1. Einleitung

Neben der Verarbeitung personenbezogener Daten von Personen, die Beschwerden einreichen, kann der Bürgerbeauftragte je nach Sachlage personenbezogene Daten in Bezug auf andere Personen verarbeiten müssen ("betroffene Dritte").

Nach Eingang einer Beschwerde prüft der Bürgerbeauftragte, ob die bereitgestellten Informationen personenbezogene Daten Dritter enthalten, d. h. Informationen über eine identifizierte oder identifizierbare natürliche Person mit Ausnahme des Beschwerdeführers.

Der Begriff der personenbezogenen Daten ist sehr weit gefasst [1]. Beispielsweise enthält es Informationen über die Identität und die persönlichen Merkmale einer Person, Aussagen und Meinungen sowie den Zivil- und Beschäftigungsstatus [2].

Die vorliegende Richtlinie betrifft die Art und Weise, wie der Bürgerbeauftragte der Pflicht nachkommt, betroffene Personen über die Verarbeitung ihrer personenbezogenen Daten im Rahmen einer Beschwerde oder Untersuchung zu informieren, wenn die Daten nicht bei diesen betroffenen Personen eingeholt wurden. Bei der Ausarbeitung dieser Politik hat der Bürgerbeauftragte die Leitlinien des Europäischen Datenschutzbeauftragten (im Folgenden „EDSB“)[3] berücksichtigt.

2. Die Informationspflicht

Werden die personenbezogenen Daten einer dritten betroffenen Person in eine Beschwerde oder andere Dokumente im Zusammenhang mit Untersuchungen aufgenommen, so ist der Bürgerbeauftragte verpflichtet, der betreffenden Person bestimmte Informationen [4] zur Verfügung zu stellen, und zwar:

a) die Identität und die Kontaktdaten des für die Verarbeitung Verantwortlichen, d. h. des Bürgerbeauftragten [5];

b) die Kontaktdaten des Datenschutzbeauftragten des Bürgerbeauftragten;

c) den Zweck der Verarbeitung (z. B. Bearbeitung einer Beschwerde) und die Rechtsgrundlage für die Verarbeitung (z. B. die Vorschriften für die Verarbeitung personenbezogener Daten durch die EU-Organe [6] und/oder das Statut des Bürgerbeauftragten [7]);

d) die Kategorien der betreffenden Daten (z. B. Identität und Beschäftigungsstatus der betreffenden Person);

e) die Empfänger der Daten [8];

f) gegebenenfalls die Absicht des Bürgerbeauftragten, die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln, sowie das Bestehen oder Nichtvorhandensein eines Angemessenheitsbeschlusses der Kommission oder geeigneter oder geeigneter Garantien und die Mittel, um eine Kopie davon zu erhalten oder wenn sie zur Verfügung gestellt wurden; und

g) die folgenden weiteren Informationen, die erforderlich sind, um eine faire und transparente Verarbeitung der personenbezogenen Daten der Person zu gewährleisten:

i) die Fristen für die Speicherung der einschlägigen Daten;

ii) die Tatsache, dass die Person das Recht auf Auskunft, Berichtigung, Löschung oder Einschränkung der Verarbeitung ihrer personenbezogenen Daten oder das Recht auf Widerspruch gegen die Verarbeitung hat [9];

iii) das Recht der Person, sich an den EDSB zu wenden, und

iv) die Herkunft der Daten (gegebenenfalls einschließlich öffentlich zugänglicher Quellen).

3. Die Politik

A - Außerhalb des Mandats Beschwerden

Stellt die Bürgerbeauftragte fest, dass eine Beschwerde, die personenbezogene Daten Dritter enthält, nicht in ihren Zuständigkeitsbereich fällt, informiert sie den Beschwerdeführer entsprechend und berät ihn nach Möglichkeit über die Stelle, die die Beschwerde bearbeiten könnte. Wenn der Beschwerdeführer einer Übertragung seiner Beschwerde zugestimmt hat, wenn der Bürgerbeauftragte nicht in der Lage ist, diese zu bearbeiten, leitet der Bürgerbeauftragte die Beschwerde an die zuständige Stelle (z. B. einen nationalen Bürgerbeauftragten) weiter.

