderungen für die Bestimmung hoher konkreter Risiken, die eine vorherige Zurateziehung der Aufsichtsbehörde erfordern, für die Bestimmung des Datenschutzbeauftragten und dessen Aufgaben, in Bezug auf Verhaltensregeln, zur Festlegung der Kriterien und Anforderungen für Zertifizierungsverfahren, und für die Festlegung der Angemessenheit des Schutzniveaus in einem Drittland oder einer internationalen Organisation, die Datenübermittlung auf der Grundlage verbindlicher unternehmensinterner Vorschriften, zur Regelung der Ausnahmen für Datenübermittlungen, zur Festlegung der verwaltungsrechtlichen verwaltungsrechtliche Sanktionen, in Bezug auf die Datenverarbeitung für Gesundheitszwecke und die Verarbeitung, im Beschäftigungskontext und zu historischen und statistischen Zwecken sowie zum Zwecke der wissenschaftlichen Forschung. Es ist besonders wichtig, dass die Kommission im Rahmen ihrer Vorarbeiten auch auf Sachverständigenebene geeignete Konsultationen durchführt, insbesondere mit dem Europäischen Datenschutzausschuss. Die Kommission sollte bei der Vorbereitung und Ausarbeitung delegierter Rechtsakte dafür sorgengewährleisten, dass das Europäische die einschlägigen Dokumente dem Europäischen Parlament und der Rat die entsprechenden Dokumente gleichzeitig, dem Rat zeitgleich rechtzeitig und in geeigneter Form erhaltenWeise übermittelt werden. [Abänd. 91]

(130)  Um einheitliche Bedingungen für die Anwendung dieser Verordnung sicherzustellen, sollten der Kommission Durchführungsbefugnisse übertragen werden zur Festlegung von: Standardvorlagen spezielle Arten der Erlangung einer nachprüfbaren Einwilligung für die Verarbeitung personenbezogener Daten von Kindern, Standardvorlagen Standardverfahren und -vorlagen für die Benachrichtigung Ausübung der Rechte der betroffenen PersonPersonen zur Wahrnehmung ihrer Rechte, Standardvorlagen für die Unterrichtung der betroffenen Person, Standardvorlagen Standardverfahren und -vorlagen für das Auskunftsrecht, einschließlich der Mitteilung der personenbezogenen Daten an die betroffene Person, und das Recht auf Datenübertragbarkeit, Standardvorlagen betreffend die Pflichten des von dem für die Verarbeitung Verantwortlichen in Bezug auf Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen sowie in Bezug auf und dem Auftragsverarbeiter aufzubewahrende Dokumentation, besonderen Anforderungen für die Sicherheit der Verarbeitung, Standardformat und Verfahren für die , die Standardvorlage Meldung einer Verletzung des Schutzes von personenbezogenen Daten bei der Aufsichtsbehörde und für die Benachrichtigung der betroffenen Person, Standards und Verfahren für Datenschutz-Folgenabschätzungen, Verfahren und Dokumentation der Verletzung des Schutzes von personenbezogenen Daten, Vorlagen für die vorherige Genehmigung und vorherige Zurateziehung Konsultation und Benachrichtigung der Aufsichtsbehörde, technischen Standards und Verfahren für die Zertifizierung, Anforderungen an die Angemessenheit des Datenschutzniveaus in einem Drittland oder in einem Gebiet oder Verarbeitungssektor dieses Drittlands oder in einer internationalen Organisation, Fällen der Datenweitergabe, die nicht im Einklang mit dem Unionsrecht stehen, Vorschriften für die Amtshilfe, gemeinsamen Maßnahmen und Beschlüssen im Rahmen des Kohärenzverfahrens. Diese Befugnisse sollten nach Maßgabe der Verordnung (EU) Nr. 182/2011 des Europäischen Parlaments und des Rates vom 16. Februar 2011 zur Festlegung der allgemeinen Regeln und Grundsätze, nach denen die Mitgliedstaaten die Wahrnehmung der Durchführungsbefugnisse durch die Kommission kontrollieren,(13) ausgeübt werden. Die Kommission sollte besondere Maßnahmen für Kleinst-, Klein- und Mittelunternehmen erwägen. [Abänd. 92]

(131)  Die Standardvorlagen für spezielle Arten der Erlangung einer nachprüfbaren Einwilligung für die Verarbeitung personenbezogener Daten von Kindern, für die Einwilligung im Falle von Kindern, die Standardverfahren und -vorlagen für die Ausübung Benachrichtigung der Rechte der betroffenen Person, die Personen zur Wahrnehmung ihrer Rechte, Standardvorlagen für die Unterrichtung der betroffenen Person, die Standardverfahren und -vorlagen für das Auskunftsrecht und das Recht auf Datenübertragbarkeit, einschließlich der Mitteilung der personenbezogenen Daten an die betroffene Person, die Standardvorlagen betreffend die Pflichten des von dem für die Verarbeitung Verantwortlichen in Bezug auf Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen sowie in Bezug auf und dem Auftragsverarbeiter aufzubewahrende Dokumentation der Verletzung des Schutzes von personenbezogenen Daten, die besonderen Anforderungen für die Sicherheit der Verarbeitung, Standardformat und Verfahren für die Meldung einer Verletzung des Schutzes von personenbezogenen Daten bei der Aufsichtsbehörde und für die Benachrichtigung der betroffenen Person, die Standards und Verfahren für Datenschutz-Folgenabschätzungen, die Verfahren und Vorlagen für die vorherige Genehmigung und vorherige Zurateziehung Konsultation und Benachrichtigung der Aufsichtsbehörde, die technischen Standards und Verfahren für die Zertifizierung, die Anforderungen an die Angemessenheit des Datenschutzniveaus in einem Drittland oder in einem Gebiet oder Verarbeitungssektor dieses Drittlands oder in einer internationalen Organisation, die Fälle der Datenweitergabe, die nicht im Einklang mit dem Unionsrecht stehen, die Vorschriften für die Amtshilfe, für gemeinsame Maßnahmen und Beschlüsse im Rahmen des Kohärenzverfahrens sollten im Wege des Prüfverfahrens festgelegt werden, da es sich um Rechtsakte von allgemeiner Tragweite handelt. [Abänd. 93]

(132)  Die Kommission sollte in hinreichend begründeten Fällen äußerster Dringlichkeit, die ein Drittland oder ein Gebiet oder einen Verarbeitungssektor in diesem Drittland oder eine internationale Organisation betreffen, die kein angemessenes Schutzniveau gewährleisten, und sich auf Angelegenheiten beziehen, die von Aufsichtsbehörden im Rahmen des Kohärenzverfahrens mitgeteilt wurden, sofort geltende Durchführungsrechtsakte erlassen. [Abänd. 94]

(133)  Da die Ziele dieser Verordnung, nämlich ein gleiches Maß an Datenschutz für den Einzelnen und freier Datenverkehr in der Union, auf Ebene der Mitgliedstaaten nicht ausreichend verwirklicht werden können, sondern vielmehr wegen des Umfangs oder der Wirkungen der Maßnahme auf Unionsebene besser zu verwirklichen sind, kann die Union im Einklang mit dem Subsidiaritätsprinzip gemäß Artikel 5 des Vertrags über die Europäische Union tätig werden. Entsprechend dem in demselben Artikel genannten Verhältnismäßigkeitsprinzip geht diese Verordnung nicht über das für die Erreichung dieser Ziele erforderliche Maß hinaus.

(134)  Die Richtlinie 95/46/EG sollte durch diese Verordnung aufgehoben werden. Die Genehmigungen der Aufsichtsbehörden und die Beschlüsse der Kommission auf der Grundlage der Richtlinie 95/46/EG sollten jedoch in Kraft bleiben. Die Beschlüsse der Kommission und die Genehmigungen der Aufsichtsbehörden in Bezug auf die Übermittlung von personenbezogenen Daten an Drittstaaten gemäß Artikel 41 Absatz 8 sollten für einen Übergangszeitraum von fünf Jahren nach Inkrafttreten dieser Verordnung in Kraft bleiben, es sei denn, sie werden vor Ende dieses Zeitraums von der Kommission geändert, ersetzt oder aufgehoben. [Abänd. 95]

(135)  Diese Verordnung sollte auf alle Fragen des Schutzes der Grundrechte und Grundfreiheiten bei der Verarbeitung personenbezogener Daten Anwendung finden, die nicht den in der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates(14) festgelegten spezifischen Pflichten, die dasselbe Ziel verfolgen, unterliegen einschließlich der Pflichten des für die Verarbeitung Verantwortlichen und der Rechte des Einzelnen. Um das Verhältnis zwischen dieser Verordnung und der Richtlinie 2002/58/EG klarzustellen, sollte die Richtlinie entsprechend geändert werden.

(136)  Für Island und Norwegen stellt diese Verordnung, soweit sie auf die Verarbeitung personenbezogener Daten durch Behörden Anwendung findet, die an der Umsetzung des Schengen-Besitzstands beteiligt sind, eine Weiterentwicklung dieses Besitzstands im Sinne des Übereinkommens zwischen dem Rat der Europäischen Union sowie der Republik Island und dem Königreich Norwegen über die Assoziierung der beiden letztgenannten Staaten bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands(15) dar.

(137)  Für die Schweiz stellt diese Verordnung, soweit sie auf die Verarbeitung personenbezogener Daten durch Behörden Anwendung findet, die an der Umsetzung des Schengen-Besitzstands beteiligt sind, eine Weiterentwicklung dieses Besitzstands im Sinne des Abkommens zwischen der Europäischen Union, der Europäischen Gemeinschaft und der Schweizerischen Eidgenossenschaft über die Assoziierung dieses Staates bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands(16) dar.

(138)  Für Lichtenstein stellt diese Verordnung, soweit sie auf die Verarbeitung personenbezogener Daten durch Behörden Anwendung findet, die an der Umsetzung des Schengen-Besitzstands beteiligt sind, eine Weiterentwicklung dieses Besitzstands im Sinne des Protokolls zwischen der Europäischen Union, der Europäischen Gemeinschaft, der Schweizerischen Eidgenossenschaft und dem Fürstentum Liechtenstein über den Beitritt des Fürstentums Liechtenstein zu dem Abkommen zwischen der Europäischen Union, der Europäischen Gemeinschaft und der Schweizerischen Eidgenossenschaft über die Assoziierung der Schweizerischen Eidgenossenschaft bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands(17) dar.

(139)  Diese Verordnung steht, in Anbetracht des Umstands, dass, wie der Gerichtshof der Europäischen Union betont hat, das Recht auf Schutz der personenbezogenen Daten keine uneingeschränkte Geltung beanspruchen kann, sondern im Hinblick auf seine gesellschaftliche Funktion gesehen werden und unter Wahrung des Verhältnismäßigkeitsprinzips gegen andere Grundrechte abgewogen werden muss, im Einklang mit allen Grundrechten und Grundsätzen, die mit der Charta anerkannt wurden und in den Europäischen Verträgen verankert sind, insbesondere mit dem Recht auf Achtung des Privat- und Familienlebens, der Wohnung und der Kommunikation, dem Recht auf Schutz personenbezogener Daten, der Gedanken-, Gewissens- und Religionsfreiheit, der Freiheit der Meinungsäußerung und der Informationsfreiheit, der unternehmerischen Freiheit, dem Recht auf einen wirksamen Rechtsbehelf und ein faires Verfahren sowie mit der Achtung der Vielfalt der Kulturen, Religionen und Sprachen –

HABEN FOLGENDE VERORDNUNG ERLASSEN:

KAPITEL I

ALLGEMEINE BESTIMMUNGEN

Artikel 1

Gegenstand und Ziele

(1)  Diese Verordnung enthält Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Verkehr solcher Daten.

(2)  Die Verordnung schützt die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten.

(3)  Der freie Verkehr personenbezogener Daten in der Union darf aus Gründen des Schutzes natürlicher Personen bei der Verarbeitung personenbezogener Daten weder eingeschränkt oder verboten werden.

Artikel 2

Sachlicher Anwendungsbereich

(1)  Diese Verordnung gilt, , unabhängig von der Verarbeitungsmethode, für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einer Datei gespeichert sind oder gespeichert werden sollen.

(2)  Diese Verordnung findet keine Anwendung auf die Verarbeitung personenbezogener Daten, die vorgenommen wird

a)  im Rahmen einer Tätigkeit, die nicht in den Geltungsbereich des dem Unionsrecht fällt unterliegt, etwa im Bereich der nationalen Sicherheit,

b)  durch die Organe, Einrichtungen, Ämter und Agenturen der Europäischen Union,

c)  durch die Mitgliedstaaten im Rahmen von Tätigkeiten, die in den Anwendungsbereich von Titel V Kapitel 2 des Vertrags über die Europäische Union fallen,

d)  durch natürliche von einer natürlichen Person zu ausschließlich persönlichen oder familiären Zwecken; Die Ausnahme gilt auch für die Veröffentlichung personenbezogener Daten, bei denen davon auszugehen ist, dass sie nur einer begrenzten Anzahl von Personen zu ausschließlich persönlichen oder familiären Zwecken ohne jede Gewinnerzielungsabsichtzugänglich sein werden,

e)  zur Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder zur Vollstreckung strafrechtlicher Sanktionen durch die zuständigen Behörden.

(3)  Die vorliegende Verordnung lässt die Anwendung der Richtlinie 2000/31/EG und speziell die Vorschriften der insbesondere deren Artikel 12 bis 15 dieser Richtlinie zur in dem die Verantwortlichkeit von Anbietern von Vermittlungsdiensten geregelt ist, unberührt. [Abänd. 96]

Artikel 3

Räumlicher Anwendungsbereich

(1)  Die Verordnung findet Anwendung auf die Verarbeitung personenbezogener Daten, soweit diese im Rahmen der Tätigkeiten einer Niederlassung eines für die Verarbeitung Verantwortlichen oder eines Auftragsverarbeiters in der Union erfolgt, unabhängig davon, ob die Verarbeitung in der Union erfolgt.

(2)  Die Verordnung findet Anwendung auf die Verarbeitung personenbezogener Daten von in der Union ansässigen betroffenen Personen durch einen nicht in der Union niedergelassenen für die Verarbeitung Verantwortlichen oder Auftragsverarbeiter, wenn die Datenverarbeitung

a)  dazu dient, diesen Personen in der Union Waren oder Dienstleistungen anzubieten, unabhängig davon, ob von der betroffenen Person eine Zahlung zu leisten ist; oder

b)  der Beobachtung ihres Verhaltens Überwachung dieser betroffenen Personen dient.

(3)  Die Verordnung findet Anwendung auf jede Verarbeitung personenbezogener Daten durch einen nicht in der Union niedergelassenen für die Verarbeitung Verantwortlichen an einem Ort, der nach internationalem Recht dem Recht eines Mitgliedstaats unterliegt. [Abänd. 97]

Artikel 4

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck

1.  „betroffene Person" eine bestimmte natürliche Person oder eine natürliche Person, die direkt oder indirekt mit Mitteln bestimmt werden kann, die der für die Verarbeitung Verantwortliche oder jede sonstige natürliche oder juristische Person nach allgemeinem Ermessen aller Voraussicht nach einsetzen würde, etwa mittels Zuordnung zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck ihrer physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität sind;

2.  „personenbezogene Daten" alle Informationen, die sich auf eine betroffene über eine bestimmte oder bestimmbare natürliche Person („betroffene Person“); als bestimmbar wird eine Person angesehen, die direkt oder indirekt identifiziert werden kann, insbesondere durch Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer eindeutigen Kennung oder zu einem oder mehreren spezifischen Elementen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen, sozialen oder geschlechtlichen Identität dieser Person beziehensind;

2a.  „pseudonymisierte Daten“ personenbezogene Daten, die ohne Heranziehung zusätzlicher Informationen keiner spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die die Nichtzuordnung gewährleisten;

2b.  „verschlüsselte Daten“ personenbezogene Daten, die durch technische Schutzmaßnahmen für Personen, die nicht zum Zugriff auf die Daten befugt sind, unverständlich gemacht wurden;

3.  „Verarbeitung” jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Weitergabe durch Übermittlung, Verbreitung oder jede andere Form der Bereitstellung, der Abgleich oder die Verknüpfung sowie das Löschen oder Vernichten der Daten;

3a.  „Profiling“ jede Form automatisierter Verarbeitung personenbezogener Daten, die zu dem Zweck vorgenommen wird, bestimmte personenbezogene Aspekte, die einen Bezug zu einer natürlichen Person haben, zu bewerten oder insbesondere die Leistungen der betreffenden Person bei der Arbeit, ihre wirtschaftliche Situation, ihren Aufenthaltsort, ihre Gesundheit, ihre persönlichen Vorlieben, ihre Zuverlässigkeit oder ihr Verhalten zu analysieren oder vorauszusagen;

4.  „Datei” jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird;

5.  „für die Verarbeitung Verantwortlicher” die natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke, Bedingungen und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke, Bedingungen und Mittel der Verarbeitung von personenbezogenen Daten durch einzelstaatliches mitgliedstaatliches oder Unionsrecht vorgegeben, können der für die Verarbeitung Verantwortliche beziehungsweise die Modalitäten seiner Benennung nach einzelstaatlichem mitgliedstaatlichem oder Unionsrecht bestimmt werden;

6.  „Auftragsverarbeiter” eine natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die personenbezogene Daten im Auftrag des für die Verarbeitung Verantwortlichen verarbeitet;

7.  „Empfänger” eine natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, an die personenbezogene Daten weitergegeben werden;

7a.  „Dritter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, außer der betroffenen Person, dem für die Verarbeitung Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter der unmittelbaren Verantwortung des für die Verarbeitung Verantwortlichen oder des Auftragsverarbeiters befugt sind, die Daten zu verarbeiten;

8.  „Einwilligung der betroffenen Person” jede ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage erfolgte explizite ausdrückliche Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist;

9.  „Verletzung des Schutzes personenbezogener Daten "eine Verletzung der Sicherheit, die zur “die Vernichtung, zum der Verlust oder zur, die Veränderung, ob unbeabsichtigt oder widerrechtlich, oder zur unbefugten die unbefugte Weitergabe von beziehungsweise zum unbefugten der unbefugte Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden;

10.  „genetische Daten“ alle personenbezogenen Daten jedweder Art zu den ererbten oder während der vorgeburtlichen Entwicklung erworbenen Merkmalen betreffend die genetischen Merkmale eines Menschen, die ererbt oder erworben wurden, die aus einer Analyse einer biologischen Probe des betreffenden Menschen resultieren, insbesondere durch DNA- oder RNA-Analyse oder Analyse eines anderen Elements, wodurch entsprechende Informationen erlangt werden können;

11.  „biometrische Daten“ personenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen eines Menschen, die dessen eindeutige Identifizierung ermöglichen, wie Gesichtsbilder oder daktyloskopische Daten;

12.  „Gesundheitsdaten“ Informationenpersonenbezogene Daten, die sich auf den körperlichen oder geistigen Gesundheitszustand einer Person oder auf die Erbringung von Gesundheitsleistungen für die betreffende Person beziehen;

13.  „Hauptniederlassung“ im Falle des der Ort der Niederlassung eines Unternehmens oder einer Unternehmensgruppe in der Union – wobei es sich um den für die Verarbeitung Verantwortlichen der Ort seiner Niederlassung in der Union oder den Auftragsverarbeiter handeln kann, an dem die Grundsatzentscheidungen hinsichtlich der Zwecke, Bedingungen und Mittel der Verarbeitung personenbezogener Daten getroffen werden; wird über die Zwecke, Bedingungen und Mittel der Verarbeitung personenbezogener Daten nicht in der Union entschieden, ist die Hauptniederlassung der Ort, an dem die Verarbeitungstätigkeiten im Rahmen der Tätigkeiten einer Niederlassung eines Unter anderem können die folgenden objektiven Kriterien in Betracht gezogen werden: der Standort des für die Verarbeitung Verantwortlichen oder die Hauptverwaltung des Auftragsverarbeiters, der Standort derjenigen Einheit in einer Unternehmensgruppe, die im Hinblick auf Leitungsfunktionen und administrative Zuständigkeiten am besten in der Union hauptsächlich stattfinden. Im Falle des Auftragsverarbeiters bezeichnet „Hauptniederlassung“ den Ort, Lage ist, die Vorschriften dieser Verordnung anzuwenden und durchzusetzen, der Standort, an dem der Auftragsverarbeiter seine Hauptverwaltung in der Union hat;effektive und tatsächliche Managementtätigkeiten ausgeübt werden und die Datenverarbeitung im Rahmen fester Einrichtungen festgelegt wird.

14.  „Vertreter“ jede in der Union niedergelassene natürliche oder juristische Person, die von dem für die Verarbeitung Verantwortlichen ausdrücklich bestellt wurde und ihn in Bezug auf die diesem ihm nach dieser Verordnung obliegenden Verpflichtungen an seiner Stelle handelt und gegenüber den Aufsichtsbehörden oder sonstigen Stellen in der Union als Ansprechpartner fungiertvertritt;

15.  „Unternehmen“ jedes Gebilde, das eine wirtschaftliche Tätigkeit ausübt, unabhängig von seiner Rechtsform, das heißt vor allem natürliche und juristische Personen sowie Personengesellschaften oder Vereinigungen, die regelmäßig einer wirtschaftlichen Tätigkeit nachgehen;

16.  „Unternehmensgruppe“ eine Gruppe, die aus einem herrschenden Unternehmen und den von diesem abhängigen Unternehmen besteht;

17.  „verbindliche unternehmensinterne Datenschutzregelungen“ Maßnahmen zum Schutz personenbezogener Daten, zu deren Einhaltung sich ein im Hoheitsgebiet eines EU-Mitgliedstaats niedergelassener für die Verarbeitung Verantwortlicher oder Auftragsverarbeiter für Datenübermittlungen oder eine Kategorie von Datenübermittlungen personenbezogener Daten an einen für die Verarbeitung Verantwortlichen oder Auftragsverarbeiter derselben Unternehmensgruppe in einem oder mehreren Drittländern verpflichtet;

18.  „Kind“ jede Person bis zur Vollendung des achtzehnten Lebensjahres;

19.  „Aufsichtsbehörde“ eine von einem Mitgliedstaat nach Maßgabe von Artikel 46 eingerichtete staatliche Stelle. [Abänd. 98]

KAPITEL II

GRUNDSÄTZE

Artikel 5

Grundsätze in Bezug auf für die Verarbeitung personenbezogener Daten

Personenbezogene Daten müssen

a)  auf rechtmäßige Weise, nach dem Grundsatz von Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden (Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz);

b)  für genau festgelegte, eindeutige und rechtmäßige Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden (Zweckbindung);

c)  dem Zweck angemessen und sachlich relevant sowie auf das für die Zwecke der Datenverarbeitung notwendige Mindestmaß beschränkt sein; sie dürfen nur verarbeitet werden, wenn und solange die Zwecke der Verarbeitung nicht durch die Verarbeitung von anderen als personenbezogenen Daten erreicht werden können (Datenminimierung);

d)  sachlich richtig und, wenn nötig, auf dem neuesten Stand sein; dabei sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unzutreffend sind, unverzüglich gelöscht oder berichtigt werden (Richtigkeit);

e)  in einer Form gespeichert werden, die die direkte oder indirekte Identifizierung der betroffenen Personen ermöglicht, jedoch höchstens so lange, wie es für die Realisierung der Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, wenn die Daten ausschließlich zu historischen oder statistischen Zwecken oder für wissenschaftliche Forschungszwecke oder Archivzwecke im Einklang mit den Vorschriften und Modalitäten des Artikels 83 der Artikel 83 und 83a verarbeitet werden und die Notwendigkeit ihrer weiteren Speicherung in regelmäßigen Abständen überprüft wird und angemessene technische und organisatorische Maßnahmen ergriffen werden, um den Zugang zu den Daten lediglich auf diese Zwecke zu begrenzen (Speicherminimierung);

ea)  in einer Weise verarbeitet werden, die es den betroffenen Personen erlaubt, wirksam ihre Rechte wahrzunehmen (Wirksamkeit);

eb)  in einer Weise verarbeitet werden, die vor unbefugter oder unrechtmäßiger Verarbeitung und vor zufälligem Verlust, zufälliger Zerstörung oder Schädigung durch geeignete technische und organisatorische Maßnahmen schützt (Integrität);

f)  unter der Gesamtverantwortung Verantwortung und Haftung des für die Verarbeitung Verantwortlichen verarbeitet werden, der dafür haftet zu sorgen hat, dass bei jedem Verarbeitungsvorgang die Vorschriften dieser Verordnung eingehalten werden, und in der Lage sein muss, der den Nachweis hierfür zu erbringen muss(Rechenschaftspflicht). [Abänd. 99]

Artikel 6

Rechtmäßigkeit der Verarbeitung

(1)  Die Verarbeitung personenbezogener Daten ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a)  Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere genau festgelegte Zwecke gegeben.

b)  Die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, erforderlich oder zur Durchführung vorvertraglicher Maßnahmen, die auf Antrag der betroffenen Person erfolgen.

c)  Die Verarbeitung ist zur Erfüllung einer gesetzlichen Verpflichtung erforderlich, der der für die Verarbeitung Verantwortliche unterliegt.

d)  Die Verarbeitung ist nötig, um lebenswichtige Interessen der betroffenen Person zu schützen.

e)  Die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung hoheitlicher Gewalt erfolgt und die dem für die Verarbeitung Verantwortlichen übertragen wurde.

f)  Die Verarbeitung ist zur Wahrung der berechtigten Interessen des für die Verarbeitung Verantwortlichen – oder, im Fall der Weitergabe, der berechtigten Interessen eines Dritten, an den die Daten weitergegeben wurden – , die die berechtigten Erwartungen der betroffenen Person, die auf ihrem Verhältnis zu dem für die Verarbeitung Verantwortlichen beruhen, erfüllen, erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt. Dieser gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.

(2)  Die Rechtmäßigkeit der Verarbeitung personenbezogener Daten zu historischen oder statistischen Zwecken oder für wissenschaftliche Forschungszwecke unterliegt den Bedingungen und Garantien des Artikels 83.

(3)  Die Verarbeitungen gemäß Absatz 1 Buchstaben c und e müssen eine Rechtsgrundlage haben im

a)  Unionsrecht oder

b)  Recht des Mitgliedstaats, dem der für die Verarbeitung Verantwortliche unterliegt.

Die einzelstaatliche Regelung muss ein im öffentlichen Interesse liegendes Ziel verfolgen oder zum Schutz der Rechte und Freiheiten Dritter erforderlich sein, den Wesensgehalt des Rechts auf den Schutz personenbezogener Daten wahren und in einem angemessenen Verhältnis zu dem mit der Verarbeitung verfolgten legitimen Zweck stehen. Im Rahmen dieser Verordnung können im Recht der Mitgliedstaaten Einzelheiten der Rechtmäßigkeit der Verarbeitung, insbesondere zu den für die Verarbeitung Verantwortlichen, zur Zweckbestimmung der Verarbeitung und Zweckbindung, zur Art der Daten und zu den betroffenen Personen, zu Verarbeitungsvorgängen und -verfahren, zu Empfängern sowie zur Speicherdauer geregelt werden.

(4)  Ist der Zweck der Weiterverarbeitung mit dem Zweck, für den die personenbezogenen Daten erhoben wurden, nicht vereinbar, muss auf die Verarbeitung mindestens einer der in Absatz 1 Buchstaben a bis e genannten Gründe zutreffen. Dies gilt insbesondere bei Änderungen von Geschäfts- und allgemeinen Vertragsbedingungen.

(5)  Die Kommission wird ermächtigt, delegierte Rechtsakte nach Maßgabe von Artikel 86 zu erlassen, um die Anwendung von Absatz 1 Buchstabe f für verschiedene Bereiche und Verarbeitungssituationen einschließlich Situationen, die die Verarbeitung personenbezogener Daten von Kindern betreffen, näher zu regeln. [Abänd. 100]

Artikel 7

Einwilligung

(1)  Im Fall der Verarbeitung auf Grundlage einer Einwilligung trägt der für die Verarbeitung Verantwortliche trägt die Beweislast dafür, dass die betroffene Person ihre Einwilligung zur Verarbeitung ihrer personenbezogenen Daten für eindeutig festgelegte Zwecke erteilt hat.

(2)  Soll die Einwilligung durch eine schriftliche Erklärung erfolgen, die noch einen anderen Sachverhalt betrifft, muss das Erfordernis der Einwilligung äußerlich klar erkennbar von dem anderen Sachverhalt getrennt werden. Bestimmungen über die Einwilligung der betroffenen Person, die diese Verordnung teilweise verletzen, sind in vollem Umfang nichtig.

(3)  Unbeschadet anderer Rechtsgrundlagen für die Verarbeitung hat die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen. Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Der Widerruf der Einwilligung muss so einfach wie die Erteilung der Einwilligung sein. Die betroffene Person wird von dem für die Verarbeitung Verantwortlichen informiert, wenn der Widerruf der Einwilligung zu einer Einstellung der erbrachten Dienstleistungen oder der Beendigung der Beziehungen zu dem für die Verarbeitung Verantwortlichen führen kann.

(4)  Die Einwilligung bietet keine Rechtsgrundlage für die Verarbeitung, wenn zwischen der Position der betroffenen Person und des für die ist zweckgebunden und wird unwirksam, wenn der Zweck nicht mehr gegeben ist oder die Verarbeitung der personenbezogenen Daten zur Erreichung des Zwecks, für den die Daten ursprünglich erhoben wurden, nicht mehr erforderlich ist. Die Erfüllung eines Vertrages oder die Erbringung einer Dienstleistung darf nicht von der Einwilligung in eine Verarbeitung Verantwortlichen ein erhebliches Ungleichgewicht bestehtvon Daten abhängig gemacht werden, die für die Erfüllung des Vertrages oder die Erbringung der Dienstleistung nicht im Sinne von Artikel 6 Absatz 1 Buchstabe b erforderlich ist. [Abänd. 101]

Artikel 8

Verarbeitung personenbezogener Daten eines Kindes

(1)  Für die Zwecke dieser Verordnung ist die Verarbeitung personenbezogener Daten eines Kindes bis zum vollendeten dreizehnten Lebensjahr, dem direkt Dienste der Informationsgesellschaft Waren oder Dienstleistungen angeboten werden, nur rechtmäßig, wenn und insoweit die Einwilligung hierzu durch die von den Eltern oder den Vormund des Kindes Sorgeberechtigten oder mit deren Zustimmung erteilt wird. Der für die Verarbeitung Verantwortliche unternimmt unter Berücksichtigung der vorhandenen Technologie angemessene Anstrengungen, um eine nachprüfbare diese Einwilligung zu erhaltenüberprüfen, ohne eine sonst unnötige Verarbeitung personenbezogener Daten zu verursachen.

(1a)  Informationen, die im Hinblick auf die Abgabe einer Einwilligung Kindern, Eltern und Sorgeberechtigten bereitgestellt werden, einschließlich solcher über die Erhebung und Verwendung personenbezogener Daten durch den für die Verarbeitung Verantwortliche, sollten in einer eindeutigen und den Adressaten angemessenen Sprache abgefasst sein.

(2)  Absatz 1 lässt das allgemeine Vertragsrecht der Mitgliedstaaten, etwa die Vorschriften zur Gültigkeit, zum Zustandekommen oder zu den Rechtsfolgen eines Vertrags mit einem Kind, unberührt.

(3)  Die KommissionDer Europäische Datenschutzausschuss wird ermächtigt, delegierte Rechtsakte nach Maßgabe von Artikel 86 zu erlassen, um die Modalitäten und Anforderungen beauftragt, Leitlinien, Empfehlungen und bewährte Praktiken in Bezug auf die Art der Erlangung einer nachprüfbaren Überprüfung der Einwilligung gemäß Absatz 1 näher zu regeln. Dabei zieht die Kommission spezifische Maßnahmen für Kleinst- und Kleinunternehmen sowie mittlere Unternehmen in Betracht. nach Maßgabe von Artikel 66 zu veröffentlichen.

(4)  Die Kommission kann Standardvorlagen für spezielle Arten der Erlangung einer nachprüfbaren Einwilligung gemäß Absatz 1 festlegen. Die entsprechenden Durchführungsrechtsakte werden in Übereinstimmung mit dem Prüfverfahren gemäß Artikel 87 Absatz 2 erlassen. [Abänd. 102]

Artikel 9

Verarbeitung besonderer Kategorien von personenbezogenen DatenBesondere Datenkategorien

(1)  Die Verarbeitung personenbezogener Daten, aus denen die Rasse oder ethnische Herkunft, politische Überzeugungen, die Religions- oder Glaubenszugehörigkeit Meinungen, religiöse oder philosophische Überzeugungen, sexuelle Orientierung oder Geschlechtsidentität oder die Zugehörigkeit zu Mitgliedschaft und Betätigung in einer Gewerkschaft hervorgehen, sowie von genetischen oder biometrischen Daten, Daten über die Gesundheit oder das Sexualleben oder Daten über Strafurteileverwaltungsrechtliche Sanktionen, Urteile, Straftaten oder mutmaßliche Straftaten, Verurteilungen oder damit zusammenhängende Sicherungsmaßregeln ist untersagt.

(2)  Absatz 1 gilt nicht, in wenn eines der folgenden FällenKriterien zutrifft:

a)  Die betroffene Person hat für einen oder mehrere spezifische Zwecke in die Verarbeitung der genannten personenbezogenen Daten vorbehaltlich der in den Artikeln 7 und 8 genannten Bedingungen eingewilligt, es sei denn, nach den Rechtsvorschriften der Union oder eines Mitgliedstaats kann das Verbot nach Absatz 1 durch die Einwilligung der betroffenen Person nicht aufgehoben werden, oder

aa)  die Verarbeitung ist erforderlich für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder für die Durchführung vorvertraglicher Maßnahmen, die auf Verlangen der betroffenen Person erfolgt;

b)  die Verarbeitung ist erforderlich, damit der für die Verarbeitung Verantwortliche seine ihm aus dem Arbeitsrecht erwachsenden Rechte ausüben und seinen arbeitsrechtlichen Pflichten nachkommen kann, soweit dies nach den Vorschriften der Union oder dem Recht der Mitgliedstaaten, das oder Kollektivvereinbarungen, die angemessene Garantien der Grundrechte und Interessen der betroffenen Person, wie etwa des Rechts auf Nichtdiskriminierung, vorbehaltlich der Bedingungen und Garantien des Artikels 82, vorsehen muss, zulässig ist, oder

c)  die Verarbeitung ist zum Schutz lebenswichtiger Interessen der betroffenen oder einer anderen Person erforderlich und die betroffene Person ist aus physischen oder rechtlichen Gründen außerstande, ihre Einwilligung zu geben, oder

d)  die Verarbeitung erfolgt auf der Grundlage angemessener Garantien durch eine politisch, philosophisch, religiös oder gewerkschaftlich ausgerichtete Stiftung, Vereinigung oder sonstige Organisation ohne Erwerbszweck im Rahmen ihrer rechtmäßigen Tätigkeiten und unter der Voraussetzung, dass sich die Verarbeitung nur auf die Mitglieder oder ehemalige Mitglieder der Organisation oder auf Personen, die im Zusammenhang mit deren Tätigkeitszweck regelmäßige Kontakte mit ihr unterhalten, bezieht und die Daten nicht ohne Einwilligung der betroffenen Personen nach außen weitergegeben werden, oder

e)  die Verarbeitung bezieht sich auf personenbezogene Daten, die die betroffene Person offenkundig öffentlich gemacht hat, oder

f)  die Verarbeitung ist zur Begründung, Geltendmachung oder Abwehr von Rechtsansprüchen erforderlich oder

g)  die Verarbeitung ist erforderlich, um auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene Garantien zur Wahrung der berechtigten Grundrechte und Interessen der betroffenen Person vorsieht, eine im öffentlichen Interesse liegende Aufgabe zu erfüllen, an der ein hohes öffentliches Interesse besteht; oder

h)  die Verarbeitung betrifft Gesundheitsdaten und ist vorbehaltlich der Bedingungen und Garantien des Artikels 81 für Gesundheitszwecke erforderlich oder

i)  die Verarbeitung ist vorbehaltlich der Bedingungen und Garantien des Artikels 83 für historische oder statistische Zwecke oder zum Zwecke der wissenschaftlichen Forschung erforderlich oder

ia)  die Verarbeitung ist – vorbehaltlich der in Artikel 83a genannten Bedingungen und Garantien – für Archivdienste erforderlich, oder

j)  die Verarbeitung von Daten über Strafurteile verwaltungsrechtliche Sanktionen, Urteile, Straftaten, Verurteilungen oder damit zusammenhängende Sicherungsmaßregeln erfolgt entweder unter behördlicher Aufsicht oder aufgrund einer gesetzlichen oder rechtlichen Verpflichtung, der der für die Verarbeitung Verantwortliche unterliegt, oder zur Erfüllung einer Aufgabe, der ein wichtiges öffentliches Interesse zugrunde liegt, soweit dies nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, das angemessene Garantien für die Grundrechte und die Interessen der betroffenen Person vorsehen muss, zulässig ist. Ein vollständiges Strafregister darf dürfen nur unter behördlicher Aufsicht geführt werden.

(3)  Die Kommission Der Europäische Datenschutzausschuss wird ermächtigt, delegierte Rechtsakte nach Maßgabe von Artikel 86 zu erlassen, um die Modalitäten sowie angemessene Garantien beauftragt, Leitlinien, Empfehlungen und bewährte Praktiken für die Verarbeitung der in Absatz 1 genannten besonderen Kategorien von personenbezogenen Daten und die in Absatz 2 genannten Ausnahmen nach Maßgabe von Artikel 66 näher zu regeln. [Abänd. 103]

Artikel 10

Verarbeitung, ohne dass die betroffene Person bestimmt werden kann

(1)  Kann der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter anhand der von ihm verarbeiteten Daten eine natürliche Person nicht weder direkt noch indirekt bestimmen, oder bestehen die von ihm verarbeiteten Daten nur aus pseudonymisierten Daten, so ist er es ihm nicht verpflichtetgestattet, zur bloßen Einhaltung einer Vorschrift dieser Verordnung zusätzliche Daten zu verarbeiten oder einzuholen, um die betroffene Person zu bestimmen.

(2)  Kann der für die Verarbeitung Verantwortliche eine Vorschrift dieser Verordnung wegen Absatz 1 nicht einhalten, ist er nicht verpflichtet, die konkrete Vorschrift dieser Verordnung einzuhalten. Kann infolgedessen der für die Verarbeitung Verantwortliche dem Verlangen einer betroffenen Person nicht entsprechen, informiert er die betroffene Person dementsprechend. [Abänd. 104]

Artikel 10a

Allgemeine Grundsätze für die Rechte der betroffenen Person

(1)  Grundlage des Datenschutzes bilden klare und eindeutige Rechte der betroffenen Person, die von dem für die Verarbeitung Verantwortlichen zu achten sind. Mit dieser Verordnung sollen diese Rechte gestärkt, geklärt, gewährleistet und erforderlichenfalls kodifiziert werden.

(2)  Zu diesen Rechten gehören unter anderem die Bereitstellung klarer und leicht verständlicher Informationen über die Verarbeitung der personenbezogenen Daten der betroffenen Person, das Recht auf Zugang, Berichtigung und Löschung ihrer Daten, das Recht auf Herausgabe von Daten, das Recht, dem Profiling zu widersprechen, das Recht auf Beschwerde bei der zuständigen Aufsichtsbehörde und Klageerhebung sowie das Recht auf Ersatz des Schadens, der durch eine rechtswidrige Verarbeitung entsteht. Die Ausübung dieser Rechte darf grundsätzlich mit keinen Kosten verbunden sein. Der für die Verarbeitung Verantwortliche hat die Anträge der betroffenen Personen innerhalb einer angemessenen Frist zu bearbeiten. [Abänd. 105]

KAPITEL III

RECHTE DER BETROFFENEN PERSON

ABSCHNITT 1

TRANSPARENZ UND MODALITÄTEN

Artikel 11

Transparente Information und Kommunikation

(1)  Der für die Verarbeitung Verantwortliche verfolgt in Bezug auf die Verarbeitung personenbezogener Daten und die Ausübung der den betroffenen Personen zustehenden Rechte eine prägnante, nachvollziehbare, klare und für jedermann leicht zugängliche Strategie.

(2)  Der für die Verarbeitung Verantwortliche stellt der betroffenen Person alle Informationen und Mitteilungen zur Verarbeitung personenbezogener Daten in verständlicher Form unter Verwendung einer klaren, und einfachen und adressatengerechten Sprache zur Verfügung, besonders dann, wenn die Information an ein Kind gerichtet ist. [Abänd. 106]

Artikel 12

Verfahren und Vorkehrungen, damit die betroffene Person ihre Rechte ausüben kann

(1)  Der für die Verarbeitung Verantwortliche legt fest, mittels welcher Verfahren er die Informationen gemäß Artikel 14 bereitstellt und den betroffenen Personen die Ausübung der ihnen gemäß Artikel 13 sowie den Artikeln 15 bis 19 zustehenden Rechte ermöglicht. Er trifft insbesondere Vorkehrungen, um die Beantragung der in Artikel 13 sowie in den Artikeln 15 bis 19 genannten Maßnahmen zu erleichtern. Im Falle der automatischen Verarbeitung personenbezogener Daten sorgt der für die Verarbeitung Verantwortliche dafür, dass die Maßnahme nach Möglichkeit elektronisch beantragt werden kann.

(2)  Der für die Verarbeitung Verantwortliche kommt seiner Informationspflicht gegenüber der betroffenen Person umgehend unverzüglich nach und teilt ihr spätestens innerhalb eines Monats von 40 Kalendertagen nach Eingang eines Antrags mit, ob eine Maßnahme nach Artikel 13 oder den Artikeln 15 bis 19 ergriffen wurde, und erteilt die erbetene Auskunft. Diese Frist kann um einen Monat verlängert werden, wenn mehrere betroffene Personen von ihren Rechten Gebrauch machen und ihre Zusammenarbeit bis zu einem vertretbaren Maß notwendig ist, um einen unnötigen und unverhältnismäßig hohen Aufwand seitens des für die Verarbeitung Verantwortlichen zu vermeiden. Die Unterrichtung hat schriftlich zu erfolgen und der für die Verarbeitung Verantwortliche kann, soweit durchführbar, Fernzugriff zu einem sicheren System bereitstellen, der der betroffenen Person direkten Zugang zu ihren personenbezogenen Daten ermöglichen würde. Stellt die betroffene Person den Antrag in elektronischer Form, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.

(3)  Weigert sich Wird der für die Verarbeitung Verantwortliche, auf entgegen dem Antrag der betroffenen Person nicht tätig zu werden, so unterrichtet er die betroffene Person über die Gründe für die Weigerung Untätigkeit und über die Möglichkeit, bei der Aufsichtsbehörde Beschwerde einzulegen oder den Rechtsweg zu beschreiten.

(4)  Die Unterrichtung und die auf Antrag ergriffenen Maßnahmen gemäß Absatz 1 sind kostenlos. Bei offenkundig unverhältnismäßigen Anträgen und besonders im Fall ihrer Häufung kann der für die Verarbeitung Verantwortliche ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Durchführung der beantragten Maßnahme verlangen oder die beantragte Maßnahme unterlassenberücksichtigt werden. In diesem Fall trägt der für die Verarbeitung Verantwortliche die Beweislast für den offenkundig unverhältnismäßigen Charakter die offenkundige Unverhältnismäßigkeit des Antrags.

(5)  Die Kommission wird ermächtigt, delegierte Rechtsakte nach Maßgabe von Artikel 86 zu erlassen, um die Kriterien und Voraussetzungen für offenkundig unverhältnismäßige Anträge sowie die in Absatz 4 genannten Entgelte näher zu regeln.

(6)  Die Kommission kann Standardvorlagen und Standardverfahren für die Mitteilungen gemäß Absatz 2, auch für solche in elektronischer Form, festlegen. Dabei ergreift die Kommission geeignete Maßnahmen für Kleinst- und Kleinunternehmen sowie mittlere Unternehmen. Die entsprechenden Durchführungsrechtsakte werden in Übereinstimmung mit dem Prüfverfahren gemäß Artikel 87 Absatz 2 erlassen. [Abänd. 107]

Artikel 13

Rechte gegenüber EmpfängernBenachrichtigungspflicht bei Berichtigungen und Löschungen

Der für die Verarbeitung Verantwortliche teilt allen Empfängern, an die Daten weitergegeben wurden, jede Berichtigung oder Löschung, die aufgrund von Artikel 16 beziehungsweise 17 vorgenommen wird, mit, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden. Der für die Verarbeitung Verantwortliche unterrichtet die betroffene Person über diese Empfänger, wenn die betroffene Person dies verlangt. [Abänd. 108]

Artikel 13a

Standardisierte Informationsmaßnahmen

(1)  Einer Person, von der personenbezogene Daten erhoben werden, teilt der für die Verarbeitung Verantwortliche vor der Bereitstellung der Informationen gemäß Artikel 14 mit,

a)  ob mehr personenbezogene Daten erhoben werden, als für den jeweiligen Zweck der Verarbeitung erforderlich;

b)  ob mehr personenbezogene Daten gespeichert werden, als für den jeweiligen Zweck der Verarbeitung erforderlich;

c)  ob personenbezogene Daten zu anderen als den Zwecken verarbeitet werden, für die sie erhoben wurden;

d)  ob personenbezogene Daten an gewerbliche Dritte weitergegeben werden;

e)  ob personenbezogene Daten verkauft oder gegen Entgelt überlassen werden;

f)  ob personenbezogene Daten verschlüsselt gespeichert werden.

(2)  Die in Absatz 1 genannten Hinweise sind nach Maßgabe des Anhangs dieser Verordnung in Tabellenform geordnet mit Text und Symbolen wie folgt in drei Spalten aufzuführen:

a)  In der ersten Spalte werden Piktogramme dargestellt, die diese Hinweise symbolisieren.

b)  Die zweite Spalte enthält wesentliche Informationen, mit denen diese Hinweise erläutert werden.

c)  In der dritten Spalte werden Piktogramme dargestellt, mit denen angezeigt wird, ob der betreffende Hinweis zutreffend ist oder nicht.

(3)  Die in den Absätzen 1 und 2 genannten Informationen sind in einer leicht erkennbaren und gut lesbaren Weise darzustellen und in einer Sprache abzufassen, die für die Verbraucher in den Mitgliedstaaten, an die sich die Informationen richten, leicht verständlich ist. Werden die Einzelheiten in elektronischer Form wiedergegeben, müssen sie maschinenlesbar sein.

(4)  Zusätzliche Einzelheiten dürfen nicht aufgeführt werden. Ausführliche Erklärungen oder weitere Anmerkungen zu den Hinweisen nach Absatz 1 können zusammen mit den Informationen nach Artikel 14 bereitgestellt werden.

(5)  Der Kommission wird die Befugnis übertragen, nach Einholung einer Stellungnahme des Europäischen Datenschutzausschusses delegierte Rechtsakte nach Maßgabe von Artikel 86 zu erlassen, um die Hinweise nach Absatz 1 und ihre Darstellung gemäß Absatz 2 und dem Anhang dieser Verordnung genauer festzulegen. [Abänd. 109]

ABSCHNITT 2

INFORMATIONSPFLICHT UND AUSKUNFTSRECHT

Artikel 14

Information Unterrichtung der betroffenen Person

(1)  Einer Person, von der personenbezogene Daten erhoben werden, teilt der für die Verarbeitung Verantwortliche, nach der Bereitstellung der Hinweise gemäß Artikel 13a, zumindest Folgendes mit:

a)  den Namen und die Kontaktdaten des für die Verarbeitung Verantwortlichen sowie gegebenenfalls seines Vertreters und des Datenschutzbeauftragten,

b)  die Zwecke, für die Daten verarbeitet werden, und Informationen über die Sicherheit in Bezug auf die Verarbeitung personenbezogener Daten, einschließlich der Geschäfts- und allgemeinen Vertragsbedingungen, falls sich die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe b gründet, beziehungsweise die von dem für die Verarbeitung Verantwortlichen verfolgten berechtigten Interessen, wenn die Verarbeitung auf und gegebenenfalls Informationen über die Umsetzung und Erfüllung der Anforderungen gemäß Artikel 6 Absatz 1 Buchstabe f beruht,

c)  die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer,,

d)  das Bestehen eines Rechts auf Auskunft sowie Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten durch den für die Verarbeitung Verantwortlichen beziehungsweise eines Widerspruchsrechts gegen die Verarbeitung dieser Daten und eines Rechts auf Herausgabe der Daten,

e)  das Bestehen eines Beschwerderechts bei der Aufsichtsbehörde sowie deren Kontaktdaten,

f)  die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten,

g)  gegebenenfalls die Absicht des für die Verarbeitung Verantwortlichen, die Daten an ein Drittland oder eine internationale Organisation zu übermitteln, sowie das dort geltende Datenschutzniveau unter Bezugnahme auf einen Angemessenheitsbeschluss Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle der in Artikel 42 oder Artikel 43 erwähnten Übermittlungen einen Verweis auf die entsprechenden Garantien und die Möglichkeit, eine Kopie von ihnen zu erhalten,

ga)  gegebenenfalls Angaben über das Vorhandensein eines Profilings, auf Profiling gestützte Maßnahmen und die beabsichtigten Auswirkungen des Profilings auf die betroffene Person;

gb)  aussagekräftige Informationen über die Logik einer automatisierten Datenverarbeitung;

h)  sonstige Informationen, die unter Berücksichtigung der besonderen Umstände, unter denen die personenbezogenen Daten erhoben oder verarbeitet werden, notwendig sind, um gegenüber der betroffenen Person eine Verarbeitung nach Treu und Glauben zu gewährleisten, insbesondere das Vorliegen bestimmter Verarbeitungsaktivitäten oder Verarbeitungsvorgänge, für die in Datenschutz-Folgenabschätzungen ein mögliches hohes Risiko festgestellt wurde,.

ha)  gegebenenfalls Angaben dazu, ob im letzten zusammenhängenden Zwölfmonatszeitraum personenbezogene Daten an Behörden vorgelegt wurden.

(2)  Werden die personenbezogenen Daten bei der betroffenen Person erhoben, teilt der für die Verarbeitung Verantwortliche dieser Person neben den in Absatz 1 genannten Informationen außerdem mit, ob die Bereitstellung der Daten obligatorisch oder fakultativ ist und welche mögliche Folgen die Verweigerung der Daten hätte.

(2a)  Bei der Entscheidung über weitere Informationen, die notwendig sind, damit die Verarbeitung gemäß Absatz 1 Buchstabe h nach Treu und Glauben erfolgt, berücksichtigen die für die Verarbeitung Verantwortlichen die einschlägigen Leitlinien gemäß Artikel 34.

(3)  Werden die personenbezogenen Daten nicht bei der betroffenen Person erhoben, teilt der für die Verarbeitung Verantwortliche dieser Person neben den in Absatz 1 genannten Informationen außerdem die Herkunft der spezifischen personenbezogenen Daten mit. Stammen die personenbezogenen Daten aus öffentlich zugänglichen Quellen, kann eine allgemeine Angabe erfolgen.

(4)  Der für die Verarbeitung Verantwortliche erteilt die Informationen gemäß den Absätzen 1, 2 und 3

a)  zum Zeitpunkt der Erhebung der personenbezogenen Daten bei der betroffenen Person oder unverzüglich, wenn Ersteres nicht möglich ist; oder

aa)  auf Antrag einer Einrichtung, einer Organisation oder eines Verbands gemäß Artikel 73;

b)  falls die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, zum Zeitpunkt ihrer Erfassung oder innerhalb einer angemessenen Frist nach ihrer Erhebung, die den besonderen Umständen, unter denen die Daten erhoben oder auf sonstige Weise verarbeitet wurden, Rechnung trägt, oder, falls die Weitergabe an einen Empfänger beabsichtigt ist, spätestens zum Zeitpunkt der ersten Weitergabe, oder, wenn die Daten für die Kommunikation mit der betroffenen Person verwendet werden sollen, spätestens zum Zeitpunkt der ersten Kommunikation mit dieser Person; oder

ba)  nur auf Antrag, wenn die Daten von kleinen oder Kleinstunternehmen, die die personenbezogenen Daten nur als Nebentätigkeit verarbeiten, verarbeitet werden.

(5)  Die Absätze 1 bis 4 finden in folgenden Fällen keine Anwendung:

a)  Die betroffene Person verfügt bereits über die Informationen gemäß den Absätzen 1, 2 und 3 oder

b)  die Daten werden vorbehaltlich der in Artikel 81 oder Artikel 83 genannten Bedingungen und Garantien für historische, statistische oder wissenschaftliche Forschungszwecke verarbeitet, und werden nicht bei der betroffenen Person erhoben und die Unterrichtung erweist sich als unmöglich oder ist mit einem unverhältnismäßig hohen Aufwand verbunden und der für die Verarbeitung Verantwortliche hat die Informationen so veröffentlicht, dass sie von jedermann abgefragt werden können, oder

c)  die Daten werden nicht bei der betroffenen Person erhoben und die Erfassung oder Weitergabe ist ausdrücklich per in einem Gesetz geregelt, dem der für die Verarbeitung Verantwortliche unterliegt und das unter Berücksichtigung der aufgrund der Verarbeitung und der Art der personenbezogenen Daten bestehenden Risiken angemessene Maßnahmen zur Wahrung der berechtigten Interessen der betroffenen Person vorsieht, oder

d)  die Daten werden nicht bei der betroffenen Person erhoben und die Bereitstellung der Informationen greift nach Maßgabe des Unionsrechts oder des Rechts der Mitgliedstaaten gemäß Artikel 21 in die Rechte und Freiheiten anderer Personen ein.

da)  die Daten werden von einer Person, die nach dem Recht eines Mitgliedstaats oder dem Unionsrecht einem Berufsgeheimnis oder einer gesetzlichen Geheimhaltungspflicht unterliegt, in Ausübung ihrer beruflichen Tätigkeit verarbeitet, ihr anvertraut oder bekannt, es sei denn, die Daten werden unmittelbar bei der betroffenen Person erhoben.

(6)  Im Fall des Absatzes 5 Buchstabe b ergreift der für die Verarbeitung Verantwortliche geeignete Maßnahmen zum Schutz der Rechte oder berechtigten Interessen der betroffenen Person.

(7)  Die Kommission wird ermächtigt, delegierte Rechtsakte nach Maßgabe von Artikel 86 zu erlassen, um Einzelheiten zu den Kategorien von Empfängern gemäß Absatz 1 Buchstabe f, den Anforderungen an Informationen gemäß Absatz 1 Buchstabe g, den Kriterien für die Erteilung sonstiger Informationen im Sinne von Absatz 1 Buchstabe h für verschiedene Bereiche und Verarbeitungssituationen und zu den Bedingungen und geeigneten Garantien im Hinblick auf die Ausnahmen gemäß Absatz 5 Buchstabe b zu regeln. Dabei ergreift die Kommission geeignete Maßnahmen für Kleinst und Kleinstunternehmen sowie mittlere Unternehmen.

(8)  Die Kommission kann Standardvorlagen für die Bereitstellung der Informationen gemäß den Absätzen 1 bis 3 festlegen, wobei sie gegebenenfalls die Besonderheiten und Bedürfnisse der verschiedenen Sektoren und Verarbeitungssituationen berücksichtigt. Die entsprechenden Durchführungsrechtsakte werden in Übereinstimmung mit dem Prüfverfahren gemäß Artikel 87 Absatz 2 erlassen. [Abänd. 110]

Artikel 15

Auskunftsrecht Recht der betroffenen Person auf Auskunft und auf Herausgabe der Daten

(1)  Die betroffene Person hat – vorbehaltlich des Artikels 12 Absatz 4 – das Recht, von dem für die Verarbeitung Verantwortlichen jederzeit eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden oder nicht, und folgende in einfacher und verständlicher Sprache abgefasste Informationen zu verlangen. Werden personenbezogene Daten verarbeitet, teilt der für die Verarbeitung Verantwortliche Folgendes mit:

a)  die Verarbeitungszweck efür jede Kategorie personenbezogener Daten,

b)  die Kategorien personenbezogener Daten, die verarbeitet werden,

c)  die Empfänger oder Kategorien von Empfängern, an die die personenbezogenen Daten weitergegeben werden müssen oder weitergegeben worden sind, speziell darunter auch bei Empfängern in Drittländern,

d)  die Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer,

e)  das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten durch den für die Verarbeitung Verantwortlichen beziehungsweise eines Widerspruchrechts gegen die Verarbeitung dieser Daten,

f)  das Bestehen eines Beschwerderechts bei der Aufsichtsbehörde sowie deren Kontaktdaten,

g)  diejenigen personenbezogenen Daten, die Gegenstand der Verarbeitung sind, sowie alle verfügbaren Informationen über die Herkunft der Daten,

h)  die Tragweite der Verarbeitung und die mit ihr angestrebten Auswirkungen, zumindest im Fall der Maßnahmen gemäß Artikel 20Wirkungen.

ha)  aussagekräftige Informationen über die Logik einer automatisierten Datenverarbeitung;

hb)  im Falle der Weitergabe personenbezogener Daten an eine Behörde infolge eines Antrags einer Behörde, die Bestätigung, dass solch ein Antrag gestellt wurde, wobei Artikel 21 unberührt bleibt.

(2)  Die betroffene Person hat Anspruch darauf, dass ihr von dem für die Verarbeitung Verantwortlichen mitgeteilt wird, welche personenbezogenen Daten verarbeitet werden. Stellt die betroffene Person den Antrag in elektronischer Form, ist sie auf elektronischem Weg in einem strukturierten elektronischen Format zu unterrichten, sofern sie nichts anderes angibt. Unbeschadet des Artikels 10 ergreift der für die Verarbeitung Verantwortliche alle zumutbaren Maßnahmen, um zu überprüfen, ob die Person, die Zugang zu Daten beantragt, die betroffene Person ist.

(2a)  Hat die betroffene Person die personenbezogenen Daten zur Verfügung gestellt und werden diese elektronisch verarbeitet, hat sie das Recht, von dem für die Verarbeitung Verantwortlichen eine Kopie der zur Verfügung gestellten personenbezogenen Daten in einem interoperablen gängigen elektronischen Format zu verlangen, das sie weiter verwenden kann, ohne dabei von dem für die Verarbeitung Verantwortlichen, von dem die personenbezogenen Daten herausgegeben werden, behindert zu werden. Soweit technisch machbar und verfügbar, werden die Daten auf Verlangen der betroffenen Person unmittelbar von dem für die Verarbeitung Verantwortlichen an einen anderen für die Verarbeitung Verantwortlichen übermittelt.

(2b)  Dieser Artikel gilt unbeschadet der Verpflichtung, nicht mehr benötigte Daten gemäß Artikel 5 Absatz 1 Buchstabe e zu löschen.

(2c)  Das Recht auf Auskunft nach Absatz 1 und 2 besteht nicht in Bezug auf Daten im Sinne von Artikel 14 Absatz 5 Buchstabe da, es sei denn, die betroffene Person ist befugt, die Geheimhaltung aufzuheben und handelt dementsprechend.

