(1)   Diese Verordnung enthält Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe und Einrichtungen der Union sowie Vorschriften zum freien Verkehr personenbezogener Daten untereinander oder mit sonstigen Empfängern, die in der Union niedergelassen sind.

(2)   Diese Verordnung schützt die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten.

(3)   Der Europäische Datenschutzbeauftragte überwacht die Anwendung der Bestimmungen dieser Verordnung auf alle Verarbeitungen durch Organe und Einrichtungen der Union.

(1)   Diese Verordnung gilt für die Verarbeitung personenbezogener Daten durch alle Organe und Einrichtungen der Union.

(2)   Nur Artikel 3 und Kapitel IX dieser Verordnung gelten für die Verarbeitung operativer personenbezogener Daten durch Einrichtungen und sonstige Stellen der Union bei der Ausübung von Tätigkeiten, die in den Anwendungsbereich des Dritten Teils Titel V Kapitel 4 oder 5 AEUV fallen.

(3)   Diese Verordnung gilt solange nicht für die Verarbeitung operativer personenbezogener Daten durch Europol und die Europäische Staatsanwaltschaft, bis die Verordnung (EU) 2016/794 des Europäischen Parlaments und des Rates (15) und die Verordnung (EU) 2017/1939 (16) des Rates im Einklang mit Artikel 98 der vorliegenden Verordnung angepasst sind.

(4)   Diese Verordnung gilt nicht für die Verarbeitung personenbezogener Daten durch Missionen gemäß Artikel 42 Absatz 1 sowie Artikel 43 und 44 EUV.

(5)   Diese Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.

(1)   Personenbezogene Daten müssen

(2)   Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).

(1)   Die Verarbeitung ist nur rechtmäßig, wenn und soweit mindestens eine der nachstehenden Bedingungen erfüllt ist:

(2)   Die Rechtsgrundlage für eine Verarbeitung gemäß Absatz 1 Buchstaben a und b wird im Unionsrecht festgelegt.

(1)   Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.

(2)   Erfolgt die Einwilligung der betroffenen Person durch eine schriftliche Erklärung, die noch andere Sachverhalte betrifft, so muss das Ersuchen um Einwilligung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache so erfolgen, dass es von den anderen Sachverhalten klar zu unterscheiden ist. Teile der Erklärung sind dann nicht verbindlich, wenn sie einen Verstoß gegen diese Verordnung darstellen.

(3)   Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen. Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Die betroffene Person wird vor Abgabe der Einwilligung hiervon in Kenntnis gesetzt. Der Widerruf der Einwilligung muss so einfach wie die Erteilung der Einwilligung sein.

(4)   Bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, muss dem Umstand in größtmöglichem Umfang Rechnung getragen werden, ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind.

(1)   Gilt Artikel 5 Absatz 1 Buchstabe d bei einem Angebot von Diensten der Informationsgesellschaft, das einem Kind direkt gemacht wird, so ist die Verarbeitung der personenbezogenen Daten des Kindes rechtmäßig, wenn das Kind das 13. Lebensjahr vollendet hat. Hat das Kind noch nicht das 13. Lebensjahr vollendet, so ist diese Verarbeitung nur rechtmäßig, sofern und soweit diese Einwilligung durch den Träger der elterlichen Verantwortung für das Kind oder mit dessen Zustimmung erteilt wird.

(2)   Der Verantwortliche unternimmt unter Berücksichtigung der verfügbaren Technik angemessene Anstrengungen, um sich in solchen Fällen zu vergewissern, dass die Einwilligung durch den Träger der elterlichen Verantwortung für das Kind oder mit dessen Zustimmung erteilt wurde.

(3)   Absatz 1 lässt das allgemeine Vertragsrecht der Mitgliedstaaten, wie etwa die Vorschriften zur Gültigkeit, zum Zustandekommen oder zu den Rechtsfolgen eines Vertrags in Bezug auf ein Kind, unberührt.

(1)   Unbeschadet der Artikel 4 bis 6 und 10 werden personenbezogene Daten an in der Union niedergelassene Empfänger, die nicht Organe oder Einrichtungen der Union sind, nur übermittelt, wenn

(2)   Veranlasst der Verantwortliche die Übermittlung nach diesem Artikel, so weist er anhand der Kriterien nach Absatz 1 Buchstabe a oder b nach, dass die Übermittlung personenbezogener Daten erforderlich und angemessen in Bezug auf den Übermittlungszweck ist.

(3)   Die Organe und Einrichtungen der Union müssen das Recht auf Schutz personenbezogener Daten mit dem Recht auf Zugang zu Dokumenten nach dem Unionsrecht in Einklang bringen.

(1)   Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder zur sexuellen Orientierung einer natürlichen Person sind untersagt.

(2)   Absatz 1 gilt nicht in folgenden Fällen:

(3)   Die in Absatz 1 genannten personenbezogenen Daten dürfen zu den in Absatz 2 Buchstabe h genannten Zwecken verarbeitet werden, wenn diese Daten von Fachpersonal oder unter dessen Verantwortung verarbeitet werden und dieses Fachpersonal nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen dem Berufsgeheimnis unterliegt, oder von einer anderen Person, die ebenfalls nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen einer Geheimhaltungspflicht unterliegt.

(1)   Ist für die Zwecke, für die ein Verantwortlicher personenbezogene Daten verarbeitet, die Identifizierung der betroffenen Person durch den Verantwortlichen nicht oder nicht mehr erforderlich, so ist dieser nicht verpflichtet, ausschließlich zum Zweck der Einhaltung dieser Verordnung zusätzliche Informationen aufzubewahren, einzuholen oder zu verarbeiten, um die betroffene Person zu identifizieren.

(2)   Kann der Verantwortliche in Fällen gemäß Absatz 1 des vorliegenden Artikels nachweisen, dass er nicht in der Lage ist, die betroffene Person zu identifizieren, so unterrichtet er die betroffene Person hierüber, sofern möglich. In diesen Fällen finden die Artikel 17 bis 22 keine Anwendung, es sei denn, die betroffene Person stellt zur Ausübung ihrer in diesen Artikeln niedergelegten Rechte zusätzliche Informationen bereit, die ihre Identifizierung ermöglichen.

(1)   Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 15 und 16 und alle Mitteilungen gemäß den Artikeln 17 bis 24 und Artikel 35, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an ein Kind richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.

(2)   Der Verantwortliche ermöglicht der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 17 bis 24. In den in Artikel 12 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte nach den Artikeln 17 bis 24 tätig zu werden, wenn er nachweist, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.

(3)   Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 17 bis 24 getroffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Zahl der Anträge erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen nach Möglichkeit in elektronischer Form zu übermitteln, sofern die betroffene Person nichts anderes angibt.

(4)   Wird der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig, so unterrichtet er die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, Beschwerde beim Europäischen Datenschutzbeauftragten und einen gerichtlichen Rechtsbehelf einzulegen.

(5)   Informationen gemäß den Artikeln 15 und 16 sowie alle Mitteilungen und Maßnahmen gemäß den Artikeln 17 bis 24 und Artikel 35 werden unentgeltlich zur Verfügung gestellt. Bei offensichtlich unbegründeten oder — insbesondere im Fall von häufiger Wiederholung -exzessiven Anträgen einer betroffenen Person kann sich der Verantwortliche weigern, aufgrund des Antrags tätig zu werden. Der Verantwortliche hat den Nachweis für den offensichtlich unbegründeten oder exzessiven Charakter des Antrags zu erbringen.

(6)   Hat der Verantwortliche begründete Zweifel an der Identität der natürlichen Person, die den Antrag gemäß den Artikeln 17 bis 23 stellt, so kann er unbeschadet des Artikels 12 zusätzliche Informationen anfordern, die zur Bestätigung der Identität der betroffenen Person erforderlich sind.

(7)   Die Informationen, die den betroffenen Personen gemäß den Artikeln 15 und 16 bereitzustellen sind, können in Kombination mit standardisierten Bildsymbolen bereitgestellt werden, um in leicht wahrnehmbarer, verständlicher und klar nachvollziehbarer Form einen aussagekräftigen Überblick über die beabsichtigte Verarbeitung zu vermitteln. Werden die Bildsymbole in elektronischer Form dargestellt, so müssen sie maschinenlesbar sein.

(8)   Erlässt die Kommission nach Artikel 12 Absatz 8 der Verordnung (EU) 2016/679 delegierte Rechtsakte, in denen sie die durch Bildsymbole darzustellenden Informationen und die Verfahren für die Bereitstellung standardisierter Bildsymbole festlegt, so stellen die Organe und Einrichtungen der Union gegebenenfalls die Informationen gemäß den Artikeln 15 und 16 der vorliegenden Verordnung in Kombination mit diesen standardisierten Bildsymbolen bereit.

(1)   Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten sämtliche folgenden Informationen mit:

(2)   Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten die folgenden weiteren Informationen zur Verfügung, die notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten:

(3)   Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiter zu verarbeiten als den, für den die personenbezogenen Daten erhoben wurden, so stellt er der betroffenen Person vor dieser weiteren Verarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen nach Absatz 2 zur Verfügung.

(4)   Die Absätze 1, 2 und 3 finden keine Anwendung, wenn und soweit die betroffene Person bereits über die Informationen verfügt.

(1)   Wurden personenbezogene Daten nicht bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person folgende Informationen mit:

(2)   Zusätzlich zu den Informationen nach Absatz 1 stellt der Verantwortliche der betroffenen Person die folgenden weiteren Informationen zur Verfügung, die erforderlich sind, um der betroffenen Person gegenüber eine faire und transparente Verarbeitung zu gewährleisten:

(3)   Der Verantwortliche erteilt die Informationen gemäß den Absätzen 1 und 2:

(4)   Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erlangt wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung.

(5)   Die Absätze 1 bis 4 finden keine Anwendung, wenn und soweit

(6)   In den in Absatz 5 Buchstabe b genannten Fällen ergreift der Verantwortliche geeignete Maßnahmen zum Schutz der Rechte, Freiheiten und berechtigten Interessen der betroffenen Person, etwa indem der die Informationen öffentlich zugänglich macht.

(1)   Die betroffene Person hat das Recht, vom Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über die personenbezogenen Daten und auf folgende Informationen:

(2)   Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Schutzmaßnahmen gemäß Artikel 48 im Zusammenhang mit der Übermittlung unterrichtet zu werden.

(3)   Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.

(4)   Das Recht auf Erhalt einer Kopie gemäß Absatz 3 darf die Rechte und Freiheiten anderer nicht beeinträchtigen.

(1)   Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:

(2)   Hat der Verantwortliche die personenbezogenen Daten öffentlich gemacht und ist er gemäß Absatz 1 zu deren Löschung verpflichtet, so trifft er unter Berücksichtigung der verfügbaren Technik und der Implementierungskosten angemessene Maßnahmen, auch technischer Art, um die Verantwortlichen oder die Verantwortlichen, die nicht Organe und Einrichtungen der Union sind, die diese personenbezogenen Daten verarbeiten, darüber zu informieren, dass eine betroffene Person von ihnen die Löschung aller Links zu diesen personenbezogenen Daten oder von Kopien oder Replikationen dieser personenbezogenen Daten verlangt hat.

(3)   Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist

(1)   Die betroffene Person hat das Recht, bei dem Verantwortlichen eine Einschränkung der Verarbeitung zu erwirken, wenn eine der folgenden Voraussetzungen gegeben ist:

(2)   Wurde die Verarbeitung gemäß Absatz 1 eingeschränkt, so dürfen diese personenbezogenen Daten — von ihrer Speicherung abgesehen — nur mit Einwilligung der betroffenen Person oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder zum Schutz der Rechte einer anderen natürlichen oder juristischen Person oder aus Gründen eines wichtigen öffentlichen Interesses der Union oder eines Mitgliedstaats verarbeitet werden.