In solchen Fällen ist der Bürgerbeauftragte nicht der Ansicht, dass die Bereitstellung der unter Nummer 2 genannten Einzelinformationen erforderlich ist, da i) der Zweck, zu dem der Bürgerbeauftragte diese personenbezogenen Daten verarbeitet (Bewertung, ob die Beschwerde im Rahmen des Mandats des Bürgerbeauftragten liegt und, falls nicht, eine mögliche Übermittlung der Beschwerde an eine andere Stelle), nicht die Identifizierung der betroffenen Drittperson durch den Bürgerbeauftragten erfordert [10]; und ii) die individuelle Unterrichtung betroffener Dritter darüber, dass der Bürgerbeauftragte Daten über sie verarbeiten kann, selbst wenn dies möglich wäre, würde zu einer unnötigen Vervielfachung personenbezogener Daten führen und daher einen unverhältnismäßigen Aufwand bedeuten [11].

Stattdessen veröffentlicht die Bürgerbeauftragte auf ihrer Website einen Informationsvermerk, in dem sie die Öffentlichkeit darüber informiert, dass sie im Rahmen ihrer Bearbeitung von Beschwerden möglicherweise personenbezogene Daten anderer Personen als der Beschwerdeführerin verarbeitet. Dieser Vermerk enthält einen Link zu dieser Richtlinie und zu einer Erklärung zur Verarbeitung personenbezogener Daten im Zusammenhang mit der Bearbeitung von Beschwerden und Untersuchungen durch den Bürgerbeauftragten. Diese Aufzeichnung, die vorliegende Richtlinie und die Erklärung werden als ausreichend erachtet, um Personen, deren personenbezogene Daten der Bürgerbeauftragte verarbeiten kann, alle relevanten Informationen zur Verfügung zu stellen [12] und es ihnen zu ermöglichen, Zugang, Berichtigung, Löschung und Einschränkung der Verarbeitung ihrer personenbezogenen Daten zu beantragen, wenn sie dies wünschen [13].

B - Im Rahmen des Mandats, aber unzulässig und zulässig keine Beschwerdegründe

In den oben genannten Fällen ist der Bürgerbeauftragte nicht der Auffassung, dass die Bereitstellung der unter Nummer 2 genannten Einzelinformationen erforderlich ist, da die individuelle Unterrichtung betroffener Dritter darüber, dass der Bürgerbeauftragte möglicherweise Daten über sie verarbeitet, selbst wenn dies möglich wäre, zu einer unnötigen Vervielfachung personenbezogener Daten führen würde, was angesichts der begrenzten Maßnahmen, d. h. des Fehlens einer Übermittlung der Beschwerde außerhalb des Büros des Bürgerbeauftragten, einen unverhältnismäßigen Aufwand bedeuten würde [14].

Der auf der Website des Bürgerbeauftragten veröffentlichte Informationsvermerk und die vorliegende Richtlinie sowie die Erklärung werden als ausreichend erachtet, um Personen, deren personenbezogene Daten der Bürgerbeauftragte verarbeiten kann, alle relevanten Informationen zur Verfügung zu stellen [15] und es ihnen zu ermöglichen, Zugang, Berichtigung, Löschung und Einschränkung der Verarbeitung ihrer personenbezogenen Daten zu beantragen, wenn sie dies wünschen [16].

C - Anfragen

In den oben genannten Fällen muss der Bürgerbeauftragte zunächst entscheiden, ob die Daten, die sich auf Dritte beziehen, für den Gegenstand der Untersuchung relevant sind oder nicht. Eine Möglichkeit, dies zu tun, besteht darin, zu prüfen, ob der Bürgerbeauftragte die Untersuchung anders behandeln würde, wenn die dritte betroffene Person nicht in der Untersuchungsakte erwähnt oder identifiziert worden wäre.

Einschlägige Daten könnten beispielsweise die frühere Berufserfahrung des EU-Beamten sein, der Mitglied eines Prüfungsausschusses ist, dem ein Interessenkonflikt vorgeworfen wird. Irrelevante Daten könnten z. B. Daten sein, die sich auf den Familienstand dieses EU-Beamten beziehen. Weitere irrelevante Daten, die wahrscheinlich während der Untersuchung des Bürgerbeauftragten in rein zufälliger Weise erhoben werden, sind beispielsweise die Namen anderer EU-Beamter, die in den Entscheidungen und Dokumenten des zuständigen Organs erwähnt werden, die während der Untersuchung des Bürgerbeauftragten gesammelt wurden.