(3)  Die Kommission wird ermächtigt, delegierte Rechtsakte nach Maßgabe von Artikel 86 zu erlassen, um Einzelheiten zu den Kriterien und Anforderungen in Bezug auf die Mitteilung über den Inhalt der personenbezogenen Daten gemäß Absatz 1 Buchstabe g an die betroffene Person festzulegen.

(4)  Die Kommission kann Standardvorlagen und -verfahren für Auskunftsgesuche und die Erteilung der Auskünfte gemäß Absatz 1 festlegen, darunter auch für die Überprüfung der Identität der betroffenen Person und die Mitteilung der personenbezogenen Daten an die betroffene Person, wobei sie gegebenenfalls die Besonderheiten und Bedürfnisse der verschiedenen Sektoren und Verarbeitungssituationen berücksichtigt. Die entsprechenden Durchführungsrechtsakte werden in Übereinstimmung mit dem Prüfverfahren gemäß Artikel 87 Absatz 2 erlassen. [Abänd. 111]

ABSCHNITT 3

BERICHTIGUNG UND LÖSCHUNG

Artikel 16

Recht auf Berichtigung

Die betroffene Person hat das Recht, von dem für die Verarbeitung Verantwortlichen die Berichtigung von unzutreffenden personenbezogenen Daten zu verlangen. Die betroffene Person hat das Recht, die Vervollständigung unvollständiger personenbezogener Daten, auch in Form eines Korrigendums, zu verlangen.

Artikel 17

Recht auf Vergessenwerden und auf Löschung

(1)  Die betroffene Person hat das Recht, von dem für die Verarbeitung Verantwortlichen die Löschung von sie betreffenden personenbezogenen Daten und die Unterlassung jeglicher weiteren Verbreitung dieser Daten sowie von Dritten die Löschung aller Querverweise auf diese personenbezogenen Daten bzw. aller Kopien und Replikationen davon zu verlangen, speziell wenn es sich um personenbezogene Daten handelt, die die betroffene Person im Kindesalter öffentlich gemacht hat, sofern einer der folgenden Gründe zutrifft:

a)  Die Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.

b)  Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe a stützte, oder die Speicherfrist, für die die Einwilligung gegeben wurde, ist abgelaufen und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung der Daten.

c)  Die betroffene Person legt gemäß Artikel 19 Widerspruch gegen die Verarbeitung ein.

ca)  Ein Gericht oder eine Regulierungsbehörde innerhalb der Union hat rechtskräftig entschieden, dass die betreffenden Daten gelöscht werden müssen.

d)  Die Verarbeitung der Daten ist aus anderen Gründen nicht mit der Verordnung vereinbar.wurden unrechtmäßig verarbeitet.

(1a)  Absatz 1 kommt nur zur Anwendung, wenn der für die Verarbeitung Verantwortliche in der Lage ist, zu überprüfen, ob die Person, die die Löschung beantragt, die betroffene Person ist.

(2)  Hat der in Absatz 1 genannte für die Verarbeitung Verantwortliche die personenbezogenen Daten ohne Vorliegen eines Rechtfertigungsgrunds nach Artikel 6 Absatz 1 öffentlich gemacht, unternimmt er in Bezug auf so hat er unbeschadet des Artikels 77 alle zumutbaren Maßnahmen zu ergreifen, um die Daten, für deren Veröffentlichung er verantwortlich zeichnet, alle vertretbaren Schritte, auch technischer Art, um Dritte, die die Daten verarbeiten, darüber zu informieren, dass eine betroffene Person von ihnen die Löschung aller Querverweise auf diese personenbezogenen Daten oder von Kopien oder Replikationen dieser Daten verlangt. Hat zu löschen und bei Dritten löschen zu lassen. Der für die Verarbeitung Verantwortliche einem unterrichtet die betroffene Person, soweit möglich, über die von betroffenen Dritten die Veröffentlichung personenbezogener Daten gestattet, liegt die Verantwortung dafür bei dem für die Verarbeitung Verantwortlichenergriffenen Maßnahmen.

(3)  Der für die Verarbeitung Verantwortliche sorgt und gegebenenfalls der Dritte sorgen für eine umgehende Löschung der personenbezogenen Daten, soweit deren Speicherung nicht erforderlich ist

a)  zur Ausübung des Rechts auf freie Meinungsäußerung gemäß Artikel 80;

b)  aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit gemäß Artikel 81;

c)  für historische und statistische Zwecke oder zum Zwecke der wissenschaftlichen Forschung gemäß Artikel 83;

d)  zur Erfüllung einer gesetzlichen Pflicht zur Vorhaltung der personenbezogenen Daten, der der für die Verarbeitung Verantwortliche nach dem Unionsrecht oder dem Recht eines Mitgliedstaats unterliegt, wobei das mitgliedstaatliche Recht ein im öffentlichen Interesse liegendes Ziel verfolgen, den Wesensgehalt des Rechts auf den Schutz personenbezogener Daten wahren und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen muss;

e)  in den in Absatz 4 genannten Fällen.

(4)  Anstatt die personenbezogenen Daten zu löschen, kann der für die Verarbeitung Verantwortliche deren Verarbeitung in einer Art und Weise, die nicht den gewöhnlichen Datenzugangs- und Verarbeitungsoperationen unterliegt und die nicht mehr geändert werden kann, beschränken, wenn

a)  ihre Richtigkeit von der betroffenen Person bestritten wird, und zwar für eine Dauer, die es dem für die Verarbeitung Verantwortlichen ermöglicht, die Richtigkeit zu überprüfen;

b)  der für die Verarbeitung Verantwortliche die personenbezogenen Daten für die Erfüllung seiner Aufgabe nicht länger benötigt, sie aber für Beweiszwecke weiter aufbewahrt werden müssen;

c)  die Verarbeitung unrechtmäßig ist, die betroffene Person aber Einspruch gegen ihre Löschung erhebt und stattdessen deren eingeschränkte Nutzung fordert;

ca)  ein Gericht oder eine Regulierungsbehörde innerhalb der Union rechtskräftig entschieden hat, dass die betreffende Verarbeitung beschränkt sein muss;

d)  die betroffene Person gemäß Artikel 18 Absatz 2 Artikel 15 Absatz 2a die Übertragung der personenbezogenen Daten auf ein anderes automatisiertes Verarbeitungssystem fordert.

da)  die spezifische Art der Speichertechnologie keine Löschung ermöglicht und vor Inkrafttreten dieser Verordnung installiert wurde.

(5)  Die in Absatz 4 genannten personenbezogenen Daten dürfen mit Ausnahme ihrer Speicherung nur verarbeitet werden, wenn sie für Beweiszwecke erforderlich sind, wenn die betroffene Person ihre Einwilligung gegeben hat oder die Rechte einer anderen natürlichen oder juristischen Person geschützt werden müssen oder wenn dies im öffentlichen Interesse liegt.

(6)  Unterliegt die Verarbeitung personenbezogener Daten gemäß Absatz 4 einer Beschränkung, teilt der für die Verarbeitung Verantwortliche der betroffenen Person im Voraus mit, dass die Beschränkung aufgehoben werden soll.

(7)  Der für die Verarbeitung Verantwortliche trifft Vorkehrungen, um sicherzustellen, dass die Fristen für die Löschung personenbezogener Daten und/oder die regelmäßige Überprüfung der Notwendigkeit ihrer Speicherung eingehalten werden.

(8)  Wird eine Löschung vorgenommen, darf der für die Verarbeitung Verantwortliche die personenbezogenen Daten nicht auf sonstige Weise verarbeiten.

(8a)  Der für die Verarbeitung Verantwortliche trifft Vorkehrungen, um sicherzustellen, dass die Fristen für die Löschung personenbezogener Daten und/oder die regelmäßige Überprüfung der Notwendigkeit ihrer Speicherung eingehalten werden.

(9)  DieDer Kommission wird ermächtigtdie Befugnis übertragen, nach Einholung einer Stellungnahme des Europäischen Datenschutzausschusses, delegierte Rechtsakte nach Maßgabe von Artikel 86 zu erlassen, um Einzelheiten festzulegen in Bezug auf

a)  die Kriterien und Anforderungen im Hinblick auf die Anwendung von Absatz 1 für bestimmte Bereiche und spezielle Verarbeitungssituationen,

b)  die Bedingungen für die Löschung gemäß Absatz 2 von Internet-Links, Kopien oder Replikationen von personenbezogenen Daten aus öffentlich zugänglichen Kommunikationsdiensten,

c)  die Kriterien und Bedingungen für die Beschränkung der Verarbeitung personenbezogener Daten gemäß Absatz 4. [Abänd. 112]

Artikel 18

Recht auf Datenübertragbarkeit

(1)  Werden personenbezogene Daten elektronisch in einem strukturierten gängigen elektronischen Format verarbeitet, hat die betroffene Person das Recht, von dem für die Verarbeitung Verantwortlichen eine Kopie der verarbeiteten Daten in einem von ihr weiter verwendbaren strukturierten gängigen elektronischen Format zu verlangen.

(2)  Hat die betroffene Person die personenbezogenen Daten zur Verfügung gestellt und basiert die Verarbeitung auf einer Einwilligung oder einem Vertrag, hat die betroffene Person das Recht, diese personenbezogenen Daten sowie etwaige sonstige von ihr zur Verfügung gestellte Informationen, die in einem automatisierten Verarbeitungssystem gespeichert sind, in einem gängigen elektronischen Format in ein anderes System zu überführen, ohne dabei von dem für die Verarbeitung Verantwortlichen, dem die personenbezogenen Daten entzogen werden, behindert zu werden.

(3)  Die Kommission kann das elektronische Format gemäß Absatz 1 festlegen sowie die technischen Standards, Modalitäten und Verfahren für die Überführung der personenbezogenen Daten gemäß Absatz 2. Die entsprechenden Durchführungsrechtsakte werden in Übereinstimmung mit dem Prüfverfahren gemäß Artikel 87 Absatz 2 erlassen. [Abänd. 113]

ABSCHNITT 4

WIDERSPRUCHSRECHT UND PROFILING

Artikel 19

Widerspruchsrecht

(1)  Die betroffene Person hat das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung personenbezogener Daten, die aufgrund von Artikel 6 Absatz 1 Buchstaben d, und e und f erfolgt, Widerspruch einzulegen, sofern der für die Verarbeitung Verantwortliche nicht zwingende schutzwürdige Gründe für die Verarbeitung nachweisen kann, die die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen.

(2)  Werden personenbezogene Wird die Verarbeitung personenbezogener Daten verarbeitet, um Direktwerbung zu betreiben, auf Artikel 6 Absatz 1 Buchstabe f gestützt hat die betroffene Person jederzeit und ohne weitere Begründung das Recht, dagegen im Allgemeinen oder für jeden spezifischen Zweck unentgeltlich Widerspruch einzulegen. Die betroffene Person muss ausdrücklich in einer verständlichen und von anderen Informationen klar abgegrenzten Form auf dieses Recht hingewiesen werden.

(2a)  Die betroffene Person muss ausdrücklich in einer verständlichen Weise und Form unter Verwendung einer klaren und einfachen Sprache, insbesondere bei eigens an Kinder gerichteten Informationen, auf das Recht gemäß Absatz 2 hingewiesen werden, wobei sich dieser Hinweis von anderen Informationen deutlich unterscheiden muss.

(2b)  Im Zusammenhang mit der Verwendung von Diensten der Informationsgesellschaft und unbeschadet der Richtlinie 2002/58/EG kann das Widerspruchsrecht mit Hilfe automatisierter Verfahren ausgeübt werden, die einen technischen Standard verwenden, der den betroffenen Personen ermöglicht, ihre Wünsche eindeutig auszudrücken.

(3)  Im Falle eines Widerspruchs gemäß den Absätzen 1 und 2 darf der für die Verarbeitung Verantwortliche die betreffenden personenbezogenen Daten für die im Widerspruch genannten Zwecke nicht weiter nutzen oder anderweitig verarbeiten. [Abänd. 114]

Artikel 20

Auf Profiling basierende Maßnahmen

(1)  Eine Unbeschadet der Bestimmungen des Artikels 6 hat jede natürliche Person hat das Recht, nicht einer auf einer rein automatisierten Verarbeitung von Daten basierenden Maßnahme unterworfen zu werden, die ihr gegenüber rechtliche Wirkungen entfaltet oder sie in maßgeblicher dem Profiling gemäß Artikel 19 zu widersprechen. Die betroffene Person ist über ihr Recht, dem Profiling zu widersprechen, in deutlich sichtbarer Weise beeinträchtigt und deren Zweck in der Auswertung bestimmter Merkmale ihrer Person oder in der Analyse beziehungsweise Voraussage etwa ihrer beruflichen Leistungsfähigkeit, ihrer wirtschaftlichen Situation, ihres Aufenthaltsorts, ihres Gesundheitszustands, ihrer persönlichen Vorlieben, ihrer Zuverlässigkeit oder ihres Verhaltens besteht.zu unterrichten.

(2)  Unbeschadet der sonstigen Bestimmungen dieser Verordnung darf eine Person einer Maßnahme nach Absatz 1 dem Profiling, das Maßnahmen zur Folge hat, durch die sich rechtliche Konsequenzen für die betroffene Person ergeben, oder die ähnlich erhebliche Auswirkungen auf die Interessen, Rechte oder Freiheiten der betroffenen Personen hat, nur unterworfen werden, wenn die Verarbeitung

a)  im Rahmen des Abschlusses für den Abschluss oder der die Erfüllung eines Vertrags erforderlich ist vorgenommen wird und der Abschluss oder die Erfüllung des Vertrags auf Wunsch der betroffenen Person erfolgt ist oder und geeignete Maßnahmen ergriffen wurden, um die berechtigten Interessen der betroffenen Person zu wahren, beispielsweise durch das Recht auf direkten persönlichen Kontakt, oder

b)  ausdrücklich aufgrund von Rechtsvorschriften der Union oder der Mitgliedstaaten gestattet ist und diese Rechtsvorschriften geeignete Maßnahmen zur Wahrung der berechtigten Interessen der betroffenen Person enthalten oder

c)  mit Einwilligung der betroffenen Person nach Maßgabe von Artikel 7 und vorbehaltlich entsprechender Garantien erfolgt.

(3)  Ein Profiling, das zur Folge hat, dass Menschen aufgrund von Rasse, ethnischer Herkunft, politischer Überzeugung, Religion oder Weltanschauung, Mitgliedschaft in einer Gewerkschaft, sexueller Orientierung oder Geschlechtsidentität diskriminiert werden, oder das zu Maßnahmen führt, die automatisierte eine solche Wirkung haben, ist untersagt. Der für die Verarbeitung personenbezogener Daten zum Zwecke der Auswertung bestimmter persönlicher Merkmale einer natürlichen Person Verantwortliche hat für einen wirksamen Schutz gegen mögliche Diskriminierung aufgrund von Profiling zu sorgen. Profiling darf sich nicht ausschließlich auf die in Artikel 9 genannten besonderen Kategorien personenbezogener Daten stützen.

(4)  In Fällen gemäß Absatz 2 müssen die von dem für die Verarbeitung Verantwortlichen gemäß Artikel 14 erteilten Auskünfte auch Angaben zu einer etwaigen Verarbeitung für die unter Absatz 1 beschriebenen Zwecke und die damit angestrebten Auswirkungen auf die betroffene Person beinhalten.

(5)  Profiling, das Maßnahmen zur Folge hat, durch die Kommission wird ermächtigt, delegierte Rechtsakte sich rechtliche Konsequenzen für die betroffene Person ergeben, oder die ähnlich erhebliche Auswirkungen auf die Interessen, Rechte oder Freiheiten der betroffenen Personen hat, darf sich nicht ausschließlich oder vorrangig auf automatisierte Verarbeitung stützen und muss eine persönliche Prüfung, einschließlich einer Erläuterung der nach Maßgabe von Artikel 86 zu erlassen, um die Kriterien und Bedingungen, die für geeignete einer solchen Prüfung getroffenen Entscheidung enthalten. Zu den geeigneten Maßnahmen zur Wahrung der berechtigten Interessen gemäß Absatz 2 gelten sollen, näher zu regeln.gehören das Recht auf persönliche Prüfung und die Erläuterung der nach einer solchen Prüfung getroffenen Entscheidung.

(5a)  Der Europäische Datenschutzausschuss wird beauftragt, Leitlinien, Empfehlungen und bewährte Praktiken in Bezug auf die weitere Festlegung der Kriterien und Bedingungen für das Profiling gemäß Absatz 2 nach Maßgabe von Artikel 66 Absatz 1 Buchstabe b zu veröffentlichen. [Abänd. 115]

ABSCHNITT 5

BESCHRÄNKUNGEN

Artikel 21

Beschränkungen

(1)  Die Union oder die Mitgliedstaaten können Rechtsvorschriften erlassen, die die Rechte und Pflichten gemäß Artikel 5 Buchstaben a bis e und den Artikeln 11 bis 20 bis 19 sowie gemäß Artikel 32 beschränken, sofern eine solche Beschränkung ein eindeutig festgelegtes im öffentlichen Interesse liegendes Ziel verfolgt, den Wesensgehalt des Rechts auf den Schutz personenbezogener Daten wahrt, in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck steht und die Grundrechte und Interessen der betroffenen Person achtet, sowie in einer demokratischen Gesellschaft notwendig und verhältnismäßig ist

a)  zum Schutz der öffentlichen Sicherheit

b)  zur Verhütung, Aufdeckung, Untersuchung und Verfolgung von Straftaten

c)  zum Schutz sonstiger öffentlicher Interessen der Union oder eines Mitgliedstaats, insbesondere eines wichtigen wirtschaftlichen oder finanziellen Interesses der Union oder eines Mitgliedstaats etwa im Währungs-, Haushalts- und Steuerbereich und zum Schutz der Marktstabilität und MarktintegritätSteuerfragen

d)  zur Verhütung, Aufdeckung, Untersuchung und Verfolgung von Verstößen gegen die berufsständischen Regeln reglementierter Berufe

e)  für Kontroll-, Überwachungs- und Ordnungsfunktionen, die dauernd oder zeitweise mit der Ausübung öffentlicher Gewalt im Rahmen der Tätigkeit einer zuständigen öffentlichen Behörde für die unter den Buchstaben a, b, c und d genannten Zwecke verbunden sind

f)  zum Schutz der betroffenen Person und der Rechte und Freiheiten anderer Personen.

(2)  Jede Legislativmaßnahme im Sinne des Absatzes 1 muss notwendig und verhältnismäßig in einer demokratischen Gesellschaft sein und spezifische Vorschriften enthalten, zumindest zu den mit der Verarbeitung verfolgten Zielen und zur Bestimmung des für die Verarbeitung Verantwortlichen enthalten.

a)  den mit der Verarbeitung verfolgten Zielen;

b)  der Bestimmung des für die Verarbeitung Verantwortlichen;

c)  den konkreten Zwecken und Mitteln der Verarbeitung;

d)  den Schutzvorkehrungen gegen Missbrauch oder unrechtmäßigem Zugang oder unrechtmäßiger Weitergabe;

e)  dem Recht betroffener Personen, über die Einschränkung informiert zu werden.

(2a)  Die in Absatz 1 genannten legislativen Maßnahmen dürfen private für die Verarbeitung Verantwortliche weder dazu ermächtigen noch dazu verpflichten, Daten zu speichern, die über das für das Erreichen des ursprünglichen Zwecks erforderliche Maß hinausgehen. [Abänd. 116]

KAPITEL IV

FÜR DIE VERARBEITUNG VERANTWORTLICHER UND AUFTRAGSVERARBEITER

ABSCHNITT 1

ALLGEMEINE PFLICHTEN

Artikel 22

Pflichten und Rechenschaftspflicht des für die Verarbeitung Verantwortlichen

(1)  Der für die Verarbeitung Verantwortliche stellt durch geeignete und nachweisbare technische und organisatorische Strategien und Maßnahmen sicher, dass personenbezogene Daten in Übereinstimmung mit dieser Verordnung verarbeitet werden und er in transparenter Weise den Nachweis dafür erbringen kann, dies erfolgt unter Berücksichtigung des Stands der Technik, der Art der Verarbeitung personenbezogener Daten, dem Zusammenhang, der Tragweite und der Zwecke der Verarbeitung, der Risiken für die Rechte und Freiheiten der betroffenen Personen sowie der Art der Organisation sowohl zum Zeitpunkt der Festlegung der Verarbeitungsmittel als auch zum Zeitpunkt der Verarbeitung selbst

(1a)  Der für die Verarbeitung Verantwortliche unternimmt unter Berücksichtigung des Stands der Technik und der Implementierungskosten alle angemessenen Schritte, um Maßnahmen und Verfahren zur Einhaltung umzusetzen, durch die die autonome Wahl betroffener Personen kontinuierlich respektiert wird. Diese Maßnahmen zur Einhaltung werden mindestens alle zwei Jahre überprüft und erforderlichenfalls aktualisiert.

(2)  Die in Absatz 1 genannten Maßnahmen umfassen insbesondere

a)  die Dokumentation nach Maßgabe von Artikel 28;

b)  die Umsetzung der in Artikel 30 vorgesehenen Vorkehrungen für die Datensicherheit;

c)  die Durchführung einer Datenschutz-Folgenabschätzung nach Artikel 33;

d)  die Umsetzung der nach Artikel 34 Abätze 1 und 2 geltenden Anforderungen in Bezug auf die vorherige Genehmigung oder Zurateziehung der Aufsichtsbehörde;

e)  die Benennung eines Datenschutzbeauftragten gemäß Artikel 35 Absatz 1.

(3)  Der für die Verarbeitung Verantwortliche setzt geeignete Verfahren zur Überprüfung muss in der Lage sein, die Angemessenheit und der Wirksamkeit der in den Absätzen 1 und 2 genannten Maßnahmen ein.nachzuweisen. Regelmäßige Berichte über die Überprüfung wird von unabhängigen internen oder externen Prüfern durchgeführt, wenn dies angemessen ist.Tätigkeiten des für die Verarbeitung Verantwortlichen, wie die obligatorischen Berichte von kapitalmarktorientierten Unternehmen beinhalten eine zusammenfassende Beschreibung der in Absatz 1 genannten Strategien und Maßnahmen.

(3a)  Der für die Verarbeitung Verantwortliche hat das Recht, personenbezogene Daten innerhalb einer Unternehmensgruppe in der Union, zu der der für die Verarbeitung Verantwortliche gehört, zu übermitteln, wenn die Verarbeitung für berechtigte interne administrative Zwecke von verbundenen Geschäftsbereichen in der Unternehmensgruppe erforderlich ist, und ein angemessenes Niveau des Datenschutzes sowie die Interessen der betroffenen Personen im Rahmen von internen Datenschutzbestimmungen oder gleichwertigen Verhaltensregeln im Sinne von Artikel 38 hinreichend berücksichtigt werden.

(4)  Die Kommission wird ermächtigt, delegierte Rechtsakte nach Maßgabe von Artikel 86 zu erlassen, um etwaige weitere, in Absatz 2 nicht genannte Kriterien und Anforderungen für die in Absatz 1 genannten Maßnahmen, die Bedingungen für die in Absatz 3 genannten Überprüfungs- und Auditverfahren und die Kriterien für die in Absatz 3 angesprochene Angemessenheitsprüfung festzulegen und spezifische Maßnahmen für Kleinst-, Klein- und mittlere Unternehmen zu prüfen. [Abänd. 117]

Artikel 23

Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen

(1)  Der für die Verarbeitung Verantwortliche und gegebenenfalls der Auftragsverarbeiter führt unter Berücksichtigung neuester technischer Errungenschaften, des Stands der Technik, bewährter internationaler Verfahren und den von der Implementierungskosten Verarbeitung ausgehenden Risiken sowohl zum Zeitpunkt der Festlegung der Zwecke und Verarbeitungsmittel als auch zum Zeitpunkt der Verarbeitung geeignete und verhältnismäßige technische und organisatorische Maßnahmen und Verfahren durch, durch die sichergestellt wird, dass die Verarbeitung den Anforderungen dieser Verordnung genügt und die Rechte der betroffenen Person gewahrt werden, insbesondere, was die in Artikel 5 aufgeführten Grundsätze betrifft. Beim Datenschutz durch Technik wird dem gesamten Lebenszyklusmanagement personenbezogener Daten von der Erhebung über die Verarbeitung bis zur Löschung besondere Aufmerksamkeit geschenkt und der Schwerpunkt systematisch auf umfassende Verfahrensgarantien hinsichtlich der Richtigkeit, Vertraulichkeit, Vollständigkeit, physischen Sicherheit und Löschung personenbezogener Daten gelegt. Hat der für die Verarbeitung Verantwortliche eine Datenschutzfolgenabschätzung gemäß Artikel 33 vorgenommen, werden die entsprechenden Ergebnisse bei der Entwicklung dieser Maßnahmen und Verfahren berücksichtigt.

(1a)  Zur Förderung einer breiten Umsetzung in verschiedenen Wirtschaftssektoren muss der Datenschutz durch Technik eine Voraussetzung für Angebote im Rahmen von Ausschreibungen gemäß der Richtlinie 2004/18/EG des Europäischen Parlaments und des Rates(18) sowie gemäß der Richtlinie 2004/17/EG des Europäischen Parlaments und des Rates(19) (Sektorenrichtlinie) sein.

(2)  Der für die Verarbeitung Verantwortliche setzt Verfahren ein, die sicherstellen,stellt sicher, dass grundsätzlich nur solche personenbezogenen Daten verarbeitet werden, die für die spezifischen Zwecke der Verarbeitung benötigt werden, und dass vor allem nicht mehr personenbezogene Daten zusammengetragen, gespeichert oder vorgehalten verbreitet werden als für diese Zwecke unbedingt nötig ist und diese Daten auch nicht länger als für diese Zwecke unbedingt erforderlich gespeichert werden. Die Verfahren müssen insbesondere sicherstellen, dass personenbezogene Daten grundsätzlich nicht einer unbestimmten Zahl von natürlichen Personen zugänglich gemacht werden und dass die betroffenen Personen in der Lage sind, die Verbreitung ihrer personenbezogenen Daten zu kontrollieren.

(3)  Die Kommission wird ermächtigt, delegierte Rechtsakte nach Maßgabe von Artikel 86 zu erlassen, um etwaige weitere Kriterien und Anforderungen in Bezug auf die in den Absätzen 1 und 2 genannten Maßnahmen und Verfahren festzulegen, speziell was die Anforderungen an den Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen für ganze Sektoren und bestimmte Erzeugnisse und Dienstleistungen betrifft.

(4)  Die Kommission kann technische Standards für die in den Absätzen 1 und 2 genannten Anforderungen festlegen. Die entsprechenden Durchführungsrechtsakte werden in Übereinstimmung mit dem in Artikel 87 Absatz 2 genannten Prüfverfahren erlassen. [Abänd. 118]

Artikel 24

Gemeinsam für die Verarbeitung Verantwortliche

In allen Fällen, in denen ein mehrere für die Verarbeitung Verantwortlicher die Verantwortliche Zwecke, Bedingungen und Mittel der Verarbeitung personenbezogener Daten gemeinsam mit anderen Personen festlegt,festlegen, vereinbaren diese gemeinsam für die Verarbeitung Verantwortlichen, wer von ihnen welche ihnen gemäß dieser Verordnung obliegenden Aufgaben erfüllt, insbesondere was die Verfahren und Mechanismen betrifft, die den betroffenen Person die Wahrnehmung ihrer Rechte ermöglichen. Die Vereinbarung spiegelt die jeweiligen tatsächlichen Funktionen und Beziehungen der gemeinsam für die Verarbeitung Verantwortlichen gegenüber betroffenen Personen gebührend wider und der Kern der Vereinbarung wird den betroffenen Personen zur Verfügung gestellt. Im Fall unklarer Verantwortlichkeiten haften die für die Verarbeitung Verantwortlichen gesamtschuldnerisch. [Abänd. 119]

Artikel 25

Vertreter von nicht in der Union niedergelassenen für die Verarbeitung Verantwortlichen

(1)  Jeder für die Verarbeitung Verantwortliche, der sich in der in Artikel 3 Absatz 2 beschriebenen Situation befindet, benennt einen Vertreter in der Union.

(2)  Diese Pflicht gilt nicht für

a)  für die Verarbeitung Verantwortliche, die in einem Drittland niedergelassen sind, das laut Beschluss der Kommission einen angemessenen Schutz im Sinne von Artikel 41 bietet; oder

b)  Unternehmen,für die Verarbeitung Verantwortliche, die Daten in Bezug auf weniger als 250 Mitarbeiter beschäftigen;5 000 betroffene Personen innerhalb eines Zeitraumes von zwölf aufeinanderfolgenden Monaten verarbeiten, wobei die Verarbeitung nicht in Bezug auf besondere Kategorien personenbezogener Daten gemäß Artikel 9 Absatz 1, Standortdaten, Daten über Kinder oder Arbeitnehmerdaten aus groß angelegten Ablagesystemen stattfindet; oder

c)  Behörden oder öffentliche Einrichtungen; oder

d)  für die Verarbeitung Verantwortliche, die betroffenen Personen in der Union ansässigen betroffenen Personen nur gelegentlich Waren oder Dienstleistungen anbieten, es sei denn, die Verarbeitung personenbezogener Daten betrifft in Artikel 9 Absatz 1 genannte besonderen Kategorien personenbezogener Daten, Standortdaten, Daten über Kinder oder Arbeitnehmerdaten aus groß angelegten Ablagesystemen;.

(3)  Der Vertreter muss in einem der Mitgliedstaaten niedergelassen sein, in denen die betroffenen Personen, deren personenbezogene Daten im Zusammenhang mit den ihnen angebotenen das Angebot der Waren oder Dienstleistungen verarbeitet werden den betroffenen Personen unterbreitet oder deren Verhalten beobachtet wird, ansässig sind.

(4)  Die Benennung eines Vertreters durch den für die Verarbeitung Verantwortlichen erfolgt unbeschadet etwaiger rechtlicher Schritte gegen den für die Verarbeitung Verantwortlichen. [Abänd. 120]

Artikel 26

Auftragsverarbeiter

(1)  Der für die Verarbeitung Verantwortliche wählt für alle jede in seinem Auftrag durchzuführenden Verarbeitungsvorgänge durchzuführende Verarbeitung einen Auftragsverarbeiter aus, der hinreichende Garantien dafür bietet, dass die betreffenden technischen und organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen dieser Verordnung erfolgt und dass der Schutz der Rechte der betroffenen Person durch geeignete technische Sicherheitsvorkehrungen und organisatorische Maßnahmen für die vorzunehmende Verarbeitung sichergestellt wird; zudem sorgt er dafür, dass diese Maßnahmen eingehalten werden.

(2)  Die Durchführung einer Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags oder Rechtsakts, durch den der Auftragsverarbeiter an den für die Verarbeitung Verantwortlichen gebunden ist. Der für die Verarbeitung Verantwortliche und der Auftragsverarbeiter können ihre jeweiligen Funktionen und Aufgaben in dem insbesondere vorgesehen ist, Bezug auf die Anforderungen dieser Verordnung festlegen und sehen vor, dass der Auftragsverarbeiter

a)  nur auf Weisung des für die Verarbeitung Verantwortlichen tätig wird, insbesondere personenbezogene Daten verarbeitet, es sei denn in Fällen, in denen eine Übermittlung der personenbezogenen Daten nicht zulässig Rechtsvorschriften der Union oder der Mitgliedstaaten ist etwas anderes bestimmt;

b)  ausschließlich Mitarbeiter beschäftigt, die sich zur Vertraulichkeit verpflichtet haben oder der gesetzlichen Verschwiegenheitspflicht unterliegen;

c)  alle in Artikel 30 genannten erforderlichen Maßnahmen ergreift;

d)  sofern nichts anderes bestimmt ist, die Bedingungen festlegt, unter denen die Dienste eines weiteren Auftragsverarbeiters nur mit vorheriger Zustimmung des für die Verarbeitung Verantwortlichen in Anspruch nehmen darf;

e)  soweit es verarbeitungsbedingt möglich ist, in Absprache mit dem für die Verarbeitung Verantwortlichen die notwendigengeeigneten und zweckmäßigen technischen und organisatorischen Voraussetzungen dafür schafft, dass der für die Verarbeitung Verantwortliche seine Pflicht erfüllen kann, Anträgen auf Wahrnehmung der in Kapitel III genannten Rechte der betroffenen Person nachzukommen;

f)  den Auftragsverarbeiter bei der Einhaltung der in den Artikeln 30 bis 34 genannten Pflichten unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen unterstützt;

g)  nach Abschluss der Verarbeitung dem für die Verarbeitung Verantwortlichen sämtliche Ergebnisse aushändigt und zurückgibt, die personenbezogenen Daten auf keine andere Weise weiterverarbeitet und bestehende Kopien löscht, es sei denn, in Rechtsvorschriften der Union oder der Mitgliedstaaten ist die Speicherung der Daten vorgesehen;

(h)  dem für die Verarbeitung Verantwortlichen und der Aufsichtsbehörde alle erforderlichen Informationen für die Kontrolle den Nachweis der Einhaltung der in diesem Artikel niedergelegten Pflichten zur Verfügung stellt und Nachprüfungen vor Ort zulässt.

(3)  Der für die Verarbeitung Verantwortliche und der Auftragsverarbeiter dokumentieren die Anweisungen des für die Verarbeitung Verantwortlichen und die in Absatz 2 aufgeführten Pflichten des Auftragsverarbeiters.

(3a)  Die hinreichenden Garantien gemäß Absatz 1 können durch die Einhaltung von Verhaltenskodizes oder Zertifizierungsverfahren gemäß Artikel 38 oder 39 dieser Verordnung nachgewiesen werden.

(4)  Jeder Auftragsverarbeiter, der personenbezogene Daten auf eine andere als die ihm von dem für die Verarbeitung Verantwortlichen bezeichnete Weise verarbeitet, oder die entscheidende Partei in Bezug auf die Zwecke und Mittel der Datenverarbeitung wird, gilt für diese Verarbeitung als für die Verarbeitung Verantwortlicher und unterliegt folglich den Bestimmungen des Artikels 24 für gemeinsam für die Verarbeitung Verantwortliche.

(5)  Die Kommission wird ermächtigt, delegierte Rechtsakte nach Maßgabe von Artikel 86 zu erlassen, um die Kriterien und Anforderungen für die Verantwortlichkeiten, Pflichten und Aufgaben des Auftragsverarbeiters in Übereinstimmung mit Absatz 1 festzulegen sowie die Bedingungen, durch die die Verarbeitung personenbezogener Daten in Unternehmensgruppen speziell zu Kontroll- und Berichterstattungszweckenvereinfacht werden kann. [Abänd. 121]

Artikel 27

Verarbeitung unter der Aufsicht des für die Verarbeitung Verantwortlichen und des Auftragsverarbeiters

Personen, die dem für die Verarbeitung Verantwortlichen oder dem Auftragsverarbeiter unterstellt sind und Zugang zu personenbezogenen Daten haben, sowie der Auftragsverarbeiter selbst dürfen personenbezogene Daten nur auf Anweisung des für die Verarbeitung Verantwortlichen verarbeiten, sofern sie keinen anders lautenden, aus dem Unionsrecht oder dem mitgliedstaatlichen Recht erwachsenden Pflichten unterliegen.

Artikel 28

Dokumentation

(1)  Alle für die Verarbeitung Verantwortlichen, und alle Auftragsverarbeiter sowie etwaige Vertreter von für die Verarbeitung Verantwortlichen dokumentieren die ihrer Zuständigkeit unterliegenden Verarbeitungsvorgänge.halten die zur Erfüllung der in dieser Verordnung festgelegten Anforderungen notwendige Dokumentation vor und aktualisieren sie regelmäßig.

(2)  Darüber hinaus halten alle für die Dokumentation enthält mindestens folgende Verarbeitung Verantwortlichen und alle Auftragsverarbeiter Dokumentationen zu folgenden Informationen vor:

a)  Name und Kontaktdaten des für die Verarbeitung Verantwortlichen (oder etwaiger gemeinsam für die Verarbeitung Verantwortlicher) oder des Auftragsverarbeiters sowie eines etwaigen Vertreters;

b)  Name und Kontaktdaten eines etwaigen Datenschutzbeauftragten;

c)  Angaben über die Zwecke der Verarbeitung sowie – falls sich die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f gründet – über die von dem für die Verarbeitung Verantwortlichen verfolgten legitimen Interessen;

d)  eine Beschreibung der Kategorien von betroffenen Personen und der Kategorien der sich auf diese beziehenden personenbezogenen Daten;

e)  die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten einschließlich der Name und Kontaktdaten der etwaigen für die Verarbeitung Verantwortlichen, denen personenbezogene Daten aus dem von diesen verfolgtem legitimen Interesse mitgeteilt werden;

f)  gegebenenfalls Angaben über etwaige Datenübermittlungen in Drittländer oder an internationale Organisationen einschließlich deren Namen sowie bei den in Artikel 44 Absatz 1 Buchstabe h genannten Datenübermittlungen ein Beleg dafür, dass geeignete Sicherheitsgarantien vorgesehen wurden;

g)  eine allgemeine Angabe der Fristen für die Löschung der verschiedenen Datenkategorien;

h)  eine Beschreibung der in Artikel 22 Absatz 3 genannten Verfahren.

(3)  Der für die Verarbeitung Verantwortliche, der Auftragsverarbeiter sowie der etwaige Vertreter des für die Verarbeitung Verantwortlichen stellen die Dokumentation der Aufsichtsbehörde auf Anforderung zur Verfügung.

(4)  Die in den Absätzen 1 und 2 genannten Anforderungen gelten nicht für folgende für die Verarbeitung Verantwortliche und Auftragsverarbeiter:

a)  natürliche Personen, die personenbezogene Daten ohne eigenwirtschaftliches Interesse verarbeiten; oder

b)  Unternehmen oder Organisationen mit weniger als 250 Beschäftigten, die personenbezogene Daten nur als Nebentätigkeit zusätzlich zu ihren Haupttätigkeiten verarbeiten.

(5)  Die Kommission wird ermächtigt, delegierte Rechtsakte nach Maßgabe von Artikel 86 zu erlassen, um die Kriterien und Anforderungen für die in Absatz 1 genannte Dokumentation festzulegen, so dass insbesondere den Verantwortlichkeiten des für die Verarbeitung Verantwortlichen, des Auftragsverarbeiters sowie des etwaigen Vertreters des für die Verarbeitung Verantwortlichen Rechnung getragen wird.

(6)  Die Kommission kann Standardvorlagen für die in Absatz 1 genannte Dokumentation festlegen. Die entsprechenden Durchführungsrechtsakte werden in Übereinstimmung mit dem in Artikel 87 Absatz 2 genannten Prüfverfahren angenommen. [Abänd. 122]

Artikel 29

Zusammenarbeit mit der Aufsichtsbehörde

(1)  Der für die Verarbeitung Verantwortliche, der etwaige Auftragsverarbeiter sowie der etwaige Vertreter des für die Verarbeitung Verantwortlichen arbeiten der Aufsichtsbehörde auf Verlangen zu, um ihr die Erfüllung ihrer Pflichten zu erleichtern, indem sie dieser insbesondere die in Artikel 53 Absatz 2 Buchstabe a genannten Informationen übermitteln und ihr den in Artikel 53 Absatz 2 Buchstabe b genannten Zugang gewähren.

(2)  Auf von der Aufsichtsbehörde im Rahmen der Ausübung ihrer Befugnisse erteilte Anordnungen gemäß Artikel 53 Absatz 2 antworten der für die Verarbeitung Verantwortliche und der Auftragsverarbeiter der Aufsichtsbehörde binnen einer von der Aufsichtsbehörde zu setzenden angemessenen Frist. Die Antwort muss auch eine Beschreibung der im Anschluss an die Bemerkungen der Aufsichtsbehörde getroffenen Maßnahmen und der damit erzielten Ergebnisse beinhalten. [Abänd. 123]

ABSCHNITT 2

DATENSICHERHEIT

Artikel 30

Sicherheit der Verarbeitung

(1)  Der für die Verarbeitung Verantwortliche und der Auftragsverarbeiter treffen unter Berücksichtigung des Stands der Technik und der Implementierungskosten technische und organisatorische Maßnahmen, die geeignet sind, ein Schutzniveau zu gewährleisten, das den von der Verarbeitung ausgehenden Risiken und der Art der zu schützenden personenbezogenen Daten unter Berücksichtigung der Ergebnisse der Datenschutz-Folgenabschätzung gemäß Artikel 33 angemessen ist.

(1a)  Eine solche Sicherheitspolitik umfasst – unter Berücksichtigung des Stands der Technik und der Implementierungskosten – Folgendes:

a)  die Fähigkeit zu gewährleisten, dass die Vollständigkeit der personenbezogenen Daten bestätigt wird;

b)  die Fähigkeit, die Vertraulichkeit, Vollständigkeit, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung personenbezogener Daten auf Dauer sicherzustellen;

c)  die Fähigkeit, die Verfügbarkeit und den Zugang zu Daten rasch im Falle eines physischen oder technischen Vorfalls, der sich auf die Verfügbarkeit, Vollständigkeit und Vertraulichkeit der Informationssysteme und -dienste auswirkt, wiederherzustellen;

d)  zusätzliche Sicherheitsmaßnahmen im Falle der Verarbeitung sensibler personenbezogener Daten nach Artikel 8 und 9, um ein situationsbezogenes Risikobewusstsein sicherzustellen, sowie die Fähigkeit, Präventiv- und Abhilfemaßnahmen sowie abmildernde Maßnahmen zeitnah gegen festgestellte Schwachstellen oder Vorfälle zu ergreifen, die ein Risiko für die Daten darstellen könnten;

e)  ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Sicherheitsmaßnahmen, ‑verfahren und ‑pläne, die aufgestellt werden, um die Wirksamkeit auf Dauer sicherzustellen;

(2)  Der für Die Verarbeitung Verantwortliche und der Auftragsverarbeiter treffen im Anschluss an eine Risikobewertung die in Absatz 1 genannten Maßnahmen zum Schutz personenbezogener Daten vor unbeabsichtigter oder widerrechtlichen Zerstörung oder vor unbeabsichtigtem Verlust sowie zur Vermeidung jedweder unrechtmäßigen Verarbeitung, insbesondere jeder unbefugten Offenlegung, Verbreitung beziehungsweise Einsichtnahme oder Veränderung.bewirken zumindest, dass

a)  sichergestellt wird, dass nur ermächtigte Personen für rechtlich zulässige Zwecke Zugang zu personenbezogenen Daten erhalten,

b)  gespeicherte oder übermittelte personenbezogene Daten vor unbeabsichtigter oder unrechtmäßiger Zerstörung, unbeabsichtigtem Verlust oder unbeabsichtigter Veränderung und unbefugter oder unrechtmäßiger Speicherung oder Verarbeitung, unbefugtem oder unberechtigtem Zugang oder unbefugter oder unrechtmäßiger Weitergabe geschützt werden, und

c)  die Umsetzung eines Sicherheitskonzepts für die Verarbeitung personenbezogener Daten gewährleistet wird.

(3)  Die Kommission Der Europäische Datenschutzausschuss wird ermächtigt, delegierte Rechtsaktebeauftragt, Leitlinien, Empfehlungen und bewährte Praktiken nach Maßgabe von Artikel 86 zu erlassen, um Artikel 66 Absatz 1 Buchstabe b in Bezug auf die Kriterien und Bedingungen für die in den Absätzen 1 und 2 genannten technischen und organisatorischen Maßnahmen festzulegen zu veröffentlichen und den aktuellen Stand der Technik für bestimmte Sektoren und Datenverarbeitungssituationen zu bestimmen, wobei sie er insbesondere die technologische Entwicklung sowie Lösungen für einen Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen berücksichtigt, sofern nicht Artikel 4 gilt.

(4)  Die Kommission kann erforderlichenfalls Durchführungsbestimmungen zu einer situationsabhängigen Konkretisierung der in den Absätzen 1 und 2 genannten Anforderungen erlassen, um insbesondere

a)  jedweden unbefugten Zugriff auf personenbezogene Daten zu verhindern;

b)  jedwede unbefugte Einsichtnahme in personenbezogene Daten sowie jedwede unbefugte Offenlegung, Kopie, Änderung, Löschung oder Entfernung von personenbezogenen Daten zu verhindern;

c)  sicherzustellen, dass die Rechtmäßigkeit der Verarbeitungsvorgänge überprüft wird.

Die genannten Durchführungsrechtsakte werden in Übereinstimmung mit dem in Artikel 87 Absatz 2 genannten Prüfverfahren angenommen. [Abänd. 124]

Artikel 31

Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde

(1)  Bei einer Verletzung des Schutzes personenbezogener Daten benachrichtigt der für die Verarbeitung Verantwortliche die Aufsichtsbehörde ohne unangemessene Verzögerung und nach Möglichkeit binnen 24 Stunden nach Feststellung der Verletzung. Falls die Meldung an die Aufsichtsbehörde nicht binnen 24 Stunden erfolgt, ist dieser eine Begründung beizufügenunverzüglich.

(2)  In Übereinstimmung mit Artikel 26 Absatz 2 Buchstabe f Der Auftragsverarbeiter alarmiert und informiert der Auftragsverarbeiter den für die Verarbeitung Verantwortlichen unmittelbar unverzüglich nach Feststellung einer Verletzung des Schutzes personenbezogener Daten.

(3)  Die in Absatz 1 genannte Benachrichtigung enthält mindestens folgende Informationen:

a)  eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten mit Angabe der Kategorien und der Zahl der betroffenen Personen, der betroffenen Datenkategorien und der Zahl der betroffenen Datensätze;

b)  Name und Kontaktdaten des Datenschutzbeauftragten oder eines sonstigen Ansprechpartners für weitere Informationen;

c)  Empfehlungen für Maßnahmen zur Eindämmung etwaiger negativer Auswirkungen der Verletzung des Schutzes personenbezogener Daten;

d)  eine Beschreibung der Folgen der Verletzung des Schutzes personenbezogener Daten;

e)  eine Beschreibung der vom für die Verarbeitung Verantwortlichen vorgeschlagenen oder ergriffenen Maßnahmen zur Behandlung der Verletzung des Schutzes personenbezogener Daten und zur Minderung ihrer Auswirkungen.

Die Information kann, wenn nötig, auch stufenweise erfolgen.

(4)  Der für die Verarbeitung Verantwortliche dokumentiert etwaige Verletzungen des Schutzes personenbezogener Daten unter Beschreibung aller im Zusammenhang mit der Verletzung stehenden Fakten, von deren Auswirkungen und der ergriffenen Abhilfemaßnahmen. Die Dokumentation muss ausreichend sein, um der Aufsichtsbehörde die Überprüfung der Einhaltung der Bestimmungen dieses Artikels und von Artikel 30 ermöglichen. Die Dokumentation enthält nur die zu diesem Zweck erforderlichen Informationen.

(4a)  Die Aufsichtsbehörde führt ein öffentliches Verzeichnis der Arten der gemeldeten Verletzungen.

(5)  Die Kommission Der Europäische Datenschutzausschuss wird ermächtigt, delegierte Rechtsaktebeauftragt, Leitlinien, Empfehlungen und bewährte Praktiken nach Maßgabe von Artikel 86 zu erlassen, um die Kriterien und Anforderungen Artikel 66 Absatz 1 Buchstabe b in Bezug auf die Feststellung der in den Absätzen 1 und 2 genannten Verletzungen des Schutzes personenbezogener Daten festzulegen zu veröffentlichen sowie die Unverzüglichkeit gemäß Absatz 1 und 2 und die konkreten Umstände, unter denen der für die Verarbeitung Verantwortliche und der Auftragsverarbeiter die Verletzung des Schutzes personenbezogener Daten zu melden haben, festzulegen.

(6)  Die Kommission kann das Standardformat für derartige Meldungen an die Aufsichtsbehörde, die Verfahrensvorschriften für die vorgeschriebene Meldung sowie Form und Modalitäten der in Absatz 4 genannten Dokumentation einschließlich der Fristen für die Löschung der darin enthaltenen Informationen festlegen. Die entsprechenden Durchführungsrechtsakte werden in Übereinstimmung mit dem in Artikel 87 Absatz 2 genannten Prüfverfahren erlassen. [Abänd. 125]

Artikel 32

Benachrichtigung der betroffenen Person von einer Verletzung des Schutzes ihrer personenbezogenen Daten

(1)  Der für die Verarbeitung Verantwortliche benachrichtigt im Anschluss an die Meldung nach Artikel 31 die betroffene Person ohne unangemessene Verzögerung unverzüglich von der Verletzung des Schutzes personenbezogener Daten, wenn die Wahrscheinlichkeit besteht, dass der Schutz der personenbezogenen Daten, die Privatsphäre, die Rechte oder die berechtigten Interessen der Privatsphäre der betroffenen Person durch eine festgestellte Verletzung des Schutzes personenbezogener Daten beeinträchtigt wird.

(2)  Die in Absatz 1 genannte Benachrichtigung der betroffenen Person ist umfassend, klar und für jedermann verständlich. Sie beschreibt die Art der Verletzung des Schutzes der personenbezogenen Daten und umfasst mindestens die in Artikel 31 Absatz 3 Buchstaben b, und c c und d genannten Informationen und Empfehlungen sowie Informationen über die Rechte betroffener Personen einschließlich der Rechtsbehelfe.

(3)  Die Benachrichtigung der betroffenen Person über die Verletzung des Schutzes personenbezogener Daten ist nicht erforderlich, wenn der für die Verarbeitung Verantwortliche zur Zufriedenheit der Aufsichtsbehörde nachweist, dass er geeignete technische Sicherheitsvorkehrungen getroffen hat und diese Vorkehrungen auf die von der Verletzung betroffenen personenbezogenen Daten angewandt wurden. Durch diese technischen Sicherheitsvorkehrungen sind die betreffenden Daten für alle Personen zu verschlüsseln, die nicht zum Zugriff auf die Daten befugt sind.

(4)  Unbeschadet der dem für die Verarbeitung Verantwortlichen obliegenden Pflicht, der betroffenen Person die Verletzung des Schutzes personenbezogener Daten mitzuteilen, kann die Aufsichtsbehörde, falls der für die Verarbeitung Verantwortliche die betroffene Person noch nicht in Kenntnis gesetzt hat, nach Prüfung der zu erwartenden negativen Auswirkungen der Verletzung den für die Verarbeitung Verantwortlichen auffordern, dies zu tun.

(5)  Die Kommission Der Europäische Datenschutzausschuss wird ermächtigt, delegierte Rechtsakte beauftragt, Leitlinien, Empfehlungen und bewährte Praktiken nach Maßgabe von Artikel 86 zu erlassen, um Artikel 66 Absatz 1 Buchstabe b in Bezug auf die Kriterien und Anforderungen in Bezug auf die Umstände festzulegenzu veröffentlichen, unter denen sich eine Verletzung des Schutzes personenbezogener Daten negativ auf die in Absatz 1 genannten personenbezogenen Daten, die Privatsphäre, die Rechte oder die berechtigten Interessen der betroffenen Person auswirken kann.

(6)  Die Kommission kann das Format für die in Absatz 1 genannte Mitteilung an die betroffene Person und die für die Mitteilung geltenden Verfahrensvorschriften festlegen. Die entsprechenden Durchführungsrechtsakte werden in Übereinstimmung mit dem in Artikel 87 Absatz 2 genannten Prüfverfahren erlassen. [Abänd. 126]

Artikel 32a

Risikoanalyse

(1)  Der für die Verarbeitung Verantwortliche oder gegebenenfalls der Auftragsverarbeiter führt eine Risikoanalyse zu den möglichen Auswirkungen der beabsichtigten Datenverarbeitung auf die Rechte und Freiheiten der betroffenen Personen durch, um zu bewerten, ob seine Verarbeitungsvorgänge konkrete Risiken bergen können.

(2)  Folgende Verarbeitungsvorgänge können konkrete Risiken beinhalten:

a)  Verarbeitung personenbezogener Daten von mehr als 5 000 betroffenen Personen innerhalb eines Zeitraums von zwölf aufeinanderfolgenden Monaten;

b)  Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Artikel 9 Absatz 1, Standortdaten, Daten über Kinder oder Arbeitnehmerdaten in groß angelegten Ablagesystemen;

c)  Profiling, das als Grundlage für Maßnahmen dient, welche Rechtswirkungen gegenüber der betroffenen Person entfalten oder ähnlich erhebliche Auswirkungen für diese mit sich bringen;

d)  Verarbeitung personenbezogener Daten für die Erbringung von Gesundheitsdiensten, für epidemiologische Studien oder für Erhebungen über Geisteskrankheiten oder ansteckende Krankheiten, wenn die betreffenden Daten in großem Umfang im Hinblick auf Maßnahmen oder Entscheidungen verarbeitet werden, welche sich auf spezifische Einzelpersonen beziehen sollen;

e)  automatisierte weiträumige Überwachung öffentlich zugänglicher Bereiche;

f)  sonstige Verarbeitungsvorgänge, bei denen gemäß Artikel 34 Absatz 2 Buchstabe b vorab der Datenschutzbeauftragte oder die Aufsichtsbehörde anzuhören ist;

g)  Wahrscheinlichkeit, dass die Verletzung des Schutzes personenbezogener Daten zu negativen Auswirkungen auf den Schutz der personenbezogenen Daten, die Privatsphäre, die Rechte oder die legitimen Interessen der betroffenen Person führt;

h)  die Kerntätigkeit des für die Verarbeitung Verantwortlichen oder des Auftragsverarbeiters besteht in der Durchführung von Verarbeitungsvorgängen, welche aufgrund ihres Wesens, ihres Umfangs und/oder ihrer Zwecke eine regelmäßige und systematische Beobachtung von betroffenen Personen erforderlich machen;

i)  personenbezogene Daten werden einer großen Zahl von Personen zugänglich gemacht, von der vernünftigerweise nicht erwartet werden kann, dass sie begrenzt wird.

(3)  Ergibt die Risikoanalyse, dass

a)  Verarbeitungsvorgänge gemäß Absatz 2 Buchstabe a oder b vorliegen, müssen die für die Verarbeitung Verantwortlichen, die keine Niederlassung in der Europäischen Union haben, gemäß den Voraussetzungen und Ausnahmen in Artikel 25 einen Vertreter in der Europäischen Union benennen;

b)  Verarbeitungsvorgänge gemäß Absatz 2 Buchstabe a, b oder h vorliegen, müssen die für die Verarbeitung Verantwortlichen gemäß den Voraussetzungen und Ausnahmen in Artikel 35 einen Datenschutzbeauftragten benennen;

c)  Verarbeitungsvorgänge gemäß Absatz 2 Buchstabe a, b, c, d, e, f, g oder h vorliegen, müssen die für die Verarbeitung Verantwortlichen oder die in ihrem Auftrag handelnden Auftragsverarbeiter eine Datenschutz-Folgenabschätzung gemäß Artikel 33 durch;

d)  Verarbeitungsvorgänge gemäß Absatz 2 Buchstabe f vorliegen, müssen die für die Verarbeitung Verantwortlichen den Datenschutzbeauftragten oder wenn kein Datenschutzbeauftragter benannt wurde, die Aufsichtsbehörde gemäß Artikel 34 zu Rate ziehen;

(4)  Die Risikoanalyse wird spätestens nach einem Jahr überprüft oder unverzüglich, wenn sich das Wesen, der Umfang oder der Zweck der Datenverarbeitungsvorgänge wesentlich ändern. Ist der für die Verarbeitung Verantwortliche gemäß Absatz 3 Buchstabe c nicht verpflichtet, eine Datenschutz-Folgenabschätzung durchzuführen, wird die Risikoanalyse dokumentiert. [Abänd. 127]

ABSCHNITT 3

DATENSCHUTZ-FOLGENABSCHÄTZUNG UND VORHERIGE GENEHMIGUNGLEBENSZYKLUSMANAGEMENT IN BEZUG AUF DEN DATENSCHUTZ [Abänd. 128]

Artikel 33

Datenschutz-Folgenabschätzung

(1)  Bei Verarbeitungsvorgängen, die aufgrund ihres Wesens, ihres Umfangs oder ihrer Zwecke konkrete Risiken für die Rechte und Freiheiten betroffener Personen bergen, Wenn dies nach Maßgabe von Artikel 32a Absatz 3 erforderlich ist, führt der für die Verarbeitung Verantwortliche oder der in seinem Auftrag handelnde Auftragsverarbeiter vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge die Rechte und Freiheiten der betroffenen Personen, insbesondere für ihr Recht auf für den Schutz personenbezogener Daten durch. Eine einzige Abschätzung ist für die Untersuchung mehrerer ähnlicher Verarbeitungsvorgänge mit ähnlichen Risiken ausreichend.

(2)  Die in Absatz 1 genannten Risiken bestehen insbesondere bei folgenden Verarbeitungsvorgängen:

a)  systematische und umfassende Auswertung persönlicher Aspekte einer natürlichen Person, beispielsweise zwecks Analyse ihrer wirtschaftlichen Lage, ihres Aufenthaltsorts, ihres Gesundheitszustands, ihrer persönlichen Vorlieben, ihrer Zuverlässigkeit oder ihres Verhaltens oder zwecks diesbezüglicher Voraussagen, die sich auf eine automatisierte Verarbeitung von Daten gründet und ihrerseits als Grundlage für Maßnahmen dient, welche Rechtswirkung gegenüber der betroffenen Person entfalten oder erhebliche Auswirkungen für diese mit sich bringen;

b)  Verarbeitung von Daten über das Sexualleben, den Gesundheitszustand, die Rasse oder die ethnische Herkunft oder für die Erbringung von Gesundheitsdiensten, für epidemiologische Studien oder für Erhebungen über Geisteskrankheiten oder ansteckende Krankheiten, wenn die betreffenden Daten in großem Umfang im Hinblick auf Maßnahmen oder Entscheidungen verarbeitet werden, welche sich auf spezifische Einzelpersonen beziehen sollen;

c)  weiträumige Überwachung öffentlich zugänglicher Bereiche, insbesondere mittels Videoüberwachung;

d)  Verarbeitung personenbezogener Daten aus umfangreichen Dateien, die Daten über Kinder, genetische Daten oder biometrische Daten enthalten;

e)  sonstige Verarbeitungsvorgänge, bei denen gemäß Artikel 34 Absatz 2 Buchstabe b vorab die Aufsichtsbehörde zu Rate zu ziehen ist.