(3)   Eine betroffene Person, die eine Einschränkung der Verarbeitung gemäß Absatz 1 erwirkt hat, wird von dem Verantwortlichen unterrichtet, bevor die Einschränkung aufgehoben wird.

(4)   In automatisierten Dateisystemen erfolgt die Einschränkung der Verarbeitung grundsätzlich durch technische Mittel. Die Tatsache, dass personenbezogene Daten eingeschränkt sind, wird in dem System auf eine Weise angegeben, die deutlich macht, dass die personenbezogenen Daten nicht genutzt werden dürfen.

(1)   Die betroffene Person hat das Recht, die sie betreffenden personenbezogenen Daten, die sie einem Verantwortlichen bereitgestellt hat, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten, und sie hat das Recht, diese Daten einem anderen Verantwortlichen ohne Behinderung durch den Verantwortlichen, dem die personenbezogenen Daten bereitgestellt wurden, zu übermitteln, sofern

(2)   Bei der Ausübung ihres Rechts auf Datenübertragbarkeit nach Absatz 1 hat die betroffene Person das Recht, zu erwirken, dass die personenbezogenen Daten direkt von einem Verantwortlichen einem anderen Verantwortlichen, oder Verantwortlichen, die nicht Organe oder Einrichtungen der Union sind, übermittelt werden, soweit dies technisch machbar ist.

(3)   Die Ausübung des Rechts nach Absatz 1 des vorliegenden Artikels lässt Artikel 19 unberührt. Dieses Recht gilt nicht für eine Verarbeitung, die für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde.

(4)   Das Recht gemäß Absatz 1 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.

(1)   Die betroffene Person hat das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung sie betreffender personenbezogener Daten, die aufgrund von Artikel 5 Absatz 1 Buchstabe a erfolgt, Widerspruch einzulegen; dies gilt auch für ein auf diese Bestimmung gestütztes Profiling. Der Verantwortliche verarbeitet die personenbezogenen Daten nicht mehr, es sei denn, er kann zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

(2)   Die betroffene Person muss spätestens zum Zeitpunkt der ersten Kommunikation mit ihr ausdrücklich auf das Recht nach Absatz 1 hingewiesen werden; dieser Hinweis hat in einer verständlichen und von anderen Informationen getrennten Form zu erfolgen.

(3)   Im Zusammenhang mit der Nutzung von Diensten der Informationsgesellschaft kann die betroffene Person unbeschadet der Artikel 36 und 37 ihr Widerspruchsrecht mittels automatisierter Verfahren ausüben, bei denen technische Spezifikationen verwendet werden.

(4)   Die betroffene Person hat das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, gegen die sie betreffende Verarbeitung sie betreffender personenbezogener Daten, die zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken erfolgt, Widerspruch einzulegen, es sei denn, die Verarbeitung ist zur Erfüllung einer im öffentlichen Interesse liegenden Aufgabe erforderlich.

(1)   Die betroffene Person hat das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung — einschließlich Profiling — beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkungen entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.

(2)   Absatz 1 gilt nicht, wenn die Entscheidung

(3)   In den in Absatz 2 Buchstaben a und c genannten Fällen trifft der Verantwortliche angemessene Maßnahmen, um die Rechte und Freiheiten sowie die berechtigten Interessen der betroffenen Person zu wahren, wozu mindestens das Recht auf Erwirkung des Eingreifens einer Person seitens des Verantwortlichen, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung gehört.

(4)   Entscheidungen nach Absatz 2 des vorliegenden Artikels dürfen nicht auf besonderen Kategorien personenbezogener Daten gemäß Artikel 10 Absatz 1 beruhen, sofern nicht Artikel 10 Absatz 2 Buchstabe a oder g gilt und angemessene Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person getroffen wurden.

(1)   Die Anwendung der Artikel 14 bis 22, 35 und 36 sowie des Artikels 4, insofern dessen Bestimmungen den in den Artikeln 14 bis 22 vorgesehenen Rechten und Pflichten entsprechen, kann durch auf der Grundlage der Verträge erlassene Rechtsakte beziehungsweise in Angelegenheiten, die die Tätigkeit der Organe und Einrichtungen der Union betreffen, durch von diesen festgelegte interne Vorschriften beschränkt werden, sofern eine solche Beschränkung den Wesensgehalt der Grundrechte und Grundfreiheiten achtet und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellt, die Folgendes sicherstellt:

(2)   Jeder Rechtsakt bzw. jede interne Vorschrift gemäß Absatz 1 muss insbesondere gegebenenfalls spezifische Vorschriften enthalten in Bezug auf:

(3)   In Bezug auf die Verarbeitung personenbezogener Daten zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken kann Unionsrecht, einschließlich interner Vorschriften, die von Organen und Einrichtungen der Union in Fragen, die ihre Tätigkeit betreffen, erlassen wurden, vorbehaltlich der in Artikel 13 genannten Bedingungen und Garantien insoweit Ausnahmeregelungen von den in den Artikeln 17, 18, 20 und 23 genannten Rechten vorsehen, als diese Rechte voraussichtlich die Verwirklichung der spezifischen Zwecke unmöglich machen oder ernsthaft beeinträchtigen und solche Ausnahmeregelungen für die Erfüllung dieser Zwecke notwendig sind.

(4)   In Bezug auf die Verarbeitung personenbezogener Daten für im öffentlichen Interesse liegende Archivierungszwecke kann Unionsrecht, einschließlich interner Vorschriften, die von Organen und Einrichtungen der Union in Fragen, die ihre Tätigkeit betreffen, erlassen wurden, vorbehaltlich der in Artikel 13 genannten Bedingungen und Garantien insoweit Ausnahmeregelungen von den in den Artikeln 17, 18, 20, 21, 22 und 23 genannten Rechten vorsehen, als diese Rechte voraussichtlich die Verwirklichung der spezifischen Zwecke unmöglich machen oder ernsthaft beeinträchtigen und solche Ausnahmeregelungen für die Erfüllung dieser Zwecke notwendig sind.

(5)   Die in den Absätzen 1, 3 und 4 genannten internen Vorschriften müssen klar und präzise formulierte Rechtsakte mit allgemeiner Geltung und mit Rechtswirkung gegenüber den betroffenen Personen sein, auf der höchsten Verwaltungsebene der Organe und Einrichtungen der Union erlassen und im Amtsblatt der Europäischen Union veröffentlicht werden.

(6)   Findet eine Beschränkung gemäß Absatz 1 Anwendung, ist die betroffene Person gemäß dem Unionsrecht über die wesentlichen Gründe für diese Beschränkung und über ihr Beschwerderecht beim Europäischen Datenschutzbeauftragten zu unterrichten.

(7)   Wird eine Beschränkung gemäß Absatz 1 angewandt, um der betroffenen Person die Auskunft zu verweigern, so teilt der Europäische Datenschutzbeauftragte bei der Prüfung der Beschwerde der betroffenen Person nur mit, ob die Daten ordnungsgemäß verarbeitet wurden und, falls dies nicht der Fall ist, ob notwendige Korrekturen vorgenommen wurden.

(8)   Die Unterrichtung nach den Absätzen 6 und 7 des vorliegenden Artikels sowie in Artikel 45 Absatz 2 kann zurückgestellt, unterlassen oder abgelehnt werden, wenn sie die Wirkung der gemäß Absatz 1 des vorliegenden Artikels angewendeten Beschränkung zunichtemachen würde.

(1)   Der Verantwortliche setzt unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen um, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß dieser Verordnung erfolgt. Diese Maßnahmen werden erforderlichenfalls überprüft und aktualisiert.

(2)   Sofern dies in einem angemessenen Verhältnis zu den Verarbeitungstätigkeiten steht, müssen die Maßnahmen gemäß Absatz 1 die Anwendung geeigneter Datenschutzvorkehrungen durch den Verantwortlichen umfassen.

(3)   Die Einhaltung genehmigter Zertifizierungsverfahren gemäß Artikel 42 der Verordnung (EU) 2016/679 kann als Gesichtspunkt herangezogen werden, um die Erfüllung der Pflichten des Verantwortlichen nachzuweisen.

(1)   Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen trifft der Verantwortliche sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen, zum Beispiel Pseudonymisierung, die dafür ausgelegt sind, die Datenschutzgrundsätze, wie etwa Datenminimierung, wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen, um den Anforderungen dieser Verordnung zu genügen und die Rechte der betroffenen Personen zu schützen.

(2)   Der Verantwortliche trifft geeignete technische und organisatorische Maßnahmen, die sicherstellen, dass durch Voreinstellung grundsätzlich nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden. Diese Verpflichtung gilt für die Menge der erhobenen personenbezogenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit. Solche Maßnahmen müssen insbesondere sicherstellen, dass personenbezogene Daten durch Voreinstellungen nicht ohne Eingreifen der Person einer unbestimmten Zahl natürlicher Personen zugänglich gemacht werden.

(3)   Ein genehmigtes Zertifizierungsverfahren gemäß Artikel 42 der Verordnung (EU) 2016/679 kann als Gesichtspunkt herangezogen werden, um die Erfüllung der in den Absätzen 1 und 2 genannten Anforderungen nachzuweisen.

(1)   Legen zwei oder mehr Verantwortliche oder ein oder mehrere Verantwortliche zusammen mit einem oder mehreren Verantwortlichen, die nicht Organe oder Einrichtungen der Union sind, gemeinsam die Zwecke der und die Mittel zur Verarbeitung fest, so sind sie gemeinsam Verantwortliche. Sie legen in einer Vereinbarung in transparenter Form fest, wer von ihnen welche Verpflichtung für die Einhaltung ihrer Datenschutzpflichten hat, insbesondere was die Wahrnehmung der Rechte der betroffenen Person und ihre jeweiligen Informationspflichten nach den Artikeln 15 und 16 angeht, sofern und soweit die jeweiligen Zuständigkeiten der gemeinsam Verantwortlichen nicht durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen die gemeinsam Verantwortlichen unterliegen, festgelegt sind. In der Vereinbarung kann eine Anlaufstelle für betroffene Personen angegeben werden.

(2)   Die Vereinbarung gemäß Absatz 1 muss die jeweiligen tatsächlichen Funktionen und Beziehungen der gemeinsam Verantwortlichen gegenüber den betroffenen Personen gebührend widerspiegeln. Das wesentliche der Vereinbarung wird der betroffenen Person zur Verfügung gestellt.

(3)   Ungeachtet der Einzelheiten der Vereinbarung gemäß Absatz 1 kann die betroffene Person ihre Rechte im Rahmen dieser Verordnung bei und gegenüber jedem einzelnen der Verantwortlichen geltend machen.

(1)   Erfolgt eine Verarbeitung im Auftrag eines Verantwortlichen, so arbeitet dieser nur mit Auftragsverarbeitern, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen dieser Verordnung erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet.

(2)   Der Auftragsverarbeiter nimmt keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen in Anspruch. Im Falle einer allgemeinen schriftlichen Genehmigung informiert der Auftragsverarbeiter den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung anderer Auftragsverarbeiter, wodurch der Verantwortliche die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben.

(3)   Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments nach dem Recht der Union oder dem Recht der Mitgliedstaaten, der bzw. das den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet und in dem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festgelegt sind. Dieser Vertrag bzw. dieses andere Rechtsinstrument sieht insbesondere vor, dass der Auftragsverarbeiter

Mit Blick auf Unterabsatz 1 Buchstabe h informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich, falls er der Auffassung ist, dass eine Weisung gegen diese Verordnung oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt.

