L_2016119DE.01008901.xml

<?xml version="1.0" encoding="UTF-8"?> <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML//EN" "xhtml-strict.dtd"> <html xmlns="http://www.w3.org/1999/xhtml">  <head><meta name="format-detection" content="telephone=no"/><meta http-equiv='X-UA-Compatible' content='IE=edge'/><meta name='viewport' content='width=device-width, initial-scale=1'><meta name='WT.z_usr_lan' content='DE'> <meta http-equiv="content-type" content="text/html; charset=utf-8"/> <title>L_2016119DE.01008901.xml</title> <script type="text/javascript" src="/eurlex-frontoffice/ruxitagentjs_ICANVfgqrux_10289240325103055.js" data-dtconfig="app=47d4c64c3b67ec69|cuc=m097nmfl|agentId=1bfa82a80b706846|mel=100000|mb=null|featureHash=ICANVfgqrux|dpvc=1|iub=null|lastModification=1732292563811|tp=500,50,0|rdnt=1|uxrgce=1|agentUri=/eurlex-frontoffice/ruxitagentjs_ICANVfgqrux_10289240325103055.js|reportUrl=/eurlex-frontoffice/rb_39a3e95b-5423-482c-879b-99ef235dffeb|rid=RID_-846928219|rpid=1478207024|domain=europa.eu"></script><link rel="canonical" href="https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX%3A32016L0680"/> <link rel='stylesheet' media='all' href='./../../../../revamp/components/vendor/bootstrap/dist/css/bootstrap.css'><link rel='stylesheet' media='all' href='./../../../../revamp/components/vendor/font-awesome/css/font-awesome.min.css'><link rel='stylesheet' media='all' href='./../../../../revamp/css/eurlex.css'><link rel='stylesheet' media='all' href='./../../../../revamp/css/eurlex-dev.css'><link rel='stylesheet' media='all' href='./../../../../css/oj/oj.css'></head> <body> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="10%"/> <col width="10%"/> <col width="60%"/> <col width="20%"/> <tbody> <tr> <td> <p class="hd-date">4.5.2016 </p> </td> <td> <p class="hd-lg">DE</p> </td> <td> <p class="hd-ti">Amtsblatt der Europäischen Union</p> </td> <td> <p class="hd-oj">L 119/89</p> </td> </tr> </tbody> </table> <hr class="separator"/> <p class="doc-ti" id="d1e39-89-1">RICHTLINIE (EU) 2016/680 DES EUROPÄISCHEN PARLAMENTS UND DES RATES</p> <p class="doc-ti">vom 27. April 2016</p> <p class="doc-ti">zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates</p> <p class="normal">DAS EUROPÄISCHE PARLAMENT UND DER RAT DER EUROPÄISCHEN UNION —</p> <p class="normal">gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union, insbesondere auf Artikel 16 Absatz 2,</p> <p class="normal">auf Vorschlag der Europäischen Kommission,</p> <p class="normal">nach Zuleitung des Entwurfs des Gesetzgebungsakts an die nationalen Parlamente,</p> <p class="normal">nach Stellungnahme des Ausschusses der Regionen<a id="ntc1-L_2016119DE.01008901-E0001" href="#ntr1-L_2016119DE.01008901-E0001"> (<span class="super">1</span>)</a>,</p> <p class="normal">gemäß dem ordentlichen Gesetzgebungsverfahren,<a id="ntc2-L_2016119DE.01008901-E0002" href="#ntr2-L_2016119DE.01008901-E0002"> (<span class="super">2</span>)</a> </p> <p class="normal">in Erwägung nachstehender Gründe:</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(1)</p> </td> <td valign="top"> <p class="normal">Der Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten ist ein Grundrecht. Gemäß Artikel 8 Absatz 1 der Charta der Grundrechte der Europäischen Union (im Folgenden „Charta“) sowie Artikel 16 Absatz 1 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) hat jede Person das Recht auf Schutz der sie betreffenden personenbezogenen Daten.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(2)</p> </td> <td valign="top"> <p class="normal">Die Grundsätze und Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten sollten gewährleisten, dass ihre Grundrechte und Grundfreiheiten und insbesondere ihr Recht auf Schutz personenbezogener Daten ungeachtet ihrer Staatsangehörigkeit oder ihres Aufenthaltsorts gewahrt bleiben. Diese Richtlinie soll zur Vollendung eines Raums der Freiheit, der Sicherheit und des Rechts beitragen.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(3)</p> </td> <td valign="top"> <p class="normal">Rasche technologische Entwicklungen und die Globalisierung haben den Datenschutz vor neue Herausforderungen gestellt. Das Ausmaß der Erhebung und des Austauschs personenbezogener Daten hat eindrucksvoll zugenommen. Die Technik macht es möglich, dass für die Ausübung von Tätigkeiten wie die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder die Strafvollstreckung in einem noch nie dagewesenen Umfang personenbezogene Daten verarbeitet werden können.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(4)</p> </td> <td valign="top"> <p class="normal">Der freie Verkehr personenbezogener Daten zwischen den zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit innerhalb der Union und die Übermittlung solcher personenbezogener Daten an Drittländer und internationale Organisationen, sollte erleichtert und dabei gleichzeitig ein hohes Schutzniveau für personenbezogene Daten gewährleistet werden. Angesichts dieser Entwicklungen bedarf es des Aufbaus eines soliden und kohärenteren Rechtsrahmens für den Schutz personenbezogener Daten in der Union, die konsequent durchgesetzt werden.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(5)</p> </td> <td valign="top"> <p class="normal">Die Richtlinie 95/46/EG des Europäischen Parlaments und des Rates<a id="ntc3-L_2016119DE.01008901-E0003" href="#ntr3-L_2016119DE.01008901-E0003"> (<span class="super">3</span>)</a> gilt für jegliche Verarbeitung personenbezogener Daten in den Mitgliedstaaten sowohl im öffentlichen als auch im privaten Bereich. Ausgenommen ist jedoch die Verarbeitung personenbezogener Daten, die für die Ausübung von Tätigkeiten erfolgt, die nicht in den Anwendungsbereich des Gemeinschaftsrechts fallen, beispielsweise im Bereich der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(6)</p> </td> <td valign="top"> <p class="normal">Für den Bereich der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit gilt der Rahmenbeschluss 2008/977/JI des Rates<a id="ntc4-L_2016119DE.01008901-E0004" href="#ntr4-L_2016119DE.01008901-E0004"> (<span class="super">4</span>)</a>. Der Anwendungsbereich dieses Rahmenbeschlusses beschränkt sich auf die Verarbeitung personenbezogener Daten, die zwischen Mitgliedstaaten weitergegeben oder bereitgestellt werden.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(7)</p> </td> <td valign="top"> <p class="normal">Für den Zweck der wirksamen justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit ist es entscheidend, ein einheitliches und hohes Schutzniveau für die personenbezogenen Daten natürlicher Personen zu gewährleisten und den Austausch personenbezogener Daten zwischen den zuständigen Behörden der Mitgliedstaaten zu erleichtern. Im Hinblick darauf sollte dafür gesorgt werden, dass die Rechte und Freiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten durch zuständige Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, in allen Mitgliedstaaten gleichwertig geschützt werden. Ein unionsweiter wirksamer Schutz personenbezogener Daten erfordert die Stärkung der Rechte der betroffenen Personen und eine Verschärfung der Verpflichtungen für diejenigen, die personenbezogene Daten verarbeiten, und auch gleichwertige Befugnisse der Mitgliedstaaten bei der Überwachung und Gewährleistung der Einhaltung der Vorschriften zum Schutz personenbezogener Daten.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(8)</p> </td> <td valign="top"> <p class="normal">Artikel 16 Absatz 2 AEUV ermächtigt das Europäische Parlament und den Rat, Vorschriften über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Verkehr personenbezogener Daten zu erlassen.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(9)</p> </td> <td valign="top"> <p class="normal">Auf dieser Grundlage sind in der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates<a id="ntc5-L_2016119DE.01008901-E0005" href="#ntr5-L_2016119DE.01008901-E0005"> (<span class="super">5</span>)</a> allgemeine Bestimmungen für den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Verkehr personenbezogener Daten in der Union niedergelegt.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(10)</p> </td> <td valign="top"> <p class="normal">In der Erklärung Nr. 21 zum Schutz personenbezogener Daten im Bereich der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit im Anhang zur Schlussakte der Regierungskonferenz, die den Vertrag von Lissabon annahm, erkannte die Regierungskonferenz an, dass es sich aufgrund der Besonderheiten dieser Bereiche als erforderlich erweisen könnte, auf Artikel 16 AEUV gestützte spezifische Vorschriften über den Schutz personenbezogener Daten und den freien Verkehr personenbezogener Daten im Bereich der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit zu erlassen.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(11)</p> </td> <td valign="top"> <p class="normal">Daher sollte diesen Bereichen durch eine Richtlinie Rechnung getragen werden, die spezifische Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, enthält, wobei den Besonderheiten dieser Tätigkeiten Rechnung getragen wird. Diese zuständigen Behörden können nicht nur staatliche Stellen wie die Justizbehörden, die Polizei oder andere Strafverfolgungsbehörden einschließen, sondern auch alle anderen Stellen oder Einrichtungen, denen durch das Recht der Mitgliedstaaten die Ausübung öffentlicher Gewalt und hoheitlicher Befugnisse für die Zwecke dieser Richtlinie übertragen wurde. Wenn solche Stellen oder Einrichtungen jedoch personenbezogene Daten zu anderen Zwecken als denen dieser Richtlinie verarbeiten, gilt die Verordnung (EU) 2016/679. Daher gilt die Verordnung (EU) 2016/679 in Fällen, in denen eine Stelle oder Einrichtung personenbezogene Daten zu anderen Zwecken erhebt und diese personenbezogenen Daten zur Erfüllung einer rechtlichen Verpflichtung, der sie unterliegt, weiterverarbeitet. Zum Beispiel speichern Finanzinstitute zum Zwecke der Ermittlung, Aufdeckung oder Verfolgung von Straftaten bestimmte personenbezogene Daten, die sie verarbeiten, und stellen sie nur den zuständigen nationalen Behörden in bestimmten Fällen und in Einklang mit dem Recht der Mitgliedstaaten zur Verfügung. Eine Stelle oder Einrichtung, die personenbezogene Daten im Rahmen des Anwendungsbereichs dieser Richtlinie für solche Behörden verarbeitet, sollte auf Grundlage eines Vertrags oder eines anderen Rechtsinstruments und durch die für Auftragsverarbeiter nach dieser Richtlinie geltenden Bestimmungen gebunden sein, wobei die Anwendung der Verordnung (EU) 2016/679 in Bezug auf die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter außerhalb des Anwendungsbereichs dieser Richtlinie durchführt, unberührt bleibt.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(12)</p> </td> <td valign="top"> <p class="normal">Die Tätigkeiten der Polizei oder anderer Strafverfolgungsbehörden sind hauptsächlich auf die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten ausgerichtet, dazu zählen auch polizeiliche Tätigkeiten in Fällen, in denen nicht von vornherein bekannt ist, ob es sich um Straftaten handelt oder nicht. Solche Tätigkeiten können ferner die Ausübung hoheitlicher Gewalt durch Ergreifung von Zwangsmitteln umfassen, wie polizeiliche Tätigkeiten bei Demonstrationen, großen Sportveranstaltungen und Ausschreitungen. Sie umfassen auch die Aufrechterhaltung der öffentlichen Ordnung als Aufgabe, die der Polizei oder anderen Strafverfolgungsbehörden übertragen wurde, soweit dies zum Zweck des Schutzes vor und der Abwehr von Bedrohungen der öffentlichen Sicherheit und Bedrohungen für durch Rechtsvorschriften geschützte grundlegende Interessen der Gesellschaft, die zu einer Straftat führen können, erforderlich ist. Die Mitgliedstaaten können die zuständigen Behörden mit anderen Aufgaben betrauen, die nicht zwangsläufig für die Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, ausgeführt werden, so dass die Verarbeitung von personenbezogenen Daten für diese anderen Zwecke insoweit in den Anwendungsbereich der Verordnung (EU) 2016/679 fällt, als sie in den Anwendungsbereich des Unionsrechts fällt.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(13)</p> </td> <td valign="top"> <p class="normal">Eine Straftat im Sinne dieser Richtlinie sollte ein eigenständiger Begriff des Unionsrechts in der Auslegung durch den Gerichtshof der Europäischen Union (im Folgenden „Gerichtshof“) sein.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(14)</p> </td> <td valign="top"> <p class="normal">Da diese Richtlinie nicht für die Verarbeitung personenbezogener Daten gelten sollte, die im Rahmen einer nicht unter das Unionsrecht fallenden Tätigkeit erfolgt, sollten die nationale Sicherheit betreffende Tätigkeiten, Tätigkeiten von Agenturen oder Stellen, die mit Fragen der nationalen Sicherheit befasst sind, und die Verarbeitung personenbezogener Daten, die von den Mitgliedstaaten bei Tätigkeiten vorgenommen wird, die in den Anwendungsbereich des Titels V Kapitel 2 des Vertrags über die Europäische Union (EUV) fallen, nicht als Tätigkeiten betrachtet werden, die in den Anwendungsbereich dieser Richtlinie fallen.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(15)</p> </td> <td valign="top"> <p class="normal">Um zu gewährleisten, dass natürliche Personen in der Union auf der Grundlage unionsweit durchsetzbarer Rechte das gleiche Maß an Schutz genießen und Unterschiede, die den Austausch personenbezogener Daten zwischen den zuständigen Behörden behindern könnten, beseitigt werden, sollte diese Richtlinie harmonisierte Vorschriften für den Schutz und den freien Verkehr personenbezogener Daten festlegen, die zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, verarbeitet werden. Die Angleichung der Rechtsvorschriften der Mitgliedstaaten sollte nicht zu einer Lockerung des Schutzes personenbezogener Daten in diesen Ländern führen, sondern vielmehr auf ein hohes Schutzniveau in der gesamten Union abstellen. Die Mitgliedstaaten sollten nicht daran gehindert werden, zum Schutz der Rechte und Freiheiten der betroffenen Person bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden Garantien festzulegen, die strenger sind als die Garantien dieser Richtlinie.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(16)</p> </td> <td valign="top"> <p class="normal">Diese Richtlinie berührt nicht den Grundsatz des Zugangs der Öffentlichkeit zu amtlichen Dokumenten. Gemäß der Verordnung (EU) 2016/679 können personenbezogene Daten in amtlichen Dokumenten, die sich im Besitz einer öffentlichen Behörde oder einer öffentlichen oder privaten Einrichtung zur Erfüllung einer im öffentlichen Interesse liegenden Aufgabe befinden, von der Behörde oder der Einrichtung gemäß dem Unionsrecht oder dem Recht des Mitgliedstaats, dem die öffentliche Behörde oder Einrichtung unterliegt, offengelegt werden, um den Zugang der Öffentlichkeit zu amtlichen Dokumenten mit dem Recht auf Schutz personenbezogener Daten in Einklang zu bringen.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(17)</p> </td> <td valign="top"> <p class="normal">Der durch diese Richtlinie gewährte Schutz sollte für die Verarbeitung der personenbezogenen Daten natürlicher Personen ungeachtet ihrer Staatsangehörigkeit oder ihres Aufenthaltsorts gelten.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(18)</p> </td> <td valign="top"> <p class="normal">Um ein ernsthaftes Risiko einer Umgehung der Vorschriften zu vermeiden, sollte der Schutz natürlicher Personen technologieneutral sein und nicht von den verwendeten Techniken abhängen. Er sollte für die automatisierte Verarbeitung personenbezogener Daten ebenso gelten wie für die manuelle Verarbeitung, wenn die personenbezogenen Daten in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Akten oder Aktensammlungen sowie ihre Deckblätter, die nicht nach bestimmten Kriterien geordnet sind, sollten nicht in den Anwendungsbereich der Richtlinie fallen.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(19)</p> </td> <td valign="top"> <p class="normal">Die Verordnung (EG) Nr. 45/2001 des Europäischen Parlaments und des Rates<a id="ntc6-L_2016119DE.01008901-E0006" href="#ntr6-L_2016119DE.01008901-E0006"> (<span class="super">6</span>)</a> gilt für die Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen, Ämter und Agenturen der Union. Die Verordnung (EG) Nr. 45/2001 und sonstige Rechtsakte der Union, die diese Verarbeitung personenbezogener Daten regeln, sollten an die Grundsätze und Vorschriften gemäß der Verordnung (EU) 2016/679 angepasst werden.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(20)</p> </td> <td valign="top"> <p class="normal">Diese Richtlinie hindert die Mitgliedstaaten nicht daran, in den nationalen Vorschriften für Strafverfahren Verarbeitungsvorgänge und Verarbeitungsverfahren bei der Verarbeitung personenbezogener Daten durch Gerichte und andere Justizbehörden festzulegen, insbesondere in Bezug auf personenbezogene Daten in einer gerichtlichen Entscheidung oder in Dokumenten betreffend Strafverfahren.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(21)</p> </td> <td valign="top"> <p class="normal">Die Grundsätze des Datenschutzes sollten für alle Informationen gelten, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Um festzustellen, ob eine natürliche Person identifizierbar ist, sollten alle Mittel berücksichtigt werden, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren, wie beispielsweise das Aussondern. Bei der Feststellung, ob Mittel nach allgemeinem Ermessen wahrscheinlich zur Identifizierung der natürlichen Person genutzt werden, sollten alle objektiven Faktoren, wie die Kosten der Identifizierung und der dafür erforderliche Zeitaufwand, herangezogen werden, wobei die zum Zeitpunkt der Verarbeitung verfügbare Technologie und technologischen Entwicklungen zu berücksichtigen sind. Die Grundsätze des Datenschutzes sollten daher nicht für anonyme Informationen gelten, d. h. für Informationen, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen, oder personenbezogene Daten, die in einer Weise anonymisiert worden sind, dass die betroffene Person nicht mehr identifiziert werden kann.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(22)</p> </td> <td valign="top"> <p class="normal">Behörden, gegenüber denen personenbezogene Daten aufgrund einer rechtlichen Verpflichtung für die Ausübung ihres offiziellen Auftrags offengelegt werden, wie Steuer- und Zollbehörden, Finanzermittlungsstellen, unabhängige Verwaltungsbehörden oder Finanzmarktbehörden, die für die Regulierung und Aufsicht von Wertpapiermärkten zuständig sind, sollten nicht als Empfänger gelten, wenn sie personenbezogene Daten erhalten, die für die Durchführung — gemäß dem Unionsrecht oder dem Recht der Mitgliedstaaten — eines einzelnen Untersuchungsauftrags im Interesse der Allgemeinheit erforderlich sind. Anträge auf Offenlegung, die von Behörden ausgehen, sollten immer schriftlich erfolgen, mit Gründen versehen sein und gelegentlichen Charakter haben, und sie sollten nicht vollständige Dateisysteme betreffen oder zur Verknüpfung von Dateisystemen führen. Die Verarbeitung personenbezogener Daten durch die genannten Behörden sollte für die Zwecke der Verarbeitung geltenden Datenschutzvorschriften entsprechen.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(23)</p> </td> <td valign="top"> <p class="normal">Genetische Daten sollten als personenbezogene Daten über die ererbten oder erworbenen genetischen Eigenschaften einer natürlichen Person definiert werden, die eindeutige Informationen über die Physiologie oder die Gesundheit dieser natürlichen Person liefern und die aus der Analyse einer biologischen Probe der betreffenden natürlichen Person, insbesondere durch eine Chromosomen-, Desoxyribonukleinsäure (DNS)- oder Ribonukleinsäure (RNS)-Analyse oder der Analyse eines anderen Elements, durch die gleichwertige Informationen erlangt werden können, gewonnen werden. Angesichts der Komplexität und Sensibilität genetischer Informationen besteht ein hohes Missbrauchs- und Wiederverwendungsrisiko für unterschiedliche Zwecke durch den Verantwortlichen. Jede Diskriminierung aufgrund genetischer Merkmale sollte grundsätzlich verboten sein.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(24)</p> </td> <td valign="top"> <p class="normal">Zu den personenbezogenen Gesundheitsdaten sollten alle Daten zählen, die sich auf den Gesundheitszustand einer betroffenen Person beziehen und aus denen Informationen über den früheren, gegenwärtigen und künftigen körperlichen oder geistigen Gesundheitszustand der betroffenen Person hervorgehen. Dazu gehören auch Informationen über die natürliche Person, die im Zuge der Vormerkung zur Erbringung und der Erbringung von Gesundheitsdienstleistungen im Sinne der Richtlinie 2011/24/EU des Europäischen Parlaments und des Rates<a id="ntc7-L_2016119DE.01008901-E0007" href="#ntr7-L_2016119DE.01008901-E0007"> (<span class="super">7</span>)</a> erhoben werden, Nummern, Symbole oder Kennzeichen, die einer natürlichen Person zugeteilt wurden, um diese für gesundheitliche Zwecke eindeutig zu identifizieren, Informationen, die von der Prüfung oder Untersuchung eines Körperteils oder einer körpereigenen Substanz, einschließlich genetischer Daten und biologischer Proben, abgeleitet wurden, sowie Informationen etwa über Krankheiten, Behinderungen, Krankheitsrisiken, Vorerkrankungen, klinische Behandlungen oder den physiologischen oder biomedizinischen Zustand der betroffenen Person unabhängig von der Herkunft der Daten, ob sie nun von einem Arzt oder sonstigem Angehörigen eines Gesundheitsberufes, einem Krankenhaus, einem Medizinprodukt oder einem In-Vitro-Diagnostikum stammen.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(25)</p> </td> <td valign="top"> <p class="normal">Alle Mitgliedstaaten sind Mitglied der Internationalen Kriminalpolizeilichen Organisation (Interpol). Interpol erhält, speichert und übermittelt für die Erfüllung ihres Auftrags personenbezogene Daten, um die zuständigen Behörden dabei zu unterstützen, internationale Kriminalität zu verhüten und zu bekämpfen. Daher sollte die Zusammenarbeit zwischen der Union und Interpol gestärkt werden, indem ein effizienter Austausch personenbezogener Daten gefördert und zugleich die Achtung der Grundrechte und Grundfreiheiten hinsichtlich der automatischen Verarbeitung personenbezogener Daten gewährleistet wird. Wenn personenbezogene Daten aus der Union an Interpol und die Staaten, die Mitglieder zu Interpol abgestellt haben, übermittelt werden, sollte diese Richtlinie, insbesondere die Bestimmungen über grenzüberschreitende Datenübermittlungen, zur Anwendung kommen. Diese Richtlinie sollte die spezifischen Vorschriften unberührt lassen, die im Gemeinsamen Standpunkt 2005/69/JI des Rates<a id="ntc8-L_2016119DE.01008901-E0008" href="#ntr8-L_2016119DE.01008901-E0008"> (<span class="super">8</span>)</a> und im Beschluss 2007/533/JI des Rates<a id="ntc9-L_2016119DE.01008901-E0009" href="#ntr9-L_2016119DE.01008901-E0009"> (<span class="super">9</span>)</a> festgelegt sind.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(26)</p> </td> <td valign="top"> <p class="normal">Jede Verarbeitung personenbezogener Daten muss auf rechtmäßige Weise, nach dem Grundsatz von Treu und Glauben und in einer für die betroffenen natürlichen Personen nachvollziehbaren Weise erfolgen, und die Daten dürfen nur für bestimmte, durch Rechtsvorschriften geregelte Zwecke verarbeitet werden. Dies steht an sich der Durchführung von Maßnahmen wie verdeckten Ermittlungen oder Videoüberwachung durch die Strafverfolgungsbehörden nicht entgegen. Diese Maßnahmen können zwecks Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder zur Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, getroffen werden, sofern sie durch Rechtsvorschriften geregelt sind und eine erforderliche und verhältnismäßige Maßnahme in einer demokratischen Gesellschaft darstellen, bei der die berechtigten Interessen der betroffenen natürlichen Person gebührend berücksichtigt werden. Der Datenschutzgrundsatz der Verarbeitung nach Treu und Glauben ist ein anderes Konzept als das Recht auf ein faires Verfahren im Sinne des Artikels 47 der Charta und des Artikels 6 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK). Natürliche Personen sollten über die Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung ihrer personenbezogenen Daten informiert und darüber aufgeklärt werden, wie sie ihre diesbezüglichen Rechte geltend machen können. Insbesondere sollten die bestimmten Zwecke, zu denen die personenbezogene Daten verarbeitet werden, eindeutig und rechtmäßig sein und zum Zeitpunkt deren Erhebung feststehen. Die personenbezogenen Daten sollten für die Zwecke, zu denen sie verarbeitet werden, angemessen und erheblich sein. Es sollte insbesondere sichergestellt werden, dass nicht übermäßige personenbezogene Daten erhoben werden und sie nicht länger aufbewahrt werden, als dies für den Zweck, zu dem sie verarbeitet werden, erforderlich ist. Personenbezogene Daten sollten nur verarbeitet werden dürfen, wenn der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann. Um sicherzustellen, dass die Daten nicht länger als nötig gespeichert werden, sollte der Verantwortliche Fristen für ihre Löschung oder regelmäßige Überprüfung vorsehen. Die Mitgliedstaaten sollten geeignete Garantien für den Fall festlegen, dass personenbezogene Daten für die Archivierung im öffentlichen Interesse und die wissenschaftliche, statistische oder historische Verwendung für längere Zeiträume gespeichert werden.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(27)</p> </td> <td valign="top"> <p class="normal">Zur Verhütung, Ermittlung und Verfolgung von Straftaten müssen die zuständigen Behörden personenbezogene Daten, die im Zusammenhang mit der Verhütung, Ermittlung, Aufdeckung oder Verfolgung einer bestimmten Straftat erhoben wurden, auch in einem anderen Kontext verarbeiten können, um sich ein Bild von den kriminellen Handlungen machen und Verbindungen zwischen verschiedenen aufgedeckten Straftaten herstellen zu können.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(28)</p> </td> <td valign="top"> <p class="normal">Um stets eine sichere Verarbeitung zu gewährleisten und Verarbeitungen, die gegen diese Richtlinie verstoßen, zu verhindern, sollten personenbezogene Daten so verarbeitet werden, dass ein Maß an Sicherheit und Vertraulichkeit gegeben ist, wozu auch gehört, dass Unbefugte keinen Zugang zu den Daten haben und weder die Daten noch die Geräte, mit denen diese verarbeitet werden, benutzen können, und dass die Verarbeitung den Stand der verfügbaren Technik, die Kosten für ihre Einführung im Verhältnis zu den von der Verarbeitung ausgehenden Risiken und die Art der zu schützenden personenbezogenen Daten berücksichtigt.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(29)</p> </td> <td valign="top"> <p class="normal">Personenbezogene Daten sollten für festgelegte, eindeutige und rechtmäßige Zwecke innerhalb des Anwendungsbereichs dieser Richtlinie erhoben und nicht zu Zwecken verarbeitet werden, die nicht mit den Zwecken der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, zu vereinbaren sind. Werden personenbezogene Daten von demselben oder einem anderen Verantwortlichen für einen anderen in den Anwendungsbereich dieser Richtlinie fallenden Zweck als den, für den sie erhoben wurden, verarbeitet, so sollte diese Verarbeitung erlaubt sein, unter der Bedingung, dass diese Verarbeitung nach den geltenden Rechtsvorschriften zulässig ist und dass sie für diesen anderen Zweck erforderlich und verhältnismäßig ist.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(30)</p> </td> <td valign="top"> <p class="normal">Der Grundsatz der sachlichen Richtigkeit der Daten sollte unter Berücksichtigung von Art und Zweck der jeweiligen Verarbeitung angewandt werden. Aussagen, die personenbezogene Daten enthalten, basieren gerade in Gerichtsverfahren auf der subjektiven Wahrnehmung von natürlichen Personen und sind nicht immer nachprüfbar. Infolgedessen sollte sich der Grundsatz der sachlichen Richtigkeit nicht auf die Richtigkeit einer Aussage beziehen, sondern lediglich auf die Tatsache, dass eine bestimmte Aussage gemacht worden ist.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(31)</p> </td> <td valign="top"> <p class="normal">Bei der Verarbeitung personenbezogener Daten im Rahmen der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit geht es naturgemäß um betroffene Personen verschiedener Kategorien. Daher sollte gegebenenfalls und so weit wie möglich klar zwischen den personenbezogenen Daten der einzelnen Kategorien betroffener Personen unterschieden werden wie Verdächtige, verurteilte Straftäter, Opfer und andere Parteien, beispielsweise Zeugen, Personen, die über einschlägige Informationen verfügen, oder Personen, die mit Verdächtigen oder verurteilten Straftätern in Kontakt oder in Verbindung stehen. Dies sollte nicht der Anwendung des Rechts auf die Unschuldsvermutung, wie es in der Charta und in der EMRK gewährleistet ist, in der Auslegung durch die Rechtsprechung des Gerichtshofs bzw. des Europäischen Gerichtshofs für Menschenrechte entgegenstehen.