(3)  Die Folgenabschätzung trägt den Rechten und den berechtigten Interessen der bezieht sich auf das gesamte Lebenszyklusmanagement personenbezogener Daten, von der Datenverarbeitung betroffenen Personen und sonstiger Betroffener Rechnung; sie enthält Erhebung über die Verarbeitung bis zur Löschung. Zumindest eine allgemeine Beschreibung der geplanten Verarbeitungsvorgänge und eine Bewertung der in Bezug auf die Rechte und Freiheiten der betroffenen Personen bestehenden Risiken sowie der geplanten Abhilfemaßnahmen, Garantien, Sicherheitsvorkehrungen und Verfahren, durch die der Schutz personenbezogener Daten sichergestellt und der Nachweis dafür erbracht werden soll, dass die Bestimmungen dieser Verordnung eingehalten werden.Folgendes ist enthalten:

a)  eine systematische Beschreibung der geplanten Verarbeitungsvorgänge, die Zwecke der Verarbeitung und gegebenenfalls die von dem für die Verarbeitung Verantwortlichen verfolgten berechtigten Interessen;

b)  eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf den Zweck;

c)  eine Bewertung der in Bezug auf die Rechte und Freiheiten der betroffenen Personen bestehenden Risiken, einschließlich des Diskriminierungsrisikos, das mit dem Vorgang verbunden ist oder durch diesen erhöht wird;

d)  eine Beschreibung der geplanten Abhilfemaßnahmen und Maßnahmen zur Minimierung der Menge der verarbeiteten personenbezogenen Daten;

e)  eine Aufstellung der Garantien, Sicherheitsvorkehrungen und Verfahren – wie die Pseudonymisierung –, durch die der Schutz personenbezogener Daten sichergestellt und der Nachweis dafür erbracht werden soll, dass die Bestimmungen dieser Verordnung eingehalten werden, wobei den Rechten und den berechtigten Interessen der von der Datenverarbeitung betroffenen Personen und sonstiger Betroffener Rechnung getragen wird;

f)  eine allgemeine Angabe der Fristen für die Löschung der verschiedenen Datenkategorien;

g)  eine Erklärung, welche Maßnahmen in Bezug auf den Datenschutz durch Technik und durch datenschutzfreundliche Voreinstellungen gemäß Artikel 23 umgesetzt wurden;

h)  eine Aufstellung der Empfänger oder Kategorien von Empfängern der personenbezogenen Daten;

i)  gegebenenfalls eine Liste mit Angaben über geplante Datenübermittlungen in Drittländer oder an internationale Organisationen, einschließlich deren Namen;

j)  eine Bewertung des Zusammenhangs der Datenverarbeitung.

(3a)  Wenn der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter einen Datenschutzbeauftragten benannt hat, ist dieser am Verfahren der Folgenabschätzung zu beteiligen.

(3b)  Die Folgenabschätzung wird dokumentiert und es wird ein Plan für regelmäßige Überprüfungen der Einhaltung der Datenschutzbestimmungen gemäß Artikel 33a Absatz 1 festgelegt. Die Folgenabschätzung wird ohne unangemessene Verzögerung aktualisiert, wenn die Ergebnisse der Überprüfung der Einhaltung der Datenschutzbestimmungen gemäß Artikel 33a Unstimmigkeiten bei der Einhaltung aufzeigen. Der für die Verarbeitung Verantwortliche, der Auftragsverarbeiter sowie der etwaige Vertreter des für die Verarbeitung Verantwortlichen stellen die Folgenabschätzung der Aufsichtsbehörde auf Anforderung zur Verfügung.

(4)  Der für die Verarbeitung Verantwortliche holt die Meinung der betroffenen Personen oder ihrer Vertreter zu der beabsichtigten Verarbeitung unbeschadet des Schutzes gewerblicher oder öffentlicher Interessen oder der Sicherheit der Verarbeitungsvorgänge ein.

(5)  Falls es sich bei dem für die Verarbeitung Verantwortlichen um eine Behörde oder um eine öffentliche Einrichtung handelt und die Verarbeitung aufgrund einer im Unionsrecht festgelegten rechtlichen Verpflichtung nach Artikel 6 Absatz 1 Buchstabe c erfolgt, welche Vorschriften und Verfahren für die betreffenden Verarbeitungsvorgänge vorsieht, gelten die Absätze 1 bis 4 nur, wenn es nach dem Ermessen der Mitgliedstaaten erforderlich ist, vor den betreffenden Verarbeitungstätigkeiten eine solche Folgenabschätzung durchzuführen.

(6)  Die Kommission wird ermächtigt, delegierte Rechtsakte nach Maßgabe von Artikel 86 zu erlassen, um die Kriterien und Bedingungen für Verarbeitungsvorgänge, die mit den in den Absätzen 1 und 2 genannten Risiken behaftet sein können, sowie die Anforderungen an die in Absatz 3 genannte Folgenabschätzung einschließlich der Bedingungen für die Skalierbarkeit und für die interne und externe Überprüfbarkeit festzulegen. Dabei berücksichtigt die Kommission spezifische Maßnahmen für Kleinst-, Klein- und mittlere Unternehmen.

(7)  Die Kommission kann Standards und Verfahren für die Durchführung sowie für die interne und externe Überprüfung der in Absatz 3 genannten Folgenabschätzung festlegen. Die entsprechenden Durchführungsrechtsakte werden in Übereinstimmung mit dem in Artikel 87 Absatz 2 genannten Prüfverfahren erlassen. [Abänd. 129]

Artikel 33a

Überprüfung der Einhaltung der Datenschutzbestimmungen

(1)  Der für die Verarbeitung Verantwortliche oder der in seinem Auftrag handelnde Auftragsverarbeiter führt spätestens zwei Jahre nach der Durchführung einer Folgenabschätzung nach Artikel 33 Absatz 1 eine Überprüfung der Einhaltung der Datenschutzbestimmungen durch. Mit dieser Überprüfung wird nachgewiesen, dass die Verarbeitung personenbezogener Daten in Einklang mit der Datenschutz-Folgenabschätzung durchgeführt wird.

(2)  Die Überprüfung der Einhaltung der Datenschutzbestimmungen wird in regelmäßigen Abständen mindestens alle zwei Jahre durchgeführt oder unverzüglich, wenn sich die mit Verarbeitungsvorgängen verbundenen spezifischen Risiken ändern.

(3)  Wenn die Ergebnisse der Überprüfung der Einhaltung der Datenschutzbestimmungen Unstimmigkeiten bei der Einhaltung aufzeigen, enthält die Überprüfung Empfehlungen, wie eine vollständige Einhaltung erreicht werden kann.

(4)  Die Überprüfung der Einhaltung der Datenschutzbestimmungen und die einschlägigen Empfehlungen werden dokumentiert. Der für die Verarbeitung Verantwortliche, der Auftragsverarbeiter sowie der etwaige Vertreter des für die Verarbeitung Verantwortlichen stellen der Aufsichtsbehörde auf Anforderung die Überprüfung der Einhaltung der Datenschutzbestimmungen zur Verfügung.

(5)  Wenn der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter einen Datenschutzbeauftragten benannt hat, ist dieser am Verfahren zur Überprüfung der Einhaltung der Datenschutzbestimmungen zu beteiligen. [Abänd. 130]

Artikel 34

Vorherige Genehmigung und vorherige ZurateziehungKonsultation [Abänd. 131]

(1)  Der für die Verarbeitung Verantwortliche oder gegebenenfalls der Auftragsverarbeiter holt vor der Verarbeitung personenbezogener Daten eine Genehmigung der Aufsichtsbehörde ein, um sicherzustellen, dass die geplante Verarbeitung in Übereinstimmung mit dieser Verordnung erfolgt, und um insbesondere die Risiken zu mindern, welche für die betroffenen Personen bestehen, wenn dieser Vertragsklauseln nach Artikel 42 Absatz 2 Buchstabe d vereinbart oder keine geeigneten Garantien für die Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation in einem rechtsverbindlichen Instrument nach Artikel 42 Absatz 5 vorsieht.

(2)  Der für die Verarbeitung Verantwortliche oder der in seinem Auftrag handelnde Auftragsverarbeiter zieht vor der Verarbeitung personenbezogener Daten den Datenschutzbeauftragten, oder wenn kein Datenschutzbeauftragter benannt wurde, die Aufsichtsbehörde zu Rate, um sicherzustellen, dass die geplante Verarbeitung in Übereinstimmung mit dieser Verordnung erfolgt, und um insbesondere die für die betroffenen Personen bestehenden Risiken zu mindern; dies gilt für alle Fälle, in denen

a)  aus einer Datenschutz-Folgenabschätzung nach Artikel 33 hervorgeht, dass die geplanten Verarbeitungsvorgänge aufgrund ihres Wesens, ihres Umfangs oder ihrer Zwecke hohe konkrete Risiken bergen können; oder

b)  der Datenschutzbeauftragte oder die Aufsichtsbehörde eine vorherige Zurateziehung bezüglich der in Absatz 4 genannten Verarbeitungsvorgänge, welche aufgrund ihres Wesens, ihres Umfangs und/oder ihrer Zwecke konkrete Risiken für die Rechte und Freiheiten betroffener Personen bergen können, für erforderlich hält.

(3)  Falls die zuständige Aufsichtsbehörde der Auffassung istim Rahmen ihrer Befugnisse feststellt, dass die geplante Verarbeitung nicht im Einklang mit dieser Verordnung steht, insbesondere weil die Risiken unzureichend ermittelt wurden oder eingedämmt werden, untersagt sie die geplante Verarbeitung und unterbreitet geeignete Vorschläge, wie diese Mängel beseitigt werden könnten.

(4)  Die Aufsichtsbehörde Der Europäische Datenschutzausschuss erstellt eine Liste der Verarbeitungsvorgänge, die Gegenstand der vorherigen Zurateziehung nach Absatz 2 Buchstabe b sind, und veröffentlicht diese. Die Aufsichtsbehörde übermittelt derartige Listen an den Europäischen Datenschutzausschuss.

(5)  Wenn auf der in Absatz 4 genannten Liste Verarbeitungsvorgänge aufgeführt werden, die sich auf Waren oder Dienstleistungen beziehen, welche betroffenen Personen in mehreren Mitgliedstaaten angeboten werden, oder die dazu dienen sollen, das Verhalten dieser betroffenen Personen zu beobachten, oder die wesentliche Auswirkungen auf den freien Verkehr personenbezogener Daten in der Union haben können, bringt die Aufsichtsbehörde vor der Annahme der Liste das in Artikel 57 beschriebene Kohärenzverfahren zur Anwendung.

(6)  Der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter legt der Aufsichtsbehörde die Datenschutz-Folgenabschätzung nach Artikel 33 vor und übermittelt ihr auf Aufforderung alle sonstigen Informationen, die sie benötigt, um die Ordnungsgemäßheit der Verarbeitung sowie insbesondere die in Bezug auf den Schutz der personenbezogenen Daten der betroffenen Person bestehenden Risiken und die diesbezüglichen Sicherheitsgarantien bewerten zu können.

(7)  Die Mitgliedstaaten ziehen die Aufsichtsbehörde bei der Ausarbeitung einer von ihren nationalen Parlamenten zu erlassenden Legislativmaßnahme oder einer sich auf eine solche Legislativmaßnahme gründenden Maßnahme, durch die die Art der Verarbeitung definiert wird, zu Rate, damit die Vereinbarkeit der geplanten Verarbeitung mit dieser Verordnung sichergestellt ist und insbesondere die für die betreffenden Personen bestehenden Risiken gemindert werden.

(8)  Die Kommission wird ermächtigt, delegierte Rechtsakte nach Maßgabe von Artikel 86 zu erlassen, um die Kriterien und Anforderungen für die Bestimmung der in Absatz 2 Buchstabe a genannten hohen konkreten Risiken festzulegen.

(9)  Die Kommission kann Standardvorlagen und Verfahrensvorschriften für die in den Absätzen 1 und 2 genannte vorherige Genehmigung beziehungsweise Zurateziehung sowie für die in Absatz 6 vorgesehene Unterrichtung der Aufsichtsbehörde festlegen. Die entsprechenden Durchführungsrechtsakte werden in Übereinstimmung mit dem in Artikel 87 Absatz 2 genannten Prüfverfahren erlassen. [Abänd. 131]

ABSCHNITT 4

DATENSCHUTZBEAUFTRAGTER

Artikel 35

Benennung eines Datenschutzbeauftragten

(1)  Der für die Verarbeitung Verantwortliche und der Auftragsverarbeiter benennen einen Datenschutzbeauftragten, falls

a)  die Verarbeitung durch eine Behörde oder eine öffentliche Einrichtung erfolgt; oder

b)  die Bearbeitung durch ein Unternehmen erfolgt, das 250 oder mehr Mitarbeiter beschäftigt,Verarbeitung von einer juristischen Person durchgeführt wird und sich auf mehr als 5 000 betroffene Personen innerhalb eines Zeitraumes von zwölf aufeinanderfolgenden Monaten bezieht; oder

c)  die Kerntätigkeit des für die Verarbeitung Verantwortlichen oder des Auftragsverarbeiters in der Durchführung von Verarbeitungsvorgängen besteht, welche aufgrund ihres Wesens, ihres Umfangs und/oder ihrer Zwecke eine regelmäßige und systematische Beobachtung von betroffenen Personen erforderlich machen; oder.

d)  die Kernaktivitäten des für die Verarbeitung Verantwortlichen oder des Auftragsverarbeiters aus der Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 Absatz 1, Standortdaten, Daten über Kinder oder Arbeitnehmerdaten in groß angelegten Ablagesystemen bestehen.

(2)  Im Fall des Absatzes 1 Buchstabe b darf eine Eine Gruppe von Unternehmen kann einen gemeinsamen Datenschutzbeauftragten Hauptdatenschutzbeauftragten ernennen, wenn sichergestellt ist, dass von jedem Standort aus ein Datenschutzbeauftragter leicht zugänglich ist.

(3)  Falls es sich bei dem für die Verarbeitung Verantwortlichen oder dem Auftragsverarbeiter um eine Behörde oder um eine öffentliche Einrichtung handelt, kann der Datenschutzbeauftragte unter Berücksichtigung der Struktur der Behörde beziehungsweise der öffentlichen Einrichtung für mehrere Bereiche benannt werden.

(4)  In anderen als den in Absatz 1 genannten Fällen können der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter oder Verbände und andere Gremien, die Kategorien von für die Verarbeitung Verantwortlichen oder Auftragsverarbeitern vertreten, einen Datenschutzbeauftragten benennen.

(5)  Der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter benennt den Datenschutzbeauftragten nach Maßgabe der beruflichen Qualifikation und insbesondere des Fachwissens, das dieser auf dem Gebiet des Datenschutzrechts und der einschlägigen Praktiken besitzt, sowie nach Maßgabe von dessen Fähigkeit zur Erfüllung der in Artikel 37 genannten Aufgaben. Der Grad des erforderlichen Fachwissens richtet sich insbesondere nach der Art der durchgeführten Datenverarbeitung und des erforderlichen Schutzes für die von dem für die Verarbeitung Verantwortlichen oder dem Auftragsverarbeiter verarbeiteten personenbezogenen Daten.

(6)  Der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter stellt sicher, dass etwaige sonstige berufliche Pflichten des Datenschutzbeauftragten mit den Aufgaben und Pflichten, die diesem in seiner Funktion als Datenschutzbeauftragter obliegen, vereinbar sind und zu keinen Interessenkonflikten führen.

(7)  Der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter benennt einen Datenschutzbeauftragten für einen Zeitraum von mindestens vier Jahren im Fall eines Arbeitnehmers oder zwei Jahren im Fall eines externen Dienstleisters. Der Datenschutzbeauftragte kann für weitere Amtszeiten wiederernannt werden. Während seiner Amtszeit kann der Datenschutzbeauftragte seines oder ihres Postens nur enthoben werden, wenn er oder sie die Voraussetzungen für die Erfüllung seiner oder ihrer Pflichten nicht mehr erfüllt.

(8)  Der Datenschutzbeauftragte kann durch den für die Verarbeitung Verantwortlichen oder durch den Auftragsverarbeiter beschäftigt werden oder seine Aufgaben auf der Grundlage eines Dienstleistungsvertrags erfüllen.

(9)  Der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter teilt der Aufsichtsbehörde und der Öffentlichkeit den Namen und die Kontaktdaten des Datenschutzbeauftragten mit.

(10)  Betroffene Personen haben das Recht, den Datenschutzbeauftragten zu allen im Zusammenhang mit der Verarbeitung ihrer personenbezogenen Daten stehenden Fragen zu Rate zu ziehen und die Wahrnehmung ihrer Rechte gemäß dieser Verordnung zu beantragen.

(11)  Die Kommission wird ermächtigt, delegierte Rechtsakte nach Maßgabe von Artikel 86 zu erlassen, um die Kriterien und Anforderungen für die in Absatz 1 Buchstabe c genannte Kerntätigkeit des für die Verarbeitung Verantwortlichen oder des Auftragsverarbeiters sowie die Kriterien für die berufliche Qualifikation des in Absatz 5 genannten Datenschutzbeauftragten festzulegen. [Abänd. 132]

Artikel 36

Stellung des Datenschutzbeauftragten

(1)  Der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter stellt sicher, dass der Datenschutzbeauftragte ordnungsgemäß und frühzeitig in alle mit dem Schutz personenbezogener Daten zusammenhängenden Fragen eingebunden wird.

(2)  Der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter stellt sicher, dass der Datenschutzbeauftragte seinen Pflichten und Aufgaben unabhängig nachkommen kann und keine Anweisungen bezüglich der Ausübung seiner Tätigkeit erhält. Der Datenschutzbeauftragte berichtet unmittelbar der obersten Leitung des für die Verarbeitung Verantwortlichen oder des Auftragsverarbeiters. Der für die Verarbeitung Verantwortliche und der Auftragsverarbeiter benennen zu diesem Zweck ein Mitglied der obersten Leitung, das die Verantwortung für die Einhaltung der Bestimmungen dieser Verordnung trägt.

(3)  Der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter unterstützt den Datenschutzbeauftragten bei der Erfüllung seiner Aufgaben und stellt alle Mittel, darunter das erforderliche Personal, die erforderlichen Räumlichkeiten, die erforderliche Ausrüstung und alle sonstigen Ressourcen, die für die Erfüllung der in Artikel 37 genannten Pflichten und Aufgaben und zur Pflege der Fachkenntnisse erforderlich sind, zur Verfügung.

(4)  Datenschutzbeauftragte sind zur Vertraulichkeit verpflichtet, was die Identität der betroffenen Personen und die Umstände, mit denen diese identifiziert werden können, anbelangt, sofern sie durch die betroffene Person von dieser Verpflichtung nicht entbunden werden. [Abänd. 133]

Artikel 37

Aufgaben des Datenschutzbeauftragten

(1)  Der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter betraut den Datenschutzbeauftragten mit mindestens folgenden Aufgaben:

a)  Sensibilisierung, Unterrichtung und Beratung des für die Verarbeitung Verantwortlichen oder des Auftragsverarbeiters über dessen aus dieser Verordnung erwachsenden Pflichten sowie Dokumentation dieser Tätigkeit und der erhaltenen Antworten, insbesondere in Bezug auf technische und organisatorische Maßnahmen und Verfahren;

b)  Überwachung der Umsetzung und Anwendung der Strategien des für die Verarbeitung Verantwortlichen oder des Auftragsverarbeiters für den Schutz personenbezogener Daten einschließlich der Zuweisung von Zuständigkeiten, der Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter und der diesbezüglichen Überprüfungen;

c)  Überwachung der Umsetzung und Anwendung dieser Verordnung, insbesondere ihrer Anforderungen an einen Datenschutz durch Technik und an datenschutzfreundliche Voreinstellungen, an die Datensicherheit, an die Benachrichtigung der betroffenen Personen und an die Anträge der betroffenen Personen zur Wahrnehmung der ihren nach dieser Verordnung zustehenden Rechte;

d)  Sicherstellung, dass die in Artikel 28 genannte Dokumentation vorgenommen wird;

e)  Überwachung der Dokumentation und Meldung von Verletzungen des Schutzes personenbezogener Daten sowie die Benachrichtigung davon gemäß den Artikeln 31 und 32;

f)  Überwachung der von dem für die Verarbeitung Verantwortlichen oder vom Auftragsverarbeiter durchgeführten Datenschutz-Folgenabschätzung sowie der Beantragung einer vorherigen Genehmigung beziehungsweise Zurateziehung gemäß den Artikeln 33 und 34Artikeln 32a, 33 und 34;

g)  Überwachung der auf Anfrage der Aufsichtsbehörde ergriffenen Maßnahmen sowie Zusammenarbeit im Rahmen der Zuständigkeiten des Datenschutzbeauftragten mit der Aufsichtsbehörde auf deren Ersuchen oder auf eigene Initiative des Datenschutzbeauftragten;

h)  Tätigkeit als Ansprechpartner für die Aufsichtsbehörde in mit der Verarbeitung zusammenhängenden Fragen sowie gegebenenfalls Zurateziehung der Aufsichtsbehörde auf eigene Initiative;

i)  Überprüfung der Einhaltung der Verordnung gemäß dem vorherigen Konsultierungsverfahren nach Artikel 34.

j)  Unterrichtung der Arbeitnehmervertreter über die Verarbeitung von Daten der Arbeitnehmer.

(2)  Die Kommission wird ermächtigt, delegierte Rechtsakte nach Maßgabe von Artikel 86 zu erlassen, um die Kriterien und Anforderungen für die Aufgaben, die Zertifizierung, die Stellung, die Befugnisse und die Ressourcen des in Absatz 1 genannten Datenschutzbeauftragten festzulegen. [Abänd. 134]

ABSCHNITT 5

VERHALTENSREGELN UND ZERTIFIZIERUNG

Artikel 38

Verhaltensregeln

(1)  Die Mitgliedstaaten, die Aufsichtsbehörden und die Kommission fördern die Ausarbeitung von Verhaltensregeln oder die Annahme von durch eine Aufsichtsbehörde ausgearbeiteten Verhaltensregeln, die nach Maßgabe der Besonderheiten der einzelnen Datenverarbeitungsbereiche zur ordnungsgemäßen Anwendung dieser Verordnung beitragen sollen und sich insbesondere auf folgende Aspekte beziehen:

a)  faire und transparente Datenverarbeitung,

aa)  Achtung der Rechte der Verbraucher;

b)  Datenerhebung,

c)  Unterrichtung der Öffentlichkeit und der betroffenen Personen;

d)  von betroffenen Personen in Ausübung ihrer Rechte gestellte Anträge;

e)  Unterrichtung und Schutz von Kindern;

f)  Datenübermittlung in Drittländer oder an internationale Organisationen;

g)  Mechanismen zur Überwachung und zur Sicherstellung der Einhaltung der Verhaltensregeln durch die diesen unterliegenden für die Verarbeitung Verantwortlichen;

h)  außergerichtliche Verfahren und sonstige Streitschlichtungsverfahren zur Beilegung von Streitigkeiten zwischen für die Verarbeitung Verantwortlichen und betroffenen Personen im Zusammenhang mit der Verarbeitung personenbezogener Daten unbeschadet der den betroffenen Personen aus den Artikeln 73 und 75 erwachsenden Rechte.

(2)  Verbände und andere Einrichtungen, die Kategorien von für die Verarbeitung Verantwortlichen oder Auftragsverarbeitern in einem Mitgliedstaat vertreten und beabsichtigen, eigene Verhaltensregeln aufzustellen oder bestehende Verhaltensregeln zu ändern oder zu erweitern, können diesbezügliche Vorschläge der Aufsichtsbehörde in dem betreffenden Mitgliedstaat zur Stellungnahme vorlegen. Die Aufsichtsbehörde kann nimmt unverzüglich zu der Frage Stellung nehmen, ob der betreffendedie Verarbeitung nach dem betreffenden Entwurf von Verhaltensregeln beziehungsweise der Änderungsvorschlag mit dieser Verordnung vereinbar ist. Die Aufsichtsbehörde hört die betroffenen Personen oder ihre Vertreter zu diesen Vorschlägen an.

(3)  Verbände und andere Einrichtungen, die Kategorien von für die Verarbeitung Verantwortlichen oder Auftragsverarbeitern Auftragsverarbeiter in mehreren Mitgliedstaaten vertreten, können der Kommission Entwürfe von Verhaltensregeln sowie Vorschläge zur Änderung oder Ausweitung bestehender Verhaltensregeln vorlegen.

(4)  Die Kommission kann wird ermächtigt, nachdem sie den Europäischen Datenschutzausschuss um eine Stellungnahme ersucht hat, im Wege einschlägiger Durchführungsrechtsakte delegierter Rechtsakte gemäß Artikel 86 zu beschließen, dass die ihr gemäß Absatz 3 vorgeschlagenen Verhaltensregeln beziehungsweise Änderungen und Erweiterungen bestehender Verhaltensregeln im Einklang mit dieser Verordnung stehen und allgemeine Gültigkeit in der Union besitzen. Die genannten DurchführungsrechtsakteMit diesen delegierten Rechtsakten werden in Übereinstimmung mit dem Prüfverfahren gemäß Artikel 87 Absatz 2 erlassen.den betroffenen Personen durchsetzbare Rechte übertragen.

(5)  Die Kommission trägt dafür Sorge, dass die Verhaltensregeln, denen gemäß Absatz 4 allgemeine Gültigkeit zuerkannt wurde, in geeigneter Weise veröffentlicht werden. [Abänd. 135]

Artikel 39

Zertifizierung

(1)  Die Mitgliedstaaten und die Kommission fördern insbesondere auf europäischer Ebene die Einführung von datenschutzspezifischen Zertifizierungsverfahren sowie von Datenschutzsiegeln und –zeichen, anhand deren betroffene Personen rasch das von für die Verarbeitung Verantwortlichen oder von Auftragsverarbeitern gewährleistete Datenschutzniveau in Erfahrung bringen können. Die datenschutzspezifischen Zertifizierungsverfahren dienen der ordnungsgemäßen Anwendung dieser Verordnung und tragen den Besonderheiten der einzelnen Sektoren und Verarbeitungsprozesse Rechnung.

(1a)  Jeder für die Verarbeitung Verantwortliche oder Auftragsverarbeiter kann bei jeder Aufsichtsbehörde in der Union für eine angemessene Gebühr unter Berücksichtigung der Verwaltungskosten eine Zertifizierung darüber beantragen, dass die Verarbeitung personenbezogener Daten im Einklang mit dieser Verordnung durchgeführt wird, insbesondere mit den Grundsätzen der Artikel 5, 23 und 30, den Pflichten der für die Verarbeitung Verantwortlichen und der Auftragsverarbeiter und den Rechten der betroffenen Person.

(1b)  Die Zertifizierung ist freiwillig, erschwinglich und über ein transparentes und nicht übermäßig aufwändiges Verfahren zugänglich.

(1c)  Die Aufsichtsbehörden und der Europäische Datenschutzausschuss arbeiten im Rahmen des Kohärenzverfahrens gemäß Artikel 57 zusammen, um ein harmonisiertes datenschutzspezifisches Zertifizierungsverfahren zu gewährleisten, einschließlich harmonisierter Gebühren innerhalb der Union.

(1d)  Während des Zertifizierungsverfahrens kann die Aufsichtsbehörde spezialisierte dritte Prüfer akkreditieren, die Prüfung des für die Verarbeitung Verantwortlichen oder des Auftragsverarbeiters für sie durchzuführen. Dritte Prüfer verfügen über ausreichend Personal, sind unparteiisch und in Bezug auf ihre Aufgaben frei von Interessenskonflikten. Aufsichtsbehörden entziehen die Akkreditierung, wenn es Grund zu der Annahme gibt, dass der Prüfer seine Aufgaben nicht korrekt erfüllt. Die endgültige Zertifizierung erteilt die Aufsichtsbehörde.

(1e)  Die Aufsichtsbehörden erteilen den für die Verarbeitung Verantwortlichen oder Auftragsverarbeitern, denen nach der Prüfung zertifiziert wird, dass sie personenbezogene Daten im Einklang mit dieser Verordnung verarbeiten, das standardisierte Datenschutzzeichen mit der Bezeichnung „Europäisches Datenschutzsiegel“.

(1f)  Das „Europäische Datenschutzsiegel“ ist so lange gültig, wie die Verarbeitungsprozesse des zertifizierten für die Verarbeitung Verantwortlichen oder des zertifizierten Auftragsverarbeiters weiter vollständig dieser Verordnung entsprechen.

(1g)  Unbeschadet des Absatzes 1f ist die Zertifizierung höchstens fünf Jahre gültig.

(1h)  Der Europäische Datenschutzausschuss richtet ein öffentliches elektronisches Register ein, in dem die Öffentlichkeit Einsicht in alle gültigen und ungültigen Zertifikate, die von den Mitgliedstaaten ausgestellt wurden, nehmen kann.

(1i)  Der Europäische Datenschutzausschuss kann auf eigene Initiative zertifizieren, dass ein technischer Standard zur Verbesserung des Datenschutzes mit dieser Verordnung vereinbar ist.

(2)  Die Kommission wird ermächtigt, nachdem sie den Europäischen Datenschutzausschuss um eine Stellungnahme ersucht hat und nach Anhörung von Interessenträgern, insbesondere Industrieverbände und nichtstaatliche Organisationen, delegierte Rechtsakte nach Maßgabe von Artikel 86 zu erlassen, um die Kriterien und Anforderungen für die in Absatz 1 den Absätzen 1a bis 1h genannten datenschutzspezifischen Zertifizierungsverfahren einschließlich der Bedingungen für die Akkreditierung der Prüfer, der Bedingungen für die Erteilung und den Entzug der Zertifizierung sowie der Anforderungen für die Anerkennung der Zertifizierung in der Union und in Drittländern festzulegen. Mit diesen delegierten Rechtsakten werden den betroffenen Personen durchsetzbare Rechte übertragen.

(3)  Die Kommission kann technische Standards für Zertifizierungsverfahren sowie Datenschutzsiegel und -zeichen und Verfahren zur Förderung und Anerkennung von Zertifizierungsverfahren und Datenschutzsiegeln und -zeichen festlegen. Die entsprechenden Durchführungsrechtsakte werden in Übereinstimmung mit dem in Artikel 87 Absatz 2 genannten Prüfverfahren angenommen. [Abänd. 136]

KAPITEL V

ÜBERMITTLUNG PERSONENBEZOGENER DATEN IN DRITTLÄNDER ODER AN INTERNATIONALE ORGANISATIONEN

Artikel 40

Allgemeine Grundsätze der Datenübermittlung

Jedwede Übermittlung von personenbezogenen Daten, die bereits verarbeitet werden oder nach ihrer Übermittlung in ein Drittland oder an eine internationale Organisation verarbeitet werden sollen, ist nur zulässig, wenn der für die Verarbeitung Verantwortliche und der Auftragsverarbeiter die in diesem Kapitel niedergelegten Bedingungen einhalten und auch die sonstigen Bestimmungen dieser Verordnung eingehalten werden; dies gilt auch für die etwaige Weitergabe personenbezogener Daten durch das betreffende Drittland oder die betreffende internationale Organisation an ein anderes Drittland oder eine andere internationale Organisation.

Artikel 41

Datenübermittlung auf der Grundlage eines Angemessenheitsbeschlusses

(1)  Eine Datenübermittlung darf vorgenommen werden, wenn die Kommission festgestellt hat, dass das betreffende Drittland beziehungsweise ein Gebiet oder ein Verarbeitungssektor dieses Drittlands oder die betreffende internationale Organisation einen angemessenen Schutz bietet. Derartige Datenübermittlungen bedürfen keiner weiteren besonderen Genehmigung.

(2)  Bei der Prüfung der Angemessenheit des gebotenen Schutzes berücksichtigt die Kommission

a)  die Rechtsstaatlichkeit, die geltenden allgemeinen und sektorspezifischen Vorschriften, insbesondere über die öffentliche Sicherheit, die Landesverteidigung, die nationale Sicherheit und das Strafrecht, Umsetzung dieser Rechtsvorschriften, die in dem betreffenden Land beziehungsweise der betreffenden internationalen Organisation geltenden Standesregeln und Sicherheitsvorschriften, juristische Präzedenzfälle sowie die Existenz wirksamer und durchsetzbarer Rechte einschließlich wirksamer administrativer und gerichtlicher Rechtsbehelfe für betroffene Personen und insbesondere für in der Union ansässige betroffene Personen, deren personenbezogene Daten übermittelt werden;

b)  die Existenz und die Wirksamkeit einer oder mehrerer in dem betreffenden Drittland beziehungsweise in der betreffenden internationalen Organisation tätiger unabhängiger Aufsichtsbehörden, die für die Einhaltung der Datenschutzvorschriften, einschließlich hinreichender Sanktionsbefugnisse, für die Unterstützung und Beratung der betroffenen Personen bei der Ausübung ihrer Rechte und für die Zusammenarbeit mit den Aufsichtsbehörden der Union und der Mitgliedstaaten zuständig sind, und

c)  die von dem betreffenden Drittland beziehungsweise der internationalen Organisation eingegangenen internationalen Verpflichtungen, insbesondere rechtlich verbindliche Übereinkommen oder Instrumente in Bezug auf den Schutz personenbezogener Daten.

(3)  Die Kommission kann durch Beschluss feststellenwird ermächtigt, delegierte Rechtsakte nach Maßgabe von Artikel 86 zu erlassen, um festzustellen, dass ein Drittland beziehungsweise ein Gebiet oder ein Verarbeitungssektor eines Drittlands oder eine internationale Organisation einen angemessenen Schutz im Sinne von Absatz 2 bietet. Diese Durchführungsrechtsakte delegierten Rechtsakte sehen, wenn sie den Verarbeitungssektor betreffen, eine Verfallsklausel vor und werden in Übereinstimmung mit dem Prüfverfahren, sobald ein angemessenes Niveau des Schutze gemäß Artikel 87 Absatz 2 erlassendieser Verordnung nicht mehr gewährleistet ist, gemäß Artikel 5 aufgehoben.

(4)  In jedem Durchführungsrechtsakt delegierten Rechtsakt werden der geografische territoriale und der sektorielle Anwendungsbereich sowie gegebenenfalls die in Absatz 2 Buchstabe b genannte Aufsichtsbehörde angegeben.

(4a)  Die Kommission überwacht laufend die Entwicklungen, die sich auf die in Absatz 2 aufgeführten Faktoren in Drittländern und internationalen Organisationen auswirken könnten, für die delegierte Rechtsakte gemäß Absatz 3 erlassen wurden.

(5)  Die Kommission kann durch Beschluss feststellenwird ermächtigt, delegierte Rechtsakte nach Maßgabe von Artikel 86 zu erlassen, um festzustellen, dass ein Drittland beziehungsweise ein Gebiet oder ein Verarbeitungssektor eines Drittlands oder eine internationale Organisation keinen angemessenen Schutz im Sinne von Absatz 2 dieses Artikels bietet oder nicht mehr bietet; dies gilt insbesondere für Fälle, in denen die in dem betreffenden Drittland beziehungsweise der betreffenden internationalen Organisation geltenden allgemeinen und sektorspezifischen Vorschriften keine wirksamen und durchsetzbaren Rechte einschließlich wirksamer administrativer und gerichtlicher Rechtsbehelfe für in der Union ansässige betroffene Personen und insbesondere für betroffene Personen, deren personenbezogene Daten übermittelt werden, garantieren. Diese Durchführungsrechtsakte werden in Übereinstimmung mit dem Prüfverfahren gemäß Artikel 87 Absatz 2 oder – in Fällen, in denen es äußerst dringlich ist, das Recht natürlicher Personen auf den Schutz ihrer personenbezogenen Daten zu wahren – nach dem in Artikel 87 Absatz 3 genannten Verfahren angenommen.

(6)  Wenn die Kommission die in Absatz 5 genannte Feststellung trifft, wird dadurch jedwede Übermittlung personenbezogener Daten an das betreffende Drittland beziehungsweise an ein Gebiet oder einen Verarbeitungssektor in diesem Drittland oder an die betreffende internationale Organisation unbeschadet der Bestimmungen der Artikel 42 bis 44 untersagt. Die Kommission nimmt zu geeigneter Zeit Beratungen mit dem betreffenden Drittland beziehungsweise mit der betreffenden internationalen Organisation auf, um Abhilfe für die Situation, die aus dem gemäß Absatz 5 erlassenen Beschluss entstanden ist, zu schaffen.

(6a)  Vor Erlass der delegierten Rechtsakte gemäß den Absätzen 3 und 5 ersucht die Kommission den Europäischen Datenschutzausschuss um eine Stellungnahme zur Angemessenheit des Datenschutzniveaus. Zu diesem Zweck versorgt die Kommission den Europäischen Datenschutzausschuss mit allen erforderlichen Unterlagen, darunter den Schriftwechsel mit der Regierung des Drittlands, Gebiets oder Verarbeitungssektors eines Drittlands oder der internationalen Organisation.

(7)  Die Kommission veröffentlicht im Amtsblatt der Europäischen Union und auf ihrer Website eine Liste aller Drittländer beziehungsweise Gebiete und Verarbeitungssektoren von Drittländern und aller internationalen Organisationen, bei denen sie durch Beschluss festgestellt hat, dass diese einen beziehungsweise keinen angemessenen Schutz personenbezogener Daten bieten.

(8)  Sämtliche von der Kommission auf der Grundlage von Artikel 25 Absatz 6 oder Artikel 26 Absatz 4 der Richtlinie 95/46/EG erlassenen Beschlüsse bleiben so lange fünf Jahre nach Inkrafttreten dieser Verordnung in Kraft, bis sie von der es sei denn, sie wird durch die Kommission vor Ende dieses Zeitraums geändert, ersetzt oder aufgehoben werden. [Abänd. 137]

Artikel 42

Datenübermittlung auf der Grundlage geeigneter Garantien

(1)  Hat die Kommission keinen Beschluss nach Artikel 41 erlassen oder hat sie festgestellt, dass ein Drittland beziehungsweise ein Gebiet oder ein Verarbeitungssektor eines Drittlands oder eine internationale Organisation keinen angemessenen Datenschutz im Einklang mit Artikel 41 Absatz 5 bietet, darf ein für die Verarbeitung Verantwortlicher oder ein Auftragsverarbeiter nur dann personenbezogene Daten in ein Drittland oder an eine internationale Organisation übermitteln, sofern wenn er in einem rechtsverbindlichen Instrument geeignete Garantien zum Schutz personenbezogener Daten vorgesehen hat.

(2)  Die in Absatz 1 genannten geeigneten Garantien können insbesondere bestehen in Form

a)  verbindlicher unternehmensinterner Vorschriften nach Artikel 43; oder

aa)  eines gültigen europäischen Datenschutzsiegels gemäß Artikel 39 Absatz 1e für den für die Verarbeitung Verantwortlichen oder den Auftragsverarbeiter; oder

b)  von der Kommission angenommener Standarddatenschutzklauseln, diese Durchführungsrechtsakte werden in Übereinstimmung mit dem in Artikel 87 Absatz 2 genannten Prüfverfahren erlassen;

c)  von einer Aufsichtsbehörde nach Maßgabe des in Artikel 57 beschriebenen Kohärenzverfahren angenommener Standarddatenschutzklauseln, sofern diesen von der Kommission allgemeine Gültigkeit gemäß Artikel 62 Absatz 1 Buchstabe b zuerkannt wurde, oder

d)  von Vertragsklauseln, die zwischen dem für die Verarbeitung Verantwortlichen oder dem Auftragsverarbeiter und dem Empfänger vereinbart und von einer Aufsichtsbehörde gemäß Absatz 4 genehmigt wurden.

(3)  Datenübermittlungen, die nach Maßgabe der in Absatz 2 Buchstabe a, aa, b und c oder c genannten Standarddatenschutzklauseln, eines europäischen Datenschutzsiegels oder unternehmensinternen Vorschriften und Standarddatenschutzklauseln erfolgen, bedürfen keiner weiteren besonderen Genehmigung.

(4)  Für Datenübermittlungen nach Maßgabe der in Absatz 2 Buchstabe d dieses Artikels genannten Vertragsklauseln holt der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter die vorherige Genehmigung der Aufsichtsbehörde gemäß Artikel 34 Absatz 1 Buchstabe a ein. Falls die Datenübermittlung im Zusammenhang mit Verarbeitungstätigkeiten steht, welche Personen in einem oder mehreren anderen Mitgliedstaaten betreffen oder wesentliche Auswirkungen auf den freien Verkehr von personenbezogenen Daten in der Union haben, bringt die Aufsichtsbehörde das in Artikel 57 genannte Kohärenzverfahren zur Anwendung.

(5)  Wenn keine geeigneten Garantien für den Schutz personenbezogener Daten in einem rechtsverbindlichen Instrument vorgesehen werden, holt der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter die vorherige Genehmigung für die Übermittlung oder Kategorie von Übermittlungen oder für die Aufnahme von entsprechenden Bestimmungen in die Verwaltungsvereinbarungen ein, die die Grundlage für eine solche Übermittlung bilden. Derartige vorherige Genehmigungen der Aufsichtsbehörde müssen im Einklang mit Artikel 34 Absatz 1 Buchstabe a stehen. Falls die Datenübermittlung im Zusammenhang mit Verarbeitungstätigkeiten steht, welche Personen in einem oder mehreren anderen Mitgliedstaaten betreffen oder wesentliche Auswirkungen auf den freien Verkehr von personenbezogenen Daten in der Union haben, bringt die Aufsichtsbehörde das in Artikel 57 genannte Kohärenzverfahren zur Anwendung. Sämtliche von einer Aufsichtsbehörde auf der Grundlage von Artikel 26 Absatz 2 der Richtlinie 95/46/EG erteilten Genehmigungen bleiben zwei Jahre nach Inkrafttreten dieser Verordnung oder so lange in Kraft, bis sie von dieser , es sei denn, sie werden durch die Aufsichtsbehörde vor Ende dieses Zeitraums geändert, ersetzt oder aufgehoben werden. [Abänd. 138]

Artikel 43

Datenübermittlung auf der Grundlage verbindlicher unternehmensinterner Vorschriften

(1)  Eine Die Aufsichtsbehörde kann nach Maßgabe des in Artikel 58 beschriebenen Kohärenzverfahrens verbindliche unternehmensinterne Vorschriften genehmigen, sofern diese

a)  rechtsverbindlich sind, für alle Mitglieder der Unternehmensgruppe des für die Verarbeitung Verantwortlichen oder des Auftragsverarbeitersder externen Subunternehmer, die in den Anwendungsbereich der verbindlichen unternehmensinternen Vorschriften fallen, sowie deren Beschäftigte gelten und von diesen Mitgliedern angewendet werden;

b)  den betroffenen Personen ausdrücklich durchsetzbare Rechte übertragen;

c)  die in Absatz 2 festgelegten Anforderungen erfüllen.

(1a)  In Bezug auf Beschäftigungsdaten werden die Arbeitnehmervertreter unterrichtet und gemäß Rechtsvorschriften und Praktiken der Union oder der Mitgliedstaaten in die Erarbeitung verbindlicher unternehmensinterner Vorschriften gemäß Artikel 43 einbezogen.

(2)  Alle verbindlichen unternehmensinternen Vorschriften enthalten mindestens folgende Informationen:

a)  Struktur und Kontaktdaten der Unternehmensgruppe und ihrer Mitglieder und der externen Subunternehmer, die in den Anwendungsbereich der verbindlichen unternehmensinternen Vorschriften fallen;

b)  die betreffenden Datenübermittlungen oder Datenübermittlungskategorien einschließlich der betreffenden Kategorien personenbezogener Daten, Art und Zweck der Datenverarbeitung, Art der betroffenen Personen und das betreffende Drittland beziehungsweise die betreffenden Drittländer;

c)  interne und externe Rechtsverbindlichkeit der betreffenden unternehmensinternen Vorschriften;

d)  die allgemeinen Datenschutzgrundsätze, zum Beispiel Zweckbegrenzung, die Datenminimierung, begrenzte Aufbewahrungsfristen, die Datenqualität, Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen, die Rechtsgrundlage für die Verarbeitung sowie die Bestimmungen für etwaige Verarbeitungen sensibler personenbezogener Daten, Maßnahmen zur Sicherstellung der Datensicherheit und die Anforderungen für die Datenweitergabe an nicht an diese Vorschriften gebundene Organisationen;

e)  die Rechte der betroffenen Personen und die diesen offen stehenden Mittel zur Wahrnehmung dieser Rechte einschließlich des Rechts, keiner einer Profilerstellung dienenden Maßnahme nach Artikel 20 unterworfen zu werden sowie des in Artikel 75 niedergelegten Rechts auf Beschwerde bei der zuständigen Aufsichtsbehörde beziehungsweise auf Einlegung eines Rechtsbehelfs bei den zuständigen Gerichten der Mitgliedstaaten und im Falle einer Verletzung der verbindlichen unternehmensinternen Vorschriften Wiedergutmachung und gegebenenfalls Schadenersatz zu erhalten;

f)  die von dem in einem Mitgliedstaat niedergelassenen für die Verarbeitung Verantwortlichen oder Auftragsverarbeiter übernommene Haftung für etwaige Verstöße von nicht in der Union niedergelassenen Mitgliedern der Unternehmensgruppe gegen die verbindlichen unternehmensinternen Vorschriften; der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter kann teilweise oder vollständig von dieser Haftung befreit werden, wenn er nachweist, dass der Umstand, durch den der Schaden eingetreten ist, dem betreffenden Mitglied nicht zur Last gelegt werden kann;

g)  die Art und Weise, wie die betroffenen Personen gemäß Artikel 11 über die verbindlichen unternehmensinternen Vorschriften und insbesondere über die unter den Buchstaben d, e und f dieses Absatzes genannten Aspekte informiert werden;

(h)  die Aufgaben des gemäß Artikel 35 benannten Datenschutzbeauftragten einschließlich der Überwachung der Einhaltung der verbindlichen unternehmensinternen Vorschriften in der Unternehmensgruppe sowie die Überwachung der Schulungsmaßnahmen und den Umgang mit Beschwerden;

i)  die innerhalb der Unternehmensgruppe bestehenden Verfahren zur Überprüfung der Einhaltung der verbindlichen unternehmensinternen Vorschriften;

j)  die Verfahren für die Meldung und Erfassung von Änderungen der Unternehmenspolitik und ihre Meldung an die Aufsichtsbehörde;

k)  die Verfahren für die Zusammenarbeit mit der Aufsichtsbehörde, die die Befolgung der Vorschriften durch sämtliche Mitglieder der Unternehmensgruppe gewährleisten, wie insbesondere die Offenlegung der Ergebnisse der Überprüfungen der unter Buchstabe i dieses Absatzes genannten Maßnahmen gegenüber der Aufsichtsbehörde.

(3)  Die Kommission wird ermächtigt, delegierte Rechtsakte nach Maßgabe von Artikel 86 zu erlassen, um Format, Verfahren, die Kriterien und Anforderungen für verbindliche unternehmensinterne Vorschriften im Sinne dieses Artikels und insbesondere die Kriterien für deren Genehmigung, einschließlich Transparenz für betroffene Personen, und für die Anwendung von Absatz 2 Buchstaben b, d, e, und f auf verbindliche unternehmensinterne Vorschriften von Auftragsverarbeitern sowie weitere erforderliche Anforderungen zum Schutz der personenbezogenen Daten der betroffenen Personen festzulegen.

(4)  Die Kommission kann das Format und Verfahren für den auf elektronischem Wege erfolgenden Informationsaustausch über verbindliche unternehmensinterne Vorschriften im Sinne dieses Artikels zwischen für die Verarbeitung Verantwortlichen, Auftragsverarbeitern und Aufsichtsbehörden festlegen. Diese Durchführungsrechtsakte werden in Übereinstimmung mit dem Prüfverfahren gemäß Artikel 87 Absatz 2 erlassen. [Abänd. 139]

Artikel 43a

Übermittlung oder Weitergabe, die nicht im Einklang mit dem Unionsrecht stehen

(1)  Unbeschadet eines Abkommens über Amtshilfe oder eines zwischen dem ersuchenden Drittstaat und der Union oder einem Mitgliedstaat geltenden internationalen Übereinkommens werden Urteile von Gerichten und Entscheidungen von Verwaltungsbehörden eines Drittstaats, die von einem für die Verarbeitung Verantwortlichen oder Auftragsverarbeiter verlangen, personenbezogene Daten weiterzugeben, weder anerkannt noch in irgendeiner Weise vollstreckt.

(2)  Verlangt ein Urteil eines Gerichts oder eine Entscheidung einer Verwaltungsbehörde eines Drittstaats von einem für die Verarbeitung Verantwortlichen oder Auftragsverarbeiter, personenbezogene Daten weiterzugeben, so unterrichtet der für die Verarbeitung Verantwortliche oder Auftragsverarbeiter bzw. ein etwaiger Vertreter des für die Verarbeitung Verantwortlichen die Aufsichtsbehörde unverzüglich über das Ersuchen und muss von der Aufsichtsbehörde die vorherige Genehmigung für die Übermittlung oder Weitergabe erhalten.

(3)  Die Aufsichtsbehörde prüft die Vereinbarkeit der beantragten Weitergabe mit dieser Verordnung und insbesondere, ob die Weitergabe gemäß Artikel 44 Absatz 1 Buchstabe d und e sowie Artikel 44 Absatz 5 erforderlich und rechtlich vorgeschrieben ist. Sind betroffene Personen anderer Mitgliedstaaten betroffen, bringt die Aufsichtsbehörde das in Artikel 57 beschriebene Kohärenzverfahren zur Anwendung.

(4)  Die Aufsichtsbehörde unterrichtet die zuständige einzelstaatliche Behörde über das Ersuchen. Unbeschadet des Artikels 21 unterrichtet der für die Verarbeitung Verantwortliche oder Auftragsverarbeiter auch die betroffene Person über das Ersuchen und über die Genehmigung der Aufsichtsbehörde sowie gegebenenfalls darüber, ob personenbezogene Daten innerhalb der letzten zwölf aufeinanderfolgenden Monate gemäß Artikel 14 Absatz 1 Buchstabe ha an Behörden übermittelt wurden. [Abänd. 140]

Artikel 44

Ausnahmen

(1)  Falls weder ein Angemessenheitsbeschluss nach Artikel 41 vorliegt noch geeignete Garantien nach Artikel 42 bestehen, ist eine Übermittlung oder eine Kategorie von Übermittlungen personenbezogener Daten in ein Drittland oder an eine internationale Organisation nur zulässig, wenn

a)  die betroffene Person der vorgeschlagenen Datenübermittlung zugestimmt hat, nachdem sie über die Risiken derartiger ohne Vorliegen eines Angemessenheitsbeschlusses und ohne geeignete Garantien durchgeführter Datenübermittlungen informiert wurde,

b)  die Übermittlung für die Erfüllung eines Vertrags zwischen der betroffenen Person und dem für die Verarbeitung Verantwortlichen oder zur Durchführung von vorvertraglichen Maßnahmen auf Antrag der betroffenen Person erforderlich ist,

c)  die Übermittlung zum Abschluss oder zur Erfüllung eines im Interesse der betroffenen Person von dem für die Verarbeitung Verantwortlichen mit einer anderen natürlichen oder juristischen Person geschlossenen Vertrags erforderlich ist,

d)  die Übermittlung aus wichtigen Gründen des öffentlichen Interesses notwendig ist,

e)  die Übermittlung zur Begründung, Geltendmachung oder Verteidigung von Rechtsansprüchen erforderlich ist,

f)  die Übermittlung zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen Person erforderlich ist, sofern die betroffene Person aus physischen oder rechtlichen Gründen außerstande ist, ihre Einwilligung zu geben,

g)  die Übermittlung aus einem Register erfolgt, das gemäß dem Unionsrecht oder dem mitgliedstaatlichen Recht zur Information der Öffentlichkeit bestimmt ist und entweder der gesamten Öffentlichkeit oder allen Personen, die ein berechtigtes Interesse nachweisen können, zur Einsichtnahme offensteht, soweit die im Unionsrecht oder im mitgliedstaatlichen Recht festgelegten Voraussetzungen für die Einsichtnahme im Einzelfall gegeben sind, oder

(h)  die Übermittlung zur Verwirklichung des berechtigten Interesses, das von dem für die Verarbeitung Verantwortlichen oder vom Auftragsverarbeiter wahrgenommen wird, erforderlich ist und nicht als häufig oder massiv bezeichnet werden kann, und falls der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter alle Umstände beurteilt hat, die bei einer Datenübermittlung oder bei einer Kategorie von Datenübermittlungen eine Rolle spielen, und gegebenenfalls auf der Grundlage dieser Beurteilung geeignete Garantien zum Schutz personenbezogener Daten vorgesehen hat.

(2)  Datenübermittlungen gemäß Absatz 1 Buchstabe g dürfen nicht die Gesamtheit oder ganze Kategorien der im Register enthaltenen Daten umfassen. Wenn das Register der Einsichtnahme durch Personen mit berechtigtem Interesse dient, darf die Übermittlung nur auf Antrag dieser Personen oder nur dann erfolgen, wenn diese Personen die Adressaten der Übermittlung sind.

(3)  Bei Datenverarbeitungen gemäß Absatz 1 Buchstabe h berücksichtigt der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter insbesondere die Art der Daten, die Zweckbestimmung und die Dauer der geplanten Verarbeitung, die Situation im Herkunftsland, in dem betreffenden Drittland und im Endbestimmungsland sowie erforderlichenfalls etwaige vorgesehene geeignete Garantien zum Schutz personenbezogener Daten.

(4)  Absatz 1 Buchstaben b, c und h und c gelten nicht für Tätigkeiten, die Behörden in Ausübung ihrer hoheitlichen Befugnisse durchführen.

(5)  Das in Absatz 1 Buchstabe d genannte öffentliche Interesse muss im Unionsrecht oder im Recht des Mitgliedstaats, dem der für die Verarbeitung Verantwortliche unterliegt, anerkannt sein.

(6)  Der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter erfasst die von ihm vorgenommene Beurteilung sowie die in Absatz 1 Buchstabe h dieses Artikels genannten geeigneten Garantien in der Dokumentation gemäß Artikel 28 und setzt die Aufsichtsbehörde von der Übermittlung in Kenntnis.

(7)  Der Europäische Datenschutzausschuss wird beauftragt, Leitlinien, Empfehlungen und bewährte Praktiken in Bezug auf die Kommission wird ermächtigt, delegierte Rechtsakte weitere Festlegung der Kriterien und Bedingungen für die Übermittlung von Daten gemäß Absatz 1 nach Maßgabe von Artikel 86 zu erlassen, um die in Absatz 1 Buchstabe d genannten „wichtigen Gründe des öffentlichen Interesses“ zu präzisiseren und die Kriterien und Anforderungen für die geeigneten Garantien im Sinne des Absatzes 1 Buchstabe h festzulegen.Artikel 66 Absatz 1 Buchstabe b zu veröffentlichen. [Abänd. 141]

Artikel 45

Internationale Zusammenarbeit zum Schutz personenbezogener Daten

(1)  In Bezug auf Drittländer und internationale Organisationen treffen die Kommission und die Aufsichtsbehörden geeignete Maßnahmen zur

a)  Entwicklung wirksamer Mechanismen der internationalen Zusammenarbeit, durch die die Durchsetzung von Rechtsvorschriften zum Schutz personenbezogener Daten erleichtert gewährleistet wird, [Abänd. 142]

b)  gegenseitigen Leistung internationaler Amtshilfe bei der Durchsetzung von Rechtsvorschriften zum Schutz personenbezogener Daten, unter anderem durch Mitteilungen, Beschwerdeverweisungen, Amtshilfe bei Untersuchungen und Informationsaustausch, sofern geeignete Garantien für den Schutz personenbezogener Daten und anderer Grundrechte und Grundfreiheiten bestehen,

c)  Einbindung maßgeblich Beteiligter in Diskussionen und Tätigkeiten, die zum Ausbau der internationalen Zusammenarbeit bei der Durchsetzung von Rechtsvorschriften über den Schutz personenbezogener Daten dienen,

d)  Förderung des Austauschs und der Dokumentation von Rechtsvorschriften und Praktiken zum Schutz personenbezogener Daten.

da)  Klärung und Beratung von Zuständigkeitskonflikten mit Drittländern. [Abänd. 143]

(2)  Zu den in Absatz 1 genannten Zwecken ergreift die Kommission geeignete Maßnahmen zur Förderung der Beziehungen zu Drittländern und internationalen Organisationen und insbesondere zu deren Aufsichtsbehörden, wenn sie gemäß Artikel 41 Absatz 3 durch Beschluss festgestellt hat, dass diese einen angemessenen Schutz bieten.

Artikel 45a

Bericht der Kommission

Die Kommission legt dem Europäischen Parlament und dem Rat spätestens vier Jahre nach dem in Artikel 91 Absatz 1 genannten Termin in regelmäßigen Abständen einen Bericht über die Anwendung der Artikel 40 bis 45 vor. Hierzu kann die Kommission von den Mitgliedstaaten und den Aufsichtsbehörden Informationen einholen, die unverzüglich zu übermitteln sind. Dieser Bericht wird veröffentlicht. [Abänd. 144]

KAPITEL VI

UNABHÄNGIGE AUFSICHTSBEHÖRDEN

ABSCHNITT 1

UNABHÄNGIGKEIT

Artikel 46

Aufsichtsbehörde

(1)  Jeder Mitgliedstaat trägt dafür Sorge, dass eine oder mehrere Behörden für die Überwachung der Anwendung dieser Verordnung zuständig sind und einen Beitrag zur ihrer einheitlichen Anwendung in der gesamten Union leisten, damit die Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung ihrer Daten geschützt und der freie Verkehr dieser Daten in der Union erleichtert werden. Zu diesem Zweck bedarf es der Zusammenarbeit der Aufsichtsbehörden untereinander und mit der Kommission.

(2)  Gibt es in einem Mitgliedstaat mehr als eine Aufsichtsbehörde, so bestimmt dieser Mitgliedstaat die Aufsichtsbehörde, die als zentrale Kontaktstelle für die wirksame Beteiligung dieser Behörden im Europäischen Datenschutzausschuss fungiert und führt ein Verfahren ein, mit dem sichergestellt wird, dass die anderen Behörden die Regeln für das Kohärenzverfahren nach Artikel 57 einhalten.

(3)  Jeder Mitgliedstaat teilt der Kommission bis spätestens zu dem in Artikel 91 Absatz 2 genannten Zeitpunkt die Rechtsvorschriften, die er aufgrund dieses Kapitels erlässt, sowie unverzüglich alle folgenden Änderungen dieser Vorschriften mit.

Artikel 47

Unabhängigkeit

(1)  Die Aufsichtsbehörde handelt bei der Erfüllung der ihr übertragenen Aufgaben und Befugnisse völlig unabhängig und unparteilich, vorbehaltlich der Vorkehrungen für Zusammenarbeit und Kohärenz gemäß Kapitel VII dieser Verordnung. [Abänd. 145]

(2)  Die Mitglieder der Aufsichtsbehörde ersuchen in Ausübung ihres Amtes weder um Weisung noch nehmen sie Weisungen entgegen.

(3)  Die Mitglieder der Aufsichtsbehörde sehen von allen mit den Aufgaben ihres Amts nicht zu vereinbarenden Handlungen ab und üben während ihrer Amtszeit keine andere mit ihrem Amt nicht zu vereinbarende entgeltliche oder unentgeltliche Tätigkeit aus.

(4)  Die Mitglieder der Aufsichtsbehörde verhalten sich nach Ablauf ihrer Amtszeit im Hinblick auf die Annahme von Tätigkeiten und Vorteilen ehrenhaft und zurückhaltend.

(5)  Jeder Mitgliedstaat stellt sicher, dass die Aufsichtsbehörde mit angemessenen personellen, technischen und finanziellen Ressourcen, Räumlichkeiten und mit der erforderlichen Infrastruktur ausgestattet wird, um ihre Aufgaben und Befugnisse auch im Rahmen der Amtshilfe, Zusammenarbeit und Mitwirkung im Europäischen Datenschutzausschuss effektiv wahrnehmen zu können.