(4)   Nimmt der Auftragsverarbeiter die Dienste eines weiteren Auftragsverarbeiters in Anspruch, um bestimmte Verarbeitungstätigkeiten im Namen des Verantwortlichen auszuführen, so werden diesem weiteren Auftragsverarbeiter im Wege eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht des betreffenden Mitgliedstaats dieselben Datenschutzpflichten auferlegt, die in dem Vertrag oder anderen Rechtsinstrument zwischen dem Verantwortlichen und dem Auftragsverarbeiter nach Absatz 3 festgelegt sind, wobei insbesondere hinreichende Garantien dafür geboten werden müssen, dass die geeigneten technischen und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung entsprechend den Anforderungen dieser Verordnung erfolgt. Kommt der weitere Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, so haftet der erste Auftragsverarbeiter gegenüber dem Verantwortlichen weiterhin in vollem Umfang für die Einhaltung der Pflichten jenes anderen Auftragsverarbeiters.

(5)   Wenn es sich bei einem Auftragsverarbeiter nicht um ein Organ oder eine Einrichtung der Union handelt, kann die Einhaltung genehmigter Verhaltensregeln gemäß Artikel 40 Absatz 5 der Verordnung (EU) 2016/679 oder eines genehmigten Zertifizierungsverfahrens gemäß Artikel 42 der Verordnung (EU) 2016/679 herangezogen werden, um hinreichende Garantien im Sinne der Absätze 1 und 4 des vorliegenden Artikels nachzuweisen.

(6)   Unbeschadet eines individuellen Vertrags zwischen dem Verantwortlichen und dem Auftragsverarbeiter kann der Vertrag oder das andere Rechtsinstrument im Sinne der Absätze 3 und 4 des vorliegenden Artikels ganz oder teilweise auf den in den Absätzen 7 und 8 des vorliegenden Artikels genannten Standardvertragsklauseln beruhen, auch wenn diese Bestandteil einer Zertifizierung sind, die einem Auftragsverarbeiter, der weder ein Organ noch eine Einrichtung der Union ist, gemäß Artikel 42 der Verordnung (EU) 2016/679 erteilt wurde.

(7)   Die Kommission kann im Einklang mit dem Prüfverfahren gemäß Artikel 96 Absatz 2 Standardvertragsklauseln zur Regelung der in den Absätzen 3 und 4 des vorliegenden Artikels genannten Fragen festlegen.

(8)   Der Europäische Datenschutzbeauftragte kann Standardvertragsklauseln zur Regelung der in den Absätzen 3 und 4 genannten Angelegenheiten festlegen.

(9)   Der Vertrag oder das andere Rechtsinstrument im Sinne der Absätze 3 und 4 ist schriftlich abzufassen, was auch in einem elektronischen Format erfolgen kann.

(10)   Unbeschadet der Artikel 65 und 66 gilt ein Auftragsverarbeiter, der unter Verstoß gegen diese Verordnung die Zwecke und Mittel der Verarbeitung bestimmt, in Bezug auf diese Verarbeitung als Verantwortlicher.

(1)   Jeder Verantwortliche führt ein Verzeichnis aller Verarbeitungstätigkeiten, die seiner Zuständigkeit unterliegen. Dieses Verzeichnis enthält sämtliche folgenden Angaben:

(2)   Jeder Auftragsverarbeiter führt ein Verzeichnis zu allen Kategorien von im Auftrag eines Verantwortlichen durchgeführten Tätigkeiten der Verarbeitung, die Folgendes enthält:

(3)   Das in den Absätzen 1 und 2 genannte Verzeichnis ist schriftlich zu führen, was auch in einem elektronischen Format erfolgen kann.

(4)   Die Organe und Einrichtungen der Union stellen das Verzeichnis auf Anfrage dem Europäischen Datenschutzbeauftragten zur Verfügung.

(5)   Die Organe und Einrichtungen der Union führen ihre Verzeichnisse der Verarbeitungen in einem zentralen Register, es sei denn, dies ist unter Berücksichtigung der Größe des Organs oder der Einrichtung der Union nicht sachgerecht. Sie machen das Register öffentlich zugänglich.

(1)   Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; diese Maßnahmen schließen gegebenenfalls unter anderem Folgendes ein:

(2)   Bei der Beurteilung des angemessenen Schutzniveaus sind insbesondere die Risiken zu berücksichtigen, die mit der Verarbeitung verbunden sind, insbesondere durch — ob unbeabsichtigt oder unrechtmäßig — Vernichtung, Verlust, Veränderung oder unbefugte Offenlegung von beziehungsweise unbefugten Zugang zu personenbezogenen Daten, die übermittelt, gespeichert oder auf andere Weise verarbeitet wurden.

(3)   Der Verantwortliche und der Auftragsverarbeiter unternehmen Schritte, um sicherzustellen, dass ihnen unterstellte natürliche Personen, die Zugang zu personenbezogenen Daten haben, diese nur auf Anweisung des Verantwortlichen verarbeiten, es sei denn, sie sind nach Unionsrecht zur Verarbeitung verpflichtet.

(4)   Die Einhaltung eines genehmigten Zertifizierungsverfahrens gemäß Artikel 42 der Verordnung (EU) 2016/679 kann als Gesichtspunkt herangezogen werden, um die Erfüllung der in Absatz 1 genannten Anforderungen nachzuweisen.

(1)   Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese dem Europäischen Datenschutzbeauftragten, es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Erfolgt die Meldung beim Europäischen Datenschutzbeauftragten nicht innerhalb von 72 Stunden, so ist ihr eine Begründung für die Verzögerung beizufügen.

(2)   Wenn dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt wird, meldet er diese dem Verantwortlichen unverzüglich.

(3)   Die Meldung nach Absatz 1 enthält zumindest folgende Informationen:

(4)   Wenn und soweit die Informationen nicht zur gleichen Zeit bereitgestellt werden können, kann der Verantwortliche diese Informationen ohne unangemessene weitere Verzögerung schrittweise zur Verfügung stellen.

(5)   Der Verantwortliche unterrichtet den Datenschutzbeauftragten über die Verletzung des Schutzes personenbezogener Daten.

(6)   Der Verantwortliche dokumentiert Verletzungen des Schutzes personenbezogener Daten einschließlich aller im Zusammenhang mit der Verletzung des Schutzes personenbezogener Daten stehenden Fakten, deren Auswirkungen und der ergriffenen Abhilfemaßnahmen. Diese Dokumentation muss dem Europäischen Datenschutzbeauftragten die Überprüfung der Einhaltung der Bestimmungen dieses Artikels ermöglichen.

(1)   Hat die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so benachrichtigt der Verantwortliche die betroffene Person unverzüglich von der Verletzung.

(2)   Die in Absatz 1 des vorliegenden Artikels genannte Benachrichtigung der betroffenen Person beschreibt in klarer und einfacher Sprache die Art der Verletzung des Schutzes personenbezogener Daten und enthält zumindest die in Artikel 34 Absatz 3 Buchstaben b, c und d genannten Informationen und Maßnahmen.

(3)   Die Benachrichtigung der betroffenen Person gemäß Absatz 1 ist nicht erforderlich, wenn eine der folgenden Bedingungen erfüllt ist:

(4)   Wenn der Verantwortliche die betroffene Person nicht bereits über die Verletzung des Schutzes personenbezogener Daten benachrichtigt hat, kann der Europäische Datenschutzbeauftragte unter Berücksichtigung der Wahrscheinlichkeit, mit der die Verletzung des Schutzes personenbezogener Daten zu einem hohen Risiko führt, von dem Verantwortlichen verlangen, dies nachzuholen, oder er kann mit einem Beschluss feststellen, dass bestimmte der in Absatz 3 genannten Voraussetzungen erfüllt sind.

(1)   Personenbezogene Daten in Nutzerverzeichnissen und der Zugang zu solchen Verzeichnissen sind auf das für die besonderen Zwecke des Nutzerverzeichnisses unbedingt erforderliche Maß zu beschränken.

(2)   Die Organe und Einrichtungen der Union treffen die erforderlichen Maßnahmen, um zu verhindern, dass die in diesen Verzeichnissen enthaltenen personenbezogenen Daten, unabhängig davon, ob sie der Öffentlichkeit zugänglich sind, für Zwecke des Direktmarketings verwendet werden.

(1)   Hat eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so führt der Verantwortliche vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durch. Für die Untersuchung mehrerer ähnlicher Verarbeitungsvorgänge mit ähnlich hohen Risiken kann eine einzige Abschätzung vorgenommen werden.

(2)   Der Verantwortliche holt bei der Durchführung einer Datenschutz-Folgenabschätzung den Rat des Datenschutzbeauftragten ein.

(3)   Eine Datenschutz-Folgenabschätzung nach Absatz 1 ist insbesondere in folgenden Fällen erforderlich:

(4)   Der Europäische Datenschutzbeauftragte erstellt eine Liste der Verarbeitungsvorgänge, für die gemäß Absatz 1 eine Datenschutz-Folgenabschätzung durchzuführen ist, und veröffentlicht diese.

(5)   Der Europäische Datenschutzbeauftragte kann des Weiteren eine Liste der Arten von Verarbeitungsvorgängen erstellen und veröffentlichen, für die keine Datenschutz-Folgenabschätzung erforderlich ist.

(6)   Vor Festlegung der in den Absätzen 4 und 5 des vorliegenden Artikels genannten Listen fordert der Europäische Datenschutzbeauftragte den durch Artikel 68 der Verordnung (EU) 2016/679 eingerichteten Europäischen Datenschutzausschuss auf, diese Listen gemäß Artikel 70 Absatz 1 Buchstabe e der genannten Verordnung zu prüfen, wenn sie sich auf Verarbeitungsvorgänge eines Verantwortlichen beziehen, der gemeinsam mit einem oder mehreren Verantwortlichen, die nicht Organe oder Einrichtungen der Union sind, tätig ist.

(7)   Die Folgenabschätzung enthält zumindest Folgendes:

(8)   Die Einhaltung genehmigter Verhaltensregeln gemäß Artikel 40 der Verordnung (EU) 2016/679 durch die zuständigen Auftragsverarbeiter, die nicht Organe und Einrichtungen der Union sind, ist bei der Beurteilung der Auswirkungen der von diesen durchgeführten Verarbeitungsvorgänge, insbesondere für die Zwecke einer Datenschutz-Folgenabschätzung, gebührend zu berücksichtigen.

(9)   Der Verantwortliche holt gegebenenfalls den Standpunkt der betroffenen Personen oder ihrer Vertreter zu der beabsichtigten Verarbeitung unbeschadet des Schutzes öffentlicher Interessen oder der Sicherheit der Verarbeitungsvorgänge ein.

(10)   Falls die Verarbeitung gemäß Artikel 5 Absatz 1 Buchstabe a oder b auf einem auf der Grundlage der Verträge erlassenen Rechtsakt beruht, in dem der konkrete Verarbeitungsvorgang oder die konkreten Verarbeitungsvorgänge geregelt sind, und bereits im Rahmen der allgemeinen Folgenabschätzung vor Erlass dieses Rechtsakts eine Datenschutz-Folgenabschätzung erfolgte, gelten die Absätze 1 bis 6 des vorliegenden Artikels nicht, sofern in dem genannten Rechtsakt nichts anderes bestimmt ist.

(11)   Erforderlichenfalls führt der Verantwortliche eine Überprüfung durch, um zu bewerten, ob die Verarbeitung gemäß der Datenschutz-Folgenabschätzung durchgeführt wird; dies gilt zumindest, wenn hinsichtlich des mit den Verarbeitungsvorgängen verbundenen Risikos Änderungen eingetreten sind.