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(32)</p> </td> <td valign="top"> <p class="normal">Die zuständigen Behörden sollten dafür sorgen, dass personenbezogene Daten, die unrichtig, unvollständig oder nicht mehr aktuell sind, nicht übermittelt oder bereitgestellt werden. Um den Schutz natürlicher Personen, die Richtigkeit, die Vollständigkeit oder den Aktualitätsgrad sowie die Zuverlässigkeit der übermittelten oder bereitgestellten personenbezogenen Daten zu gewährleisten, sollten die zuständigen Behörden möglichst bei allen Übermittlungen personenbezogener Daten die erforderlichen Informationen beifügen.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(33)</p> </td> <td valign="top"> <p class="normal">Wenn in dieser Richtlinie auf Recht der Mitgliedstaaten, eine Rechtsgrundlage oder eine Gesetzgebungsmaßnahme Bezug genommen wird, erfordert dies nicht notwendigerweise einen von einem Parlament angenommenen Gesetzgebungsakt, wobei Anforderungen gemäß der Verfassungsordnung des betreffenden Mitgliedstaats unberührt bleiben. Recht der Mitgliedstaaten, Rechtsgrundlagen oder Gesetzgebungsmaßnahmen sollten jedoch klar und präzise sein und ihre Anwendung sollte für diejenigen, die ihnen unterliegen, vorhersehbar sein, wie in der Rechtsprechung des Gerichtshofs und des Europäischen Gerichtshofs für Menschenrechte gefordert. Im Recht der Mitgliedstaaten, das die Verarbeitung personenbezogener Daten innerhalb des Anwendungsbereichs dieser Richtlinie regelt, sollten zumindest die Ziele, die zu verarbeitenden personenbezogenen Daten, die Zwecke der Verarbeitung sowie Verfahren zur Wahrung von Integrität und Vertraulichkeit der personenbezogenen Daten und Verfahren für ihre Vernichtung angegeben werden, um hinreichende Garantien gegen die Gefahr des Missbrauchs und der Willkür zu bieten.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(34)</p> </td> <td valign="top"> <p class="normal">Die Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder zur Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, sollte jeden mit Hilfe automatisierter Verfahren oder auf anderem Wege ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, den Abgleich oder die Verknüpfung, die Einschränkung der Verarbeitung, das Löschen oder die Vernichtung abdecken. Insbesondere sollte diese Richtlinie Anwendung finden, wenn personenbezogene Daten für die Zwecke dieser Richtlinie an einen Empfänger übermittelt werden, der nicht dieser Richtlinie unterliegt. Unter einem solchen Empfänger sollte eine natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle zu verstehen sein, gegenüber der personenbezogene Daten von der zuständigen Behörde rechtmäßig offengelegt werden. Wurden personenbezogene Daten ursprünglich von einer zuständigen Behörde für einen der Zwecke dieser Richtlinie erhoben, so sollte die Verordnung (EU) 2016/679 für die Verarbeitung dieser Daten für andere Zwecke als diejenigen dieser Richtlinie gelten, wenn eine solche Verarbeitung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zulässig ist. Insbesondere sollte die Verordnung (EU) 2016/679 für die Übermittlung personenbezogener Daten für Zwecke gelten, die außerhalb des Anwendungsbereichs dieser Richtlinie liegen. Für die Verarbeitung personenbezogener Daten durch einen Empfänger, der keine zuständige Behörde im Sinne dieser Richtlinie ist oder nicht als solche handelt und gegenüber dem personenbezogene Daten von einer zuständigen Behörde rechtmäßig offengelegt werden, sollte die Verordnung (EU) 2016/679 gelten. Bei der Umsetzung dieser Richtlinie sollten die Mitgliedstaaten außerdem, die Anwendung der Vorschriften der Verordnung (EU) 2016/679 — vorbehaltlich der darin genannten Bedingungen — genauer regeln können.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(35)</p> </td> <td valign="top"> <p class="normal">Die Verarbeitung personenbezogener Daten im Rahmen dieser Richtlinie sollte nur dann als rechtmäßig gelten, wenn sie zur Wahrnehmung einer Aufgabe erforderlich ist, die eine zuständige Behörde im öffentlichen Interesse auf Grundlage des Unionsrechts oder des Rechts der Mitgliedstaaten zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, ausführt. Diese Tätigkeiten sollten sich auf die Wahrung lebenswichtiger Interessen der betroffenen Person erstrecken. Bei der Wahrnehmung der ihnen als gesetzlich begründeter Institution übertragenen Aufgaben, Straftaten zu verhüten, zu ermitteln, aufzudecken und zu verfolgen, können die zuständigen Behörden natürliche Personen auffordern oder anweisen, ihren Anordnungen nachzukommen. In einem solchen Fall sollte die Einwilligung der betroffenen Person im Sinne der Verordnung (EU) 2016/679 keine rechtliche Grundlage für die Verarbeitung personenbezogener Daten durch die zuständigen Behörden darstellen. Wird die betroffene Person aufgefordert, einer rechtlichen Verpflichtung nachzukommen, so hat sie keine echte Wahlfreiheit, weshalb ihre Reaktion nicht als freiwillig abgegebene Willensbekundung betrachtet werden kann. Dies sollte die Mitgliedstaaten nicht daran hindern, durch Rechtsvorschriften vorzusehen, dass die betroffene Person der Verarbeitung ihrer personenbezogenen Daten für die Zwecke dieser Richtlinie zustimmen kann, beispielsweise im Falle von DNA-Tests in strafrechtlichen Ermittlungen oder zur Überwachung ihres Aufenthaltsorts mittels elektronischer Fußfessel zur Strafvollstreckung.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(36)</p> </td> <td valign="top"> <p class="normal">Die Mitgliedstaaten sollten vorsehen, dass immer dann, wenn nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, dem die übermittelnde zuständige Behörde unterliegt, für die Verarbeitung von personenbezogenen Daten unter bestimmten Umständen besondere Bedingungen, etwa zur Verwendung von Bearbeitungscodes, gelten, die übermittelnde zuständige Behörde den Empfänger der personenbezogenen Daten auf diese Bedingungen und die Verpflichtung sie einzuhalten hinweisen sollte. Hierzu könnte beispielsweise das Verbot, personenbezogene Daten an andere weiter zu übermitteln, oder das Verbot, sie für andere Zwecke, als die Zwecke zu denen sie an den Empfänger übermittelt wurden, zu verwenden, oder das Verbot, die betroffene Person im Falle der Einschränkung des Rechts auf Unterrichtung ohne vorheriger Genehmigung der übermittelnden zuständigen Behörde zu informieren, zählen. Diese Pflichten gelten auch für Übermittlungen durch die übermittelnde zuständige Behörde an Empfänger in Drittländern oder an internationale Organisationen. Die Mitgliedstaaten sollten sicherstellen, dass die übermittelnde zuständige Behörde auf Empfänger in anderen Mitgliedstaaten oder nach Titel V Kapitel 4 und 5 AEUV errichtete Einrichtungen und sonstige Stellen nur solche Bedingungen anwendet, die auch für entsprechende Datenübermittlungen innerhalb ihres eigenen Mitgliedstaats gelten.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(37)</p> </td> <td valign="top"> <p class="normal">Personenbezogene Daten, die ihrem Wesen nach hinsichtlich der Grundrechte und Grundfreiheiten besonders sensibel sind, verdienen einen besonderen Schutz, da im Zusammenhang mit ihrer Verarbeitung erhebliche Risiken für die Grundrechte und Grundfreiheiten auftreten können. Diese personenbezogenen Daten sollten personenbezogene Daten umfassen, aus denen die rassische oder ethnische Herkunft hervorgeht, wobei die Verwendung des Begriffs „rassische Herkunft“ in dieser Richtlinie nicht bedeutet, dass die Union Theorien, mit denen versucht wird, die Existenz verschiedener menschlicher Rassen zu belegen, gutheißt. Solche personenbezogenen Daten sollten nur dann verarbeitet werden, wenn die Verarbeitung vorbehaltlich geeigneter Garantien für die durch Rechtsvorschriften festgelegten Rechte und Freiheiten der betroffenen Person erfolgt und in durch Rechtsvorschriften geregelten Fällen erlaubt ist oder anderenfalls zur Wahrung lebenswichtiger Interessen der betroffenen Person oder einer anderen Person erforderlich ist oder aber sich auf Daten bezieht, die die betroffene Person offensichtlich öffentlich gemacht hat. Zu den geeigneten Garantien für die Rechte und Freiheiten der betroffenen Person kann beispielsweise zählen, dass diese Daten nur in Verbindung mit anderen Daten über die betroffene natürliche Person erhoben werden dürfen, die erhobenen Daten hinreichend gesichert werden müssen, der Zugang der Mitarbeiter der zuständigen Behörde zu den Daten strenger geregelt und die Übermittlung dieser Daten verboten wird. Die Verarbeitung solcher Daten sollte ebenfalls durch Rechtsvorschriften erlaubt sein, wenn die betroffene Person der Datenverarbeitung, die besonders stark in ihre Privatsphäre eingreift, ausdrücklich zugestimmt hat. Die Einwilligung der betroffenen Person allein sollte jedoch noch keine rechtliche Grundlage für die Verarbeitung solch sensibler personenbezogener Daten durch die zuständigen Behörden liefern.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(38)</p> </td> <td valign="top"> <p class="normal">Die betroffene Person sollte das Recht haben, keiner Entscheidung zur Bewertung von sie betreffenden persönlichen Aspekten unterworfen zu werden, die ausschließlich auf einer automatisierten Verarbeitung beruht und die nachteilige rechtliche Wirkung für sie entfaltet oder sie in erheblichem Maße beeinträchtigt. In jedem Fall sollte eine solche Verarbeitung mit geeigneten Garantien verbunden sein, einschließlich der spezifischen Unterrichtung der betroffenen Person und des Rechts, das Eingreifen einer Person zu erwirken, insbesondere auf Darlegung des eigenen Standpunkts, auf Erläuterung der nach einer entsprechenden Bewertung getroffenen Entscheidung oder auf Anfechtung der Entscheidung. Ein Profiling, das zur Folge hat, dass natürliche Personen aufgrund von personenbezogenen Daten diskriminiert werden, die ihrem Wesen nach hinsichtlich der Grundrechte und Grundfreiheiten besonders sensibel sind, sollte gemäß den Bestimmungen der Artikel 21 und 52 der Charta verboten werden.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(39)</p> </td> <td valign="top"> <p class="normal">Damit die betroffene Person ihre Rechte wahrnehmen kann, sollten alle Informationen für sie leicht zugänglich — auch auf der Website des Verantwortlichen — und verständlich, also in klarer und einfacher Sprache abgefasst sein. Diese Informationen sollten an die Bedürfnisse von schutzbedürftigen Personen, wie etwa Kindern, angepasst werden.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(40)</p> </td> <td valign="top"> <p class="normal">Es sollten Modalitäten festgelegt werden, die einer betroffenen Person die Ausübung ihrer Rechte aufgrund der nach dieser Richtlinie erlassenen Vorschriften erleichtern, darunter auch Mechanismen, die dafür sorgen, dass sie unentgeltlich insbesondere Zugang zu personenbezogenen Daten und deren Berichtigung oder Löschung beantragen und gegebenenfalls erhalten oder von ihrem Widerspruchsrecht Gebrauch machen kann. Der Verantwortliche sollte verpflichtet werden, den Antrag der betroffenen Person unverzüglich zu beantworten, es sei denn, er wendet Einschränkungen in Bezug auf die Rechte der betroffenen Person gemäß dieser Richtlinie an. Bei offenkundig unbegründeten oder exzessiven Anträgen, zum Beispiel wenn die betroffene Person ungebührlich und wiederholt Informationen verlangt oder wenn die betroffene Person ihr Recht auf Unterrichtung missbraucht, beispielsweise indem sie in ihrem Antrag falsche oder irreführende Angaben macht, sollte der Verantwortliche, eine angemessene Gebühr erheben können oder sich weigern können, aufgrund des Antrags tätig zu werden.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(41)</p> </td> <td valign="top"> <p class="normal">Fordert der Verantwortliche zusätzliche Informationen an, die zur Bestätigung der Identität der betroffenen Person erforderlich sind, so sollten diese Informationen nur für diesen konkreten Zweck verarbeitet werden und nicht länger gespeichert werden, als es für diesen Zweck notwendig ist.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(42)</p> </td> <td valign="top"> <p class="normal">Der betroffenen Person sollten zumindest folgende Informationen zur Verfügung gestellt werden: die Identität des Verantwortlichen, die Existenz des Verarbeitungsvorgangs, die Zwecke der Verarbeitung, das Beschwerderecht und das Bestehen eines Rechts auf Auskunft und Berichtigung oder Löschung personenbezogener Daten und auf Einschränkung der Verarbeitung durch den Verantwortlichen. Dies könnte auf der Website der zuständigen Behörde erfolgen. Außerdem sollte die betroffene Person in bestimmten Fällen und zur Ermöglichung der Ausübung ihrer Rechte über die Rechtsgrundlage der Verarbeitung und die Speicherfrist informiert werden, soweit diese zusätzlichen Informationen unter Berücksichtigung der spezifischen Umstände, unter denen die Daten verarbeitet werden, notwendig sind, um gegenüber der betroffenen Person eine Verarbeitung nach Treu und Glauben zu gewährleisten.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(43)</p> </td> <td valign="top"> <p class="normal">Eine natürliche Person sollte ein Auskunftsrecht hinsichtlich der sie betreffenden Daten, die erhoben worden sind, besitzen und dieses Recht problemlos und in angemessenen Abständen wahrnehmen können, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können. Jede betroffene Person sollte daher das Recht haben, zu wissen und zu erfahren, zu welchen Zwecken die Daten verarbeitet werden, wie lange sie verarbeitet werden und wer deren Empfänger, einschließlich solcher in Drittländern, sind. Enthalten solche Mitteilungen Informationen über den Ursprung der personenbezogenen Daten, so sollten die Informationen nicht die Identität natürlicher Personen und insbesondere keine vertraulichen Quellen preisgeben. Damit diesem Recht entsprochen wird, braucht die betroffene Person lediglich im Besitz einer vollständigen Übersicht über diese Daten in verständlicher Form zu sein, d. h. in einer Form, die es ihr ermöglicht, sich dieser Daten bewusst zu werden und nachzuprüfen, ob sie richtig sind und im Einklang mit dieser Richtlinie verarbeitet werden, so dass sie die ihr durch diese Richtlinie verliehenen Rechte ausüben kann. Eine solche Übersicht könnte in Form einer Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, bereitgestellt werden.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(44)</p> </td> <td valign="top"> <p class="normal">Die Mitgliedstaaten sollten Gesetzgebungsmaßnahmen erlassen können, mit denen die Unterrichtung der betroffenen Person aufgeschoben, eingeschränkt oder unterlassen oder die Auskunft über ihre personenbezogenen Daten ganz oder teilweise in dem Umfang und so lange eingeschränkt wird, wie dies in einer demokratischen Gesellschaft unter gebührender Berücksichtigung der Grundrechte und der berechtigten Interessen der betroffenen natürlichen Person eine erforderliche und verhältnismäßige Maßnahme darstellt, um behördliche oder gerichtliche Untersuchungen, Ermittlungen und Verfahren nicht zu behindern, die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder die Strafvollstreckung nicht zu gefährden und um die öffentliche und die nationale Sicherheit oder die Rechte und Freiheiten anderer zu schützen. Der Verantwortliche sollte im Wege einer konkreten Einzelfallprüfung feststellen, ob das Auskunftsrecht teilweise oder vollständig eingeschränkt werden sollte.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(45)</p> </td> <td valign="top"> <p class="normal">Eine Verweigerung oder Einschränkung der Auskunft sollte der betroffenen Person grundsätzlich unter Angabe der sachlichen oder rechtlichen Gründe hierfür schriftlich mitgeteilt werden.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(46)</p> </td> <td valign="top"> <p class="normal">Jede Einschränkung der Rechte der betroffenen Person muss mit der Charta und mit der EMRK in der Auslegung durch die Rechtsprechung des Gerichtshofs bzw. des Europäischen Gerichtshofs für Menschenrechte vereinbar sein und insbesondere den Wesensgehalt dieser Rechte und Freiheiten achten.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(47)</p> </td> <td valign="top"> <p class="normal">Eine natürliche Person sollte das Recht auf Berichtigung sie betreffender unrichtiger personenbezogener Daten, insbesondere bei Bezug auf Tatsachen, sowie das Recht auf Löschung besitzen, wenn die Datenverarbeitung gegen diese Richtlinie verstößt. Das Recht auf Berichtigung sollte allerdings beispielsweise nicht den Inhalt einer Zeugenaussage berühren. Eine natürliche Person sollte auch das Recht auf Einschränkung der Verarbeitung besitzen, wenn sie die Richtigkeit personenbezogener Daten bestreitet und deren Richtigkeit oder Unrichtigkeit nicht festgestellt werden kann oder wenn die personenbezogenen Daten für Beweiszwecke weiter aufbewahrt werden müssen. Insbesondere sollte statt der Löschung personenbezogener Daten die Verarbeitung eingeschränkt werden, wenn in einem konkreten Fall berechtigter Grund zu der Annahme besteht, dass eine Löschung die berechtigten Interessen der betroffenen Person beeinträchtigen könnte. In einem solchen Fall sollten Daten mit Einschränkungsmarkierung nur zu dem Zweck verarbeitet werden, der ihrer Löschung entgegenstand. Methoden zur Einschränkung der Verarbeitung personenbezogener Daten könnten unter anderem darin bestehen, dass ausgewählte Daten, beispielsweise zu Archivierungszwecken, auf ein anderes Verarbeitungssystem übertragen oder gesperrt werden. In automatisierten Dateisystemen sollte die Einschränkung der Verarbeitung grundsätzlich durch technische Mittel erfolgen. Auf die Tatsache, dass die Verarbeitung der personenbezogenen Daten beschränkt wurde, sollte in dem System unmissverständlich hingewiesen werden. Entsprechende Berichtigungen oder Löschungen personenbezogener Daten oder Einschränkungen der Verarbeitung sollten den Empfängern, gegenüber dem die personenbezogenen Daten offengelegt wurden, und den zuständigen Behörden, von denen die unrichtigen Daten stammen, mitgeteilt werden. Der Verantwortliche sollte auch von jeglicher Weiterverbreitung dieser Daten Abstand nehmen.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(48)</p> </td> <td valign="top"> <p class="normal">Verweigert ein Verantwortlicher einer betroffenen Person ihr Recht auf Unterrichtung, Auskunft, Berichtigung oder Löschung personenbezogener Daten oder Einschränkung der Verarbeitung, so sollte die betroffene Person die nationale Aufsichtsbehörde ersuchen können, die Rechtmäßigkeit der Verarbeitung zu überprüfen. Die betroffene Person sollte über dieses Recht unterrichtet werden. Handelt die Aufsichtsbehörde im Namen der betroffenen Person, so sollte sie die betroffene Person zumindest darüber informieren, dass alle erforderlichen Prüfungen oder Überprüfungen durchgeführt wurden. Die Aufsichtsbehörde sollte die betroffene Person zudem über ihr Recht auf gerichtlichen Rechtsbehelf in Kenntnis setzen.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(49)</p> </td> <td valign="top"> <p class="normal">Werden personenbezogene Daten im Zusammenhang mit strafrechtlichen Ermittlungen und Gerichtsverfahren in Strafsachen verarbeitet, so sollten die Mitgliedstaaten vorsehen können, dass die Ausübung des Rechts auf Unterrichtung, Auskunft, Berichtigung oder Löschung personenbezogener Daten oder Einschränkung der Verarbeitung nach Maßgabe des einzelstaatlichen Strafverfahrensrechts erfolgt.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(50)</p> </td> <td valign="top"> <p class="normal">Die Verantwortung und Haftung des Verantwortlichen für jedwede Verarbeitung personenbezogener Daten, die durch ihn oder in seinem Namen erfolgt, sollte geregelt werden. Insbesondere sollte der Verantwortliche geeignete und wirksame Maßnahmen treffen müssen und nachweisen können, dass die Verarbeitungstätigkeiten im Einklang mit dieser Richtlinie stehen. Dabei sollte er die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung und das Risiko für die Rechte und Freiheiten natürlicher Personen berücksichtigen. Im Rahmen der von ihm ergriffenen Maßnahmen sollte der Verantwortliche auch spezifische Garantien für die Verarbeitung personenbezogener Daten von schutzbedürftigen natürlichen Personen, wie etwa Kindern, ausarbeiten und implementieren.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(51)</p> </td> <td valign="top"> <p class="normal">Risiken für die Rechte und Freiheiten der natürlichen Personen — mit unterschiedlicher Eintrittswahrscheinlichkeit und Schwere — können aus einer Datenverarbeitung hervorgehen, die zu einem physischen, materiellen oder immateriellen Schaden führen könnte, insbesondere wenn die Verarbeitung zu einer Diskriminierung, einem Identitätsdiebstahl oder -betrug, einem finanziellen Verlust, einer Rufschädigung, einem Verlust der Vertraulichkeit von dem Berufsgeheimnis unterliegenden Daten, der unbefugten Umkehr der Pseudonymisierung oder anderen erheblichen wirtschaftlichen oder gesellschaftlichen Nachteilen führen kann, wenn die betroffenen Personen um ihre Rechte und Freiheiten gebracht oder daran gehindert werden, die sie betreffenden personenbezogenen Daten zu kontrollieren, wenn personenbezogene Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, die Religion oder weltanschauliche Überzeugungen oder die Zugehörigkeit zu einer Gewerkschaft hervorgehen, wenn genetische Daten oder biometrische Daten zur eindeutigen Identifizierung einer Person oder Daten über die Gesundheit oder Daten über das Sexualleben und sexuelle Orientierung oder über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln verarbeitet werden, wenn persönliche Aspekte bewertet werden, insbesondere wenn Aspekte, die die Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben oder Interessen, die Zuverlässigkeit oder das Verhalten, den Aufenthaltsort oder Ortswechsel betreffen, analysiert und prognostiziert werden, um ein persönliches Profil zu erstellen oder zu nutzen, wenn personenbezogene Daten schutzbedürftiger natürlicher Personen, insbesondere Daten von Kindern, verarbeitet werden oder wenn die Verarbeitung eine große Menge personenbezogener Daten und eine große Anzahl von Personen betrifft.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(52)</p> </td> <td valign="top"> <p class="normal">Eintrittswahrscheinlichkeit und Schwere des Risikos sollten nach der Art, dem Umfang, den Umständen und den Zwecken der Verarbeitung bestimmt werden. Das Risiko sollte anhand einer objektiven Bewertung beurteilt werden, bei der festgestellt wird, ob die Datenverarbeitung ein hohes Risiko birgt. Ein hohes Risiko ist ein besonderes Risiko der Beeinträchtigung der Rechte und Freiheiten der betroffenen Personen.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(53)</p> </td> <td valign="top"> <p class="normal">Zum Schutz der in Bezug auf die Verarbeitung personenbezogener Daten bestehenden Rechte und Freiheiten natürlicher Personen ist es erforderlich, dass geeignete technische und organisatorische Maßnahmen getroffen werden, damit die Anforderungen dieser Richtlinie erfüllt werden. Die Umsetzung dieser Maßnahmen sollte nicht ausschließlich von wirtschaftlichen Erwägungen abhängig gemacht werden. Um die Einhaltung dieser Richtlinie nachweisen zu können, sollte der Verantwortliche interne Strategien festlegen und Maßnahmen ergreifen, die insbesondere den Grundsätzen des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen Genüge tun. Hat der Verantwortliche eine Datenschutz-Folgenabschätzung gemäß dieser Richtlinie vorgenommen, sollten die entsprechenden Ergebnisse bei der Entwicklung dieser Maßnahmen und Verfahren berücksichtigt werden. Die Maßnahmen könnten u. a. aus einer möglichst frühen Pseudonymisierung bestehen. Gerade durch die Pseudonymisierung für die Zwecke dieser Richtlinie könnte der freie Verkehr personenbezogener Daten im Raum der Freiheit, der Sicherheit und des Rechts erleichtert werden.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(54)</p> </td> <td valign="top"> <p class="normal">Zum Schutz der Rechte und Freiheiten der betroffenen Personen sowie bezüglich der Verantwortung und Haftung der Verantwortlichen und der Auftragsverarbeiter bedarf es — auch mit Blick auf die Überwachungs- und sonstigen Maßnahmen von Aufsichtsbehörden — einer klaren Zuteilung der Verantwortlichkeiten gemäß dieser Richtlinie, einschließlich der Fälle, in denen ein Verantwortlicher die Verarbeitungszwecke und -mittel gemeinsam mit anderen Verantwortlichen festlegt oder ein Verarbeitungsvorgang im Auftrag eines Verantwortlichen durchgeführt wird.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(55)</p> </td> <td valign="top"> <p class="normal">Die Durchführung einer Verarbeitung durch einen Auftragsverarbeiter sollte auf der Grundlage eines Rechtsinstruments einschließlich eines Vertrags erfolgen, der den Auftragsverarbeiter an den Verantwortlichen bindet und in dem insbesondere vorgesehen ist, dass der Auftragsverarbeiter nur auf Weisung des Verantwortlichen handeln sollte. Der Auftragsverarbeiter sollte den Grundsatz des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen berücksichtigen.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(56)</p> </td> <td valign="top"> <p class="normal">Zum Nachweis der Einhaltung dieser Richtlinie sollte der Verantwortliche oder der Auftragsverarbeiter ein Verzeichnis aller Kategorien von Tätigkeiten, die seiner Zuständigkeit unterliegen, führen. Jeder Verantwortliche und jeder Auftragsverarbeiter sollte verpflichtet sein, mit der Aufsichtsbehörde zusammenzuarbeiten und dieser auf Anfrage dieses Verzeichnis vorzulegen, damit die betreffenden Verarbeitungsvorgänge anhand dieses Verzeichnisses kontrolliert werden können. Der Verantwortliche oder der Auftragsverarbeiter, der personenbezogene Daten in nicht automatisierten Verarbeitungssystemen verarbeitet, sollte über wirksame Methoden zum Nachweis der Rechtmäßigkeit der Verarbeitung, zur Ermöglichung der Eigenüberwachung und zur Sicherstellung der Integrität und Sicherheit der Daten, wie etwa Protokolle oder andere Formen von Verzeichnissen, verfügen.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(57)</p> </td> <td valign="top"> <p class="normal">In automatisierten Verarbeitungssystemen werden zumindest über folgende Verarbeitungsvorgänge Protokolle geführt: Erhebung, Veränderung, Abfrage, Offenlegung einschließlich Übermittlungen, Kombination oder Löschung. Die Identifizierung der Person, die personenbezogene Daten abgefragt oder offengelegt hat, sollte protokolliert werden und aus dieser Identifizierung sollt sich die Begründung für die Verarbeitungsvorgänge ableiten lassen. Die Protokolle sollten ausschließlich zum Zwecke der Überprüfung der Rechtmäßigkeit der Datenverarbeitung, der Eigenüberwachung, der Sicherstellung der Integrität und Sicherheit der Daten sowie für Strafverfahren verwendet werden. Die Eigenüberwachung umfasst auch interne Disziplinarverfahren der zuständigen Behörden.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(58)</p> </td> <td valign="top"> <p class="normal">Eine Datenschutz-Folgenabschätzung, die sich insbesondere mit den Maßnahmen, Garantien und Verfahren befasst, die geplant sind den Schutz personenbezogener Daten zu gewährleisten und die die Einhaltung der Bestimmungen dieser Richtlinie nachweisen sollen, sollte durch den Verantwortlichen durchgeführt werden, wenn die Verarbeitungsvorgänge aufgrund ihres Wesens, ihres Umfangs oder ihrer Zwecke voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen zur Folge haben. Datenschutz-Folgenabschätzungen sollten auf maßgebliche Systeme und Verfahren im Rahmen von Verarbeitungsvorgängen abstellen, nicht jedoch auf Einzelfälle.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(59)</p> </td> <td valign="top"> <p class="normal">Um einen wirksamen Schutz der Rechte und Freiheiten der betroffenen Personen zu gewährleisten, sollte der Verantwortliche oder der Auftragsverarbeiter in bestimmten Fällen vor der Verarbeitung die Aufsichtsbehörde konsultieren.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(60)</p> </td> <td valign="top"> <p class="normal">Zur Aufrechterhaltung der Sicherheit und zur Vorbeugung gegen eine gegen diese Richtlinie verstoßende Verarbeitung sollte der Verantwortliche oder der Auftragsverarbeiter die mit der Verarbeitung verbundenen Risiken ermitteln und Maßnahmen zu ihrer Eindämmung, wie etwa eine Verschlüsselung, treffen. Solche Maßnahmen sollten unter Berücksichtigung des Stands der Technik und der Implementierungskosten ein Schutzniveau — auch hinsichtlich der Vertraulichkeit — gewährleisten, das dem von der Verarbeitung ausgehenden Risiko und der Art der zu schützenden personenbezogenen Daten angemessen ist. Bei der Bewertung der Datensicherheitsrisiken sollten die mit der Datenverarbeitung verbundenen Risiken berücksichtigt werden, wie etwa Vernichtung, Verlust oder Veränderung, ob unbeabsichtigt oder unrechtmäßig, oder unbefugte Offenlegung von oder unbefugter Zugang zu personenbezogenen Daten, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden, insbesondere wenn dies zu einem physischen, materiellen oder immateriellen Schaden führen könnte. Der Verantwortliche und der Auftragsverarbeiter sollten sicherstellen, dass personenbezogene Daten nicht durch Unbefugte verarbeitet werden.