Die Entscheidung über die Relevanz dieser Daten und die zugrunde liegende Analyse werden in der Zusammenfassung dargelegt, die in der einschlägigen Fallakte des Fallbearbeitungssystems (CMS) des Bürgerbeauftragten registriert ist.

Irrelevante Daten

In Fällen, in denen die Daten für den Gegenstand der Untersuchung irrelevant sind, hält der Bürgerbeauftragte die Bereitstellung individueller Informationen an den Dritten nicht für erforderlich, da i) der Zweck, zu dem der Bürgerbeauftragte diese personenbezogenen Daten verarbeitet (Behandlung der Beschwerde/Untersuchung), nicht die Identifizierung der betroffenen Dritten durch den Bürgerbeauftragten erfordert [17]; und ii) eine individuelle Unterrichtung dieser dritten betroffenen Personen, auch wenn dies möglich ist, zu einer unnötigen Vervielfachung personenbezogener Daten führen und einen unverhältnismäßigen Aufwand mit sich bringen würde, da der Bürgerbeauftragte die betreffenden Daten im Rahmen seiner Untersuchung nicht verwendet [18]. Offensichtlich irrelevante Daten, die im Text der Beschwerde enthalten sind, werden vom Bürgerbeauftragten nicht weiterverarbeitet [19].

Der auf der Website des Bürgerbeauftragten veröffentlichte Informationsvermerk, die vorliegende Richtlinie und die Erklärung werden als ausreichend erachtet, um Personen, deren personenbezogene Daten der Bürgerbeauftragte verarbeiten kann, alle relevanten Informationen zur Verfügung zu stellen [20] und es ihnen zu ermöglichen, Zugang, Berichtigung, Löschung und Einschränkung der Verarbeitung ihrer personenbezogenen Daten zu beantragen, wenn sie dies wünschen [21].

Relevante Daten

Wenn die Daten relevant sind, erwägt der Bürgerbeauftragte, der dritten betroffenen Person die Informationen gemäß Nummer 2 zur Verfügung zu stellen.

Lässt die Prüfung der Beschwerde jedoch den Schluss zu, dass die dritte betroffene Person bereits über die Informationen verfügt (wenn beispielsweise der EU-Beamte, dem ein Interessenkonflikt vorgeworfen wird, über eine vollständige Kopie der Beschwerde und der Belege verfügt)[22] oder dass die Bereitstellung der Informationen unmöglich ist oder einen unverhältnismäßigen Aufwand erfordert (wenn beispielsweise die betreffende Person in der Zwischenzeit den Dienst verlassen hat und nicht zurückverfolgt werden kann)[23], so erfasst der Bürgerbeauftragte die detaillierte Bewertung, die zu dieser Schlussfolgerung führt, in der Zusammenfassung des Falls im CMS und der auf der Website des Bürgerbeauftragten veröffentlichte Vermerk zusammen mit der vorliegenden Strategie und Erklärung als ausreichend, um Personen, deren personenbezogene Daten der Bürgerbeauftragte verarbeiten kann, die erforderlichen Informationen zur Verfügung zu stellen [24] und ihnen den Zugang, die Berichtigung, die Löschung und die Einschränkung der Verarbeitung ihrer personenbezogenen Daten zu ermöglichen, wenn sie dies wünschen [25].

In Fällen, in denen die dritte betroffene Person nicht über die Informationen verfügt und eine Unterrichtung möglich ist und keinen unverhältnismäßigen Aufwand erfordert, prüft der Bürgerbeauftragte, ob die Unterrichtung der dritten betroffenen Person die Verwirklichung der Ziele dieser Verarbeitung wahrscheinlich unmöglich macht oder ernsthaft beeinträchtigt, nämlich im Anschluss an die Ausübung eines Grundrechts (eine Beschwerde beim Bürgerbeauftragten) oder auf eigene Initiative des Bürgerbeauftragten mögliche Missstände bei der Tätigkeit der Organe, Einrichtungen oder sonstigen Stellen der Union ordnungsgemäß zu untersuchen und darüber zu entscheiden [26].