(6)  Jeder Mitgliedstaat stellt sicher, dass die Aufsichtsbehörde über eigenes Personal verfügt, das vom Leiter der Aufsichtbehörde ernannt wird und seiner Leitung untersteht.

(7)  Jeder Mitgliedstaat stellt sicher, dass die Aufsichtsbehörde einer Finanzkontrolle unterliegt, die ihre Unabhängigkeit nicht beeinträchtigt. Die Mitgliedstaaten sorgen dafür, dass die Aufsichtsbehörde über einen eigenen jährlichen Haushalt verfügt. Die Haushaltspläne werden veröffentlicht.

(7a)  Die Mitgliedstaaten stellen jeweils sicher, dass die Aufsichtsbehörde gegenüber dem einzelstaatlichen Parlament im Rahmen der Haushaltskontrolle rechenschaftspflichtig ist. [Abänd. 146]

Artikel 48

Allgemeine Bedingungen für die Mitglieder der Aufsichtsbehörde

(1)  Die Mitgliedstaaten tragen dafür Sorge, dass die Mitglieder der Aufsichtsbehörde entweder vom Parlament oder von der Regierung des betreffenden Mitgliedstaats ernannt werden.

(2)  Die Mitglieder werden aus einem Kreis von Personen ausgewählt, an deren Unabhängigkeit kein Zweifel besteht, und die nachweislich über die für die Erfüllung ihrer Aufgaben erforderliche Erfahrung und Sachkunde insbesondere im Bereich des Schutzes personenbezogener Daten verfügen.

(3)  Das Amt eines Mitglieds endet mit Ablauf der Amtszeit, mit seinem Rücktritt oder seiner Enthebung aus dem Amt gemäß Absatz 4.

(4)  Ein Mitglied kann vom zuständigen nationalen Gericht seines Amtes enthoben oder seiner Ruhegehaltsansprüche oder an ihrer Stelle gewährten Vergünstigungen für verlustig erklärt werden, wenn es die Voraussetzungen für die Ausübung seines Amtes nicht mehr erfüllt oder eine schwere Verfehlung begangen hat.

(5)  Endet die Amtszeit des Mitglieds oder tritt es zurück, übt es sein Amt so lange weiter aus, bis ein neues Mitglied ernannt ist.

Artikel 49

Errichtung der Aufsichtsbehörde

Jeder Mitgliedstaat regelt durch Gesetz in den Grenzen dieser Verordnung

a)  die Errichtung der Aufsichtsbehörde und ihre Stellung,

b)  die Qualifikation, Erfahrung und fachliche Eignung, die für die Wahrnehmung der Aufgaben eines Mitglieds der Aufsichtsbehörde notwendig ist,

c)  die Vorschriften und Verfahren für die Ernennung der Mitglieder der Aufsichtsbehörde und zur Bestimmung der Handlungen und Tätigkeiten, die mit dem Amt unvereinbar sind,

d)  die Amtszeit der Mitglieder der Aufsichtsbehörde, die mindestens vier Jahre beträgt; dies gilt nicht für die erste Amtszeit nach Inkrafttreten dieser Verordnung, die für einen Teil der Mitglieder kürzer sein kann, wenn eine zeitlich versetzte Ernennung zur Wahrung der Unabhängigkeit der Aufsichtsbehörde notwendig ist;

e)  ob die Mitglieder der Aufsichtsbehörde wiederernannt werden können,

f)  die Regelungen und allgemeinen Bedingungen für das Amt eines Mitglieds und die Aufgaben der Bediensteten der Aufsichtsbehörde,

g)  die Regeln und Verfahren für die Beendigung der Amtszeit der Mitglieder der Aufsichtsbehörde, auch für den Fall, dass sie die Voraussetzungen für die Ausübung ihres Amtes nicht mehr erfüllen oder eine schwere Verfehlung begangen haben.

Artikel 50

Verschwiegenheitspflicht

Die Mitglieder und Bediensteten der Aufsichtsbehörde sind während ihrer Amts- beziehungsweise Dienstzeit und auch nach deren Beendigung gemäß den einzelstaatlichen Rechtsvorschriften und Gepflogenheiten verpflichtet, über alle vertraulichen Informationen, die ihnen bei der Wahrnehmung ihrer Aufgaben bekannt geworden sind, Verschwiegenheit zu bewahren und ihre Aufgaben mit der Unabhängigkeit und Transparenz gemäß dieser Verordnung wahrzunehmen. [Abänd. 147]

ABSCHNITT 2

AUFGABEN UND BEFUGNISSE

Artikel 51

Zuständigkeit

(1)  Jede Aufsichtsbehörde führt unbeschadet der Artikel 73 und 74 die ihr in dieser Verordnung übertragenen Aufgaben durch und übt im Hoheitsgebiet ihres Mitgliedstaats die ihr mit dieser Verordnung übertragenen Befugnisse aus. Datenverarbeitung durch Behörden wird nur durch die Aufsichtsbehörde dieses Mitgliedstaats überwacht. [Abänd. 148]

(2)  Findet die Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten der Niederlassung eines für die Verarbeitung Verantwortlichen oder Auftragsverarbeiters in der Union statt, wobei der für die Verarbeitung Verantwortliche oder Auftragsverarbeiter Niederlassungen in mehr als einem Mitgliedstaat hat, so ist die Aufsichtbehörde des Mitgliedstaats, in dem sich die Hauptniederlassung des für die Verarbeitung Verantwortlichen oder Auftragsverarbeiters befindet, unbeschadet der Bestimmungen von Kapitel VII dieser Verordnung für die Aufsicht über dessen Verarbeitungstätigkeit in allen Mitgliedstaaten zuständig. [Abänd. 149]

(3)  Die Aufsichtsbehörde ist nicht zuständig für die Überwachung der von Gerichten im Rahmen ihrer gerichtlichen Tätigkeit vorgenommenen Verarbeitungen.

Artikel 52

Aufgaben

(1)  Aufgaben der Aufsichtsbehörde sind

a)  die Überwachung und Gewährleistung der Anwendung dieser Verordnung,

b)  die Befassung mit Beschwerden betroffener Personen oder von Verbänden, die diese Personen gemäß Artikel 73 vertreten, die Untersuchung der Angelegenheit in angemessenem Umfang und Unterrichtung der betroffenen Personen oder Verbände über den Fortgang und das Ergebnis der Beschwerde innerhalb einer angemessenen Frist, vor allem, wenn eine weitere Untersuchung oder Koordinierung mit einer anderen Aufsichtsbehörde notwendig ist, [Abänd. 150]

c)  der Informationsaustausch mit anderen Aufsichtsbehörden und die Amtshilfe sowie die Gewährleistung der einheitlichen Anwendung und Durchsetzung dieser Verordnung,

d)  die Durchführung von Untersuchungen auf eigene Initiative, aufgrund einer Beschwerde oder einer konkreten und dokumentierten Information, die unrechtmäßige Verarbeitung behauptet oder auf Ersuchen einer anderen Aufsichtsbehörde und, falls die betroffene Person eine Beschwerde bei dieser Aufsichtsbehörde eingereicht hat, deren Unterrichtung über die Ergebnisse der Untersuchungen innerhalb einer angemessenen Frist, [Abänd. 151]

e)  die Verfolgung relevanter Entwicklungen, soweit als sie sich auf den Schutz personenbezogener Daten auswirken, insbesondere der Entwicklung der Informations- und Kommunikationstechnologie und der Geschäftspraktiken,

f)  die Beratung der Organe und Einrichtungen der Mitgliedstaaten im Hinblick auf Rechts- und Verwaltungsmaßnahmen, die den Schutz der Rechte und Freiheiten der natürlichen Personen bei der Verarbeitung personenbezogener Daten zum Gegenstand haben,

g)  die Beratung in Bezug auf die in Artikel 34 genannten Verarbeitungsvorgänge und deren Genehmigung,

h)  die Abgabe von Stellungnahmen zu den Entwürfen von Verhaltensregeln gemäß Artikel 38 Absatz 2,

i)  die Genehmigung verbindlicher unternehmensinterner Vorschriften gemäß Artikel 43,

j)  die Mitwirkung im Europäischen Datenschutzausschuss.

ja)  die für die Verarbeitung Verantwortliche und Auftragsverarbeiter gemäß Artikel 39 zu zertifizieren. [Abänd. 152]

(2)  Jede Aufsichtsbehörde fördert die Information der Öffentlichkeit über Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung personenbezogener Daten und über angemessene Maßnahmen für den Schutz personenbezogener Daten. Besondere Beachtung finden dabei spezifische Maßnahmen für Kinder. [Abänd. 153]

(2a)  Jede Aufsichtsbehörde fördert gemeinsam mit den Europäischen Datenschutzausschuss das Bewusstsein der für die Verarbeitung Verantwortlichen, und der Auftragsverarbeiter über Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung personenbezogener Daten. Dazu gehört das Führen eines Registers der Sanktionen und Verstöße. Dieses Register sollte so detailliert wie möglich alle Warnungen und Sanktionen sowie die Lösungen der Verstöße enthalten. Jede Aufsichtsbehörde stellt kleinsten, kleinen und mittleren für die Verarbeitung Verantwortlichen und Auftragsverarbeitern auf Antrag allgemeine Information über ihre Verantwortlichkeiten und Verpflichtungen gemäß dieser Verordnung mit. [Abänd. 154]

(3)  Die Aufsichtsbehörde berät auf Antrag jede betroffene Person bei der Wahrnehmung der ihr nach dieser Verordnung zustehenden Rechte und arbeitet zu diesem Zweck gegebenenfalls mit den Aufsichtsbehörden anderer Mitgliedstaaten zusammen.

(4)  Für die in Absatz 1 Buchstabe b genannten Beschwerden stellt die Aufsichtsbehörde ein Beschwerdeformular zur Verfügung, das elektronisch oder auf anderem Wege ausgefüllt werden kann.

(5)  Die Leistungen der Aufsichtsbehörde sind für die betroffene Person kostenlos.

(6)  Bei offensichtlich missbräuchlichen Anträgen, insbesondere bei wiederholt gestellten Anträgen, kann die Aufsichtsbehörde eine angemessene Gebühr verlangen oder davon absehen, die von der betroffenen Person beantragte Maßnahme zu treffen. Diese Gebühr übersteigt nicht die Kosten der beantragten Maßnahmen. In diesem Fall trägt die Aufsichtsbehörde die Beweislast für den offensichtlich missbräuchlichen Charakter des Antrags. [Abänd. 155]

Artikel 53

Befugnisse

(1)  Jede Aufsichtsbehörde ist im Einklang mit dieser Verordnung befugt,

a)  den für die Verarbeitung Verantwortlichen oder den Auftragsverarbeiter auf einen behaupteten Verstoß gegen die Vorschriften zum Schutz personenbezogener Daten hinzuweisen und ihn gegebenenfalls anzuweisen, diesem Verstoß in einer bestimmten Weise abzuhelfen, um den Schutz der betroffenen Person zu verbessern, oder den für die Verarbeitung Verantwortlichen zu verpflichten, die Verletzung des Schutzes personenbezogener Daten der betroffenen Person mitzuteilen;

b)  den für die Verarbeitung Verantwortlichen oder den Auftragsverarbeiter anzuweisen, den Anträgen der betroffenen Person auf Ausübung der ihr nach dieser Verordnung zustehenden Rechte zu entsprechen,

c)  den für die Verarbeitung Verantwortlichen, den Auftragsverarbeiter und gegebenenfalls den Vertreter anzuweisen, alle Informationen bereitzustellen, die für die Erfüllung ihrer Aufgaben zweckdienlich sind,

d)  die Befolgung der vorherigen Genehmigungen und Auskünfte im Sinne von Artikel 34 sicherzustellen,

e)  den für die Verarbeitung Verantwortlichen oder den Auftragsverarbeiter zu ermahnen oder zu verwarnen,

f)  die Berichtigung, Löschung oder Vernichtung aller Daten, die unter Verletzung der Bestimmungen dieser Verordnung verarbeitet wurden, anzuordnen, und solche Maßnahmen Dritten, an die diese Daten weitergegeben wurden, mitzuteilen,

g)  die Verarbeitung vorübergehend oder endgültig zu verbieten,

h)  die Übermittlung von Daten an einen Empfänger in einem Drittland oder an eine internationale Organisation zu unterbinden,

i)  Stellungnahmen zu allen Fragen im Zusammenhang mit dem Schutz personenbezogener Daten abzugeben,

ia)  für die Verarbeitung Verantwortliche und Auftragsverarbeiter nach Artikel 39 zu zertifizieren;

j)  das nationale Parlament, die Regierung oder sonstige politische Institutionen sowie die Öffentlichkeit über Fragen im Zusammenhang mit dem Schutz personenbezogener Daten zu informieren.

ja)  wirksame Vorkehrungen zu treffen, um vertrauliche Meldungen über Verletzungen der Verordnung zu fördern, wobei die Leitlinien des Europäischen Datenschutzausschusses gemäß Artikel 66 Absatz 4b berücksichtigt werden.

(2)  Jede Aufsichtsbehörde kann kraft ihrer Untersuchungsbefugnis vom für die Verarbeitung Verantwortlichen oder vom Auftragsverarbeiter ohne Vorankündigung Folgendes verlangen:

a)  Zugriff auf alle personenbezogenen Daten und auf alle Dokumente und Informationen, die zur Erfüllung ihrer Aufgaben notwendig sind,

b)  Zugang zu den Geschäftsräumen einschließlich aller Datenverarbeitungsanlagen und -geräte, sofern Grund zu der Annahme besteht, dass dort Tätigkeiten ausgeführt werden, die gegen diese Verordnung verstoßen.

Die Befugnisse nach Buchstabe b werden im Einklang mit dem Unionsrecht und dem Recht der Mitgliedstaaten ausgeübt.

(3)  Jede Aufsichtsbehörde ist insbesondere gemäß Artikel 74 Absatz 4 und Artikel 75 Absatz 2 befugt, Verstöße gegen diese Verordnung den Justizbehörden zur Kenntnis zu bringen und Klage zu erheben.

(4)  Jede Aufsichtsbehörde ist befugt, verwaltungsrechtliche Vergehen, insbesondere solche Ordnungswidrigkeiten nach Artikel 79 Absätze 4, 5 und 6, zu ahnden. Diese Befugnis wird in einer wirksamen, verhältnismäßigen und abschreckenden Art und Weise ausgeübt. [Abänd. 156]

Artikel 54

Tätigkeitsbericht

Jede Aufsichtsbehörde erstellt mindestens alle zwei Jahre einen Jahresbericht Bericht über ihre Tätigkeit. Der Bericht wird dem nationalen jeweiligen Parlament vorgelegt und der Öffentlichkeit, der Kommission und dem Europäischen Datenschutzausschuss zugänglich gemacht. [Abänd. 157]

Artikel 54a

Federführende Behörde

(1)  Findet die Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten der Niederlassung eines für die Verarbeitung Verantwortlichen oder eines Auftragsverarbeiters in der Union statt, wobei der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter Niederlassungen in mehr als einem Mitgliedstaat hat, oder werden die personenbezogenen Daten von Einwohnern mehrerer Mitgliedstaaten verarbeitet, so fungiert die Aufsichtsbehörde der Hauptniederlassung des für die Verarbeitung Verantwortlichen oder des Auftragsverarbeiters gemäß der Bestimmungen von Kapitel VII dieser Verordnung als zentrale Anlaufstelle für die Aufsicht über die Verarbeitungsvorgänge des für die Verarbeitung Verantwortlichen oder des Auftragsverarbeiters in allen Mitgliedstaaten.

(2)  Die federführende Behörde ergreift angemessene Maßnahmen für die Aufsicht über die Verarbeitungstätigkeiten des für die Verarbeitung Verantwortlichen oder des Auftragsverarbeiters, für den es zuständig ist, erst nach Konsultation aller anderen zuständigen Aufsichtsbehörden im Sinne von Artikel 51 Absatz 1 und bemüht sich dabei, einen Konsens zu erreichen. Zu diesem Zweck leitet sie insbesondere alle maßgeblichen Informationen weiter und konsultiert die anderen Behörden, bevor sie Maßnahmen, die im Sinne von Artikel 51 Absatz 1 Rechtswirkungen in Bezug auf die für die Verarbeitung Verantwortlichen oder Auftragsverarbeiter entfalten sollen, ergreift. Die federführende Behörde schenkt den Stellungnahmen der beteiligten Behörden größtmögliche Beachtung. Die federführende Behörde ist die einzige Behörde, die befugt ist, Maßnahmen, die Rechtswirkungen in Bezug auf die Verarbeitungstätigkeiten der für die Verarbeitung Verantwortlichen oder Auftragsverarbeiter, für die sie zuständig ist, entfalten sollen, ergreift.

(3)  Der Europäische Datenschutzausschuss gibt auf Antrag einer zuständigen Aufsichtsbehörde eine Stellungnahme zu der Feststellung der federführenden Behörde, die für einen für die Verarbeitung Verantwortlichen oder Auftragsverarbeiter zuständig ist, ab, wenn

a)  aus dem Sachverhalt nicht hervorgeht, wo sich der Hauptsitz des für die Verarbeitung Verantwortlichen oder des Auftragsverarbeiters befindet, oder

b)  sich die zuständigen Behörden nicht darauf einigen können, welche Behörde als federführende Behörde fungieren soll; oder

c)  der für die Verarbeitung Verantwortliche nicht in der Union niedergelassen ist, und in unterschiedlichen Mitgliedstaaten ansässige Personen von den Verarbeitungsoperationen im Rahmen dieser Verordnung betroffen sind.

(3a)  Wird der für die Verarbeitung Verantwortliche auch als Auftragsverarbeiter tätig, so fungiert die Aufsichtsbehörde der Hauptniederlassung des für die Verarbeitung Verantwortlichen als federführende Behörde für die Aufsicht über die Verarbeitungstätigkeiten.

(4)  Der Europäische Datenschutzausschuss kann die federführende Behörde bestimmen. [Abänd. 158]

KAPITEL VII

ZUSAMMENARBEIT UND KOHÄRENZ

ABSCHNITT 1

ZUSAMMENARBEIT

Artikel 55

Amtshilfe

(1)  Die Aufsichtsbehörden übermitteln einander zweckdienliche Informationen und gewähren einander Amtshilfe, um diese Verordnung einheitlich durchzuführen und anzuwenden, und treffen Vorkehrungen für eine wirksame Zusammenarbeit. Die Amtshilfe bezieht sich insbesondere auf Auskunftsersuchen und aufsichtsbezogene Maßnahmen, beispielsweise Ersuchen um vorherige Genehmigungen und eine vorherige Zurateziehung, die Vornahme von Nachprüfungen und Untersuchungen sowie die zügige Unterrichtung über die Befassung mit einer Angelegenheit und über weitere Entwicklungen in Fällen, in denen der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter über Niederlassungen in mehreren Mitgliedstaaten verfügt oder in denen Personen in mehreren Mitgliedstaaten voraussichtlich von Verarbeitungsvorgängen betroffen sind. Die federführende Behörde gemäß Artikel 54a stellt die Abstimmung mit den beteiligten Aufsichtsbehörden sicher und fungiert als zentrale Kontaktstelle für den für die Verarbeitung Verantwortlichen bzw. den Auftragsverarbeiter. [Abänd. 159]

(2)  Jede Aufsichtsbehörde ergreift alle geeigneten Maßnahmen, um dem Ersuchen einer anderen Aufsichtsbehörde unverzüglich und spätestens innerhalb eines Monats nach Eingang des Ersuchens nachzukommen. Dazu können insbesondere auch die Übermittlung zweckdienlicher Informationen über den Verlauf einer Untersuchung oder Durchsetzungsmaßnahmen gehören, um die Einstellung oder das Verbot von Verarbeitungsvorgängen zu erwirken, die gegen diese Verordnung verstoßen.

(3)  Das Amtshilfeersuchen enthält alle erforderlichen Informationen, darunter Zweck und Begründung des Ersuchens. Die übermittelten Informationen werden ausschließlich für die Angelegenheit verwendet, für die sie angefordert wurden.

(4)  Die Aufsichtsbehörde, an die ein Amtshilfeersuchen gerichtet wird, kann dieses nur ablehnen, wenn

a)  sie für das Ersuchen nicht zuständig ist oder

b)  das Ersuchen gegen die Bestimmungen dieser Verordnung verstoßen würde.

(5)  Die Aufsichtsbehörde, an die das Ersuchen gerichtet wurde, informiert die ersuchende Aufsichtsbehörde über die Ergebnisse oder gegebenenfalls über den Fortgang der Maßnahmen, die getroffen wurden, um dem Ersuchen nachzukommen.

(6)  Die Aufsichtsbehörden übermitteln die Informationen, um die von einer anderen Aufsichtsbehörde ersucht wurde, auf elektronischem Wege und so schnell wie möglich unter Verwendung eines standardisierten Formats.

(7)  Maßnahmen, die aufgrund eines Amtshilfeersuchens getroffen werden, sind für die ersuchende Aufsichtsbehörde gebührenfrei. [Abänd. 160]

(8)  Wird eine ersuchte Aufsichtsbehörde nicht binnen eines Monats auf das Amtshilfeersuchen einer anderen Aufsichtsbehörde hin tätig, so ist die ersuchende Aufsichtsbehörde befugt, einstweilige Maßnahmen im Hoheitsgebiet ihres Mitgliedstaats gemäß Artikel 51 Absatz 1 zu ergreifen und die Angelegenheit dem Europäischen Datenschutzausschuss gemäß dem Verfahren von Artikel 57 vorzulegen. Die ersuchende Aufsichtsbehörde kann einstweilige Maßnahmen nach Artikel 53 im Hoheitsgebiet ihres Mitgliedstaats ergreifen, wenn aufgrund der noch nicht abgeschlossenen Hilfeleistung eine endgültige Maßnahme noch nicht getroffen werden kann. [Abänd. 161]

(9)  Die Aufsichtsbehörde legt fest, wie lange diese einstweilige Maßnahme gültig ist. Dieser Zeitraum darf drei Monate nicht überschreiten. Die Aufsichtsbehörde setzt den Europäischen Datenschutzausschuss und die Kommission unverzüglich unter Angabe aller Gründe gemäß dem in Artikel 57 vorgesehenen Verfahren von diesen Maßnahmen in Kenntnis. [Abänd. 162]

(10)  Die Kommission Der Europäische Datenschutzausschuss kann Form und Verfahren der Amtshilfe nach diesem Artikel und die Ausgestaltung des elektronischen Informationsaustauschs zwischen den Aufsichtsbehörden sowie zwischen den Aufsichtsbehörden und dem Europäischen Datenschutzausschuss, insbesondere das in Absatz 6 genannte standardisierte Format, festlegen. Diese Durchführungsrechtsakte werden in Übereinstimmung mit dem Prüfverfahren gemäß Artikel 87 Absatz 2 erlassen. [Abänd. 163]

Artikel 56

Gemeinsame Maßnahmen der Aufsichtsbehörden

(1)  Zur Stärkung der Zusammenarbeit und Amtshilfe erfüllen die Aufsichtsbehörden gemeinsame untersuchungsspezifische Aufgaben, führen gemeinsame Durchsetzungsmaßnahmen und andere gemeinsame Maßnahmen durch, an denen benannte Mitglieder oder Bedienstete der Aufsichtsbehörden anderer Mitgliedstaaten teilnehmen.

(2)  In Fällen, in denen der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter über Niederlassungen in mehreren Mitgliedstaaten verfügt oder in denen voraussichtlich Personen in mehreren Mitgliedstaaten von Verarbeitungsvorgängen betroffen sind, ist die Aufsichtsbehörde jedes dieser Mitgliedstaaten berechtigt, an den gemeinsamen untersuchungsspezifischen Aufgaben oder den gemeinsamen Maßnahmen teilzunehmen. Die zuständige federführende Aufsichtsbehörde lädt gemäß Artikel 54a bezieht die Aufsichtsbehörde jedes dieser Mitgliedstaaten zur Teilnahme an denin die betreffenden gemeinsamen untersuchungsspezifischen Aufgaben oder gemeinsamen Maßnahmen ein und antwortet unverzüglich auf das Ersuchen einer Aufsichtsbehörde um Teilnahme. [Abänd. 164]

(3)  Jede Aufsichtsbehörde kann als einladende Aufsichtsbehörde gemäß ihren nationalen Rechtsvorschriften und mit Genehmigung der unterstützenden Aufsichtsbehörde den an den gemeinsamen Maßnahmen beteiligten Mitgliedern oder Bediensteten der unterstützenden Aufsichtsbehörde Durchführungsbefugnisse einschließlich untersuchungsspezifischer Aufgaben übertragen oder, soweit dies nach dem Recht der einladenden Aufsichtsbehörde zulässig ist, den Mitgliedern oder Bediensteten der unterstützenden Aufsichtsbehörde gestatten, ihre Durchführungsbefugnisse nach dem Recht der unterstützenden Aufsichtsbehörde auszuüben. Diese Durchführungsbefugnisse können nur unter der Leitung und in der Regel in Gegenwart der Mitglieder oder Bediensteten der einladenden Aufsichtsbehörde ausgeübt werden. Die Mitglieder oder Bediensteten der unterstützenden Aufsichtsbehörde unterliegen dem nationalen Recht der einladenden Aufsichtsbehörde. Die einladende Aufsichtsbehörde haftet für ihre Handlungen.

(4)  Die Aufsichtsbehörden regeln die praktischen Aspekte spezifischer Kooperationsmaßnahmen.

(5)  Kommt eine Aufsichtsbehörde binnen eines Monats nicht der Verpflichtung nach Absatz 2 nach, so sind die anderen Aufsichtsbehörden befugt, eine einstweilige Maßnahme im Hoheitsgebiet ihres Mitgliedstaats gemäß Artikel 51 Absatz 1 zu ergreifen.

(6)  Die Aufsichtsbehörde legt fest, wie lange die einstweilige Maßnahme nach Absatz 5 gültig ist. Dieser Zeitraum darf drei Monate nicht überschreiten. Die Aufsichtsbehörde teilt dem Europäischen Datenschutzausschuss und der Kommission diese Maßnahmen unverzüglich unter Angabe aller Gründe mit und nimmt für diese Sache das in Artikel 57 genannte Verfahren in Anspruch.

ABSCHNITT 2

KOHÄRENZ

Artikel 57

Kohärenzverfahren

Zu den in Artikel 46 Absatz 1 genannten Zwecken arbeiten die Aufsichtsbehörden im Rahmen sowohl in allgemeinen Fragen als auch in Einzelfällen gemäß den Vorschriften des in diesem Abschnitt beschriebenen Kohärenzverfahrens untereinander und mit der Kommission zusammen. [Abänd. 165]

Artikel 58

Stellungnahme des Europäischen DatenschutzausschussesKohärenz in Angelegenheiten mit allgemeiner Geltung

(1)  Bevor eine Aufsichtsbehörde eine Maßnahme nach Absatz 2 erlässt, übermittelt sie die geplante Maßnahme dem Europäischen Datenschutzausschuss und der Kommission.

(2)  Die in Absatz 1 genannte Verpflichtung gilt für Maßnahmen, die Rechtswirkung entfalten sollen und

a)  sich auf Verarbeitungstätigkeiten beziehen, die mit dem Angebot von Waren oder Dienstleistungen für betroffene Personen in mehreren Mitgliedstaaten oder mit der Beobachtung des Verhaltens dieser Personen im Zusammenhang stehen, oder

b)  den freien Verkehr personenbezogener Daten in der Union wesentlich beeinträchtigen können oder

c)  der Annahme einer Liste der Verarbeitungsvorgänge dienen, die der vorherigen Zurateziehung gemäß Artikel 34 Absatz 5 unterliegen oder

d)  der Festlegung von Standard-Datenschutzklauseln gemäß Artikel 42 Absatz 2 Buchstabe c dienen oder

e)  der Genehmigung von Vertragsklauseln gemäß Artikel 42 Absatz 2 Buchstabe d dienen oder

f)  der Annahme verbindlicher unternehmensinterner Vorschriften im Sinne von Artikel 43 dienen.

(3)  Jede Aufsichtsbehörde und der Europäische Datenschutzausschuss können beantragen, dass eine Angelegenheit mit allgemeiner Geltung im Rahmen des Kohärenzverfahrens behandelt wird, insbesondere, wenn eine Aufsichtsbehörde die in Absatz 2 genannte geplante Maßnahme nicht vorlegt oder den Verpflichtungen zur Amtshilfe gemäß Artikel 55 oder zu gemeinsamen Maßnahmen gemäß Artikel 56 nicht nachkommt.

(4)  Um die ordnungsgemäße und kohärente Anwendung dieser Verordnung sicherzustellen, kann die Kommission beantragen, dass eine Sache Angelegenheit mit allgemeiner Geltung im Rahmen des Kohärenzverfahrens behandelt wird.

(5)  Die Aufsichtsbehörden und die Kommission übermitteln unverzüglich auf elektronischem Wege unter Verwendung eines standardisierten Formats zweckdienliche Informationen, darunter je nach Fall eine kurze Darstellung des Sachverhalts, die geplante Maßnahme und die Gründe, warum eine solche Maßnahme ergriffen werden muss.

(6)  Der Vorsitz des Europäischen Datenschutzausschusses unterrichtet unverzüglich auf elektronischem Wege unter Verwendung eines standardisierten Formats die Mitglieder des Datenschutzausschusses und die Kommission über zweckdienliche Informationen, die ihm zugegangen sind. Soweit erforderlich stellt der Vorsitz des Europäischen Datenschutzausschusses Übersetzungen der zweckdienlichen Informationen zur Verfügung.

(6a)  Der Europäische Datenschutzausschuss gibt eine Stellungnahme zu Angelegenheiten, mit denen er gemäß Absatz 2 befasst wird, ab.

(7)  Wenn Der Europäische Datenschutzausschuss dies mit der einfachen kann mit einfacher Mehrheit seiner Mitglieder entscheidet oderentscheiden, ob er eine Aufsichtsbehörde oder die Kommission dies binnen einer Woche nach Übermittlung der zweckdienlichen Informationen nach Absatz 5 beantragen, gibt der Europäische Datenschutzausschuss eine Stellungnahme zu der einer gemäß Absatze 3 und 4 vorgelegten Angelegenheit ab. Die Stellungnahme wird binnen einem Monat mit der einfachen Mehrheit der Mitglieder des Europäischen Datenschutzausschusses angenommen. Der Vorsitz des Europäischen Datenschutzausschusses unterrichtet je nach Fall die in Absatz 1 oder Absatz 3 genannte Aufsichtsbehörde, die Kommission und die gemäß Artikel 51 zuständige Aufsichtsbehörde unverzüglich über die Stellungnahme und veröffentlicht sie. abgibt, wobei zu berücksichtigen ist,

a)  ob die Angelegenheit neue Elemente umfasst, wobei rechtliche oder sachliche Entwicklungen berücksichtigt werden, insbesondere in der Informationstechnologie und in Anbetracht des Fortschritts in der Informationsgesellschaft; und

b)  ob der Europäische Datenschutzausschuss bereits eine Stellungnahme zu der gleichen Angelegenheit abgegeben hat.

(8)  Die in Absatz 1 genannte Aufsichtsbehörde und die gemäß Artikel 51 zuständige Aufsichtsbehörde tragen der Stellungnahme des Europäischen Datenschutzausschusses Rechnung und teilen dessen Vorsitz und der Kommission binnen zwei Wochen nach ihrer Unterrichtung über die Stellungnahme elektronisch unter Verwendung eines standardisierten Formats mit, ob sie die geplante Maßnahme beibehält oder ändert; gegebenenfalls übermittelt sie die geänderte geplante Maßnahme. Der Europäische Datenschutzausschuss nimmt Stellungnahmen gemäß Artikel 6a und 7 mit der einfachen Mehrheit seiner Mitglieder an. Diese Stellungnahmen werden veröffentlicht. [Abänd. 166]

Artikel 58a

Kohärenz in Einzelfällen

(1)  Vor dem Ergreifen von Maßnahmen, die im Sinne von Artikel 54a Rechtswirkung entfalten sollen, teilt die federführende Behörde alle zweckdienlichen Informationen und legt den Entwurf der Maßnahme allen anderen zuständigen Behörden vor. Die federführende Behörde darf keine Maßnahme ergreifen, wenn eine zuständige Behörde innerhalb von drei Wochen ernsthafte Einwände gegen die Maßnahme anzeigt.

(2)  Hat eine zuständige Behörde ernsthafte Einwände gegen den Entwurf einer Maßnahme der federführenden Behörde angezeigt oder hat die federführende Behörde keinen Entwurf einer Maßnahme gemäß Absatz 1 vorlegt oder kommt sie den Verpflichtungen zur Amtshilfe gemäß Artikel 55 oder zu gemeinsamen Maßnahmen gemäß Artikel 56 nicht nach, wird die Angelegenheit vom Europäischen Datenschutzausschuss geprüft.

(3)  Die federführende Behörde und/oder andere beteiligte zuständige Behörden und die Kommission übermitteln dem Europäischen Datenschutzausschuss unverzüglich auf elektronischem Wege unter Verwendung eines standardisierten Formats zweckdienliche Informationen, darunter je nach Fall eine kurze Darstellung des Sachverhalts, die geplante Maßnahme, die Gründe, warum eine solche Maßnahme ergriffen werden muss, die Einwände gegen sie und die Auffassung anderer betroffener Aufsichtsbehörden.

(4)  Der Europäische Datenschutzausschuss prüft die Angelegenheit, wobei die Auswirkungen der geplanten Maßnahme auf die Grundrechte und Freiheiten der betroffenen Personen berücksichtigt werden, und entscheidet mit der einfachen Mehrheit seiner Mitglieder, ob eine Stellungnahme zu der Angelegenheit innerhalb von zwei Wochen nach Eingang der zweckdienlichen Informationen nach Absatz 3 abgegeben wird.

(5)  Entscheidet der Europäische Datenschutzausschuss, eine Stellungnahme abzugeben, wird diese innerhalb von sechs Wochen abgegeben und veröffentlicht.

(6)  Die federführende Behörde trägt der Stellungnahme des Europäischen Datenschutzausschusses größtmögliche Rechnung und teilt dessen Vorsitz und der Kommission binnen zwei Wochen nach ihrer Unterrichtung über die Stellungnahme durch den Vorsitz des Europäischen Datenschutzausschusses elektronisch mit, ob sie die geplante Maßnahme beibehält oder ändert; gegebenenfalls übermittelt unter Verwendung eines standardisierten Formats die geänderte geplante Maßnahme. Wenn die federführende Behörde beabsichtigt, der Stellungnahme des Europäischen Datenschutzausschusses nicht Folge zu leisten, begründet sie dies.

(7)  In Fällen, in denen der Europäische Datenschutzausschuss nach wie vor Einwände gegen die Maßnahme der Aufsichtsbehörde gemäß Absatz 5 erhebt, kann er innerhalb eines Monats mit Zweidrittelmehrheit eine Maßnahme beschließen, die für die Aufsichtsbehörde bindend ist. [Abänd. 167]

Artikel 59

Stellungnahme der Kommission

(1)  Binnen zehn Wochen, nachdem eine Angelegenheit nach Artikel 58 vorgebracht wurde, oder spätestens binnen sechs Wochen im Fall des Artikels 61, kann die Kommission hierzu eine Stellungnahme abgeben, um die ordnungsgemäße und einheitliche Anwendung dieser Verordnung sicherzustellen.

(2)  Hat die Kommission eine Stellungnahme gemäß Absatz 1 angenommen, so trägt die betroffene Aufsichtsbehörde dieser so weit wie möglich Rechnung und teilt der Kommission und dem Europäischen Datenschutzausschuss mit, ob sie ihre geplante Maßnahme beizubehalten oder abzuändern beabsichtigt.

(3)  Während des in Absatz 1 genannten Zeitraums erlässt die Aufsichtsbehörde nicht die geplante Maßnahme.

(4)  Beabsichtigt die Aufsichtsbehörde, der Stellungnahme der Kommission nicht zu folgen, teilt sie dies der Kommission und dem Europäischen Datenschutzausschuss innerhalb des in Absatz 1 genannten Zeitraums mit und begründet dies. In diesem Fall darf die geplante Maßnahme während eines weiteren Monats nicht angenommen werden. [Abänd. 168]

Artikel 60

Aussetzung einer geplanten Maßnahme

(1)  Binnen einem Monat nach der Mitteilung nach Artikel 59 Absatz 4 kann die Kommission, wenn sie ernsthaft bezweifelt, dass die geplante Maßnahme die ordnungsgemäße Anwendung dieser Verordnung sicherstellt, oder befürchtet, dass sie zu einer uneinheitlichen Anwendung der Verordnung führt, unter Berücksichtigung der Stellungnahme des Europäischen Datenschutzausschusses gemäß Artikel 58 Absatz 7 oder Artikel 61 Absatz 2 einen begründeten Beschluss erlassen, mit dem die Aufsichtsbehörde aufgefordert wird, die Annahme der geplanten Maßnahme auszusetzen, sofern dies erforderlich ist, um

a)  voneinander abweichende Meinungen der Aufsichtsbehörde und des Europäischen Datenschutzausschusses miteinander in Einklang zu bringen, falls dies möglich erscheint oder

b)  eine Maßnahme gemäß Artikel 62 Absatz 1 Buchstabe zu erlassen.

(2)  Die Kommission legt fest, wie lange die Maßnahme ausgesetzt wird, wobei die Aussetzung 12 Wochen nicht überschreiten darf.

(3)  Während des in Absatz 2 genannten Zeitraums darf die Aufsichtsbehörde die geplante Maßnahme nicht annehmen. [Abänd. 169]

Artikel 60a

Unterrichtung des Europäischen Parlaments und des Rats

Die Kommission unterrichtet das Europäische Parlament und den Rat regelmäßig, mindestens halbjährlich auf Grundlage eines Berichts des Vorsitzes des Europäischen Datenschutzausschusses über die im Rahmen des Kohärenzmechanismus behandelten Angelegenheiten und zeigt dabei die von Kommission und Europäischen Datenschutzausschuss gezogenen Schlussfolgerungen zur Gewährleistung der einheitlichen Durchführung und Anwendung dieser Verordnung auf. [Abänd. 170]

Artikel 61

Dringlichkeitsverfahren

(1)  Unter außergewöhnlichen Umständen kann eine Aufsichtsbehörde abweichend vom Verfahren nach Artikel 58 Artikel 58a sofort einstweilige Maßnahmen mit festgelegter Geltungsdauer treffen, wenn sie zu der Auffassung gelangt, dass dringender Handlungsbedarf besteht, um die Interessen von betroffenen Personen, vor allem, wenn die Durchsetzung ihrer Rechte durch eine Veränderung der bestehenden Lage erheblich behindert zu werden droht, zu schützen, um größere Nachteile abzuwenden oder aus anderen Gründen. Die Aufsichtsbehörde setzt den Europäischen Datenschutzausschuss und die Kommission unverzüglich unter Angabe aller Gründe von diesen Maßnahmen in Kenntnis. [Abänd. 171]

(2)  Hat eine Aufsichtsbehörde eine Maßnahme nach Absatz 1 ergriffen und ist sie der Auffassung, dass dringend endgültige Maßnahmen erlassen werden müssen, kann sie unter Angabe von Gründen, auch für die Dringlichkeit der endgültigen Maßnahmen, im Dringlichkeitsverfahren um eine Stellungnahme des Europäischen Datenschutzausschusses ersuchen.

(3)  Jede Aufsichtsbehörde kann unter Angabe von Gründen, auch für den dringenden Handlungsbedarf, im Dringlichkeitsverfahren um eine Stellungnahme ersuchen, wenn die zuständige Aufsichtsbehörde trotz dringenden Handlungsbedarfs keine geeignete Maßnahme getroffen hat, um die Interessen von betroffenen Personen zu schützen.

(4)  Abweichend von Artikel 58 Absatz 7 Die Stellungnahme im Dringlichkeitsverfahren nach den Absätzen 2 und 3 wird binnen zwei Wochen durch einfache Mehrheit der Mitglieder des Europäischen Datenschutzausschusses angenommen. [Abänd. 172]

Artikel 62

Durchführungsrechtsakte

(1)  Die Kommission kann, nachdem sie den Europäischen Datenschutzausschuss um eine Stellungnahme ersucht hat, zu folgenden Zwecken Durchführungsrechtsakte mit allgemeiner Geltung erlassen:

a)  Beschluss über die ordnungsgemäße Anwendung dieser Verordnung gemäß ihren Zielen und Anforderungen im Hinblick auf Angelegenheiten, die ihr gemäß Artikel 58 oder Artikel 61 von einer Aufsichtsbehörde übermittelt wurden, zu denen gemäß Artikel 60 Absatz 1 ein begründeter Beschluss erlassen wurde oder zu denen eine Aufsichtsbehörde keine geplante Maßnahme übermittelt und mitgeteilt hat, dass sie der Stellungnahme der Kommission gemäß Artikel 59 nicht zu folgen beabsichtigt,

b)  Beschluss innerhalb des in Artikel 59 Absatz 1 genannten Zeitraums darüber, ob Standard-Datenschutzklauseln nach Artikel 58 Artikel 42 Absatz 2 Buchstabe d allgemeine Gültigkeit zuerkannt wird,

c)  Festlegung der Form und der Verfahren für die Anwendung des in diesem Abschnitt beschriebenen Kohärenzverfahrens,

d)  Festlegung der Ausgestaltung des elektronischen Informationsaustauschs zwischen den Aufsichtsbehörden sowie zwischen den Aufsichtsbehörden und dem Europäischen Datenschutzausschuss, insbesondere des standardisierten Formats nach Artikel 58 Absätze 5, 6 und 8.

Diese Durchführungsrechtsakte werden in Übereinstimmung mit dem Prüfverfahren gemäß Artikel 87 Absatz 2 erlassen.

(2)  In hinreichend begründeten Fällen äußerster Dringlichkeit im Zusammenhang mit den Interessen betroffener Personen gemäß Absatz 1 Buchstabe a erlässt die Kommission gemäß dem Verfahren von Artikel 87 Absatz 3 sofort geltende Durchführungsrechtsakte. Diese gelten für einen Zeitraum von höchstens 12 Monaten.

(3)  Unabhängig davon, ob die Kommission eine Maßnahme nach Maßgabe dieses Abschnitts erlassen hat, kann sie auf der Grundlage der Verträge andere Maßnahmen erlassen. [Abänd. 173]

Artikel 63

Durchsetzung

(1)  Für die Zwecke dieser Verordnung wird eine durchsetzbare Maßnahme der Aufsichtsbehörde eines Mitgliedstaats in allen anderen betroffenen Mitgliedstaaten durchgesetzt.

(2)  Nimmt eine Aufsichtsbehörde für eine geplante Maßnahme entgegen Artikel 58 Absätze 1 bis 5 und 2 nicht das Kohärenzverfahren in Anspruch oder nimmt sie eine Maßnahme trotz der Anzeige von ernsthafte n Einwänden gemäß Artikel 58a Absatz 1 an, so ist die Maßnahme der Aufsichtsbehörde nicht rechtsgültig und durchsetzbar. [Abänd. 174]

ABSCHNITT 3

EUROPÄISCHER DATENSCHUTZAUSSCHUSS

Artikel 64

Europäischer Datenschutzausschuss

(1)  Hiermit wird ein Europäischer Datenschutzausschuss eingerichtet.

(2)  Der Europäische Datenschutzausschuss besteht aus dem Leiter einer Aufsichtsbehörde jedes Mitgliedstaats und dem Europäischen Datenschutzbeauftragten.

(3)  Ist in einem Mitgliedstaat mehr als eine Aufsichtsbehörde für die Überwachung der Anwendung der nach Maßgabe dieser Richtlinie erlassenen Vorschriften zuständig, so wird der Leiter einer diese Aufsichtsbehörden zum gemeinsamen Vertreter ernannt.

(4)  Die Kommission ist berechtigt, an den Tätigkeiten und Sitzungen des Europäischen Datenschutzausschusses teilzunehmen und bestimmt einen Vertreter. Der Vorsitz des Europäischen Datenschutzausschusses unterrichtet die Kommission unverzüglich von allen Tätigkeiten des Europäischen Datenschutzausschusses.

Artikel 65

Unabhängigkeit

(1)  Der Europäische Datenschutzausschuss handelt bei der Erfüllung seiner Aufgaben gemäß den Artikeln 66 und 67 unabhängig.

(2)  Unbeschadet der Ersuchen der Kommission gemäß Artikel 66 Absatz 1 Buchstabe b und Artikel 67 Absatz 2 ersucht der Europäische Datenschutzausschuss bei der Erfüllung seiner Aufgaben weder um Weisung noch nimmt er Weisungen entgegen.

Artikel 66

Aufgaben des Europäischen Datenschutzausschusses

(1)  Der Europäische Datenschutzausschuss stellt sicher, dass diese Verordnung einheitlich angewandt wird. Zu diesem Zweck geht der Europäische Datenschutzausschuss von sich aus oder auf Ersuchen des Europäischen Parlaments, des Rates oder der Kommission insbesondere folgenden Tätigkeiten nach:

a)  Beratung der Kommission europäischen Organe in allen Fragen, die im Zusammenhang mit dem Schutz personenbezogener Daten in der Union stehen, darunter auch etwaige Vorschläge zur Änderung dieser Verordnung;

b)  von sich aus, auf Antrag eines seiner Mitglieder oder auf Ersuchen des Europäischen Parlaments, des Rates oder der Kommission vorgenommene Prüfung von die Anwendung dieser Verordnung betreffenden Fragen und Ausarbeitung von Leitlinien, Empfehlungen und bewährten Praktiken für die Aufsichtsbehörden zwecks Sicherstellung einer einheitlichen Anwendung dieser Verordnung, einschließlich der Ausübung von Durchsetzungsbefugnissen;

c)  Überprüfung der praktischen Anwendung der unter Buchstabe b genannten Leitlinien, Empfehlungen und bewährten Praktiken und regelmäßige Berichterstattung über diese an die Kommission;

d)  Abgabe von Stellungnahmen zu Beschlussentwürfen von Aufsichtsbehörden gemäß dem in Artikel 57 genannten Kohärenzverfahren;

da)  Abgabe eine Stellungnahme darüber, welche Behörde die federführende Behörde gemäß Artikel 54a Absatz 3 sein sollte;

e)  Förderung der Zusammenarbeit und eines effizienten bilateralen und multilateralen Austausches von Informationen und Praktiken zwischen den Aufsichtsbehörden, einschließlich der Koordinierung gemeinsamer Operationen und anderer gemeinsamer Aktivitäten, wenn der Ausschuss auf Ersuchen einer oder mehrerer Aufsichtsbehörden eine entsprechende Entscheidung trifft;

f)  Förderung von Schulungsprogrammen und Erleichterung des Personalaustausches zwischen Aufsichtsbehörden sowie gegebenenfalls mit Aufsichtsbehörden von Drittländern oder mit Aufsichtsstellen internationaler Organisationen;

g)  Förderung des Austausches von Fachwissen und von Dokumentationen über Datenschutzvorschriften und –praktiken mit Datenschutzaufsichtsbehörden in aller Welt;

ga)  Abgabe seiner Stellungnahme für die Kommission bei der Vorbereitung von delegierten Rechtsakten und Durchführungsrechtsakten auf der Grundlage dieser Verordnung;

gb)  Abgabe seiner Stellungnahme zu den auf Unionsebene erarbeiteten Verhaltensregeln gemäß Artikel 38 Absatz 4;

gc)  Abgabe seiner Stellungnahme zu den Kriterien und Anforderungen für das datenschutzspezifische Zertifizierungsverfahren gemäß Artikel 39 Absatz 2.

gd)  Pflege eines öffentlichen elektronischen Registers über gültige und ungültige Zertifikate gemäß Artikel 39 Absatz 1h.

ge)  nachentsprechendem Antrag Unterstützung der einzelstaatlichen Aufsichtsbehörden;

gf)  Erstellen und Veröffentlichung einer Liste der Verarbeitungsvorgänge, die Gegenstand der vorherigen Konsultation nach Artikel 34 sind;

gg)  Pflege eines Registers über Sanktionen, die von den zuständigen Aufsichtsbehörden gegen für die Verarbeitung Verantwortlichen oder Auftragsverarbeiter verhängt wurden.

(2)  Das Europäische Parlament, der Rat oder die Kommission kannkönnen, wenn sie den Europäischen Datenschutzausschuss um Rat ersucht, unter Berücksichtigung der Dringlichkeit des Sachverhalts eine Frist setzen.

(3)  Der Europäische Datenschutzausschuss leitet seine Stellungnahmen, Leitlinien, Empfehlungen und bewährten Praktiken an das Europäische Parlament, den Rat und die Kommission und an den in Artikel 87 genannten Ausschuss weiter und veröffentlicht sie.

(4)  Die Kommission setzt den Europäischen Datenschutzausschuss von allen Maßnahmen in Kenntnis, die sie im Anschluss an die vom Europäischen Datenschutzausschuss herausgegebenen Stellungnahmen, Leitlinien, Empfehlungen und bewährten Praktiken ergriffen hat.

(4a)  Der Europäische Datenschutzausschuss konsultiert gegebenenfalls interessierte Kreise und gibt ihnen Gelegenheit, innerhalb einer angemessenen Frist Stellung zu nehmen. Unbeschadet des Artikels 72 macht der Datenschutzausschuss die Ergebnisse des Anhörungsverfahrens der Öffentlichkeit zugänglich.

(4b)  Der Europäische Datenschutzausschuss wird beauftragt, Leitlinien, Empfehlungen und bewährte Praktiken nach Maßgabe von Absatz 1 Buchstabe b in Bezug auf die Festlegung gemeinsamer Verfahren zu veröffentlichen, um gemeinsame Verfahren für den Erhalt und die Untersuchung von Informationen über die mutmaßliche rechtswidrige Verarbeitung sowie die Sicherung der Vertraulichkeit von Informationen und den Schutz der Quellen von Informationen; festzulegen. [Abänd. 175]

Artikel 67

Berichterstattung

(1)  Der Europäische Datenschutzausschuss informiert das Europäische Parlament, den Rat und die Kommission regelmäßig und zeitnah über die Ergebnisse seiner Tätigkeiten. Er erstellt mindestens alle zwei Jahre einen jährlichen Bericht über den Stand des Schutzes natürlicher Personen bei der Verarbeitung personenbezogener Daten in der Union und in Drittländern. [Abänd. 176]

Der Bericht enthält eine Überprüfung der praktischen Anwendung der in Artikel 66 Absatz 1 Buchstabe c genannten Leitlinien, Empfehlungen und bewährten Praktiken.

(2)  Der Bericht wird veröffentlicht und dem Europäischen Parlament, dem Rat und der Kommission übermittelt.

Artikel 68

Verfahrensweise

(1)  Der Europäische Datenschutzausschuss trifft seine Beschlüsse mit der einfachen Mehrheit seiner Mitglieder, sofern in seiner Geschäftsordnung nichts anderes vorgesehen ist.. [Abänd. 177]

(2)  Der Europäische Datenschutzausschuss gibt sich eine Geschäftsordnung und legt seine Arbeitsweise fest. Er sieht insbesondere vor, dass bei Ablauf der Amtszeit oder Rücktritt eines seiner Mitglieder die Aufgaben kontinuierlich weitererfüllt werden, dass für spezifische Fragen oder Sektoren Untergruppen eingesetzt werden, und dass seine Verfahrensvorschriften im Einklang mit dem in Artikel 57 genannten Kohärenzverfahren stehen.

Artikel 69

Vorsitz

(1)  Der Europäische Datenschutzausschuss wählt aus dem Kreis seiner Mitglieder einen Vorsitzenden und mindestens zwei stellvertretende Vorsitzende. Der Europäische Datenschutzbeauftragte, bekleidet, sofern er nicht zum Vorsitzenden gewählt wurde, einen der beiden Stellvertreterposten. [Abänd. 178]

(2)  Die Amtszeit des Vorsitzenden und seiner beiden Stellvertreter beträgt fünf Jahre; ihre Wiederwahl ist zulässig.

(2a)  Die Stelle des Vorsitzes ist eine Vollzeitstelle. [Abänd. 179]

Artikel 70

Aufgaben des Vorsitzenden

(1)  Der Vorsitzende hat folgende Aufgaben:

a)  Einberufung der Sitzungen des Europäischen Datenschutzausschusses und Erstellung der Tagesordnungen;

b)  Sicherstellung einer rechtzeitigen Erfüllung der Aufgaben des Europäischen Datenschutzausschusses, insbesondere der Aufgaben im Zusammenhang mit dem Kohärenzverfahren nach Artikel 57.

(2)  Der Europäische Datenschutzausschuss legt die Verteilung der Aufgaben auf den Vorsitzenden und dessen zwei Stellvertreter in seiner Geschäftsordnung fest.

Artikel 71

Sekretariat

(1)  Der Europäische Datenschutzausschuss erhält ein Sekretariat. Dieses wird vom Europäischen Datenschutzbeauftragten gestellt.

(2)  Das Sekretariat leistet dem Europäischen Datenschutzausschuss unter Leitung von dessen Vorsitzendem rechtliche, analytische, administrative und logistische Unterstützung. [Abänd. 180]

(3)  Das Sekretariat ist insbesondere verantwortlich für

a)  das Tagesgeschäft des Europäischen Datenschutzausschusses;

b)  die Kommunikation zwischen den Mitgliedern des Europäischen Datenschutzausschusses, seinem Vorsitz und der Kommission sowie die Kommunikation mit anderen Organen und mit der Öffentlichkeit;

c)  den Rückgriff auf elektronische Mittel für die interne und die externe Kommunikation;

d)  die Übersetzung sachdienlicher Informationen;

e)  die Vor- und Nachbereitung der Sitzungen des Europäischen Datenschutzausschusses;

f)  Vorbereitung, Entwurf und Veröffentlichung von Stellungnahmen und sonstigen vom Europäischen Datenschutzausschuss angenommenen Dokumenten.

Artikel 72

Vertraulichkeit

(1)  Die Beratungen des Europäischen Datenschutzausschusses sind können, soweit notwendig, vertraulich sein, falls in der Geschäftsordnung nichts anderes vorgesehen ist. Die Tagesordnungen der Sitzungen des Europäischen Datenschutzausschusses werden öffentlich zugänglich gemacht. [Abänd. 181]

(2)  Den Mitgliedern des Europäischen Datenschutzausschusses, Sachverständigen und den Vertretern von Dritten vorgelegte Dokumente sind vertraulich, sofern sie nicht gemäß der Verordnung (EG) Nr. 1049/2001 des Europäischen Parlaments und des Rates(20) offengelegt oder auf andere Weise vom Europäischen Datenschutzausschuss der Öffentlichkeit zugänglich gemacht werden.

(3)  Die Mitglieder des Europäischen Datenschutzausschusses, die Sachverständigen und die Vertreter von Dritten beachten die Verpflichtung zur Wahrung der Vertraulichkeit gemäß diesem Artikel. Der Vorsitzende stellt sicher, dass die Sachverständigen und die Vertreter von Dritten von der ihnen auferlegten Vertraulichkeitspflicht in Kenntnis gesetzt werden.

KAPITEL VIII

RECHTSBEHELFE, HAFTUNG UND SANKTIONEN

Artikel 73

Recht auf Beschwerde bei einer Aufsichtsbehörde

(1)  Jede betroffene Person hat unbeschadet eines anderweitigen administrativen oder gerichtlichen Rechtsbehelfs und des Kohärenzverfahrens das Recht auf Beschwerde bei einer mitgliedstaatlichen Aufsichtsbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten nicht mit dieser Verordnung vereinbar ist.

(2)  Einrichtungen, Organisationen oder Verbände, die sich den Schutz der Rechte und Interessen der betroffenen Personen in Bezug auf den Schutz ihrer personenbezogenen Daten zum Ziel gesetzt haben im öffentlichen Interesse handeln und die nach dem Recht eines Mitgliedstaats gegründet sind, haben das Recht, im Namen einer oder mehrerer betroffenen Personen Beschwerde bei einer mitgliedstaatlichen Aufsichtsbehörde zu erheben, wenn sie der Ansicht sind, dass die einer betroffenen Person aufgrund dieser Verordnung zustehenden Rechte infolge der Verarbeitung personenbezogener Daten verletzt wurden.

(3)  Unabhängig von der Beschwerde einer betroffenen Person haben Einrichtungen, Organisationen oder Verbände im Sinne des Absatzes 2 das Recht auf Beschwerde bei einer mitgliedstaatlichen Aufsichtsbehörde, wenn sie der Ansicht sind, dass der Schutz personenbezogener Daten diese Verordnung verletzt wurde. [Abänd. 182]

Artikel 74

Recht auf gerichtlichen Rechtsbehelf gegen eine Aufsichtsbehörde

(1)  Jede natürliche oder juristische Person hat unbeschadet eines anderweitigen administrativen oder außergerichtlichen Rechtsbehelfs das Recht auf einen gerichtlichen Rechtsbehelf gegen sie betreffende Entscheidungen einer Aufsichtsbehörde.

(2)  Jede betroffene Person hat unbeschadet eines anderweitigen administrativen oder außergerichtlichen Rechtsbehelfs das Recht auf einen gerichtlichen Rechtsbehelf, um die Aufsichtsbehörde zu verpflichten, im Fall einer Beschwerde tätig zu werden, wenn keine zum Schutz ihrer Rechte notwendige Entscheidung ergangen ist oder wenn die Aufsichtsbehörde sie nicht gemäß Artikel 52 Absatz 1 Buchstabe b innerhalb von drei Monaten über den Stand oder das Ergebnis der Beschwerde in Kenntnis gesetzt hat.

(3)  Für Verfahren gegen eine Aufsichtsbehörde sind die Gerichte des Mitgliedstaats zuständig, in dem die Aufsichtsbehörde ihren Sitz hat.

(4)  Eine betroffene Person, die von einer Entscheidung einer Aufsichtsbehörde betroffen ist, die ihren Sitz in einem anderen Mitgliedstaat hat als dem, in dem die betroffene Person ihren gewöhnlichen Aufenthalt hat, kann unbeschadet des Kohärenzverfahrens die Aufsichtsbehörde in dem Mitgliedstaat ihres gewöhnlichen Aufenthalts ersuchen, in ihrem Namen gegen die zuständige Aufsichtsbehörde in dem anderen Mitgliedstaat Klage zu erheben.

(5)  Die endgültigen Entscheidungen der Gerichte im Sinne dieses Artikels werden von den Mitgliedstaaten vollstreckt. [Abänd. 183]

Artikel 75

Recht auf gerichtlichen Rechtsbehelf gegen für die Verarbeitung Verantwortliche oder Auftragsverarbeiter

(1)  Jede natürliche Person hat unbeschadet eines verfügbaren administrativen Rechtsbehelfs einschließlich des Rechts auf Beschwerde bei einer Aufsichtsbehörde nach Artikel 73 das Recht auf einen gerichtlichen Rechtsbehelf, wenn sie der Ansicht ist, dass die ihr aufgrund dieser Verordnung zustehenden Rechte infolge einer nicht verordnungskonformen Verarbeitung ihrer personenbezogenen Daten verletzt wurden.