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(61)</p> </td> <td valign="top"> <p class="normal">Eine Verletzung des Schutzes personenbezogener Daten kann — wenn nicht rechtzeitig und angemessen reagiert wird — einen physischen, materiellen oder immateriellen Schaden für natürliche Personen nach sich ziehen, wie etwa Verlust der Kontrolle über ihre personenbezogenen Daten oder Einschränkung ihrer Rechte, Diskriminierung, Identitätsdiebstahl oder -betrug, finanzielle Verluste, unbefugte Aufhebung der Pseudonymisierung, Rufschädigung, Verlust der Vertraulichkeit von dem Berufsgeheimnis unterliegenden personenbezogenen Daten oder andere erhebliche wirtschaftliche oder gesellschaftliche Nachteile für die betroffene natürliche Person. Deshalb sollte der Verantwortliche, sobald ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die Aufsichtsbehörde von der Verletzung des Schutzes personenbezogener Daten unverzüglich und, falls möglich, binnen höchstens 72 Stunden nachdem ihm die Verletzung bekannt wurde, unterrichten, es sei denn der Verantwortliche kann im Einklang mit dem Grundsatz der Rechenschaftspflicht nachweisen, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen führt. Falls diese Benachrichtigung nicht binnen 72 Stunden erfolgen kann, sollten in ihr die Gründe für die Verzögerung angegeben werden müssen, und die Informationen können schrittweise ohne unangemessene weitere Verzögerung bereitgestellt werden.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(62)</p> </td> <td valign="top"> <p class="normal">Natürliche Personen, sollten unverzüglich benachrichtigt werden, wenn die Verletzung des Schutzes personenbezogener Daten voraussichtlich zu einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen führt, damit sie die erforderlichen Vorkehrungen treffen können. Die Benachrichtigung sollte eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten sowie an die betroffene natürliche Person gerichtete Empfehlungen zur Minderung etwaiger nachteiliger Auswirkungen dieser Verletzung enthalten. Die Benachrichtigung der betroffenen Person sollte stets so rasch wie nach allgemeinem Ermessen möglich, in enger Absprache mit der Aufsichtsbehörde und nach Maßgabe der von dieser oder von anderen zuständigen Behörden erteilten Weisungen erfolgen. Um beispielsweise das Risiko eines unmittelbaren Schadens mindern zu können, müsste die betroffene Person sofort benachrichtigt werden, wohingegen eine längere Benachrichtigungsfrist gerechtfertigt sein kann, wenn es darum geht, geeignete Maßnahmen gegen fortlaufende oder ähnliche Verletzungen des Schutzes von Daten zu treffen. In Ausnahmefällen könnte die Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen natürlichen Person unterbleiben, wenn ein Aufschub oder eine Einschränkung dieser Benachrichtigung nicht ausreicht, um behördliche oder gerichtliche Untersuchungen, Ermittlungen und Verfahren nicht zu behindern, die Verhütung, Aufdeckung, Ermittlung oder Verfolgung von Straftaten oder die Strafvollstreckung nicht zu gefährden und um die öffentliche und die nationale Sicherheit oder die Rechte und Freiheiten anderer zu schützen.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(63)</p> </td> <td valign="top"> <p class="normal">Der Verantwortliche sollte eine Person benennen, die ihn dabei unterstützt, die interne Einhaltung der nach dieser Richtlinie erlassenen Vorschriften zu überwachen, es sei denn, ein Mitgliedstaat beschließt eine Ausnahmeregelung für Gerichte und andere unabhängige Justizbehörden im Rahmen ihrer justiziellen Tätigkeit. Bei dieser Person kann es sich um ein Mitglied des vorhandenen Personals des Verantwortlichen handeln, das eine besondere Schulung auf dem Gebiet der Datenschutzvorschriften und der Datenschutzpraxis erhalten hat, um einschlägiges Fachwissen in diesem Bereich zu erwerben. Der Grad des erforderlichen Fachwissens sollte sich insbesondere nach der Art der durchgeführten Datenverarbeitung und des erforderlichen Schutzes für die von dem Verantwortlichen verarbeiteten personenbezogenen Daten richten. Die betreffende Person kann ihre Aufgabe auf Teilzeit- oder Vollzeitbasis wahrnehmen. Mehrere Verantwortliche können unter Berücksichtigung ihrer Organisationsstruktur und ihrer Größe gemeinsam einen Datenschutzbeauftragten bestellen, zum Beispiel im Falle einer gemeinsamen Nutzung von Ressourcen in zentralen Stellen. Die betreffende Person kann auch für verschiedene Positionen innerhalb der Struktur der jeweils Verantwortlichen benannt werden. Sie sollte den Verantwortlichen und die Beschäftigten, die personenbezogene Daten verarbeiten, unterstützen, indem sie diese Personen über die Einhaltung ihrer jeweiligen Datenschutzpflichten unterrichtet und berät. Diese Datenschutzbeauftragten sollten ihren Auftrag und ihre Aufgaben auf unabhängige Weise gemäß dem Recht der Mitgliedstaaten wahrnehmen können.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(64)</p> </td> <td valign="top"> <p class="normal">Die Mitgliedstaaten sollten dafür sorgen, dass Daten nur dann an ein Drittland oder eine internationale Organisation übermittelt werden, wenn dies für die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder für die Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, notwendig ist und es sich bei dem Verantwortlichen in dem Drittland oder in der internationalen Organisation um eine zuständige Behörde im Sinne dieser Richtlinie handelt. Eine Übermittlung sollte nur durch zuständige Behörden vorgenommen werden, die als Verantwortliche agieren, es sei denn, Auftragsverarbeiter werden ausdrücklich beauftragt, im Namen der Verantwortlichen Übermittlungen vorzunehmen. Derartige Übermittlungen können erfolgen, wenn die Kommission beschlossen hat, dass das betreffende Drittland oder die betreffende internationale Organisation ein angemessenes Schutzniveau gewährleistet, oder wenn geeignete Garantien bestehen oder wenn Ausnahmen für bestimmte Fälle gelten. Das durch diese Richtlinie unionsweit gewährleistete Schutzniveau für natürliche Personen sollte bei der Übermittlung personenbezogener Daten aus der Union an Verantwortliche, Auftragsverarbeiter oder andere Empfänger in Drittländern oder an internationale Organisationen nicht untergraben werden, und zwar auch dann nicht, wenn aus dem Drittland oder von der internationalen Organisation personenbezogene Daten an Verantwortliche oder Auftragsverarbeiter in demselben oder einem anderen Drittland oder an dieselbe oder eine andere internationale Organisation weiterübermittelt werden.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(65)</p> </td> <td valign="top"> <p class="normal">Werden personenbezogene Daten von einem Mitgliedstaat an Drittländer oder internationale Organisationen übermittelt, so sollte die Übermittlung grundsätzlich erst dann erfolgen, wenn der Mitgliedstaat, von dem die Daten stammen, die Übermittlung genehmigt hat. Im Interesse einer wirksamen Zusammenarbeit bei der Verhütung, Ermittlung und Aufdeckung von Straftaten ist es erforderlich, dass im Falle einer Gefahr für die öffentliche Sicherheit eines Mitgliedstaats oder eines Drittlandes oder für die wesentlichen Interessen eines Mitgliedstaats, die so unvermittelt eintritt, dass es unmöglich ist, rechtzeitig eine vorherige Genehmigung einzuholen, die zuständige Behörde die maßgeblichen personenbezogenen Daten ohne vorherige Genehmigung an das betreffende Drittland oder die betreffende internationale Organisation übermitteln können sollte. Die Mitgliedstaaten sollten vorsehen, dass Drittländern oder internationalen Organisationen etwaige besondere Bedingungen für die Übermittlung mitgeteilt werden. Die Weiterübermittlung personenbezogener Daten sollte der vorherigen Genehmigung durch die zuständige Behörde bedürfen, die die ursprüngliche Übermittlung durchgeführt hat. Bei der Entscheidung über einen Antrag auf die Genehmigung einer Weiterübermittlung sollte die zuständige Behörde, die die ursprüngliche Übermittlung durchgeführt hat, alle maßgeblichen Faktoren gebührend berücksichtigen, einschließlich der Schwere der Straftat, der spezifischen Auflagen und des Zwecks der ursprünglichen Datenübermittlung, der Art und der Bedingungen der Strafvollstreckung sowie des Schutzniveaus für personenbezogene Daten in dem Drittland oder der internationalen Organisation, an das bzw. die personenbezogene Daten weiterübermittelt werden sollen. Die zuständige Behörde, die die ursprüngliche Übermittlung durchgeführt hat, sollte die Weiterübermittlung auch an besondere Bedingungen knüpfen können. Diese besonderen Bedingungen können zum Beispiel in Bearbeitungscodes dargelegt werden.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(66)</p> </td> <td valign="top"> <p class="normal">Die Kommission sollte mit Wirkung für die gesamte Union beschließen können, dass bestimmte Drittländer, ein Gebiet oder ein oder mehrere spezifische Sektoren in einem Drittland oder eine internationale Organisation ein angemessenes Datenschutzniveau bieten, und auf diese Weise in Bezug auf die Drittländer und internationalen Organisationen, die für fähig gehalten werden, ein solches Schutzniveau zu bieten, in der gesamten Union Rechtssicherheit schaffen und eine einheitliche Rechtsanwendung sicherstellen. In derartigen Fällen sollten personenbezogene Daten ohne besondere Genehmigung an diese Länder übermittelt werden können, es sei denn, dass ein anderer Mitgliedstaat, von dem die Daten stammen, die Übermittlung zu genehmigen hat.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(67)</p> </td> <td valign="top"> <p class="normal">In Übereinstimmung mit den Grundwerten der Union, zu denen insbesondere der Schutz der Menschenrechte zählt, sollte die Kommission bei der Bewertung des Drittlandes oder eines Gebiets oder eines bestimmten Sektors in einem Drittland berücksichtigen, inwieweit in einem bestimmten Drittland die Rechtsstaatlichkeit gewahrt ist, der Rechtsweg gewährleistet ist und die internationalen Menschenrechtsnormen und -standards eingehalten werden und welche allgemeinen und sektorspezifischen Vorschriften, wozu auch die Vorschriften über die öffentliche Sicherheit, die Landesverteidigung, die nationale Sicherheit und öffentliche Ordnung sowie das Strafrecht zählen, dort gelten. Die Annahme eines Angemessenheitsbeschlusses in Bezug auf ein Gebiet oder einen bestimmten Sektor in einem Drittland sollte unter Berücksichtigung eindeutiger und objektiver Kriterien wie bestimmter Verarbeitungsvorgänge und des Anwendungsbereichs anwendbarer Rechtsnormen und geltender Rechtsvorschriften in dem Drittland erfolgen. Das Drittland sollte Garantien für ein angemessenes Schutzniveau bieten, das im Wesentlichen dem innerhalb der Union gewährleisteten Schutzniveau der Sache nach gleichwertig ist, insbesondere in Fällen, in denen Daten in einem oder mehreren spezifischen Sektoren verarbeitet werden. Das Drittland sollte insbesondere eine wirksame unabhängige Überwachung des Datenschutzes gewährleisten und Mechanismen für eine Zusammenarbeit mit den Datenschutzbehörden der Mitgliedstaaten vorsehen, und den betroffenen Personen sollten wirksame und durchsetzbare Rechte sowie wirksame behördliche und gerichtliche Rechtsbehelfe eingeräumt werden.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(68)</p> </td> <td valign="top"> <p class="normal">Die Kommission sollte neben den internationalen Verpflichtungen, die das Drittland oder die internationale Organisation eingegangen ist, auch die Verpflichtungen, die sich aus der Teilnahme des Drittlandes oder der internationalen Organisation an multilateralen oder regionalen Systemen insbesondere im Hinblick auf den Schutz personenbezogener Daten ergeben, sowie die Umsetzung dieser Verpflichtungen berücksichtigen. Insbesondere sollte der Beitritt des Drittlandes zum Übereinkommen des Europarates vom 28. Januar 1981 zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten und dem dazugehörigen Zusatzprotokoll berücksichtigt werden. Die Kommission sollte den durch die Verordnung (EU) 2016/679 eingesetzten Europäischen Datenschutzausschuss (im Folgenden „Ausschuss“) konsultieren, wenn sie das Schutzniveau in Drittländern oder internationalen Organisationen bewertet. Die Kommission sollte ferner alle maßgeblichen Angemessenheitsbeschlüsse berücksichtigen, die sie nach Artikel 45 der Verordnung (EU) 2016/679 angenommen hat.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(69)</p> </td> <td valign="top"> <p class="normal">Die Kommission sollte die Wirksamkeit von Feststellungen zum Schutzniveau in einem Drittland, einem Gebiet oder einem spezifischen Sektor in einem Drittland oder einer internationalen Organisation überwachen. In ihren Angemessenheitsbeschlüssen sollte die Kommission einen Mechanismus für die regelmäßige Überprüfung ihrer Wirkungsweise vorsehen. Diese regelmäßige Überprüfung sollte in Konsultation mit dem betreffenden Drittland oder der betreffenden internationalen Organisation erfolgen und allen maßgeblichen Entwicklungen in dem Drittland oder der internationalen Organisation Rechnung tragen.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(70)</p> </td> <td valign="top"> <p class="normal">Die Kommission sollte auch feststellen können, dass ein Drittland, ein Gebiet oder ein spezifischer Sektor in einem Drittland oder eine internationale Organisation kein angemessenes Datenschutzniveau mehr bietet. Die Übermittlung personenbezogener Daten an dieses Drittland oder an diese internationale Organisation sollte daraufhin verboten werden, es sei denn, die Anforderungen dieser Richtlinie in Bezug auf Datenübermittlung vorbehaltlich geeigneter Garantien und Ausnahmen für bestimmte Fälle werden erfüllt. Es sollten Verfahren für Konsultationen zwischen der Kommission und den betreffenden Drittländern oder internationalen Organisationen vorgesehen werden. Die Kommission sollte dem Drittland oder der internationalen Organisation frühzeitig die Gründe mitteilen und Konsultationen aufnehmen, um Abhilfe für die Situation zu schaffen.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(71)</p> </td> <td valign="top"> <p class="normal">Datenübermittlungen, die nicht auf der Grundlage eines Angemessenheitsbeschlusses erfolgen, sollten nur dann zulässig sein, wenn in einem rechtsverbindlichen Instrument geeignete Garantien festgelegt sind, die den Schutz personenbezogener Daten gewährleisten, oder wenn der Verantwortliche alle Umstände beurteilt hat, die bei der Datenübermittlung eine Rolle spielen, und auf der Grundlage dieser Beurteilung zu der Auffassung gelangt ist, dass geeignete Garantien zum Schutz personenbezogener Daten bestehen. Solche rechtsverbindlichen Instrumente könnten beispielsweise rechtsverbindliche bilaterale Abkommen sein, die von den Mitgliedstaaten geschlossen und in ihre Rechtsordnung übernommen wurden und von ihren betroffenen Personen durchgesetzt werden können und die sicherstellen, dass die Datenschutzvorschriften und die Rechte der betroffenen Personen einschließlich ihres Rechts auf wirksame verwaltungsrechtliche und gerichtliche Rechtsbehelfe beachtet werden. Der Verantwortliche sollte Kooperationsvereinbarungen zwischen Europol oder Eurojust und Drittländern berücksichtigen können, die den Austausch personenbezogener Daten ermöglichen, wenn er alle Umstände im Zusammenhang mit der Datenübermittlung beurteilt. Der Verantwortliche sollte außerdem berücksichtigen können, dass die Übermittlung personenbezogener Daten Geheimhaltungspflichten und dem Grundsatz der Spezialität unterliegt, damit gewährleistet wird, dass die Daten nicht zu anderen Zwecken als zu den Zwecken, zu denen sie übermittelt wurden, verarbeitet werden. Darüber hinaus sollte der Verantwortliche berücksichtigen, dass die personenbezogenen Daten nicht verwendet werden, um die Todesstrafe oder eine Form der grausamen und unmenschlichen Behandlung zu beantragen, zu verhängen oder zu vollstrecken. Diese Bedingungen könnten zwar als geeignete Garantien angesehen werden, die die Datenübermittlung zulassen, jedoch sollte der Verantwortliche zusätzliche Garantien verlangen können.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(72)</p> </td> <td valign="top"> <p class="normal">Sind weder ein Angemessenheitsbeschluss noch geeignete Garantien vorhanden, so sollte eine Übermittlung oder eine Kategorie von Übermittlungen nur in bestimmten Fällen erfolgen können, in denen dies erforderlich ist: zur Wahrung wesentlicher Interessen der betroffenen oder einer anderen Person; zum Schutz berechtigter Interessen der betroffenen Person, wenn dies nach dem Recht des Mitgliedstaats, aus dem die personenbezogenen Daten übermittelt werden, vorgesehen ist; zur Abwehr einer unmittelbaren, ernsthaften Gefahr für die öffentliche Sicherheit eines Mitgliedstaats oder eines Drittlandes; in einem Einzelfall zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit; oder in einem Einzelfall zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Diese Ausnahmen sollten restriktiv ausgelegt werden, häufige, umfassende und strukturelle Übermittlungen personenbezogener Daten sowie Datenübermittlungen in großem Umfang ausschließen und daher auf unbedingt notwendige Daten beschränkt sein. Derartige Übermittlungen sollten dokumentiert werden, und die entsprechende Dokumentation sollte der Aufsichtsbehörde auf Anfrage zur Verfügung gestellt werden, damit diese die Rechtmäßigkeit der Übermittlung überprüfen kann.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(73)</p> </td> <td valign="top"> <p class="normal">Die zuständigen Behörden der Mitgliedstaaten wenden die geltenden bilateralen oder multilateralen internationalen Übereinkünfte, die mit Drittländern auf den Gebieten der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit geschlossen wurden, für den Austausch maßgeblicher Informationen an, um ihnen zu ermöglichen, die ihnen rechtlich zugewiesenen Aufgaben wahrzunehmen. Grundsätzlich erfolgt dies über die im betreffenden Drittland für die Zwecke dieser Richtlinie zuständigen Behörden oder zumindest in Zusammenarbeit mit diesen Behörden des Drittlandes, mitunter auch dann, wenn keine bilaterale oder multilaterale internationale Übereinkunft existiert. In speziellen Einzelfällen können die regulären Verfahren, die eine Kontaktaufnahme mit dieser Behörde in dem betreffenden Drittland vorschreiben, wirkungslos oder ungeeignet sein, insbesondere weil die Übermittlung nicht rechtzeitig durchgeführt werden konnte oder weil diese Behörde in dem betreffenden Drittland die Rechtsstaatlichkeit oder die internationalen Menschenrechtsbestimmungen nicht achtet, so dass die zuständigen Behörden der Mitgliedstaaten beschließen können, die personenbezogenen Daten direkt an in Drittländern niedergelassene Empfänger zu übermitteln. Dies kann der Fall sein, wenn es dringend geboten ist, personenbezogene Daten zu übermitteln, um das Leben einer Person zu schützen, die Gefahr läuft, Opfer einer Straftat zu werden, oder um die unmittelbar bevorstehende Begehung einer Straftat, einschließlich einer terroristischen Straftat, zu verhindern. Auch wenn eine solche Übermittlung zwischen zuständigen Behörden und in Drittländern niedergelassenen Empfängern nur in speziellen Einzelfällen erfolgen sollte, sollte diese Richtlinie die Voraussetzungen für die Regelung solcher Fälle vorsehen. Diese Bestimmungen sollten nicht als Ausnahmen von geltenden bilateralen oder multilateralen internationalen Übereinkünften auf den Gebieten der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit betrachtet werden. Diese Vorschriften sollten zusätzlich zu den sonstigen Vorschriften dieser Richtlinie gelten, insbesondere den Vorschriften über die Rechtmäßigkeit der Verarbeitung und Kapitel V.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(74)</p> </td> <td valign="top"> <p class="normal">Wenn personenbezogene Daten in ein anderes Land übermittelt werden, kann dies dazu führen, dass natürliche Personen weniger Möglichkeiten haben, ihre Datenschutzrechte wahrzunehmen und sich gegen eine unrechtmäßige Nutzung oder Offenlegung dieser Daten zu schützen. Ebenso kann es vorkommen, dass Aufsichtsbehörden Beschwerden nicht nachgehen oder Untersuchungen nicht durchführen können, die einen Bezug zu Tätigkeiten außerhalb der Grenzen ihres Mitgliedstaats haben. Ihre Bemühungen um grenzübergreifende Zusammenarbeit können auch durch unzureichende Präventiv- und Abhilfebefugnisse und durch widersprüchliche Rechtsordnungen behindert werden. Die Zusammenarbeit zwischen den Datenschutzaufsichtsbehörden muss daher gefördert werden, um ihnen den Informationsaustausch mit Aufsichtsbehörden in anderen Ländern zu erleichtern.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(75)</p> </td> <td valign="top"> <p class="normal">Die Einrichtung von Aufsichtsbehörden in den Mitgliedstaaten, die ihre Aufgaben völlig unabhängig erfüllen können, ist ein wesentlicher Bestandteil des Schutzes natürlicher Personen bei der Verarbeitung personenbezogener Daten. Die Aufsichtsbehörden sollten die Anwendung der nach dieser Richtlinie erlassenen Vorschriften überwachen und zu ihrer einheitlichen Anwendung in der gesamten Union beitragen, um natürliche Personen bei der Verarbeitung ihrer personenbezogenen Daten zu schützen. Zu diesem Zweck bedarf es der Zusammenarbeit der Aufsichtsbehörden untereinander und mit der Kommission.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(76)</p> </td> <td valign="top"> <p class="normal">Die Mitgliedstaaten können einer bereits gemäß der Verordnung (EU) 2016/679 errichteten Aufsichtsbehörde die Verantwortung für die Aufgaben übertragen, die von den nach dieser Richtlinie einzurichtenden nationalen Aufsichtsbehörden auszuführen sind.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(77)</p> </td> <td valign="top"> <p class="normal">Die Mitgliedstaaten sollten mehr als eine Aufsichtsbehörde einrichten können, wenn dies ihrer verfassungsmäßigen, organisatorischen und administrativen Struktur entspricht. Jede Aufsichtsbehörde sollte mit Finanzmitteln, Personal, Räumlichkeiten und einer Infrastruktur ausgestattet werden, wie sie für die wirksame Wahrnehmung ihrer Aufgaben, auch der Aufgaben im Zusammenhang mit der Amtshilfe und Zusammenarbeit mit anderen Aufsichtsbehörden in der gesamten Union, notwendig sind. Jede Aufsichtsbehörde sollte über eigene, öffentliche, jährliche Haushaltspläne verfügen, die Teil des gesamten Staatshaushalts oder nationalen Haushalts sein können.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(78)</p> </td> <td valign="top"> <p class="normal">Die Aufsichtsbehörden sollten unabhängigen Kontroll- oder Überwachungsmechanismen hinsichtlich ihrer Ausgaben unterliegen, sofern diese Finanzkontrolle ihre Unabhängigkeit nicht berührt.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(79)</p> </td> <td valign="top"> <p class="normal">Die allgemeinen Anforderungen an das Mitglied oder die Mitglieder der Aufsichtsbehörde sollten durch Recht der Mitgliedstaaten geregelt werden und insbesondere vorsehen, dass diese Mitglieder entweder vom Parlament oder von der Regierung oder dem Staatsoberhaupt des betreffenden Mitgliedstaats auf Vorschlag der Regierung oder eines Regierungsmitglieds oder des Parlaments oder dessen Kammer oder von einer unabhängigen Stelle ernannt werden, die nach dem Recht des Mitgliedstaats mit der Ernennung im Wege eines transparenten Verfahrens betraut wird. Um die Unabhängigkeit der Aufsichtsbehörde zu gewährleisten, sollten ihre Mitglieder integer handeln, von allen mit den Aufgaben ihres Amts nicht zu vereinbarenden Handlungen absehen und während ihrer Amtszeit keine andere mit ihrem Amt nicht zu vereinbarende entgeltliche oder unentgeltliche Tätigkeit ausüben. Um die Unabhängigkeit der Aufsichtsbehörde zu gewährleisten, sollte ihr Personal von der Aufsichtsbehörde selbst ausgewählt werden; dabei kann eine unabhängige, nach dem Recht des Mitgliedstaats betraute Stelle eingeschaltet werden.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(80)</p> </td> <td valign="top"> <p class="normal">Obgleich diese Richtlinie auch für die Tätigkeit der nationalen Gerichte und anderer Justizbehörden gilt, sollte sich die Zuständigkeit der Aufsichtsbehörden nicht auf die von Gerichten im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Datenverarbeitungen erstrecken, damit die Unabhängigkeit der Richter bei der Ausübung ihrer richterlichen Aufgaben gewahrt bleibt. Diese Ausnahme sollte allerdings begrenzt werden auf justizielle Tätigkeiten in Gerichtssachen und sich nicht auf andere Tätigkeiten beziehen, mit denen Richter nach dem Recht der Mitgliedstaaten betraut werden können. Die Mitgliedstaaten sollten außerdem vorsehen können, dass sich die Zuständigkeit der Aufsichtsbehörde nicht auf die Überwachung der Verarbeitung personenbezogener Daten erstreckt, die durch andere unabhängige Justizbehörden im Rahmen ihrer justiziellen Tätigkeit, beispielsweise Staatsanwaltschaften, erfolgt. Die Einhaltung der Vorschriften dieser Richtlinie durch die Gerichte und andere unabhängige Justizbehörden unterliegt in jedem Fall stets der unabhängigen Überwachung gemäß Artikel 8 Absatz 3 der Charta.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(81)</p> </td> <td valign="top"> <p class="normal">Jede Aufsichtsbehörde sollte sich mit Beschwerden von betroffenen Personen befassen und die Angelegenheit untersuchen oder an die zuständige Aufsichtsbehörde übermitteln. Die auf eine Beschwerde folgende Untersuchung sollte vorbehaltlich einer gerichtlichen Überprüfung so weit gehen, wie dies im Einzelfall angemessen ist. Die Aufsichtsbehörde sollte die betroffene Person innerhalb eines angemessenen Zeitraums über den Stand und die Ergebnisse der Beschwerde unterrichten. Sollten weitere Untersuchungen oder die Abstimmung mit einer anderen Aufsichtsbehörde erforderlich sein, so sollte die betroffene Person über den Zwischenstand informiert werden.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(82)</p> </td> <td valign="top"> <p class="normal">Um die wirksame, zuverlässige und einheitliche Überwachung der Einhaltung und Durchsetzung dieser Richtlinie in der gesamten Union gemäß dem AEUV in der Auslegung durch den Gerichtshof sicherzustellen, sollten die Aufsichtsbehörden in jedem Mitgliedstaat dieselben Aufgaben und wirksamen Befugnisse haben, darunter Untersuchungsbefugnisse, Abhilfebefugnisse und beratende Befugnisse, die notwendige Instrumente zur Erfüllung ihrer Aufgaben darstellen. Ihre Befugnisse dürfen jedoch weder die speziellen Vorschriften für Strafverfahren, einschließlich der Ermittlung und Verfolgung von Straftaten, noch die Unabhängigkeit der Gerichte berühren. Unbeschadet der Befugnisse der Strafverfolgungsbehörden nach dem Recht der Mitgliedstaaten sollten die Aufsichtsbehörden außerdem die Befugnis haben, Verstöße gegen diese Richtlinie den Justizbehörden zur Kenntnis zu bringen oder Gerichtsverfahren anzustrengen. Die Befugnisse der Aufsichtsbehörden sollten in Übereinstimmung mit den geeigneten Verfahrensgarantien nach dem Unionsrecht und dem Recht der Mitgliedstaaten unparteiisch, gerecht und innerhalb einer angemessenen Frist ausgeübt werden. Insbesondere sollte jede Maßnahme im Hinblick auf die Gewährleistung der Einhaltung dieser Richtlinie geeignet, erforderlich und verhältnismäßig sein, wobei die Umstände des jeweiligen Einzelfalls zu berücksichtigen sind, das Recht einer jeden Person, gehört zu werden, bevor eine individuelle Maßnahme getroffen wird, die nachteilige Auswirkungen auf die betroffene Person hätte, zu achten ist und überflüssige Kosten und übermäßige Unannehmlichkeiten für sie zu vermeiden sind. Untersuchungsbefugnisse im Hinblick auf den Zugang zu Räumlichkeiten sollten im Einklang mit besonderen Anforderungen im Recht der Mitgliedstaaten ausgeübt werden, wie etwa dem Erfordernis einer vorherigen richterlichen Genehmigung. Der Erlass eines rechtsverbindlichen Beschlusses sollte in dem Mitgliedstaat der Aufsichtsbehörde, die den Beschluss erlassen hat, einer gerichtlichen Überprüfung unterliegen.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(83)</p> </td> <td valign="top"> <p class="normal">Die Aufsichtsbehörden sollten sich gegenseitig bei der Erfüllung ihrer Aufgaben unterstützen und einander Amtshilfe leisten, damit eine einheitliche Anwendung und Durchsetzung der nach dieser Richtlinie erlassenen Vorschriften gewährleistet ist.