(1)   Der Verantwortliche konsultiert vor der Verarbeitung den Europäischen Datenschutzbeauftragten, wenn aus einer Datenschutz-Folgenabschätzung gemäß Artikel 39 hervorgeht, dass die Verarbeitung ohne Garantien, Sicherheitsvorkehrungen und Verfahren zur Risikominderung ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hätte, und das Risiko nach Auffassung des Verantwortlichen nicht durch in Bezug auf verfügbare Technologien und Implementierungskosten vertretbare Mittel gemindert werden kann. Der Verantwortliche holt den Rat des Datenschutzbeauftragten zur Notwendigkeit einer vorherigen Konsultation ein.

(2)   Falls der Europäische Datenschutzbeauftragte der Auffassung ist, dass die geplante Verarbeitung gemäß Absatz 1 nicht im Einklang mit dieser Verordnung stünde, insbesondere weil der Verantwortliche das Risiko nicht ausreichend ermittelt oder nicht ausreichend eingedämmt hat, unterbreitet der Europäische Datenschutzbeauftragte dem Verantwortlichen und gegebenenfalls dem Auftragsverarbeiter innerhalb eines Zeitraums von bis zu acht Wochen nach Eingang des Ersuchens um Konsultation entsprechende schriftliche Empfehlungen und kann seine in Artikel 58 genannten Befugnisse ausüben. Diese Frist kann unter Berücksichtigung der Komplexität der beabsichtigten Verarbeitung um sechs Wochen verlängert werden. Der Europäische Datenschutzbeauftragte unterrichtet den Verantwortlichen oder gegebenenfalls den Auftragsverarbeiter über eine solche Fristverlängerung innerhalb eines Monats nach Eingang des Ersuchens um Konsultation zusammen mit den Gründen für die Verzögerung. Diese Fristen können ausgesetzt werden, bis der Europäische Datenschutzbeauftragte die für die Zwecke der Konsultation angeforderten Informationen erhalten hat.

(3)   Der Verantwortliche stellt dem Europäischen Datenschutzbeauftragten bei einer Konsultation gemäß Absatz 1 folgende Informationen zur Verfügung:

(4)   Die Kommission kann im Wege eines Durchführungsrechtsakts eine Liste der Fälle festlegen, in denen die Verantwortlichen den Europäischen Datenschutzbeauftragten zu einer Verarbeitung zur Erfüllung einer vom Verantwortlichen im öffentlichen Interesse wahrgenommenen Aufgabe, unter anderem zur Verarbeitung personenbezogener Daten zu Zwecken des Sozialschutzes und der öffentlichen Gesundheit, konsultieren und seine vorherige Genehmigung einholen müssen.

(1)   Die Organe und Einrichtungen der Union unterrichten den Europäischen Datenschutzbeauftragten über die Ausarbeitung von Verwaltungsmaßnahmen und internen Vorschriften in Bezug auf die Verarbeitung personenbezogener Daten, an denen ein Organ oder eine Einrichtung der Union allein oder gemeinsam mit anderen beteiligt ist.

(2)   Die Organe und Einrichtungen der Union konsultieren den Europäischen Datenschutzbeauftragten bei der Ausarbeitung der internen Vorschriften gemäß Artikel 25.

(1)   Nach der Annahme von Vorschlägen für einen Gesetzgebungsakt, für Empfehlungen oder Vorschläge an den Rat nach Artikel 218 AEUV sowie bei der Ausarbeitung von delegierten Rechtsakten und Durchführungsrechtsakten, die Auswirkungen auf den Schutz der Rechte und Freiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten haben, konsultiert die Kommission den Europäischen Datenschutzbeauftragten.

(2)   Ist ein Rechtsakt gemäß Absatz 1 für den Schutz der Rechte und Freiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten von besonderer Bedeutung, kann die Kommission auch den Europäischen Datenschutzausschuss konsultieren. In diesen Fällen koordinieren der Europäische Datenschutzbeauftragte und der Europäische Datenschutzausschuss ihre Arbeit im Hinblick auf eine gemeinsame Stellungnahme.

(3)   Der nach den Absätzen 1 und 2 eingeholte Rat wird innerhalb eines Zeitraums von bis zu acht Wochen nach Eingang des Ersuchens um Konsultation nach den Absätzen 1 und 2 schriftlich erteilt. In dringenden Fällen oder wenn dies sonst geboten ist, kann die Kommission die Frist verkürzen.

(4)   Dieser Artikel gilt nicht, wenn die Kommission nach der Verordnung (EU) 2016/679 verpflichtet ist, den Europäischen Datenschutzausschuss zu konsultieren.

(1)   Jedes Organ und jede Einrichtung der Union benennt einen Datenschutzbeauftragten.

(2)   Die Organe und Einrichtungen der Union können für mehrere Organe oder Einrichtungen unter Berücksichtigung ihrer Organisationsstruktur und ihrer Größe einen gemeinsamen Datenschutzbeauftragten benennen.

(3)   Der Datenschutzbeauftragte wird auf der Grundlage seiner beruflichen Qualifikation und insbesondere des Fachwissens benannt, das er auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis besitzt, sowie auf der Grundlage seiner Fähigkeit zur Erfüllung der in Artikel 45 genannten Aufgaben.

(4)   Der Datenschutzbeauftragte muss Bediensteter des Organs oder der Einrichtung der Union sein. Die Organe und Einrichtungen der Union können, wenn von der Möglichkeit nach Absatz 2 nicht Gebrauch gemacht wird, unter Berücksichtigung ihrer Größe einen Datenschutzbeauftragten benennen, der seine Aufgaben auf der Grundlage eines Dienstleistungsvertrags erfüllt.

(5)   Die Organe und Einrichtungen der Union veröffentlichen die Kontaktdaten des Datenschutzbeauftragten und teilen sie dem Europäischen Datenschutzbeauftragten mit.

(1)   Die Organe und Einrichtungen der Union stellen sicher, dass der Datenschutzbeauftragte ordnungsgemäß und frühzeitig in alle mit dem Schutz personenbezogener Daten zusammenhängenden Fragen eingebunden wird.

(2)   Die Organe und Einrichtungen der Union unterstützen den Datenschutzbeauftragten bei der Erfüllung seiner Aufgaben gemäß Artikel 45, indem sie die für die Erfüllung seiner Aufgaben erforderlichen Ressourcen und den Zugang zu personenbezogenen Daten und Verarbeitungsvorgängen sowie die zur Erhaltung seines Fachwissens erforderlichen Ressourcen zur Verfügung stellen.

(3)   Die Organe und Einrichtungen der Union stellen sicher, dass der Datenschutzbeauftragte bei der Erfüllung dieser Aufgaben keine Anweisungen bezüglich der Ausübung dieser Aufgaben erhält. Der Datenschutzbeauftragte darf von dem Verantwortlichen oder dem Auftragsverarbeiter wegen der Erfüllung seiner Aufgaben nicht abberufen oder benachteiligt werden. Der Datenschutzbeauftragte berichtet unmittelbar der höchsten Managementebene des Verantwortlichen oder des Auftragsverarbeiters.

(4)   Betroffene Personen können den Datenschutzbeauftragten zu allen mit der Verarbeitung ihrer personenbezogenen Daten und mit der Wahrnehmung ihrer Rechte gemäß dieser Verordnung im Zusammenhang stehenden Fragen zu Rate ziehen.

(5)   Der Datenschutzbeauftragte und sein Personal sind nach Unionsrecht bei der Erfüllung ihrer Aufgaben an die Wahrung der Geheimhaltung oder der Vertraulichkeit gebunden.

(6)   Der Datenschutzbeauftragte kann andere Aufgaben und Pflichten wahrnehmen. Der Verantwortliche oder der Auftragsverarbeiter stellt sicher, dass derartige Aufgaben und Pflichten nicht zu einem Interessenkonflikt führen.

(7)   Der Verantwortliche und der Auftragsverarbeiter, der betreffende Personalausschuss sowie jede natürliche Person können den Datenschutzbeauftragten zu jeder Frage im Zusammenhang mit der Auslegung oder Anwendung dieser Verordnung zu Rate ziehen, ohne den Dienstweg einzuhalten. Niemand darf benachteiligt werden, weil er dem zuständigen Datenschutzbeauftragten eine Angelegenheit zur Kenntnis gebracht und einen mutmaßlichen Verstoß gegen diese Verordnung dargelegt hat.

(8)   Der Datenschutzbeauftragte wird für eine Amtszeit von drei bis fünf Jahren benannt und kann wiederernannt werden. Der Datenschutzbeauftragte kann von dem Organ oder der Einrichtung der Union, das beziehungsweise die ihn benannt hat, wenn er die Voraussetzungen für die Wahrnehmung seiner Aufgaben nicht mehr erfüllt und nur mit Zustimmung des Europäischen Datenschutzbeauftragten seines Amtes enthoben werden.

(9)   Nach seiner Benennung wird der Datenschutzbeauftragte durch das Organ oder die Einrichtung der Union, das beziehungsweise die ihn benannt hat, beim Europäischen Datenschutzbeauftragten eingetragen.

(1)   Dem Datenschutzbeauftragten obliegen folgende Aufgaben:

(2)   Der Datenschutzbeauftragte kann an den Verantwortlichen und an den Auftragsverarbeiter Empfehlungen für die praktische Verbesserung des Datenschutzes richten und diese in Fragen der Anwendung der Datenschutzbestimmungen beraten. Darüber hinaus kann er von sich aus oder auf Ersuchen des Verantwortlichen oder des Auftragsverarbeiters, des zuständigen Personalausschusses oder jeder natürlichen Person Fragen und Vorkommnisse, die mit seinen Aufgaben in direktem Zusammenhang stehen und ihm zur Kenntnis gelangen, prüfen und der Person, die ihn mit der Prüfung beauftragte, oder dem Verantwortlichen oder dem Auftragsverarbeiter Bericht erstatten.

(3)   Jedes Organ und die Einrichtung der Union erlässt weitere den Datenschutzbeauftragten betreffende Durchführungsvorschriften. Diese Durchführungsvorschriften betreffen insbesondere die Aufgaben, Pflichten und Befugnisse des Datenschutzbeauftragten.

(1)   Eine Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation darf vorgenommen werden, wenn die Kommission gemäß Artikel 45 Absatz 3 der Verordnung (EU) 2016/679 oder gemäß Artikel 36 Absatz 3 der Richtlinie (EU) 2016/680 beschlossen hat, dass das betreffende Drittland, ein Gebiet oder ein oder mehrere spezifische Sektoren in diesem Drittland oder die betreffende internationale Organisation ein angemessenes Schutzniveau bietet, und wenn die personenbezogenen Daten ausschließlich übermittelt werden, um die Erfüllung von Aufgaben zu ermöglichen, die in die Zuständigkeit des Verantwortlichen fallen.

(2)   Die Organe und Einrichtungen der Union unterrichten die Kommission und den Europäischen Datenschutzbeauftragten über die Fälle, in denen ein Drittland, ein Gebiet oder ein oder mehrere Sektoren in einem Drittland oder eine betreffende internationale Organisation ihres Erachtens kein angemessenes Schutzniveau im Sinne des Absatzes 1 gewährleistet.