Dies wäre beispielsweise der Fall, wenn die dritte betroffene Person in der Lage wäre, Einfluss auf die Untersuchung zu nehmen: z. B. durch das Verbergen wichtiger Beweise oder durch Vergeltungsmaßnahmen gegen den Beschwerdeführer, weil er ein Grundrecht (Beschwerde beim Bürgerbeauftragten) ausgeübt hat, was sich auf die Untersuchung auswirkt (wobei der Beschwerdeführer beispielsweise nicht mehr bereit ist, zur Untersuchung beizutragen).

Kommt der Bürgerbeauftragte im Anschluss an die vorstehende Analyse zu dem Schluss, dass die Bereitstellung von Informationen an die dritte betroffene Person die Untersuchung und die Fähigkeit des Bürgerbeauftragten, eine Entscheidung über die Vorwürfe eines Missstands in der Verwaltungstätigkeit zu treffen, wahrscheinlich unmöglich machen oder ernsthaft beeinträchtigen wird, werden die Bewertung und die daraus resultierende Schlussfolgerung in der Verfahrensakte im CMS festgehalten. Der auf der Website des Bürgerbeauftragten veröffentlichte Vermerk wird zusammen mit dieser Strategie und Erklärung als ausreichend erachtet, um Personen, deren personenbezogene Daten der Bürgerbeauftragte in solchen Ausnahmefällen verarbeiten kann [27], die erforderlichen Informationen zur Verfügung zu stellen und ihnen die Möglichkeit zu geben, Zugang zu ihren personenbezogenen Daten sowie deren Berichtigung, Löschung und Einschränkung zu beantragen, wenn sie dies wünschen [28].

Kommt der Bürgerbeauftragte hingegen zu dem Schluss, dass die Bereitstellung von Informationen an die dritte betroffene Person die Untersuchung und die Fähigkeit des Bürgerbeauftragten, eine Entscheidung über die Vorwürfe eines Missstands in der Verwaltungstätigkeit zu treffen, wahrscheinlich nicht unmöglich machen oder ernsthaft beeinträchtigen wird, stellt er der dritten betroffenen Person die unter Nummer 2 genannten Informationen zur Verfügung, sobald die Prüfung der Beschwerde abgeschlossen ist und das Organ informiert wird [29].

4. Beiträge als Reaktion auf die öffentlichen Konsultationen des Bürgerbeauftragten

Die in dieser Richtlinie dargelegten Grundsätze gelten auch für alle personenbezogenen Daten, die im Rahmen der öffentlichen Konsultationen des Bürgerbeauftragten eingehen.

Emily O'Reilly

Straßburg, den 16.7.2019

[1] Artikel 3 Absatz 1 der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG (ABl. 2018, L 295, S. 39): „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person“) beziehen; eine identifizierbare natürliche Person ist eine Person, die direkt oder indirekt, insbesondere durch Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.“

[2] Eine detaillierte Analyse des Begriffs der personenbezogenen Daten findet sich in der Stellungnahme 4/2007 der Artikel-29-Datenschutzgruppe, die hier abrufbar ist: http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2007/wp136_en.pdf

[3] https://secure.edps.europa.eu/EDPSWEB/

[4] Art. 16 Abs. 1 und 2 der Verordnung 2018/1725.

[5] Art. 3 Abs. 8 der Verordnung 2018/1725: „„Verantwortlicher“das Organ oder die Einrichtung der Union oder die Generaldirektion oder jede andere Organisationseinheit, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet; wenn die Zwecke und Mittel dieser Verarbeitung in einem bestimmten Rechtsakt der Union festgelegt sind, kann der für die Verarbeitung Verantwortliche oder die spezifischen Kriterien für seine Benennung im Unionsrecht vorgesehen werden.“

[6] Artikel 5 der Verordnung (EU) 2018/1725.

[7] Beschluss des Europäischen Parlaments vom 9. März 1994 über die Regelungen und allgemeinen Bedingungen für die Ausübung der Aufgaben des Bürgerbeauftragten (94/262/EGKS, EG, Euratom), ABl. 1994, L 113, S. 15, geändert durch seine Beschlüsse vom 14. März 2002, ABl. 2002, L 92, S. 13, und vom 18. Juni 2008, ABl. 2008, L 189, S. 25.