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(84)</p> </td> <td valign="top"> <p class="normal">Der Ausschuss sollte zur einheitlichen Anwendung dieser Richtlinie in der Union beitragen, einschließlich der Beratung der Kommission und der Förderung der Zusammenarbeit der Aufsichtsbehörden in der Union.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(85)</p> </td> <td valign="top"> <p class="normal">Jede betroffene Person sollte das Recht haben, bei einer einzigen Aufsichtsbehörde eine Beschwerde einzureichen und gemäß Artikel 47 der Charta einen wirksamen gerichtlichen Rechtsbehelf einzulegen, wenn sie sich in ihren Rechten aufgrund von nach dieser Richtlinie erlassenen Vorschriften verletzt sieht oder wenn die Aufsichtsbehörde auf eine Beschwerde hin nicht tätig wird, eine Beschwerde teilweise oder ganz abweist oder ablehnt oder nicht tätig wird, obwohl dies zum Schutz der Rechte der betroffenen Person notwendig ist. Die auf eine Beschwerde folgende Untersuchung sollte vorbehaltlich gerichtlicher Überprüfung so weit gehen, wie dies im Einzelfall angemessen ist. Die zuständige Aufsichtsbehörde sollte die betroffene Person innerhalb eines angemessenen Zeitraums über den Stand und die Ergebnisse der Beschwerde unterrichten. Sollten weitere Untersuchungen oder die Abstimmung mit einer anderen Aufsichtsbehörde erforderlich sein, so sollte die betroffene Person über den Zwischenstand informiert werden. Jede Aufsichtsbehörde sollte Maßnahmen zur Erleichterung der Einreichung von Beschwerden treffen, wie etwa die Bereitstellung eines Beschwerdeformulars, das auch elektronisch ausgefüllt werden kann, ohne dass andere Kommunikationsmittel ausgeschlossen werden.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(86)</p> </td> <td valign="top"> <p class="normal">Jede natürliche oder juristische Person sollte das Recht auf einen wirksamen gerichtlichen Rechtsbehelf bei dem zuständigen einzelstaatlichen Gericht gegen einen Beschluss einer Aufsichtsbehörde haben, der gegenüber dieser Person Rechtswirkungen entfaltet. Ein derartiger Beschluss betrifft insbesondere die Ausübung von Untersuchungs-, Abhilfe- und Genehmigungsbefugnissen durch die Aufsichtsbehörde oder die Ablehnung oder Abweisung von Beschwerden. Dieses Recht umfasst jedoch nicht andere — rechtlich nicht bindende — Maßnahmen der Aufsichtsbehörden wie von ihr abgegebene Stellungnahmen oder Empfehlungen. Verfahren gegen eine Aufsichtsbehörde sollten bei den Gerichten des Mitgliedstaats angestrengt werden, in dem die Aufsichtsbehörde ihren Sitz hat, und sollten im Einklang mit dem Recht dieses Mitgliedstaats durchgeführt werden. Diese Gerichte sollten eine uneingeschränkte Zuständigkeit besitzen, was die Zuständigkeit, sämtliche für den anhängigen Rechtsstreit maßgeblichen Sach- und Rechtsfragen zu prüfen, einschließt.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(87)</p> </td> <td valign="top"> <p class="normal">Betroffene Personen, die sich in ihren Rechten gemäß dieser Richtlinie verletzt sehen, sollten das Recht haben, Einrichtungen, die sich den Schutz der Rechte und Interessen der betroffenen Personen im Bereich des Schutzes ihrer personenbezogenen Daten zum Ziel gesetzt haben und die nach dem Recht eines Mitgliedstaats gegründet sind, zu beauftragen, in ihrem Namen eine Beschwerde bei einer Aufsichtsbehörde einzureichen und einen gerichtlichen Rechtsbehelf einzulegen. Das Recht betroffener Personen auf Vertretung sollte das Verfahrensrecht der Mitgliedstaaten unberührt lassen, nach dem eine obligatorische Vertretung betroffener Personen durch einen Rechtsanwalt im Sinne der Richtlinie 77/249/EWG des Rates<a id="ntc10-L_2016119DE.01008901-E0010" href="#ntr10-L_2016119DE.01008901-E0010"> (<span class="super">10</span>)</a> vor nationalen Gerichten erforderlich sein kann.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(88)</p> </td> <td valign="top"> <p class="normal">Schäden, die einer Person aufgrund einer Verarbeitung entstehen, die gegen nach dieser Richtlinie erlassene Vorschriften verstößt, sollten von dem Verantwortlichen oder einer anderen nach dem Recht der Mitgliedstaaten zuständigen Behörde ersetzt werden. Der Begriff des Schadens sollte im Lichte der Rechtsprechung des Gerichtshofs weit und auf eine Art und Weise ausgelegt werden, die den Zielen dieser Richtlinie in vollem Umfang entspricht. Dies gilt unbeschadet von Schadenersatzforderungen aufgrund von Verstößen gegen andere Vorschriften des Unionsrechts oder des Rechts der Mitgliedstaaten. Wird auf eine Verarbeitung Bezug genommen, die unrechtmäßig ist oder nicht im Einklang mit den nach dieser Richtlinie erlassenen Vorschriften steht, so gilt dies auch für Verarbeitungen, die gegen gemäß dieser Richtlinie erlassene Durchführungsrechtsakte verstoßen. Die betroffenen Personen sollten einen vollständigen und wirksamen Schadenersatz für den erlittenen Schaden erhalten.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(89)</p> </td> <td valign="top"> <p class="normal">Gegen jede natürliche oder juristische — privatem oder öffentlichem Recht unterliegende — Person, die gegen diese Richtlinie verstößt, sollten Sanktionen verhängt werden. Die Mitgliedstaaten sollten dafür sorgen, dass die Sanktionen wirksam, verhältnismäßig und abschreckend sind, und alle Maßnahmen zur Anwendung der Sanktionen treffen.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(90)</p> </td> <td valign="top"> <p class="normal">Um einheitliche Bedingungen für die Anwendung dieser Richtlinie sicherzustellen, sollten der Kommission Durchführungsbefugnisse in Bezug auf Folgendes übertragen werden: die Angemessenheit des Datenschutzniveaus in einem Drittland, in einem Gebiet oder einem spezifischen Sektor in einem Drittland oder in einer internationalen Organisation, das Format und die Verfahren für Amtshilfe und die Vorkehrungen für den elektronischen Informationsaustausch zwischen Aufsichtsbehörden und zwischen Aufsichtsbehörden und dem Ausschuss. Diese Befugnisse sollten nach Maßgabe der Verordnung (EU) Nr. 182/2011 des Europäischen Parlaments und des Rates<a id="ntc11-L_2016119DE.01008901-E0011" href="#ntr11-L_2016119DE.01008901-E0011"> (<span class="super">11</span>)</a> ausgeübt werden.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(91)</p> </td> <td valign="top"> <p class="normal">Durchführungsrechtsakte über die Angemessenheit des Datenschutzniveaus in einem Drittland, in einem Gebiet oder einem spezifischen Sektor in einem Drittland oder in einer internationalen Organisation, über das Format und die Verfahren für Amtshilfe und die Vorkehrungen für den elektronischen Informationsaustausch zwischen Aufsichtsbehörden und zwischen Aufsichtsbehörden und dem Ausschuss sollten im Wege des Prüfverfahrens festgelegt werden, da es sich um Rechtsakte von allgemeiner Tragweite handelt.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(92)</p> </td> <td valign="top"> <p class="normal">Die Kommission sollte in hinreichend begründeten Fällen äußerster Dringlichkeit, die ein Drittland, ein Gebiet oder einen spezifischen Sektor in einem Drittland oder eine internationale Organisation betreffen, die kein angemessenes Schutzniveau mehr gewährleisten, sofort geltende Durchführungsrechtsakte erlassen.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(93)</p> </td> <td valign="top"> <p class="normal">Da die Ziele dieser Richtlinie, nämlich die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz ihrer personenbezogenen Daten und den ungehinderten Austausch personenbezogener Daten im Verkehr zwischen den zuständigen Behörden innerhalb der Union zu gewährleisten, von den Mitgliedstaaten nicht ausreichend verwirklicht werden können, sondern vielmehr wegen des Umfangs oder der Wirkungen der Maßnahme auf Unionsebene besser zu verwirklichen sind, kann die Union im Einklang mit dem in Artikel 5 EUV verankerten Subsidiaritätsprinzip tätig werden. Entsprechend dem in demselben Artikel genannten Grundsatz der Verhältnismäßigkeit geht diese Richtlinie nicht über das für die Verwirklichung dieser Ziele erforderliche Maß hinaus.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(94)</p> </td> <td valign="top"> <p class="normal">Besondere Bestimmungen, die in vor Erlass dieser Richtlinie im Bereich der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit erlassenen Rechtsakten der Union enthalten sind, die die Verarbeitung personenbezogener Daten im Verkehr der Mitgliedstaaten untereinander sowie den Zugang der von den Mitgliedstaaten bestimmten Behörden zu den gemäß den Verträgen errichteten Informationssystemen im Anwendungsbereich dieser Richtlinie regeln, sollten unberührt bleiben, beispielsweise die besonderen Bestimmungen betreffend den Schutz personenbezogener Daten gemäß dem Beschluss 2008/615/JI des Rates<a id="ntc12-L_2016119DE.01008901-E0012" href="#ntr12-L_2016119DE.01008901-E0012"> (<span class="super">12</span>)</a> oder Artikel 23 des Übereinkommens über die Rechtshilfe in Strafsachen zwischen den Mitgliedstaaten der Europäischen Union<a id="ntc13-L_2016119DE.01008901-E0013" href="#ntr13-L_2016119DE.01008901-E0013"> (<span class="super">13</span>)</a>. Da Artikel 8 der Charta und Artikel 16 AEUV vorschreiben, dass das Grundrecht auf Schutz personenbezogener Daten in der Union einheitlich angewendet werden sollte, sollte die Kommission das Verhältnis zwischen dieser Richtlinie und den vor ihrem Erlass angenommenen Rechtsakten, die die Verarbeitung personenbezogener Daten im Verkehr der Mitgliedstaaten untereinander oder den Zugang der von den Mitgliedstaaten bestimmten Behörden zu den gemäß den Verträgen errichteten Informationssystemen regeln, daraufhin prüfen, inwieweit die besonderen Bestimmungen dieser Rechtsakte an diese Richtlinie angepasst werden müssen. Die Kommission sollte gegebenenfalls Vorschläge zur Gewährleistung einheitlicher Rechtsvorschriften in Bezug auf die Verarbeitung personenbezogener Daten unterbreiten.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(95)</p> </td> <td valign="top"> <p class="normal">Zur Gewährleistung eines umfassenden und einheitlichen Schutzes personenbezogener Daten in der Union sollten internationale Übereinkünfte, die von den Mitgliedstaaten vor Inkrafttreten dieser Richtlinie geschlossen wurden und die im Einklang mit dem maßgeblichen vor Inkrafttreten dieser Richtlinie geltenden Unionsrecht stehen, in Kraft bleiben, bis sie geändert, ersetzt oder gekündigt werden.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(96)</p> </td> <td valign="top"> <p class="normal">Die Mitgliedstaaten sollten gehalten sein, diese Richtlinie innerhalb von höchstens zwei Jahren nach ihrem Inkrafttreten umzusetzen. Verarbeitungen, die zu diesem Zeitpunkt bereits begonnen haben, sollten innerhalb von zwei Jahren nach dem Inkrafttreten dieser Richtlinie mit ihr in Einklang gebracht werden. Stehen die Verarbeitungen jedoch im Einklang mit dem vor Inkrafttreten dieser Richtlinie geltenden Unionsrecht, so sollten die Anforderungen der vorliegenden Richtlinie betreffend die vorherige Konsultation der Aufsichtsbehörde nicht für Verarbeitungsvorgänge gelten, die bereits vor diesem Zeitpunkt begonnen wurden, da diese Anforderungen naturgemäß vor der Verarbeitung erfüllt sein müssen. Nehmen Mitgliedstaaten die längere Umsetzungsfrist, die sieben Jahre nach dem Inkrafttreten dieser Richtlinie endet, in Anspruch, um den Protokollierungspflichten für vor dem Inkrafttreten dieser Richtlinie eingerichtete automatisierte Verarbeitungssysteme nachzukommen, so sollte der Verantwortliche oder der Auftragsverarbeiter über wirksame Methoden zum Nachweis der Rechtmäßigkeit der Datenverarbeitung, zur Ermöglichung der Eigenüberwachung und zur Sicherstellung der Integrität und Sicherheit der Daten, wie etwa Protokolle oder andere Formen von Verzeichnissen, verfügen.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(97)</p> </td> <td valign="top"> <p class="normal">Diese Richtlinie lässt die Vorschriften zur Bekämpfung des sexuellen Missbrauchs und der sexuellen Ausbeutung von Kindern sowie der Kinderpornografie nach Maßgabe der Richtlinie 2011/93/EU des Europäischen Parlaments und des Rates<a id="ntc14-L_2016119DE.01008901-E0014" href="#ntr14-L_2016119DE.01008901-E0014"> (<span class="super">14</span>)</a> unberührt.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(98)</p> </td> <td valign="top"> <p class="normal">Der Rahmenbeschluss 2008/977/JI sollte daher aufgehoben werden.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(99)</p> </td> <td valign="top"> <p class="normal">Nach Artikel 6a des dem EUV und dem AEUV beigefügten Protokolls Nr. 21 über die Position des Vereinigten Königreichs und Irlands hinsichtlich des Raums der Freiheit, der Sicherheit und des Rechts sind die Bestimmungen dieser Richtlinie über die Verarbeitung personenbezogener Daten durch die Mitgliedstaaten im Rahmen der Ausübung von Tätigkeiten, die in den Anwendungsbereich des Dritten Teils Titel V Kapitel 4 und 5 AEUV fallen, für das Vereinigte Königreich und Irland nicht bindend, wenn das Vereinigte Königreich und Irland nicht durch die Vorschriften gebunden sind, die Formen der justiziellen Zusammenarbeit in Strafsachen oder der polizeilichen Zusammenarbeit regeln, in deren Rahmen die auf der Grundlage des Artikels 16 AEUV festgelegten Vorschriften eingehalten werden müssen.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(100)</p> </td> <td valign="top"> <p class="normal">Nach den Artikeln 2 und 2a des dem EUV und dem AEUV beigefügten Protokolls Nr. 22 über die Position Dänemarks ist Dänemark durch die Bestimmungen dieser Richtlinie, die sich auf die Verarbeitung personenbezogener Daten durch die Mitgliedstaaten im Rahmen der Ausübung von Tätigkeiten beziehen, die in den Anwendungsbereich des Dritten Teils Titel V Kapitel 4 und 5 AEUV fallen, weder gebunden noch zu ihrer Anwendung verpflichtet. Da diese Richtlinie den Schengen-Besitzstand gemäß dem Dritten Teil Titel V AEUV ergänzt, beschließt Dänemark gemäß Artikel 4 des genannten Protokolls innerhalb von sechs Monaten nach Erlass dieser Richtlinie, ob es sie in nationales Recht umsetzt.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(101)</p> </td> <td valign="top"> <p class="normal">Für Island und Norwegen stellt diese Richtlinie eine Weiterentwicklung von Bestimmungen des Schengen-Besitzstands im Sinne des Übereinkommens zwischen dem Rat der Europäischen Union sowie der Republik Island und dem Königreich Norwegen über die Assoziierung der beiden letztgenannten Staaten bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands dar.<a id="ntc15-L_2016119DE.01008901-E0015" href="#ntr15-L_2016119DE.01008901-E0015"> (<span class="super">15</span>)</a> </p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(102)</p> </td> <td valign="top"> <p class="normal">Für die Schweiz stellt diese Richtlinie eine Weiterentwicklung von Bestimmungen des Schengen-Besitzstands im Sinne des Abkommens zwischen der Europäischen Union, der Europäischen Gemeinschaft und der Schweizerischen Eidgenossenschaft über die Assoziierung dieses Staates bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands dar.<a id="ntc16-L_2016119DE.01008901-E0016" href="#ntr16-L_2016119DE.01008901-E0016"> (<span class="super">16</span>)</a> </p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(103)</p> </td> <td valign="top"> <p class="normal">Für Lichtenstein stellt diese Richtlinie eine Weiterentwicklung von Bestimmungen des Schengen-Besitzstands im Sinne des Protokolls zwischen der Europäischen Union, der Europäischen Gemeinschaft, der Schweizerischen Eidgenossenschaft und dem Fürstentum Liechtenstein über den Beitritt des Fürstentums Liechtenstein zu dem Abkommen zwischen der Europäischen Union, der Europäischen Gemeinschaft und der Schweizerischen Eidgenossenschaft über die Assoziierung der Schweizerischen Eidgenossenschaft bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands dar.<a id="ntc17-L_2016119DE.01008901-E0017" href="#ntr17-L_2016119DE.01008901-E0017"> (<span class="super">17</span>)</a> </p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(104)</p> </td> <td valign="top"> <p class="normal">Diese Richtlinie steht im Einklang mit den Grundrechten und Grundsätzen, die mit der Charta anerkannt wurden und im AEUV verankert sind, insbesondere mit dem Recht auf Achtung des Privat- und Familienlebens, dem Recht auf Schutz personenbezogener Daten sowie dem Recht auf einen wirksamen Rechtsbehelf und ein faires Verfahren. Die Einschränkungen dieser Rechte stehen im Einklang mit Artikel 52 Absatz 1 der Charta, da sie erforderlich sind, um den von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und der Freiheiten anderer zu entsprechen.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(105)</p> </td> <td valign="top"> <p class="normal">Gemäß der Gemeinsamen Politischen Erklärung der Mitgliedstaaten und der Kommission vom 28. September 2011 zu erläuternden Dokumenten haben sich die Mitgliedstaaten verpflichtet, in begründeten Fällen zusätzlich zur Mitteilung ihrer Umsetzungsmaßnahmen ein oder mehrere Dokumente zu übermitteln, in denen der Zusammenhang zwischen den Bestandteilen einer Richtlinie und den entsprechenden Teilen einzelstaatlicher Umsetzungsmaßnahmen erläutert wird. In Bezug auf diese Richtlinie hält der Gesetzgeber die Übermittlung derartiger Dokumente für gerechtfertigt.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(106)</p> </td> <td valign="top"> <p class="normal">Der Europäische Datenschutzbeauftragte wurde gemäß Artikel 28 Absatz 2 der Verordnung (EG) Nr. 45/2001 konsultiert und hat seine Stellungnahme am 7. März 2012 abgegeben<a id="ntc18-L_2016119DE.01008901-E0018" href="#ntr18-L_2016119DE.01008901-E0018"> (<span class="super">18</span>)</a>.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">(107)</p> </td> <td valign="top"> <p class="normal">Diese Richtlinie sollte die Mitgliedstaaten nicht daran hindern, die Bestimmungen über die Ausübung der Rechte der betroffenen Personen auf Unterrichtung, Auskunft und Berichtigung oder Löschung personenbezogener Daten und Beschränkung der Verarbeitung im Rahmen eines Strafverfahrens sowie mögliche Beschränkungen dieser Rechte in ihr einzelstaatliches Strafverfahrensrecht umzusetzen —</p> </td> </tr> </tbody> </table> <p class="normal">HABEN FOLGENDE RICHTLINIE ERLASSEN:</p> <p id="d1e905-89-1" class="ti-section-1"> <span class="italic">KAPITEL I</span> </p> <p id="L_2016119DE.01008901-d-001" class="ti-section-2"> <span class="bold"> <span class="italic">Allgemeine Bestimmungen</span> </span> </p> <p id="d1e915-89-1" class="ti-art">Artikel 1</p> <p class="sti-art">Gegenstand und Ziele</p> <p class="normal">(1) Diese Richtlinie enthält Bestimmungen zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit.</p> <p class="normal">(2) Gemäß dieser Richtlinie haben die Mitgliedstaaten</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">a)</p> </td> <td valign="top"> <p class="normal">die Grundrechte und Grundfreiheiten natürlicher Personen, insbesondere deren Recht auf Schutz personenbezogener Daten, zu schützen und</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">b)</p> </td> <td valign="top"> <p class="normal">sicherzustellen, dass der Austausch personenbezogener Daten zwischen den zuständigen Behörden in der Union — sofern er nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen ist — nicht aus Gründen, die mit dem Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten verbunden sind, eingeschränkt oder verboten wird.</p> </td> </tr> </tbody> </table> <p class="normal">(3) Diese Richtlinie hindert die Mitgliedstaaten nicht daran, zum Schutz der Rechte und Freiheiten der betroffenen Person bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden Garantien festzulegen, die strenger sind als die Garantien dieser Richtlinie.</p> <p id="d1e949-89-1" class="ti-art">Artikel 2</p> <p class="sti-art">Anwendungsbereich</p> <p class="normal">(1) Diese Richtlinie gilt für die Verarbeitung personenbezogener Daten durch die zuständigen Behörden zu den in Artikel 1 Absatz 1 genannten Zwecken.</p> <p class="normal">(2) Diese Richtlinie gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.</p> <p class="normal">(3) Diese Richtlinie findet keine Anwendung auf die Verarbeitung personenbezogener Daten</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">a)</p> </td> <td valign="top"> <p class="normal">im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">b)</p> </td> <td valign="top"> <p class="normal">durch die Organe, Einrichtungen, Ämter und Agenturen der Europäischen Union.</p> </td> </tr> </tbody> </table> <p id="d1e983-89-1" class="ti-art">Artikel 3</p> <p class="sti-art">Begriffsbestimmungen</p> <p class="normal">Im Sinne dieser Richtlinie bezeichnet der Ausdruck:</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">1.</p> </td> <td valign="top"> <p class="normal">„personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">2.</p> </td> <td valign="top"> <p class="normal">„Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">3.</p> </td> <td valign="top"> <p class="normal">„Einschränkung der Verarbeitung“ die Markierung gespeicherter personenbezogener Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">4.</p> </td> <td valign="top"> <p class="normal">„Profiling“ jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">5.</p> </td> <td valign="top"> <p class="normal">„Pseudonymisierung“ die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">6.</p> </td> <td valign="top"> <p class="normal">„Dateisystem“ jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">7.</p> </td> <td valign="top"> <p class="normal">„zuständige Behörde“</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">a)</p> </td> <td valign="top"> <p class="normal">eine staatliche Stelle, die für die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder die Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, zuständig ist, oder</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">b)</p> </td> <td valign="top"> <p class="normal">eine andere Stelle oder Einrichtung, der durch das Recht der Mitgliedstaaten die Ausübung öffentlicher Gewalt und hoheitlicher Befugnisse zur Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder zur Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, übertragen wurde;</p> </td> </tr> </tbody> </table> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">8.</p> </td> <td valign="top"> <p class="normal">„Verantwortlicher“ die zuständige Behörde, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">9.</p> </td> <td valign="top"> <p class="normal">„Auftragsverarbeiter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">10.</p> </td> <td valign="top"> <p class="normal">„Empfänger“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, denen personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht. Behörden, die im Rahmen eines bestimmten Untersuchungsauftrags nach dem Recht der Mitgliedstaaten möglicherweise personenbezogene Daten erhalten, gelten jedoch nicht als Empfänger; die Verarbeitung dieser Daten durch die genannten Behörden erfolgt im Einklang mit den geltenden Datenschutzvorschriften gemäß den Zwecken der Verarbeitung;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">11.</p> </td> <td valign="top"> <p class="normal">„Verletzung des Schutzes personenbezogener Daten“ eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust oder zur Veränderung, ob unbeabsichtigt oder unrechtmäßig, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">12.</p> </td> <td valign="top"> <p class="normal">„genetische Daten“ personenbezogene Daten zu den ererbten oder erworbenen genetischen Eigenschaften einer natürlichen Person, die eindeutige Informationen über die Physiologie oder die Gesundheit dieser natürlichen Person liefern und insbesondere aus der Analyse einer biologischen Probe der betreffenden natürlichen Person gewonnen wurden;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">13.</p> </td> <td valign="top"> <p class="normal">„biometrische Daten“ mit speziellen technischen Verfahren gewonnene personenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen einer natürlichen Person, die die eindeutige Identifizierung dieser natürlichen Person ermöglichen oder bestätigen, wie Gesichtsbilder oder daktyloskopische Daten;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">14.</p> </td> <td valign="top"> <p class="normal">„Gesundheitsdaten“ personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">15.</p> </td> <td valign="top"> <p class="normal">„Aufsichtsbehörde“ eine von einem Mitgliedstaat gemäß Artikel 41 eingerichtete unabhängige staatliche Stelle;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">16.</p> </td> <td valign="top"> <p class="normal">„internationale Organisation“ eine völkerrechtliche Organisation und ihre nachgeordneten Stellen oder jede sonstige Einrichtung, die durch eine zwischen zwei oder mehr Ländern geschlossene Übereinkunft oder auf der Grundlage einer solchen Übereinkunft geschaffen wurde.</p> </td> </tr> </tbody> </table> <p id="d1e1155-89-1" class="ti-section-1"> <span class="italic">KAPITEL II</span> </p> <p id="L_2016119DE.01008901-d-002" class="ti-section-2"> <span class="bold"> <span class="italic">Grundsätze</span> </span> </p> <p id="d1e1165-89-1" class="ti-art">Artikel 4</p> <p class="sti-art">Grundsätze in Bezug auf die Verarbeitung personenbezogener Daten</p> <p class="normal">(1) Die Mitgliedstaaten sehen vor dass personenbezogene Daten</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">a)</p> </td> <td valign="top"> <p class="normal">auf rechtmäßige Weise und nach Treu und Glauben verarbeitet werden,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">b)</p> </td> <td valign="top"> <p class="normal">für festgelegte, eindeutige und rechtmäßige Zwecke erhoben und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise verarbeitet werden,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">c)</p> </td> <td valign="top"> <p class="normal">dem Verarbeitungszweck entsprechen, maßgeblich und in Bezug auf die Zwecke, für die sie verarbeitet werden, nicht übermäßig sind,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">d)</p> </td> <td valign="top"> <p class="normal">sachlich richtig und erforderlichenfalls auf dem neuesten Stand sind; dabei sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">e)</p> </td> <td valign="top"> <p class="normal">nicht länger, als es für die Zwecke, für die sie verarbeitet werden, erforderlich ist, in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen ermöglicht,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">f)</p> </td> <td valign="top"> <p class="normal">in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich des Schutzes vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen.</p> </td> </tr> </tbody> </table> <p class="normal">(2) Eine Verarbeitung durch denselben oder einen anderen Verantwortlichen für einen anderen der in Artikel 1 Absatz 1 genannten Zwecke als den, für den die personenbezogenen Daten erhoben werden, ist erlaubt, sofern</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">a)</p> </td> <td valign="top"> <p class="normal">der Verantwortliche nach dem Unionsrecht oder dem Recht der Mitgliedstaaten befugt ist, solche personenbezogenen Daten für diesen anderen Zweck zu verarbeiten, und</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">b)</p> </td> <td valign="top"> <p class="normal">die Verarbeitung für diesen anderen Zweck nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich und verhältnismäßig ist.</p> </td> </tr> </tbody> </table> <p class="normal">(3) Die Verarbeitung durch denselben oder einen anderen Verantwortlichen kann die Archivierung im öffentlichen Interesse und die wissenschaftliche, statistische oder historische Verwendung für die in Artikel 1 Absatz 1 genannten Zwecke umfassen, sofern geeignete Garantien für die Rechte und Freiheiten der betroffenen Personen vorhanden sind.</p> <p class="normal">(4) Der Verantwortliche ist für die Einhaltung der Absätze 1, 2 und 3 verantwortlich und muss deren Einhaltung nachweisen können.</p> <p id="d1e1242-89-1" class="ti-art">Artikel 5</p> <p class="sti-art">Fristen für die Speicherung und Überprüfung</p> <p class="normal">Die Mitgliedstaaten sehen vor, dass für die Löschung von personenbezogenen Daten oder eine regelmäßige Überprüfung der Notwendigkeit ihrer Speicherung angemessene Fristen vorzusehen sind. Durch verfahrensrechtliche Vorkehrungen ist sicherzustellen, dass diese Fristen eingehalten werden.