(3)   Die Kommission stellt gemäß Artikel 45 Absätze 3 oder 5 der Verordnung (EU) 2016/679 oder gemäß Artikel 36 Absatz 3 oder Absatz 5 der Richtlinie (EU) 2016/680 fest, ob ein Drittland, ein Gebiet oder ein oder mehrere Sektoren in einem Drittland oder eine internationale Organisation ein angemessenes Schutzniveau gewährleistet oder nicht, und die Organe und Einrichtungen der Union treffen die erforderlichen Maßnahmen, um den Beschlüssen der Kommission nachzukommen.

(1)   Falls kein Beschluss nach Artikel 45 Absatz 3 der Verordnung (EU) 2016/679 oder nach Artikel 36 Absatz 3 der Richtlinie (EU) 2016/680 vorliegt, darf ein Verantwortlicher oder ein Auftragsverarbeiter personenbezogene Daten an ein Drittland oder eine internationale Organisation nur übermitteln, sofern der Verantwortliche oder der Auftragsverarbeiter geeignete Garantien vorgesehen hat und sofern den betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung stehen.

(2)   Die in Absatz 1 genannten geeigneten Garantien können, ohne dass hierzu eine besondere Genehmigung des Europäischen Datenschutzbeauftragten erforderlich wäre, bestehen in:

(3)   Vorbehaltlich der Genehmigung durch den Europäischen Datenschutzbeauftragten können die geeigneten Garantien gemäß Absatz 1 auch insbesondere bestehen in:

(4)   Vom Europäischen Datenschutzbeauftragten auf der Grundlage von Artikels 9 Absatz 7 der Verordnung (EG) Nr. 45/2001 erteilte Genehmigungen bleiben so lange gültig, bis sie erforderlichenfalls vom Europäischen Datenschutzbeauftragten geändert, ersetzt oder aufgehoben werden.

(5)   Die Organe und Einrichtungen der Union unterrichten den Europäischen Datenschutzbeauftragten über Kategorien von Fällen, in denen dieser Artikel angewandt wurde.

(1)   Falls weder ein Angemessenheitsbeschluss nach Artikel 45 Absatz 3 der Verordnung (EU) 2016/679 oder nach Artikel 36 Absatz 3 der Richtlinie (EU) 2016/680 vorliegt noch geeignete Garantien nach Artikel 48 der vorliegenden Verordnung bestehen, ist eine Übermittlung oder eine Reihe von Übermittlungen personenbezogener Daten an ein Drittland oder an eine internationale Organisation nur unter einer der folgenden Bedingungen zulässig:

(2)   Absatz 1 Buchstaben a, b und c gilt nicht für Tätigkeiten, die Organe und Einrichtungen der Union in Ausübung ihrer hoheitlichen Befugnisse durchführen.

(3)   Das öffentliche Interesse im Sinne des Absatzes 1 Buchstabe d muss im Unionsrecht anerkannt sein.

(4)   Datenübermittlungen gemäß Absatz 1 Buchstabe g dürfen nicht die Gesamtheit oder ganze Kategorien der im Register enthaltenen personenbezogenen Daten umfassen, es sei denn, dies ist nach Unionsrecht zulässig. Wenn das Register der Einsichtnahme durch Personen mit berechtigtem Interesse dient, darf die Übermittlung nur auf Anfrage dieser Personen oder nur dann erfolgen, wenn diese Personen die Adressaten der Übermittlung sind.

(5)   Liegt kein Angemessenheitsbeschluss vor, so können im Unionsrecht aus wichtigen Gründen des öffentlichen Interesses ausdrücklich Beschränkungen der Übermittlung bestimmter Kategorien von personenbezogen Daten an Drittländer oder internationale Organisationen vorgesehen werden.

(6)   Die Organe und Einrichtungen der Union unterrichten den Europäischen Datenschutzbeauftragten über Kategorien von Fällen, in denen dieser Artikel angewandt wurde.

(1)   Es wird das Amt des Europäischen Datenschutzbeauftragten geschaffen.

(2)   Im Hinblick auf die Verarbeitung personenbezogener Daten hat der Europäische Datenschutzbeauftragte sicherzustellen, dass die Grundrechte und Grundfreiheiten natürlicher Personen, insbesondere ihr Recht auf Datenschutz, von den Organen und Einrichtungen der Union geachtet werden.

(3)   Der Europäische Datenschutzbeauftragte ist zuständig für die Überwachung und Durchsetzung der Anwendung der Bestimmungen dieser Verordnung und aller anderen Rechtsakte der Union zum Schutz der Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten durch ein Organ oder eine Einrichtung der Union sowie für die Beratung der Organe und Einrichtungen der Union und der betroffenen Personen in allen Fragen der Verarbeitung personenbezogener Daten. Zu diesem Zweck erfüllt der Europäische Datenschutzbeauftragte die Aufgaben nach Artikel 57 und übt die Befugnisse nach Artikel 58 aus.

(4)   Für Dokumente, die sich im Besitz des Europäischen Datenschutzbeauftragten befinden, gilt die Verordnung (EG) Nr. 1049/2001. Der Europäische Datenschutzbeauftragte erlässt detaillierte Vorschriften für die Anwendung der Verordnung (EG) Nr. 1049/2001 in Bezug auf diese Dokumente.

(1)   Das Europäische Parlament und der Rat ernennen den Europäischen Datenschutzbeauftragten im gegenseitigen Einvernehmen für eine Amtszeit von fünf Jahren, auf der Grundlage einer von der Kommission im Anschluss an eine öffentliche Aufforderung zur Bewerbung aufgestellten Liste. Aufgrund dieser Aufforderung zur Bewerbung können alle Interessenten in der gesamten Union ihre Bewerbung einreichen. Die von der Kommission aufgestellte Liste der Bewerber ist öffentlich und umfasst mindestens drei Bewerber. Der zuständige Ausschuss des Europäischen Parlaments kann auf der Grundlage der von der Kommission aufgestellten Liste beschließen, eine Anhörung abzuhalten, um eine Präferenz kundtun zu können.

(2)   Die in Absatz 1 genannte Liste der Bewerber muss sich aus Personen zusammensetzen, an deren Unabhängigkeit kein Zweifel besteht und die anerkanntermaßen über das für die Wahrnehmung der Aufgaben des Europäischen Datenschutzbeauftragten erforderliche Fachwissen auf dem Gebiet des Datenschutzes und die diesbezügliche Erfahrung und Sachkunde verfügen.

(3)   Die Amtszeit des Europäischen Datenschutzbeauftragten kann einmal verlängert werden.

(4)   Die Aufgaben des Europäischen Datenschutzbeauftragten enden,

(5)   Der Europäischen Datenschutzbeauftragten kann auf Antrag des Europäischen Parlaments, des Rates oder der Kommission vom Gerichtshof seines Amtes enthoben oder seiner Ruhegehaltsansprüche oder an ihrer Stelle gewährten Vergünstigungen für verlustig erklärt werden, wenn er die Voraussetzungen für die Wahrnehmung seiner Aufgaben nicht mehr erfüllt oder eine schwere Verfehlung begangen hat.

(6)   Im Falle einer regulären Neubestellung oder eines freiwilligen Rücktritts bleibt der Europäische Datenschutzbeauftragte dennoch bis zur Neubesetzung im Amt.

(7)   Die Artikel 11 bis 14 sowie Artikel 17 des Protokolls über die Vorrechte und Befreiungen der Europäischen Union finden auch auf den Europäischen Datenschutzbeauftragten Anwendung.

(1)   Der Europäische Datenschutzbeauftragte ist hinsichtlich seiner Dienstbezüge, seiner Zulagen, seines Ruhegehalts und sonstiger anstelle von Dienstbezügen gewährten Vergütungen einem Richter am Gerichtshof gleichgestellt.

(2)   Die Haushaltsbehörde gewährleistet, dass der Europäische Datenschutzbeauftragte mit dem für die Erfüllung seiner Aufgaben erforderlichen Personal und den erforderlichen finanziellen Mitteln ausgestattet wird.

(3)   Der Haushalt des Europäischen Datenschutzbeauftragten wird in einer eigenen Haushaltslinie im Abschnitt zu den Verwaltungsausgaben des Gesamthaushaltplans der Union ausgewiesen.

(4)   Der Europäische Datenschutzbeauftragte wird von einer Geschäftsstelle unterstützt. Die Beamten und sonstigen Bediensteten dieser Geschäftsstelle werden vom Europäischen Datenschutzbeauftragten eingestellt und ihr Vorgesetzter ist der Europäische Datenschutzbeauftragte. Sie unterstehen ausschließlich seiner Leitung. Ihre Zahl wird jährlich im Rahmen des Haushaltsverfahrens festgelegt. Auf Mitarbeiter des Europäischen Datenschutzbeauftragten, die an der Ausführung von Aufgaben beteiligt sind, die gemäß dem Unionsrecht dem Datenschutzausschuss übertragen wurden, findet Artikel 75 Absatz 2 der Verordnung (EU) 2016/679 Anwendung.

(5)   Die Beamten und sonstigen Bediensteten der Geschäftsstelle des Europäischen Datenschutzbeauftragten unterliegen den Vorschriften und Regelungen für die Beamten und sonstigen Bediensteten der Union.

(6)   Der Europäische Datenschutzbeauftragte hat seinen Sitz in Brüssel.

(1)   Der Europäische Datenschutzbeauftragte handelt bei der Erfüllung seiner Aufgaben und bei der Ausübung seiner Befugnisse gemäß dieser Verordnung völlig unabhängig.

(2)   Der Europäische Datenschutzbeauftragte unterliegt bei der Erfüllung seiner Aufgaben und der Ausübung seiner Befugnisse gemäß dieser Verordnung weder direkter noch indirekter Beeinflussung von außen und ersucht weder um Weisungen noch nimmt er Weisungen entgegen.

(3)   Der Europäische Datenschutzbeauftragte sieht von allen mit den Aufgaben seines Amtes nicht zu vereinbarenden Handlungen ab und übt während seiner Amtszeit keine andere mit seinem Amt nicht zu vereinbarende entgeltliche oder unentgeltliche Tätigkeit aus.

(4)   Nach Ablauf seiner Amtszeit ist der Europäische Datenschutzbeauftragte verpflichtet, im Hinblick auf die Annahme von Tätigkeiten und Vorteilen ehrenhaft und zurückhaltend zu handeln.

(1)   Unbeschadet anderer in dieser Verordnung dargelegter Aufgaben muss der Europäische Datenschutzbeauftragte

(2)   Der Europäische Datenschutzbeauftragte erleichtert das Einreichen von in Absatz 1 Buchstabe e genannten Beschwerden mittels eines Beschwerdeformulars, das auch elektronisch ausgefüllt werden kann, ohne dass andere Kommunikationsmittel ausgeschlossen werden.

(3)   Die Erfüllung der Aufgaben des Europäischen Datenschutzbeauftragten ist für die betroffene Person unentgeltlich.

(4)   Bei offenkundig unbegründeten oder — insbesondere im Fall von häufiger Wiederholung — exzessiven Anfragen kann sich der Europäische Datenschutzbeauftragte weigern, aufgrund der Anfrage tätig zu werden. In diesem Fall trägt der Europäische Datenschutzbeauftragte die Beweislast für den offenkundig unbegründeten oder exzessiven Charakter der Anfrage.

(1)   Der Europäische Datenschutzbeauftragte verfügt über folgende Untersuchungsbefugnisse

(2)   Der Europäische Datenschutzbeauftragte verfügt über folgende Abhilfebefugnisse

(3)   Der Europäische Datenschutzbeauftragte verfügt über folgende Genehmigungsbefugnisse und beratenden Befugnisse

(4)   Der Europäische Datenschutzbeauftragte ist befugt, unter den in den Verträgen vorgesehenen Voraussetzungen den Gerichtshof anzurufen und beim Gerichtshof anhängigen Verfahren beizutreten.