(2)  Für Klagen gegen einen für die Verarbeitung Verantwortlichen oder gegen einen Auftragsverarbeiter sind die Gerichte des Mitgliedstaats zuständig, in dem der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter eine Niederlassung hat. Wahlweise können solche Klagen auch bei den Gerichten des Mitgliedstaats erhoben werden, in dem die betroffene Person ihren gewöhnlichen Aufenthalt hat, es sei denn, es handelt sich bei dem für die Verarbeitung Verantwortlichen um eine Behörde der Union oder eines Mitgliedstaats, die in Ausübung ihrer hoheitlichen Befugnisse tätig geworden ist. [Abänd. 184]

(3)  Ist dieselbe Maßnahme, Entscheidung oder Vorgehensweise Gegenstand des Kohärenzverfahrens gemäß Artikel 58, kann das Gericht das Verfahren, mit dem es befasst wurde, aussetzen, es sei denn, es ist aufgrund der Dringlichkeit des Schutzes der Rechte der betroffenen Person nicht möglich, den Ausgang des Kohärenzverfahrens abzuwarten.

(4)  Die endgültigen Entscheidungen der Gerichte im Sinne dieses Artikels werden von den Mitgliedstaaten vollstreckt.

Artikel 76

Gemeinsame Vorschriften für Gerichtsverfahren

(1)  Einrichtungen, Organisationen oder Verbände im Sinne des Artikels 73 Absatz 2 haben das Recht, die in Artikel 74, 75 und 75 77 genannten Rechte im Namen wahrzunehmen, wenn sie von einer oder mehrerer mehreren betroffenen Personen wahrzunehmenbeauftragt werden. [Abänd. 185]

(2)  Jede Aufsichtsbehörde hat das Recht, Klage zu erheben, um die Bestimmungen dieser Verordnung durchzusetzen oder um einen einheitlichen Schutz der personenbezogenen Daten innerhalb der Union sicherzustellen.

(3)  Hat ein zuständiges mitgliedstaatliches Gericht Grund zu der Annahme, dass in einem anderen Mitgliedstaat ein Parallelverfahren anhängig ist, setzt es sich mit dem zuständigen Gericht in diesem anderen Mitgliedstaat in Verbindung, um sich zu vergewissern, ob ein solches Parallelverfahren besteht.

(4)  Betrifft das Parallelverfahren in dem anderen Mitgliedstaat dieselbe Maßnahme, Entscheidung oder Vorgehensweise, kann das Gericht sein Verfahren aussetzen.

(5)  Die Mitgliedstaaten stellen sicher, dass mit den nach innerstaatlichem Recht verfügbaren Klagemöglichkeiten rasch Maßnahmen einschließlich einstweilige Maßnahmen erwirkt werden können, um mutmaßliche Rechtsverletzungen abzustellen und zu verhindern, dass den Betroffenen weiterer Schaden entsteht.

Artikel 77

Haftung und Recht auf Schadenersatz

(1)  Jede Person, der wegen einer rechtswidrigen Verarbeitung oder einer anderen mit dieser Verordnung nicht zu vereinbarenden Handlung ein Schaden, auch immaterieller Schaden, entstanden ist, hat Anspruch auf Schadenersatz gegen den das Recht, von dem für die Verarbeitung Verantwortlichen oder gegen den dem Auftragsverarbeiter Schadensersatz zu verlangen. [Abänd.186 ]

(2)  Ist mehr als ein für die Verarbeitung Verantwortlicher oder mehr als ein Auftragsverarbeiter an der Verarbeitung beteiligt, haftet jeder für die Verarbeitung Verantwortliche oder jeder Auftragsverarbeiter gesamtschuldnerisch für den gesamten Schaden, sofern nicht eine geeignete schriftliche Vereinbarung gemäß Artikel 24 zwischen ihnen existiert, die die Verantwortlichkeiten festlegt. [Abänd. 187]

(3)  Der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter kann teilweise oder vollständig von dieser Haftung befreit werden, wenn er nachweist, dass ihm der Umstand, durch den der Schaden eingetreten ist, nicht zur Last gelegt werden kann.

Artikel 78

Sanktionen

(1)  Die Mitgliedstaaten legen fest, welche Sanktionen bei einem Verstoß gegen diese Verordnung zu verhängen sind, und treffen die zu ihrer Durchsetzung erforderlichen Maßnahmen; dies gilt auch für den Fall, dass der für die Verarbeitung Verantwortliche seiner Pflicht zur Benennung eines Vertreters nicht nachgekommen ist. Die Sanktionen müssen wirksam, verhältnismäßig und abschreckend sein.

(2)  Hat der für die Verarbeitung Verantwortliche einen Vertreter benannt, wirken die Sanktionen gegen den Vertreter unbeschadet etwaiger Sanktionen, die gegen den für die Verarbeitung Verantwortlichen verhängt werden könnten.

(3)  Jeder Mitgliedstaat teilt der Kommission bis spätestens zu dem in Artikel 91 Absatz 2 genannten Zeitpunkt die Rechtsvorschriften mit, die er nach Absatz 1 erlässt, und setzt sie unverzüglich von allen weiteren Änderungen dieser Vorschriften in Kenntnis.

Artikel 79

Verwaltungsrechtliche Sanktionen

(1)  Jede Aufsichtsbehörde ist befugt, nach Maßgabe dieses Artikels verwaltungsrechtliche Sanktionen zu verhängen. Die Aufsichtsbehörden arbeiten gemäß Artikel 46 und 57 zusammen, um ein harmonisiertes Niveau der Sanktionen innerhalb der Union zu gewährleisten.

(2)  Die verwaltungsrechtlichen Sanktionen müssen in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sein. Die Höhe der Geldbuße bemisst sich nach der Art, Schwere und Dauer des Verstoßes, seinem vorsätzlichen oder fahrlässigen Charakter, dem Grad der Verantwortung der natürlichen oder juristischen Person und früheren Verstößen dieser Person, den nach Artikel 23 eingeführten technischen und organisatorischen Maßnahmen und Verfahren und dem Grad der Zusammenarbeit mit der Aufsichtsbehörde zur Abstellung des Verstoßes.

(2a)  Die Aufsichtsbehörde verhängt gegen jeden, der seinen in dieser Verordnung festgelegten Pflichten nicht nachkommt, mindestens eine der folgenden Sanktionen:

a)  eine schriftliche Verwarnung im Fall eines ersten und nicht vorsätzlichen Verstoßes;

b)  regelmäßige Überprüfungen betreffend den Datenschutz;

c)  eine Geldbuße, bis zu 100 000 000 EUR oder im Fall eines Unternehmens bis zu 5 % seines weltweiten Jahresumsatzes, je nachdem, welcher der Beträge höher ist.

(2b)  Ist der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter im Besitz eines europäischen Datenschutzsiegels gemäß Artikel 39, so wird nur bei Vorsatz oder Fahrlässigkeit eine Geldbuße nach Absatz 2a Buchstabe c verhängt.

(2c)  Bei Verhängung einer Ordnungsstrafe werden folgende Faktoren berücksichtigt:

a)  die Art, Schwere und Dauer des Verstoßes;

b)  der vorsätzliche oder fahrlässige Charakter des Verstoßes,

c)  der Grad der Verantwortung der natürlichen oder juristischen Person und frühere Verstöße dieser Person,

d)  der Wiederholungscharakter des Verstoßes,

e)  der Umfang der Zusammenarbeit mit der Aufsichtsbehörde zur Wiedergutmachung des Verstoßes und zur Minderung seiner möglichen negativen Auswirkungen,

f)  die spezifischen Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind,

g)  der Umfang des Schadens, auch des immateriellen Schadens, für die betroffenen Personen,

h)  die von dem für die Verarbeitung Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens;

i)  direkt oder indirekt aus dem Verstoß entstandene beabsichtigte oder erlangte finanzielle Vorteile oder vermiedene Verluste,

j)  die technischen und organisatorischen Maßnahmen und Verfahren gemäß

i)  Artikel 23 (Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen);

ii)  Artikel 30 (Sicherheit der Verarbeitung);

iii)  Artikel 33 (Datenschutz-Folgenabschätzung);

iv)  Artikel 33a (Überprüfung der Einhaltung der Datenschutzbestimmungen);

v)  Artikel 35 (Benennung eines Datenschutzbeauftragten);

k)  die Weigerung, mit der Aufsichtsbehörde zusammen zu arbeiten oder die Behinderung von ihr gemäß Artikel 53 durchgeführter Nachprüfungen, Überprüfungen und Kontrollen,

l)  jegliche anderen erschwerenden oder mildernden Umstände im Einzelfall.

(3)  Handelt es sich um einen ersten, unabsichtlichen Verstoß gegen diese Verordnung, kann anstatt einer Sanktion eine schriftliche Verwarnung erfolgen in Fällen, in denen

(a)  eine natürliche Person personenbezogene Daten ohne eigenwirtschaftliches Interesse verarbeitet oder

(b)  ein Unternehmen oder eine Organisation mit weniger als 250 Beschäftigten personenbezogene Daten nur als Nebentätigkeit zusätzlich zu den Haupttätigkeiten verarbeitet.

(4)  Die Aufsichtsbehörde verhängt eine Geldbuße bis zu 250 000 EUR oder im Fall eines Unternehmens bis in Höhe von 0,5 % seines weltweiten Jahresumsatzes gegen jeden, der vorsätzlich oder fahrlässig

a)  keine Vorkehrungen für Anträge betroffener Personen gemäß Artikel 12 Absätze 1 und 2 trifft oder den Betroffenen nicht unverzüglich oder nicht dem verlangten Format entsprechend antwortet;

b)  unter Verstoß gegen Artikel 12 Absatz 4 eine Gebühr für die Auskunft oder die Beantwortung von Anträgen betroffener Personen verlangt.

(5)  Die Aufsichtsbehörde verhängt eine Geldbuße bis zu 500 000 EUR oder im Fall eines Unternehmens bis in Höhe von 1 % seines weltweiten Jahresumsatzes gegen jeden, der vorsätzlich oder fahrlässig

a)  der betroffenen Person die Auskünfte gemäß Artikel 11, Artikel 12 Absatz 3 und Artikel 14 nicht oder nicht vollständig oder in nicht hinreichend transparenter Weise erteilt;

b)  der betroffenen Person keine Auskunft gemäß Artikel 15 erteilt, personenbezogene Daten nicht gemäß Artikel 16 berichtigt oder einen Empfänger nicht gemäß Artikel 13 benachrichtigt;

c)  das Recht auf Vergessenwerden oder auf Löschung nicht beachtet, keine Vorkehrungen trifft, um die Einhaltung der Fristen zu gewährleisten, oder nicht alle erforderlichen Schritte unternimmt, um Dritte von einem Antrag der betroffenen Person auf Löschung von Links zu personenbezogenen Daten sowie Kopien oder Replikationen dieser Daten gemäß Artikel 17 zu benachrichtigen;

d)  keine Kopie der personenbezogenen Daten in elektronischem Format bereitstellt oder die betroffene Person unter Verstoß gegen Artikel 18 daran hindert, personenbezogene Daten auf eine andere Anwendung zu übertragen;

e)  die jeweilige Verantwortung der für die Verarbeitung Mitverantwortlichen nicht oder nicht hinreichend gemäß Artikel 24 bestimmt hat;

f)  die Dokumentation gemäß Artikel 28, Artikel 31 Absatz 4 und Artikel 44 Absatz 3 nicht oder nicht hinreichend gewährleistet;

g)  in Fällen, in denen keine besonderen Kategorien von Daten verarbeitet werden, die Vorschriften im Hinblick auf die freie Meinungsäußerung gemäß Artikel 80, die Datenverarbeitung im Beschäftigungskontext gemäß Artikel 82 oder die Bedingungen für die Verarbeitung zu historischen oder statistischen Zwecken oder zum Zwecke der wissenschaftlichen Forschung gemäß Artikel 83 nicht beachtet.

(6)  Die Aufsichtsbehörde verhängt eine Geldbuße bis zu 1 000 000 EUR oder im Fall eines Unternehmens bis in Höhe von 2 % seines weltweiten Jahresumsatzes gegen jeden, der vorsätzlich oder fahrlässig

a)  personenbezogene Daten ohne oder ohne ausreichende Rechtsgrundlage verarbeitet oder die Bedingungen für die Einwilligung gemäß den Artikeln 6, 7 und 8 nicht beachtet;

b)  unter Verstoß gegen die Artikel 9 und 81 besondere Kategorien von Daten verarbeitet;

c)  das Recht auf Widerspruch gemäß Artikel 19 oder eine damit verbundene Bedingung nicht beachtet;

d)  die Bedingungen gemäß Artikel 20 in Bezug auf Maßnahmen, die auf Profiling basieren, nicht beachtet;

e)  keine internen Datenschutzstrategien festlegt oder keine geeigneten Maßnahmen gemäß den Artikeln 22, 23 und 30 anwendet, um die Beachtung der Datenschutzvorschriften sicherzustellen und nachzuweisen;

f)  keinen Vertreter gemäß Artikel 25 benennt;

g)  unter Verstoß gegen die mit der Datenverarbeitung im Namen eines für die Verarbeitung Verantwortlichen verbundenen Pflichten gemäß den Artikeln 26 und 27 personenbezogene Daten verarbeitet oder deren Verarbeitung anordnet;

h)  die Aufsichtsbehörde bei einer Verletzung des Schutzes personenbezogener Daten nicht alarmiert oder sie oder die betroffene Person gemäß den Artikeln 31 und 32 nicht oder nicht rechtzeitig oder nicht vollständig von einer solchen Verletzung benachrichtigt;

i)  keine Datenschutz-Folgenabschätzung nach Artikel 33 vornimmt oder personenbezogene Daten entgegen Artikel 34 ohne vorherige Genehmigung oder ohne Zurateziehung der Aufsichtsbehörde verarbeitet;

j)  keinen Datenschutzbeauftragten nach Artikel 35 benennt oder nicht die Voraussetzungen für die Erfüllung seiner Aufgaben gemäß Artikel 35, 36 und 37 schafft;

k)  ein Datenschutzsiegel oder -zeichen im Sinne des Artikels 39 missbraucht;

(l)  eine mangels eines Angemessenheitsbeschlusses oder mangels geeigneter Garantien oder einer Ausnahme gemäß den Artikeln 40 bis 44 unzulässige Datenübermittlung in ein Drittland oder an eine internationale Organisation vornimmt oder anordnet;

(m)  einer Anweisung oder einem vorübergehenden oder endgültigen Verarbeitungsverbot oder einer Aussetzung der Datenübermittlung durch die Aufsichtsbehörde gemäß Artikel 53 Absatz 1 nicht Folge leistet;

(n)  entgegen den Pflichten gemäß Artikel 28 Absatz 3, Artikel 29, Artikel 34 Absatz 6 und Artikel 53 Absatz 2 die Aufsichtsbehörde nicht unterstützt, nicht mit ihr zusammenarbeitet, ihre keine einschlägigen Auskünfte erteilt oder keinen Zugang zu seinen Räumlichkeiten gewährt;

(o)  die Vorschriften über die Wahrung des Berufsgeheimnisses gemäß Artikel 84 nicht einhält.

(7)  Die Kommission wird ermächtigt, delegierte Rechtsakte nach Maßgabe von Artikel 86 zu erlassen, um die absoluten Beträge der in den Absätzen 4, 5 und 6 Absatz 2a genannten Geldbußen unter Berücksichtigung der in Absatz 2 den Absätzen 2 und 2c aufgeführten Kriterien und Umstände zu aktualisieren. [Abänd. 188]

KAPITEL IX

VORSCHRIFTEN FÜR BESONDERE DATENVERARBEITUNGSSITUATIONEN

Artikel 80

Verarbeitung personenbezogener Daten und freie Meinungsäußerung

(1)  Die Mitgliedstaaten sehen für die Verarbeitung personenbezogener Daten, die allein zu journalistischen, künstlerischen oder literarischen Zwecken erfolgt, wann immer dies notwendig ist, Abweichungen oder Ausnahmen von den allgemeinen Grundsätzen des Kapitels II, von den Rechten der betroffenen Person in Kapitel III, von den Bestimmungen über den für die Verarbeitung Verantwortlichen und den Auftragsverarbeiter in Kapitel IV, von der Übermittlung personenbezogener Daten in Drittländer und an internationale Organisationen in Kapitel V, von den Vorschriften über die Aufsichtsbehörden in Kapitel VI sowie von den Vorschriften über Zusammenarbeit und Kohärenz in Kapitel VII sowie von den Vorschriften über besondere Datenverarbeitungssituationen in diesem Kapitel vor, um das Recht auf Schutz der Privatsphäre mit den für die Freiheit der Meinungsäußerung geltenden Vorschriften nach Maßgabe der Charta in Einklang zu bringen. [Abänd. 189]

(2)  Jeder Mitgliedstaat teilt der Kommission bis spätestens zu dem in Artikel 91 Absatz 2 genannten Zeitpunkt die Rechtsvorschriften mit, die er nach Absatz 1 erlassen hat, und setzt sie unverzüglich von allen weiteren Änderungsgesetzen oder diese Rechtsvorschriften betreffenden Änderungen in Kenntnis.

Artikel 80a

Zugang zu Dokumenten

(1)  Personenbezogene Daten in Dokumenten einer Behörde oder einer öffentlichen Einrichtung können von dieser Behörde oder Einrichtung gemäß unionsrechtlichen oder mitgliedstaatlichen Vorschriften über den Zugang der Öffentlichkeit zu amtlichen Dokumenten offen gelegt werden, die das Recht auf den Schutz personenbezogener Daten mit dem Grundsatz des Zugangs der Öffentlichkeit zu amtlichen Dokumenten in Einklang bringen.

(2)  Jeder Mitgliedstaat teilt der Kommission bis spätestens zu dem in Artikel 91 Absatz 2 genannten Zeitpunkt die Rechtsvorschriften mit, die er nach Absatz 1 erlässt, und setzt sie unverzüglich von allen weiteren Änderungen dieser Vorschriften in Kenntnis. [Abänd. 190]

Artikel 81

Verarbeitung personenbezogener Gesundheitsdaten

(1)  Die Verarbeitung personenbezogener Gesundheitsdaten erfolgt in Übereinstimmung mit den Grenzen Bestimmungen dieser Verordnung nach Maßgabe von und insbesondere mit Artikel 9 Absatz 2 Buchstabe h auf der Grundlage des Unionsrechts oder des mitgliedstaatlichen Rechts, das geeignete, einheitliche und besondere Maßnahmen zum Schutz der berechtigten Interessen und der Grundrechte der betroffenen Person vorsieht; sie muss sofern diese notwendig und verhältnismäßig sind und dessen Auswirkungen für die betroffene Person vorhersehbar sein müssen:

a)  für Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin, der medizinischen Diagnostik, der Gesundheitsversorgung oder Behandlung oder für die Verwaltung von Gesundheitsdiensten, sofern die Verarbeitung dieser Daten durch dem Berufsgeheimnis unterliegendes ärztliches Personal erfolgt oder durch sonstige Personen, die nach mitgliedstaatlichem Recht, einschließlich der von den zuständigen einzelstaatlichen Stellen erlassenen Regelungen, einer entsprechenden Geheimhaltungspflicht unterliegen;

b)  aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit unter anderem zum Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren oder zur Gewährleistung hoher Qualitäts- und Sicherheitsstandards unter anderem für Arzneimittel oder Medizinprodukte und wenn die Verarbeitung dieser Daten durch eine Person erfolgt, die der Verschwiegenheitspflicht unterliegt; oder

c)  aus anderen Gründen des öffentlichen Interesses in Bereichen wie der sozialen Sicherheit, insbesondere um die Qualität und Wirtschaftlichkeit der Verfahren zur Abrechnung von Krankenversicherungsleistungen und die Bereitstellung von Gesundheitsleistungen sicherzustellen. Diese Verarbeitung personenbezogener Gesundheitsdaten aus Gründen des öffentlichen Interesses darf nicht dazu führen, dass personenbezogene Daten zu anderen Zwecken verarbeitet werden, es sei denn, die betroffene Person stimmt ihr zu oder die Verarbeitung erfolgt auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats.

(1a)  Wenn die Zwecke gemäß Absatz 1 Buchstabe a bis c ohne die Verwendung personenbezogener Daten erreicht werden können, werden solche Daten für diese Zwecke nicht verarbeitet, es sei denn, die betroffene Person stimmt ihr zu oder die Verarbeitung erfolgt auf der Grundlage des Rechts eines Mitgliedstaats.

(1b)  In Fällen, in denen die Einwilligung der betroffenen Person zur Verarbeitung medizinischer Daten für den ausschließlichen Zwecke der Forschung zu Fragen der öffentlichen Gesundheit erforderlich ist, kann die Einwilligung für eine oder mehrere spezifische und ähnliche Forschungen gegeben werden. Die betroffene Person kann ihre Einwilligung jedoch jederzeit zu widerrufen.

(1c)  Für die Einwilligung in die Teilnahme an wissenschaftlicher Forschung im Zusammenhang mit klinischen Studien finden die einschlägigen Vorschriften der Richtlinie 2001/20/EG des Europäischen Parlaments und des Rates(21) Anwendung.

(2)  Die Verarbeitung personenbezogener Gesundheitsdaten, die zu historischen oder statistischen Zwecken oder zum Zwecke der wissenschaftlichen Forschung unter anderem zur Erstellung von Patientenregistern zur Verbesserung der Diagnose sowie zur Unterscheidung zwischen ähnlichen Krankheitsarten und zur Vorbereitung von Studien zu Therapiezwecken erforderlich ist, ist nur mit Einwilligung der betroffenen Person erlaubt und unterliegt den Bedingungen und Garantien gemäß Artikel 83.

(2a)  Im Hinblick auf Forschung, die einem großen öffentlichen Interesse dient, können in den Rechtsvorschriften der Mitgliedstaaten Ausnahmen von dem Erfordernis der Einwilligung im Bereich der Forschung gemäß Absatz 2 vorgesehen werden, wenn es unmöglich ist, diese Forschung auf andere Weise durchzuführen. Die betreffenden Daten sind zu anonymisieren, oder, falls dies für die Zwecke der Forschung nicht möglich ist, gemäß den höchsten technischen Standards zu pseudonymisieren, und es sind sämtliche notwendigen Maßnahmen zu ergreifen, um unbefugte Rückschlüsse auf die Identität der betroffenen Personen zu verhindern. Die betroffene Person hat jedoch das Recht, ihre Einwilligung jederzeit gemäß Artikel 19 zu widerrufen.

(3)  Die Kommission wird ermächtigt, delegierte Rechtsakte nach Maßgabe von Artikel 86 zu erlassen, nachdem sie den Europäischen Datenschutzausschuss um eine Stellungnahme ersucht hat, um die Gründe des öffentlichen Interesses im Bereich der öffentlichen Gesundheit im Sinne des Absatzes 1 Buchstabe b und des großen öffentlichen Interesse im Bereich der Forschung im Sinne des Absatzes 2a näher auszuführen und um die Kriterien und Anforderungen in Bezug auf die Garantien für die Verarbeitung personenbezogener Daten für die in Absatz 1 genannten Zwecke festzulegen.

(3a)  Jeder Mitgliedstaat teilt der Kommission bis spätestens zu dem in Artikel 91 Absatz 2 genannten Zeitpunkt die Rechtsvorschriften mit, die er nach Absatz 1 erlässt, und setzt sie unverzüglich von allen weiteren Änderungen dieser Vorschriften in Kenntnis. [Abänd. 191]

Artikel 82

Mindestnormen für die Datenverarbeitung im Beschäftigungskontext

(1)  Die Mitgliedstaaten können in den Grenzen im Einklang mit den Regelungen dieser Verordnung per Gesetz und unter Berücksichtigung des Grundsatzes der Verhältnismäßigkeit durch Rechtsvorschriften die Verarbeitung personenbezogener Arbeitnehmerdaten im Beschäftigungskontext unter anderem , insbesondere, jedoch nicht ausschließlich, für Zwecke der Einstellung und Bewerbung innerhalb des Unternehmensgruppe, der Erfüllung des Arbeitsvertrags einschließlich der Erfüllung von gesetzlich oder und tarifvertraglich festgelegten Pflichten gemäß nationalen Rechtsvorschriften oder Gepflogenheiten, des Managements, der Planung und der Organisation der Arbeit, der Gesundheit und Sicherheit am Arbeitsplatz sowie für Zwecke der Inanspruchnahme der mit der Beschäftigung zusammenhängenden individuellen oder kollektiven Rechte und Leistungen und für Zwecke der Beendigung des Beschäftigungsverhältnisses regeln. Die Mitgliedstaaten können Kollektivverträge für die weitere Konkretisierung der Vorschriften dieses Artikels vorsehen.

(1a)  Der Zweck der Verarbeitung solcher Daten muss mit dem Grund, aus dem die Daten erhoben wurden, in Zusammenhang stehen und auf den Beschäftigungskontext beschränkt bleiben. Die Profilerstellung oder Verwendung für sekundäre Zwecke ist nicht statthaft.

(1b)  Die Einwilligung eines Arbeitnehmers bietet keine Rechtsgrundlage für die Verarbeitung von Daten durch den Arbeitgeber, wenn die Einwilligung nicht freiwillig erteilt wurde.

(1c)  Unbeschadet der übrigen Vorschriften dieser Verordnung umfassen die in Absatz 1 genannten Rechtsvorschriften der Mitgliedstaaten wenigstens die folgenden Mindeststandards:

a)  Die Verarbeitung von Beschäftigtendaten ohne Kenntnis der Arbeitnehmer ist unzulässig. Abweichend von Satz 1 können die Mitgliedstaaten per Gesetz unter Anordnung angemessener Löschungsfristen die Zulässigkeit für den Fall vorsehen, dass zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass der Arbeitnehmer im Beschäftigungsverhältnis eine Straftat oder eine andere schwerwiegende Pflichtverletzung begangen hat, die Erhebung zur Aufdeckung erforderlich ist und Art und Ausmaß der Erhebung im Hinblick auf den Zweck erforderlich und verhältnismäßig sind. Die Privat- und Intimsphäre der Arbeitnehmer ist jederzeit zu wahren. Die Ermittlung ist Sache der zuständigen Behörden.

b)  Die offene optisch-elektronische und/oder offene akustisch-elektronische Überwachung der nicht öffentlich zugänglichen Teile des Betriebs, die überwiegend der privaten Lebensgestaltung des Arbeitnehmers dienen, insbesondere in Sanitär-, Umkleide-, Pausen- und Schlafräumen, ist unzulässig. Die heimliche Überwachung ist in jedem Fall unzulässig.

c)  Erheben oder verarbeiten Unternehmen oder Behörden im Rahmen ärztlicher Untersuchungen und/oder Eignungstests personenbezogene Daten, so müssen sie dem Bewerber oder Arbeitnehmer vorher erläutern, wofür diese Daten genutzt werden, und sicherstellen, dass ihnen nachher diese zusammen mit den Ergebnissen mitgeteilt und auf Anfrage erklärt werden. Datenerhebung zum Zwecke von genetischen Tests und Analysen ist grundsätzlich untersagt.

d)  Ob und in welchem Umfang die Nutzung von Telefon, E-Mail, Internet und anderen Telekommunikationsdiensten auch zu privaten Zwecken erlaubt ist, kann durch Kollektivvereinbarung geregelt werden. Besteht keine Regelung durch Kollektivvereinbarung, trifft der Arbeitgeber unmittelbar mit dem Arbeitnehmer eine entsprechende Vereinbarung. Soweit eine private Nutzung erlaubt ist, ist die Verarbeitung anfallender Verkehrsdaten insbesondere zur Gewährleistung der Datensicherheit, zur Sicherstellung des ordnungsgemäßen Betriebs von Telekommunikationsnetzen und Telekommunikationsdiensten und zur Abrechnung zulässig.

Abweichend von Satz 3 können die Mitgliedstaaten per Gesetz unter Anordnung angemessener Löschungsfristen die Zulässigkeit für den Fall vorsehen, dass zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass der Arbeitnehmer im Beschäftigungsverhältnis eine Straftat oder eine andere schwerwiegende Pflichtverletzung begangen hat, die Erhebung zur Aufdeckung erforderlich ist und Art und Ausmaß der Erhebung im Hinblick auf den Zweck erforderlich und verhältnismäßig sind. Die Privat- und Intimsphäre der Arbeitnehmer ist jederzeit zu wahren. Die Ermittlung ist Sache der zuständigen Behörden.

e)  Die personenbezogenen Daten von Arbeitnehmern, vor allem sensible Daten wie politische Orientierung sowie Zugehörigkeit zu und Aktivitäten in Gewerkschaften, dürfen unter keinen Umständen dazu verwendet werden, Arbeitnehmer auf sogenannte „schwarze Listen“ zu setzen und sie einer Überprüfung zu unterziehen oder sie von einer künftigen Beschäftigung auszuschließen. Die Verarbeitung, die Verwendung im Beschäftigungskontext und die Erstellung und Weitergabe schwarzer Listen von Arbeitnehmern oder sonstige Formen der Diskriminierung sind nicht zulässig. Um die wirksame Durchsetzung dieses Punkts zu gewährleisten, führen die Mitgliedstaaten Kontrollen durch und legen nach Maßgabe von Artikel 79 Absatz 6 angemessene Sanktionen fest.

(1d)  Die Übermittlung und Verarbeitung von personenbezogenen Beschäftigtendaten zwischen rechtlich selbständigen Unternehmen innerhalb einer Unternehmensgruppe und mit rechts- und steuerberatenden Berufsangehörigen ist zulässig, soweit sie für den Geschäftsbetrieb relevant ist und der Abwicklung von zweckgebundenen Arbeits- oder Verwaltungsvorgängen dient und sie den schutzwürdigen Interessen und Grundrechten des Betroffenen nicht entgegensteht. Erfolgt die Übermittlung von Beschäftigtendaten in ein Drittland und/oder an eine internationale Organisation, findet Kapitel V Anwendung.

(2)  Jeder Mitgliedstaat teilt der Kommission bis spätestens zu dem in Artikel 91 Absatz 2 genannten Zeitpunkt die Rechtsvorschriften mit, die er nach Absatz 1 und 1b erlässt, und setzt sie unverzüglich von allen weiteren Änderungen dieser Vorschriften in Kenntnis.

(3)  Die Kommission wird ermächtigt, nachdem sie den Europäischen Datenschutzausschuss um eine Stellungnahme ersucht hat, delegierte Rechtsakte nach Maßgabe von Artikel 86 zu erlassen, um die Kriterien und Anforderungen in Bezug auf die Garantien für die Verarbeitung personenbezogener Daten für die in Absatz 1 genannten Zwecke festzulegen. [Abänd. 192]

Artikel 82a

Datenverarbeitung im Bereich der sozialen Sicherheit

(1)  Die Mitgliedstaaten können gemäß den Bestimmungen dieser Verordnung besondere Rechtsvorschriften erlassen, in denen die Bedingungen für die im öffentlichen Interesse erfolgende Verarbeitung personenbezogener Daten durch ihre öffentlichen Einrichtungen und Ämter im Bereich der sozialen Sicherheit genau festgelegt werden.

(2)  Jeder Mitgliedstaat teilt der Kommission bis spätestens zu dem in Artikel 91 Absatz 2 genannten Zeitpunkt die Vorschriften mit, die er nach Absatz 1 erlässt, und setzt sie unverzüglich von allen weiteren Änderungen dieser Vorschriften in Kenntnis. [Abänd. 193]

Artikel 83

Datenverarbeitung zu historischen oder statistischen Zwecken sowie zum Zwecke der wissenschaftlichen Forschung

(1)  In den GrenzenGemäß den Vorschriften dieser Verordnung dürfen personenbezogene Daten nur dann zu historischen oder statistischen Zwecken oder zum Zwecke der wissenschaftlichen Forschung verarbeitet werden, wenn

a)  diese Zwecke nicht auf andere Weise durch die Verarbeitung von Daten erfüllt werden können, die eine Bestimmung der betroffenen Person nicht oder nicht mehr ermöglichen;

b)  Daten, die die Zuordnung von Informationen zu einer bestimmten oder bestimmbaren betroffenen Person ermöglichen, von den übrigen Informationen getrennt gemäß den höchsten technischen Standards getrennt aufbewahrt werden, sofern diese Zwecke in dieser Weise erfüllt werden können.und sämtliche notwendigen Maßnahmen ergriffen werden, um unbefugte Rückschlüsse auf die Identität der betroffenen Personen zu verhindern.

(2)  Einrichtungen, die Arbeiten für historische oder statistische Zwecke oder zum Zwecke der wissenschaftlichen Forschung durchführen, dürfen personenbezogene Daten nur dann veröffentlichen oder auf andere Weise bekannt machen, wenn

a)  die betroffene Person nach Maßgabe von Artikel 7 ihre Einwilligung erteilt hat,

b)  die Veröffentlichung personenbezogener Daten für die Darstellung von Forschungsergebnissen oder zur Unterstützung der Forschung notwendig ist, soweit die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person diese Interessen nicht überwiegen oder

c)  die betroffene Person die Daten veröffentlicht hat.

(3)  Die Kommission wird ermächtigt, delegierte Rechtsakte nach Maßgabe von Artikel 86 zu erlassen, um die Kriterien und Anforderungen für die Verarbeitung personenbezogener Daten für die Zwecke der Absätze 1 und 2, etwaige erforderliche Beschränkungen der Rechte der betroffenen Person auf Unterrichtung und Auskunft sowie die unter diesen Umständen geltenden Bedingungen und Garantien für die Rechte der betroffenen Person festzulegen. [Abänd. 194]

Artikel 83a

Verarbeitung personenbezogener Daten für Archivdienste

(1)  Personenbezogene Daten können über den Zeitraum hinaus, der für die Erreichung der Zwecke der ursprünglichen Verarbeitung, für die sie erhoben wurden, notwendig ist, durch Archivdienste verarbeitet werden, deren Hauptaufgabe oder rechtliche Pflicht darin besteht, Archivgut im Interesse der Öffentlichkeit zu erfassen, zu erhalten, zu ordnen, bekanntzumachen, aufzuwerten und zu verbreiten, vor allem im Hinblick auf die Geltendmachung der Rechte einer Person sowie zu historischen, statistischen oder wissenschaftlichen Zwecken. Diese Aufgaben werden unter Achtung der Regelungen wahrgenommen, die die Mitgliedstaaten im Bereich des Zugangs, der Bekanntmachung und der Verbreitung von Verwaltungs‑ oder Archivdokumenten vorgesehen haben, wobei die Vorschriften dieser Verordnung, insbesondere im Hinblick auf Einwilligung und Widerspruchsrecht zu beachten sind.

(2)  Jeder Mitgliedstaat teilt der Kommission bis spätestens zu dem in Artikel 91 Absatz 2 genannten Zeitpunkt die Rechtsvorschriften mit, die er nach Absatz 1 erlässt, und setzt sie unverzüglich von allen weiteren Änderungen dieser Vorschriften in Kenntnis. [Abänd. 195]

Artikel 84

Geheimhaltungspflichten

(1)  Gemäß den Vorschriften dieser Verordnung sorgen die Mitgliedstaaten können in den Grenzen dieser Verordnung die Untersuchungsbefugnisse dafür, dass die Befugnisse der Aufsichtsbehörden im Sinne des Artikels 53 Absatz 2 gegenüber den für die Verarbeitung Verantwortlichen oder den Auftragsverarbeitern, die nach einzelstaatlichem Recht oder nach von den zuständigen einzelstaatlichen Stellen erlassenen Regelungen dem Berufsgeheimnis oder einer gleichwertigen Geheimhaltungspflicht unterliegen, regeln, geregelt sind, soweit dies notwendig und verhältnismäßig ist, um das Recht auf Schutz der personenbezogenen Daten mit der Pflicht zur Geheimhaltung in Einklang zu bringen. Diese Vorschriften gelten nur in Bezug auf personenbezogene Daten, die der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter bei einer Tätigkeit erlangt oder erhoben hat, die einer solchen Geheimhaltungspflicht unterliegt. [Abänd. 196]

(2)  Jeder Mitgliedstaat teilt der Kommission bis spätestens zu dem in Artikel 91 Absatz 2 genannten Zeitpunkt die Vorschriften mit, die er nach Absatz 1 erlässt, und setzt sie unverzüglich von allen weiteren Änderungen dieser Vorschriften in Kenntnis.

Artikel 85

Bestehende Datenschutzvorschriften von Kirchen und religiösen Vereinigungen oder Gemeinschaften

(1)  Wendet eine Kirche oder eine religiöse Vereinigung oder Gemeinschaft in einem Mitgliedstaat zum Zeitpunkt des Inkrafttretens dieser Verordnung umfassende angemessene Regeln zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten an, dürfen diese Regeln weiter angewandt werden, sofern sie mit dieser Verordnung in Einklang gebracht werden.

(2)  Kirchen und religiöse Vereinigungen oder Gemeinschaften, die gemäß Absatz 1 umfassende angemessene Datenschutzregeln anwenden, richten erhalten eine unabhängige Datenschutzaufsicht im Sinne des Kapitels VI ein.Vereinbarkeitsbescheinigung nach Artikel 38. [Abänd. 197]

Artikel 85a

Achtung der Grundrechte

Diese Verordnung berührt nicht die Verpflichtung zur Achtung der Grundrechte und der allgemeinen Rechtsgrundsätze gemäß Artikel 6 EUV. [Abänd. 198]

Artikel 85b

Standardvorlagen

(1)  Die Kommission kann Standardvorlagen zu folgenden Punkten festlegen, wobei sie die Besonderheiten und Bedürfnisse der verschiedenen Sektoren und Verarbeitungssituationen berücksichtigt:

a)  bestimmte Arten der Erlangung einer nachprüfbaren Einwilligung gemäß Artikel 8 Absatz 1,

b)  Mitteilungen gemäß Artikel 12 Absatz 2, auch für solche in elektronischer Form,

c)  Informationen gemäß Artikel 14 Absatz 1 bis3,

d)  Auskunftsgesuche und die Erteilung der Auskünfte gemäß Artikel 15 Absatz 1, darunter auch die Mitteilung der personenbezogenen Daten an die betroffene Person,

e)  Dokumentation gemäß Artikel 28 Absatz 1,

f)  Mitteilungen über Verstöße gemäß Artikel 31 an die Aufsichtsbehörde und Dokumentation gemäß Artikel 31 Absatz 4,

g)  vorherige Konsultation gemäß Artikel 34 und Unterrichtung der Aufsichtsbehörde gemäß Artikel 34 Absatz 6.

(2)  Dabei ergreift die Kommission geeignete Maßnahmen für Kleinst- und Kleinunternehmen sowie mittlere Unternehmen.

(3)  Diese Durchführungsrechtsakte werden in Übereinstimmung mit dem Prüfverfahren gemäß Artikel 87 Absatz 2 erlassen. [Abänd. 199]

KAPITEL X

DELEGIERTE RECHTSAKTE UND DURCHFÜHRUNGSRECHTSAKTE

Artikel 86

Befugnisübertragung

(1)  Die Befugnis zum Erlass delegierter Rechtsakte wird der Kommission unter den in diesem Artikel festgelegten Bedingungen übertragen.

(2)  Die Befugnis zum Erlass delegierter Rechtsakte gemäß Artikel 6 Absatz 5, Artikel 8 Absatz 3, Artikel 9 Absatz 3, Artikel 12 Absatz 5, Artikel 14 Absatz 7, Artikel 15 Absatz 3, Artikel 17 Absatz 9, Artikel 20 Absatz 6, Artikel 22 Absatz 4, Artikel 23 Absatz 3, Artikel 26 Absatz 5, Artikel 28 Absatz 5, Artikel 30 Absatz 3, Artikel 31 Absatz 5, Artikel 32 Absatz 5, Artikel 33 Absatz 6, Artikel 34 Absatz 8, Artikel 35 Absatz 11, Artikel 37 Absatz 2, Artikel 39 Absatz 2, Artikel 43 Absatz 3, Artikel 44 Absatz 7, Artikel 79 Absatz 6, Artikel 81 Absatz 3, Artikel 82 Absatz 3 und Artikel 83 Absatz 3 wird der Kommission auf ab dem Tag des Inkrafttretens dieser Verordnung für unbestimmte Zeit ab Inkrafttreten dieser Verordnung übertragen. [Abänd. 200]

(3)  Die Befugnis zum Erlass delegierter Rechtsakte Befugnisübertragung gemäß Artikel 6 Absatz 5, Artikel 8 Absatz 3, Artikel 9 Absatz 3, Artikel 12 Absatz 5, Artikel 14 Absatz 7, Artikel 15 Absatz 3, Artikel 17 Absatz 9, Artikel 20 Absatz 6, Artikel 22 Absatz 4, Artikel 23 Absatz 3, Artikel 26 Absatz 5, Artikel 28 Absatz 5, Artikel 30 Absatz 3, Artikel 31 Absatz 5, Artikel 32 Absatz 5, Artikel 33 Absatz 6, Artikel 34 Absatz 8, Artikel 35 Absatz 11, Artikel 37 Absatz 2, Artikel 39 Absatz 2, Artikel 43 Absatz 3, Artikel 44 Absatz 7, Artikel 79 Absatz 6, Artikel 81 Absatz 3, Artikel 82 Absatz 3 und Artikel 83 Absatz 3 Artikel 13a Absatz 5, Artikel 17 Absatz 9, Artikel 38 Absatz 4, Artikel 39 Absatz 2, Artikel 41 Absatz 3, Artikel 41 Absatz 5, Artikel 43 Absatz 3, Artikel 79 Absatz 7, Artikel 81 Absatz 3 sowie Artikel 82 Absatz 3 kann vom Europäischen Parlament oder vom Rat jederzeit widerrufen werden. Der Beschluss über den Widerruf beendet die Übertragung der in diesem Beschluss angegebenen Befugnis. Der Beschluss wird am Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union oder zu einem darin angegebenen späteren Zeitpunkt wirksam. Er berührt nicht die Gültigkeit von bereits in Kraft getretenen delegierten Rechtsakten. [Abänd. 201]

(4)  Sobald die Kommission einen delegierten Rechtsakt erlässt, übermittelt sie ihn gleichzeitig dem Europäischen Parlament und dem Rat.

(5)  Ein delegierter Rechtsakt, der gemäß Artikel 6 Absatz 5, Artikel 8 Absatz 3, Artikel 9 Absatz 3, Artikel 12 Absatz 5, Artikel 14 Absatz 7, Artikel 15 Absatz 3, Artikel 17 Absatz 9, Artikel 20 Absatz 6, Artikel 22 Absatz 4, Artikel 23 Absatz 3, Artikel 26 Absatz 5, Artikel 28 Absatz 5, Artikel 30 Absatz 3, Artikel 31 Absatz 5, Artikel 32 Absatz 5, Artikel 33 Absatz 6, Artikel 34 Absatz 8, Artikel 35 Absatz 11, Artikel 37 Absatz 2, Artikel 39 Absatz 2, Artikel 43 Absatz 3, Artikel 44 Absatz 7, Artikel 79 Absatz 6, Artikel 81 Absatz 3, Artikel 82 Absatz 3 und Artikel 83 Absatz 3 Artikel 13a Absatz 5, Artikel 17 Absatz 9, Artikel 38 Absatz 4, Artikel 39 Absatz 2, Artikel 41 Absatz 3, Artikel 41 Absatz 5, Artikel 43 Absatz 3, Artikel 79 Absatz 7, Artikel 81 Absatz 3 sowie Artikel 82 Absatz 3 erlassen worden ist wurde, tritt nur in Kraft, wenn weder das Europäische Parlament noch der Rat innerhalb einer Frist von zwei sechs Monaten nach Übermittlung des dieses Rechtsakts an das Europäische Parlament und den Rat Einwände erhoben haben oder wenn vor Ablauf dieser Frist sowohl das Europäische Parlament als auch und der Rat beide der Kommission mitgeteilt haben, dass sie keine Einwände erheben werden. Auf Veranlassung des Europäischen Parlaments oder des Rates wird diese Frist um zwei sechs Monate verlängert. [Abänd. 202]

Artikel 87

Ausschussverfahren

(1)  Die Kommission wird von einem Ausschuss unterstützt. Bei diesem Ausschuss handelt es sich um einen Ausschuss im Sinne der Verordnung (EU) Nr. 182/2011.

(2)  Wird auf diesen Absatz Bezug genommen, so gilt Artikel 5 der Verordnung (EU) Nr. 182/2011.

(3)  Wird auf diesen Absatz Bezug genommen, so gilt Artikel 8 der Verordnung (EU) Nr. 182/2011 in Verbindung mit deren Artikel 5. [Abänd. 203]

KAPITEL XI

SCHLUSSBESTIMMUNGEN

Artikel 88

Aufhebung der Richtlinie 95/46/EG

(1)  Die Richtlinie 95/46/EG wird aufgehoben.

(2)  Verweise auf die aufgehobene Richtlinie gelten als Verweise auf die vorliegende Verordnung. Verweise auf die durch Artikel 29 der Richtlinie 95/46/EG eingesetzte Gruppe für den Schutz von Personen bei der Verarbeitung personenbezogener Daten gelten als Verweise auf den kraft dieser Verordnung errichteten Europäischen Datenschutzausschuss.

Artikel 89

Verhältnis zur Richtlinie 2002/58/EG und Änderung dieser Richtlinie

(1)  Diese Verordnung erlegt natürlichen oder juristischen Personen in Bezug auf die Verarbeitung personenbezogener Daten in Verbindung mit der Bereitstellung öffentlich zugänglicher elektronischer Kommunikationsdienste in öffentlichen Kommunikationsnetzen in der Union keine zusätzlichen Pflichten auf, soweit sie besonderen in der Richtlinie 2002/85/EG festgelegten Pflichten unterliegen, die dasselbe Ziel verfolgen.

(2)  Artikel 1 Absatz 2, Artikel 4 und Artikel 15 der Richtlinie 2002/58/EG wird werden gestrichen. [Abänd. 204]

(2a)  Die Kommission legt bis spätestens zu dem in Artikel 91 Absatz 2 genannten Datum und unverzüglich einen Vorschlag für die Überarbeitung des Rechtsrahmens für die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation vor, um Übereinstimmung mit der vorliegenden Verordnung herzustellen und für kohärente und einheitliche Rechtsvorschriften für das Grundrecht des Schutzes personenbezogener Daten in der Union Sorge zu tragen. [Abänd. 205]

Artikel 89a

Verhältnis zur Verordnung (EG) Nr. 45/2001 und Änderung dieser Verordnung

(1)  Die Vorschriften dieser Verordnung gelten für die Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen, Ämter und Agenturen der Union in Bezug auf Angelegenheiten, in denen sie nicht den zusätzlichen Vorschriften der Verordnung (EG) Nr. 45/2001 unterliegen.

(2)  Die Kommission legt bis spätestens zu dem in Artikel 91 Absatz 2 genannten Datum und unverzüglich einen Vorschlag für die Überarbeitung des Rechtsrahmens für die Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen, Dienststellen und Agenturen der Union vor. [Abänd. 206]

Artikel 90

Bewertung

Die Kommission legt dem Europäischen Parlament und dem Rat regelmäßig einen Bericht zur Bewertung und Überprüfung dieser Verordnung vor. Der erste Bericht wird spätestens vier Jahre nach Inkrafttreten dieser Verordnung vorgelegt. Danach wird alle vier Jahre ein weiterer Bericht vorgelegt. Die Kommission legt geeignete Vorschläge zur Änderung dieser Verordnung und zur Anpassung anderer Rechtsinstrumente vor, die sich insbesondere unter Berücksichtigung der Entwicklung der Informationstechnologie und der Arbeiten über die Informationsgesellschaft als notwendig erweisen können. Die Berichte werden veröffentlicht.

Artikel 91

Inkrafttreten und Anwendung

(1)  Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.

(2)  Ihre Anwendung beginnt ...(22) .

Diese Verordnung ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat.

Geschehen zu ..., am

Im Namen des Europäischen Parlaments Im Namen des Rates

Der Präsident Der Präsident

Anhang  – Darstellung der Hinweise nach Artikel 13a

(1)  Unter Berücksichtigung der Proportionen, auf die unter Punkt 6 verwiesen wird, sehen die Hinweise wie folgt aus:

2)  Die folgenden Wörter in den angegebenen Zeilen der zweiten Spalte der Tabelle unter Punkt 1 mit dem Titel „WESENTLICHE INFORMATIONEN“ werden fett gedruckt:

a)  das Wort „erhoben“ in der ersten Zeile der zweiten Spalte;

b)  das Wort „aufbewahrt“ in der zweiten Zeile der zweiten Spalte;

c)  das Wort „verarbeitet“ in der dritten Zeile der zweiten Spalte;

d)  das Wort „weitergegeben“ in der vierten Zeile der zweiten Spalte;

e)  die Wörter „verkauft und entgeltlich überlassen“ in der fünften Zeile der zweiten Spalte;

f)  das Wort „unverschlüsselt“ in der sechsten Zeile der zweiten Spalte.

3)  Unter Berücksichtigung der unter Punkt 6 genannten Proportionen wird in den Zeilen der dritten Spalte der Tabelle unter Punkt 1 mit dem Titel „ERFÜLLT“ entsprechend den unter Punkt 4 genannten Bedingungen jeweils eines der beiden folgenden Piktogramme dargestellt:

a)

b)

4)  

a)  Wenn nicht mehr personenbezogene Daten erhoben werden, als für die spezifischen Zwecke der Verarbeitung erforderlich sind, wird in der ersten Zeile der dritten Spalte der Tabelle unter Punkt 1 das unter Punkt 3a angegebene Piktogramm dargestellt.

b)  Wenn mehr personenbezogene Daten erhoben werden, als für die spezifischen Zwecke der Verarbeitung erforderlich sind, wird in der ersten Zeile der dritten Spalte der Tabelle unter Punkt 1 das unter Punkt 3b angegebene Piktogramm dargestellt.

c)  Wenn nicht mehr personenbezogene Daten gespeichert werden, als für die spezifischen Zwecke der Verarbeitung erforderlich sind, wird in der zweiten Zeile der dritten Spalte der Tabelle unter Punkt 1 das unter Punkt 3a angegebene Piktogramm dargestellt.

d)  Wenn mehr personenbezogene Daten gespeichert werden, als für die spezifischen Zwecke der Verarbeitung erforderlich sind, wird in der zweiten Zeile der dritten Spalte der Tabelle unter Punkt 1 das unter Punkt 3b angegebene Piktogramm dargestellt.

e)  Wenn keine personenbezogenen Daten zu anderen als den Zwecken, für die sie erhoben wurden, verarbeitet werden, wird in der dritten Zeile der dritten Spalte der Tabelle unter Punkt 1 das unter Punkt 3a angegebene Piktogramm dargestellt.

f)  Wenn personenbezogene Daten zu anderen als den Zwecken, für die sie erhoben wurden, verarbeitet werden, wird in der dritten Zeile der dritten Spalte der Tabelle unter Punkt 1 das unter Punkt 3b angegebene Piktogramm dargestellt.

g)  Werden keine personenbezogenen Daten an gewerbliche Dritte weitergegeben, wird in der vierten Zeile der dritten Spalte der Tabelle unter Punkt 1 das unter Punkt 3a angegebene Piktogramm dargestellt.

h)  Werden personenbezogene Daten an gewerbliche Dritte weitergegeben, wird in der vierten Zeile der dritten Spalte der Tabelle unter Punkt 1 das unter Punkt 3b angegebene Piktogramm dargestellt.

i)  Werden keine personenbezogenen Daten verkauft oder verpachtet, wird in der fünften Zeile der dritten Spalte der Tabelle unter Punkt 1 das unter Punkt 3a angegebene Piktogramm dargestellt.

j)  Werden personenbezogene Daten verkauft oder verpachtet, wird in der fünften Zeile der dritten Spalte der Tabelle unter Punkt 1 das unter Punkt 3b angegebene Piktogramm dargestellt.

k)  Wenn keine personenbezogenen Daten in unverschlüsselter Form gespeichert werden, wird in der sechsten Zeile der dritten Spalte der Tabelle unter Punkt 1 das unter Punkt 3a angegebene Piktogramm dargestellt.

l)  Wenn personenbezogene Daten in unverschlüsselter Form gespeichert werden, wird in der sechsten Zeile der dritten Spalte der Tabelle unter Punkt 1 das unter Punkt 3b angegebene Piktogramm dargestellt.

5)  Die Pantone-Referenzfarben der Piktogramme unter Punkt 1 sind Pantone Schwarz Nr. 7547 und Pantone Rot Nr. 485. Die Pantone-Referenzfarbe des Piktogramms in Punkt 3a ist Pantone Grün Nr. 370. Die Pantone-Referenzfarbe des Piktogramms in Punkt 3b ist Pantone Rot Nr. 485.

6)  Die sich aus dem abgebildeten Raster ergebenden Proportionen müssen eingehalten werden, auch wenn die Tabelle verkleinert oder vergrößert wird:

[Abänd. 207]

(1) ABl. C 229 vom 31.7.2012, S. 90 (2) ABl. C 192 vom 30.6.2012, S. 7. (3) ABl. C 229 vom 31.7.2012, S. 90. (4) ABl. C 192 vom 30.6.2012, S. 7. (5) Standpunkt des Europäischen Parlaments vom 12. März 2014. (6) Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. L 281 vom 23.11.1995, S. 31). (7) Empfehlung der Kommission vom 6. Mai 2003 betreffend die Definition der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen (ABl. L 124 vom 20.5.2003, S. 36). (8) Verordnung (EG) Nr. 45/2001 des Europäischen Parlaments und des Rates vom 18. Dezember 2000 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe und Einrichtungen der Gemeinschaft und zum freien Datenverkehr (ABl. L 8 vom 12.1.2001, S. 1). (9) Richtlinie 2000/31/EG des Europäischen Parlaments und des Rates vom 8. Juni 2000 über bestimmte rechtliche Aspekte der Dienste der Informationsgesellschaft, insbesondere des elektronischen Geschäftsverkehrs, im Binnenmarkt ("Richtlinie über den elektronischen Geschäftsverkehr") (ABl. L 178 vom 17.7.2000, S. 1). (10) Richtlinie 93/13/EWG des Rates vom 5. April 1993 über missbräuchliche Klauseln in Verbraucherverträgen (ABl. L 95 vom 21.4.1993, S. 29). (11) Verordnung (EG) Nr. 1338/2008 des Europäischen Parlaments und des Rates vom 16. Dezember 2008 zu Gemeinschaftsstatistiken über öffentliche Gesundheit und über Gesundheitsschutz und Sicherheit am Arbeitsplatz (ABl. L 354 vom 31.12.2008, S. 70) (12) Richtlinie 2009/38/EG des Europäischen Parlaments und des Rates vom 6. Mai 2009 über die Einsetzung eines Europäischen Betriebsrats oder die Schaffung eines Verfahrens zur Unterrichtung und Anhörung der Arbeitnehmer in gemeinschaftsweit operierenden Unternehmen und Unternehmensgruppen (ABl. L 122 vom 16.5.2009, S. 28). (13) Verordnung (EU) Nr. 182/2011 des Europäischen Parlaments und des Rates vom 16. Februar 2011 zur Festlegung der allgemeinen Regeln und Grundsätze, nach denen die Mitgliedstaaten die Wahrnehmung der Durchführungsbefugnisse durch die Kommission kontrollieren (ABl. L 55 vom 28.2.2011, S. 13). (14) Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12. Juli 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation) (ABl. L 201 vom 31.7.2002, S. 37). (15) ABl. L 176 vom 10.7.1999, S. 36. (16) ABl. L 53 vom 27.2.2008, S. 52. (17) ABl. L 160 vom 18.6.2011, S. 21. (18) Richtlinie 2004/18/EG des Europäischen Parlaments und des Rates vom 31. März 2004 über die Koordinierung der Verfahren zur Vergabe öffentlicher Bauaufträge, Lieferaufträge und Dienstleistungsaufträge (ABl. L 134 vom 30.4.2004, S. 114). (19) Richtlinie 2004/17/EG des Europäischen Parlaments und des Rates vom 31. März 2004 zur Koordinierung der Auftragsvergabe durch Auftraggeber im Bereich der Wasser-, Energie- und Verkehrsversorgung sowie der Postdienste (ABl. L 134 vom 30.4.2004, S. 1). (20) Verordnung (EG) Nr. 1049/2001 des Europäischen Parlaments und des Rates vom 30. Mai 2001 über den Zugang der Öffentlichkeit zu Dokumenten des Europäischen Parlaments, des Rates und der Kommission (ABl. L 145 vom 31.5.2001, S. 45). (21) Richtlinie 2001/20/EG des Europäischen Parlaments und des Rates vom 4. April 2001 zur Angleichung der Rechts- und Verwaltungsvorschriften der Mitgliedstaaten über die Anwendung der guten klinischen Praxis bei der Durchführung von klinischen Prüfungen mit Humanarzneimitteln (ABl. L  121 vom 1.5.2001, S. 34). (22) Zwei Jahre nach dem Inkrafttreten dieser Verordnung.

Legislative Entschließung des Europäischen Parlaments vom 12. März 2014 zu dem Entwurf einer Verordnung des Rates zur Ausdehnung der Anwendung der Verordnung (EU) Nr. …/2012 über ein Aktionsprogramm in den Bereichen Austausch, Unterstützung und Ausbildung zum Schutz des Euro gegen Geldfälschung (Programm „Pericles 2020“) auf die nicht teilnehmenden Mitgliedstaaten (16616/2013 – C7-0463/2013 – 2011/0446(APP))

P7_TA(2014)0213 A7-0152/2014

(Besonderes Gesetzgebungsverfahren – Zustimmung)

Das Europäische Parlament,

–  in Kenntnis des Vorschlags für eine Verordnung des Rates (16616/2013),

–  in Kenntnis des vom Rat gemäß Artikel 352 des Vertrags über die Arbeitsweise der Europäischen Union unterbreiteten Ersuchens um Zustimmung (C7‑0463/2013),

–  gestützt auf Artikel 81 Absatz 1 Unterabsätze 1 und 3 seiner Geschäftsordnung,

–  in Kenntnis der Empfehlung des Ausschusses für bürgerliche Freiheiten, Justiz und Inneres (A7‑0152/2014),

1.  gibt seine Zustimmung zu dem Entwurf einer Verordnung des Rates;

2.  beauftragt seinen Präsidenten, den Standpunkt des Parlaments dem Rat und der Kommission sowie den nationalen Parlamenten zu übermitteln.