</p> <p id="d1e1249-89-1" class="ti-art">Artikel 6</p> <p class="sti-art">Unterscheidung verschiedener Kategorien betroffener Personen</p> <p class="normal">Die Mitgliedstaaten sehen vor, dass der Verantwortliche gegebenenfalls und so weit wie möglich zwischen den personenbezogenen Daten verschiedener Kategorien betroffener Personen klar unterscheidet, darunter:</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">a)</p> </td> <td valign="top"> <p class="normal">Personen, gegen die ein begründeter Verdacht besteht, dass sie eine Straftat begangen haben oder in naher Zukunft begehen werden,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">b)</p> </td> <td valign="top"> <p class="normal">verurteilte Straftäter,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">c)</p> </td> <td valign="top"> <p class="normal">Opfer einer Straftat oder Personen, bei denen bestimmte Fakten darauf hindeuten, dass sie Opfer einer Straftat sein könnten, und</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">d)</p> </td> <td valign="top"> <p class="normal">andere Parteien im Zusammenhang mit einer Straftat, wie Personen, die bei Ermittlungen in Verbindung mit der betreffenden Straftat oder beim anschließenden Strafverfahren als Zeugen in Betracht kommen, Personen, die Hinweise zur Straftat geben können, oder Personen, die mit den unter den Buchstaben a und b genannten Personen in Kontakt oder in Verbindung stehen.</p> </td> </tr> </tbody> </table> <p id="d1e1282-89-1" class="ti-art">Artikel 7</p> <p class="sti-art">Unterscheidung zwischen personenbezogenen Daten und Überprüfung der Qualität der personenbezogenen Daten</p> <p class="normal">(1) Die Mitgliedstaaten sehen vor, dass bei personenbezogenen Daten so weit wie möglich zwischen faktenbasierten Daten und auf persönlichen Einschätzungen beruhenden Daten unterschieden wird.</p> <p class="normal">(2) Die Mitgliedstaaten sehen vor, dass die zuständigen Behörden alle angemessenen Maßnahmen ergreifen, um zu gewährleisten, dass personenbezogene Daten, die unrichtig, unvollständig oder nicht mehr aktuell sind, nicht übermittelt oder bereitgestellt werden. Zu diesem Zweck überprüft jede zuständige Behörde, soweit durchführbar, die Qualität der personenbezogenen Daten vor ihrer Übermittlung oder Bereitstellung. Bei jeder Übermittlung personenbezogener Daten werden nach Möglichkeit die erforderlichen Informationen beigefügt, die es der empfangenden zuständigen Behörde gestatten, die Richtigkeit, die Vollständigkeit und die Zuverlässigkeit der personenbezogenen Daten sowie deren Aktualitätsgrad zu beurteilen.</p> <p class="normal">(3) Wird festgestellt, dass unrichtige personenbezogene Daten übermittelt worden sind oder die personenbezogenen Daten unrechtmäßig übermittelt worden sind, so ist dies dem Empfänger unverzüglich mitzuteilen. In diesem Fall ist gemäß Artikel 16 eine Berichtigung oder Löschung oder die Einschränkung der Verarbeitung der personenbezogenen Daten vorzunehmen.</p> <p id="d1e1302-89-1" class="ti-art">Artikel 8</p> <p class="sti-art">Rechtmäßigkeit der Verarbeitung</p> <p class="normal">(1) Die Mitgliedstaaten sehen vor, dass die Verarbeitung nur dann rechtmäßig ist, wenn und soweit diese Verarbeitung für die Erfüllung einer Aufgabe erforderlich ist, die von der zuständigen Behörde zu den in Artikel 1 Absatz 1 genannten Zwecken wahrgenommenen wird, und auf Grundlage des Unionsrechts oder des Rechts der Mitgliedstaaten erfolgt.</p> <p class="normal">(2) Im Recht der Mitgliedstaaten, das die Verarbeitung innerhalb des Anwendungsbereichs dieser Richtlinie regelt, werden zumindest die Ziele der Verarbeitung, die personenbezogenen Daten, die verarbeitet werden sollen, und die Zwecke der Verarbeitung angegeben.</p> <p id="d1e1317-89-1" class="ti-art">Artikel 9</p> <p class="sti-art">Besondere Verarbeitungsbedingungen</p> <p class="normal">(1) Personenbezogene Daten, die von zuständigen Behörden für die in Artikel 1 Absatz 1 genannten Zwecke erhoben werden, dürfen nicht für andere als die in Artikel 1 Absatz 1 genannten Zwecke verarbeitet werden, es sei denn, eine derartige Verarbeitung ist nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zulässig. Wenn personenbezogene Daten für solche andere Zwecke verarbeitet werden, gilt die Verordnung (EU) 2016/679, es sei denn, die Verarbeitung erfolgt im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt.</p> <p class="normal">(2) Sind nach dem Recht der Mitgliedstaaten zuständige Behörden mit der Wahrnehmung von Aufgaben betraut, die sich nicht mit den für die in Artikel 1 Absatz 1 genannten Zwecke wahrgenommenen Aufgaben decken, gilt die Verordnung (EU) 2016/679 für die Verarbeitung zu diesen Zwecken — wozu auch im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke zählen —, es sei denn, die Verarbeitung erfolgt im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt.</p> <p class="normal">(3) Die Mitgliedstaaten sehen vor, dass immer dann, wenn nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, dem die übermittelnde zuständige Behörde unterliegt, für die Verarbeitung besondere Bedingungen gelten, die übermittelnde zuständige Behörde den Empfänger der Daten darauf hinweist, dass diese Bedingungen gelten und einzuhalten sind.</p> <p class="normal">(4) Die Mitgliedstaaten sehen vor, dass die übermittelnde zuständige Behörde auf Empfänger in anderen Mitgliedstaaten oder nach Titel V Kapitel 4 und 5 AEUV errichtete Einrichtungen und sonstige Stellen keine Bedingungen nach Absatz 3 anwendet, die nicht auch für entsprechende Datenübermittlungen innerhalb ihres eigenen Mitgliedstaats gelten.</p> <p id="d1e1342-89-1" class="ti-art">Artikel 10</p> <p class="sti-art">Verarbeitung besonderer Kategorien personenbezogener Daten</p> <p class="normal">Die Verarbeitung personenbezogener Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung ist nur dann erlaubt, wenn sie unbedingt erforderlich ist und vorbehaltlich geeigneter Garantien für die Rechte und Freiheiten der betroffenen Person erfolgt und</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">a)</p> </td> <td valign="top"> <p class="normal">wenn sie nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zulässig ist</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">b)</p> </td> <td valign="top"> <p class="normal">der Wahrung lebenswichtiger Interessen der betroffenen oder einer anderen natürlichen Person dient oder</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">c)</p> </td> <td valign="top"> <p class="normal">wenn sie sich auf Daten bezieht, die die betroffene Person offensichtlich öffentlich gemacht hat.</p> </td> </tr> </tbody> </table> <p id="d1e1369-89-1" class="ti-art">Artikel 11</p> <p class="sti-art">Automatisierte Entscheidungsfindung im Einzelfall</p> <p class="normal">(1) Die Mitgliedstaaten sehen vor, dass eine ausschließlich auf einer automatischen Verarbeitung beruhende Entscheidung — einschließlich Profiling —, die eine nachteilige Rechtsfolge für die betroffene Person hat oder sie erheblich beeinträchtigt, verboten ist, es sei denn, sie ist nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt und das geeignete Garantien für die Rechte und Freiheiten der betroffenen Person bietet, zumindest aber das Recht auf persönliches Eingreifen seitens des Verantwortlichen, erlaubt.</p> <p class="normal">(2) Entscheidungen nach Absatz 1 dieses Artikels dürfen nicht auf besonderen Kategorien personenbezogener Daten nach Artikel 10 beruhen, sofern nicht geeignete Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person getroffen wurden.</p> <p class="normal">(3) Profiling, das zur Folge hat, dass natürliche Personen auf Grundlage von besonderen Datenkategorien nach Artikel 10 diskriminiert werden, ist nach dem Unionsrecht verboten.</p> <p id="d1e1390-89-1" class="ti-section-1"> <span class="italic">KAPITEL III</span> </p> <p id="L_2016119DE.01008901-d-003" class="ti-section-2"> <span class="bold"> <span class="italic">Rechte der betroffenen Person</span> </span> </p> <p id="d1e1400-89-1" class="ti-art">Artikel 12</p> <p class="sti-art">Mitteilungen und Modalitäten für die Ausübung der Rechte der betroffenen Person</p> <p class="normal">(1) Die Mitgliedstaaten sehen vor, dass der Verantwortliche alle angemessenen Maßnahmen trifft, um der betroffenen Person alle Informationen gemäß Artikel 13 sowie alle Mitteilungen gemäß den Artikeln 11, 14 bis 18 und 31, die sich auf die Verarbeitung beziehen, in präziser, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln. Die Übermittlung der Informationen erfolgt in einer beliebigen geeigneten Form, wozu auch die elektronische Übermittlung zählt. Grundsätzlich übermittelt der Verantwortliche die Informationen in derselben Form, in der er den Antrag erhalten hat.</p> <p class="normal">(2) Die Mitgliedstaaten sehen vor, dass der Verantwortliche die Ausübung der den betroffenen Personen gemäß den Artikeln 11 und 14 bis 18 zustehenden Rechte erleichtert.</p> <p class="normal">(3) Die Mitgliedstaaten sehen vor, dass der Verantwortliche die betroffene Person unverzüglich schriftlich darüber in Kenntnis setzt, wie mit ihrem Antrag verfahren wurde.</p> <p class="normal">(4) Die Mitgliedstaaten sehen vor, dass die Informationen gemäß Artikel 13 und alle gemachten Mitteilungen und getroffenen Maßnahmen gemäß den Artikeln 11, 14 bis 18 und 31 unentgeltlich zur Verfügung gestellt werden. Bei offenkundig unbegründeten oder — insbesondere im Fall von häufiger Wiederholung — exzessiven Anträgen einer betroffenen Person kann der Verantwortliche entweder</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">a)</p> </td> <td valign="top"> <p class="normal">eine angemessene Gebühr verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">b)</p> </td> <td valign="top"> <p class="normal">er kann sich weigern, aufgrund des Antrags tätig zu werden.</p> </td> </tr> </tbody> </table> <p class="normal">Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen.</p> <p class="normal">(5) Hat der Verantwortliche begründete Zweifel an der Identität der natürlichen Person, die den Antrag gemäß den Artikeln 14 oder 16 stellt, so kann er zusätzliche Informationen anfordern, die zur Bestätigung der Identität der betroffenen Person erforderlich sind.</p> <p id="d1e1446-89-1" class="ti-art">Artikel 13</p> <p class="sti-art">Der betroffenen Person zur Verfügung zu stellende oder zu erteilende Informationen</p> <p class="normal">(1) Die Mitgliedstaaten sehen vor, dass der Verantwortliche der betroffenen Person zumindest die folgenden Informationen zur Verfügung stellt:</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">a)</p> </td> <td valign="top"> <p class="normal">den Namen und die Kontaktdaten des Verantwortlichen,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">b)</p> </td> <td valign="top"> <p class="normal">gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">c)</p> </td> <td valign="top"> <p class="normal">die Zwecke, für die die personenbezogenen Daten verarbeitet werden,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">d)</p> </td> <td valign="top"> <p class="normal">das Bestehen eines Beschwerderechts bei der Aufsichtsbehörde sowie deren Kontaktdaten,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">e)</p> </td> <td valign="top"> <p class="normal">das Bestehen eines Rechts auf Auskunft und Berichtigung oder Löschung personenbezogener Daten und Einschränkung der Verarbeitung der personenbezogenen Daten der betroffenen Person durch den Verantwortlichen.</p> </td> </tr> </tbody> </table> <p class="normal">(2) Zusätzlich zu den in Absatz 1 genannten Informationen sehen die Mitgliedstaaten durch Rechtsvorschriften vor, dass der Verantwortliche der betroffenen Person in besonderen Fällen die folgenden zusätzlichen Informationen erteilt, um die Ausübung der Rechte der betroffenen Person zu ermöglichen:</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">a)</p> </td> <td valign="top"> <p class="normal">die Rechtsgrundlage der Verarbeitung,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">b)</p> </td> <td valign="top"> <p class="normal">die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">c)</p> </td> <td valign="top"> <p class="normal">gegebenenfalls die Kategorien von Empfängern der personenbezogenen Daten, auch der Empfänger in Drittländern oder in internationalen Organisationen,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">d)</p> </td> <td valign="top"> <p class="normal">erforderlichenfalls weitere Informationen, insbesondere wenn die personenbezogenen Daten ohne Wissen der betroffenen Person erhoben werden.</p> </td> </tr> </tbody> </table> <p class="normal">(3) Die Mitgliedstaaten können Gesetzgebungsmaßnahmen erlassen, nach denen die Unterrichtung der betroffenen Person gemäß Absatz 2 soweit und so lange aufgeschoben, eingeschränkt oder unterlassen werden kann, wie diese Maßnahme in einer demokratischen Gesellschaft erforderlich und verhältnismäßig ist und sofern den Grundrechten und den berechtigten Interessen der betroffenen natürlichen Person Rechnung getragen wird:</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">a)</p> </td> <td valign="top"> <p class="normal">zur Gewährleistung, dass behördliche oder gerichtliche Untersuchungen, Ermittlungen oder Verfahren nicht behindert werden,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">b)</p> </td> <td valign="top"> <p class="normal">zur Gewährleistung, dass die Verhütung, Aufdeckung, Ermittlung oder Verfolgung von Straftaten oder die Strafvollstreckung nicht beeinträchtigt werden,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">c)</p> </td> <td valign="top"> <p class="normal">zum Schutz der öffentlichen Sicherheit,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">d)</p> </td> <td valign="top"> <p class="normal">zum Schutz der nationalen Sicherheit,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">e)</p> </td> <td valign="top"> <p class="normal">zum Schutz der Rechte und Freiheiten anderer.</p> </td> </tr> </tbody> </table> <p class="normal">(4) Die Mitgliedstaaten können Gesetzgebungsmaßnahmen zur Festlegung der Verarbeitungskategorien erlassen, für die einer der Buchstaben des Absatz 3 vollständig oder teilweise zur Anwendung kommt.</p> <p id="d1e1561-89-1" class="ti-art">Artikel 14</p> <p class="sti-art">Auskunftsrecht der betroffenen Person</p> <p class="normal">Vorbehaltlich des Artikels 15 sehen die Mitgliedstaaten vor, dass die betroffene Person das Recht hat, von dem Verantwortlichen eine Bestätigung darüber zu erhalten, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie das Recht, Auskunft über personenbezogene Daten und zu folgenden Informationen zu erhalten:</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">a)</p> </td> <td valign="top"> <p class="normal">die Zwecke der Verarbeitung und deren Rechtsgrundlage,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">b)</p> </td> <td valign="top"> <p class="normal">die Kategorien personenbezogener Daten, die verarbeitet werden,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">c)</p> </td> <td valign="top"> <p class="normal">die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">d)</p> </td> <td valign="top"> <p class="normal">falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">e)</p> </td> <td valign="top"> <p class="normal">das Bestehen eines Rechts auf Berichtigung oder Löschung personenbezogener Daten oder Einschränkung der Verarbeitung personenbezogener Daten der betroffenen Person durch den Verantwortlichen,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">f)</p> </td> <td valign="top"> <p class="normal">das Bestehen eines Beschwerderechts bei der Aufsichtsbehörde sowie deren Kontaktdaten,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">g)</p> </td> <td valign="top"> <p class="normal">Mitteilung zu den personenbezogenen Daten, die Gegenstand der Verarbeitung sind, sowie alle verfügbaren Informationen über die Herkunft der Daten.</p> </td> </tr> </tbody> </table> <p id="d1e1612-89-1" class="ti-art">Artikel 15</p> <p class="sti-art">Einschränkung des Auskunftsrechts</p> <p class="normal">(1) Die Mitgliedstaaten können Gesetzgebungsmaßnahmen erlassen, die zu nachstehenden Zwecken das Recht der betroffenen Person auf Auskunft teilweise oder vollständig einschränken, soweit und so lange wie diese teilweise oder vollständige Einschränkung in einer demokratischen Gesellschaft erforderlich und verhältnismäßig ist und den Grundrechten und den berechtigten Interessen der betroffenen natürlichen Person Rechnung getragen wird:</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">a)</p> </td> <td valign="top"> <p class="normal">Gewährleistung, dass behördliche oder gerichtliche Untersuchungen, Ermittlungen oder Verfahren nicht behindert werden,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">b)</p> </td> <td valign="top"> <p class="normal">Gewährleistung, dass die Verhütung, Aufdeckung, Ermittlung oder Verfolgung von Straftaten oder die Strafvollstreckung nicht beeinträchtigt werden,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">c)</p> </td> <td valign="top"> <p class="normal">Schutz der öffentlichen Sicherheit,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">d)</p> </td> <td valign="top"> <p class="normal">Schutz der nationalen Sicherheit,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">e)</p> </td> <td valign="top"> <p class="normal">Schutz der Rechte und Freiheiten anderer.</p> </td> </tr> </tbody> </table> <p class="normal">(2) Die Mitgliedstaaten können Gesetzgebungsmaßnahmen zur Festlegung der Verarbeitungskategorien erlassen, für die Absatz 1 Buchstaben a bis e vollständig oder teilweise zur Anwendung kommen.</p> <p class="normal">(3) Für die in den Absätzen 1 und 2 genannten Fälle sehen die Mitgliedstaaten vor, dass der Verantwortliche die betroffene Person unverzüglich schriftlich über die Verweigerung oder die Einschränkung der Auskunft und die Gründe hierfür unterrichtet. Dies gilt nicht, wenn die Erteilung dieser Informationen einem der in Absatz 1 genannten Zwecke zuwiderliefe. Die Mitgliedstaaten sehen vor, dass der Verantwortliche die betroffene Person über die Möglichkeit unterrichtet, bei der Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.</p> <p class="normal">(4) Die Mitgliedstaaten sehen vor, dass der Verantwortliche die sachlichen oder rechtlichen Gründe für die Entscheidung dokumentiert. Diese Angaben sind der Aufsichtsbehörde zur Verfügung zu stellen.</p> <p id="d1e1669-89-1" class="ti-art">Artikel 16</p> <p class="sti-art">Recht auf Berichtigung oder Löschung personenbezogener Daten und Einschränkung der Verarbeitung</p> <p class="normal">(1) Die Mitgliedstaaten sehen vor, dass die betroffene Person das Recht hat, von dem Verantwortlichen unverzüglich die Berichtigung sie betreffender unrichtiger Daten zu verlangen. Unter Berücksichtigung der Zwecke der Verarbeitung sehen die Mitgliedstaaten vor, dass die betroffene Person das Recht hat, die Vervollständigung unvollständiger personenbezogener Daten — auch mittels einer ergänzenden Erklärung — zu verlangen.</p> <p class="normal">(2) Die Mitgliedstaaten verlangen vom Verantwortlichen, personenbezogene Daten unverzüglich zu löschen, und sehen vor, dass die betroffene Person das Recht hat, von dem Verantwortlichen die Löschung von sie betreffenden personenbezogenen Daten unverzüglich zu verlangen, wenn die Verarbeitung gegen die nach den Artikeln 4, 8 und 10 erlassenen Vorschriften verstößt oder wenn die personenbezogenen Daten zur Erfüllung einer rechtlichen Verpflichtung gelöscht werden müssen, der der Verantwortliche unterliegt.</p> <p class="normal">(3) Anstatt die personenbezogenen Daten zu löschen, kann der Verantwortliche deren Verarbeitung einschränken, wenn</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">a)</p> </td> <td valign="top"> <p class="normal">die betroffene Person die Richtigkeit der personenbezogenen Daten bestreitet und die Richtigkeit oder Unrichtigkeit nicht festgestellt werden kann, oder</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">b)</p> </td> <td valign="top"> <p class="normal">die personenbezogenen Daten für Beweiszwecke weiter aufbewahrt werden müssen.</p> </td> </tr> </tbody> </table> <p class="normal">Unterliegt die Verarbeitung einer Beschränkung gemäß Unterabsatz 1 Buchstabe a, unterrichtet der Verantwortliche die betroffene Person, bevor er die Beschränkung aufhebt.</p> <p class="normal">(4) Die Mitgliedstaaten sehen vor, dass der Verantwortliche die betroffene Person schriftlich über eine Verweigerung der Berichtigung oder Löschung personenbezogener Daten oder Einschränkung der Verarbeitung und über die Gründe für die Verweigerung unterrichtet. Die Mitgliedstaaten können Gesetzgebungsmaßnahmen erlassen, die zu nachstehenden Zwecken die Pflicht, diese Informationen zur Verfügung zu stellen, teilweise oder vollständig einschränken, soweit diese Einschränkung in einer demokratischen Gesellschaft erforderlich und verhältnismäßig ist und den Grundrechten und den berechtigten Interessen der betroffenen natürlichen Person Rechnung getragen wird:</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">a)</p> </td> <td valign="top"> <p class="normal">Gewährleistung, dass behördliche oder gerichtliche Untersuchungen, Ermittlungen oder Verfahren nicht behindert werden,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">b)</p> </td> <td valign="top"> <p class="normal">Gewährleistung, dass die Verhütung, Aufdeckung, Ermittlungen oder Verfolgung von Straftaten oder die Strafvollstreckung nicht beeinträchtigt werden,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">c)</p> </td> <td valign="top"> <p class="normal">Schutz der öffentlichen Sicherheit,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">d)</p> </td> <td valign="top"> <p class="normal">Schutz der nationalen Sicherheit,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">e)</p> </td> <td valign="top"> <p class="normal">Schutz der Rechte und Freiheiten anderer.</p> </td> </tr> </tbody> </table> <p class="normal">Die Mitgliedstaaten sehen vor, dass der Verantwortliche die betroffene Person über die Möglichkeit unterrichtet, bei der Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.</p> <p class="normal">(5) Die Mitgliedstaaten sehen vor, dass der Verantwortliche die Berichtigung von unrichtigen personenbezogenen Daten der zuständigen Behörde, von der die unrichtigen Daten stammen, mitteilt.</p> <p class="normal">(6) Die Mitgliedstaaten sehen vor, dass in Fällen der Berichtigung, Löschung oder Einschränkung der Verarbeitung nach den Absätzen 1, 2 und 3 der Verantwortliche die Empfänger in Kenntnis setzt und dass die Empfänger die ihrer Verantwortung unterliegenden personenbezogenen Daten berichtigen, löschen oder deren Verarbeitung einschränken.</p> <p id="d1e1754-89-1" class="ti-art">Artikel 17</p> <p class="sti-art">Ausübung von Rechten durch die betroffene Person und Prüfung durch die Aufsichtsbehörde</p> <p class="normal">(1) In den in Artikel 13 Absatz 3, Artikel 15 Absatz 3 und Artikel 16 Absatz 4 genannten Fällen erlassen die Mitgliedstaaten Maßnahmen, in denen vorgesehen ist, dass die Rechte der betroffenen Person auch über die zuständige Aufsichtsbehörde ausgeübt werden können.</p> <p class="normal">(2) Die Mitgliedstaaten sehen vor, dass der Verantwortliche die betroffene Person über die Möglichkeit unterrichtet, ihr Recht auf Befassung der Aufsichtsbehörde gemäß Absatz 1 auszuüben.</p> <p class="normal">(3) Wird das in Absatz 1 genannte Recht ausgeübt, unterrichtet die Aufsichtsbehörde die betroffene Person zumindest darüber, dass alle erforderlichen Prüfungen oder eine Überprüfung durch die Aufsichtsbehörde erfolgt sind. Die Aufsichtsbehörde hat zudem die betroffene Person über ihr Recht auf einen gerichtlichen Rechtsbehelf zu unterrichten.</p> <p id="d1e1774-89-1" class="ti-art">Artikel 18</p> <p class="sti-art">Rechte der betroffenen Person in strafrechtlichen Ermittlungen und in Strafverfahren</p> <p class="normal">Die Mitgliedstaaten können vorsehen, dass die Ausübung der Rechte nach den Artikeln 13, 14 und16 im Einklang mit dem Recht der Mitgliedstaaten erfolgt, wenn es um personenbezogene Daten in einer gerichtlichen Entscheidung oder einem Dokument oder einer Verfahrensakte geht, die in strafrechtlichen Ermittlungen und in Strafverfahren verarbeitet werden.</p> <p id="d1e1782-89-1" class="ti-section-1"> <span class="italic">KAPITEL IV</span> </p> <p id="L_2016119DE.01008901-d-004" class="ti-section-2"> <span class="bold"> <span class="italic">Verantwortlicher und Auftragsverarbeiter</span> </span> </p> <p id="d1e1793-89-1" class="ti-section-1"> <span class="expanded">Abschnitt 1</span> </p> <p id="L_2016119DE.01008901-d-005" class="ti-section-2"> <span class="bold"> <span class="expanded">Allgemeine Pflichten</span> </span> </p> <p id="d1e1803-89-1" class="ti-art">Artikel 19</p> <p class="sti-art">Pflichten des Verantwortlichen</p> <p class="normal">(1) Die Mitgliedstaaten sehen vor, dass der Verantwortliche unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen umsetzt, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung in Übereinstimmung mit dieser Richtlinie erfolgt. Diese Maßnahmen werden erforderlichenfalls überprüft und aktualisiert.</p> <p class="normal">(2) Sofern dies in einem angemessenen Verhältnis zu den Verarbeitungstätigkeiten steht, müssen die Maßnahmen gemäß Absatz 1 die Anwendung geeigneter Datenschutzvorkehrungen durch den Verantwortlichen umfassen.</p> <p id="d1e1818-89-1" class="ti-art">Artikel 20</p> <p class="sti-art">Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen</p> <p class="normal">(1) Die Mitgliedstaaten sehen vor, dass der Verantwortliche unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung angemessene technische und organisatorische Maßnahmen — wie z. B. Pseudonymisierung — trifft, die dafür ausgelegt sind, Datenschutzgrundsätze wie etwa Datenminimierung wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen, um den Anforderungen dieser Richtlinie zu genügen und die Rechte der betroffenen Personen zu schützen.</p> <p class="normal">(2) Die Mitgliedstaaten sehen vor, dass der Verantwortliche geeignete technische und organisatorische Maßnahmen trifft, die sicherstellen, dass durch Voreinstellung grundsätzlich nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden. Diese Verpflichtung gilt für die Menge der erhobenen personenbezogenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit. Solche Maßnahmen müssen insbesondere sicherstellen, dass personenbezogene Daten durch Voreinstellungen nicht ohne Eingreifen der Person einer unbestimmten Zahl von natürlichen Personen zugänglich gemacht werden.</p> <p id="d1e1833-89-1" class="ti-art">Artikel 21</p> <p class="sti-art">Gemeinsam Verantwortliche</p> <p class="normal">(1) Die Mitgliedstaaten sehen vor, dass in dem Fall, dass zwei oder mehr Verantwortliche gemeinsam die Zwecke und die Mittel zur Verarbeitung festlegen, sie gemeinsam Verantwortliche sind. Sie legen in einer Vereinbarung in transparenter Form ihre jeweiligen Aufgaben gemäß dieser Richtlinie fest insbesondere was die Wahrnehmung der Rechte der betroffenen Person angeht, und wer welchen Informationspflichten gemäß Artikel 13 nachkommt, sofern und soweit die jeweiligen Aufgaben der Verantwortlichen nicht durch das Unionsrecht oder das Recht der Mitgliedstaaten, denen die Verantwortlichen unterliegen, festgelegt sind. In der Vereinbarung wird eine Anlaufstelle für die betroffenen Personen angegeben. Die Mitgliedstaaten können angeben, welcher der gemeinsam Verantwortlichen als zentrale Anlaufstelle für die betroffenen Personen handeln kann, wenn es um die Ausübung ihrer Rechte geht.</p> <p class="normal">(2) Ungeachtet der Einzelheiten der Vereinbarung gemäß Absatz 1 können die Mitgliedstaaten vorsehen, dass die betroffene Person ihre Rechte im Rahmen der nach dieser Richtlinie erlassenen Vorschriften bei und gegenüber jedem einzelnen der Verantwortlichen geltend machen kann.</p> <p id="d1e1848-89-1" class="ti-art">Artikel 22</p> <p class="sti-art">Auftragsverarbeiter</p> <p class="normal">(1) Die Mitgliedstaaten sehen vor, dass in dem Fall, dass eine Verarbeitung im Auftrag eines Verantwortlichen erfolgt, dieser nur mit Auftragsverarbeitern arbeitet, die hinreichende Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen dieser Richtlinie erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet.</p> <p class="normal">(2) Die Mitgliedstaaten sehen vor, dass der Auftragsverarbeiter keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen in Anspruch nimmt. Im Fall einer allgemeinen schriftlichen Genehmigung unterrichtet der Auftragsverarbeiter den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung anderer Auftragsverarbeiter, wodurch der Verantwortliche die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben.</p> <p class="normal">(3) Die Mitgliedstaaten sehen vor, dass die Verarbeitung durch einen Auftragsverarbeiter auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erfolgt, der bzw. das den Auftragsverarbeiter an den Verantwortlichen bindet und der den Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festlegt. Der Vertrag oder das andere Rechtsinstrument sieht insbesondere vor, dass der Auftragsverarbeiter</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">a)</p> </td> <td valign="top"> <p class="normal">nur auf Weisung des Verantwortlichen handelt,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">b)</p> </td> <td valign="top"> <p class="normal">gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">c)</p> </td> <td valign="top"> <p class="normal">den Verantwortlichen mit geeigneten Mitteln dabei unterstützt, die Einhaltung der Bestimmungen über die Rechte der betroffenen Person zu gewährleisten,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">d)</p> </td> <td valign="top"> <p class="normal">alle personenbezogenen Daten nach Abschluss der Erbringung der Verarbeitungsleistungen — nach Wahl des Verantwortlichen — zurückgibt bzw. löscht und bestehende Kopien vernichtet, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">e)</p> </td> <td valign="top"> <p class="normal">dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in diesem Artikel niedergelegten Pflichten zur Verfügung stellt,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">f)</p> </td> <td valign="top"> <p class="normal">die in den Absätzen 2 und 3 aufgeführten Bedingungen für die Inanspruchnahme der Dienste eines weiteren Auftragsverarbeiters einhält.</p> </td> </tr> </tbody> </table> <p class="normal">(4) Der Vertrag oder das andere Rechtsinstrument im Sinne von Absatz 3 ist schriftlich abzufassen, was auch in einem elektronischen Format erfolgen kann.</p> <p class="normal">(5) Ein Auftragsverarbeiter, der unter Verstoß gegen diese Richtlinie die Zwecke und Mittel der Verarbeitung bestimmt, gilt in Bezug auf diese Verarbeitung als Verantwortlicher.</p> <p id="d1e1916-89-1" class="ti-art">Artikel 23</p> <p class="sti-art">Verarbeitung unter der Aufsicht des Verantwortlichen oder des Auftragsverarbeiters</p> <p class="normal">Die Mitgliedstaaten sehen vor, dass der Auftragsverarbeiter und jede dem Verantwortlichen oder dem Auftragsverarbeiter unterstellte Person, die Zugang zu personenbezogenen Daten hat, diese Daten ausschließlich auf Weisung des Verantwortlichen verarbeiten, es sei denn, dass sie nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zur Verarbeitung verpflichtet sind.</p> <p id="d1e1923-89-1" class="ti-art">Artikel 24</p> <p class="sti-art">Verzeichnis von Verarbeitungstätigkeiten</p> <p class="normal">(1) Die Mitgliedstaaten sehen vor, dass jeder Verantwortliche ein Verzeichnis aller Kategorien von Tätigkeiten der Verarbeitung, die seiner Zuständigkeit unterliegen, führt. Dieses Verzeichnis enthält alle der folgenden Angaben:</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">a)</p> </td> <td valign="top"> <p class="normal">den Namen und die Kontaktdaten des Verantwortlichen, gegebenenfalls des gemeinsam mit ihm Verantwortlichen und eines etwaigen Datenschutzbeauftragten,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">b)</p> </td> <td valign="top"> <p class="normal">die Zwecke der Verarbeitung,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">c)</p> </td> <td valign="top"> <p class="normal">die Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, einschließlich Empfängern in Drittländern oder internationalen Organisationen,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">d)</p> </td> <td valign="top"> <p class="normal">eine Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">e)</p> </td> <td valign="top"> <p class="normal">gegebenenfalls die Verwendung von Profiling,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">f)</p> </td> <td valign="top"> <p class="normal">gegebenenfalls die Kategorien von Übermittlungen personenbezogener Daten an ein Drittland oder an eine internationale Organisation,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">g)</p> </td> <td valign="top"> <p class="normal">Angaben über die Rechtsgrundlage der Verarbeitung, einschließlich der Übermittlungen, für die die personenbezogenen Daten bestimmt sind,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">h)</p> </td> <td valign="top"> <p class="normal">wenn möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Kategorien personenbezogener Daten,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">i)</p> </td> <td valign="top"> <p class="normal">wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen gemäß Artikel 29 Absatz 1.</p> </td> </tr> </tbody> </table> <p class="normal">(2) Die Mitgliedstaaten sehen vor, dass jeder Auftragsverarbeiter ein Verzeichnis zu allen Kategorien von im Auftrag eines Verantwortlichen durchgeführten Tätigkeiten der Verarbeitung führt, die Folgendes enthält:</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">a)</p> </td> <td valign="top"> <p class="normal">Name und Kontaktdaten des Auftragsverarbeiters oder der Auftragsverarbeiter, jedes Verantwortlichen, in dessen Auftrag der Auftragsverarbeiter tätig ist, sowie eines etwaigen Datenschutzbeauftragten,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">b)</p> </td> <td valign="top"> <p class="normal">die Kategorien von Verarbeitungen, die im Auftrag jedes Verantwortlichen durchgeführt werden,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">c)</p> </td> <td valign="top"> <p class="normal">gegebenenfalls Übermittlungen von personenbezogenen Daten an ein Drittland oder an eine internationale Organisation, wenn vom Verantwortlichen entsprechend angewiesen, einschließlich der Identifizierung des Drittlandes oder der internationalen Organisation,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">d)</p> </td> <td valign="top"> <p class="normal">wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen gemäß Artikel 29 Absatz 1.</p> </td> </tr> </tbody> </table> <p class="normal">(3) Das in den Absätzen 1 und 2 genannte Verzeichnis ist schriftlich zu führen, was auch in einem elektronischen Format erfolgen kann.</p> <p class="normal">Der Verantwortliche und der Auftragsverarbeiter stellen der Aufsichtsbehörde das Verzeichnis auf Anfrage zur Verfügung.</p> <p id="d1e2027-89-1" class="ti-art">Artikel 25</p> <p class="sti-art">Protokollierung</p> <p class="normal">(1) Die Mitgliedstaaten sehen vor, dass in automatisierten Verarbeitungssystemen zumindest die folgenden Verarbeitungsvorgänge protokolliert werden: Erhebung, Veränderung, Abfrage, Offenlegung einschließlich Übermittlung, Kombination und Löschung. Die Protokolle über Abfragen und Offenlegungen müssen es ermöglichen, die Begründung, das Datum und die Uhrzeit dieser Vorgänge und so weit wie möglich die Identifizierung der Person, die die personenbezogenen Daten abgefragt oder offengelegt hat, und die Identität des Empfängers solcher personenbezogenen Daten festzustellen.</p> <p class="normal">(2) Die Protokolle werden ausschließlich zur Überprüfung der Rechtmäßigkeit der Datenverarbeitung, der Eigenüberwachung, der Sicherstellung der Integrität und Sicherheit der personenbezogenen Daten sowie für Strafverfahren verwendet.</p> <p class="normal">(3) Der Verantwortliche sowie der Auftragsverarbeiter stellen die Protokolle der Aufsichtsbehörde auf Anforderung zur Verfügung.</p> <p id="d1e2047-89-1" class="ti-art">Artikel 26</p> <p class="sti-art">Zusammenarbeit mit der Aufsichtsbehörde</p> <p class="normal">Die Mitgliedstaaten sehen vor, dass der Verantwortliche und der Auftragsverarbeiter auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammenarbeiten.</p> <p id="d1e2054-89-1" class="ti-art">Artikel 27</p> <p class="sti-art">Datenschutz-Folgenabschätzung</p> <p class="normal">(1) Hat eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so sehen die Mitgliedstaaten vor, dass der Verantwortliche vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durchführt.</p> <p class="normal">(2) Die Folgenabschätzung gemäß Absatz 1 trägt den Rechten und den berechtigten Interessen der von der Datenverarbeitung betroffenen Personen und sonstiger Betroffener Rechnung und enthält zumindest eine allgemeine Beschreibung der geplanten Verarbeitungsvorgänge und eine Bewertung der in Bezug auf die Rechte und Freiheiten der betroffenen Personen bestehenden Risiken sowie der geplanten Abhilfemaßnahmen, Garantien, Sicherheitsvorkehrungen und Verfahren, durch die der Schutz personenbezogener Daten sichergestellt und der Nachweis dafür erbracht wird, dass diese Richtlinie eingehalten wird.</p> <p id="d1e2069-89-1" class="ti-art">Artikel 28</p> <p class="sti-art">Vorherige Konsultation der Aufsichtsbehörde</p> <p class="normal">(1) Die Mitgliedstaaten sehen vor, dass der Verantwortliche oder der Auftragsverarbeiter vor der Verarbeitung personenbezogener Daten in neu anzulegenden Dateisystemen die Aufsichtsbehörde konsultiert, wenn</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">a)</p> </td> <td valign="top"> <p class="normal">aus einer Datenschutz-Folgenabschätzung gemäß Artikel 27 hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern der Verantwortliche keine Maßnahmen zur Eindämmung des Risikos trifft, oder</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">b)</p> </td> <td valign="top"> <p class="normal">die Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, Mechanismen oder Verfahren, ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen zur Folge hat.</p> </td> </tr> </tbody> </table> <p class="normal">(2) Die Mitgliedstaaten sehen vor, dass bei der Ausarbeitung eines Vorschlags für von einem nationalen Parlament zu erlassende Gesetzgebungsmaßnahmen oder von auf solchen Gesetzgebungsmaßnahmen basierenden Regelungsmaßnahmen, die die Verarbeitung betreffen, die Aufsichtsbehörde konsultiert wird.</p> <p class="normal">(3) Die Mitgliedstaaten sehen vor, dass die Aufsichtsbehörde eine Liste der Verarbeitungsvorgänge erstellen kann, die der Pflicht zur vorherigen Konsultation nach Absatz 1 unterliegen.</p> <p class="normal">(4) Die Mitgliedstaaten sehen vor, dass der Verantwortliche der Aufsichtsbehörde die Datenschutz-Folgenabschätzung gemäß Artikel 27 vorlegt und ihr auf Anfrage alle sonstigen Informationen übermittelt, die sie benötigt, um die Ordnungsgemäßheit der Verarbeitung sowie insbesondere die in Bezug auf den Schutz der personenbezogenen Daten der betroffenen Person bestehenden Gefahren und die diesbezüglichen Garantien bewerten zu können.</p> <p class="normal">(5) Die Mitgliedstaaten sehen vor, dass die Aufsichtsbehörde, wenn sie der Auffassung ist, dass die geplante Verarbeitung gemäß Absatz 1 dieses Artikels gegen die nach dieser Richtlinie erlassenen Vorschriften verstoßen würde, insbesondere weil der Verantwortliche das Risiko nicht ausreichend ermittelt oder nicht ausreichend eingedämmt hat, dem Verantwortlichen und gegebenenfalls dem Auftragsverarbeiter innerhalb eines Zeitraums von bis zu sechs Wochen nach Erhalt des Ersuchens um Konsultation entsprechende schriftliche Empfehlungen unterbreitet und ihre in Artikel 47 genannten Befugnisse ausüben kann. Diese Frist kann unter Berücksichtigung der Komplexität der geplanten Verarbeitung um einen weiteren Monat verlängert werden. Die Aufsichtsbehörde unterrichtet den Verantwortliche oder gegebenenfalls den Auftragsverarbeiter über eine solche Fristverlängerung innerhalb eines Monats nach Eingang des Antrags auf Konsultation zusammen mit den Gründen für die Verzögerung.</p> <p id="d1e2114-89-1" class="ti-section-1"> <span class="expanded">Abschnitt 2</span> </p> <p id="L_2016119DE.01008901-d-006" class="ti-section-2"> <span class="bold"> <span class="expanded">Sicherheit personenbezogener Daten</span> </span> </p> <p id="d1e2124-89-1" class="ti-art">Artikel 29</p> <p class="sti-art">Sicherheit der Verarbeitung</p> <p class="normal">(1) Die Mitgliedstaaten sehen vor, dass der Verantwortliche und der Auftragsverarbeiter unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, insbesondere im Hinblick auf die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne von Artikel 10.</p> <p class="normal">(2) Die Mitgliedstaaten sehen im Hinblick auf die automatisierte Verarbeitung vor, dass der Verantwortliche oder der Auftragsverarbeiter nach einer Risikobewertung Maßnahmen ergreift, die Folgendes bezwecken:</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">a)</p> </td> <td valign="top"> <p class="normal">Verwehrung des Zugangs zu Verarbeitungsanlagen, mit denen die Verarbeitung durchgeführt wird, für Unbefugte (Zugangskontrolle),</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">b)</p> </td> <td valign="top"> <p class="normal">Verhinderung des unbefugten Lesens, Kopierens, Veränderns oder Entfernens von Datenträgern (Datenträgerkontrolle),</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">c)</p> </td> <td valign="top"> <p class="normal">Verhinderung der unbefugten Eingabe von personenbezogenen Daten sowie der unbefugten Kenntnisnahme, Veränderung und Löschung von gespeicherten personenbezogenen Daten (Speicherkontrolle),</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">d)</p> </td> <td valign="top"> <p class="normal">Verhinderung der Nutzung automatisierter Verarbeitungssysteme mit Hilfe von Einrichtungen zur Datenübertragung durch Unbefugte (Benutzerkontrolle),</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">e)</p> </td> <td valign="top"> <p class="normal">Gewährleistung, dass die zur Benutzung eines automatisierten Verarbeitungssystems Berechtigten ausschließlich zu den ihrer Zugangsberechtigung unterliegenden personenbezogenen Daten Zugang haben (Zugangskontrolle),</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">f)</p> </td> <td valign="top"> <p class="normal">Gewährleistung, dass überprüft und festgestellt werden kann, an welche Stellen personenbezogene Daten mit Hilfe von Einrichtungen zur Datenübertragung übermittelt oder zur Verfügung gestellt wurden oder werden können (Übertragungskontrolle),</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">g)</p> </td> <td valign="top"> <p class="normal">Gewährleistung, dass nachträglich überprüft und festgestellt werden kann, welche personenbezogenen Daten zu welcher Zeit und von wem in automatisierte Verarbeitungssysteme eingegeben worden sind (Eingabekontrolle),</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">h)</p> </td> <td valign="top"> <p class="normal">Verhinderung, dass bei der Übermittlung personenbezogener Daten sowie beim Transport von Datenträgern die Daten unbefugt gelesen, kopiert, verändert oder gelöscht werden können (Transportkontrolle),</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">i)</p> </td> <td valign="top"> <p class="normal">Gewährleistung, dass eingesetzte Systeme im Störungsfall wiederhergestellt werden können (Wiederherstellung),</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">j)</p> </td> <td valign="top"> <p class="normal">Gewährleistung, dass alle Funktionen des Systems zur Verfügung stehen, auftretende Fehlfunktionen gemeldet werden (Zuverlässigkeit) und gespeicherte personenbezogene Daten nicht durch Fehlfunktionen des Systems beschädigt werden können (Datenintegrität).</p> </td> </tr> </tbody> </table> <p id="d1e2201-89-1" class="ti-art">Artikel 30</p> <p class="sti-art">Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde</p> <p class="normal">(1) Die Mitgliedstaaten sehen vor, dass im Falle einer Verletzung des Schutzes personenbezogener Daten der Verantwortliche diese unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der Aufsichtsbehörde meldet, es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Erfolgt die Meldung an die Aufsichtsbehörde nicht binnen 72 Stunden, so ist ihr eine Begründung für die Verzögerung beizufügen.</p> <p class="normal">(2) Wenn dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt wird, meldet er diese dem Verantwortlichen unverzüglich.</p> <p class="normal">(3) Die Meldung gemäß Absatz 1 enthält zumindest folgende Informationen:</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">a)</p> </td> <td valign="top"> <p class="normal">eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien personenbezogener Daten und der ungefähren Zahl der betroffenen personenbezogenen Datensätze,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">b)</p> </td> <td valign="top"> <p class="normal">Name und Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">c)</p> </td> <td valign="top"> <p class="normal">eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">d)</p> </td> <td valign="top"> <p class="normal">eine Beschreibung der von dem Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behandlung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls der Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.</p> </td> </tr> </tbody> </table> <p class="normal">(4) Wenn und soweit die Informationen nicht zur gleichen Zeit bereitgestellt werden können, kann der Verantwortliche diese Informationen ohne unangemessene weitere Verzögerung schrittweise zur Verfügung stellen.</p> <p class="normal">(5) Die Mitgliedstaaten sehen vor, dass der Verantwortliche Verletzungen des Schutzes personenbezogener Daten nach Absatz 1 einschließlich aller im Zusammenhang mit der Verletzung des Schutzes personenbezogener Daten stehenden Fakten, von deren Auswirkungen und der ergriffenen Abhilfemaßnahmen dokumentiert. Diese Dokumentation ermöglicht der Aufsichtsbehörde die Überprüfung der Einhaltung der Bestimmungen dieses Artikels.</p> <p class="normal">(6) Die Mitgliedstaaten sehen vor, dass, soweit von der Verletzung des Schutzes personenbezogener Daten personenbezogene Daten betroffen sind, die von dem oder an den Verantwortlichen eines anderen Mitgliedstaats übermittelt wurden, die in Absatz 3 genannten Informationen dem Verantwortlichen jenes Mitgliedstaats unverzüglich übermittelt werden.</p> <p id="d1e2262-89-1" class="ti-art">Artikel 31</p> <p class="sti-art">Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person</p> <p class="normal">(1) Die Mitgliedstaaten sehen vor, dass, wenn die Verletzung des Schutzes personenbezogener voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, der Verantwortliche die betroffene Person unverzüglich von der Verletzung benachrichtigt.</p> <p class="normal">(2) Die in Absatz 1 dieses Artikels genannte Benachrichtigung der betroffenen Person beschreibt in klarer und einfacher Sprache die Art der Verletzung des Schutzes personenbezogener Daten und enthält zumindest die in Artikel 30 Absatz 3 Buchstaben b, c und d genannten Informationen und Maßnahmen.</p> <p class="normal">(3) Die Benachrichtigung der betroffenen Person gemäß Absatz 1 ist nicht erforderlich, wenn eine der folgenden Bedingungen erfüllt ist:</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">a)</p> </td> <td valign="top"> <p class="normal">der Verantwortliche geeignete technische und organisatorische Sicherheitsvorkehrungen getroffen hat und diese Vorkehrungen auf die von der Verletzung betroffenen personenbezogenen Daten angewandt wurden, insbesondere solche, durch die die personenbezogenen Daten für alle Personen, die nicht zum Zugang zu den personenbezogenen Daten befugt sind, unzugänglich gemacht werden, etwa durch Verschlüsselung,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">b)</p> </td> <td valign="top"> <p class="normal">der Verantwortliche durch nachfolgende Maßnahmen sichergestellt hat, dass das hohe Risiko für die Rechte und Freiheiten der betroffenen Personen gemäß Absatz 1 aller Wahrscheinlichkeit nach nicht mehr besteht,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">c)</p> </td> <td valign="top"> <p class="normal">dies mit einem unverhältnismäßigen Aufwand verbunden wäre. In diesem Fall hat stattdessen eine öffentliche Bekanntmachung oder eine ähnliche Maßnahme zu erfolgen, durch die die betroffenen Personen vergleichbar wirksam informiert werden.</p> </td> </tr> </tbody> </table> <p class="normal">(4) Wenn der Verantwortliche die betroffene Person nicht bereits über die Verletzung des Schutzes personenbezogener Daten benachrichtigt hat, kann die Aufsichtsbehörde unter Berücksichtigung der Wahrscheinlichkeit, mit der die Verletzung des Schutzes personenbezogener Daten zu einem hohen Risiko führt, von dem Verantwortlichen verlangen, dies nachzuholen oder sie kann mit einem Beschluss feststellen, dass bestimmte der in Absatz 3 genannten Voraussetzungen erfüllt sind.</p> <p class="normal">(5) Die Benachrichtigung der betroffenen Person gemäß Absatz 1 dieses Artikels kann unter zu den in Artikel 13 Absatz 3 genannten Voraussetzungen und aus den dort genannten Gründen aufgeschoben, eingeschränkt oder unterlassen werden.</p> <p id="d1e2313-89-1" class="ti-section-1"> <span class="expanded">Abschnitt 3</span> </p> <p id="L_2016119DE.01008901-d-007" class="ti-section-2"> <span class="bold"> <span class="expanded">Datenschutzbeauftragter</span> </span> </p> <p id="d1e2323-89-1" class="ti-art">Artikel 32</p> <p class="sti-art">Benennung eines Datenschutzbeauftragten</p> <p class="normal">(1) Die Mitgliedstaaten sehen vor, dass der Verantwortliche einen Datenschutzbeauftragten benennt. Mitgliedstaaten können Gerichte und andere unabhängige Justizbehörden im Rahmen ihrer justiziellen Tätigkeit von dieser Pflicht befreien.</p> <p class="normal">(2) Der Datenschutzbeauftragte wird auf der Grundlage seiner beruflichen Qualifikation und insbesondere des Fachwissens benannt, das er auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis besitzt, sowie auf der Grundlage seiner Fähigkeit zur Erfüllung der in Artikel 34 genannten Aufgaben.</p> <p class="normal">(3) Ein Datenschutzbeauftragter kann für mehrere zuständige Behörden gemeinsam ernannt werden, wobei deren Organisationsstruktur und Größe Rechnung getragen wird.</p> <p class="normal">(4) Die Mitgliedstaaten sehen vor, dass der Verantwortliche die Kontaktdaten des Datenschutzbeauftragten veröffentlicht und der Aufsichtsbehörde mitteilt.</p> <p id="d1e2348-89-1" class="ti-art">Artikel 33</p> <p class="sti-art">Stellung des Datenschutzbeauftragten</p> <p class="normal">(1) Die Mitgliedstaaten sehen vor, dass der Verantwortliche sicherstellt, dass der Datenschutzbeauftragte ordnungsgemäß und frühzeitig in alle mit dem Schutz personenbezogener Daten zusammenhängenden Fragen eingebunden wird.</p> <p class="normal">(2) Der Verantwortliche unterstützt den Datenschutzbeauftragten bei der Erfüllung seiner Aufgaben gemäß Artikel 34, indem er die hierfür erforderlichen Ressourcen und den Zugang zu personenbezogenen Daten und Verarbeitungsvorgängen sowie die zur Erhaltung seines Fachwissens erforderlichen Ressourcen zur Verfügung stellt.</p> <p id="d1e2363-89-1" class="ti-art">Artikel 34</p> <p class="sti-art">Aufgaben des Datenschutzbeauftragten</p> <p class="normal">Die Mitgliedstaaten sehen vor, dass der Verantwortliche den Datenschutzbeauftragten mit zumindest folgenden Aufgaben betraut:</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">a)</p> </td> <td valign="top"> <p class="normal">Unterrichtung und Beratung des Verantwortlichen und der Beschäftigten, die Verarbeitungen durchführen, hinsichtlich ihrer Pflichten nach dieser Richtlinie sowie anderer Datenschutzvorschriften der Union oder der Mitgliedstaaten,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">b)</p> </td> <td valign="top"> <p class="normal">Überwachung der Einhaltung dieser Richtlinie, anderer Datenschutzvorschriften der Union oder der Mitgliedstaaten sowie der Strategien des Verantwortlichen für den Schutz personenbezogener Daten einschließlich der Zuweisung von Zuständigkeiten, der Sensibilisierung und Schulung der an Verarbeitungsvorgängen beteiligten Mitarbeiter und der diesbezüglichen Überprüfungen,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">c)</p> </td> <td valign="top"> <p class="normal">Beratung — auf Anfrage — im Zusammenhang mit der Datenschutz-Folgenabschätzung und Überwachung ihrer Durchführung gemäß Artikel 27,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">d)</p> </td> <td valign="top"> <p class="normal">Zusammenarbeit mit der Aufsichtsbehörde,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">e)</p> </td> <td valign="top"> <p class="normal">Tätigkeit als Anlaufstelle für die Aufsichtsbehörde in mit der Verarbeitung zusammenhängenden Fragen, einschließlich der vorherigen Konsultation gemäß Artikel 28, und gegebenenfalls Beratung zu allen sonstigen Fragen.</p> </td> </tr> </tbody> </table> <p id="d1e2403-89-1" class="ti-section-1"> <span class="italic">KAPITEL V</span> </p> <p id="L_2016119DE.01008901-d-008" class="ti-section-2"> <span class="bold"> <span class="italic">Übermittlung personenbezogener Daten an Drittländer oder internationale Organisationen</span> </span> </p> <p id="d1e2413-89-1" class="ti-art">Artikel 35</p> <p class="sti-art">Allgemeine Grundsätze für die Übermittlung personenbezogener Daten</p> <p class="normal">(1) Die Mitgliedstaaten sehen vor, dass jedwede von einer zuständigen Behörde vorgenommene Übermittlung von personenbezogenen Daten, die bereits verarbeitet werden oder nach ihrer Übermittlung an ein Drittland oder eine internationale Organisation verarbeitet werden sollen, einschließlich der Weiterübermittlung an ein anderes Drittland oder eine andere internationale Organisation, nur unter Einhaltung der nach Maßgabe anderer Bestimmungen dieser Richtlinie erlassenen nationalen Bestimmungen, zulässig ist, wenn die in diesem Kapitel festgelegten Bedingungen eingehalten werden, nämlich</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">a)</p> </td> <td valign="top"> <p class="normal">die Übermittlung für die in Artikel 1 Absatz 1 genannten Zwecke erforderlich ist;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">b)</p> </td> <td valign="top"> <p class="normal">die personenbezogenen Daten an einen Verantwortlichen in einem Drittland oder einer internationalen Organisation, die eine für die in Artikel 1 Absatz 1 genannten Zwecke zuständige Behörde ist, übermittelt werden;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">c)</p> </td> <td valign="top"> <p class="normal">in Fällen, in denen personenbezogene Daten aus einem anderen Mitgliedstaat übermittelt oder zur Verfügung gestellt werden, dieser Mitgliedstaat die Übermittlung zuvor in Einklang mit seinem nationalen Recht genehmigt hat;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">d)</p> </td> <td valign="top"> <p class="normal">die Kommission gemäß Artikel 36 einen Angemessenheitsbeschluss gefasst hat oder, wenn kein solcher Beschluss vorliegt, geeignete Garantien im Sinne des Artikels 37 erbracht wurden oder bestehen oder, wenn kein Angemessenheitsbeschluss gemäß Artikel 36 vorliegt und keine geeigneten Garantien im Sinne des Artikels 37 vorhanden sind, Ausnahmen für bestimmte Fälle gemäß Artikel 38 anwendbar sind und</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">e)</p> </td> <td valign="top"> <p class="normal">im Fall der Weiterübermittlung an ein anderes Drittland oder eine andere internationale Organisation die zuständige Behörde, die die ursprüngliche Übermittlung durchgeführt hat, oder eine andere zuständige Behörde des gleichen Mitgliedstaats die Weiterübermittlung genehmigt nach gebührender Berücksichtigung sämtlicher maßgeblicher Faktoren, einschließlich der Schwere der Straftat, des Zwecks der ursprünglichen Übermittlung personenbezogener Daten und des Schutzniveaus für personenbezogene Daten in dem Drittland oder der internationalen Organisation, an das bzw. die personenbezogene Daten weiterübermittelt werden.</p> </td> </tr> </tbody> </table> <p class="normal">(2) Die Mitgliedstaaten sehen vor, dass Übermittlungen ohne vorherige Genehmigung durch einen anderen Mitgliedstaat gemäß Absatz 1 Buchstabe c nur dann zulässig sind, wenn die Übermittlung der personenbezogenen Daten erforderlich ist, um eine unmittelbare und ernsthafte Gefahr für die öffentliche Sicherheit eines Mitgliedstaats oder eines Drittlandes oder für die wesentlichen Interessen eines Mitgliedstaats abzuwehren, und die vorherige Genehmigung nicht rechtzeitig eingeholt werden kann. Die Behörde, die für die Erteilung der vorherigen Genehmigung zuständig ist, wird unverzüglich unterrichtet.</p> <p class="normal">(3) Sämtliche Bestimmungen dieses Kapitels werden angewendet, um sicherzustellen, dass das durch diese Richtlinie gewährleistete Schutzniveau für natürliche Personen nicht untergraben wird.</p> <p id="d1e2465-89-1" class="ti-art">Artikel 36</p> <p class="sti-art">Datenübermittlung auf der Grundlage eines Angemessenheitsbeschlusses</p> <p class="normal">(1) Die Mitgliedstaaten sehen vor, dass personenbezogene Daten an ein Drittland oder eine internationale Organisation übermittelt werden dürfen, wenn die Kommission beschlossen hat, dass das betreffende Drittland, ein Gebiet oder ein oder mehrere spezifische Sektoren in diesem Drittland oder die betreffende internationale Organisation ein angemessenes Schutzniveau bietet. Eine solche Datenübermittlungen bedarf keiner besonderen Genehmigung.