(5)   Die Ausübung der dem Europäischen Datenschutzbeauftragten mit diesem Artikel übertragenen Befugnisse erfolgt vorbehaltlich geeigneter Garantien nach Unionsrecht, einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren.

(1)   Der Europäische Datenschutzbeauftragte legt dem Europäischen Parlament, dem Rat und der Kommission einen Jahresbericht über seine Tätigkeit vor, den er gleichzeitig veröffentlicht.

(2)   Der Europäische Datenschutzbeauftragte übermittelt den in Absatz 1 genannten Bericht den übrigen Organen und Einrichtungen der Union, die im Hinblick auf eine etwaige Prüfung des Berichts durch das Europäische Parlament Stellungnahmen abgeben können.

(1)   Wenn in einem Rechtsakt der Union auf diesen Artikel verwiesen wird, arbeiten der Europäische Datenschutzbeauftragte und die nationalen Aufsichtsbehörden im Rahmen ihrer jeweiligen Kompetenzen und ihrer Zuständigkeiten aktiv zusammen, um eine wirksame Aufsicht über IT-Großsysteme und über Organe, Einrichtungen und sonstige Stellen der Union zu gewährleisten.

(2)   Im Rahmen ihrer jeweiligen Kompetenzen und ihrer Zuständigkeiten tauschen sie erforderlichenfalls sachdienliche Informationen aus, helfen sich erforderlichenfalls gegenseitig bei Prüfungen und Kontrollen, prüfen erforderlichenfalls Schwierigkeiten bei der Auslegung oder Anwendung dieser Verordnung und anderer anwendbarer Rechtsakte der Union, befassen sich erforderlichenfalls mit Problemen mit der unabhängigen Aufsicht oder der Ausübung der Rechte betroffener Personen, entwerfen erforderlichenfalls harmonisierte Vorschläge für die Lösung von Problemen und fördern erforderlichenfalls die Sensibilisierung für die Datenschutzrechte.

(3)   Für die Zwecke des Absatzes 2 kommen der Europäische Datenschutzbeauftragte und die nationalen Aufsichtsbehörden mindestens zweimal jährlich im Rahmen des Europäischen Datenschutzausschusses zusammen. Der Europäische Datenschutzausschuss kann für diese Zwecke erforderlichenfalls weitere Arbeitsmethoden entwickeln.

(4)   Der Europäische Datenschutzausschuss unterbreitet dem Europäischen Parlament, dem Rat und der Kommission alle zwei Jahre einen gemeinsamen Tätigkeitsbericht über die koordinierte Aufsicht.

(1)   Unbeschadet gerichtlicher, verwaltungsrechtlicher oder außergerichtlicher Rechtsbehelfe hat jede betroffene Person das Recht auf Beschwerde beim Europäischen Datenschutzbeauftragten, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.

(2)   Der Europäische Datenschutzbeauftragte unterrichtet den Beschwerdeführer über den Stand und die Ergebnisse der Prüfung der Beschwerde, einschließlich der Möglichkeit eines gerichtlichen Rechtsbehelfs nach Artikel 64.

(3)   Befasst sich der Europäische Datenschutzbeauftragte nicht mit der Beschwerde oder unterrichtet er die betroffene Person nicht innerhalb von drei Monaten über den Fortgang oder das Ergebnis der Prüfung der Beschwerde, so gilt dies als negative Entscheidung des Europäischen Datenschutzbeauftragten.

(1)   Der Gerichtshof ist für alle Streitigkeiten im Zusammenhang mit den Bestimmungen dieser Verordnung, einschließlich Schadenersatzansprüchen, zuständig.

(2)   Gegen Entscheidungen des Europäischen Datenschutzbeauftragten, einschließlich Entscheidungen gemäß Artikel 63 Absatz 3, kann beim Gerichtshof Klage erhoben werden.

(3)   Der Gerichtshof hat die Befugnis zur unbeschränkten Ermessensnachprüfung bezüglich der Geldbußen gemäß Artikel 66. Er kann diese Geldbußen innerhalb der Grenzen des Artikels 66 aufheben, verringern oder erhöhen.

(1)   Der Europäische Datenschutzbeauftragte kann je nach den Umständen des Einzelfalls Geldbußen gegen Organe und Einrichtungen der Union verhängen, wenn ein Organ oder eine Einrichtung der Union einer Anordnung des Europäischen Datenschutzbeauftragten nach Artikel 58 Absatz 2 Buchstaben d bis h und j nicht nachkommt. Bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag wird in jedem Einzelfall Folgendes gebührend berücksichtigt:

(2)   Bei Verstößen gegen Pflichten des Organs oder der Einrichtung der Union nach den Artikeln 8, 12, 27 bis 35, 39, 40, 43, 44 und 45 werden im Einklang mit Absatz 1 des vorliegenden Artikels Geldbußen in Höhe von bis zu 25 000 EUR pro Verstoß und bis zu insgesamt 250 000 EUR pro Jahr verhängt.

(3)   Bei Verstößen des Organs oder der Einrichtung der Union gegen die folgenden Bestimmungen werden im Einklang mit Absatz 1 des vorliegenden Artikels Geldbußen in Höhe von bis zu 50 000 EUR pro Verstoß und bis zu insgesamt 500 000 EUR pro Jahr verhängt:

(4)   Verstößt ein Organ oder eine Einrichtung der Union bei gleichen oder miteinander verbundenen oder kontinuierlichen Verarbeitungsvorgängen gegen mehrere Bestimmungen dieser Verordnung oder mehrmals gegen dieselbe Bestimmung dieser Verordnung, so übersteigt der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß.

(5)   Bevor der Europäische Datenschutzbeauftragte Entscheidungen nach diesem Artikel trifft, gibt er dem Organ oder der Einrichtung der Union, gegen das beziehungsweise die sich das von ihm geführte Verfahren richtet, Gelegenheit, sich zu den von ihm erhobenen Einwänden zu äußern. Der Europäische Datenschutzbeauftragte stützt seine Entscheidungen nur auf die Einwände, zu denen sich die Parteien äußern konnten. Die Beschwerdeführer werden eng in das Verfahren einbezogen.

(6)   Die Verteidigungsrechte der betroffenen Parteien werden während des Verfahrens in vollem Umfang gewahrt. Sie haben vorbehaltlich des berechtigten Interesses von natürlichen Personen oder Unternehmen am Schutz ihrer personenbezogenen Daten oder Geschäftsgeheimnisse das Recht, die Akte des Europäischen Datenschutzbeauftragten einzusehen.

(7)   Das Aufkommen aus den nach diesem Artikel verhängten Geldbußen zählt zu den Einnahmen des Gesamthaushalts der Union.

(1)   Operative personenbezogene Daten müssen

(2)   Eine Verarbeitung durch denselben oder einen anderen Verantwortlichen für einen anderen der im Rechtsakt zur Gründung der Einrichtung oder sonstigen Stelle der Union genannten Zwecke als den, für den die operativen personenbezogenen Daten erhoben werden, ist erlaubt, sofern

(3)   Die Verarbeitung durch denselben oder einen anderen Verantwortlichen kann die Archivierung im öffentlichen Interesse und die wissenschaftliche, statistische oder historische Verwendung für die im Rechtsakt zur Gründung der Einrichtung oder sonstigen Stelle der Union genannten Zwecke umfassen, sofern geeignete Garantien für die Rechte und Freiheiten der betroffenen Personen vorhanden sind.

(4)   Der Verantwortliche ist für die Einhaltung der Absätze 1, 2 und 3 verantwortlich und muss deren Einhaltung nachweisen können.

(1)   Die Verarbeitung operativer personenbezogener Daten ist nur rechtmäßig, wenn und soweit die Verarbeitung für die Erfüllung einer Aufgabe durch Einrichtungen und sonstige Stellen der Union bei der Ausübung von Tätigkeiten, die in den Anwendungsbereich des Dritten Teils Titel V Kapitel 4 oder Kapitel 5 AEUV fallen, erforderlich ist und wenn sie sich auf Unionsrecht stützt.

(2)   In spezifischen Rechtsakten der Union zur Regelung der Verarbeitung innerhalb des Anwendungsbereichs dieses Kapitels sind zumindest die Ziele der Verarbeitung, die zu verarbeitenden operativen personenbezogenen Daten, die Zwecke der Verarbeitung und die Fristen für die Speicherung der operativen personenbezogenen Daten oder für die regelmäßige Überprüfung, ob die operativen personenbezogenen Daten weiter gespeichert werden müssen, anzugeben.

(1)   Der Verantwortliche unterscheidet so weit wie möglich zwischen faktenbasierten operativen personenbezogenen Daten und auf persönlichen Einschätzungen beruhenden operativen personenbezogenen Daten.

(2)   Der Verantwortliche ergreift alle angemessenen Maßnahmen, um zu gewährleisten, dass operative personenbezogene Daten, die unrichtig, unvollständig oder nicht mehr aktuell sind, nicht übermittelt oder bereitgestellt werden. Zu diesem Zweck überprüft der Verantwortliche gegebenenfalls und soweit durchführbar, die Qualität der operativen personenbezogenen Daten vor ihrer Übermittlung oder Bereitstellung, beispielsweise durch Konsultation der zuständigen Behörde, von der die Daten stammen. Bei jeder Übermittlung operativer personenbezogener Daten werden nach Möglichkeit die erforderlichen Informationen beigefügt, die es dem Empfänger gestatten, die Richtigkeit, die Vollständigkeit und die Zuverlässigkeit der operativen personenbezogenen Daten sowie deren Aktualitätsgrad zu beurteilen.

(3)   Wird festgestellt, dass unrichtige operative personenbezogene Daten übermittelt worden sind oder die operativen personenbezogenen Daten unrechtmäßig übermittelt worden sind, so ist dies dem Empfänger unverzüglich mitzuteilen. In diesem Fall ist gemäß Artikel 82 eine Berichtigung oder Löschung oder die Einschränkung der Verarbeitung der betreffenden operativen personenbezogenen Daten vorzunehmen.

(1)   Sofern in dem auf den übermittelnden Verantwortlichen anwendbaren Unionsrecht besondere Verarbeitungsbedingungen vorgesehen sind, weist der Verantwortliche den Empfänger der operativen personenbezogenen Daten darauf hin, dass diese Bedingungen gelten und einzuhalten sind.

(2)   Der Verantwortliche beachtet die von einer übermittelnden zuständigen Behörde gemäß Artikel 9 Absätze 3 und 4 der Richtlinie (EU) 2016/680 vorgesehenen besonderen Verarbeitungsbedingungen.

(1)   Die Verarbeitung operativer personenbezogener Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, von biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person sowie operativer personenbezogener Daten, die die Gesundheit oder das Sexualleben oder die sexuelle Orientierung einer natürlichen Person betreffen, ist nur dann erlaubt, wenn sie für operative Zwecke unbedingt erforderlich ist sowie innerhalb des Mandats der betreffenden Einrichtung oder sonstigen Stelle der Union und vorbehaltlich geeigneter Garantien für die Rechte und Freiheiten der betroffenen Person erfolgt. Eine Diskriminierung natürlicher Personen anhand solcher personenbezogenen Daten ist verboten.

(2)   Der Datenschutzbeauftragte ist unverzüglich von der Anwendung dieses Artikels zu unterrichten.

(1)   Eine ausschließlich auf einer automatischen Verarbeitung beruhende Entscheidung — einschließlich Profiling —, die eine nachteilige Rechtsfolge für die betroffene Person hat oder sie erheblich beeinträchtigt, ist verboten, es sei denn, sie ist nach dem Unionsrecht, dem der Verantwortliche unterliegt und das geeignete Garantien für die Rechte und Freiheiten der betroffenen Person bietet, zumindest das Recht auf persönliches Eingreifen seitens des Verantwortlichen, erlaubt.