Legislative Entschließung des Europäischen Parlaments vom 12. März 2014 zu dem Entwurf eines Beschlusses des Rates über den Abschluss des Abkommens zwischen der Europäischen Union und der Republik Aserbaidschan zur Erleichterung der Visaerteilung (17846/2013 – C7-0078/2014 – 2013/0356(NLE))

P7_TA(2014)0214 A7-0155/2014

(Zustimmung)

Das Europäische Parlament,

–  in Kenntnis des Entwurfs eines Beschlusses des Rates (17846/2013),

–  in Kenntnis des Entwurfs eines Abkommens zwischen der Europäischen Union und der Republik Aserbaidschan zur Erleichterung der Visaerteilung (15554/2013),

–  in Kenntnis des vom Rat gemäß Artikel 77 Absatz 2 Buchstabe a und Artikel 218 Absatz 6 Unterabsatz 2 Buchstabe a des Vertrags über die Arbeitsweise der Europäischen Union unterbreiteten Ersuchens um Zustimmung (C7-0140/2014),

–  gestützt auf Artikel 81 Absatz 1 Unterabsätze 1 und 3, Artikel 81 Absatz 2 und Artikel 90 Absatz 7 seiner Geschäftsordnung,

–  in Kenntnis der Empfehlung des Ausschusses für bürgerliche Freiheiten, Justiz und Inneres sowie der Stellungnahme des Ausschusses für auswärtige Angelegenheiten (A7-0155/2014),

1.  gibt seine Zustimmung zu dem Abschluss des Abkommens;

2.  beauftragt seinen Präsidenten, den Standpunkt des Parlaments dem Rat und der Kommission sowie den Regierungen und Parlamenten der Mitgliedstaaten und der Republik Aserbaidschan zu übermitteln.

Legislative Entschließung des Europäischen Parlaments vom 12. März 2014 zu dem Entwurf eines Beschlusses des Rates über den Abschluss des Abkommens zwischen der Europäischen Union und der Republik Aserbaidschan über die Rückübernahme von Personen mit unbefugtem Aufenthalt (15596/2013 – C7-0079/2014 – 2013/0358(NLE))

P7_TA(2014)0215 A7-0154/2014

(Zustimmung)

Das Europäische Parlament,

–  in Kenntnis des Entwurfs eines Beschlusses des Rates (15596/2013),

–  in Kenntnis des Entwurfs des Abkommens zwischen der Europäischen Union und der Republik Aserbaidschan über die Rückübernahme von Personen mit unbefugtem Aufenthalt (15594/2013),

–  in Kenntnis des vom Rat gemäß Artikel 79 Absatz 3 und Artikel 218 Absatz 6 Unterabsatz 2 Buchstabe a des Vertrags über die Arbeitsweise der Europäischen Union unterbreiteten Ersuchens um Zustimmung (C7-0079/2014),

–  gestützt auf Artikel 81 Absatz 1 Unterabsätze 1 und 3, Artikel 80 Absatz 2 und Artikel 90 Absatz 7 seiner Geschäftsordnung,

–  in Kenntnis der Empfehlung des Ausschusses für bürgerliche Freiheiten, Justiz und Inneres sowie der Stellungnahme des Ausschusses für auswärtige Angelegenheiten (A7-0154/2014),

1.  gibt seine Zustimmung zu dem Abschluss des Abkommens;

2.  beauftragt seinen Präsidenten, den Standpunkt des Parlaments dem Rat und der Kommission sowie den Regierungen und Parlamenten der Mitgliedstaaten und der Republik Ascherbaidschan zu übermitteln.

Empfehlung des Europäischen Parlaments an den Rat vom 12. März 2014 zur humanitären Hilfe von bewaffneten nichtstaatlichen Gruppen beim Schutz von Kindern (2014/2012(INI))

P7_TA(2014)0216 A7-0160/2014

Das Europäische Parlament,

–  in Kenntnis des Vorschlags für eine Empfehlung an den Rat von Catherine Grèze, Eva Joly, Isabella Lövin, Judith Sargentini, Bart Staes und Keith Taylor im Namen der Verts/ALE‑Fraktion zur humanitären Hilfe von bewaffneten nichtstaatlichen Gruppen beim Schutz von Kindern (B7-0585/2013),

–  unter Hinweis auf den Bericht des UN-Generalsekretärs über Kinder und bewaffnete Konflikte aus dem Jahr 2013 sowie auf andere Berichte von relevanten Akteuren,

–  unter Hinweis auf die Leitlinien der EU zum Thema Kinder und bewaffnete Konflikte aus dem Jahr 2008, die Umsetzungsstrategie für die Leitlinien der EU zum Thema Kinder und bewaffnete Konflikte aus dem Jahr 2010 sowie die Checkliste für die Einbeziehung des Schutzes der von bewaffneten Konflikten bedrohten Kinder in ESVP-Operationen,

–  unter Hinweis auf die Schlussfolgerungen des Rates von 2008 zur Förderung und zum Schutz der Rechte des Kindes im außenpolitischen Handeln der Europäischen Union – Entwicklungsdimension und humanitäre Dimension,

–  unter Hinweis auf seine Entschließung vom 19. Februar 2009 zum Thema Außenmaßnahmen der EU: Ein besonderer Platz für Kinder(1), seine Entschließung vom 16. Januar 2008 im Hinblick auf eine EU-Kinderrechtsstrategie(2), seine Entschließung vom 3. Juli 2003 zum Thema Kinderhandel und Kindersoldaten(3), seine Entschließung vom 6. Juli 2000 zur Entführung von Kindern durch die Lord‘s Resistance Army (LRA)(4) und seine Entschließung vom 17. Dezember 1998 zum Thema Kindersoldaten(5),

–  unter Hinweis auf die Resolutionen der Vereinten Nationen zu den Rechten des Kindes und insbesondere die Resolution 1612 (2005) des Sicherheitsrates der Vereinten Nationen,

–  unter Hinweis auf das Fakultativprotokoll von 2002 zu dem Übereinkommen über die Rechte des Kindes betreffend die Beteiligung von Kindern an bewaffneten Konflikten,

–  unter Hinweis auf die Pariser Verpflichtungen, Kinder vor illegaler Rekrutierung oder illegalem Einsatz durch Streitkräfte oder bewaffnete Gruppen zu schützen, und auf die Pariser Grundsätze und Leitlinien zu Kindern, die Streitkräften oder bewaffneten Gruppen angeschlossen sind (beide angenommen am 6. Februar 2007),

–  gestützt auf Artikel 121 Absatz 3 und Artikel 97 seiner Geschäftsordnung,

–  in Kenntnis des Berichts des Entwicklungsausschusses (A7-0160/2014),

A.  unter Hinweis darauf, dass an den meisten derzeitigen bewaffneten Konflikten eine oder mehrere bewaffnete nichtstaatliche Gruppen beteiligt sind, die gegen Regierungen oder andere bewaffnete Gruppen kämpfen, wobei die Zivilbevölkerung und insbesondere Kinder die Hauptleidtragenden dieser Kriege sind;

B.  in der Erwägung, dass das Spektrum dieser nichtstaatlichen Gruppen sehr breit ist, diese Gruppen viele unterschiedliche Identitäten und Motivationen haben und ihre Bereitschaft und Fähigkeit, humanitäres Völkerrecht und andere Normen des Völkerrechts einzuhalten, unterschiedlich stark ausgeprägt sind, jedoch alle in dieser Hinsicht überprüft werden müssen;

C.  in der Erwägung, dass alle an dem Konflikt beteiligten Gruppen berücksichtigt werden müssen, um den Schutz der Zivilbevölkerung und insbesondere der Kinder zu verbessern;

D.  in der Erwägung, dass internationale humanitäre Normen für alle an einem bewaffneten Konflikt beteiligten Parteien gelten und für sie verbindlich sind;

E.  in der Erwägung, dass bewaffnete Konflikte besonders verheerende Auswirkungen auf die körperliche und geistige Entwicklung von Kindern haben und mit langfristigen Konsequenzen für die Sicherheit der Menschen und die nachhaltige Entwicklung einhergehen;

F.  in der Erwägung, dass die Zwangsrekrutierung oder Eingliederung von Kindern unter fünfzehn Jahren in Streitkräfte oder bewaffnete Gruppen oder ihre Verwendung zur aktiven Teilnahme an Feindseligkeiten nach dem Statut des Internationalen Strafgerichtshofs unter Strafe gestellt ist;

G.  in der Erwägung, dass jegliche Form von sexueller Gewalt, einschließlich Gewalt gegen Kinder, durch internationales Recht verboten ist, und in der Erwägung, dass die Anwendung sexueller Gewalt zu Kriegsverbrechen, Verbrechen gegen die Menschlichkeit oder Völkermord führen kann;

H.  in der Erwägung, dass der Einsatz von Antipersonenminen seit der Verabschiedung des Antipersonenminen-Übereinkommens im Jahr 1997 abgenommen hat, diese jedoch noch immer eine Gefahr für Kinder darstellen, insbesondere bei bewaffneten Konflikten, die keine internationale Dimension haben;

I.  in der Erwägung, dass die internationale Gemeinschaft moralisch dazu verpflichtet ist, sich darum zu bemühen, dass sich alle an den Konflikten Beteiligten – sowohl staatliche Akteure als auch bewaffnete nichtstaatliche Gruppen – für den Schutz von Kindern engagieren;

J.  in der Erwägung, dass die Demobilisierung, Rehabilitation und Reintegration von Kindersoldaten ein Bestandteil aller Verhandlungen und der daraus resultierenden Friedensabkommen sein müssen und auch schon während des Konflikts selbst in Angriff genommen werden müssen;

K.  in der Erwägung, dass eine erfolgreiche Demobilisierung und Reintegration der Kindersoldaten dazu beitragen können, den wiederkehrenden Kreisläufen der Gewalt ein Ende zu setzen;

1.  richtet die folgenden Empfehlungen an das für Entwicklung zuständige Mitglied der Kommission und die Vizepräsidentin der Kommission / Hohe Vertreterin der Union für Außen- und Sicherheitspolitik:

2.  beauftragt seinen Präsidenten, diese Empfehlung dem für Entwicklung zuständigen Mitglied der Kommission, der Vizepräsidentin der Kommission / Hohen Vertreterin der Union für Außen- und Sicherheitspolitik, der Kommission, dem Rat und dem Europäischen Auswärtigen Dienst zu übermitteln.

(1) ABl. C 76 E vom 25.3.2010, S. 3. (2) ABl. C 41 E vom 19.2.2009, S. 24. (3) ABl. C 74 E vom 24.3.2004, S. 854. (4) ABl. C 121 vom 24.4.2001, S. 401. (5) ABl. C 98 vom 9.4.1999, S. 297.

Beschluss des Europäischen Parlaments vom 12. März 2014 über die Zahl der interparlamentarischen Delegationen, der Delegationen in den Gemischten Parlamentarischen Ausschüssen und der Delegationen in Ausschüssen für parlamentarische Kooperation und in multilateralen parlamentarischen Versammlungen (2014/2632(RSO))

P7_TA(2014)0217 B7-0240/2014

Das Europäische Parlament,

–  unter Hinweis auf den Vorschlag der Konferenz der Präsidenten,

–  unter Hinweis auf die Assoziierungs-, Kooperations- und anderen Abkommen der Europäischen Union mit Drittstaaten,

–  gestützt auf Artikel 198 und Artikel 200 seiner Geschäftsordnung,

A.  im Bestreben, durch einen kontinuierlichen interparlamentarischen Dialog zur Stärkung der parlamentarischen Demokratie beizutragen,

1.  beschließt, die Zahl der Delegationen und ihre regionale Zuordnung wie folgt festzulegen:

2.  beschließt, dass den parlamentarischen Ausschüssen, die auf der Grundlage des Wirtschaftspartnerschaftsabkommen (WPA) geschaffen wurden, ausschließlich Mitglieder des Ausschusses für internationalen Handel und des Entwicklungsausschusses angehören werden – wobei zu gewährleisten ist, dass der Ausschuss für internationalen Handel seine Führungsrolle als federführender Ausschuss beibehält – und dass sich die Ausschussmitglieder bei ihrer Arbeit aktiv mit der Paritätischen Parlamentarischen Versammlung AKP-EU abstimmen sollten;

3.  beschließt, dass der Parlamentarischen Versammlung der Union für den Mittelmeerraum, der Parlamentarischen Versammlung Europa-Lateinamerika und der Parlamentarischen Versammlung EURO-NEST ausschließlich Mitglieder der bilateralen oder subregionalen Delegationen angehören werden, die die genannten Versammlungen abdecken;

4.  beschließt, dass der Delegation für die Beziehungen zur Parlamentarischen Versammlung der NATO ausschließlich Mitglieder des Unterausschusses für Sicherheit und Verteidigung angehören werden;

5.  beschließt, dass die Konferenz der Delegationsvorsitze den Entwurf eines halbjährlichen Zeitplans ausarbeiten soll, der von der Konferenz der Präsidenten nach Konsultation des Ausschusses für auswärtige Angelegenheiten, des Entwicklungsausschusses sowie des Ausschusses für internationalen Handel angenommen wird, wobei die Konferenz der Präsidenten allerdings den Zeitplan als Reaktion auf politische Ereignisse ändern kann;

6.  beschließt, dass die Fraktionen und die fraktionslosen Mitglieder für jede Art von Delegation ständige Stellvertreter benennen, deren Zahl nicht höher sein darf als die der ordentlichen Mitglieder, die die Fraktionen bzw. die fraktionslosen Mitglieder vertreten;

7.  beschließt, die Zusammenarbeit mit den von der Arbeit der Delegationen betroffenen Ausschüssen und die Konsultation dieser Ausschüsse durch die Veranstaltung gemeinsamer Sitzungen dieser Gremien an seinen üblichen Arbeitsorten zu verstärken;

8.  wird sich darum bemühen, dass in der Praxis auch ein oder mehrere Berichterstatter oder Vorsitzende(r) an den Arbeiten der Delegationen, der Gemischten Parlamentarischen Ausschüsse, der parlamentarischen Kooperationsausschüsse und der multilateralen parlamentarischen Versammlungen beteiligt werden; beschließt, dass der Präsident auf gemeinsamen Antrag der Vorsitzenden der betreffenden Delegationen und Ausschüsse entsprechende Dienstreisen genehmigt;

9.  beschließt, dass dieser Beschluss mit der ersten Tagung der achten Wahlperiode des Parlaments in Kraft tritt;

10.  beauftragt seinen Präsidenten, diesen Beschluss dem Rat, der Kommission und dem Europäischen Auswärtigen Dienst zur Information zu übermitteln.

Entschließung des Europäischen Parlaments vom 12. März 2014 zu der delegierten Verordnung der Kommission vom 12. Dezember 2013 zur Änderung der Verordnung (EU) Nr. 1169/2011 des Europäischen Parlaments und des Rates betreffend die Information der Verbraucher über Lebensmittel im Hinblick auf die Definition von „technisch hergestellten Nanomaterialien“ (C(2013)08887 – 2013/2997(DEA))

P7_TA(2014)0218 B7-0185/2014

Das Europäische Parlament,

–  in Kenntnis der delegierten Verordnung der Kommission (C(2013)08887),

–  gestützt auf Artikel 290 des Vertrags über die Arbeitsweise der Europäischen Union,

–  unter Hinweis auf die Verordnung (EU) Nr. 1169/2011 des Europäischen Parlaments und des Rates vom 25. Oktober 2011 betreffend die Information der Verbraucher über Lebensmittel(1), insbesondere Artikel 2 Absatz 2 Buchstabe t, Artikel 18 Absätze 3 und 5 und Artikel 51 Absatz 5,

–  unter Hinweis auf den Vorschlag der Kommission für eine Verordnung des Europäischen Parlaments und des Rates über neuartige Lebensmittel (COM(2013)0894),

–  unter Hinweis auf die Verordnung (EG) Nr. 1333/2008 des Europäischen Parlaments und des Rates vom 16. Dezember 2008 über Lebensmittelzusatzstoffe(2),

–  unter Hinweis auf die Unionslisten, die im Rahmen der Verordnung (EU) Nr. 1129/2011 der Kommission vom 11. November 2011 zur Änderung des Anhangs II der Verordnung (EG) Nr. 1333/2008 des Europäischen Parlaments und des Rates im Hinblick auf eine Liste der Lebensmittelzusatzstoffe der Europäischen Union(3) und der Verordnung (EU) Nr. 1130/2011 der Kommission vom 11. November 2011 zur Änderung des Anhangs III der Verordnung (EG) Nr. 1333/2008 des Europäischen Parlaments und des Rates über Lebensmittelzusatzstoffe im Hinblick auf eine Liste der Europäischen Union der für die Verwendung in Lebensmittelzusatzstoffen, Lebensmittelenzymen, Lebensmittelaromen und Nährstoffen zugelassenen Lebensmittelzusatzstoffe(4) erstellt wurden,

–  unter Hinweis auf die Verordnung (EU) Nr. 257/2010 der Kommission vom 25. März 2010 zur Aufstellung eines Programms zur Neubewertung zugelassener Lebensmittelzusatzstoffe gemäß der Verordnung (EG) Nr. 1333/2008 des Europäischen Parlaments und des Rates über Lebensmittelzusatzstoffe(5),

–  in Kenntnis des Entschließungsantrags des Ausschusses für Umwelt, öffentliche Gesundheit und Lebensmittelsicherheit,

–  gestützt auf Artikel 87a Absatz 3 seiner Geschäftsordnung,

A.  in der Erwägung, dass Artikel 18 Absatz 3 der Verordnung (EU) Nr. 1169/2011 betreffend die Information der Verbraucher über Lebensmittel vorschreibt, dass alle Zutaten, die in Form technisch hergestellter Nanomaterialien vorhanden sind, im Sinne der Information der Verbraucher im Zutatenverzeichnis eindeutig aufgeführt werden müssen; in der Erwägung, dass die genannte Verordnung dementsprechend eine Begriffsbestimmung für technisch hergestelltes Nanomaterial enthält;

B.  in der Erwägung, dass der Kommission in Artikel 18 Absatz 5 der Verordnung betreffend die Information der Verbraucher über Lebensmittel die Befugnis übertragen wird, die Begriffsbestimmung für technisch hergestelltes Nanomaterial durch delegierte Rechtsakte an den wissenschaftlichen und technischen Fortschritt oder die auf internationaler Ebene vereinbarten Begriffsbestimmungen anzupassen, damit die Ziele der genannten Verordnung erreicht werden;

C.  in der Erwägung, dass die Empfehlung 2011/696/EU der Kommission eine allgemeine Definition von Nanomaterialien enthält;

D.  in der Erwägung, dass im Rahmen der Verordnung (EU) Nr. 1129/2011 der Kommission und der Verordnung (EU) Nr. 1130/2011 der Kommission umfassende Unionslisten der Lebensmittelzusatzstoffe erstellt wurden, die zur Verwendung zugelassen waren, bevor die Verordnung (EG) Nr. 1333/2008 in Kraft trat, nachdem überprüft worden war, ob diese Stoffe den Bestimmungen dieser Verordnung entsprechen;

E.  in der Erwägung, dass im Rahmen der delegierten Verordnung der Kommission alle in den Unionslisten enthaltenen Lebensmittelzusatzstoffe aus der neuen Definition für technisch hergestellte Nanomaterialien ausgenommen sind und stattdessen vorgeschlagen wird, dass der Notwendigkeit spezieller Vorschriften über eine Kennzeichnung für dieser Zusatzstoffe in Bezug auf Nanomaterialien im Rahmen des Programms zur Neubewertung im Einklang mit der Verordnung (EU) Nr. 257/2010 der Kommission Rechnung getragen wird, indem erforderlichenfalls die Verwendungsbedingungen in Anhang II der Verordnung (EG) Nr. 1333/2008 und die Spezifikationen dieser Lebensmittelzusatzstoffe in der Verordnung (EU) Nr. 231/2012 der Kommission(6) geändert werden;

F.  in der Erwägung, dass derzeit gerade Lebensmittelzusatzstoffe als Nanomaterialien in Lebensmitteln enthalten sein können;

G.  in der Erwägung, dass durch diese generelle Ausnahme die Kennzeichnungsvorschriften für alle Lebensmittelzusatzstoffe, bei denen es sich um technisch hergestellte Nanomaterialien handelt, aufgehoben werden, in der Erwägung, dass dies dem zentralen Rechtsgrundsatz der praktischen Wirksamkeit entgegensteht und gegen das grundlegende Ziel der Richtlinie verstößt, für ein hohes Niveau des Schutzes der Gesundheit und der Interessen der Verbraucher zu sorgen, indem eine Grundlage geschaffen wird, auf der die Endverbraucher Entscheidungen in Kenntnis der Sachlage treffen können;

H.  in der Erwägung, dass die Kommission diese generelle Ausnahme in Bezug auf alle bestehenden Lebensmittelzusatzstoffe mit der Aussage begründet, dass es die „Verbraucher verunsichern“ könnte, „wenn solchen Lebensmittelzusatzstoffen [...] in der Liste der Zutaten in Klammern das Wort „Nano“ hinzugefügt wird, [...] weil der Eindruck entstehen kann, dass diese Zusatzstoffe neu sind, obwohl sie in dieser Form seit Jahrzehnten in Lebensmitteln verwendet werden“;

I.  in der Erwägung, dass diese Begründung falsch und irrelevant ist, da in der Verordnung betreffend die Information der Verbraucher über Lebensmittel keine Unterscheidung zwischen bereits bestehenden und neuen Nanomaterialien vorgesehen ist, sondern ausdrücklich vorgeschrieben wird, dass alle Zutaten, die in Form technisch hergestellter Nanomaterialien vorhanden sind, gekennzeichnet werden;

J.  in der Erwägung, dass die von der Kommission erklärte Absicht unangemessen ist, der Notwendigkeit spezieller Kennzeichnungsvorschriften für Zusatzstoffe, die in den Unionslisten aufgeführt sind, im Hinblick auf Nanomaterialien im Rahmen des Programms zur Neubewertung Rechnung zu tragen, da in diesem Rahmen Sicherheitsanliegen mit allgemeinen Kennzeichnungsvorschriften, die der Information der Verbraucher dienen, vermischt werden; in der Erwägung, dass dies auch vermuten lässt, dass die Kommission die unbedingte Notwendigkeit einer speziellen Kennzeichnung von Nanomaterialien infrage stellt, was einen Verstoß gegen die Bestimmungen von Artikel 18 Absatz 3 der Verordnung betreffend die Information der Verbraucher über Lebensmittel darstellt; in der Erwägung, dass es sich bei einem Lebensmittelzusatzstoff entweder um ein Nanomaterial handelt oder eben nicht und dass derartige Kennzeichnungsvorschriften unabhängig von den Verwendungsbedingungen oder anderen Spezifikationen in Bezug auf alle zugelassenen Lebensmittelzusatzstoffe umgesetzt werden müssen, bei denen es sich um Nanomaterialien handelt;

K.  in der Erwägung, dass es darüber hinaus nicht hinnehmbar ist, dass auf ein nicht in diesem Zusammenhang stehendes Programm zur Neubewertung Bezug genommen wird, das bereits bestand, als der Gesetzgeber beschloss, ausdrückliche Kennzeichnungsvorschriften in die Verordnung betreffend die Information der Verbraucher über Lebensmittel aufzunehmen, um diese Kennzeichnungsvorschriften drei Jahre später wieder aufzuheben;

1.  erhebt Einwände gegen die delegierte Verordnung der Kommission;

2.  vertritt die Auffassung, dass die delegierte Verordnung der Kommission nicht mit dem Ziel und dem Inhalt der Verordnung (EU) Nr. 1169/2011 im Einklang steht und dass sie die der Kommission in dieser Verordnung übertragenen Durchführungsbefugnisse überschreitet;

3.  fordert die Kommission auf, einen neuen delegierten Rechtsakt vorzulegen, in dem dem Standpunkt des Parlaments Rechnung getragen wird;

4.  beauftragt seinen Präsidenten, diese Entschließung der Kommission zu übermitteln und sie davon in Kenntnis zu setzen, dass die delegierte Verordnung nicht in Kraft treten kann;

5.  beauftragt seinen Präsidenten, diese Entschließung dem Rat sowie den Regierungen und Parlamenten der Mitgliedstaaten zu übermitteln.

(1) ABl. L 304 vom 22.11.2011, S. 18 (2) ABl. L 354 vom 31.12.2008, S. 16. (3) ABl. L 295 vom 12.11.2011, S. 1. (4) ABl. L 295 vom 12.11.2011, S. 178. (5) ABl. L 80 vom 26.3.2010, S. 19. (6) Verordnung (EU) Nr. 231/2012 der Kommission vom 9. März 2012 mit Spezifikationen für die in den Anhängen II und III der Verordnung (EG) Nr. 1333/2008 des Europäischen Parlaments und des Rates aufgeführten Lebensmittelzusatzstoffe (ABl. L 83 vom 22.3.2012, S. 1).

Legislative Entschließung des Europäischen Parlaments vom 12. März 2014 zu dem Vorschlag für eine Richtlinie des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr (COM(2012)0010 – C7-0024/2012 – 2012/0010(COD))

P7_TA(2014)0219 A7-0403/2013

(Ordentliches Gesetzgebungsverfahren: erste Lesung)

Das Europäische Parlament,

–  in Kenntnis des Vorschlags der Kommission an das Europäische Parlament und den Rat (COM(2012)0010),

–  gestützt auf Artikel 294 Absatz 2 und Artikel 16 Absatz 2 des Vertrags über die Arbeitsweise der Europäischen Union, auf deren Grundlage ihm der Vorschlag der Kommission unterbreitet wurde (C7‑0024/2012),

–  gestützt auf Artikel 294 Absatz 3 des Vertrags über die Arbeitsweise der Europäischen Union,

–  in Kenntnis der vom deutschen Bundesrat und vom schwedischen Reichstag im Rahmen des Protokolls Nr. 2 über die Anwendung der Grundsätze der Subsidiarität und der Verhältnismäßigkeit vorgelegten begründeten Stellungnahmen, in denen geltend gemacht wird, dass der Entwurf eines Gesetzgebungsakts nicht mit dem Subsidiaritätsprinzip vereinbar ist,

–  in Kenntnis der Stellungnahme des Europäischen Datenschutzbeauftragten vom 7. März 2012(1),

–  in Kenntnis der Stellungnahme der Agentur der Europäischen Union für Grundrechte vom 1. Oktober 2012,

–  gestützt auf Artikel 55 seiner Geschäftsordnung,

–  in Kenntnis des Berichts des Ausschusses für bürgerliche Freiheiten, Justiz und Inneres und der Stellungnahme des Rechtsausschusses (A7-0403/2013),

1.  legt den folgenden Standpunkt in erster Lesung fest;

2.  fordert die Kommission auf, es erneut zu befassen, falls sie beabsichtigt, ihren Vorschlag entscheidend zu ändern oder durch einen anderen Text zu ersetzen;

3.  beauftragt seinen Präsidenten, den Standpunkt des Parlaments dem Rat und der Kommission sowie den nationalen Parlamenten zu übermitteln.

Standpunkt des Europäischen Parlaments festgelegt in erster Lesung am 12. März 2014 im Hinblick auf den Erlass der Richtlinie 2014/.../EU des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr

DAS EUROPÄISCHE PARLAMENT UND DER RAT DER EUROPÄISCHEN UNION –

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union, insbesondere auf Artikel 16 Absatz 2,

auf Vorschlag der Europäischen Kommission,

nach Zuleitung des Entwurfs des Gesetzgebungsakts an die nationalen Parlamente,

nach Stellungnahme des Europäischen Datenschutzbeauftragten,(2)

gemäß dem ordentlichen Gesetzgebungsverfahren(3),

in Erwägung nachstehender Gründe:

(1)  Der Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten ist ein Grundrecht. Artikel 8 Absatz 1 der Charta der Grundrechte der Europäischen Union („Charta“) und Artikel 16 Absatz 1 des Vertrags über die Arbeitsweise der Europäischen Union besagen, dass jede Person das Recht auf Schutz der sie betreffenden personenbezogenen Daten hat. Artikel 8 Absatz 2 der Charta schreibt vor, dass personenbezogene Daten nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden dürfen. [Abänd. 1]

(2)  Die Verarbeitung personenbezogener Daten steht im Dienste des Menschen; die Grundsätze und Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten sollten daher gewährleisten, dass ungeachtet der Staatsangehörigkeit oder des Aufenthaltsorts der betreffenden Person deren Grundrechte und Grundfreiheiten und insbesondere deren Anspruch auf Schutz personenbezogener Daten gewahrt bleiben. Die Datenverarbeitung sollte zur Vollendung eines Raums der Freiheit, der Sicherheit und des Rechts beitragen.

(3)  Der rasche technologische Fortschritt und die Globalisierung stellen den Datenschutz vor neue Herausforderungen. Datenerhebung und Datenaustausch haben massive Ausmaße angenommen. Die Technik macht es möglich, dass die zuständigen Behörden in einem noch nie dagewesenen Umfang auf personenbezogene Daten zurückgreifen.

(4)  Dies setzt voraus, dass der Datenverkehr, soweit erforderlich und verhältnismäßig, zwischen den zuständigen Behörden innerhalb der Union sowie die Datenübermittlung an Drittländer und internationale Organisationen erleichtert werden und dabei gleichzeitig ein hohes Maß an Datenschutz gewährleistet wird. Hierzu bedarf es solider und stärker aufeinander abgestimmter Datenschutzbestimmungen in der Union, die konsequent durchgesetzt werden. [Abänd. 2]

(5)  Richtlinie 95/46/EG des Europäischen Parlaments und des Rates(4) gilt für jegliche Verarbeitung personenbezogener Daten in den Mitgliedstaaten sowohl im öffentlichen als auch im privaten Bereich. Ausgenommen ist jedoch die „Verarbeitung personenbezogener Daten, die für die Ausübung von Tätigkeiten erfolgt, die nicht in den Anwendungsbereich des Gemeinschaftsrechts fallen“, beispielsweise im Bereich der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit.

(6)  Für den Bereich der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit gilt der Rahmenbeschluss 2008/977/JI des Rates (5). Der Anwendungsbereich dieses Rahmenbeschlusses beschränkt sich auf die Verarbeitung personenbezogener Daten, die zwischen Mitgliedstaaten weitergegeben oder bereitgestellt werden.

(7)  Für den Zweck der wirksamen justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit ist es entscheidend, einen durchweg hohen Schutz der personenbezogenen Daten natürlicher Personen zu gewährleisten und den Austausch personenbezogener Daten zwischen den zuständigen Behörden der Mitgliedstaaten zu erleichtern. Im Hinblick darauf muss dafür gesorgt werden, dass die Rechte und Freiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten durch zuständige Behörden zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung in allen Mitgliedstaaten gleichermaßen geschützt werden. Die Vorschriften zum Schutz der Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten sollten unionsweit kohärent und einheitlich angewandt werden. Ein unionsweiter wirksamer Schutz personenbezogener Daten erfordert nicht nur eine Stärkung der Rechte der betroffenen Personen und eine Verschärfung der Auflagen für diejenigen, die personenbezogene Daten verarbeiten, sondern auch gleiche Befugnisse der Mitgliedstaaten bei der Überwachung und Gewährleistung der Einhaltung der Vorschriften zum Schutz personenbezogener Daten. [Abänd. 3]

(8)  Artikel 16 Absatz 2 des Vertrags über die Arbeitsweise der Europäischen Union sieht den Erlass von Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und über den freien Verkehr solcher ihrer Daten durch das Europäische Parlament und den Rat vor. [Abänd. 4]

(9)  Auf dieser Grundlage sind in der Verordnung EU Nr. .../2014 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung) allgemeine Bestimmungen für den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Verkehr personenbezogener Daten in der Union niedergelegt.

(10)  In der Erklärung Nr. 21 zum Schutz personenbezogener Daten im Bereich der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit im Anhang zur Schlussakte der Regierungskonferenz, die den Vertrag von Lissabon annahm, erkannte die Regierungskonferenz an, dass es sich aufgrund des spezifischen Charakters dieser Bereiche als erforderlich erweisen könnte, auf Artikel 16 des Vertrags über die Arbeitsweise der Europäischen Union gestützte Vorschriften über den Schutz personenbezogener Daten und den freien Datenverkehr zu erlassen.

(11)  Daher sollte eine spezifische Richtlinie verabschiedet werden, die den Besonderheiten dieses Bereichs Rechnung trägt und Bestimmungen zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung enthält. [Abänd. 5]

(12)  Um zu gewährleisten, dass jeder in der Union auf der Grundlage unionsweit durchsetzbarer Rechte das gleiche Maß an Schutz genießt und Unterschiede, die den Austausch personenbezogener Daten zwischen den zuständigen Behörden behindern könnten, beseitigt werden, sollte die Richtlinie harmonisierte Vorschriften für den Schutz personenbezogener Daten und den freien Datenverkehr im Bereich der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit festlegen.

(13)  Diese Richtlinie erlaubt bei der Anwendung ihrer Bestimmungen die Berücksichtigung des Grundsatzes des Zugangs der Öffentlichkeit zu amtlichen Dokumenten.

(14)  Der durch diese Richtlinie gewährte Schutz sollte für die Verarbeitung personenbezogener Daten natürlicher Personen ungeachtet ihrer Staatsangehörigkeit oder ihres Aufenthaltsorts gelten.

(15)  Der Schutz natürlicher Personen sollte technologieneutral sein und nicht von den verwendeten Verfahren abhängen, da andernfalls ein ernsthaftes Risiko einer Umgehung der Vorschriften bestünde. Er sollte für die automatisierte Verarbeitung personenbezogener Daten ebenso gelten wie für die manuelle Verarbeitung solcher Daten, wenn diese in einem Ablagesystem gespeichert sind oder gespeichert werden sollen. Akten oder Aktensammlungen sowie ihre Deckblätter, die nicht nach bestimmten Kriterien geordnet sind, sollten vom Anwendungsbereich der Richtlinie ausgenommen werden. Diese Richtlinie sollte nicht für die Verarbeitung von personenbezogenen Daten im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt, insbesondere im Bereich der nationalen Sicherheit, oder für Daten gelten, die von den Organen, gelten. Die Verordnung (EG) Nr. 45/2001 des Europäischen Parlaments und des Rates(6) und spezielle für die Agenturen, Einrichtungen, Ämtern und Agenturen oder Ämter der Europäischen Union verarbeitet geltende Rechtsinstrumente sollten mit dieser Verordnung in Einklang gebracht und im Einklang mit dieser Verordnung angewendet werden. [Abänd. 6]

(16)  Die Schutzprinzipien sollten für alle Informationen gelten, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. Um festzustellen, ob eine natürliche Person bestimmbar ist, sind alle Mittel zu berücksichtigen, die von dem für die Verarbeitung Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen zur Identifizierung oder zum Herausgreifen der Person genutzt werden dürften. Die Grundsätze des Datenschutzes sollten nicht für Daten gelten, die in einer Weise anonymisiert worden sind, dass die betroffene Person nicht mehr identifiziert werden kann. Diese Richtlinie sollte keine Anwendung finden auf anonyme Daten, d. h. Daten, die unmittelbar oder mittelbar, allein oder in Kombination mit zugehörigen Daten keiner natürlichen Person zugeordnet werden können. In Anbetracht der Bedeutung der Entwicklungen, die im Rahmen der Informationsgesellschaft stattfinden, und in Anbetracht der zur Erfassung, Übertragung, Modifikation, Aufzeichnung, Speicherung oder Kommunikation von Standortdaten von natürlichen Personen verwendeten Methoden, die zu unterschiedlichen Zwecken, etwa zur Überwachung oder zur Erstellung von Profilen, eingesetzt werden können, sollte diese Richtlinie Verfahren zur Verarbeitung solcher personenbezogener Daten abdecken. [Abänd. 7]

(16a)  Jede Verarbeitung personenbezogener Daten muss nach Recht und Gesetz sowie nach Treu und Glauben und in transparenter Form gegenüber den betroffenen Personen erfolgen. Insbesondere sollten die besonderen Zwecke, zu denen die Daten verarbeitet werden, eindeutig und rechtmäßig sein und zum Zeitpunkt der Erfassung der personenbezogenen Daten feststehen. Die erfassten personenbezogenen Daten sollten dem Zweck angemessen und sachlich relevant sowie auf das für die Zwecke der Verarbeitung der personenbezogenen Daten notwendige Minimum beschränkt sein. Zu diesem Zweck ist es insbesondere notwendig, die gesammelte Datenmenge sowie den Zeitraum der Datenspeicherung auf ein erforderliches Mindestmaß zu begrenzen. Personenbezogene Daten sollten nur verarbeitet werden, wenn der Zweck der Verarbeitung nicht durch andere Mittel erreicht werden kann. Es sollten alle vertretbaren Schritte unternommen werden, damit unzutreffende oder unvollständige personenbezogene Daten berichtigt oder gelöscht werden. Um sicherzustellen, dass die Daten nicht länger als nötig gespeichert werden, sollte der für die Verarbeitung Verantwortliche Fristen für deren Löschung oder regelmäßige Überprüfung vorsehen. [Abänd. 8]

(17)  Zu den personenbezogenen Gesundheitsdaten sollten alle Daten gezählt werden, die sich auf den Gesundheitszustand einer betroffenen Person beziehen, außerdem Informationen über die Vormerkung der betreffenden Person zur Erbringung medizinischer Leistungen, Angaben über Zahlungen oder die Berechtigung zum Empfang medizinischer Dienstleistungen, Nummern, Symbole oder Kennzeichen, die einer bestimmten Person zugeteilt wurden, um diese für medizinische Zwecke eindeutig zu identifizieren, jede Art von Informationen über die betreffende Person, die im Rahmen der Erbringung von medizinischen Dienstleistungen erhoben wurden, Informationen, die von der Prüfung oder Untersuchung eines Körperteils oder einer körpereigenen Substanz, darunter biologischer Proben, abgeleitet wurden, die Identifizierung einer Person als Erbringer einer Gesundheitsleistung für die betroffene Person sowie Informationen etwa über Krankheiten, Behinderungen, Krankheitsrisiken, Vorerkrankungen, klinische Behandlungen oder den physiologischen oder biomedizinischen Zustand der betroffenen Person unabhängig von der Herkunft der Daten, gleich, ob sie von einem Arzt oder sonstigem medizinischen Personal, einem Krankenhaus, einem medizinischen Gerät oder einem In-Vitro-Diagnose-Test stammen.

(18)  Jede Verarbeitung personenbezogener Daten sollte gegenüber den betroffenen Personen nach Treu und Glauben sowie nach Recht und Gesetz erfolgen. Vor allem sollten die jeweiligen Zwecke der Datenverarbeitung eindeutig festgelegt sein. [Abänd. 9]

(19)  Zur Verhütung, Aufdeckung, Untersuchung und Verfolgung von Straftaten müssen die zuständigen Behörden personenbezogene Daten, die im Zusammenhang mit der Verhütung, Aufdeckung, Untersuchung oder Verfolgung einer bestimmten Straftat erhoben wurden, auch speichern und in einem anderen Kontext verarbeiten können, um sich ein Bild der kriminellen Erscheinungen und Trends machen, Erkenntnisse über Netzwerke der organisierten Kriminalität sammeln und Verbindungen zwischen verschiedenen aufgedeckten Straftaten herstellen zu können. [Abänd. 10]

(20)  Personenbezogene Daten sollten nur für Zwecke verarbeitet werden, die mit dem Zweck ihrer Erhebung vereinbar sind. Personenbezogene Daten sollten dem Zweck angemessen und sachlich relevant sowie im Verhältnis zu den Zwecken der Datenverarbeitung nicht exzessiv sein. Es sollten alle vertretbaren Schritte unternommen werden, damit unrichtige oder unvollständige personenbezogene Daten berichtigt oder gelöscht werden. [Abänd. 11]

(20a)  Die bloße Tatsache, dass sich zwei Zwecke auf die Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder die Strafvollstreckung beziehen, muss nicht unbedingt bedeuten, dass diese miteinander vereinbar sind. Allerdings gibt es Fälle, in denen die Weiterverarbeitung zu unvereinbaren Zwecken gegebenenfalls möglich sein sollte, wenn dies zur Erfüllung einer gesetzlichen Verpflichtung des für die Verarbeitung Verantwortlichen, zur Wahrung lebenswichtiger Interessen der betroffenen Person oder einer anderen Person oder zur Abwehr einer unmittelbaren und ernsthaften Gefahr für die öffentliche Sicherheit erforderlich ist. Die Mitgliedstaaten sollten daher in der Lage sein, einzelstaatliche Rechtsvorschriften zu erlassen, in denen solche Ausnahmen im strikt notwendigen Umfang vorgesehen sind. Diese einzelstaatlichen Rechtsvorschriften sollten angemessene Garantien enthalten. [Abänd. 12]

(21)  Der Grundsatz der sachlichen Richtigkeit der Daten sollte unter Berücksichtigung von Art und Zweck der jeweiligen Verarbeitung angewandt werden. Aussagen, die personenbezogene Daten enthalten, basieren gerade in Gerichtsverfahren auf der subjektiven Wahrnehmung von Personen und sind nicht immer nachprüfbar. Infolgedessen sollte sich der Grundsatz der sachlichen Richtigkeit nicht auf die Richtigkeit einer Aussage beziehen, sondern lediglich auf die Tatsache, dass eine bestimmte Aussage gemacht worden ist.

(22)  Bei der Auslegung und Anwendung der allgemeinen Grundsätze für die Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung sollte den Besonderheiten dieses Bereichs und dessen spezifischen Zielen Rechnung getragen werden. [Abänd. 13]

(23)  Bei der Verarbeitung personenbezogener Daten im Rahmen der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit geht es naturgemäß um betroffene Personen verschiedener Kategorien. Daher sollte so weit wie möglich klar zwischen den personenbezogenen Daten der einzelnen Kategorien betroffener Personen unterschieden werden wie Verdächtigte, verurteilte Straftäter, Opfer und Dritte, beispielsweise Zeugen, Personen, die über einschlägige Informationen verfügen, oder Personen, die mit Verdächtigten oder verurteilten Straftätern in Kontakt oder in Verbindung stehen. Die Mitgliedstaaten sollten spezielle Regelungen über die Auswirkungen dieser Einteilung in Kategorien festlegen und dabei die unterschiedlichen Zwecke, zu denen Daten erhoben werden, berücksichtigen und spezifische Garantien im Hinblick auf Personen, die nicht verurteilte Straftäter sind oder gegen die kein Straftatverdacht vorliegt, vorsehen. [Abänd. 14]

(24)  Die personenbezogenen Daten sollten so weit wie möglich nach ihrer Richtigkeit und Zuverlässigkeit unterschieden werden. Fakten sollten von persönlichen Einschätzungen unterschieden werden, um den Schutz des Betroffenen und gleichzeitig auch die Qualität und Zuverlässigkeit der von den zuständigen Behörden verarbeiteten Informationen zu gewährleisten.

(25)  Die Verarbeitung personenbezogener Daten sollte nur dann als rechtmäßig gelten und zulässig sein, wenn sie zur Erfüllung einer gesetzlichen Verpflichtung des für die Verarbeitung Verantwortlichen, oder zur Wahrnehmung einer Aufgabe, die eine zuständige Behörde im öffentlichen Interesse aufgrund des Gesetzes oder zur Wahrung lebenswichtiger Interessen der betroffenen Person oder einer anderen Person ausführt, oder zur Abwehr einer unmittelbaren und ernsthaften Gefahrvon Unionsrecht oder mitgliedstaatlichem Recht erforderlich ist, das eindeutige und detaillierte Bestimmungen mindestens im Hinblick auf die Ziele, die personenbezogenen Daten und die besonderen Zwecke und Mittel enthalten sowie den für die öffentliche Sicherheit erforderlich ist Verarbeitung Verantwortlichen, die einzuhaltenden Verfahren, die Anwendung und Grenzen des Ermessensspielraums der zuständigen Behörden hinsichtlich der Verarbeitungstätigkeit bestimmen sollte. [Abänd. 15]

(25a)  Personenbezogene Daten sollten nur für Zwecke verarbeitet werden, die mit dem Zweck ihrer Erhebung vereinbar sind. Die weitere Verarbeitung durch die zuständigen Behörden zu einem Zweck, der in den Geltungsbereich dieser Richtlinie fällt und der nicht mit dem ursprünglichen Zweck der Erhebung vereinbar ist, sollte nur in bestimmten Fällen, in denen die Verarbeitung für die Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der für die Verarbeitung Verantwortliche unterliegt und die auf Unionsrecht oder mitgliedstaatlichem Recht basiert, oder zur Wahrung wesentlicher Interessen der betroffenen Personen oder einer anderen Person oder zur Abwehr einer unmittelbaren oder ernsthaften Gefahr für die öffentliche Sicherheit genehmigt werden. Die Tatsache, dass Daten zu Strafverfolgungszwecken verarbeitet werden, bedeutet nicht zwangsläufig, dass diese Zwecke mit dem ursprünglichen Zweck ihrer Erhebung vereinbar sind. Das Konzept der Vereinbarkeit der Nutzung ist restriktiv auszulegen. [Abänd. 16]

(25b)  Die Verarbeitung personenbezogener Daten unter Verstoß gegen einzelstaatliche Bestimmungen, die nach Maßgabe dieser Richtlinie erlassen wurden, sollte eingestellt werden. [Abänd. 17]

(26)  Personenbezogene Daten, die ihrem Wesen nach hinsichtlich der Grundrechte besonders sensibel und anfällig für eine Verletzung von Grundrechten oder der Privatsphäre besonders sensibel sind, wie zum Beispiel genetische Daten, bedürfen eines besonderen Schutzes. Solche Daten sollten nur dann verarbeitet werden, wenn die Verarbeitung durch eine Rechtsvorschrift, die geeignete konkret erforderlich ist, um auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das angemessene Garantien für die rechtmäßigen Interessen zur Wahrung der Grundrechte und berechtigten der betroffenen Person enthält, ausdrücklich erlaubt ist, vorsieht, eine im öffentlichen Interesse liegende Aufgabe zu erfüllen, oder die Verarbeitung zur Wahrung lebenswichtiger wesentlicher Interessen der betroffenen Person oder die Verarbeitung einer anderen Person erforderlich ist oder sich auf Daten bezieht, die die betroffene Person offenkundig öffentlich gemacht hat, bezieht. Sensible personenbezogene Daten sollten nur verarbeitet werden, wenn sie andere bereits für Strafverfolgungszwecke verarbeitete personenbezogene Daten ergänzen. Jede Ausnahme des Verbots der Verarbeitung sensibler Daten sollte restriktiv ausgelegt werden und nicht zu wiederkehrender, umfassender und struktureller Verarbeitung personenbezogener Daten führen. [Abänd. 18]

(26a)  Die Verarbeitung genetischer Daten sollte nur erlaubt sein, wenn im Verlauf einer strafrechtlichen Ermittlungen oder eines Gerichtsverfahrens eine genetische Verbindung auftritt. Genetische Daten sollten zum Zwecke solcher Ermittlungen und Verfahren nur so lange wie unbedingt nötig gespeichert werden, wobei die Mitgliedstaaten aber eine längere Speicherfrist gemäß den in dieser Richtlinie enthaltenden Bedingungen vorsehen können. [Abänd. 19]

(27)  Eine natürliche Person sollte das Recht haben, keiner Maßnahme unterworfen zu werden, die allein auf automatischer teilweise oder vollständig auf Profiling im Wege der automatischen Datenverarbeitung basiert, wenn dadurch eine nachteilige Rechtsfolge für die betroffene. Die Verarbeitung, die gegenüber dieser Person entsteht rechtliche Wirkungen entfaltet oder sie in maßgeblicher Weise beeinträchtigt, sollte verboten sein, es sei denn, sie ist gesetzlich erlaubt und mit geeigneten Garantien für die rechtmäßigen Grundrechte und berechtigten Interessen der betroffenen Person einschließlich des Rechts auf Bereitstellung aussagekräftiger Angaben über die dem Profiling zugrunde liegende Methode verbunden. Eine solche Datenverarbeitung sollte unter keinen Umständen spezielle Datenkategorien enthalten oder erzeugen oder auf deren Grundlage diskriminieren. [Abänd. 20]

(28)  Damit die betroffene Person ihre Rechte wahrnehmen kann, sollten die Informationen für sie leicht zugänglich und verständlich, also unter anderem klar und einfach abgefasst sein.Diese Informationen sollten auf die Bedürfnisse der betroffenen Person angepasst sein, insbesondere wenn die Informationen spezifisch an Kinder gerichtet sind. [Abänd. 21]

(29)  Es gilt, die Modalitäten festzulegen, die es einer betroffenen Person ermöglichen, die ihr durch diese Richtlinie gewährten Rechte wahrzunehmen, etwa dafür, wie sie kostenfrei Auskunft über die Daten erlangen oder deren Berichtigung oder Löschung fordern kann. Der für die Verarbeitung Verantwortliche sollte verpflichtet werden, ohne unangemessene Verzögerung unverzüglich und innerhalb eines Monats nach Eingang des Antrags auf das Ansuchen Ersuchen der betroffenen Person zu antworten. Im Falle der automatischen Verarbeitung personenbezogener Daten sollte der für die Verarbeitung Verantwortliche dafür sorgen, dass die Maßnahme elektronisch beantragt werden kann. [Abänd. 22]

(30)  Der Grundsatz von Treu und Glauben sowie Transparenz bei der Verarbeitung verlangt, dass die betroffene Person insbesondere über die Existenz des Verarbeitungsvorgangs und seine Zwecke, seine Rechtsgrundlage, die Speicherfrist, das Recht auf Auskunft sowie das Recht auf Berichtigung und Löschung der Daten und das Beschwerderecht informiert wird. Darüber hinaus sollte die betroffene Person über ein eventuell erfolgendes Profiling und dessen beabsichtigte Wirkungen informiert werden. Werden die Daten bei der betroffenen Person erhoben, sollte dieser darüber hinaus mitgeteilt werden, ob sie verpflichtet ist, die Daten bereitzustellen, und welche Folgen die Verweigerung der Daten hat. [Abänd. 23]

(31)  Die Unterrichtung einer betroffenen Person darüber, dass sie betreffende personenbezogene Daten verarbeitet werden, sollte zum Zeitpunkt der Erhebung erfolgen oder, falls die Daten nicht bei der betroffenen Person erhoben werden, zum Zeitpunkt der Erfassung oder innerhalb einer angemessenen Frist nach der Erhebung unter Berücksichtigung der jeweiligen Umstände der Verarbeitung.

(32)  Jede Person sollte ein Auskunftsrecht hinsichtlich der Daten, die bei ihr erhoben worden sind, haben und dieses Recht problemlos wahrnehmen können, um sich von der Rechtmäßigkeit ihrer Verarbeitung überzeugen zu können. Jede betroffene Person sollte daher ein Anrecht Recht darauf haben zu wissen und zu erfahren, zu welchen Zwecken die Daten verarbeitet werden, auf welcher Rechtsgrundlage, wie lange sie gespeichert werden und wer die Empfänger der Daten sind, auch wenn es sich um Empfänger in Drittländern handelt, sowie auf verständliche Informationen über die Logik einer automatisierten Datenverarbeitung, gegebenenfalls die wesentlichen und angestrebten Auswirkungen und ein Beschwerderecht bei der Aufsichtsbehörde sowie deren Kontaktdaten. Die betroffenen Personen sollten eine Kopie ihrer personenbezogenen Daten, die einer Verarbeitung unterzogen werden, erhalten können. [Abänd. 24]

(33)  Den Mitgliedstaaten sollte gestattet sein, Rechtsvorschriften zu erlassen, mit denen die Information der betroffenen Person oder die Auskunft über ihre personenbezogenen Daten in einem solchen Umfang und so lange zeitweilig oder dauerhaft zurückgestellt oder eingeschränkt wird, wie diese teilweise oder vollständige Einschränkung dieser Rechte in einer demokratischen Gesellschaft notwendig und verhältnismäßig ist und sofern den Grundrechten sowie den berechtigten Interessen der betroffenen Person Rechnung getragen wurde, wenn dadurch gewährleistet wird, dass behördliche oder gerichtliche Untersuchungen, Ermittlungen und Verfahren nicht behindert, die Verhütung, Aufdeckung, Untersuchung und Verfolgung von Straftaten oder die Strafvollstreckung nicht gefährdet, die öffentliche und die nationale Sicherheit oder die betroffene Person oder die Rechte und Freiheiten anderer geschützt werden. Der für die Verarbeitung Verantwortliche sollte durch eine konkrete und individuelle Untersuchung in jedem Einzelfall entscheiden, ob eine teilweise oder vollständige Einschränkung des Rechts auf Informationszugang gilt. [Abänd. 25]

(34)  Eine Verweigerung oder Einschränkung der Auskunft sollte der betroffenen Person unter Angabe der sachlichen oder rechtlichen Gründe hierfür schriftlich mitgeteilt werden.

(34a)  Jede Einschränkung der Rechte der betroffenen Person muss mit der Charta der Grundrechte der Europäischen Union und mit der Europäischen Konvention zum Schutz der Menschenrechte und Grundfreiheiten, präzisiert durch die Rechtsprechung des Europäischen Gerichtshofs und des Europäischen Gerichtshofs für Menschenrechte, vereinbar sein, und insbesondere den Wesensgehalt dieser Rechte und Freiheiten achten. [Abänd. 26]

(35)  Erlassen Mitgliedstaaten Rechtsvorschriften, mit denen das Auskunftsrecht vollständig oder teilweise eingeschränkt wird, sollte die betroffene Person die zuständige nationale Aufsichtsbehörde ersuchen können, die Rechtmäßigkeit der Verarbeitung zu überprüfen. Die betroffene Person sollte über dieses Recht unterrichtet werden. Nimmt die Aufsichtsbehörde im Namen der betroffenen Person das Auskunftsrecht wahr, sollte sie die betroffene Person mindestens darüber informieren, ob sie alle erforderlichen Überprüfungen vorgenommen und was die Prüfung der Rechtmäßigkeit der fraglichen Verarbeitung erbracht hat. Die Aufsichtsbehörde sollte die betroffene Person zudem über ihr Recht auf Rechtsbehelf in Kenntnis setzen. [Abänd. 27]

(36)  Jede Person sollte das Recht auf Berichtigung sie betreffender unrichtiger personenbezogener Daten sowie das Recht auf Löschung besitzen, wenn die Verarbeitung ihrer Daten unter Verstoß gegen die Grundprinzipien Bestimmungen dieser Richtlinie erfolgt. Diese Verbesserung, Vervollständigung oder Löschung sollte den Empfängern, denen die Daten übermittelt wurden, und den Dritten, von denen die falschen Daten stammten, mitgeteilt werden. Der für die Verarbeitung Verantwortliche sollte auch von jeglicher Weiterverbreitung dieser Daten Abstand nehmen. Werden personenbezogene Daten im Zusammenhang mit strafrechtlichen Ermittlungen oder einem Strafverfahren verarbeitet, erfolgen Berichtigung, Information, Auskunft, Löschung oder Einschränkung der Verarbeitung nach Maßgabe des einzelstaatlichen Strafprozessrechts. [Abänd. 28]

(37)  Es sollten umfassende Bestimmungen über die Verantwortung und die Haftung des für die Verarbeitung Verantwortlichen für jedwede durch diesen oder in dessen Namen erfolgende Verarbeitung personenbezogener Daten festgelegt werden. Vor allem sollte der für die Verarbeitung Verantwortliche dafür Sorge tragen und verpflichtet sein, nachweisen zu können,, dass die jede Verarbeitung nach den nach Maßgabe dieser Richtlinie erlassenen Vorschriften erfolgt ist. [Abänd. 29]

(38)  Zum Schutz der in Bezug auf die Verarbeitung personenbezogener Daten bestehenden Rechte und Freiheiten der betroffenen Personen ist es erforderlich, dass geeignete technische und organisatorische Maßnahmen getroffen werden, damit die Anforderungen dieser Richtlinie erfüllt werden. Um zu gewährleisten, dass die nach Maßgabe dieser Richtlinie erlassenen Vorschriften erfüllt werden, sollte der für die Verarbeitung Verantwortliche Strategien festlegen und geeignete Maßnahmen ergreifen, die den Grundsätzen des Datenschutzes durch Technik und durch datenschutzfreundliche Voreinstellungen entsprechen.

(39)  Zum Schutz der Rechte und Freiheiten der betroffenen Personen sowie zur Klärung der Verantwortung und der Haftung der für die Verarbeitung Verantwortlichen und der Auftragsverarbeiter bedarf es einer klaren Zuteilung der Verantwortlichkeiten durch diese Richtlinie, insbesondere für Fälle, in denen ein für die Verarbeitung Verantwortlicher die Verarbeitungszwecke, -bedingungen und ‑mittel gemeinsam mit anderen für die Verarbeitung Verantwortlichen festlegt oder ein Verarbeitungsvorgang im Auftrag eines für die Verarbeitung Verantwortlichen durchgeführt wird. Die betroffene Person sollte das Recht haben, ihre Rechte gemäß dieser Richtlinie in Bezug auf und gegen jeden der gemeinsam für die Verarbeitung Verantwortlichen wahrzunehmen. [Abänd. 30]

(40)  Verarbeitungsvorgänge sollten zur Kontrolle der Einhaltung der Richtlinie von dem für die Verarbeitung Verantwortlichen oder dem Auftragsverarbeiter dokumentiert werden. Jeder für die Verarbeitung Verantwortliche und jeder Auftragsverarbeiter sollte verpflichtet sein, mit der Aufsichtsbehörde zusammenzuarbeiten und dieser auf Anforderung seine dokumentarischen Unterlagen vorzulegen, damit die betreffenden Verarbeitungsvorgänge anhand dieser Unterlagen kontrolliert werden können.