</p> <p class="normal">(2) Bei der Prüfung der Angemessenheit des Schutzniveaus berücksichtigt die Kommission insbesondere</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">a)</p> </td> <td valign="top"> <p class="normal">die Rechtsstaatlichkeit, die Achtung der Menschenrechte und Grundfreiheiten, die in dem betreffenden Land bzw. der betreffenden internationalen Organisation geltenden Vorschriften sowohl allgemeiner als auch sektoraler Art, auch in Bezug auf die öffentliche Sicherheit, die Landesverteidigung, die nationale Sicherheit und das Strafrecht, und der Zugang der Behörden zu personenbezogenen Daten sowie die Durchsetzung dieser Vorschriften, Datenschutzvorschriften, Berufsregeln und Sicherheitsvorschriften einschließlich der Vorschriften für die Weiterübermittlung personenbezogener Daten an ein anderes Drittland bzw. eine andere internationale Organisation, Rechtsprechung sowie wirksame und durchsetzbare Rechte der betroffenen Person und wirksame verwaltungsrechtliche und gerichtliche Rechtsbehelfe für betroffene Personen, deren personenbezogene Daten übermittelt werden,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">b)</p> </td> <td valign="top"> <p class="normal">die Existenz und die wirksame Funktionsweise einer oder mehrerer unabhängiger Aufsichtsbehörden in dem betreffenden Drittland oder denen eine internationale Organisation untersteht und die für die Einhaltung und Durchsetzung der Datenschutzvorschriften, einschließlich angemessener Durchsetzungsbefugnisse, für die Unterstützung und Beratung der betroffenen Personen bei der Ausübung ihrer Rechte und für die Zusammenarbeit mit den Aufsichtsbehörden der Mitgliedstaaten zuständig sind, und</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">c)</p> </td> <td valign="top"> <p class="normal">die von dem betreffenden Drittland bzw. der betreffenden internationalen Organisation eingegangenen internationalen Verpflichtungen oder andere Verpflichtungen, die sich aus rechtsverbindlichen Übereinkünften oder Rechtsinstrumenten sowie aus der Teilnahme des Drittlandes oder der internationalen Organisation an multilateralen oder regionalen Systemen insbesondere in Bezug auf den Schutz personenbezogener Daten ergeben.</p> </td> </tr> </tbody> </table> <p class="normal">(3) Nach der Beurteilung der Angemessenheit des Schutzniveaus kann die Kommission im Wege eines Durchführungsrechtsaktes beschließen, dass ein Drittland beziehungsweise ein Gebiet oder ein oder mehrere spezifische Sektoren in einem Drittland oder eine internationale Organisation ein angemessenes Schutzniveau im Sinne des Absatzes 2 dieses Artikels bietet. In dem Durchführungsrechtsakt wird ein Mechanismus für die regelmäßige Überprüfung vorgesehen, die mindestens alle vier Jahre erfolgt und bei der allen maßgeblichen Entwicklungen in dem Drittland oder der internationalen Organisation Rechnung getragen wird. Im Durchführungsrechtsakt werden der territoriale und der sektorale Anwendungsbereich sowie gegebenenfalls die in Absatz 2 Buchstabe b dieses Artikels genannte Aufsichtsbehörde oder die dort genannten Aufsichtsbehörden angegeben. Der Durchführungsrechtsakt wird gemäß dem in Artikel 58 Absatz 2 genannten Prüfverfahren erlassen.</p> <p class="normal">(4) Die Kommission überwacht fortlaufend die Entwicklungen in Drittländern und internationalen Organisationen, die die Wirkungsweise der nach Absatz 3 erlassenen Beschlüsse beeinträchtigen könnten.</p> <p class="normal">(5) Die Kommission widerruft, ändert oder setzt die in Absatz 3 des vorliegenden Artikels genannten Beschlüsse im Wege von Durchführungsrechtsakten aus, soweit dies nötig ist und ohne rückwirkende Kraft, soweit entsprechende Informationen — insbesondere im Anschluss an die in Absatz 3 des vorliegenden Artikels genannte Überprüfung — dahingehend vorliegen, dass ein Drittland, ein Gebiet oder ein oder mehrere spezifische Sektoren in einem Drittland oder eine internationale Organisation kein angemessenes Schutzniveau im Sinne des Absatzes 2 des vorliegenden Artikels mehr gewährleistet. Diese Durchführungsrechtsakte werden gemäß dem in Artikel 58 Absatz 2 genannten Prüfverfahren oder in äußerst dringlichen Fällen gemäß dem in Artikel 58 Absatz 3 genannten Verfahren erlassen.</p> <p class="normal">In hinreichend begründeten Fällen äußerster Dringlichkeit erlässt die Kommission gemäß dem in Artikel 58 Absatz 3 genannten Verfahren sofort geltende Durchführungsrechtsakte.</p> <p class="normal">(6) Die Kommission nimmt Beratungen mit dem betreffenden Drittland bzw. der betreffenden internationalen Organisation auf, um Abhilfe für die Situation zu schaffen, die zu dem Beschluss nach Absatz 5 geführt hat.</p> <p class="normal">(7) Die Mitgliedstaaten sehen vor, dass Übermittlungen personenbezogener Daten an das betreffende Drittland, an das Gebiet oder einen oder mehrere spezifischen Sektoren in einem Drittland oder an die betreffende internationale Organisation gemäß den Artikeln 37 und 38 durch einen Beschluss nach Absatz 5 nicht berührt werden.</p> <p class="normal">(8) Die Kommission veröffentlicht im <span class="italic">Amtsblatt der Europäischen Union</span> und auf ihrer Website eine Liste aller Drittländern beziehungsweise Gebiete und spezifischen Sektoren in einem Drittland und aller internationalen Organisationen, bei denen sie durch Beschluss festgestellt hat, dass diese ein beziehungsweise kein angemessenes Schutzniveau für personenbezogene Daten bieten.</p> <p id="d1e2535-89-1" class="ti-art">Artikel 37</p> <p class="sti-art">Datenübermittlung vorbehaltlich geeigneter Garantien</p> <p class="normal">(1) Liegt kein Beschluss nach Artikel 36 Absatz 3 vor, so sehen die Mitgliedstaaten vor, dass eine Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation erfolgen darf, wenn</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">a)</p> </td> <td valign="top"> <p class="normal">in einem rechtsverbindlichen Instrument geeignete Garantien für den Schutz personenbezogener Daten vorgesehen sind oder</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">b)</p> </td> <td valign="top"> <p class="normal">der Verantwortliche alle Umstände beurteilt hat, die bei der Übermittlung personenbezogener Daten eine Rolle spielen, und zu der Auffassung gelangt ist, dass geeignete Garantien zum Schutz personenbezogener Daten bestehen.</p> </td> </tr> </tbody> </table> <p class="normal">(2) Der Verantwortliche unterrichtet die Aufsichtsbehörde über Kategorien von Übermittlungen gemäß Absatz 1 Buchstabe b.</p> <p class="normal">(3) Übermittlungen gemäß Absatz 1 Buchstabe b werden dokumentiert und die Dokumentation einschließlich Datum und Zeitpunkt der Übermittlung, Informationen über die empfangende zuständige Behörde, Begründung der Übermittlung und übermittelte personenbezogenen Daten, der Aufsichtsbehörde auf Anforderung zur Verfügung gestellt.</p> <p id="d1e2569-89-1" class="ti-art">Artikel 38</p> <p class="sti-art">Ausnahmen für bestimmte Fälle</p> <p class="normal">(1) Falls weder ein Angemessenheitsbeschluss nach Artikel 36 vorliegt noch geeignete Garantien nach Artikel 37 bestehen, sehen die Mitgliedstaaten vor, dass eine Übermittlung oder eine Kategorie von Übermittlungen personenbezogener Daten an ein Drittland oder an eine internationale Organisation nur zulässig ist, wenn die Übermittlung aus einem der folgenden Gründe erforderlich ist</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">a)</p> </td> <td valign="top"> <p class="normal">zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen Person,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">b)</p> </td> <td valign="top"> <p class="normal">zur Wahrung berechtigter Interessen der betroffenen Person, wenn dies im Recht des Mitgliedstaats, aus dem die personenbezogenen Daten übermittelt werden, vorgesehen ist,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">c)</p> </td> <td valign="top"> <p class="normal">zur Abwehr einer unmittelbaren und ernsthaften Gefahr für die öffentliche Sicherheit eines Mitgliedstaats oder eines Drittlandes,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">d)</p> </td> <td valign="top"> <p class="normal">im Einzelfall für die in Artikel 1 Absatz 1 genannten Zwecke, oder</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">e)</p> </td> <td valign="top"> <p class="normal">im Einzelfall zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen im Zusammenhang mit den in Artikel 1 Absatz 1 genannten Zwecken.</p> </td> </tr> </tbody> </table> <p class="normal">(2) Personenbezogene Daten dürfen nicht übermittelt werden, wenn die übermittelnde zuständige Behörde feststellt, dass Grundrechte und Grundfreiheiten der betroffenen Person das öffentliche Interesse an der Übermittlung im Sinne des Absatzes 1 Buchstaben d und e überwiegen.</p> <p class="normal">(3) Übermittlungen gemäß Absatz 1 werden dokumentiert und die Dokumentation einschließlich Datum und Zeitpunkt der Übermittlung, Informationen über die empfangende zuständige Behörde, Begründung der Übermittlung und übermittelte personenbezogene Daten, der Aufsichtsbehörde auf Anforderung zur Verfügung gestellt.</p> <p id="d1e2621-89-1" class="ti-art">Artikel 39</p> <p class="sti-art">Übermittlung personenbezogener Daten an in Drittländern niedergelassene Empfänger</p> <p class="normal">(1) Abweichend von Artikel 35 Absatz 1 Buchstabe b und unbeschadet der in Absatz 2 dieses Artikels genannten internationalen Übereinkünfte kann das Unionsrecht oder das Recht der Mitgliedstaaten vorsehen, dass die in Artikel 3 Nummer 7 Buchstabe a genannten zuständigen Behörden im speziellen Einzelfall nur dann personenbezogene Daten direkt an in Drittländern niedergelassene Empfänger übermitteln dürfen, wenn die übrigen Bestimmungen dieser Richtlinie eingehalten werden und alle der folgende Voraussetzungen gegeben sind:</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">a)</p> </td> <td valign="top"> <p class="normal">Die Übermittlung ist für die Ausübung einer Aufgabe der übermittelnden zuständigen Behörde gemäß dem Unionsrecht oder dem Recht der Mitgliedstaaten für die in Artikel 1 Absatz 1 genannten Zwecke unbedingt erforderlich,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">b)</p> </td> <td valign="top"> <p class="normal">die übermittelnde zuständige Behörde stellt fest, dass im konkreten Fall keine Grundrechte und Grundfreiheiten der betroffenen Person das öffentliche Interesse an einer Übermittlung überwiegen,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">c)</p> </td> <td valign="top"> <p class="normal">die übermittelnde zuständige Behörde hält die Übermittlung an eine für die in Artikel 1 Absatz 1 genannten Zwecke zuständige Behörde in dem Drittland für wirkungslos oder ungeeignet, insbesondere weil die Übermittlung nicht rechtzeitig durchgeführt werden kann,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">d)</p> </td> <td valign="top"> <p class="normal">die für die in Artikel 1 Absatz 1 genannten Zwecke zuständige Behörde in dem Drittland wird unverzüglich unterrichtet, es sei denn, dies ist wirkungslos oder ungeeignet, und</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">e)</p> </td> <td valign="top"> <p class="normal">die übermittelnde zuständige Behörde teilt dem Empfänger den festgelegten Zweck oder die festgelegten Zwecke mit, für die die personenbezogenen Daten nur dann durch diesen verarbeitet werden dürfen, wenn eine derartige Verarbeitung erforderlich ist.</p> </td> </tr> </tbody> </table> <p class="normal">(2) Eine internationale Übereinkunft im Sinne des Absatzes 1 ist jede in Kraft befindliche bilaterale oder multilaterale internationale Übereinkunft zwischen Mitgliedstaaten und Drittländern im Bereich der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit.</p> <p class="normal">(3) Die übermittelnde zuständige Behörde unterrichtet die Aufsichtsbehörde über die Übermittlungen gemäß diesem Artikel.</p> <p class="normal">(4) Übermittlungen gemäß Absatz 1 werden dokumentiert.</p> <p id="d1e2678-89-1" class="ti-art">Artikel 40</p> <p class="sti-art">Internationale Zusammenarbeit zum Schutz personenbezogener Daten</p> <p class="normal">In Bezug auf Drittländer und internationale Organisationen treffen die Kommission und die Mitgliedstaaten geeignete Maßnahmen zur</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">a)</p> </td> <td valign="top"> <p class="normal">Entwicklung von Mechanismen der internationalen Zusammenarbeit, durch die die wirksame Durchsetzung von Rechtsvorschriften zum Schutz personenbezogener Daten erleichtert wird,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">b)</p> </td> <td valign="top"> <p class="normal">gegenseitigen Leistung internationaler Amtshilfe bei der Durchsetzung von Rechtsvorschriften zum Schutz personenbezogener Daten, unter anderem durch Meldungen, Beschwerdeverweisungen, Amtshilfe bei Untersuchungen und Informationsaustausch, sofern geeignete Garantien für den Schutz personenbezogener Daten und anderer Grundrechte und Grundfreiheiten bestehen,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">c)</p> </td> <td valign="top"> <p class="normal">Einbindung maßgeblicher Interessenträger in Diskussionen und Tätigkeiten, die zum Ausbau der internationalen Zusammenarbeit bei der Durchsetzung von Rechtsvorschriften zum Schutz personenbezogener Daten dienen,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">d)</p> </td> <td valign="top"> <p class="normal">Förderung des Austausches und der Dokumentation von Rechtsvorschriften und Praktiken zum Schutz personenbezogener Daten einschließlich Zuständigkeitskonflikten mit Drittländern.</p> </td> </tr> </tbody> </table> <p id="d1e2712-89-1" class="ti-section-1"> <span class="italic">KAPITEL VI</span> </p> <p id="L_2016119DE.01008901-d-009" class="ti-section-2"> <span class="bold"> <span class="italic">Unabhänge Aufsichtsbehörden</span> </span> </p> <p id="d1e2723-89-1" class="ti-section-1"> <span class="expanded">Abschnitt 1</span> </p> <p id="L_2016119DE.01008901-d-010" class="ti-section-2"> <span class="bold"> <span class="expanded">Unabhängigkeit</span> </span> </p> <p id="d1e2733-89-1" class="ti-art">Artikel 41</p> <p class="sti-art">Aufsichtsbehörde</p> <p class="normal">(1) Jeder Mitgliedstaat sieht vor, dass eine oder mehrere unabhängige Behörden für die Überwachung der Anwendung dieser Richtlinie zuständig sind, damit die Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung geschützt werden und der freie Verkehr personenbezogener Daten in der Union erleichtert wird (im Folgenden „Aufsichtsbehörde“).</p> <p class="normal">(2) Jede Aufsichtsbehörde leistet einen Beitrag zur einheitlichen Anwendung dieser Richtlinie in der gesamten Union. Zu diesem Zweck bedarf es der Zusammenarbeit der Aufsichtsbehörden untereinander sowie mit der Kommission gemäß Kapitel VII.</p> <p class="normal">(3) Die Mitgliedstaaten können vorsehen, dass die gemäß der Verordnung (EU) 2016/679 in den Mitgliedstaaten errichtete Aufsichtsbehörde die in dieser Richtlinie genannte Aufsichtsbehörde ist und die Verantwortung für die Aufgaben der nach Absatz 1 zu errichtenden Aufsichtsbehörde übernimmt.</p> <p class="normal">(4) Gibt es in einem Mitgliedstaat mehr als eine Aufsichtsbehörde, so bestimmt dieser Mitgliedstaat die Aufsichtsbehörde, die diese Behörden im in Artikel 51 genannten Ausschuss zu vertreten hat.</p> <p id="d1e2762-89-1" class="ti-art">Artikel 42</p> <p class="sti-art">Unabhängigkeit</p> <p class="normal">(1) Jeder Mitgliedstaat sieht vor, dass jede Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben und der Ausübung ihrer Befugnisse gemäß dieser Richtlinie völlig unabhängig handelt.</p> <p class="normal">(2) Die Mitgliedstaaten sehen vor, dass das Mitglied oder die Mitglieder ihrer Aufsichtsbehörden bei der Erfüllung ihrer Aufgaben und der Ausübung ihrer Befugnisse gemäß dieser Richtlinie weder direkter noch indirekter Beeinflussung von außen unterliegen und dass sie weder um Weisung ersuchen noch Weisungen entgegennehmen.</p> <p class="normal">(3) Die Mitglieder der Aufsichtsbehörden der Mitgliedstaaten sehen von allen mit den Aufgaben ihres Amts nicht zu vereinbarenden Handlungen ab und üben während ihrer Amtszeit keine andere mit ihrem Amt nicht zu vereinbarende entgeltliche oder unentgeltliche Tätigkeit aus.</p> <p class="normal">(4) Jeder Mitgliedstaat stellt sicher, dass jede Aufsichtsbehörde mit den personellen, technischen und finanziellen Ressourcen, Räumlichkeiten und Infrastrukturen ausgestattet wird, die sie benötigt, um ihre Aufgaben und Befugnisse auch im Rahmen der Amtshilfe, Zusammenarbeit und Mitwirkung im Ausschuss effektiv wahrnehmen zu können.</p> <p class="normal">(5) Jeder Mitgliedstaat stellt sicher, dass jede Aufsichtsbehörde ihre eigenes Personal auswählt und hat, das ausschließlich der Leitung des Mitglieds oder der Mitglieder der betreffenden Aufsichtsbehörde untersteht.</p> <p class="normal">(6) Jeder Mitgliedstaaten stellt sicher, dass jede Aufsichtsbehörde einer Finanzkontrolle unterliegt, die ihre Unabhängigkeit nicht beeinträchtigt, und dass sie über eigene, öffentliche, jährliche Haushaltspläne verfügt, die Teil des gesamten Staatshaushalts oder nationalen Haushalts sein können.</p> <p id="d1e2797-89-1" class="ti-art">Artikel 43</p> <p class="sti-art">Allgemeine Bedingungen für die Mitglieder der Aufsichtsbehörde</p> <p class="normal">(1) Die Mitgliedstaaten sehen vor, dass jedes Mitglied ihrer Aufsichtsbehörden im Wege eines transparenten Verfahrens ernannt wird, und zwar</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">—</p> </td> <td valign="top"> <p class="normal">vom Parlament;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">—</p> </td> <td valign="top"> <p class="normal">von der Regierung;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">—</p> </td> <td valign="top"> <p class="normal">vom Staatsoberhaupt oder</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">—</p> </td> <td valign="top"> <p class="normal">von einer unabhängigen Stelle, die nach dem Recht des Mitgliedstaats mit der Ernennung betraut wird.</p> </td> </tr> </tbody> </table> <p class="normal">(2) Jedes Mitglied muss über die für die Erfüllung seiner Aufgaben und Ausübung seiner Befugnisse erforderliche Qualifikation, Erfahrung und Sachkunde insbesondere im Bereich des Schutzes personenbezogener Daten verfügen.</p> <p class="normal">(3) Das Amt eines Mitglieds endet mit Ablauf der Amtszeit, mit seinem Rücktritt oder verpflichtender Versetzung in den Ruhestand gemäß dem Recht des betroffenen Mitgliedstaats.</p> <p class="normal">(4) Ein Mitglied wird seines Amtes nur enthoben, wenn es eine schwere Verfehlung begangen hat oder die Voraussetzungen für die Erfüllung seiner Aufgaben nicht mehr erfüllt.</p> <p id="d1e2836-89-1" class="ti-art">Artikel 44</p> <p class="sti-art">Errichtung der Aufsichtsbehörde</p> <p class="normal">(1) Jeder Mitgliedstaat sieht durch Rechtsvorschriften Folgendes vor</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">a)</p> </td> <td valign="top"> <p class="normal">die Errichtung jeder Aufsichtsbehörde,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">b)</p> </td> <td valign="top"> <p class="normal">die erforderlichen Qualifikationen und sonstigen Voraussetzungen für die Ernennung zum Mitglied jeder Aufsichtsbehörde,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">c)</p> </td> <td valign="top"> <p class="normal">die Vorschriften und Verfahren für die Ernennung des Mitglieds oder der Mitglieder jeder Aufsichtsbehörde,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">d)</p> </td> <td valign="top"> <p class="normal">die Amtszeit des Mitglieds oder der Mitglieder jeder Aufsichtsbehörde von mindestens vier Jahren, außer für die erste Amtszeit nach dem 6. Mai 2016, die für einen Teil der Mitglieder kürzer sein kann, wenn eine zeitlich versetzte Ernennung zur Wahrung der Unabhängigkeit der Aufsichtsbehörde notwendig ist,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">e)</p> </td> <td valign="top"> <p class="normal">die Frage, ob und — wenn ja — wie oft das Mitglied oder die Mitglieder jeder Aufsichtsbehörde wiederernannt werden können,</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">f)</p> </td> <td valign="top"> <p class="normal">die Bedingungen im Hinblick auf die Pflichten des Mitglieds oder der Mitglieder und der Bediensteten jeder Aufsichtsbehörde, die Verbote von Handlungen, beruflichen Tätigkeiten und Vergütungen während und nach der Amtszeit, die mit diesen Pflichten unvereinbar sind, und die Regeln für die Beendigung des Beschäftigungsverhältnisses.</p> </td> </tr> </tbody> </table> <p class="normal">(2) Das Mitglied oder die Mitglieder und die Bediensteten jeder Aufsichtsbehörde sind gemäß dem Unionsrecht oder dem Recht der Mitgliedstaaten sowohl während ihrer Amts- beziehungsweise Dienstzeit als auch nach deren Beendigung verpflichtet, über alle vertraulichen Informationen, die ihnen bei der Wahrnehmung ihrer Aufgaben oder der Ausübung ihrer Befugnisse bekannt geworden sind, Verschwiegenheit zu wahren. Während ihrer Amts- beziehungsweise Dienstzeit gilt diese Verschwiegenheitspflicht insbesondere für die von natürlichen Personen gemeldeten Verstöße gegen diese Richtlinie.</p> <p id="d1e2893-89-1" class="ti-section-1"> <span class="expanded">Abschnitt 2</span> </p> <p id="L_2016119DE.01008901-d-011" class="ti-section-2"> <span class="bold"> <span class="expanded">Zuständigkeit, Aufgaben und Befugnisse</span> </span> </p> <p id="d1e2903-89-1" class="ti-art">Artikel 45</p> <p class="sti-art">Zuständigkeit</p> <p class="normal">(1) Jeder Mitgliedstaat sieht vor, dass jede Aufsichtsbehörde dafür zuständig ist, im Hoheitsgebiet ihres eigenen Mitgliedstaats die ihr gemäß dieser Richtlinie zugewiesenen Aufgaben und übertragenen Befugnisse zu erfüllen bzw. auszuüben.</p> <p class="normal">(2) Jeder Mitgliedstaat sieht vor, dass jede Aufsichtsbehörde nicht für die Aufsicht über die von Gerichten im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Verarbeitungen zuständig ist. Die Mitgliedstaaten können vorsehen, dass ihre Aufsichtsbehörde nicht für die Überwachung der von anderen unabhängigen Justizbehörden im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Verarbeitungen zuständig ist.</p> <p id="d1e2918-89-1" class="ti-art">Artikel 46</p> <p class="sti-art">Aufgaben</p> <p class="normal">(1) Jeder Mitgliedstaat sieht vor, dass jede Aufsichtsbehörde in seinem Hoheitsgebiet</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">a)</p> </td> <td valign="top"> <p class="normal">die Anwendung der nach dieser Richtlinie erlassenen Vorschriften sowie deren Durchführungsvorschriften überwacht und durchsetzt;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">b)</p> </td> <td valign="top"> <p class="normal">die Öffentlichkeit für die Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung sensibilisiert und sie darüber aufklärt;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">c)</p> </td> <td valign="top"> <p class="normal">im Einklang mit dem Recht der Mitgliedstaaten das nationale Parlament, die Regierung und andere Einrichtungen und Gremien über legislative und administrative Maßnahmen zum Schutz der Rechte und Freiheiten natürlicher Personen in Bezug auf die Verarbeitung berät;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">d)</p> </td> <td valign="top"> <p class="normal">die Verantwortlichen und die Auftragsverarbeiter für die ihnen aus dieser Richtlinie entstehenden Pflichten sensibilisiert;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">e)</p> </td> <td valign="top"> <p class="normal">auf Antrag jeder betroffenen Person Informationen über die Ausübung ihrer Rechte aufgrund dieser Richtlinie zur Verfügung stellt und gegebenenfalls zu diesem Zweck mit den Aufsichtsbehörden in anderen Mitgliedstaaten zusammenarbeitet;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">f)</p> </td> <td valign="top"> <p class="normal">sich mit Beschwerden einer betroffenen Person oder einer Stelle, einer Organisation oder eines Verbandes gemäß Artikel 55 befasst, den Gegenstand der Beschwerde in angemessenem Umfang untersucht und den Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung unterrichtet, insbesondere, wenn eine weitere Untersuchung oder Koordinierung mit einer anderen Aufsichtsbehörde notwendig ist;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">g)</p> </td> <td valign="top"> <p class="normal">die Rechtmäßigkeit der Verarbeitung gemäß Artikel 17 überprüft und die betroffene Person innerhalb einer angemessenen Frist über das Ergebnis der Überprüfung gemäß Absatz 3 des genannten Artikels unterrichtet oder ihr die Gründe mitteilt, aus denen die Überprüfung nicht vorgenommen wurde;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">h)</p> </td> <td valign="top"> <p class="normal">mit anderen Aufsichtsbehörden zusammenarbeitet, auch durch Informationsaustausch, und ihnen Amtshilfe leistet, um die einheitliche Anwendung und Durchsetzung dieser Richtlinie zu gewährleisten;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">i)</p> </td> <td valign="top"> <p class="normal">Untersuchungen über die Anwendung dieser Richtlinie durchführt, auch auf der Grundlage von Informationen einer anderen Aufsichtsbehörde oder einer anderen Behörde;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">j)</p> </td> <td valign="top"> <p class="normal">maßgebliche Entwicklungen verfolgt, soweit sie sich auf den Schutz personenbezogener Daten auswirken, insbesondere die Entwicklung der Informations- und Kommunikationstechnologie;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">k)</p> </td> <td valign="top"> <p class="normal">Beratung in Bezug auf die in Artikel 28 genannten Verarbeitungsvorgänge leistet; und</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">l)</p> </td> <td valign="top"> <p class="normal">Beiträge zur Tätigkeit des Ausschusses leistet.</p> </td> </tr> </tbody> </table> <p class="normal">(2) Jede Aufsichtsbehörde erleichtert das Einreichen von in Absatz 1 Buchstabe f genannten Beschwerden durch Maßnahmen wie etwa die Bereitstellung eines Beschwerdeformulars, das auch elektronisch ausgefüllt werden kann, ohne dass andere Kommunikationsmittel ausgeschlossen werden.</p> <p class="normal">(3) Die Erfüllung der Aufgaben jeder Aufsichtsbehörde ist für die betroffene Person und für den Datenschutzbeauftragten unentgeltlich.</p> <p class="normal">(4) Bei offenkundig unbegründeten oder — besonders wegen häufiger Wiederholung — exzessiven Anträgen kann die Aufsichtsbehörde eine angemessene Gebühr auf der Grundlage ihrer Verwaltungskosten verlangen oder sich weigern, aufgrund des Antrags tätig zu werden. In diesem Fall trägt die Aufsichtsbehörde die Beweislast dafür, dass der Antrag offensichtlich unbegründet oder exzessiv ist.</p> <p id="d1e3018-89-1" class="ti-art">Artikel 47</p> <p class="sti-art">Befugnisse</p> <p class="normal">(1) Jeder Mitgliedstaat sieht durch Rechtsvorschriften vor, dass jede Aufsichtsbehörde über wirksame Untersuchungsbefugnisse verfügt. Diese Befugnisse umfassen zumindest die Befugnis, von dem Verantwortlichen und dem Auftragsverarbeiter Zugang zu allen personenbezogenen Daten, die verarbeitet werden, und auf alle Informationen, die zur Erfüllung ihrer Aufgaben notwendig sind, zu erhalten.</p> <p class="normal">(2) Jeder Mitgliedstaat sieht durch Rechtsvorschriften vor, dass jede Aufsichtsbehörde über wirksame Abhilfebefugnisse wie etwa die beispielhaft genannten folgenden verfügt, die es ihr gestatten,</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">a)</p> </td> <td valign="top"> <p class="normal">einen Verantwortlichen oder einen Auftragsverarbeiter zu warnen, dass beabsichtigte Verarbeitungsvorgänge voraussichtlich gegen die nach dieser Richtlinie erlassenen Vorschriften verstoßen;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">b)</p> </td> <td valign="top"> <p class="normal">den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge, gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums, mit den nach dieser Richtlinie erlassenen Vorschriften in Einklang zu bringen, insbesondere durch die Anordnung der Berichtigung oder Löschung personenbezogener Daten oder Einschränkung der Verarbeitung gemäß Artikel 16;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">c)</p> </td> <td valign="top"> <p class="normal">eine vorübergehende oder endgültige Beschränkung der Verarbeitung, einschließlich eines Verbots, zu verhängen.</p> </td> </tr> </tbody> </table> <p class="normal">(3) Jeder Mitgliedstaat sieht durch Rechtsvorschriften vor, dass jede Aufsichtsbehörde über wirksame Beratungsbefugnisse verfügt, die es ihr gestatten, gemäß dem Verfahren der vorherigen Konsultation nach Artikel 28 den Verantwortlichen zu beraten und zu allen Fragen, die im Zusammenhang mit dem Schutz personenbezogener Daten stehen, von sich aus oder auf Antrag Stellungnahmen an ihr nationales Parlament, ihre Regierung oder im Einklang mit seinem nationalen Recht an sonstige Einrichtungen und Stellen sowie an die Öffentlichkeit zu richten.</p> <p class="normal">(4) Die Ausübung der der Aufsichtsbehörde gemäß diesem Artikel übertragenen Befugnisse erfolgt vorbehaltlich geeigneter Garantien einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren gemäß dem Unionsrecht und dem Recht des Mitgliedstaats im Einklang mit der Charta.