(2)   Entscheidungen nach Absatz 1 dieses Artikels dürfen nicht auf den besonderen Kategorien personenbezogener Daten nach Artikel 76 beruhen, sofern nicht geeignete Maßnahmen zum Schutz der Rechte, Freiheiten sowie der berechtigten Interessen der betroffenen Person getroffen wurden.

(3)   Profiling, das zur Folge hat, dass natürliche Personen auf der Grundlage von besonderen Datenkategorien nach Artikel 76 diskriminiert werden, ist nach dem Unionsrecht verboten.

(1)   Der Verantwortliche trifft alle angemessenen Maßnahmen, um der betroffenen Person alle Informationen gemäß Artikel 79 sowie alle Mitteilungen gemäß den Artikeln 80 bis 84 und 92, die sich auf die Verarbeitung beziehen, in präziser, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln. Die Übermittlung der Informationen erfolgt in einer beliebigen geeigneten Form, wozu auch die elektronische Übermittlung zählt. Grundsätzlich übermittelt der Verantwortliche die Informationen in derselben Form, in der er den Antrag erhalten hat.

(2)   Der Verantwortliche erleichtert die Ausübung der der betroffenen Person gemäß den Artikeln 79 bis 84 zustehenden Rechte.

(3)   Der Verantwortliche setzt die betroffene Person unverzüglich, in jedem Fall aber spätestens innerhalb von drei Monaten nach Eingang des Antrags, schriftlich darüber in Kenntnis, wie mit ihrem Antrag verfahren wurde.

(4)   Der Verantwortliche stellt die Informationen gemäß Artikel 79 sowie alle gemachten Mitteilungen und getroffenen Maßnahmen gemäß den Artikeln 80 bis 84 und 92 unentgeltlich zur Verfügung. Bei offenkundig unbegründeten oder — insbesondere im Fall von häufiger Wiederholung — exzessiven Anträgen einer betroffenen Person kann sich der Verantwortliche weigern, aufgrund des Antrags tätig zu werden. Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen.

(5)   Hat der Verantwortliche begründete Zweifel an der Identität der natürlichen Person, die den Antrag gemäß den Artikeln 80 oder 82 stellt, so kann er zusätzliche Informationen anfordern, die zur Bestätigung der Identität der betroffenen Person erforderlich sind.

(1)   Der Verantwortliche stellt der betroffenen Person zumindest die folgenden Informationen zur Verfügung:

(2)   Zusätzlich zu den in Absatz 1 genannten Informationen erteilt der Verantwortliche der betroffenen Person in besonderen durch das Unionsrecht vorgesehenen Fällen die folgenden zusätzlichen Informationen, um die Ausübung der Rechte der betroffenen Person zu ermöglichen:

(3)   Der Verantwortliche kann zu nachstehenden Zwecken die Unterrichtung der betroffenen Person gemäß Absatz 2 soweit und solange aufschieben, einschränken oder unterlassen, wie diese Maßnahme in einer demokratischen Gesellschaft erforderlich und verhältnismäßig ist und sofern den Grundrechten und den berechtigten Interessen der betroffenen natürlichen Person Rechnung getragen wird:

(1)   Der Verantwortliche kann zu nachstehenden Zwecken das Recht der betroffenen Person auf Auskunft teilweise oder vollständig einschränken, soweit und solange wie diese teilweise oder vollständige Einschränkung in einer demokratischen Gesellschaft erforderlich und verhältnismäßig ist und den Grundrechten und den berechtigten Interessen der betroffenen natürlichen Person Rechnung getragen wird:

(2)   In den in Absatz 1 genannten Fällen unterrichtet der Verantwortliche die betroffene Person unverzüglich schriftlich über die Verweigerung oder die Einschränkung der Auskunft und die Gründe hierfür. Dies gilt nicht, wenn die Erteilung dieser Informationen einem der in Absatz 1 genannten Zwecke zuwiderliefe. Der Verantwortliche unterrichtet die betroffene Person über die Möglichkeit, gegen die Entscheidung Beschwerde beim Europäischen Datenschutzbeauftragten einzulegen oder einen gerichtlichen Rechtsbehelf beim Gerichtshof einzulegen. Der Verantwortliche dokumentiert die sachlichen oder rechtlichen Gründe für die Entscheidung. Diese Angaben werden dem Europäischen Datenschutzbeauftragten auf Anfrage zur Verfügung gestellt.

(1)   Die betroffene Person hat das Recht, von dem Verantwortlichen unverzüglich die Berichtigung sie betreffender unrichtiger operativer personenbezogener Daten zu verlangen. Unter Berücksichtigung der Zwecke der Verarbeitung hat die betroffene Person das Recht, die Vervollständigung unvollständiger operativer personenbezogener Daten — auch mittels einer ergänzenden Erklärung — zu verlangen.

(2)   Der Verantwortliche löscht operative personenbezogene Daten unverzüglich, und die betroffene Person hat das Recht, von dem Verantwortlichen die unverzügliche Löschung sie betreffender operativer personenbezogener Daten zu verlangen, wenn die Verarbeitung gegen die Artikel 71, Artikel 72 Absatz 1 oder Artikel 76 verstößt oder wenn die operativen personenbezogenen Daten zur Erfüllung einer rechtlichen Verpflichtung gelöscht werden müssen, der der Verantwortliche unterliegt.

(3)   Anstatt Löschung kann der Verantwortliche die Verarbeitung einschränken, wenn

Unterliegt die Verarbeitung einer Einschränkung gemäß Unterabsatz 1 Buchstabe a, unterrichtet der Verantwortliche die betroffene Person, bevor er die Einschränkung aufhebt.

In ihrer Verarbeitung eingeschränkte Daten dürfen nur zu dem Zweck verarbeitet werden, der ihrer Löschung entgegenstand.

(4)   Der Verantwortliche unterrichtet die betroffene Person schriftlich über eine Verweigerung der Berichtigung oder Löschung operativer personenbezogener Daten oder der Einschränkung der Verarbeitung, und über die Gründe für die Verweigerung. Der Verantwortliche kann zu nachstehenden Zwecken die Zurverfügungstellung der Informationen teilweise oder vollständig einschränken, soweit diese Einschränkung in einer demokratischen Gesellschaft erforderlich und verhältnismäßig ist und den Grundrechten und den berechtigten Interessen der betroffenen natürlichen Person Rechnung getragen wird:

Der Verantwortliche unterrichtet die betroffene Person über die Möglichkeit, gegen die Entscheidung Beschwerde beim Europäischen Datenschutzbeauftragten einzulegen oder einen gerichtlichen Rechtsbehelf beim Gerichtshof einzulegen.

(5)   Der Verantwortliche teilt die Berichtigung von unrichtigen operativen personenbezogenen Daten der zuständigen Behörde mit, von der die unrichtigen operativen personenbezogenen Daten stammen.

(6)   Der Verantwortliche setzt in Fällen der Berichtigung, Löschung oder Einschränkung der Verarbeitung nach den Absätzen 1, 2 oder 3 die Empfänger in Kenntnis und weist sie darauf hin, dass sie die ihrer Verantwortung unterliegenden operativen personenbezogenen Daten berichtigen, löschen oder deren Verarbeitung einschränken müssen.

(1)   In den in Artikel 79 Absatz 3, Artikel 81 und Artikel 82 Absatz 4 genannten Fällen können die Rechte der betroffenen Person auch über den Europäischen Datenschutzbeauftragten ausgeübt werden.

(2)   Der Verantwortliche unterrichtet die betroffene Person über die Möglichkeit, ihre Rechte gemäß Absatz 1 über den Europäischen Datenschutzbeauftragten auszuüben.

(3)   Wird das in Absatz 1 genannte Recht ausgeübt, unterrichtet der Europäische Datenschutzbeauftragte die betroffene Person zumindest darüber, dass alle erforderlichen Prüfungen oder eine Überprüfung durch den Europäischen Datenschutzbeauftragten erfolgt sind. Der Europäische Datenschutzbeauftragte hat zudem die betroffene Person über ihr Recht auf einen gerichtlichen Rechtsbehelf beim Gerichtshof zu unterrichten.

(1)   Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen trifft der Verantwortliche sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung angemessene technische und organisatorische Maßnahmen — wie z. B. Pseudonymisierung —, die dafür ausgelegt sind, Datenschutzgrundsätze wie etwa Datenminimierung wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen, um den Anforderungen dieser Verordnung und des Rechtsakts zu seiner Gründung zu genügen und die Rechte der betroffenen Personen zu schützen.

(2)   Der Verantwortliche trifft geeignete technische und organisatorische Maßnahmen, die sicherstellen, dass durch Voreinstellung nur operative personenbezogene Daten verarbeitet werden, die dem Verarbeitungszweck angemessen, erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sind. Diese Verpflichtung gilt für die Menge der erhobenen operativen personenbezogenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit. Solche Maßnahmen müssen insbesondere sicherstellen, dass operative personenbezogene Daten durch Voreinstellungen nicht ohne Eingreifen einer Person einer unbestimmten Zahl von natürlichen Personen zugänglich gemacht werden.

(1)   Legen zwei oder mehr Verantwortliche oder ein oder mehrere Verantwortliche zusammen mit einem oder mehreren Verantwortlichen, die nicht Organe oder Einrichtungen der Union sind, gemeinsam die Zwecke der und die Mittel zur Verarbeitung fest, so sind sie gemeinsam Verantwortliche. Sie legen in einer Vereinbarung in transparenter Form ihre jeweiligen Zuständigkeiten bei der Einhaltung ihrer Datenschutzpflichten fest, insbesondere was die Ausübung der Rechte der betroffenen Person und ihre jeweiligen Informationspflichten nach Artikel 79 angeht, sofern und soweit die jeweiligen Zuständigkeiten der gemeinsam Verantwortlichen nicht durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen die gemeinsam Verantwortlichen unterliegen, festgelegt sind. In der Regelung kann eine Anlaufstelle für betroffene Personen angegeben werden.

(2)   Die Vereinbarung nach Absatz 1 muss die jeweiligen tatsächlichen Funktionen und Beziehungen der gemeinsam Verantwortlichen gegenüber der betroffenen Person gebührend widerspiegeln. Das wesentliche der Vereinbarung wird der betroffenen Person zur Verfügung gestellt.

(3)   Ungeachtet der Einzelheiten der Vereinbarung gemäß Absatz 1 kann die betroffene Person ihre Rechte im Rahmen dieser Verordnung bei und gegenüber jedem einzelnen der Verantwortlichen geltend machen.

(1)   Soll eine Verarbeitung im Namen eines Verantwortlichen vorgenommen werden, so arbeitet dieser nur mit Auftragsverarbeitern zusammen, die hinreichende Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen dieser Verordnung und des Rechtsakts zur Gründung des Auftragsverarbeiters erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet.

(2)   Der Auftragsverarbeiter nimmt keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen in Anspruch. Im Falle einer allgemeinen schriftlichen Genehmigung unterrichtet der Auftragsverarbeiter den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung anderer Auftragsverarbeiter, wodurch der Verantwortliche die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben.

(3)   Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags, oder eines anderen Rechtsinstruments nach Unionsrecht oder dem Recht der Mitgliedstaaten, der bzw. das den Auftragsverarbeiter an den Verantwortlichen bindet und in dem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der operativen personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festgelegt sind. Dieser Vertrag bzw. dieses andere Rechtsinstrument sieht insbesondere vor, dass der Auftragsverarbeiter

(4)   Der Vertrag oder das andere Rechtsinstrument im Sinne von Absatz 3 ist schriftlich abzufassen, was auch in einem elektronischen Format erfolgen kann.