(40a)  Jede Verarbeitung personenbezogener Daten sollte zum Zwecke der Überprüfung der Rechtmäßigkeit der Datenverarbeitung, der Eigenüberwachung und der Sicherstellung der Integrität und Sicherheit der Daten aufgezeichnet werden. Diese Aufzeichnung sollte der Aufsichtsbehörde zum Zwecke der Überwachung der Einhaltung der in dieser Richtlinie enthaltenen Vorschriften auf Anforderung vorgelegt werden. [Abänd. 31]

(40b)  Eine Datenschutz-Folgenabschätzung, die sich insbesondere mit den Maßnahmen, Garantien und Verfahren befasst, durch die der Schutz personenbezogener Daten sichergestellt und die Einhaltung der Bestimmungen dieser Richtlinie nachgewiesen werden sollen, sollte durch den für die Verarbeitung Verantwortlichen oder den Auftragsverarbeiter durchgeführt werden, wenn Verarbeitungsvorgänge aufgrund ihres Wesens, ihres Umfangs oder ihrer Zwecke konkrete Risiken für die Rechte und Freiheiten betroffener Personen bergen können. Datenschutz-Folgenabschätzungen sollten im Hinblick auf Systeme und Verfahren im Rahmen von Verarbeitungsvorgängen für personenbezogene Daten durchgeführt werden, nicht jedoch in Einzelfällen. [Abänd. 32]

(41)  Um einen wirksamen Schutz der Rechte und Freiheiten der betroffenen Personen durch Präventivmaßnahmen zu gewährleisten, sollte der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter in bestimmten Fällen vor der Verarbeitung die Aufsichtsbehörde zu Rate ziehen. Darüber hinaus sollte die Aufsichtsbehörde dann, wenn Verarbeitungsvorgänge aller Wahrscheinlichkeit nach hohe konkrete Risiken für die Rechte und Freiheiten betroffener Personen bergen, in der Lage sein, risikobehaftete Verarbeitungsvorgänge, die nicht mit dieser Richtlinie vereinbar sind, noch vor Beginn des jeweiligen Vorgangs zu unterbinden und geeignete Vorschläge zu unterbreiten, wie solche Mängel beseitigt werden könnten. Eine solche Konsultation kann auch bei der Ausarbeitung einer gesetzgeberischen Maßnahme des einzelstaatlichen Parlaments oder einer darauf basierenden Maßnahme erfolgen, die die Art der Verarbeitung und geeignete Garantien festlegt. [Abänd. 33]

(41a)  Zur Aufrechterhaltung der Sicherheit und zur Vorbeugung gegen eine gegen diese Verordnung verstoßende Verarbeitung sollte der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter die mit der Verarbeitung verbundenen Risiken ermitteln und Maßnahmen zu deren Eindämmung ergreifen. Diese Maßnahmen müssen unter Berücksichtigung des Standes der Technik und der dabei anfallenden Kosten ein Schutzniveau gewährleisten, das den von der Verarbeitung ausgehenden Risiken und der Art der zu schützenden personenbezogenen Daten angemessen ist. Bei der Festlegung technischer Standards und organisatorischer Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung sollte die technologische Neutralität gefördert werden. [Abänd. 34]

(42)  Eine Verletzung des Schutzes personenbezogener Daten kann Schäden, beispielsweise eine Rufschädigung der betroffenen Person, hervorrufen, wenn nicht rechtzeitig und angemessen reagiert wird, zu beträchtlichen wirtschaftlichen Verlusten und sozialen Schäden für die betroffene Person, beispielsweise Identitätsbetrug, führen. Deshalb sollte der für die Verarbeitung Verantwortliche nach Bekanntwerden einer derartigen Verletzung die zuständige nationale Behörde unverzüglich in Kenntnis setzen. Natürliche Personen, deren personenbezogene Daten oder Privatsphäre durch eine Datenschutzverletzung beeinträchtigt werden könnten, sollten ohne unangemessene Verzögerung unverzüglich benachrichtigt werden, so dass sie die notwendigen Vorkehrungen treffen können. Die Auswirkungen einer solchen Verletzung sollten als für den Schutz der personenbezogenen Daten oder der Privatsphäre einer natürlichen Person nachteilig erachtet werden, wenn sie in Verbindung mit der Verarbeitung personenbezogener Daten zum Beispiel in Identitätsdiebstahl oder Betrug, einer körperlichen Schädigung, erheblichen Demütigung oder einer Rufschädigung bestehen können. Die Benachrichtigung sollte Informationen über die vom Betreiber nach der Verletzung ergriffenen Maßnahmen sowie Empfehlungen für die betroffenen Nutzer oder Personen enthalten. Benachrichtigungen an die betroffenen Personen sollten so früh wie möglich und in enger Zusammenarbeit mit der Aufsichtsbehörde sowie unter Beachtung der von ihr erstellten Leitlinien ergehen. [Abänd. 35]

(43)  Bei der detaillierten Regelung des Formats und der Verfahren für die Meldung einer Verletzung des Schutzes personenbezogener Daten sollten die Umstände der Verletzung hinreichend berücksichtigt werden, beispielsweise ob personenbezogene Daten durch geeignete technische Schutzvorkehrungen geschützt waren, die die Wahrscheinlichkeit eines Missbrauchs wirksam verringern. Überdies sollten solche Regeln und Verfahren den berechtigten Interessen der zuständigen Behörden in Fällen Rechnung tragen, in denen die Untersuchung der Umstände der Verletzung durch ein frühzeitiges Bekanntwerden in unnötiger Weise behindert würde.

(44)  Der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter sollte eine Person benennen, die ihn dabei unterstützt, die Einhaltung der nach Maßgabe dieser Richtlinie erlassenen Vorschriften zu überwachen. Mehrere Dienststellen der zuständigen und nachzuweisen. Handeln mehrere zuständige Behörden unter der Aufsicht einer zentralen Behörde können gemeinsam, sollte zumindest diese zentrale Behörde einen Datenschutzbeauftragten bestellen. Der Datenschutzbeauftragte muss seinen Auftrag und seine Aufgaben unabhängig und wirksam wahrnehmen können, was vor allem durch die Festlegung von Vorschriften zur Vermeidung von Interessenkonflikten mit anderen Aufgaben des Datenschutzbeauftragten sichergestellt werden soll. [Abänd. 36]

(45)  Die Mitgliedstaaten sollten dafür sorgen, dass Daten nur dann in ein Drittland übermittelt werden, wenn dies diese spezifische Übermittlung für die Verhütung, Aufdeckung, Untersuchung und Verfolgung von Straftaten oder für die Strafvollstreckung notwendig ist und es sich bei dem für die Verarbeitung Verantwortlichen in dem Drittland oder in der internationalen Organisation um eine zuständige Behörde im Sinne dieser Richtlinie handelt. Daten dürfen übermittelt werden, wenn die Kommission durch Beschluss festgestellt hat, dass das betreffende Drittland oder die betreffende internationale Organisation einen angemessenen Schutz bietet, oder wenn geeignete Garantien bestehen oder wenn geeignete Garantien im Rahmen eines rechtsverbindlichen Instruments bestehen. Daten, die an die zuständigen Behörden in Drittländern übermittelt werden, sollten nicht zu anderen Zwecken als denjenigen, zu denen sie übermittelt wurden, weiterverarbeitet werden. [Abänd. 37]

(45a)  Die Datenweitergabe durch die zuständigen Behörden oder internationalen Organisationen, denen personenbezogene Daten übermittelt wurden, sollte nur dann erlaubt sein, wenn die Weitergabe zu demselben spezifischen Zweck wie die ursprüngliche Übermittlung notwendig ist und es sich bei dem zweiten Empfänger ebenfalls um eine zuständige öffentliche Behörde handelt. Weitergaben sollten nicht für allgemeine Strafverfolgungszwecke erlaubt sein. Die zuständige Behörde, die die ursprüngliche Übermittlung durchgeführt hat, sollte der Weitergabe zugestimmt haben. [Abänd. 38]

(46)  Die Kommission kann mit Wirkung für die gesamte Union beschließen, dass bestimmte Drittländer, bestimmte Gebiete oder Verarbeitungssektoren eines Drittlands oder eine internationale Organisation einen angemessenen Datenschutz bieten und somit in Bezug auf die Drittländer und internationalen Organisationen, die für fähig gehalten werden, einen solchen Schutz zu bieten, für Rechtssicherheit und eine einheitliche Rechtsanwendung in der gesamten Union sorgen. In derartigen Fällen dürfen personenbezogene Daten ohne weitere Genehmigung in diese Länder übermittelt werden.

(47)  In Übereinstimmung mit den Grundwerten der Union, insbesondere dem Schutz der Menschenrechte, sollte die Kommission bei der Bewertung eines Drittlands berücksichtigen, inwieweit dort die Rechtsstaatlichkeit geachtet wird, Zugang zur Justiz möglich ist und die internationalen Menschenrechtsbestimmungen eingehalten werden.

(48)  Die Kommission sollte gleichfalls feststellen können, dass ein Drittland, ein Gebiet oder Verarbeitungssektor eines Drittlands oder eine internationale Organisation keinen angemessenen Datenschutz bietet. Folglich sollte in diesem Fall die Übermittlung personenbezogener Daten in dieses Drittland verboten werden, es sei denn, die Daten werden auf der Grundlage einer internationalen Übereinkunft, geeigneter Garantien oder einer Ausnahmeregelung übermittelt. Es sollten Verfahren für Konsultationen zwischen der Kommission und den betreffenden Drittländern oder internationalen Organisationen vorgesehen werden. Ungeachtet eines entsprechenden Kommissionsbeschlusses sollte jedoch die Möglichkeit bestehen, Daten auf der Grundlage geeigneter Garantien, die im Rahmen rechtsverbindlicher Instrumente bestehen, oder einer in dieser Richtlinie geregelten Ausnahme zu übermitteln. [Abänd. 39]

(49)  Datenübermittlungen, die nicht auf der Grundlage eines Angemessenheitsbeschlusses erfolgen, sollten nur dann zulässig sein, wenn in einem rechtsverbindlichen Instrument geeignete Garantien festgelegt sind, die den Schutz personenbezogener Daten gewährleisten, oder wenn der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter alle Umstände beurteilt hat, die bei der Datenübermittlung oder bei der Kategorie von Datenübermittlungen eine Rolle spielen, und auf der Grundlage dieser Beurteilung zu der Auffassung gelangt ist, dass geeignete Garantien zum Schutz personenbezogener Daten bestehen. In Fällen, in denen es keine Gründe gibt, die eine Datenübermittlung zulassen würden, sollten Ausnahmen erlaubt sein, wenn dies notwendig ist zur Wahrung lebenswichtiger Interessen der betroffenen oder einer anderen Person, wenn dies nach dem Recht des Mitgliedstaats, aus dem die personenbezogenen Daten übermittelt werden, notwendig ist oder wenn dies zur Abwehr einer unmittelbaren, ernsthaften Gefahr für die öffentliche Sicherheit eines Mitgliedstaats oder eines Drittlands oder in Einzelfällen zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zur Begründung, Geltendmachung oder Abwehr von Rechtsansprüchen unerlässlich ist [Abänd. 40].

(49a)  In Fällen, in denen es keine Gründe gibt, die eine Datenübermittlung zulassen würden, sollten Ausnahmen erlaubt sein, wenn dies notwendig ist zur Wahrung wesentlicher Interessen der betroffenen oder einer anderen Person, wenn dies nach dem Recht des Mitgliedstaats, aus dem die personenbezogenen Daten übermittelt werden, zum Schutz berechtigter Interessen notwendig ist oder wenn dies zur Abwehr einer unmittelbaren, ernsthaften Gefahr für die öffentliche Sicherheit eines Mitgliedstaats oder eines Drittlands oder in Einzelfällen zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zur Begründung, Geltendmachung oder Abwehr von Rechtsansprüchen unerlässlich ist. Diese Ausnahmen sollten restriktiv ausgelegt werden und zudem die wiederkehrende, umfassende und strukturelle Übermittlung personenbezogener Daten sowie die pauschale Übermittlung von Daten ausschließen, die auf unbedingt notwendige Daten beschränkt sein sollte. Darüber hinaus sollte die Entscheidung über eine Datenübermittlung von entsprechend Bevollmächtigten getroffen werden, die Übermittlung muss dokumentiert werden, und die Dokumentation muss zum Zwecke der Überprüfung der Rechtmäßigkeit der Übermittlung der Aufsichtsbehörde auf Anfrage zur Verfügung gestellt werden. [Abänd. 41]

(50)  Wenn personenbezogene Daten in ein anderes Land übermittelt werden, kann dies dazu führen, dass die betroffene Person weniger Möglichkeiten hat, ihre Datenschutzrechte wahrzunehmen und sich gegen eine unrechtmäßige Nutzung oder Weitergabe ihrer Daten zu schützen. Ebenso kann es vorkommen, dass Aufsichtsbehörden Beschwerden nicht nachgehen oder Untersuchungen nicht durchführen können, die einen Bezug zu Tätigkeiten außerhalb der Grenzen ihres Mitgliedstaats haben. Ihre Bemühungen um grenzübergreifende Zusammenarbeit können auch durch unzureichende Präventiv- und Abhilfebefugnisse und durch nicht übereinstimmende rechtliche Regelungen behindert werden. Die Zusammenarbeit zwischen den Datenschutzbehörden muss daher gefördert werden, um ihnen den Informationsaustausch mit Aufsichtsbehörden in anderen Ländern zu erleichtern.

(51)  Die Einrichtung von Aufsichtsbehörden in den Mitgliedstaaten, die ihre Aufgaben völlig unabhängig erfüllen, ist ein wesentlicher Bestandteil des Schutzes natürlicher Personen bei der Verarbeitung personenbezogener Daten. Die Aufsichtsbehörden sollten die Anwendung der nach Maßgabe dieser Richtlinie erlassenen Vorschriften überwachen und zu ihrer einheitlichen Anwendung in der gesamten Union beitragen, um natürliche Personen bei der Verarbeitung ihrer personenbezogenen Daten zu schützen. Zu diesem Zweck bedarf es der Zusammenarbeit der Aufsichtsbehörden untereinander und mit der Kommission. [Abänd. 42]

(52)  Die Mitgliedstaaten können einer bereits gemäß der Verordnung (EU) Nr. …./2012 in den Mitgliedstaaten errichteten Aufsichtsbehörde die Verantwortung für die Aufgaben übertragen, die von den nach Maßgabe dieser Richtlinie einzurichtenden nationalen Aufsichtsbehörden auszuführen sind.

(53)  Die Mitgliedstaaten sollten mehr als eine Aufsichtsbehörde einrichten können, wenn dies ihrer verfassungsmäßigen, organisatorischen und administrativen Struktur entspricht. Jede Aufsichtsbehörde sollte mit Finanzmitteln, Personal, Räumlichkeiten und einer Infrastruktur einschließlich technischer Mittel, Erfahrung und Kompetenz ausgestattet werden, die für die effektive Wahrnehmung ihrer Aufgaben, auch der Aufgaben im Zusammenhang mit der Amtshilfe und der Zusammenarbeit mit anderen Aufsichtsbehörden in der Union, notwendig und angemessen sind. [Abänd. 43]

(54)  Die allgemeinen Anforderungen an die Mitglieder der Aufsichtsbehörde sollten gesetzlich von jedem Mitgliedstaat geregelt werden und insbesondere vorsehen, dass diese Mitglieder entweder vom Parlament oder von der Regierung des Mitgliedstaats auf der Grundlage einer Konsultation des Parlaments ernannt werden; ferner sollten sie Bestimmungen über die persönliche Eignung der Mitglieder und ihren Status enthalten. [Abänd. 44]

(55)  Obgleich diese Richtlinie auch für die Tätigkeit der nationalen Gerichte gilt, sollte sich die Zuständigkeit der Aufsichtsbehörden nicht auf die von Gerichten im Rahmen ihrer gerichtlichen Tätigkeit vorgenommenen Datenverarbeitungen erstrecken, damit die Unabhängigkeit der Richter bei der Ausübung ihrer richterlichen Aufgaben gewahrt bleibt. Diese Ausnahme sollte allerdings begrenzt werden auf rein justizielle Tätigkeiten in Gerichtssachen und sich nicht auf andere Tätigkeiten beziehen, mit denen Richter nach nationalem Recht betraut werden können.

(56)  Um die einheitliche Überwachung und Durchsetzung dieser Richtlinie in der gesamten Union sicherzustellen, sollten die Aufsichtsbehörden in jedem Mitgliedstaat dieselben Aufgaben und Befugnisse haben, unter anderem – insbesondere im Fall von Beschwerden natürlicher Personen – wirksame Untersuchungsbefugnisse, das Recht auf Zugang zu allen für die Erfüllung aller Aufsichtspflichten erforderlichen personenbezogenen Daten und Informationen, das Recht auf Zugang zu allen Räumlichkeiten des für die Verarbeitung Verantwortlichen oder des Auftragsverarbeiters einschließlich des Materials für die Datenverarbeitung sowie rechtsverbindliche Interventions-, Beschluss- und Sanktionsbefugnisse sowie die Befugnis, Gerichtsverfahren anzustrengen. [Abänd. 45]

(57)  Zu den Aufgaben der Aufsichtsbehörde sollte die Bearbeitung und Untersuchung von Beschwerden betroffener Personen gehören. Die Untersuchung aufgrund einer Beschwerde sollte vorbehaltlich einer gerichtlichen Nachprüfung so weit gehen, wie dies im Einzelfall angemessen ist. Die Aufsichtsbehörde sollte die betroffene Person innerhalb einer angemessenen Frist über den Stand und die Ergebnisse der Beschwerde unterrichten. Sollten weitere Untersuchungen oder die Abstimmung mit einer anderen Aufsichtsbehörde vonnöten sein, sollte die betroffene Person auch hierüber informiert werden.

(58)  Die Aufsichtsbehörden sollten sich gegenseitig bei der Erfüllung ihrer Aufgaben unterstützen und einander Amtshilfe leisten, damit eine einheitliche Anwendung und Durchsetzung der nach Maßgabe dieser Richtlinie erlassenen Vorschriften gewährleistet ist. Die Aufsichtsbehörden sollten zur Teilnahme an gemeinsamen Aktionen bereit sein. Die ersuchte Aufsichtsbehörde sollte verpflichtet sein, auf die Anfrage innerhalb einer vorgeschriebenen Frist zu antworten. [Abänd. 46]

(59)  Der auf der Grundlage der Verordnung (EU) Nr. …/2012…/2013 eingerichtete Europäische Datenschutzausschuss sollte zur einheitlichen Anwendung dieser Richtlinie in der Union beitragen, die Kommission Organe der Union beraten und, die Zusammenarbeit der Aufsichtsbehörden in der Union fördern und bei der Ausarbeitung von delegierten Rechtsakten und Durchführungsrechtsakten auf der Grundlage dieser Richtlinie der Kommission gegenüber seine Stellungnahme abgeben. [Abänd. 47]

(60)  Jede betroffene Person, die sich in ihren Rechten verletzt sieht, die ihr aufgrund dieser Richtlinie zustehen, sollte das Recht auf Beschwerde bei einer Aufsichtsbehörde in einem Mitgliedstaat sowie das Recht auf einen gerichtlichen Rechtsbehelf haben, wenn die Aufsichtsbehörde auf eine Beschwerde hin nicht tätig wird oder wenn sie nicht tätig wird, obwohl dies zum Schutz der Rechte der betroffenen Person notwendig ist.

(61)  Einrichtungen, Organisationen oder Verbände, die sich den Schutz der Rechte und Interessen der betroffenen Personen im Bereich des Datenschutzes zum Ziel gesetzt haben im öffentlichen Interesse handeln und die nach dem Recht eines Mitgliedstaats gegründet sind, sollten das Recht haben, im Namen der betroffenen Person Beschwerde bei einer Aufsichtsbehörde oder einen gerichtlichen Rechtsbehelf einzulegen, wenn sie von dieser Person hierzu bevollmächtigt wurden, oder unabhängig von der Beschwerde einer betroffenen Person eine eigene Beschwerde zu erheben, wenn ihrer Ansicht nach der Schutz personenbezogener Daten verletzt wurde. [Abänd. 48]

(62)  Jede natürliche oder juristische Person sollte das Recht auf einen gerichtlichen Rechtsbehelf gegen sie betreffende Entscheidungen einer Aufsichtsbehörde haben. Für Verfahren gegen eine Aufsichtsbehörde sollten die Gerichte des Mitgliedstaats zuständig sein, in dem die Aufsichtsbehörde ihren Sitz hat.

(63)  Die Mitgliedstaaten sollten sicherstellen, dass effiziente Klagemöglichkeiten vorhanden sind, mit denen rasch Maßnahmen zur Abstellung oder Verhinderung eines Verstoßes gegen diese Richtlinie erwirkt werden können.

(64)  Schäden, auch immaterielle Schäden, die einer Person aufgrund einer rechtswidrigen Verarbeitung entstehen, sollten von dem für die Verarbeitung Verantwortlichen oder dem Auftragsverarbeiter ersetzt werden, der von seiner Haftung befreit werden kann, wenn er nachweist, dass der Schaden ihm nicht angelastet werden kann, insbesondere weil ein Fehlverhalten der betroffenen Person oder ein Fall höherer Gewalt vorliegt. [Abänd. 49]

(65)  Gegen jede natürliche oder juristische – privatem oder öffentlichem Recht unterliegende – Person, die gegen diese Richtlinie verstößt, sollten Sanktionen verhängt werden. Die Mitgliedstaaten sollten dafür sorgen, dass die Sanktionen wirksam, verhältnismäßig und abschreckend sind, und alle Maßnahmen zur Anwendung der Sanktionen treffen.

(65a)  Die Übermittlung personenbezogener Daten an andere Behörden oder Privatpersonen in der Union ist untersagt, es sei denn, die Übermittlung entspricht den gesetzlichen Bestimmungen, der Empfänger ist in einem Mitgliedstaat ansässig, keine berechtigten konkreten Interessen der betroffenen Person stehen der Übermittlung entgegen, und die Übermittlung ist aus Sicht des für die Verarbeitung Verantwortlichen, der die Daten übermittelt, für die Erfüllung einer ihm rechtmäßig zugewiesenen Aufgabe, zur Abwehr einer unmittelbaren, ernsthaften Gefahr für die öffentliche Sicherheit oder zur Abwehr einer schwerwiegenden Beeinträchtigung der Rechte Einzelner notwendig. Der für die Verarbeitung Verantwortliche sollte den Empfänger auf den Zweck der Verarbeitung und die Aufsichtsbehörde auf die Übermittlung hinweisen. Der Empfänger sollte darüber hinaus auf Verarbeitungsbeschränkungen hingewiesen werden und sicherstellen, dass diese Beschränkungen eingehalten werden. [Abänd. 50]

(66)  Um die Zielvorgaben dieser Richtlinie zu erfüllen, d. h. die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere ihr Recht auf Schutz ihrer personenbezogenen Daten zu schützen und den ungehinderten Austausch personenbezogener Daten im Verkehr zwischen den zuständigen Behörden innerhalb der Union zu gewährleisten, sollte der Kommission die Befugnis übertragen werden, Rechtsakte nach Artikel 290 des Vertrags über die Arbeitsweise der Europäischen Union zu erlassen. Insbesondere sollten für die Meldung einer weitere konkrete Festlegung der Kriterien und Bedingungen für Verarbeitungsvorgänge, für die eine Datenschutz-Folgenabschätzung erforderlich ist, für die Kriterien und Bedingungen der Verletzung des Schutzes von personenbezogenen Daten an die Aufsichtsbehörde und in Bezug auf die Angemessenheit des Datenschutzniveaus eines Drittlandes, eines Gebiets oder eines Verarbeitungssektors dieses Drittlands oder einer internationalen Organisation delegierte Rechtsakte erlassen werden. Es ist besonders wichtig, dass die Kommission im Rahmen ihrer Vorarbeiten auch auf Sachverständigenebene geeignete Konsultationen, insbesondere mit dem Europäischen Datenschutzausschuss, durchführt. Die Kommission sollte bei der Vorbereitung und Ausarbeitung delegierter Rechtsakte dafür sorgen sollte die Kommission gewährleisten, dass das Europäische die einschlägigen Dokumente dem Europäischen Parlament und der Rat die entsprechenden Dokumente gleichzeitig dem Rat zeitgleich, rechtzeitig und in geeigneter Form erhalten Weise übermittelt werden. [Abänd. 51]

(67)  Der Kommission sollten Durchführungsbefugnisse übertragen werden, um bezüglich der Dokumentation der für die Verarbeitung Verantwortlichen und der Auftragsverarbeiter, der Sicherheit der Verarbeitung, insbesondere in Bezug auf Verschlüsselungsstandards, und der Meldung einer Verletzung des Schutzes personenbezogener Daten an die Aufsichtsbehörde sowie der Angemessenheit des Datenschutzniveaus in einem Drittland oder in einem Gebiet oder Verarbeitungssektor dieses Drittlands oder in einer internationalen Organisation einheitliche Bedingungen für die Umsetzung dieser Richtlinie zu gewährleisten. Diese Befugnisse sollten nach Maßgabe der Verordnung im Einklang mit der Verordnung (EU) Nr. 182/2011 des Europäischen Parlaments und des Rates vom 16. Februar 2011 zur Festlegung der allgemeinen Regeln und Grundsätze, nach denen die Mitgliedstaaten die Wahrnehmung der Durchführungsbefugnisse durch die Kommission kontrollieren, Rates(7) ausgeübt werden. [Abänd. 52]

(68)  Maßnahmen, die die Dokumentation der für die Verarbeitung Verantwortlichen und der Auftragsverarbeiter betreffen sowie die Sicherheit der Verarbeitung, und die Meldung einer Verletzung des Schutzes personenbezogener Daten an die Aufsichtsbehörde und die Angemessenheit des Datenschutzniveaus in einem Drittland oder in einem Gebiet oder Verarbeitungssektor dieses Drittlands oder in einer internationalen Organisation betreffen, sollten im Wege des Prüfverfahrens festgelegt werden, da es sich um Rechtsakte von allgemeiner Tragweite handelt. [Abänd. 53]

(69)  Die Kommission sollte in hinreichend begründeten Fällen äußerster Dringlichkeit, die ein Drittland oder ein Gebiet oder einen Verarbeitungssektor in diesem Drittland oder eine internationale Organisation betreffen, die kein angemessenes Schutzniveau gewährleisten, sofort geltende Durchführungsrechtsakte erlassen. [Abänd. 54]

(70)  Da die Ziele dieser Richtlinie, nämlich die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere ihr Recht auf Schutz ihrer personenbezogenen Daten und den ungehinderten Austausch personenbezogener Daten im Verkehr zwischen den zuständigen Behörden innerhalb der Union zu gewährleisten, auf Ebene der Mitgliedstaaten nicht ausreichend verwirklicht werden können, sondern wegen des Umfangs oder der Wirkungen der Maßnahme auf Unionsebene besser zu verwirklichen sind, kann die Union im Einklang mit dem Subsidiaritätsprinzip gemäß Artikel 5 des Vertrags über die Europäische Union tätig werden. Entsprechend dem in demselben Artikel genannten Verhältnismäßigkeitsprinzip geht diese Richtlinie nicht über das für die Erreichung dieser Ziele erforderliche Maß hinaus. Die Mitgliedstaaten können höhere Standards als die in dieser Richtlinie festgelegten vorsehen. [Abänd. 55]

(71)  Der Rahmenbeschluss 2008/977/JI sollte durch diese Richtlinie aufgehoben werden.

(72)  Die besonderen Bestimmungen für die Verarbeitung personenbezogener Daten durch eine zuständige Behörde zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung, die in vor Erlass dieser Richtlinie erlassenen Rechtsakten der Union enthalten sind, die die Verarbeitung personenbezogener Daten im Verkehr der Mitgliedstaaten untereinander oder den Zugang der von den Mitgliedstaaten bestimmten Behörden zu den gemäß den Europäischen Verträgen errichteten Informationssystemen regeln, sollten bestehen bleiben. Die Da Artikel 8 der Grundrechtecharta und Artikel 16 AEUV vorschreiben, dass das Grundrecht auf Schutz personenbezogener Daten in der Union einheitlich und homogen angewendet werden sollte, sollte die Kommission innerhalb von zwei Jahren nach Inkrafttreten dieser Richtlinie sollte das Verhältnis zwischen dieser Richtlinie und den vor ihrem Erlass angenommenen Rechtsakten, die die Verarbeitung personenbezogener Daten im Verkehr der Mitgliedstaaten untereinander oder den Zugang der von den Mitgliedstaaten bestimmten Behörden zu den gemäß den Europäischen Verträgen errichteten Informationssystemen regeln, daraufhin prüfen, inwieweit die besonderen Bestimmungen und sollte zudem zweckmäßige Vorschläge hinsichtlich der Festlegung einheitlicher und homogener Regeln für die Verarbeitung personenbezogener Daten durch zuständige Behörden oder des Zugangs der von den Mitgliedstaaten bestimmten Behörden zu den gemäß den europäischen Verträgen errichteten Informationssystemen sowie der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen, Ämter und Agenturen der Europäischen Union zur Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder zur Vollstreckung strafrechtlicher Sanktionen innerhalb des Geltungsbereichs dieser Rechtsakte an diese Richtlinie angepasst werden müssen erarbeiten. [Abänd. 56]

(73)  Damit personenbezogene Daten in der Union umfassend und in gleicher Weise geschützt werden, sollten die von der Union oder den Mitgliedstaaten vor Inkrafttreten dieser Richtlinie geschlossenen Übereinkünfte im Sinne dieser Richtlinie geändert werden. [Abänd. 57]

(74)  Diese Richtlinie lässt die Vorschriften zur Bekämpfung des sexuellen Missbrauchs und der sexuellen Ausbeutung von Kindern sowie der Kinderpornografie nach Maßgabe der Richtlinie 2011/93/EU des Europäischen Parlaments und des Rates(8) unberührt.

(75)  Nach Protokoll 21 Artikel 6a des dem Vertrag über die Europäische Union und dem Vertrag über die Arbeitsweise der Europäischen Union beigefügten Protokolls über die Position des Vereinigten Königreichs und Irlands hinsichtlich des Raums der Freiheit, der Sicherheit und des Rechts sind die Bestimmungen dieser Richtlinie für das Vereinigte Königreich und Irland nicht bindend, wenn das Vereinigte Königreich und Irland nicht durch Unionsvorschriften gebunden sind, die Formen der justiziellen Zusammenarbeit in Strafsachen oder der polizeilichen Zusammenarbeit regeln, in deren Rahmen die auf der Grundlage des Artikels 16 des Vertrags über die Arbeitsweise der Europäischen Union festgelegten Vorschriften eingehalten werden müssen.

(76)  Nach den Artikeln 2 und 2a des dem Vertrag über die Europäische Union und dem Vertrag über die Arbeitsweise der Europäischen Union beigefügten Protokolls über die Position Dänemarks gilt diese Richtlinie nicht für Dänemark und ist Dänemark gegenüber nicht anwendbar. Da diese Richtlinie auf dem Schengen-Besitzstand auf der Grundlage des Dritten Teils Titel V des Vertrags über die Arbeitsweise der Europäischen Union aufbaut, beschließt Dänemark gemäß Artikel 4 dieses Protokolls innerhalb von sechs Monaten nach Erlass dieser Richtlinie, ob es die Richtlinie in innerstaatliches Recht umsetzt. [Abänd. 58]

(77)  Für Island und Norwegen stellt diese Richtlinie eine Weiterentwicklung von Bestimmungen des Schengen-Besitzstands im Sinne des Übereinkommens zwischen dem Rat der Europäischen Union sowie der Republik Island und dem Königreich Norwegen über die Assoziierung der Letztgenannten bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands(9) dar.

(78)  Für die Schweiz stellt diese Richtlinie eine Weiterentwicklung von Bestimmungen des Schengen-Besitzstands im Sinne des Abkommens zwischen der Europäischen Union, der Europäischen Gemeinschaft und der Schweizerischen Eidgenossenschaft über die Assoziierung dieses Staates bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands(10) dar.

(79)  Für Lichtenstein stellt diese Richtlinie eine Weiterentwicklung von Bestimmungen des Schengen-Besitzstands im Sinne des Protokolls zwischen der Europäischen Union, der Europäischen Gemeinschaft, der Schweizerischen Eidgenossenschaft und dem Fürstentum Liechtenstein über den Beitritt des Fürstentums Liechtenstein zu dem Abkommen zwischen der Europäischen Union, der Europäischen Gemeinschaft und der Schweizerischen Eidgenossenschaft über die Assoziierung der Schweizerischen Eidgenossenschaft bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands(11) dar.

(80)  Diese Richtlinie steht im Einklang mit den Grundrechten und Grundsätzen, die mit der Charta anerkannt wurden und in den Europäischen Verträgen verankert sind, insbesondere mit dem Recht auf Achtung des Privat- und Familienlebens, dem Recht auf Schutz personenbezogener Daten sowie dem Recht auf einen wirksamen Rechtsbehelf und ein faires Verfahren. Die Einschränkungen dieser Rechte stehen im Einklang mit Artikel 52 Absatz 1 der Charta, da sie erforderlich sind, um den von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und der Freiheiten anderer zu entsprechen.

(81)  Gemäß der Gemeinsamen Politischen Erklärung der Mitgliedstaaten und der Kommission zu erläuternden Dokumenten vom 28. September 2011(12) haben sich die Mitgliedstaaten verpflichtet, in begründeten Fällen zusätzlich zur Mitteilung ihrer Umsetzungsmaßnahmen ein oder mehrere Dokumente zu übermitteln, in denen der Zusammenhang zwischen den Bestandteilen einer Richtlinie und den entsprechenden Teilen einzelstaatlicher Umsetzungsinstrumente erläutert wird. In Bezug auf diese Richtlinie hält der Gesetzgeber die Übermittlung derartiger Dokumente für gerechtfertigt.

(82)  Diese Richtlinie sollte die Mitgliedstaaten nicht daran hindern, die Bestimmungen über die Ausübung der Rechte der betroffenen Person auf Unterrichtung, Auskunft, Berichtigung, Löschung und Beschränkung ihrer im Rahmen eines Strafverfahrens verarbeiteten personenbezogenen Daten sowie mögliche Beschränkungen dieser Rechte in ihr einzelstaatliches Strafprozessrecht umzusetzen –

HABEN FOLGENDE RICHTLINIE ERLASSEN:

KAPITEL I

ALLGEMEINE BESTIMMUNGEN

Artikel 1

Gegenstand und Ziele

(1)  Diese Richtlinie enthält Bestimmungen zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder und der Strafvollstreckung sowie Bedingungen im Hinblick auf den freien Verkehr personenbezogener Daten.

(2)  Gemäß dieser Richtlinie stellen die Mitgliedstaaten Folgendes sicher:

a)  Schutz der Grundrechte und Grundfreiheiten natürlicher Personen, insbesondere Gewährleistung ihres Rechts auf Schutz ihrer personenbezogener Daten und ihrer Privatsphäre, und

b)  Sicherstellung, dass der Austausch personenbezogener Daten zwischen den zuständigen Behörden in der Union nicht aus Gründen des Schutzes natürlicher Personen bei der Verarbeitung personenbezogener Daten eingeschränkt oder verboten wird.

(2a)  Diese Richtlinie hindert die Mitgliedstaaten nicht daran, Garantien festzulegen, die strenger sind als die Garantien dieser Richtlinie. [Abänd. 59]

Artikel 2

Anwendungsbereich

(1)  Diese Richtlinie gilt für die Verarbeitung personenbezogener Daten durch die zuständigen Behörden zu den in Artikel 1 Absatz 1 genannten Zwecken.

(2)  Diese Richtlinie gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einer Datei gespeichert sind oder gespeichert werden sollen.

(3)  Diese Richtlinie findet keine Anwendung auf die Verarbeitung personenbezogener Daten

a)  im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt, etwa im Bereich der nationalen Sicherheit,.

b)  durch die Organe, Einrichtungen, Ämter und Agenturen der Europäischen Union. [Abänd. 60]

Artikel 3

Begriffsbestimmungen

Im Sinne dieser Richtlinie bezeichnet der Ausdruck

(1)  „betroffene Person“ eine bestimmte natürliche Person oder eine natürliche Person, die direkt oder indirekt mit Mitteln bestimmt werden kann, die der für die Verarbeitung Verantwortliche oder jede sonstige natürliche oder juristische Person nach allgemeinem Ermessen aller Voraussicht nach einsetzen würde, etwa durch Zuordnung zu einer Kennnummer, zu Standortdaten, zu Online-Kennungen oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck ihrer physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität sind;

(2)  „personenbezogene Daten“ alle Informationen über eine bestimmte oder bestimmbare natürliche Person („betroffene Person“); als bestimmbar wird eine Person angesehen, die sich auf eine betroffene direkt oder indirekt identifiziert werden kann, insbesondere durch Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer eindeutigen Kennung oder zu einem oder mehreren spezifischen Elementen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen oder geschlechtlichen Identität dieser Person beziehen sind;

(2a)  „pseudonymisierte Daten“ personenbezogene Daten, die ohne Heranziehung zusätzlicher Informationen keiner spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die die Nichtzuordnung gewährleisten;

(3)  „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Weitergabe durch Übermittlung, die Verbreitung oder jede andere Form der Bereitstellung, der Abgleich oder die Verknüpfung, das Löschen oder Vernichten der Daten sowie die Beschränkung des Zugriffs auf Daten;

(3a)  „Profiling“ jede Form automatisierter Verarbeitung personenbezogener Daten, die zu dem Zweck vorgenommen wird, bestimmte personenbezogene Aspekte, die einen Bezug zu einer natürlichen Person haben, zu bewerten oder insbesondere die Leistungen der betreffenden Person bei der Arbeit, ihre wirtschaftliche Situation, ihren Aufenthaltsort, ihre Gesundheit, ihre persönlichen Vorlieben, ihre Zuverlässigkeit oder ihr Verhalten zu analysieren oder vorauszusagen;

(4)  „Einschränkung der Verarbeitung“ die Markierung gespeicherter personenbezogener Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken;

(5)  „Datei“ jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder aufgeschlüsselt nach funktionalen oder geografischen Gesichtspunkten geführt wird;

(6)  „für die Verarbeitung Verantwortlicher“ die zuständige Behörde, die allein oder gemeinsam mit anderen über die Zwecke, Bedingungen und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke, Bedingungen und Mittel der Verarbeitung von personenbezogenen Daten durch einzelstaatliches mitgliedstaatliches oder Unionsrecht vorgegeben, kann das einzelstaatliche oder das Unionsrecht den können der für die Verarbeitung Verantwortlichen Verantwortliche beziehungsweise die spezifischen Modalitäten für seine Benennung bestimmen nach mitgliedstaatlichem oder Unionsrecht bestimmt werden;

(7)  „Auftragsverarbeiter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die personenbezogene Daten im Auftrag des für die Verarbeitung Verantwortlichen verarbeitet;

(8)  „Empfänger“ eine natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, an die personenbezogene Daten weitergegeben werden;

(9)  „Verletzung des Schutzes personenbezogener Daten“ eine Verletzung der Sicherheit, die zur die Vernichtung, zum Verlust, zur Veränderung, ob unbeabsichtigt oder unrechtmäßig, oder zur unbefugten die unbefugte Weitergabe von beziehungsweise zum unbefugten der unbefugte Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden;

(10)  „genetische Daten“ Daten jedweder Art zu den ererbten oder während der vorgeburtlichen Entwicklung erworbenen Merkmalen eines Menschen;

(11)  „biometrische Daten“ personenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen eines Menschen, die dessen eindeutige Identifizierung ermöglichen, wie Gesichtsbilder oder daktyloskopische Daten;

(12)  „Gesundheitsdaten“ Informationen personenbezogene Daten, die sich auf den körperlichen oder geistigen Gesundheitszustand einer Person oder auf die Erbringung von Gesundheitsleistungen für die betreffende Person beziehen;

(13)  „Kind“ jede Person bis zur Vollendung des achtzehnten Lebensjahres;

(14)  „zuständige Behörde“ jede Behörde, die für die Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder die Strafvollstreckung zuständig ist;

(15)  „Aufsichtsbehörde“ eine von einem Mitgliedstaat nach Maßgabe von Artikel 39 eingerichtete staatliche Stelle. [Abänd. 61]

KAPITEL II

GRUNDSÄTZE

Artikel 4

Grundsätze in Bezug auf die Verarbeitung personenbezogener Daten

Die Mitgliedstaaten tragen dafür Sorge, dass personenbezogene Daten

a)   auf rechtmäßige Weise, nach dem Grundsatz von Treu und Glauben und auf rechtmäßige in einer für die betroffene Person nachvollziehbaren und überprüfbaren Weise verarbeitet werden;

b)  für genau festgelegte, eindeutige und rechtmäßige Zwecke erhoben werden und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden dürfen;

c)  im Hinblick auf die Zwecke der Datenverarbeitung angemessen, sachlich relevant und nicht exzessiv sowie auf das für die Zwecke der Datenverarbeitung notwendige Mindestmaß beschränkt sind, wobei sie nur verarbeitet werden dürfen, wenn und solange die Zwecke der Verarbeitung nicht durch die Verarbeitung von anderen als personenbezogenen Daten erreicht werden können;

d)  sachlich richtig und, wenn nötig, auf dem neuesten Stand sind;, wobei alle angemessenen Maßnahmen müssen getroffen werden müssen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unzutreffend sind, unverzüglich gelöscht oder berichtigt werden;

e)  nicht länger, als es für die Realisierung der Zwecke, für die sie verarbeitet werden, erforderlich ist, in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen ermöglicht;

f)  unter der Verantwortung und Haftung des für die Verarbeitung Verantwortlichen verarbeitet werden, der die Einhaltung der nach Maßgabe dieser Richtlinie erlassenen Vorschriften gewährleistet und nachweisen kann;

fa)  in einer Weise verarbeitet werden, die es den betroffenen Personen erlaubt, ihre Rechte gemäß den Artikeln 10 bis 17 wahrzunehmen;

fb)  in einer Weise verarbeitet werden, die vor unbefugter oder unrechtmäßiger Verarbeitung und vor zufälligem Verlust, zufälliger Zerstörung oder Schädigung durch geeignete technische und organisatorische Maßnahmen schützt;

fc)  ausschließlich von entsprechend bevollmächtigten Mitarbeitern der zuständigen Behörden bei der Wahrnehmung ihrer Aufgaben verarbeitet werden. [Abänd. 62]

Artikel 4a

Zugang zu Daten, die ursprünglich zu anderen Zwecken als den in Artikel 1 Absatz 1 genannten verarbeitet wurden

(1)  Die Mitgliedstaaten tragen dafür Sorge, dass zuständige Behörden nur dann Zugang zu Daten, die ursprünglich zu anderen Zwecken als den in Artikel 1 Absatz 1 genannten verarbeitet wurden, haben, wenn sie gemäß Unionsrecht oder dem Recht der Mitgliedstaaten über eine ausdrückliche Befugnis verfügen, die die Voraussetzungen gemäß Artikel 7 Absatz 1a erfüllen muss, und tragen zudem dafür Sorge, dass:

a)  der Zugang ausschließlich von entsprechend bevollmächtigten Mitarbeitern der zuständigen Behörden bei der Wahrnehmung ihrer Aufgaben genehmigt wird, wenn in einem spezifischen Fall hinreichende Gründe für die Annahme vorliegen, dass die Verarbeitung der personenbezogenen Daten maßgeblich zur Verhütung, Aufdeckung, Untersuchung und Verfolgung von Straftaten oder zur Strafvollstreckung beiträgt;

b)  Zugangsanfragen schriftlich erfolgen und auf die rechtliche Grundlage der Anfrage Bezug nehmen müssen;

c)  die schriftliche Anfrage dokumentiert werden muss; und

d)  geeignete Garantien eingeführt werden, um dafür zu sorgen, dass Grundrechte und ‑freiheiten in Bezug auf die Verarbeitung personenbezogener Daten geschützt werden. Die Garantien gelten unbeschadet und in Ergänzung zu den spezifischen Zugangsbedingungen zu personenbezogenen Daten wie etwa einer richterlichen Genehmigung gemäß dem Recht der Mitgliedstaaten.

(2)  der Zugang zu personenbezogenen Daten, die von nicht-öffentlichen Stellen oder anderen öffentlichen Behörden verwaltet werden, wird nur für die Ermittlung und Verfolgung von Straftaten gemäß den vom Unionsrecht oder dem Recht der Mitgliedstaaten festgelegten Anforderungen der Notwendigkeit und der Verhältnismäßigkeit gewährt, wobei Artikel 7a uneingeschränkt einzuhalten ist; [Abänd. 63]

Artikel 4b

Fristen für die Speicherung und Überprüfung

(1)  Die Mitgliedstaaten tragen dafür Sorge, dass personenbezogene Daten, die nach Maßgabe dieser Richtlinie verarbeitet wurden, von den zuständigen Behörden gelöscht werden, wenn sie nicht länger für den Zweck, den die ursprüngliche Verarbeitung erfüllen sollte, erforderlich sind.

(2)  Die Mitgliedstaaten tragen dafür Sorge, dass die zuständigen Behörden Mechanismen einführen, durch die sichergestellt wird, dass gemäß Artikel 4 Fristen für die Löschung sowie die regelmäßige Überprüfung der Notwendigkeit der Speicherung von personenbezogenen Daten einschließlich Speicherfristen für die unterschiedlichen Kategorien personenbezogener Daten gesetzt werden. Es werden Verfahrensregeln aufgestellt um sicherzustellen, dass diese Fristen und Zeiträume der regelmäßigen Überprüfung eingehalten werden. [Abänd. 64]

Artikel 5

Unterscheidung verschiedener Verschiedene Kategorien von betroffenen Personen

(1)  Die Mitgliedstaaten tragen dafür Sorge, dass die zuständigen Behörden für die in Artikel 1 Absatz 1 genannten Zwecke personenbezogene Daten folgender unterschiedlicher Kategorien von betroffenen Personen verarbeiten können und der für die Verarbeitung Verantwortliche so weit wie möglich zwischen den personenbezogenen Daten verschiedener Kategorien von betroffenen Personen diesen klar unterscheidet, darunter:

a)  Personen, gegen die ein begründeter Verdacht besteht, dass sie eine Straftat begangen haben oder in naher Zukunft begehen werden;

b)  verurteilte Straftäter Personen, die eine Straftat begangen haben;

c)  Opfer einer Straftat oder Personen, bei denen bestimmte Fakten darauf hindeuten, dass sie Opfer einer Straftat sein könnten; und

d)  Dritte bei einer Straftat, wie Personen, die bei Ermittlungen in Verbindung mit der betreffenden Straftat oder beim anschließenden Strafverfahren als Zeugen in Betracht kommen, Personen, die Hinweise zur Straftat geben können, oder Personen, die mit den unter Buchstaben a und b genannten Personen in Kontakt oder in Verbindung stehen sowie

e)  Personen, die keiner dieser Kategorien zugerechnet werden können.

(2)  Personenbezogene Daten anderer betroffener Personen als der unter Absatz 1 genannten Personen dürfen nur verarbeitet werden:

a)  sofern dies im Rahmen der Untersuchung oder Verfolgung einer bestimmten Straftat notwendig ist, um die Relevanz der Daten für eine der in Absatz 1 angegebenen Kategorien zu bewerten; oder

b)  wenn eine solche Verarbeitung für gezielte Präventivzwecke oder für die Zwecke einer kriminalistischen Analyse unabdingbar ist, sofern und solange dieser Zweck rechtmäßig, klar definiert und spezifisch ist und die Verarbeitung streng darauf beschränkt ist, die Relevanz der Daten für eine der in Absatz 1 angegebenen Kategorien zu bewerten. Dies wird regelmäßig – mindestens alle sechs Monate – überprüft. Jede weitere Verwendung ist untersagt.

(3)  Die Mitgliedstaaten sorgen dafür, dass zusätzliche Beschränkungen und Garantien gemäß mitgliedstaatlichem Recht auf die Weiterverarbeitung personenbezogener Daten in Bezug auf die in Absatz 1 Buchstabe c und d genannten betroffenen Personen Anwendung finden. [Abänd. 65]

Artikel 6

Unterscheidung der personenbezogenen Daten nach Richtigkeit und Zuverlässigkeit

(1)  Die Mitgliedstaaten tragen dafür Sorge, dass die zu verarbeitenden Datenkategorien so weit wie möglich nach ihrer sachlichen Richtigkeit und Zuverlässigkeit unterschieden werden der zu verarbeitenden personenbezogenen Daten gewährleistet ist.

(2)  Die Mitgliedstaaten tragen dafür Sorge, dass bei personenbezogenen Daten so weit wie möglich entsprechend ihrer Richtigkeit und Zuverlässigkeit zwischen solchen unterschieden werden wird, die auf Fakten beruhen, und solchen, die auf persönlichen Einschätzungen beruhen.

(2a)  Die Mitgliedstaaten tragen dafür Sorge, dass personenbezogene Daten, die unrichtig, unvollständig oder nicht mehr aktuell sind, nicht übermittelt oder bereitgestellt werden. Zu diesem Zweck prüfen die zuständigen Behörden die Qualität der personenbezogenen Daten vor deren Übermittlung oder Bereitstellung. Bei jeder Übermittlung von Daten werden nach Möglichkeit Informationen beigefügt, die es dem Empfängermitgliedstaat gestatten, die Richtigkeit, Vollständigkeit, Aktualität und die Zuverlässigkeit der Daten zu beurteilen. Personenbezogene Daten werden nicht ohne ein entsprechendes Ersuchen einer zuständigen Behörde übermittelt, insbesondere wenn es sich um Daten handelt, die ursprünglich von nicht-öffentlichen Stellen verwaltet wurden.

(2b)  Wird festgestellt, dass unrichtige Daten übermittelt worden sind oder Daten unrechtmäßig übermittelt worden sind, so ist dies dem Empfänger unverzüglich mitzuteilen. Dieser ist verpflichtet, die Daten unverzüglich gemäß Absatz 1 und Artikel 15 zu berichtigen oder gemäß Artikel 16 zu löschen. [Abänd. 66]

Artikel 7

Rechtmäßigkeit der Verarbeitung

(1)  Die Mitgliedstaaten legen fest, dass die Verarbeitung personenbezogener Daten nur dann rechtmäßig ist, wenn und soweit die Verarbeitung sich auf das Recht der Union oder der Mitgliedstaaten zu den in Artikel 1 Absatz 1 genannten Zwecken stützt und zu folgenden Zwecken notwendig ist:

a)  zur Wahrnehmung einer gesetzlichen Aufgabe, die eine zuständige Behörde zu den in Artikel 1 Absatz 1 genannten Zwecken oder ausführt,

b)  zur Erfüllung einer gesetzlichen Verpflichtung, der der für die Verarbeitung Verantwortliche unterliegt,

c)  zur Wahrung lebenswichtiger grundlegender Interessen der betroffenen Person oder einer anderen Person oder

d)  zur Abwehr einer unmittelbaren und ernsthaften Gefahr für die öffentlichen Sicherheit.

(1a)  Das Recht der Mitgliedstaaten, das die Verarbeitung personenbezogener Daten innerhalb des Geltungsbereichs dieser Richtlinie regelt, muss ausdrückliche und detaillierte Bestimmungen mit mindestens folgenden Angaben enthalten:

a)  den Verarbeitungszielen;

b)  den zu verarbeitenden personenbezogenen Daten;

c)  den konkreten Zwecken und Mitteln der Verarbeitung;

d)  der Ernennung des für die Verarbeitung Verantwortlichen, oder der spezifischen Kriterien für die Ernennung des für die Verarbeitung Verantwortlichen;

e)  den Kategorien entsprechend bevollmächtigter Mitarbeiter der zuständigen Behörden für die Verarbeitung der personenbezogenen Daten;

f)  dem bei der Verarbeitung einzuhaltende Verfahren;

g)  den möglichen Verwendungszwecken der personenbezogenen Daten;

h)  den Grenzen des Ermessensspielraums der zuständigen Behörden hinsichtlich der Verarbeitungstätigkeit. [Abänd. 67]

Artikel 7a

Weiterverarbeitung zu unvereinbaren Zwecken

(1)  Die Mitgliedstaaten sorgen dafür, dass personenbezogene Daten nur dann für einen anderen als die in Artikel 1 Absatz 1 genannten Zwecke, der unvereinbar ist mit den Zwecken, zu denen die Daten ursprünglich erhoben worden sind, weiter verarbeitet werden, wenn und soweit:

a)  der Zweck in einer demokratischen Gesellschaft unbedingt erforderlich und verhältnismäßig ist und im Unionsrecht oder im mitgliedstaatlichen Recht für einen rechtmäßigen, klar definierten und spezifischen Zweck vorgesehen ist,

b)  die Verarbeitung streng auf die notwendige Zeit für den spezifischen Datenverarbeitungsvorgang begrenzt wird,

c)  eine weitere Verwendung für andere Zwecke untersagt ist.

Vor einer Verarbeitung konsultiert der Mitgliedstaat die zuständige nationale Aufsichtsbehörde und führt eine Datenschutz-Folgenabschätzung durch.

(2)  Neben den Anforderungen gemäß Artikel 7 Absatz 1a muss mitgliedstaatliches Recht in Bezug auf die Genehmigung einer Weiterverarbeitung im Sinne von Absatz 1 ausdrückliche und detaillierte Bestimmungen mit mindestens folgenden Angaben enthalten:

a)  die spezifischen Zwecke und Mittel der konkreten Verarbeitung;

b)  dass der Zugang ausschließlich von entsprechend bevollmächtigten Mitarbeitern der zuständigen Behörden bei der Wahrnehmung ihrer Aufgaben genehmigt wird, wenn in einem spezifischen Fall hinreichende Gründe für die Annahme vorliegen, dass die Verarbeitung der personenbezogenen Daten maßgeblich zur Verhütung, Aufdeckung, Untersuchung und Verfolgung von Straftaten oder zur Strafvollstreckung beiträgt; und

c)  dass geeignete Garantien eingeführt werden, um dafür zu sorgen, dass Grundrechte und ‑freiheiten in Bezug auf die Verarbeitung personenbezogener Daten geschützt werden.

Die Mitgliedstaaten können vorsehen, dass der Zugang zu personenbezogenen Daten an zusätzliche Bedingungen, beispielsweise eine richterliche Genehmigung, in Übereinstimmung mit ihrem innerstaatlichen Recht geknüpft ist.

(3)  Die Mitgliedstaaten können eine Weiterverarbeitung personenbezogener Daten für historische, statistische oder wissenschaftliche Zwecke genehmigen, vorausgesetzt, sie legen angemessene Garantien fest, beispielsweise die Anonymisierung der Daten. [Abänd. 68]

Artikel 8

Verarbeitung besonderer Kategorien von personenbezogenen Daten

(1)  Die Mitgliedstaaten untersagen die Verarbeitung personenbezogener Daten, aus denen die Rasse und ethnische Herkunft, politische Meinungen, Religion oder philosophische Überzeugungen, die Gewerkschaftszugehörigkeit sexuelle Orientierung oder geschlechtliche Identität, die Zugehörigkeit zu und Aktivitäten in Gewerkschaften hervorgehen, sowie von genetischen Daten oder die Gesundheit oder das Sexualleben betreffenden Daten.

(2)  Absatz 1 gilt nicht in folgenden Fällen:

a)  Die Verarbeitung ist durch eine Vorschrift gestattet unbedingt notwendig und verhältnismäßig für die Erfüllung einer Aufgabe, die geeignete Garantien im öffentlichen Interesse von den zuständigen Behörden zu den in Artikel 1 Absatz 1 genannten Zwecken, auf der Grundlage von Unionsrecht oder mitgliedstaatlichem Recht ausgeführt wird, das spezifische und angemessene Maßnahmen vorsieht, um die Wahrung der berechtigten Interessen der betroffenen Personen zu garantieren, einschließlich einer spezifischen Genehmigung einer Justizbehörde, wenn dies im innerstaatlichen Recht vorgesehen ist; oder;

b)  die Verarbeitung ist zur Wahrung lebenswichtiger wesentlicher Interessen der betroffenen Person oder einer anderen Person erforderlich oder

c)  die Verarbeitung bezieht sich auf Daten, die die betroffene Person offenkundig öffentlich gemacht hat, sofern diese im Einzelfall für den betreffenden Zweck relevant und unbedingt notwendig sind. [Abänd. 69]

Artikel 8a

Verarbeitung genetischer Daten zum Zwecke einer strafrechtlichen Ermittlung oder eines Gerichtsverfahrens

(1)  Die Mitgliedstaaten sehen vor, dass genetische Daten nur zur Feststellung einer genetischen Verbindung im Rahmen der Beweiserhebung zur Verhinderung einer Gefahr für die öffentliche Sicherheit oder zur Verhinderung der Verübung einer konkreten Straftat verarbeitet werden dürfen. Genetische Daten dürfen nicht zur Feststellung anderer Merkmale, die unter Umständen eine genetische Verbindung aufweisen, verarbeitet werden.

(2)  Die Mitgliedstaaten sehen vor, dass genetische Daten oder aus der Analyse dieser Daten gewonnene Informationen nur so lange gespeichert werden dürfen, wie es für die Zwecke, für die die Daten verarbeitet werden, erforderlich ist und wenn die betroffene Person schwere Straftaten gegen das Leben, die Unversehrtheit oder Sicherheit von Personen begangen hat, wobei die Daten und Informationen strikten Speicherfristen, die im mitgliedstaatlichen Recht festzulegen sind, unterliegen.

(3)  Die Mitgliedstaaten stellen sicher, dass genetische Daten oder aus der Analyse dieser Daten gewonnene Informationen nur für längere Zeiträume gespeichert werden, wenn die genetischen Daten keiner Einzelperson zugeordnet werden können, insbesondere wenn die Daten an einem Tatort sichergestellt wurden. [Abänd. 70]

Artikel 9

Auf Profiling und automatischer Datenverarbeitung basierende Maßnahmen

(1)  Die Mitgliedstaaten legen fest, dass Maßnahmen, die eine nachteilige Rechtsfolge für die betroffene Person haben oder sie erheblich beeinträchtigen und die ausschließlich vollständig oder teilweise aufgrund einer automatisierten Verarbeitung von personenbezogenen Daten zum Zwecke der Bewertung einzelner Aspekte ihrer Person ergehen, verboten sind, es sei denn, dies ist durch ein Gesetz erlaubt, das Garantien zur Wahrung der berechtigten Interessen der betroffenen Person festlegt.

(2)  Die automatisierte Verarbeitung personenbezogener Daten zum Zwecke der Auswertung bestimmter persönlicher Aspekte der betroffenen Person darf sich nicht ausschließlich auf die in Artikel 8 genannten besonderen Kategorien personenbezogener Daten stützen.

(2a)  Die automatisierte Verarbeitung personenbezogener Daten zum Zwecke des Herausgreifens einer betroffenen Person ohne anfänglichen Verdacht, dass die betroffene Person eine Straftat begangen hat oder begehen wird, ist nur dann rechtmäßig, sofern dies für die Untersuchung einer schweren Straftat oder die Verhütung einer eindeutigen, unmittelbaren und durch faktische Hinweise belegten Gefahr für die öffentliche Sicherheit, die Existenz des Staates oder das Leben von Personen unbedingt notwendig ist.

(2b)  Ein Profiling, das beabsichtigt oder unbeabsichtigt zur Folge hat, dass Menschen aufgrund von Rasse, ethnischer Herkunft, politischer Überzeugung, Religion oder Weltanschauung, Mitgliedschaft in einer Gewerkschaft, Geschlecht oder sexueller Orientierung diskriminiert werden, oder das beabsichtigt oder unbeabsichtigt zu Maßnahmen führt, die eine solche Wirkung haben, ist in allen Fällen untersagt.[Abänd. 71]

Artikel 9a

Allgemeine Grundsätze für die Rechte der betroffenen Person

(1)  Die Mitgliedstaaten sorgen dafür, dass die Grundlage des Datenschutzes klare und eindeutige Rechte der betroffenen Person bilden, die von dem für die Verarbeitung Verantwortlichen zu achten sind. Mit dieser Richtlinie sollen diese Rechte gestärkt, geklärt, gewährleistet und erforderlichenfalls kodifiziert werden.

(2)  Die Mitgliedstaaten sorgen dafür, dass zu diesen Rechten unter anderem die Bereitstellung klarer und leicht verständlicher Informationen über die Verarbeitung ihrer personenbezogenen Daten, das Recht auf Zugang zu ihren personenbezogenen Daten, auf Berichtigung und Löschung ihrer personenbezogenen Daten, das Recht auf Erhalt von Daten, das Recht auf Beschwerde bei der zuständigen Aufsichtsbehörde und Klageerhebung sowie das Recht auf Ersatz von Schäden, die aus rechtswidriger Verarbeitung entstehen, gehören. Die Ausübung dieser Rechte darf grundsätzlich mit keinen Kosten verbunden sein. Der für die Verarbeitung Verantwortliche hat die Anträge der betroffenen Personen innerhalb einer angemessenen Frist zu bearbeiten. [Abänd. 72]

KAPITEL III

RECHTE DER BETROFFENEN PERSON

Artikel 10

Modalitäten für die Ausübung der Rechte der betroffenen Person

(1)  Die Mitgliedstaaten tragen dafür Sorge, dass der für die Verarbeitung Verantwortliche alle vertretbaren Schritte unternimmt, um in Bezug auf die Verarbeitung personenbezogener Daten und die der betroffenen Person zustehenden Rechte prägnante, nachvollziehbare, klare und für jedermann leicht zugängliche Strategien zu verfolgen verfolgt.