</p> <p class="normal">(5) Jeder Mitgliedstaat sieht durch Rechtsvorschriften vor, dass jede Aufsichtsbehörde befugt ist, Verstöße gegen nach dieser Richtlinie erlassene Vorschriften den Justizbehörden zur Kenntnis zu bringen und gegebenenfalls die Einleitung eines gerichtlichen Verfahrens zu betreiben oder sich sonst daran zu beteiligen, um die nach dieser Richtlinie erlassenen Vorschriften durchzusetzen.</p> <p id="d1e3068-89-1" class="ti-art">Artikel 48</p> <p class="sti-art">Meldung von Verstößen</p> <p class="normal">Die Mitgliedstaaten sehen vor, dass die zuständigen Behörden wirksame Vorkehrungen treffen, um vertrauliche Meldungen über Verstöße gegen diese Richtlinie zu fördern.</p> <p id="d1e3075-89-1" class="ti-art">Artikel 49</p> <p class="sti-art">Tätigkeitsbericht</p> <p class="normal">Jede Aufsichtsbehörde erstellt einen Jahresbericht über ihre Tätigkeit, der eine Liste der Arten der gemeldeten Verstöße und der Arten der verhängten Sanktionen enthalten kann. Die Berichte werden dem nationalen Parlament, der Regierung und anderen nach dem Recht der Mitgliedstaaten bestimmten Behörden übermittelt. Sie werden der Öffentlichkeit, der Kommission und dem Ausschuss zugänglich gemacht.</p> <p id="d1e3083-89-1" class="ti-section-1"> <span class="italic">KAPITEL VII</span> </p> <p id="L_2016119DE.01008901-d-012" class="ti-section-2"> <span class="bold"> <span class="italic">Zusammenarbeit</span> </span> </p> <p id="d1e3093-89-1" class="ti-art">Artikel 50</p> <p class="sti-art">Gegenseitige Amtshilfe</p> <p class="normal">(1) Jeder Mitgliedstaat sieht vor, dass seine Aufsichtsbehörden einander maßgebliche Informationen übermitteln und Amtshilfe gewähren, um diese Richtlinie einheitlich durchzuführen und anzuwenden, und treffen Vorkehrungen für eine wirksame Zusammenarbeit. Die Amtshilfe bezieht sich insbesondere auf Auskunftsersuchen und aufsichtsbezogene Maßnahmen, beispielsweise Ersuchen um Konsultation oder um Vornahme von Nachprüfungen und Untersuchungen.</p> <p class="normal">(2) Jeder Mitgliedstaaten sieht vor, dass jede Aufsichtsbehörde alle geeigneten Maßnahmen ergreift, um dem Ersuchen einer anderen Aufsichtsbehörde unverzüglich und spätestens innerhalb eines Monats nach Eingang des Ersuchens nachzukommen. Dazu kann insbesondere auch die Übermittlung maßgeblicher Informationen über die Durchführung einer Untersuchung gehören.</p> <p class="normal">(3) Amtshilfeersuchen enthalten alle erforderlichen Informationen, einschließlich Zweck und Begründung des Ersuchens. Die übermittelten Informationen werden ausschließlich für den Zweck verwendet, für den sie angefordert wurden.</p> <p class="normal">(4) Die ersuchte Aufsichtsbehörde lehnt das Ersuchen nur ab, wenn</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">a)</p> </td> <td valign="top"> <p class="normal">sie für den Gegenstand des Ersuchens oder für die Maßnahmen, die sie durchführen soll, nicht zuständig ist oder</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">b)</p> </td> <td valign="top"> <p class="normal">ein Eingehen auf das Ersuchen gegen diese Richtlinie oder gegen das Unionsrecht verstoßen würde oder gegen das Recht des Mitgliedstaats, dem die Aufsichtsbehörde, bei der das Ersuchen eingeht, unterliegt.</p> </td> </tr> </tbody> </table> <p class="normal">(5) Die ersuchte Aufsichtsbehörde informiert die ersuchende Aufsichtsbehörde über die Ergebnisse oder gegebenenfalls über den Fortgang der Maßnahmen, die getroffen wurden, um dem Ersuchen nachzukommen. Die ersuchte Aufsichtsbehörde erläutert gemäß Absatz 4 die Gründe für die Ablehnung des Ersuchens.</p> <p class="normal">(6) Die ersuchten Aufsichtsbehörden übermitteln die Informationen, um die von einer anderen Aufsichtsbehörde ersucht wurde, in der Regel auf elektronischem Wege unter Verwendung eines standardisierten Formats.</p> <p class="normal">(7) Ersuchte Aufsichtsbehörden verlangen für Maßnahmen, die sie aufgrund eines Amtshilfeersuchens getroffen haben, keine Gebühren. Die Aufsichtsbehörden können untereinander Regeln vereinbaren, um einander in Ausnahmefällen besondere aufgrund der Amtshilfe entstandene Ausgaben zu erstatten.</p> <p class="normal">(8) Die Kommission kann im Wege von Durchführungsrechtsakten Form und Verfahren der Amtshilfe nach diesem Artikel und die Ausgestaltung des elektronischen Informationsaustauschs zwischen den Aufsichtsbehörden sowie zwischen den Aufsichtsbehörden und dem Ausschuss festlegen. Diese Durchführungsrechtsakte werden gemäß dem in Artikel 58 Absatz 2 genannten Prüfverfahren erlassen.</p> <p id="d1e3152-89-1" class="ti-art">Artikel 51</p> <p class="sti-art">Aufgaben des Ausschusses</p> <p class="normal">(1) Der mit der Verordnung (EU) 2016/679 eingesetzte Europäische Ausschuss nimmt in Bezug auf Verarbeitungsvorgänge im Anwendungsbereich dieser Richtlinie folgende Aufgaben wahr:</p> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">a)</p> </td> <td valign="top"> <p class="normal">Beratung der Kommission in allen Fragen, die im Zusammenhang mit dem Schutz personenbezogener Daten in der Union stehen, einschließlich etwaiger Vorschläge zur Änderung dieser Richtlinie;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">b)</p> </td> <td valign="top"> <p class="normal">Prüfung — von sich aus, auf Antrag eines seiner Mitglieder oder auf Ersuchen der Kommission — von die Anwendung dieser Richtlinie betreffenden Fragen und Ausarbeitung von Leitlinien, Empfehlungen und bewährten Verfahren zwecks Sicherstellung einer einheitlichen Anwendung dieser Richtlinie;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">c)</p> </td> <td valign="top"> <p class="normal">Ausarbeitung von Leitlinien für die Aufsichtsbehörden in Bezug auf die Anwendung von Maßnahmen nach Artikel 47 Absätze 1 und 3;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">d)</p> </td> <td valign="top"> <p class="normal">Ausarbeitung von Leitlinien, Empfehlungen und bewährten Verfahren gemäß Buchstabe b dieses Unterabsatzes für die Feststellung von Verletzungen des Schutzes personenbezogener Daten und die Festlegung der Unverzüglichkeit im Sinne des Artikels 30 Absätze 1 und 2 und für die konkreten Umstände, unter denen der Verantwortliche und der Auftragsverarbeiter die Verletzung des Schutzes personenbezogener Daten zu melden haben;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">e)</p> </td> <td valign="top"> <p class="normal">Ausarbeitung von Leitlinien, Empfehlungen und bewährten Verfahren gemäß Buchstabe b dieses Absatzes in Bezug auf die Umstände, unter denen eine Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der natürlichen Personen im Sinne des Artikels 31 Absatz 1 zur Folge hat;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">f)</p> </td> <td valign="top"> <p class="normal">Überprüfung der praktischen Anwendung der unter den Buchstaben b und c genannten Leitlinien, Empfehlungen und bewährten Verfahren;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">g)</p> </td> <td valign="top"> <p class="normal">Abgabe einer Stellungnahme gegenüber der Kommission zur Beurteilung der Angemessenheit des in einem Drittland, einem Gebiet oder einem oder mehrere spezifischen Sektoren in einem Drittland oder einer internationalen Organisation gebotenen Schutzniveaus sowie zur Beurteilung der Frage, ob ein solches Drittland, das Gebiet, der spezifische Sektor oder die internationale Organisation kein angemessenes Schutzniveau mehr gewährleistet.</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">h)</p> </td> <td valign="top"> <p class="normal">Förderung der Zusammenarbeit und eines wirksamen bilateralen und multilateralen Austauschs von Informationen und bewährten Verfahren zwischen den Aufsichtsbehörden;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">i)</p> </td> <td valign="top"> <p class="normal">Förderung von Schulungsprogrammen und Erleichterung des Personalaustauschs zwischen Aufsichtsbehörden sowie gegebenenfalls mit Aufsichtsbehörden von Drittländern oder mit internationalen Organisationen;</p> </td> </tr> </tbody> </table> <table width="100%" border="0" cellspacing="0" cellpadding="0"> <col width="4%"/> <col width="96%"/> <tbody> <tr> <td valign="top"> <p class="normal">j)</p> </td> <td valign="top"> <p class="normal">Förderung des Austausches von Fachwissen und von Dokumentationen über Datenschutzrecht und -praxis mit Datenschutzaufsichtsbehörden in aller Welt.</p> </td> </tr> </tbody> </table> <p class="normal">In Bezug auf Unterabsatz 1 Buchstabe g stellt die Kommission dem Ausschuss alle erforderlichen Unterlagen zur Verfügung, darunter den Schriftwechsel mit der Regierung des Drittlandes, mit dem Gebiet oder spezifischen Sektor in diesem Drittland oder mit der internationalen Organisation.</p> <p class="normal">(2) Die Kommission kann, wenn sie den Ausschuss um Rat ersucht, unter Berücksichtigung der Dringlichkeit des Sachverhalts eine Frist angeben.</p> <p class="normal">(3) Der Ausschuss leitet seine Stellungnahmen, Leitlinien, Empfehlungen und bewährten Verfahren an die Kommission und an den in Artikel 58 Absatz 1 genannten Ausschuss weiter und veröffentlicht sie.</p> <p class="normal">(4) Die Kommission setzt den Ausschuss von allen Maßnahmen in Kenntnis, die sie im Anschluss an die von ihm herausgegebenen Stellungnahmen, Leitlinien, Empfehlungen und bewährten Verfahren ergriffen hat.</p> <p id="d1e3242-89-1" class="ti-section-1"> <span class="italic">KAPITEL VIII</span> </p> <p id="L_2016119DE.01008901-d-013" class="ti-section-2"> <span class="bold"> <span class="italic">Rechtsbehelfe, Haftung und Sanktionen</span> </span> </p> <p id="d1e3252-89-1" class="ti-art">Artikel 52</p> <p class="sti-art">Recht auf Beschwerde bei einer Aufsichtsbehörde</p> <p class="normal">(1) Die Mitgliedstaaten sehen vor, dass jede betroffene Person unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde hat, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die nach dieser Richtlinie erlassenen Vorschriften verstößt.</p> <p class="normal">(2) Die Mitgliedstaaten sehen vor, dass eine Beschwerde, die nicht bei der gemäß Artikel 45 Absatz 1 zuständigen Aufsichtsbehörde eingereicht wird, von der Aufsichtsbehörde, bei der die Beschwerde eingelegt wird, ohne unverzüglich an die zuständige Aufsichtsbehörde übermittelt wird. Die betroffene Person wird über die Übermittlung unterrichtet.</p> <p class="normal">(3) Die Mitgliedstaaten sehen vor, dass die Aufsichtsbehörde, bei der die Beschwerde eingelegt wurde, auf Ersuchen der betroffenen Person weitere Unterstützung leistet.</p> <p class="normal">(4) Die betroffene Person wird von der zuständigen Aufsichtsbehörde über den Stand und das Ergebnis der Beschwerde einschließlich der Möglichkeit eines gerichtlichen Rechtsbehelfs nach Artikel 53 unterrichtet.</p> <p id="d1e3277-89-1" class="ti-art">Artikel 53</p> <p class="sti-art">Recht auf wirksamen gerichtlichen Rechtsbehelf gegen eine Aufsichtsbehörde</p> <p class="normal">(1) Die Mitgliedstaaten sehen vor, dass jede natürliche oder juristische Person unbeschadet eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde hat.</p> <p class="normal">(2) Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen Rechtbehelfs das Recht auf einen wirksamen gerichtlichen Rechtsbehelf, wenn die gemäß Artikel 45 Absatz 1 zuständige Aufsichtsbehörde sich nicht mit der Beschwerde befasst oder die betroffene Person nicht innerhalb von drei Monaten über den Stand oder das Ergebnis der gemäß Artikel 52 erhobenen Beschwerde in Kenntnis gesetzt hat.</p> <p class="normal">(3) Die Mitgliedstaaten sehen vor, dass für Verfahren gegen eine Aufsichtsbehörde die Gerichte des Mitgliedstaats zuständig sind, in dem die Aufsichtsbehörde ihren Sitz hat.</p> <p id="d1e3297-89-1" class="ti-art">Artikel 54</p> <p class="sti-art">Recht auf wirksamen gerichtlichen Rechtsbehelf gegen Verantwortliche oder Auftragsverarbeiter</p> <p class="normal">Die Mitgliedstaaten sehen vor, dass jede betroffene Person unbeschadet eines verfügbaren verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs einschließlich des Rechts auf Beschwerde bei einer Aufsichtsbehörde gemäß Artikel 52 das Recht auf einen wirksamen gerichtlichen Rechtsbehelf hat, wenn sie der Ansicht ist, dass die Rechte, die ihr aufgrund von nach dieser Richtlinie erlassenen Vorschriften zustehen, infolge einer nicht mit diesen Vorschriften im Einklang stehenden Verarbeitung ihrer personenbezogenen Daten verletzt wurden.</p> <p id="d1e3304-89-1" class="ti-art">Artikel 55</p> <p class="sti-art">Vertretung von betroffenen Personen</p> <p class="normal">Die Mitgliedstaaten sehen im Einklang mit dem Verfahrensrecht der Mitgliedstaaten vor, dass die betroffene Person das Recht hat, nach dem Recht eines Mitgliedstaats ordnungsgemäß gegründete Einrichtungen, Organisationen oder Vereinigungen ohne Gewinnerzielungsabsicht, deren satzungsmäßige Ziele im öffentlichen Interesse liegen und die im Bereich des Schutzes der Rechte und Freiheiten von betroffenen Personen in Bezug auf den Schutz ihrer personenbezogenen Daten tätig sind, zu beauftragen, in ihrem Namen eine Beschwerde einzureichen und in ihrem Namen die in den Artikeln 52, 53 und 54 genannten Rechte wahrzunehmen.</p> <p id="d1e3311-89-1" class="ti-art">Artikel 56</p> <p class="sti-art">Recht auf Schadenersatz</p> <p class="normal">Die Mitgliedstaaten sehen vor, dass jede Person, der wegen einer rechtswidrigen Verarbeitung oder einer anderen Handlung, die gegen nach Maßgabe dieser Richtlinie erlassenen nationalen Vorschriften verstößt, ein materieller oder immaterieller Schaden entstanden ist, Recht auf Schadenersatz seitens des Verantwortlichen oder jeder sonst nach dem Recht der Mitgliedstaaten zuständigen Stelle hat.</p> <p id="d1e3318-89-1" class="ti-art">Artikel 57</p> <p class="sti-art">Sanktionen</p> <p class="normal">Die Mitgliedstaaten legen fest, welche Sanktionen bei einem Verstoß gegen die nach dieser Richtlinie erlassenen Vorschriften zu verhängen sind, und treffen die zu deren Anwendung erforderlichen Maßnahmen. Die Sanktionen müssen wirksam, verhältnismäßig und abschreckend sein.</p> <p id="d1e3326-89-1" class="ti-section-1"> <span class="italic">KAPITEL IX</span> </p> <p id="L_2016119DE.01008901-d-014" class="ti-section-2"> <span class="bold"> <span class="italic">Durchführungsrechtsakte</span> </span> </p> <p id="d1e3336-89-1" class="ti-art">Artikel 58</p> <p class="sti-art">Ausschussverfahren</p> <p class="normal">(1) Die Kommission wird von dem mit Artikel 93 der Verordnung (EU) 2016/679 eingesetzten Ausschuss unterstützt. Dieser Ausschuss ist ein Ausschuss im Sinne der Verordnung (EU) Nr. 182/2011.</p> <p class="normal">(2) Wird auf diesen Absatz Bezug genommen, so gilt Artikel 5 der Verordnung (EU) Nr. 182/2011.</p> <p class="normal">(3) Wird auf diesen Absatz Bezug genommen, so gilt Artikel 8 der Verordnung (EU) Nr. 182/2011 in Verbindung mit deren Artikel 5.</p> <p id="d1e3357-89-1" class="ti-section-1"> <span class="italic">KAPITEL X</span> </p> <p id="L_2016119DE.01008901-d-015" class="ti-section-2"> <span class="bold"> <span class="italic">Schlussbestimmungen</span> </span> </p> <p id="d1e3367-89-1" class="ti-art">Artikel 59</p> <p class="sti-art">Aufhebung des Rahmenbeschlusses 2008/977/JI</p> <p class="normal">(1) Der Rahmenbeschluss 2008/977/JI wird mit Wirkung vom 6. Mai 2018 aufgehoben.</p> <p class="normal">(2) Verweise auf den in Absatz 1 genannten aufgehobenen Beschluss gelten als Verweise auf diese Richtlinie.</p> <p id="d1e3385-89-1" class="ti-art">Artikel 60</p> <p class="sti-art">Bestehende Unionsrechtsakte</p> <p class="normal">Die besonderen Bestimmungen zum Schutz personenbezogener Daten in Unionsrechtsakten, die am oder vor dem 6. Mai 2016 im Bereich der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit erlassenen Rechtsakten der Union enthalten sind, die die Verarbeitung im Verkehr der Mitgliedstaaten untereinander sowie den Zugang der von den Mitgliedstaaten bestimmten Behörden zu den gemäß den Verträgen errichteten Informationssystemen im Anwendungsbereich dieser Richtlinie regeln, bleiben unberührt.</p> <p id="d1e3395-89-1" class="ti-art">Artikel 61</p> <p class="sti-art">Verhältnis zu bereits geschlossenen internationalen Übereinkünften im Bereich der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit</p> <p class="normal">Internationale Übereinkünfte, die die Übermittlung personenbezogener Daten an Drittländer oder internationale Organisationen mit sich bringen, die von den Mitgliedstaaten vor dem 6. Mai 2016 geschlossen wurden und die mit dem vor dem genannten Datum geltenden Unionsrecht vereinbar sind, bleiben in Kraft, bis sie geändert, ersetzt oder gekündigt werden.</p> <p id="d1e3405-89-1" class="ti-art">Artikel 62</p> <p class="sti-art">Berichte der Kommission</p> <p class="normal">(1) Bis zum 6. Mai 2022 und danach alle vier Jahre legt die Kommission dem Europäischen Parlament und dem Rat einen Bericht über die Bewertung und Überprüfung dieser Richtlinie vor. Die Berichte werden öffentlich gemacht.</p> <p class="normal">(2) Im Rahmen der Bewertungen und Überprüfungen gemäß Absatz 1prüft die Kommission insbesondere die Anwendung und Wirkungsweise des Kapitels V über die Übermittlung personenbezogener Daten an Drittländer oder internationale Organisationen und vor allem die Beschlüsse nach Artikel 36 Absatz 3 und Artikel 39.</p> <p class="normal">(3) Für die in den Absätzen 1 und 2 genannten Zwecke kann die Kommission Informationen von den Mitgliedstaaten und den Aufsichtsbehörden anfordern.</p> <p class="normal">(4) Bei den in den Absätzen 1 und 2 genannten Bewertungen und Überprüfungen berücksichtigt die Kommission die Standpunkte und Feststellungen des Europäischen Parlaments, des Rates sowie der anderen einschlägigen Stellen und Quellen.</p> <p class="normal">(5) Die Kommission legt erforderlichenfalls geeignete Vorschläge zur Änderung dieser Richtlinie vor und berücksichtigt dabei insbesondere die Entwicklungen in der Informationstechnologie und die Fortschritte in der Informationsgesellschaft.</p> <p class="normal">(6) Bis zum 6. Mai 2019 überprüft die Kommission andere Rechtsakte der Union über die Verarbeitung durch die zuständigen Behörden für die in Artikel 1 Absatz 1 genannten Zwecke, einschließlich der auf der Grundlage von Artikel 60 erlassenen Rechtsakte, um festzustellen, inwieweit eine Anpassung an diese Richtlinie notwendig ist, und um gegebenenfalls die erforderlichen Vorschläge zur Änderung dieser Rechtsakte zu unterbreiten, damit ein einheitliches Vorgehen beim Schutz personenbezogener Daten innerhalb des Anwendungsbereichs dieser Richtlinie gewährleistet ist.</p> <p id="d1e3446-89-1" class="ti-art">Artikel 63</p> <p class="sti-art">Umsetzung</p> <p class="normal">(1) Die Mitgliedstaaten erlassen und veröffentlichen bis zum 6. Mai 2018 die Rechts- und Verwaltungsvorschriften, die erforderlich sind, um dieser Richtlinie nachzukommen. Sie teilen der Kommission unverzüglich den Wortlaut dieser Vorschriften mit. Sie wenden diese Vorschriften ab dem 6. Mai 2018 an.</p> <p class="normal">Bei Erlass dieser Vorschriften nehmen die Mitgliedstaaten in den Vorschriften selbst oder durch einen Hinweis bei der amtlichen Veröffentlichung auf diese Richtlinie Bezug. Die Mitgliedstaaten regeln die Einzelheiten der Bezugnahme.</p> <p class="normal">(2) Abweichend von Absatz 1 können die Mitgliedstaaten vorsehen, dass in Ausnahmefällen, in denen dies für die vor dem 6. Mai 2016 eingerichteten automatisierten Verarbeitungssysteme mit einem unverhältnismäßigen Aufwand verbunden ist, diese bis zum 6. Mai 2023 mit Artikel 25 Absatz 1 in Einklang gebracht werden müssen.</p> <p class="normal">(3) Abweichend von Absätzen 1 und 2 dieses Artikels kann ein Mitgliedstaat in außergewöhnlichen Umständen ein automatisiertes Verarbeitungssystem im Sinne des Absatzes 2 dieses Artikels innerhalb einer bestimmten Frist nach Ablauf der in Absatz 2 dieses Artikels genannten Frist mit Artikel 25 Absatz 1 in Einklang bringen, wenn hierdurch sonst schwerwiegende Schwierigkeiten für den Betrieb dieses automatisierten Verarbeitungssystems entstehen würden. Der betreffende Mitgliedstaat begründet gegenüber der Kommission, weshalb diese schwerwiegenden Schwierigkeiten entstehen würden und die Gründe für die bestimmte Frist, innerhalb derer er das automatisierte Verarbeitungssystem mit Artikel 25 Absatz 1 in Einklang bringen wird. Diese Frist muss vor dem 6. Mai 2026 enden.</p> <p class="normal">(4) Die Mitgliedstaaten teilen der Kommission den Wortlaut der wichtigsten nationalen Rechtsvorschriften mit, die sie auf dem unter diese Richtlinie fallenden Gebiet erlassen.</p> <p id="d1e3488-89-1" class="ti-art">Artikel 64</p> <p class="sti-art">Inkrafttreten</p> <p class="normal">Diese Richtlinie tritt am Tag nach ihrer Veröffentlichung im <span class="italic">Amtsblatt der Europäischen Union</span> in Kraft.</p> <p id="d1e3498-89-1" class="ti-art">Artikel 65</p> <p class="sti-art">Adressaten</p> <p class="normal">Diese Richtlinie ist an die Mitgliedstaaten gerichtet.</p> <div class="final"> <p class="normal">Geschehen zu Straßburg am 27. April 2016.</p> <div class="signatory"> <p class="signatory"> <span class="italic">Im Namen des Europäischen Parlaments</span> </p> <p class="signatory"> <span class="italic">Der Präsident</span> </p> <p class="signatory">M. SCHULZ</p> </div> <div class="signatory"> <p class="signatory"> <span class="italic">Im Namen des Rates</span> </p> <p class="signatory"> <span class="italic">Die Präsidentin</span> </p> <p class="signatory">J.A. HENNIS-PLASSCHAERT</p> </div> </div> <hr class="note"/> <p class="note"> <a id="ntr1-L_2016119DE.01008901-E0001" href="#ntc1-L_2016119DE.01008901-E0001">(<span class="super">1</span>)</a> <a href="./../../../../legal-content/DE/AUTO/?uri=OJ:C:2012:391:TOC">ABl. C 391, 18.12.2012, S. 127</a>.</p> <p class="note"> <a id="ntr2-L_2016119DE.01008901-E0002" href="#ntc2-L_2016119DE.01008901-E0002">(<span class="super">2</span>)</a> Standpunkt des Europäischen Parlamentes vom 12. März 2014 (noch nicht im Amtsblatt veröffentlicht) und Standpunkt des Rates in erster Lesung vom 8. April 2016 (noch nicht im Amtsblatt veröffentlicht). Standpunkt des Europäischen Parlamentes vom 14. April 2016.</p> <p class="note"> <a id="ntr3-L_2016119DE.01008901-E0003" href="#ntc3-L_2016119DE.01008901-E0003">(<span class="super">3</span>)</a> Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (<a href="./../../../../legal-content/DE/AUTO/?uri=OJ:L:1995:281:TOC">ABl. L 281 vom 23.11.1995, S. 31</a>).</p> <p class="note"> <a id="ntr4-L_2016119DE.01008901-E0004" href="#ntc4-L_2016119DE.01008901-E0004">(<span class="super">4</span>)</a> Rahmenbeschluss 2008/977/JI des Rates vom 27. November 2008 über den Schutz personenbezogener Daten, die im Rahmen der polizeilichen und justiziellen Zusammenarbeit in Strafsachen verarbeitet werden (<a href="./../../../../legal-content/DE/AUTO/?uri=OJ:L:2008:350:TOC">ABl. L 350 vom 30.12.2008, S. 60</a>).</p> <p class="note"> <a id="ntr5-L_2016119DE.01008901-E0005" href="#ntc5-L_2016119DE.01008901-E0005">(<span class="super">5</span>)</a> Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr und zur Ersetzung von Richtlinie 95/46/EC (Datenschutz-Grundverordnung) (Siehe Seite 1 dieses Amtsblatts).</p> <p class="note"> <a id="ntr6-L_2016119DE.01008901-E0006" href="#ntc6-L_2016119DE.01008901-E0006">(<span class="super">6</span>)</a> Verordnung (EG) Nr. 45/2001 des Europäischen Parlaments und des Rates vom 18. Dezember 2000 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe und Einrichtungen der Gemeinschaft und zum freien Datenverkehr (<a href="./../../../../legal-content/DE/AUTO/?uri=OJ:L:2001:008:TOC">ABl. L 8 vom 12.1.2001, S. 1</a>).</p> <p class="note"> <a id="ntr7-L_2016119DE.01008901-E0007" href="#ntc7-L_2016119DE.01008901-E0007">(<span class="super">7</span>)</a> Richtlinie 2011/24/EU des Europäischen Parlaments und des Rates vom 9. März 2011 über die Ausübung der Patientenrechte in der grenzüberschreitenden Gesundheitsversorgung (<a href="./../../../../legal-content/DE/AUTO/?uri=OJ:L:2011:088:TOC">ABl. L 88 vom 4.4.2011, S. 45</a>).</p> <p class="note"> <a id="ntr8-L_2016119DE.01008901-E0008" href="#ntc8-L_2016119DE.01008901-E0008">(<span class="super">8</span>)</a> Gemeinsamer Standpunkt 2005/69/JI des Rates vom 24. Januar 2005 zum Austausch bestimmter Daten mit Interpol (<a href="./../../../../legal-content/DE/AUTO/?uri=OJ:L:2005:027:TOC">ABl. L 27 vom 29.1.2005, S. 61</a>).</p> <p class="note"> <a id="ntr9-L_2016119DE.01008901-E0009" href="#ntc9-L_2016119DE.01008901-E0009">(<span class="super">9</span>)</a> Beschluss 2007/533/JI des Rates vom 12. Juni 2007 über die Einrichtung, den Betrieb und die Nutzung des Schengener Informationssystems der zweiten Generation (SIS II) (<a href="./../../../../legal-content/DE/AUTO/?uri=OJ:L:2007:205:TOC">ABl. L 205 vom 7.8.2007, S. 63</a>).</p> <p class="note"> <a id="ntr10-L_2016119DE.01008901-E0010" href="#ntc10-L_2016119DE.01008901-E0010">(<span class="super">10</span>)</a> Richtlinie 77/249/EWG des Rates vom 22. März 1977 zur Erleichterung der tatsächlichen Ausübung des freien Dienstleistungsverkehrs der Rechtsanwälte (<a href="./../../../../legal-content/DE/AUTO/?uri=OJ:L:1977:078:TOC">ABl. L 78 vom 26.3.1977, S. 17</a>).</p> <p class="note"> <a id="ntr11-L_2016119DE.01008901-E0011" href="#ntc11-L_2016119DE.01008901-E0011">(<span class="super">11</span>)</a> Verordnung (EU) Nr. 182/2011 des Europäischen Parlaments und des Rates vom 16. Februar 2011 zur Festlegung der allgemeinen Regeln und Grundsätze, nach denen die Mitgliedstaaten die Wahrnehmung der Durchführungsbefugnisse durch die Kommission kontrollieren (<a href="./../../../../legal-content/DE/AUTO/?uri=OJ:L:2011:055:TOC">ABl. L 55 vom 28.2.2011, S. 13</a>).</p> <p class="note"> <a id="ntr12-L_2016119DE.01008901-E0012" href="#ntc12-L_2016119DE.01008901-E0012">(<span class="super">12</span>)</a> Rahmenbeschluss 2008/615/JI des Rates vom 23. Juni 2008 zur Vertiefung der grenzüberschreitenden Zusammenarbeit, insbesondere zur Bekämpfung des Terrorismus und der grenzüberschreitenden Kriminalität (<a href="./../../../../legal-content/DE/AUTO/?uri=OJ:L:2008:210:TOC">ABl. L 210 vom 6.8.2008, S. 1</a>).</p> <p class="note"> <a id="ntr13-L_2016119DE.01008901-E0013" href="#ntc13-L_2016119DE.01008901-E0013">(<span class="super">13</span>)</a> Rechtsakt des Rates vom 29. Mai 2000 über die Erstellung — gemäß Artikel 34 des Vertrags über die Europäische Union — des Übereinkommens über die Rechtshilfe in Strafsachen zwischen den Mitgliedstaaten der Europäischen Union (<a href="./../../../../legal-content/DE/AUTO/?uri=OJ:C:2000:197:TOC">ABl. C 197 vom 12.7.2000, S. 1</a>).</p> <p class="note"> <a id="ntr14-L_2016119DE.01008901-E0014" href="#ntc14-L_2016119DE.01008901-E0014">(<span class="super">14</span>)</a> Richtlinie 2011/93/EU des Europäischen Parlaments und des Rates vom 13. Dezember 2011 zur Bekämpfung des sexuellen Missbrauchs und der sexuellen Ausbeutung von Kindern sowie der Kinderpornografie sowie zur Ersetzung des Rahmenbeschlusses 2004/68/JI des Rates (<a href="./../../../../legal-content/DE/AUTO/?uri=OJ:L:2011:335:TOC">ABl. L 335 vom 17.12.2011, S. 1</a>).</p> <p class="note"> <a id="ntr15-L_2016119DE.01008901-E0015" href="#ntc15-L_2016119DE.01008901-E0015">(<span class="super">15</span>)</a> <a href="./../../../../legal-content/DE/AUTO/?uri=OJ:L:1999:176:TOC">ABl. L 176 vom 10.7.1999, S. 36</a>.</p> <p class="note"> <a id="ntr16-L_2016119DE.01008901-E0016" href="#ntc16-L_2016119DE.01008901-E0016">(<span class="super">16</span>)</a> <a href="./../../../../legal-content/DE/AUTO/?uri=OJ:L:2008:053:TOC">ABl. L 53 vom 27.2.2008, S. 52</a>.</p> <p class="note"> <a id="ntr17-L_2016119DE.01008901-E0017" href="#ntc17-L_2016119DE.01008901-E0017">(<span class="super">17</span>)</a> <a href="./../../../../legal-content/DE/AUTO/?uri=OJ:L:2011:160:TOC">ABl. L 160 vom 18.6.2011, S. 21</a>.</p> <p class="note"> <a id="ntr18-L_2016119DE.01008901-E0018" href="#ntc18-L_2016119DE.01008901-E0018">(<span class="super">18</span>)</a> <a href="./../../../../legal-content/DE/AUTO/?uri=OJ:C:2012:192:TOC">ABl. C 192, 30.6.2012, S. 7</a> </p> <hr class="doc-end"/> <script src='./../../../../js/jquery.js'>//</script><script src='./../../../../dynamic-js/eli_subdivisions_de.js'>//</script><script src='./../../../../dynamic-js/config.js'>//</script><script src='./../../../../dynamic-js/const.js'>//</script><script src='./../../../../js/TOC_ELI_SUBDIVISIONS.js'>//</script><script src='./../../../../revamp/components/vendor/bootstrap/dist/js/bootstrap.min.js'>//</script><script src='./../../../../revamp/js/metisMenu.min.js'>//</script><script src='./../../../../revamp/js/eurlex.js'>//</script><script src='./../../../../js/eur-lex-sanitizer.js'>//</script><script src='./../../../../js/eur-lex.js'>//</script><script src='./../../../../js/cookieConsentKitUtils.js?v=2.16.2'>//</script><script src='./../../../../js/TOC.js'>//</script><script type='text/javascript'>$(document).ready(function(){generateTOC(true,'', 'Seitenanfang','false');scrollToCurrentUrlAnchor();});</script></body> </html>

CINXE.COM

L_2016119DE.01008901.xml