(5)   Ein Auftragsverarbeiter, der unter Verstoß gegen diese Verordnung oder den Rechtsakt zur Gründung des Verantwortlichen die Zwecke und die Mittel der Verarbeitung bestimmt, gilt in Bezug auf diese Verarbeitung als Verantwortlicher.

(1)   Der Verantwortliche protokolliert die folgenden Verarbeitungsvorgänge in automatisierten Verarbeitungssystemen: Erhebung, Veränderung, Zugriff, Abfrage, Offenlegung einschließlich Übermittlung, Kombination und Löschung von operativen personenbezogenen Daten. Die Protokolle über Abfragen und Offenlegungen müssen es ermöglichen, die Begründung, das Datum und die Uhrzeit dieser Vorgänge, die Identifizierung der Person, die die operativen personenbezogenen Daten abgefragt oder offengelegt hat, und so weit wie möglich die Identität des Empfängers solcher operativen personenbezogenen Daten festzustellen.

(2)   Die Protokolle werden ausschließlich zur Überprüfung der Rechtmäßigkeit der Datenverarbeitung, der Eigenüberwachung, der Sicherstellung der Integrität und Sicherheit der operativen personenbezogenen Daten sowie für Strafverfahren verwendet. Die Protokolle müssen nach drei Jahren gelöscht werden, sofern sie nicht für eine laufende Kontrolle benötigt werden.

(3)   Der Verantwortliche stellt die Protokolle seinem Datenschutzbeauftragten und dem Europäischen Datenschutzbeauftragten auf Anforderung zur Verfügung.

(1)   Hat eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so führt der Verantwortliche vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz operativer personenbezogener Daten durch.

(2)   Die Folgenabschätzung gemäß Absatz 1 trägt den Rechten und den berechtigten Interessen der betroffenen Personen und sonstiger Betroffener Rechnung und enthält zumindest eine allgemeine Beschreibung der geplanten Verarbeitungsvorgänge und eine Bewertung der in Bezug auf die Rechte und Freiheiten der betroffenen Personen bestehenden Risiken sowie der geplanten Abhilfemaßnahmen, Garantien, Sicherheitsvorkehrungen und Verfahren, durch die der Schutz operativer personenbezogener Daten sichergestellt und der Nachweis dafür erbracht wird, dass die Datenschutzvorschriften eingehalten werden.

(1)   Der Verantwortliche konsultiert vor der Verarbeitung in neu anzulegenden Dateisystemen den Europäischen Datenschutzbeauftragten, wenn

(2)   Der Europäische Datenschutzbeauftragte kann eine Liste der Verarbeitungsvorgänge erstellen, die der Pflicht zur vorherigen Konsultation nach Absatz 1 unterliegen.

(3)   Der Verantwortliche legt dem Europäischen Datenschutzbeauftragten die in Artikel 89 genannte Datenschutz-Folgenabschätzung vor und übermittelt ihm auf Anfrage alle sonstigen Informationen, die er benötigt, um die Ordnungsgemäßheit der Verarbeitung sowie insbesondere die in Bezug auf den Schutz der operativen personenbezogenen Daten der betroffenen Person bestehenden Gefahren und die diesbezüglichen Garantien bewerten zu können.

(4)   Falls der Europäische Datenschutzbeauftragte der Auffassung ist, dass die geplante Verarbeitung gemäß Absatz 1 nicht im Einklang mit dieser Verordnung oder dem Rechtsakt zur Gründung der betreffenden Einrichtung oder sonstigen Stelle der Union stünde, insbesondere weil der Verantwortliche das Risiko nicht ausreichend ermittelt oder nicht ausreichend eingedämmt hat, unterbreitet er dem Verantwortlichen innerhalb eines Zeitraums von bis zu sechs Wochen nach Erhalt des Ersuchens um Konsultation entsprechende schriftliche Empfehlungen. Diese Frist kann unter Berücksichtigung der Komplexität der geplanten Verarbeitung um einen weiteren Monat verlängert werden. Der Europäische Datenschutzbeauftragte unterrichtet den Verantwortlichen über eine solche Fristverlängerung innerhalb eines Monats nach Eingang des Antrags auf Konsultation zusammen mit den Gründen für die Verzögerung.

(1)   Der Verantwortliche und der Auftragsverarbeiter treffen unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, insbesondere im Hinblick auf die Verarbeitung besonderer Kategorien operativer personenbezogener Daten.

(2)   Der Verantwortliche und der Auftragsverarbeiter ergreifen im Hinblick auf die automatisierte Verarbeitung nach einer Risikobewertung Maßnahmen, die Folgendes bezwecken:

(1)   Der Verantwortliche meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich, und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, dem Europäischen Datenschutzbeauftragten, es sei denn, die Verletzung des Schutzes personenbezogener Daten führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Erfolgt die Meldung an den Europäischen Datenbeauftragten nicht binnen 72 Stunden, so ist ihr eine Begründung für die Verzögerung beizufügen.

(2)   Die Meldung nach Absatz 1 enthält zumindest folgende Informationen:

(3)   Wenn und soweit die in Absatz 2 genannten Informationen nicht zur gleichen Zeit bereitgestellt werden können, können diese Informationen ohne unangemessene weitere Verzögerung schrittweise zur Verfügung gestellt werden.

(4)   Der Verantwortliche dokumentiert Verletzungen des Schutzes personenbezogener Daten nach Absatz 1 einschließlich aller im Zusammenhang mit der Verletzung des Schutzes personenbezogener Daten stehenden Fakten, deren Auswirkungen und der ergriffenen Abhilfemaßnahmen. Anhand dieser Dokumentation muss der Europäische Datenschutzbeauftragte die Einhaltung dieses Artikels überprüfen können.

(5)   Sind von der Verletzung des Schutzes personenbezogener Daten operative personenbezogene Daten betroffen, die von oder an zuständige Behörden übermittelt wurden, teilt der Verantwortliche die in Absatz 2 genannten Informationen den zuständigen Behörden unverzüglich mit.

(1)   Hat die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so benachrichtigt der Verantwortliche die betroffene Person unverzüglich von der Verletzung.

(2)   Die in Absatz 1 dieses Artikels genannte Benachrichtigung der betroffenen Person beschreibt in klarer und einfacher Sprache die Art der Verletzung des Schutzes personenbezogener Daten und enthält zumindest die in Artikel 92 Absatz 2 Buchstaben b, c und d genannten Informationen und Empfehlungen.

(3)   Die Benachrichtigung der betroffenen Person gemäß Absatz 1 ist nicht erforderlich, wenn eine der folgenden Bedingungen erfüllt ist:

(4)   Wenn der Verantwortliche die betroffene Person nicht bereits über die Verletzung des Schutzes personenbezogener Daten benachrichtigt hat, kann der Europäische Datenschutzbeauftragte unter Berücksichtigung der Wahrscheinlichkeit, mit der die Verletzung des Schutzes personenbezogener Daten zu einem hohen Risiko führt, von dem Verantwortlichen verlangen, dies nachzuholen oder er kann feststellen, dass bestimmte der in Absatz 3 genannten Voraussetzungen erfüllt sind.

(5)   Die Benachrichtigung der betroffenen Person gemäß Absatz 1 dieses Artikels kann unter den in Artikel 79 Absatz 3 genannten Voraussetzungen und aus den dort genannten Gründen aufgeschoben, eingeschränkt oder unterlassen werden.

(1)   Vorbehaltlich der in den Rechtsakten zur Gründung der Einrichtung oder sonstigen Stelle der Union festgelegten Einschränkungen und Bedingungen darf der Verantwortliche operative personenbezogene Daten an eine Behörde eines Drittlandes oder an eine internationale Organisation nur übermitteln, soweit dies für die Erfüllung der Aufgaben des Verantwortlichen erforderlich ist und wenn die in diesem Artikel festgelegten Bedingungen eingehalten werden, nämlich:

(2)   In den Rechtsakten zur Gründung der Einrichtungen oder sonstigen Stellen der Union können spezifischere Bestimmungen über die Bedingungen für die internationale Übermittlung operativer personenbezogener Daten beibehalten oder eingeführt werden, insbesondere über die Datenübermittlung auf der Grundlage geeigneter Garantien und über Ausnahmen für bestimmte Fälle.

(3)   Der Verantwortliche veröffentlicht auf seiner Website ein Verzeichnis der in Absatz 1 Buchstabe a genannten Angemessenheitsbeschlüsse, Übereinkünfte, Verwaltungsvereinbarungen und sonstigen Rechtsinstrumente, die sich auf die Übermittlung operativer personenbezogener Daten gemäß Absatz 1 beziehen und hält dieses Verzeichnis auf dem neuesten Stand.

(4)   Der Verantwortliche führt detaillierte Aufzeichnungen über alle Übermittlungen gemäß diesem Artikel.

(1)   Die Kommission wird von dem mit Artikel 93 der Verordnung (EU) 2016/679 eingesetzten Ausschuss unterstützt. Dieser Ausschuss ist ein Ausschuss im Sinne der Verordnung (EU) Nr. 182/2011.

(2)   Wird auf diesen Absatz Bezug genommen, so gilt Artikel 5 der Verordnung (EU) Nr. 182/2011.

(1)   Bis zum 30. April 2022 überprüft die Kommission auf der Grundlage der Verträge erlassene Rechtsakte, die die Verarbeitung operativer personenbezogener Daten durch Einrichtungen und sonstige Stellen der Union bei der Ausübung von Tätigkeiten, die in den Anwendungsbereich des Dritten Teils Titel V Kapitel 4 oder Kapitel 5 AEUV fallen, regeln,

(2)   Auf der Grundlage der Überprüfung kann die Kommission, um einen einheitlichen und kohärenten Schutz natürlicher Personen bei der Verarbeitung sicherzustellen, geeignete Gesetzgebungsvorschläge insbesondere im Hinblick auf die Anwendung des Kapitels IX dieser Verordnung auf Europol und die Europäische Staatsanwaltschaft und einschließlich, falls erforderlich, zu Anpassungen des Kapitels IX dieser Verordnung vorlegen.

(1)   Der Beschluss 2014/886/EU des Europäischen Parlaments und des Rates (20) und die laufende Amtszeit des Europäischen Datenschutzbeauftragten und des stellvertretenden Datenschutzbeauftragten bleiben von dieser Verordnung unberührt.

(2)   Der stellvertretende Datenschutzbeauftragte ist hinsichtlich seiner Dienstbezüge, seiner Zulagen, seines Ruhegehalts und sonstiger Vergütungen, die anstelle von Dienstbezügen gewährt werden, dem Kanzler des Gerichtshofs gleichgestellt.

(3)   Artikel 53 Absätze 4, 5 und 7 sowie die Artikel 55 und 56 gelten für den derzeitigen stellvertretenden Datenschutzbeauftragten bis zum Ende seiner Amtszeit.

(4)   Der stellvertretende Datenschutzbeauftragte unterstützt den Europäischen Datenschutzbeauftragten bei der Wahrnehmung seiner Aufgaben und vertritt ihn im Falle seiner Abwesenheit oder Verhinderung bis zum Ende der Amtszeit des derzeitigen stellvertretenden Datenschutzbeauftragten.

(1)   Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.

(2)   Diese Verordnung findet jedoch auf die Verarbeitung personenbezogener Daten durch Eurojust ab dem 12. Dezember 2019 Anwendung.