(2)  Die Mitgliedstaaten legen fest, dass der für die Verarbeitung Verantwortliche der betroffenen Person alle Informationen und Mitteilungen zur Verarbeitung personenbezogener Daten in verständlicher Form unter Verwendung einer klaren, einfachen Sprache, insbesondere dann, wenn sich die Informationen an ein Kind richten, zur Verfügung stellt.

(3)  Die Mitgliedstaaten tragen dafür Sorge, dass der für die Verarbeitung Verantwortliche alle zumutbaren Schritte unternimmt, um Verfahren für die Bereitstellung der Informationen gemäß Artikel 11 und für die Ausübung der den betroffenen Personen gemäß den Artikeln 12 bis 17 zustehenden Rechte einzuführen einführt. Im Falle der automatischen Verarbeitung personenbezogener Daten sorgt der für die Verarbeitung Verantwortliche dafür, dass die Anträge elektronisch gestellt werden können.

(4)  Die Mitgliedstaaten tragen dafür Sorge, dass der für die Verarbeitung Verantwortliche die betroffene Person ohne unangemessene unangemessene Verzögerung und spätestens innerhalb eines Monats nach Antragseingang von den Maßnahmen in Kenntnis setzt, die im Zusammenhang mit etwaigen Anträgen getroffen wurden. Die Unterrichtung hat schriftlich zu erfolgen. Erfolgt die Antragstellung in elektronischer Form, so hat die Unterrichtung in elektronischer Form zu erfolgen.

(5)  Die Mitgliedstaaten legen fest, dass die Unterrichtung und jegliche im Zusammenhang mit einem Antrag nach den Absätzen 3 und 4 getroffene Maßnahme des für die Verarbeitung Verantwortlichen kostenfrei ist. Bei missbräuchlichen offenkundig unverhältnismäßigen Anträgen, und besonders im Fall ihrer Häufung oder ihres zu großen Umfangs oder Volumens, kann der für die Verarbeitung Verantwortliche angemessenes ein Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Durchführung der beantragten Maßnahme verlangen oder die beantragte Maßnahme unterlassen berücksichtigt werden. In diesem Fall trägt der für die Verarbeitung Verantwortliche die Beweislast offenkundig unverhältnismäßigen für den missbräuchlichen Charakter des Antrags.

(5a)  . Die Mitgliedstaaten können festlegen, ob die betroffene Person diese Rechte direkt gegenüber dem für die Verarbeitung Verantwortlichen oder über die zuständige einzelstaatliche Aufsichtsbehörde geltend machen kann. Wurde die Aufsichtsbehörde auf Antrag der betroffenen Person tätig, unterrichtet sie die betroffene Person über die durchgeführten Überprüfungen. [Abänd. 73]

Artikel 11

Information der betroffenen Person

(1)  Die Mitgliedstaaten tragen dafür Sorge, dass der für die Verarbeitung Verantwortliche alle geeigneten Maßnahmen ergreift, um einer Person, von der personenbezogene Daten erhoben werden, zumindest Folgendes mitzuteilen mitteilt:

a)  den Namen sowie die Kontaktdaten des für die Verarbeitung Verantwortlichen und des Datenschutzbeauftragten,

b)  die Rechtsgrundlage und die Zwecke der Verarbeitung, für die die personenbezogenen Daten bestimmt sind,

c)  die Speicherfrist,

d)  das Bestehen eines Rechts auf Auskunft, Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten und auf Einschränkung der Verarbeitung dieser Daten durch den für die Verarbeitung Verantwortlichen,

e)  das Bestehen eines Beschwerderechts bei der Aufsichtsbehörde gemäß Artikel 39 sowie deren Kontaktdaten,

f)  die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten, auch der Empfänger in Drittländern oder in internationalen Organisationen, und die Angabe, wer nach dem Recht des betreffenden Drittlandes oder den Regeln der betreffenden internationalen Organisation befugt ist, auf die Daten zuzugreifen, das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission, oder im Falle der in Artikel 35 oder 36 genannten Übermittlungen die Mittel, um eine Kopie der angemessenen Garantien, die für die Übermittlung verwendet wurden, zu erhalten,

fa)  falls der für die Verarbeitung Verantwortliche Daten gemäß Artikel 9 Absatz 1 verarbeitet, Informationen über die Verarbeitung für die in Artikel 9 Absatz 1 beschriebene Maßnahme sowie die beabsichtigte Wirkung dieser Verarbeitung auf die betroffene Person, Angaben über die dem Profiling zugrunde liegende Methode und das Recht auf persönliche Prüfung,

fb)  Informationen in Bezug auf zum Schutz personenbezogener Daten vorgenommene Sicherheitsmaßnahmen, [Abänd. 74]

g)  sonstige Informationen, soweit diese die unter Berücksichtigung der spezifischen Umstände, unter denen die personenbezogenen Daten verarbeitet werden, notwendig sind, um gegenüber der betroffenen Person eine Verarbeitung nach Treu und Glauben zu gewährleisten.

(2)  Werden die personenbezogenen Daten bei der betroffenen Person erhoben, teilt der für die Verarbeitung Verantwortliche dieser Person neben den in Absatz 1 genannten Informationen außerdem mit, ob die Bereitstellung der Daten obligatorisch oder freiwillig ist und welche mögliche Folgen die Zurückhaltung der Daten hätte.

(3)  Der für die Verarbeitung Verantwortliche erteilt die Auskünfte gemäß Absatz 1

a)  zum Zeitpunkt der Erhebung der personenbezogenen Daten bei der betroffenen Person oder

b)  im Fall, die Daten werden nicht bei der betroffenen Person erhoben, zum Zeitpunkt der Erfassung oder innerhalb einer angemessenen Frist nach der Erhebung unter Berücksichtigung der jeweiligen Umstände der Verarbeitung.

(4)  Die Mitgliedstaaten dürfen Rechtsvorschriften erlassen, die die Unterrichtung der betroffenen Person im Einzelfall zu folgenden Zwecken in einem solchen Umfang und so lange hinauszögern oder, einschränken oder unterbinden, wie diese teilweise oder vollständige Einschränkung in einer demokratischen Gesellschaft notwendig und verhältnismäßig ist und sofern den Grundrechten und den berechtigten Interessen der betroffenen Person Rechnung getragen wurde:

a)  zur Gewährleistung, dass behördliche oder gerichtliche Ermittlungen, Untersuchungen oder Verfahren nicht behindert werden;

b)  zur Gewährleistung, dass die Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten nicht beeinträchtigt oder dass strafrechtliche Sanktionen vollstreckt werden;

c)  zum Schutz der öffentlichen Sicherheit;

d)  zum Schutz der nationalen Sicherheit;

e)  zum Schutz der Rechte und Freiheiten anderer.

(5)  Die Mitgliedstaaten sehen vor, dass der für die Verarbeitung Verantwortliche in jedem Einzelfall im Rahmen einer konkreten und individuellen Untersuchung feststellt, ob eine teilweise oder vollständige Einschränkung des Rechts auf Informationszugang aus einem der Gründe gemäß Absatz 4 gilt. Die Mitgliedstaaten können zudem die Datenverarbeitungskategorien festlegen, für die die Ausnahmeregelung nach Absatz 4 Buchstaben a, b, c und d vollständig oder teilweise zur Anwendung kommt. [Abänd. 74]

Artikel 12

Auskunftsrecht der betroffenen Person

(1)  Die Mitgliedstaaten legen fest, dass die betroffene Person das Recht hat, von dem für die Verarbeitung Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden oder nicht. Werden personenbezogene Daten verarbeitet, teilt der für die Verarbeitung Verantwortliche Folgendes mit, soweit diese Angaben nicht bereits übermittelt worden sind:

—a)  diejenigen personenbezogenen Daten, die Gegenstand der Verarbeitung sind, sowie alle verfügbaren Informationen über die Herkunft der Daten und, falls zutreffend, verständliche Informationen über die einer automatisierten Verarbeitung zugrunde liegende Methode;

—aa)  die Tragweite der Verarbeitung und die mit ihr angestrebten Auswirkungen, zumindest im Fall der Maßnahmen gemäß Artikel 9;

a)  die Verarbeitungszwecke sowie die Rechtsgrundlage für die Verarbeitung,

b)  die Kategorien personenbezogener Daten, die verarbeitet werden,

c)  die Empfänger oder Arten von Empfängern, an die die personenbezogenen Daten weitergegeben wurden, speziell bei Empfängern in Drittländern,

d)  die Speicherfrist,

e)  das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten und auf Einschränkung der Verarbeitung dieser Daten durch den für die Verarbeitung Verantwortlichen,

f)  das Bestehen eines Beschwerderechts bei der Aufsichtsbehörde sowie deren Kontaktdaten,

g)  diejenigen personenbezogenen Daten, die Gegenstand der Verarbeitung sind, sowie alle verfügbaren Informationen über die Herkunft der Daten.. Stellt die betroffene Person den Antrag in elektronischer Form, ist sie auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt. [Abänd. 75]

(2)  Die Mitgliedstaaten legen fest, dass die betroffene Person das Recht hat, von dem für die Verarbeitung Verantwortlichen eine Kopie der verarbeiteten personenbezogenen Daten zu verlangen.

Artikel 13

Einschränkung des Auskunftsrechts

(1)  Die Mitgliedstaaten können Rechtsvorschriften erlassen, die zu nachstehenden Zwecken das Recht der betroffenen Person auf Auskunft, abhängig vom konkreten Fall, teilweise oder vollständig einschränken, soweit und solange diese teilweise oder vollständige Einschränkung in einer demokratischen Gesellschaft unbedingt notwendig und verhältnismäßig ist und den Grundrechten sowie den berechtigten Interessen der betroffenen Person Rechnung getragen wurde:

a)  zur Gewährleistung, dass behördliche oder gerichtliche Ermittlungen, Untersuchungen oder Verfahren nicht behindert werden;

b)  zur Gewährleistung, dass die Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder die Strafvollstreckung nicht beeinträchtigt werden;

c)  zum Schutz der öffentlichen Sicherheit;

d)  zum Schutz der nationalen Sicherheit;

e)  zum Schutz der Rechte und Freiheiten anderer.

(2)  Die Mitgliedstaaten sehen vor, dass der für die Verarbeitung Verantwortliche in jedem Einzelfall im Rahmen einer konkreten und individuellen Untersuchung prüft, ob eine teilweise oder vollständige Einschränkung des Rechts auf Informationszugang aus einem der Gründe gemäß Absatz 1 gilt. Die Mitgliedstaaten können zudem gesetzlich Datenverarbeitungskategorien festlegen, für die die Ausnahmeregelung nach Absatz 1 Buchstaben a bis d vollständig oder teilweise zur Anwendung kommt.

(3)  Für die in den Absätzen 1 und 2 genannten Fälle legen die Mitgliedstaaten fest, dass der für die Verarbeitung Verantwortliche die betroffene Person unverzüglich schriftlich über die Verweigerung der Auskunft und die Gründe hierfür beziehungsweise die Einschränkung der Auskunft sowie über die Möglichkeit unterrichtet, bei der Aufsichtsbehörde Beschwerde einzulegen oder den Rechtsweg zu beschreiten. Von der Angabe der sachlichen oder rechtlichen Gründe für die Entscheidung kann abgesehen werden, wenn dies einem der in Absatz 1 genannten Zwecke zuwiderliefe.

(4)  Die Mitgliedstaaten tragen dafür Sorge, dass der für die Verarbeitung Verantwortliche die Überprüfung nach Absatz 2 sowie die Gründe für die Unterlassung Einschränkung der Angabe der sachlichen oder rechtlichen Gründe für die Entscheidung dokumentiert. Diese Angaben sind der einzelstaatlichen Aufsichtsbehörde zur Verfügung zu stellen. [Abänd. 76]

Artikel 14

Modalitäten der Wahrnehmung des Auskunftsrechts

(1)  Die Mitgliedstaaten legen fest, dass die betroffene Person besonders in den in Artikel  12 und 13 genannten Fällen jederzeit das Recht hat, die Aufsichtsbehörde um Prüfung der Rechtmäßigkeit der Verarbeitung zu ersuchen.

(2)  Die Mitgliedstaaten legen fest, dass der für die Verarbeitung Verantwortliche die betroffene Person über ihr Recht auf Befassung der Aufsichtsbehörde gemäß Absatz 1 unterrichtet.

(3)  Nimmt die Aufsichtsbehörde das Recht nach Absatz 1 wahr, sollte sie die betroffene Person mindestens darüber informieren, ob sie alle erforderlichen Überprüfungen vorgenommen und was die Prüfung der Rechtmäßigkeit der fraglichen Verarbeitung erbracht hat. Die Aufsichtsbehörde hat zudem die betroffene Person über ihr Recht auf einen Rechtsbehelf zu informieren.

(3a)  Die Mitgliedstaaten können festlegen, ob die betroffene Person diese Rechte direkt gegenüber dem für die Verarbeitung Verantwortlichen oder über die zuständige einzelstaatliche Aufsichtsbehörde geltend machen kann.

(3b)  Die Mitgliedstaaten sorgen dafür, dass dem für die Verarbeitung Verantwortlichen angemessenen Fristen zur Verfügung stehen, um auf den Antrag der betroffenen Person in Bezug auf ihr Auskunftsrecht zu antworten. [Abänd. 77]

Artikel 15

Recht auf Berichtigung

(1)  Die Mitgliedstaaten sehen vor, dass die betroffene Person das Recht hat, von dem für die Verarbeitung Verantwortlichen die Berichtigung oder Vervollständigung von sie betreffenden unzutreffenden oder unvollständigen personenbezogenen Daten in Form einer Vervollständigung oder eines Korrigendums zu verlangen. Die betroffene Person hat das Recht, die Vervollständigung unvollständiger personenbezogener Daten, besonders in Form eines Korrigendums, zu verlangen.

(2)  Die Mitgliedstaaten legen fest, dass der für die Verarbeitung Verantwortliche die betroffene Person schriftlich über die Verweigerung der Berichtigung oder Vervollständigung und die Gründe hierfür sowie über die Möglichkeit unterrichtet, bei der Aufsichtsbehörde Beschwerde einzulegen oder den Rechtsweg zu beschreiten.

(2a)  Die Mitgliedstaaten tragen dafür Sorge, dass der für die Verarbeitung Verantwortliche jeden Empfänger, der Zugang zu den Daten hat, über die Berichtigung informiert, es sei denn, dies erweist als unmöglich oder bedeutet einen unverhältnismäßigen Aufwand.

(2b)  Die Mitgliedstaaten sehen vor, dass der für die Verarbeitung Verantwortliche die Berichtigung von unzutreffenden personenbezogenen Daten den Dritten, von denen die falschen Daten stammten, mitteilt.

(2c)  Die Mitgliedstaaten können festlegen, dass die betroffene Person diese Rechte auch über die zuständige einzelstaatliche Aufsichtsbehörde geltend machen kann. [Abänd. 78]

Artikel 16

Recht auf Löschung

(1)  Die Mitgliedstaaten sehen vor, dass die betroffene Person das Recht hat, von dem für die Verarbeitung Verantwortlichen die Löschung von sie betreffenden personenbezogenen Daten zu verlangen, wenn die Verarbeitung nicht mit den Vorschriften zur Umsetzung von Artikel 4 Buchstaben a bis e sowie von Artikel, 6, 7 und 8 dieser Richtlinie vereinbar ist.

(2)  Der für die Verarbeitung Verantwortliche nimmt die Löschung unverzüglich vor. Der für die Verarbeitung Verantwortliche unterlässt auch die Weiterverbreitung dieser Daten.

(3)  Anstatt die personenbezogenen Daten zu löschen, markiert kann der für die Verarbeitung Verantwortliche diese deren Verarbeitung beschränken, wenn

a)  ihre Richtigkeit von der betroffenen Person bestritten wird, und zwar für eine Dauer, die es dem für die Verarbeitung Verantwortlichen ermöglicht, die Richtigkeit zu überprüfen;

b)  die personenbezogenen Daten für Beweiszwecke oder den Schutz wesentlicher Interessen der betroffenen Person oder einer anderen Person weiter aufbewahrt werden müssen;

c)  die betroffene Person Einspruch gegen die Löschung erhebt und stattdessen deren eingeschränkte Nutzung fordert.

(3a)  Unterliegt die Verarbeitung personenbezogener Daten einer Beschränkung gemäß Absatz 3, unterrichtet der für die Verarbeitung Verantwortliche die betroffene Person, bevor er die Beschränkung aufhebt.

(4)  Die Mitgliedstaaten legen fest, dass der für die Verarbeitung Verantwortliche die betroffene Person schriftlich über die Verweigerung der Löschung oder der Markierung der die Beschränkung Verarbeitung und die Gründe hierfür sowie über die Möglichkeit unterrichtet, bei der Aufsichtsbehörde Beschwerde einzulegen oder den Rechtsweg zu beschreiten.

(4a)  Die Mitgliedstaaten tragen dafür Sorge, dass der für die Verarbeitung Verantwortliche die Empfänger, denen die Daten übermittelt wurden, über die Löschung oder Beschränkung gemäß Absatz 1 informiert, es sei denn, dies erweist als unmöglich oder bedeutet einen unverhältnismäßigen Aufwand. Der für die Verarbeitung Verantwortliche unterrichtet die betroffene Person über diese Dritten.

(4b)  Die Mitgliedstaaten können festlegen, ob die betroffene Person diese Rechte direkt gegenüber dem für die Verarbeitung Verantwortlichen oder über die zuständige einzelstaatliche Aufsichtsbehörde geltend machen kann.i [Abänd. 79]

Artikel 17

Rechte der betroffenen Person in strafrechtlichen Ermittlungen und in Strafverfahren

Die Mitgliedstaaten können vorsehen, dass für die Ausübung der in den Artikeln 11 bis 16 genannten Rechte auf Information, Auskunft, Berichtigung, Löschung oder Einschränkung der Verarbeitung das einzelstaatliche Strafprozessrecht zur Anwendung kommt, wenn es um personenbezogene Daten in einem Gerichtsbeschluss oder einem Gerichtsdokument geht, die in strafrechtlichen Ermittlungen und in Strafverfahren verarbeitet werden.

KAPITEL IV

FÜR DIE VERARBEITUNG VERANTWORTLICHER UND AUFTRAGSVERARBEITER

ABSCHNITT 1

ALLGEMEINE VERPFLICHTUNGEN

Artikel 18

Pflichten des für die Verarbeitung Verantwortlichen

(1)  Die Mitgliedstaaten tragen dafür Sorge, dass der für die Verarbeitung Verantwortliche sowohl zur Zeit der Festlegung der Mittel der Verarbeitung als auch zur Zeit der Verarbeitung selbst durch geeignete Strategien und Maßnahmen sicherstellt und für jeden Verarbeitungsvorgang in transparenter Art und Weise nachweisen kann, dass personenbezogene Daten in Übereinstimmung mit den nach Maßgabe dieser Richtlinie erlassenen Vorschriften verarbeitet werden.

(2)  Die in Absatz 1 genannten Maßnahmen umfassen insbesondere

a)  die in Artikel 23 genannte Dokumentation;

aa)  die Durchführung einer Datenschutz-Folgenabschätzung gemäß Artikel 25a;

b)  die Umsetzung der nach Artikel 26 geltenden Anforderungen in Bezug auf die vorherige Zurateziehung;

c)  die Umsetzung der in Artikel 27 vorgesehenen Vorkehrungen für die Datensicherheit;

d)  die Benennung eines Datenschutzbeauftragten gemäß Artikel 30.

da)  gegebenenfalls Ausarbeitung und Implementierung spezifischer Garantien für die Verarbeitung personenbezogener Daten bei Kindern.

(3)  Der für die Verarbeitung Verantwortliche setzt geeignete Mechanismen zur Überprüfung der Wirksamkeit der in Absatz 1 genannten Maßnahmen ein. Die Überprüfung Angemessenheit und wird von unabhängigen internen oder externen Prüfern durchgeführt, wenn dies verhältnismäßig ist. [Abänd. 80]

Artikel 19

Datenschutz durch Technik und durch datenschutzfreundliche Voreinstellungen

(1)  Die Mitgliedstaaten legen fest tragen dafür Sorge, dass der für die Verarbeitung Verantwortliche und gegebenenfalls der Auftragsverarbeiter unter Berücksichtigung des Stands der Technik, der aktuellen technischen Kenntnisse, bewährter internationaler Verfahren und der bei der Durchführung entstehenden Kosten von der Verarbeitung ausgehenden Risiken sowohl zum Zeitpunkt der Festlegung der Zwecke und Verarbeitungsmittel als auch zum Zeitpunkt der Verarbeitung geeignete und verhältnismäßige technische und organisatorische Maßnahmen ergreift und Verfahren durchführt, durch die sichergestellt wird, dass die Verarbeitung den Anforderungen der nach Maßgabe dieser Richtlinie erlassenen Vorschriften genügt und die Rechte der betroffenen Person gewahrt werden, insbesondere, was die in Artikel 4 aufgeführten Grundsätze betrifft. Beim Datenschutz durch Technik wird dem gesamten Lebenszyklusmanagement personenbezogener Daten von der Erhebung über die Verarbeitung bis zur Löschung besondere Aufmerksamkeit geschenkt und der Schwerpunkt systematisch auf umfassende Verfahrensgarantien hinsichtlich der Richtigkeit, Vertraulichkeit, Vollständigkeit, physischen Sicherheit und Löschung personenbezogener Daten gelegt. Hat der für die Verarbeitung Verantwortliche eine Datenschutz-Folgenabschätzung gemäß Artikel 25a vorgenommen, werden die entsprechenden Ergebnisse bei der Entwicklung dieser Maßnahmen und Verfahren berücksichtigt.

(2)  Der für die Verarbeitung Verantwortliche setzt Mechanismen ein stellt sicher, durch die sichergestellt wird, dass grundsätzlich nur solche personenbezogenen Daten verarbeitet werden, die für die spezifischen Zwecke der Verarbeitung benötigt werden, und dass vor allem nicht mehr personenbezogene Daten zusammengetragen, vorgehalten oder verbreitet werden, als für diese Zwecke unbedingt nötig ist, und diese Daten auch nicht länger als für diese Zwecke unbedingt erforderlich gespeichert werden. Diese Verfahren müssen insbesondere sicherstellen, dass personenbezogene Daten grundsätzlich nicht einer unbestimmten Zahl von natürlichen Personen zugänglich gemacht werden und dass die betroffenen Personen in der Lage sind, die Verbreitung ihrer personenbezogenen Daten zu kontrollieren. [Abänd. 81]

Artikel 20

Gemeinsam für die Verarbeitung Verantwortliche

(1)  Die Mitgliedstaaten schreiben vor, dass in allen Fällen, in denen ein für die Verarbeitung Verantwortlicher die Zwecke, die Bedingungen und die Mittel der Verarbeitung personenbezogener Daten gemeinsam mit anderen Stellen und Personen festlegt, diese gemeinsam für die Verarbeitung Verantwortlichen untereinander rechtsverbindlich vereinbaren, wer von ihnen welche der gemäß den nach Maßgabe dieser Richtlinie erlassenen Vorschriften zu erfüllenden Aufgaben, insbesondere in Bezug auf die Verfahren und Mechanismen für die Wahrnehmung der Rechte der betroffenen Person, erfüllt.

(2)  Sofern die betroffenen Person nicht darüber unterrichtet worden ist, wer der gemeinsam für die Verarbeitung Verantwortlichen im Sinne des Absatzes 1 verantwortlich ist, kann die betroffene Person ihre im Rahmen dieser Richtlinie geltenden Rechte in Bezug auf und gegen zwei oder mehrere gemeinsam für die Verarbeitung Verantwortliche ausüben. [Abänd. 82]

Artikel 21

Auftragsverarbeiter

(1)  Die Mitgliedstaaten legen fest, dass der für die Verarbeitung Verantwortliche für alle in seinem Auftrag durchzuführenden Verarbeitungsvorgänge einen Auftragsverarbeiter auszuwählen hat, der hinreichende Garantien dafür bietet, dass die betreffenden technischen und organisatorischen Maßnahmen und Verfahren so durchgeführt werden, dass die Verarbeitung im Einklang mit den nach Maßgabe dieser Richtlinie erlassenen Vorschriften erfolgt und dass der Schutz der Rechte der betroffenen Person sichergestellt wird, insbesondere in Bezug auf die technischen Sicherheitsvorkehrungen und organisatorischen Maßnahmen, die die durchzuführende Verarbeitung bestimmen, und dass die Vereinbarkeit mit diesen Vorkehrungen und Maßnahmen sichergestellt wird. [Abänd. 83]

(2)  Die Mitgliedstaaten legen fest, dass die Durchführung einer Verarbeitung durch einen Auftragsverarbeiter auf der Grundlage eines Vertrags oder eines Rechtsakts zu erfolgen hat, durch den der Auftragsverarbeiter an den für die Verarbeitung Verantwortlichen gebunden ist und in dem vor allem insbesondere vorgesehen ist, dass der Auftragsverarbeiter, insbesondere in Fällen, in denen eine Übermittlung der personenbezogenen Daten nicht zulässig ist,

a)  nur auf Weisung des für die Verarbeitung Verantwortlichen handelt. tätig wird;

b)  nur Mitarbeiter beschäftigt, die ihre Zustimmung zu einer Vertraulichkeitsverpflichtung gegeben haben oder die gesetzlich zur Vertraulichkeit verpflichtet sind;

c)  alle in Artikel 27 genannten erforderlichen Maßnahmen ergreift;

d)  einen anderen Auftragsverarbeiter nur mit Erlaubnis des für die Verarbeitung Verantwortlichen hinzuzieht und den für die Verarbeitung Verantwortlichen von dem Vorhaben, einen anderen Auftragsverarbeiter hinzuzuziehen, rechtzeitig in Kenntnis setzt, um es dem für die Verarbeitung Verantwortlichen zu ermöglichen, Widerspruch zu erheben;

e)  soweit es verarbeitungsbedingt möglich ist, in Absprache mit dem für die Verarbeitung Verantwortlichen die notwendigen technischen und organisatorischen Voraussetzungen dafür schafft, dass der für die Verarbeitung Verantwortliche seine Pflicht erfüllen kann, Anträgen auf Wahrnehmung der in Kapitel III genannten Rechte der betroffenen Person nachzukommen;

f)  den für die Verarbeitung Verantwortlichen bei der Einhaltung der in den Artikeln 25 bis 29 genannten Pflichten unterstützt;

g)  nach Abschluss der Verarbeitung dem für die Verarbeitung Verantwortlichen sämtliche Ergebnisse zurückgibt, die personenbezogenen Daten auf keine andere Weise weiterverarbeitet und bestehende Kopien löscht, es sei denn, in Rechtsvorschriften der Union oder der Mitgliedstaaten ist die Speicherung der Daten vorgesehen;

h)  dem für die Verarbeitung Verantwortlichen und der Aufsichtsbehörde alle erforderlichen Informationen für die Überprüfung der Einhaltung der in diesem Artikel niedergelegten Pflichten zur Verfügung stellt;

i)  den Grundsatz des Datenschutzes durch Technik und durch datenschutzfreundliche Voreinstellungen berücksichtigt.

(2a)  Der für die Verarbeitung Verantwortliche und der Auftragsverarbeiter dokumentieren schriftlich die Anweisungen des für die Verarbeitung Verantwortlichen und die in Absatz 2 aufgeführten Pflichten des Auftragsverarbeiters.

(3)  Jeder Auftragsverarbeiter, der personenbezogene Daten auf eine andere als die ihm von dem für die Verarbeitung Verantwortlichen bezeichnete Weise verarbeitet, gilt für diese Verarbeitung als für die Verarbeitung Verantwortlicher und unterliegt folglich den in Artikel 20 festgelegten Bestimmungen für gemeinsam für die Verarbeitung Verantwortliche.[Abänd. 83]

Artikel 22

Verarbeitung unter der Aufsicht des für die Verarbeitung Verantwortlichen und des Auftragsverarbeiters

(1)  Die Mitgliedstaaten legen fest, dass Personen, die dem für die Verarbeitung Verantwortlichen oder dem Auftragsverarbeiter unterstellt sind und Zugang zu personenbezogenen Daten haben, sowie der Auftragsverarbeiter selbst personenbezogene Daten nur auf Weisung des für die Verarbeitung Verantwortlichen oder nur dann verarbeiten dürfen, wenn das Unionsrecht oder das mitgliedstaatliche Recht dies vorschreibt.

(1a)  Wenn der Auftragsverarbeiter in Bezug auf die Zwecke, Mittel oder Methoden der Datenverarbeitung Entscheidungsbefugnis besitzt oder erhält oder wenn er nicht ausschließlich auf Weisung des für die Verarbeitung Verantwortlichen handelt, gilt er als gemeinsam für die Verarbeitung Verantwortlicher gemäß Artikel 20. [Abänd. 84]

Artikel 23

Dokumentation

(1)  Die Mitgliedstaaten legen fest, dass jeder für die Verarbeitung Verantwortliche und jeder Auftragsverarbeiter alle ihrer Zuständigkeit unterliegenden Verarbeitungssysteme und –verfahren dokumentieren.

(2)  Die Dokumentation enthält mindestens folgende Informationen:

a)  den Namen und die Kontaktdaten des für die Verarbeitung Verantwortlichen (oder etwaiger gemeinsam für die Verarbeitung Verantwortlicher) oder des Auftragsverarbeiters;

aa)  bei gemeinsam für die Verarbeitung Verantwortlichen eine rechtsverbindliche Vereinbarung; eine Liste der Auftragsverarbeiter und der durch diese ausgeführten Aufgaben;

b)  die Verarbeitungszwecke;

ba)  Angaben zu den Teilen der Organisation des für die Verarbeitung Verantwortlichen oder des Auftragsverarbeiters, die mit der Verarbeitung der personenbezogenen Daten zu einem bestimmten Zweck beauftragt wurden;

bb)  eine Beschreibung der Kategorie(n) der betroffenen Personen und der diesbezüglichen Daten oder Datenkategorien;

c)  die Empfänger oder Arten von Empfängern der personenbezogenen Daten;

ca)  gegebenenfalls Informationen über die Existenz von Profiling, von auf Profiling basierenden Maßnahmen sowie von Mechanismen, um gegen Profiling Einspruch zu erheben;

cb)  verständliche Informationen über die Gründe einer automatischen Verarbeitung;

d)  Angaben über etwaige Datenübermittlungen in Drittländer oder an internationale Organisationen einschließlich deren Namen. sowie Angaben über den Rechtsgrund für die Übermittlung der Daten; wird eine Übermittlung auf der Grundlage von Artikel 35 oder 36 dieser Richtlinie durchgeführt, ist dafür eine umfassende Erklärung abzugeben;

da)  die Fristen für die Löschung der verschiedenen Datenkategorien;

db)  die Ergebnisse der Prüfung von Maßnahmen gemäß Artikel 18 Absatz 1;

dc)  Angaben über die Rechtsgrundlage der Verarbeitung, für die die Daten bestimmt sind.

(3)  Der für die Verarbeitung Verantwortliche sowie der Auftragsverarbeiter stellen die gesamte Dokumentation der Aufsichtsbehörde auf Anforderung zur Verfügung. [Abänd. 85]

Artikel 24

Aufzeichnung von Vorgängen

(1)  Die Mitgliedstaaten stellen sicher, dass mindestens über folgende Verarbeitungsvorgänge Buch geführt wird: Erhebung, Veränderung, Abfrage, Weitergabe, Kombination oder Löschung. Den Aufzeichnungen über Abfragen und Weiterleitungen müssen der Zweck, das Datum und die Uhrzeit dieser Vorgänge und so weit wie möglich die Identität der Person zu entnehmen sein, die die personenbezogenen Daten abgefragt oder weitergeleitet hat, sowie die Identität des Empfängers solcher Daten.

(2)  Die Aufzeichnungen dürfen nur zum Zwecke der Überprüfung der Rechtmäßigkeit der Datenverarbeitung, der Eigenüberwachung und der Sicherstellung der Integrität und Sicherheit der Daten sowie zum Zweck der Überprüfung durch den Datenschutzbeauftragten oder die Datenschutzbehörde verwendet werden.

(2a)  Der für die Verarbeitung Verantwortliche sowie der Auftragsverarbeiter stellen die Aufzeichnungen der Aufsichtsbehörde auf Anforderung zur Verfügung. [Abänd. 86]

Artikel 25

Zusammenarbeit mit der Aufsichtsbehörde

(1)  Die Mitgliedstaaten legen fest, dass der für die Verarbeitung Verantwortliche und der Auftragsverarbeiter auf Aufforderung mit der Aufsichtsbehörde bei der Erfüllung von deren Pflichten zusammenarbeiten, indem sie dieser insbesondere die in Artikel 46 Absatz 2 Buchstabe a genannten Informationen übermitteln, die sie zur Erfüllung ihrer Pflichten benötigt und den Zugang gemäß Artikel 46 Absatz 2 Buchstabe b gewähren.

(2)  Auf von der Aufsichtsbehörde im Rahmen der Ausübung ihrer Befugnisse erteilte Anordnungen gemäß Artikel 46 Absatz 1 Buchstaben a und b antworten der für die Verarbeitung Verantwortliche und der Auftragsverarbeiter der Aufsichtsbehörde binnen einer angemessenen, von der Aufsichtsbehörde festgelegten Frist. Ihre Antwort umfasst auch eine Beschreibung der im Anschluss an die Bemerkungen der Aufsichtsbehörde getroffenen Maßnahmen und ihrer Ergebnisse. [Abänd. 87]

Artikel 25a

Datenschutz-Folgenabschätzung

(1)  Die Mitgliedstaaten sehen vor, dass der für die Verarbeitung Verantwortliche oder der in seinem Auftrag handelnde Auftragsverarbeiter vor neuen Verarbeitungsvorgängen oder im Fall bereits bestehender Verarbeitungsvorgänge so früh wie möglich eine Abschätzung der Folgen der vorgesehenen Verarbeitungssysteme und –verfahren für den Schutz der personenbezogenen Daten durchführt, wenn die Verarbeitungsvorgänge aufgrund ihrer Natur, ihres Anwendungsbereichs oder ihrer Bestimmungszwecke eine konkrete Gefahr für die Rechte und Freiheiten der betroffenen Personen darstellen können.

(2)  Insbesondere die folgenden Verarbeitungsvorgänge können die in Absatz 1 genannten konkreten Gefahren darstellen:

a)  die Verarbeitung personenbezogener Daten in groß angelegten Ablagesystemen zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung;

b)  die Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Artikel 8, personenbezogener Daten von Kindern sowie von biometrischen Daten und Standortdaten zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung;

c)  die Bewertung einzelner personenbezogener Aspekte einer natürlichen Person oder zur Analyse oder Prognose insbesondere des Verhaltens der natürlichen Person, die auf automatischer Verarbeitung basiert und zu Maßnahmen führen kann, die rechtliche Wirkungen auf die Einzelperson haben oder erhebliche Auswirkungen für die Einzelperson nach sich ziehen;

d)  Überwachung öffentlich zugänglicher Bereiche, insbesondere mittels optoelektronischer Einrichtungen (Videoüberwachung); oder

e)  sonstige Verarbeitungsvorgänge, bei denen gemäß Artikel 26 Absatz 1 vorab die Aufsichtsbehörde zu Rate zu ziehen ist.

(3)  Die Abschätzung enthält zumindest Folgendes:

a)  eine systematische Beschreibung der geplanten Verarbeitungsvorgänge;

b)  eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf den Zweck;

c)  eine Bewertung der in Bezug auf die Rechte und Freiheiten der betroffenen Personen bestehenden Gefahren und die geplanten Abhilfemaßnahmen und Maßnahmen zur Minimierung der Menge der verarbeiteten personenbezogenen Daten;

d)  Sicherheitsvorkehrungen und Verfahren, durch die der Schutz personenbezogener Daten sichergestellt und der Nachweis dafür erbracht werden soll, dass die nach Maßgabe dieser Richtlinie erlassenen Vorschriften eingehalten werden, wobei den Rechten und den berechtigten Interessen der betroffenen Personen und sonstiger Betroffener Rechnung getragen wird;

e)  eine allgemeine Angabe der Fristen für die Löschung der verschiedenen Datenkategorien;

f)  gegebenenfalls eine Liste mit Angaben über geplante Datenübermittlungen in Drittländer oder an internationale Organisationen einschließlich deren Namen sowie bei den in Artikel 36 Absatz 2 genannten Datenübermittlungen ein Beleg dafür, dass geeignete Sicherheitsgarantien vorgesehen wurden;

(4)  Wenn der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter einen Datenschutzbeauftragten benannt hat, ist dieser am Verfahren der Folgenabschätzung zu beteiligen.

(5)  Die Mitgliedstaaten sehen vor, dass der für die Verarbeitung Verantwortliche in Bezug auf die geplante Verarbeitung eine öffentliche Konsultation durchführt, ohne den Schutz der öffentlichen Interessen oder die Sicherheit der Verarbeitungsvorgänge zu beeinträchtigen.

(6)  Die Folgenabschätzung ist der Öffentlichkeit leicht zugänglich zu machen, ohne den Schutz der öffentlichen Interessen oder die Sicherheit der Verarbeitungsvorgänge zu beeinträchtigen.

(7)  Der Kommission wird die Befugnis übertragen, nachdem sie den Europäischen Datenschutzausschuss um eine Stellungnahme ersucht hat, delegierte Rechtsakte nach Maßgabe von Artikel 56 zu erlassen, um die Kriterien und Bedingungen von Verarbeitungsvorgängen, die die in Absatz 1 und 2 genannten Gefahren bergen können, sowie die Anforderungen für eine Abschätzung gemäß Absatz 3, einschließlich der Skalierbarkeit, Überprüfung und Auditierbarkeit, weiter zu spezifizieren. [Abänd. 88]

Artikel 26

Vorherige Zurateziehung der Aufsichtsbehörde

(1)  Die Mitgliedstaaten tragen dafür Sorge, dass der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter vor der Verarbeitung personenbezogener Daten in neu anzulegenden Dateien die Aufsichtsbehörde zu Rate zieht, damit die Vereinbarkeit der geplanten Verarbeitung mit den nach Maßgabe dieser Richtlinie erlassenen Vorschriften sichergestellt ist und insbesondere die für die betreffenden Personen bestehenden Gefahren gemindert werden, wenn

a)  in Artikel 8 genannte besondere Kategorien von Daten verarbeitet werden aus einer Datenschutz-Folgenabschätzung nach Artikel 25a hervorgeht, dass die geplanten Verarbeitungsvorgänge aufgrund ihres Wesens, ihres Umfangs oder ihrer Zwecke erhebliche konkrete Risiken bergen können; oder

b)  wegen der Art der Verarbeitung, insbesondere der Verarbeitung mit neuen Technologien, Mechanismen die Aufsichtsbehörde eine vorherige Zurateziehung bezüglich konkreter Verarbeitungsvorgänge, welche aufgrund ihres Wesens, ihres Umfangs oder Verfahren, andernfalls spezifische Risiken ihrer Zwecke konkrete Gefahren für die Grundrechte und Grundfreiheiten der betroffenen Rechte und Freiheiten betroffener Personen, insbesondere für den Schutz ihrer personenbezogener Daten bestehen bergen können, für erforderlich hält.

(1a)  Falls die Aufsichtsbehörde im Rahmen ihrer Befugnisse feststellt, dass die geplante Verarbeitung nicht im Einklang mit den nach Maßgabe dieser Richtlinie erlassenen Vorschriften steht, insbesondere weil die Gefahren unzureichend ermittelt wurden oder eingedämmt werden, untersagt sie die geplante Verarbeitung und unterbreitet geeignete Vorschläge, wie diese Mängel beseitigt werden könnten.

(2)  Die Mitgliedstaaten können festlegen legen fest, dass die Aufsichtsbehörde nach Anhörung des Europäischen Datenschutzausschusses eine Liste der Verarbeitungsvorgänge erstellt, die der Pflicht zur vorherigen Zurateziehung nach Absatz 1 Buchstabe b unterliegen.

(2a)  Die Mitgliedstaaten sehen vor, dass der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter der Aufsichtsbehörde die Datenschutz-Folgenabschätzung gemäß Artikel 25a vorlegt und ihr auf Aufforderung alle sonstigen Informationen übermittelt, die sie benötigt, um die Ordnungsgemäßheit der Verarbeitung sowie insbesondere die in Bezug auf den Schutz der personenbezogenen Daten der betroffenen Person bestehenden Gefahren und die diesbezüglichen Sicherheitsgarantien bewerten zu können.

(2b)  Falls die Aufsichtsbehörde der Auffassung ist, dass die geplante Verarbeitung nicht im Einklang mit den nach Maßgabe dieser Richtlinie erlassenen Vorschriften steht oder die Gefahren unzureichend ermittelt wurden oder eingedämmt werden, unterbreitet sie geeignete Vorschläge, wie diese Mängel beseitigt werden könnten.

(2c)  Die Mitgliedstaaten können die Aufsichtsbehörde bei der Ausarbeitung einer von ihren einzelstaatlichen Parlamenten zu erlassenden Legislativmaßnahme oder einer sich auf eine solche Legislativmaßnahme gründenden Maßnahme, durch die die Art der Verarbeitung definiert wird, zu Rate ziehen, damit die Vereinbarkeit der geplanten Verarbeitung mit dieser Richtlinie sichergestellt ist und insbesondere die für die betreffenden Personen bestehenden Gefahren gemindert werden. [Abänd. 89]

ABSCHNITT 2

DATENSICHERHEIT

Artikel 27

Sicherheit der Verarbeitung

(1)  Die Mitgliedstaaten legen fest, dass der für die Verarbeitung Verantwortliche und der Auftragsverarbeiter unter Berücksichtigung des Stands der Technik und der bei der Durchführung entstehenden Kosten technische und organisatorische Maßnahmen treffen und Verfahren umsetzt, die geeignet sind, ein Schutzniveau zu gewährleisten, das den von der Verarbeitung ausgehenden Risiken und der Art der zu schützenden Daten angemessen ist.

(2)  Die Mitgliedstaaten legen im Hinblick auf die automatisierte Datenverarbeitung fest, dass der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter nach einer Risikobewertung Maßnahmen ergreifen, die Folgendes bezwecken:

a)  Verwehrung des Zugangs zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet werden, für Unbefugte (Zugangskontrolle);

b)  Verhinderung des unbefugten Lesens, Kopierens, Veränderns oder Entfernens von Datenträgern (Datenträgerkontrolle);

c)  Verhinderung der unbefugten Eingabe von Daten sowie der unbefugten Kenntnisnahme, Veränderung und Löschung von gespeicherten personenbezogenen Daten (Speicherkontrolle);

d)  Verhinderung der Nutzung automatisierter Datenverarbeitungssysteme mit Hilfe von Einrichtungen zur Datenübertragung durch Unbefugte (Benutzerkontrolle);

e)  Gewährleistung, dass die zur Benutzung eines automatisierten Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können (Zugriffskontrolle);

f)  Gewährleistung, dass überprüft und festgestellt werden kann, an welche Stellen personenbezogene Daten mit Hilfe von Einrichtungen zur Datenübertragung übermittelt oder zur Verfügung gestellt wurden oder werden können (Übermittlungskontrolle);

g)  Gewährleistung, dass nachträglich überprüft und festgestellt werden kann, welche personenbezogenen Daten zu welcher Zeit und von wem in automatisierte Datenverarbeitungssysteme eingegeben worden sind (Eingabekontrolle);

h)  Verhinderung, dass bei der Übertragung personenbezogener Daten sowie beim Transport von Datenträgern die Daten unbefugt gelesen, kopiert, verändert oder gelöscht werden können (Transportkontrolle);

i)  Gewährleistung, dass eingesetzte Systeme im Störungsfall wiederhergestellt werden können (Wiederherstellung);

j)  Gewährleistung, dass alle Funktionen des Systems zur Verfügung stehen, auftretende Fehlfunktionen gemeldet werden (Zuverlässigkeit) und gespeicherte personenbezogene Daten nicht durch Fehlfunktionen des Systems beschädigt werden können (Datenintegrität).

ja)  Gewährleistung des Vorhandenseins zusätzlicher Sicherheitsmaßnahmen im Falle der Verarbeitung sensibler personenbezogener Daten gemäß Artikel 8, um ein situationsbezogenes Risikobewusstsein sowie die Fähigkeit sicherzustellen, Präventiv- und Abhilfemaßnahmen sowie abmildernde Maßnahmen zeitnah gegen festgestellte Schwachstellen oder Vorfälle zu ergreifen, die ein Risiko für die Daten darstellen könnten;

(2a)  Die Mitgliedstaaten sehen vor, dass zum Auftragsverarbeiter nur bestimmt werden darf, wer Gewähr dafür bietet, dass er die erforderlichen technischen und organisatorischen Maßnahmen nach Absatz 1 trifft und Weisungen nach Artikel 21 Absatz 2 Buchstabe a beachtet. Die zuständige Behörde hat den Auftragsverarbeiter daraufhin zu überwachen.

(3)  Die Kommission kann erforderlichenfalls Durchführungsbestimmungen zu einer situationsabhängigen Konkretisierung der in den Absätzen 1 und 2 genannten Anforderungen, insbesondere Verschlüsselungsstandards, erlassen. Diese Durchführungsrechtsakte werden in Übereinstimmung mit dem Prüfverfahren gemäß Artikel 57 Absatz 2 erlassen. [Abänd. 90]

Artikel 28

Meldung einer Verletzung des Schutzes personenbezogener Daten an die Aufsichtsbehörde

(1)  Die Mitgliedstaaten legen fest, dass der für die Verarbeitung Verantwortliche der Aufsichtsbehörde eine Verletzung des Schutzes personenbezogener Daten ohne unangemessene Verzögerung unverzüglich und nach Möglichkeit binnen 24 Stunden nach deren Feststellung melden muss. Falls die Meldung nicht binnen 24 Stunden erfolgt, Im Fall der Verspätung legt der für die Verarbeitung Verantwortliche der Aufsichtsbehörde auf Aufforderung eine Begründung vor.

(2)  Der Auftragsverarbeiter alarmiert und informiert den für die Verarbeitung Verantwortlichen unmittelbar unverzüglich nach Feststellung einer Verletzung des Schutzes personenbezogener Daten.

(3)  Die in Absatz 1 genannte Meldung muss mindestens folgende Informationen enthalten:

a)  eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten mit Angabe der Kategorien und der Zahl der betroffenen Personen, der betroffenen Datenkategorien und der Zahl der betroffenen Datensätze;

b)  Name und Kontaktdaten des in Artikel 30 genannten Datenschutzbeauftragten oder eines sonstigen Ansprechpartners für weitere Informationen;

c)  Empfehlungen für Maßnahmen zur Eindämmung etwaiger negativer Auswirkungen der Verletzung des Schutzes personenbezogener Daten;

d)  eine Beschreibung der möglichen Folgen der Verletzung des Schutzes personenbezogener Daten;

e)  eine Beschreibung der Maßnahmen, die der vom für die Verarbeitung Verantwortliche infolge Verantwortlichen vorgeschlagenen oder ergriffenen Maßnahmen zur Behandlung der Verletzung des Schutzes personenbezogener Daten vorgeschlagen oder ergriffen hat und zur Minderung ihrer Auswirkungen.

Können nicht alle Informationen unverzüglich bereitgestellt werden, kann der für die Verarbeitung Verantwortliche die Meldung in einer zweiten Stufe vervollständigen.

(4)  Die Mitgliedstaaten legen fest, dass der für die Verarbeitung Verantwortliche etwaige Verletzungen des Schutzes personenbezogener Daten unter Beschreibung aller im Zusammenhang mit der Verletzung stehenden Fakten, von deren Auswirkungen und der ergriffenen Abhilfemaßnahmen dokumentiert. Die Dokumentation muss umfassend genug sein, um der Aufsichtsbehörde die Überprüfung der Einhaltung der Bestimmungen dieses Artikels ermöglichen. Die Dokumentation enthält nur die zu diesem Zweck erforderlichen Informationen.

(4a)  Die Aufsichtsbehörde führt ein öffentliches Verzeichnis der Arten der gemeldeten Verletzungen.

(5)  Die Kommission ist ermächtigt, nachdem sie den Europäischen Datenschutzausschuss um eine Stellungnahme ersucht hat, delegierte Rechtsakte nach Maßgabe von Artikel 56 zu erlassen, um die Kriterien und Anforderungen für die Feststellung der in den Absätzen 1 und 2 genannten Verletzungen des Schutzes personenbezogener Daten und für die konkreten Umstände, unter denen der für die Verarbeitung Verantwortliche und der Auftragsverarbeiter die Verletzung des Schutzes personenbezogener Daten zu melden haben, festzulegen. [Abänd. 91]

(6)  Die Kommission kann eine Standardvorlage für derartige Meldungen an die Aufsichtsbehörde, die Verfahrensvorschriften für Meldungen sowie Form und Modalitäten der in Absatz 4 genannten Dokumentation einschließlich der Fristen für die Löschung der darin enthaltenen Informationen festlegen. Diese Durchführungsrechtsakte werden in Übereinstimmung mit dem Prüfverfahren gemäß Artikel 57 Absatz 2 erlassen.

Artikel 29

Benachrichtigung der betroffenen Person von einer Verletzung des Schutzes personenbezogener Daten

(1)  Die Mitgliedstaaten legen fest tragen dafür Sorge, dass dann, wenn derSchutz der personenbezogenen Daten, der Privatsphäre, der Rechte oder der berechtigten Interessen der betroffenen Person durch eine Verletzung des Schutzes personenbezogener Daten beeinträchtigt werden kann, der für die Verarbeitung Verantwortliche im Anschluss an die Meldung nach Artikel 28 die betroffene Person ohne unangemessene Verzögerung unverzüglich von der Verletzung des Schutzes personenbezogener Daten benachrichtigt, wenn die Wahrscheinlichkeit besteht, dass der Schutz der personenbezogenen Daten oder der Privatsphäre der betroffenen Person durch eine festgestellte Verletzung des Schutzes personenbezogener Daten beeinträchtigt wird.

(2)  Die in Absatz 1 genannte Benachrichtigung der betroffenen Person umfasst eine Beschreibung ist umfassend, klar und für jedermann verständlich. Sie beschreibt die Art der Verletzung personenbezogener des Schutzes der personenbezogenen Daten sowie und umfasst mindestens die in Artikel 28 Absatz 3 Buchstaben b und c Buchstaben b, c und d genannten Informationen und Empfehlungen sowie Informationen über die Rechte betroffener Personen einschließlich der Rechtsbehelfe.

(3)  Die Benachrichtigung der betroffenen Person von der Verletzung des Schutzes personenbezogener Daten ist nicht erforderlich, wenn der für die Verarbeitung Verantwortliche zur Zufriedenheit der Aufsichtsbehörde nachweist, dass er geeignete technische Schutzmaßnahmen getroffen hat und dass diese Maßnahmen auf die von der Verletzung betroffenen personenbezogenen Daten angewandt wurden. Diese technischen Schutzmaßnahmen verschlüsseln die Daten für alle Personen, die keine Zugriffsberechtigung haben.

(3a)  Unbeschadet der dem für die Verarbeitung Verantwortlichen obliegenden Pflicht, die betroffene Person über die Verletzung des Schutzes personenbezogener Daten zu benachrichtigen, kann die Aufsichtsbehörde, falls der für die Verarbeitung Verantwortliche die betroffene Person noch nicht über die Verletzung des Schutzes personenbezogener Daten in Kenntnis gesetzt hat, nach Prüfung der zu erwartenden negativen Auswirkungen der Verletzung den für die Verarbeitung Verantwortlichen auffordern, dies zu tun.

(4)  Die Benachrichtigung der betroffenen Person kann aus den in Artikel 11 Absatz 4 genannten Gründen aufgeschoben, eingeschränkt oder unterlassen oder werden. [Abänd. 92]

ABSCHNITT 3

DATENSCHUTZBEAUFTRAGTER

Artikel 30

Benennung eines Datenschutzbeauftragten

(1)  Die Mitgliedstaaten legen fest, dass der für die Verarbeitung Verantwortliche einen Datenschutzbeauftragten benennt.

(2)  Der Datenschutzbeauftragte wird auf der Grundlage seiner beruflichen Qualifikation und insbesondere des Fachwissens benannt, das er auf dem Gebiet des Datenschutzrechts und der einschlägigen Praktiken besitzt, sowie auf der Grundlage seiner Fähigkeit zur Erfüllung der in Artikel 32 genannten Aufgaben. Der Grad des erforderlichen Fachwissens richtet sich insbesondere nach der Art der durchgeführten Datenverarbeitung und des erforderlichen Schutzes für die von dem für die Verarbeitung Verantwortlichen oder dem Auftragsverarbeiter verarbeiteten personenbezogenen Daten.

(2a)  Die Mitgliedstaaten sehen vor, dass der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter sicherstellt, dass etwaige sonstige berufliche Pflichten des Datenschutzbeauftragten mit den Aufgaben und Pflichten, die diesem in seiner Funktion als Datenschutzbeauftragter obliegen, vereinbar sind und zu keinen Interessenkonflikten führen.

(2b)  Der Datenschutzbeauftragte wird für einen Zeitraum von mindestens vier Jahren ernannt. Der Datenschutzbeauftragte kann für weitere Amtszeiten wiederernannt werden. Während seiner Amtszeit kann der Datenschutzbeauftragte seines Amtes nur enthoben werden, wenn er die Voraussetzungen für die Erfüllung seiner Pflichten nicht mehr erfüllt.

(2c)  Die Mitgliedstaaten sehen vor, dass die betroffene Person das Recht hat, den Datenschutzbeauftragten im Zusammenhang mit allen Fragen bezüglich der Verarbeitung ihrer personenbezogenen Daten zu kontaktieren.

(3)  Der Datenschutzbeauftragte kann unter Berücksichtigung der Struktur der zuständigen Behörde für mehrere Stellen benannt werden.

(3a)  Die Mitgliedstaaten sehen vor, dass der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter den Namen und die Kontaktdaten des Datenschutzbeauftragten der Aufsichtsbehörde und der Öffentlichkeit mitteilt. [Abänd. 93]

Artikel 31

Stellung des Datenschutzbeauftragten

(1)  Die Mitgliedstaaten legen fest, dass der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter sicherstellt, dass der Datenschutzbeauftragte ordnungsgemäß und frühzeitig in die Behandlung aller mit dem Schutz personenbezogener Daten zusammenhängenden Fragen eingebunden wird.

(2)  Der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter stellt sicher, dass der Datenschutzbeauftragte die Mittel erhält, die er zur wirksamen und unabhängigen Erfüllung seiner Pflichten und Aufgaben gemäß Artikel 32 benötigt, und keine Anweisungen bezüglich der Ausübung seiner Tätigkeit erhält.

(2a)  Der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter unterstützt den Datenschutzbeauftragten bei der Wahrnehmung seiner Aufgaben und stellt alle Mittel, darunter Mitarbeiter, Räumlichkeiten, Anlagen, fortlaufende Schulungsmaßnahmen und andere Mittel, zur Verfügung, die zur Erfüllung der in Artikel 32 genannten Aufgaben sowie zur Erhaltung des Fachwissens des Datenschutzbeauftragten nötig sind. [Abänd. 94]

Artikel 32

Aufgaben des Datenschutzbeauftragten

Die Mitgliedstaaten tragen dafür Sorge, dass der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter den Datenschutzbeauftragten mit mindestens folgenden Aufgaben betraut:

a)  Sensibilisierung, Unterrichtung und Beratung des für die Verarbeitung Verantwortlichen oder des Auftragsverarbeiters über dessen Pflichten aus den nach Maßgabe dieser Richtlinie erlassenen Vorschriften, insbesondere in Bezug auf technische und organisatorische Maßnahmen und Verfahren, sowie Dokumentation dieser Tätigkeit und der erhaltenen Antworten;

b)  Überwachung der Umsetzung und Anwendung der Strategien für den Schutz personenbezogener Daten einschließlich der Zuweisung von Zuständigkeiten, der Schulung des an den Verarbeitungsvorgängen beteiligten Personals und der diesbezüglichen Überprüfungen;

c)  Überwachung der Umsetzung und Anwendung der nach Maßgabe dieser Richtlinie erlassenen Vorschriften, insbesondere der Anforderungen in Bezug auf den Datenschutz durch Technik oder durch datenschutzfreundliche Voreinstellungen, die Datensicherheit, die Information der betroffenen Personen und deren Anträge im Zusammenhang mit der Wahrnehmung ihrer Rechte aus den vorstehend genannten Vorschriften;

d)  Sicherstellung, dass die in Artikel 23 genannte Dokumentation vorgenommen wird;

e)  Überwachung der Dokumentation und Meldung von Verletzungen des Schutzes personenbezogener Daten sowie die Benachrichtigung davon gemäß den Artikeln 28 und 29;

f)  Überwachung der Anwendung der Datenschutz-Folgenabschätzung durch den für die Verarbeitung Verantwortlichen oder den Auftragsverarbeiter sowie der Erfüllung der Anforderung der vorherigen Zurateziehung der Aufsichtsbehörde, soweit dies nach Artikel 26 Absatz 1 erforderlich ist;

g)  Überwachung der auf Anfrage der Aufsichtsbehörde ergriffenen Maßnahmen sowie Zusammenarbeit mit der Aufsichtsbehörde auf deren Ersuchen oder auf eigene Initiative des Datenschutzbeauftragten im Rahmen der Zuständigkeiten des Datenschutzbeauftragten;

h)  Tätigkeit als Ansprechpartner für die Aufsichtsbehörde in Fragen im Zusammenhang mit der Verarbeitung sowie gegebenenfalls Zurateziehung der Aufsichtsbehörde auf eigene Initiative.[Abänd. 95]

KAPITEL V

ÜBERMITTLUNG PERSONENBEZOGENER DATEN IN DRITTLÄNDER ODER AN INTERNATIONALE ORGANISATIONEN

Artikel 33

Allgemeine Grundsätze für die Übermittlung personenbezogener Daten

1.  Die Mitgliedstaaten sehen vor, dass jedwede von einer zuständigen Behörde vorgenommene Übermittlung von personenbezogenen Daten, die bereits verarbeitet werden oder nach ihrer Übermittlung in ein Drittland oder an eine internationale Organisation verarbeitet werden sollen, einschließlich der Weitergabe an ein anderes Drittland oder eine andere internationale Organisation, nur zulässig ist, wenn

a)  die konkrete Übermittlung zur Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder zur Strafvollstreckung erforderlich ist und

aa)  die Daten an einen für die Verarbeitung Verantwortlichen in einem Drittland oder einer internationalen Organisation, die eine für die in Artikel 1 Absatz 1 genannten Zwecke zuständige Behörde ist, übermittelt werden; und