[8] Art. 3 Abs. 13 der Verordnung 2018/1725: „Empfänger“eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, der die personenbezogenen Daten offengelegt werden, unabhängig davon, ob es sich um einen Dritten handelt oder nicht. Behörden, die im Rahmen einer bestimmten Untersuchung gemäß dem Unionsrecht oder dem Recht der Mitgliedstaaten möglicherweise personenbezogene Daten erhalten, gelten jedoch nicht als Empfänger; die Verarbeitung dieser Daten durch diese Behörden erfolgt im Einklang mit den geltenden Datenschutzvorschriften entsprechend den Zwecken der Verarbeitung.“

[9] Artikel 17 bis 20 und Artikel 23 der Verordnung (EU) 2018/1725.

[10] Artikel 12 Absatz 1 der Verordnung (EU) 2018/1725: „Erfordern die Zwecke, für die ein für die Verarbeitung Verantwortlicher personenbezogene Daten verarbeitet, nicht oder nicht mehr die Identifizierung einer betroffenen Person durch den für die Verarbeitung Verantwortlichen, so ist der für die Verarbeitung Verantwortliche nicht verpflichtet, zusätzliche Informationen aufzubewahren, zu erfassen oder zu verarbeiten, um die betroffene Person allein zum Zweck der Einhaltung dieser Verordnung zu identifizieren.“

[11] Art. 16 Abs. 5 Buchst. b der Verordnung 2018/1725: „Die Absätze 1 bis 4 finden keine Anwendung, wenn und soweit sich die Bereitstellung dieser Informationen als unmöglich erweist oder mit einem unverhältnismäßigen Aufwand verbunden wäre ...“

[12] Art. 16 Abs. 6 der Verordnung 2018/1725: „In den in Absatz 5 Buchstabe b genannten Fällen ergreift der Verantwortliche geeignete Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person, einschließlich der öffentlichen Zugänglichmachung der Informationen.“

[13] Art. 12 Abs. 2 der Verordnung 2018/1725: „Ist der Verantwortliche in den in Absatz 1 dieses Artikels genannten Fällen in der Lage nachzuweisen, dass er nicht in der Lage ist, die betroffene Person zu identifizieren, so unterrichtet er die betroffene Person nach Möglichkeit entsprechend. In solchen Fällen finden die Artikel 17 bis 22 keine Anwendung, es sei denn, die betroffene Person stellt zur Ausübung ihrer Rechte aus diesen Artikeln zusätzliche Informationen zur Verfügung, die ihre Identifizierung ermöglichen.“ Dies könnte beispielsweise der Fall sein, wenn eine dritte betroffene Person Zugang zu ihren vom Bürgerbeauftragten verarbeiteten personenbezogenen Daten beantragt und der Bürgerbeauftragte sie nach einer Abfrage im Fallbearbeitungssystem des Bürgerbeauftragten darüber informiert, dass ihre Daten nicht gefunden werden konnten. Legt die betroffene Person in der Folge jedoch zusätzliche Informationen vor, beispielsweise die Nummer der Beschwerde oder den Namen des Beschwerdeführers, kann dies die Identifizierung der betroffenen Person in den Akten des Bürgerbeauftragten und die Entscheidung des Bürgerbeauftragten über den Antrag ermöglichen.

[14] Art. 16 Abs. 5 Buchst. b der Verordnung 2018/1725.

[15] Artikel 16 Absatz 6 der Verordnung (EU) 2018/1725.

[16] Art. 12 Abs. 2 der Verordnung 2018/1725. Siehe Fußnote 13.

[17] Art. 12 Abs. 1 der Verordnung 2018/1725

[18] Art. 16 Abs. 5 Buchst. b der Verordnung 2018/1725.

[19] Es ist möglich, dass Daten, die in einem frühen Stadium nicht als relevant für den Gegenstand einer Untersuchung angesehen werden können, letztlich jedoch für die Zwecke der Untersuchung verwendet werden können und sich auf ihr Ergebnis auswirken.

[20] Artikel 16 Absatz 6 der Verordnung (EU) 2018/1725.

[21] Art. 12 Abs. 2 der Verordnung 2018/1725. Siehe Fußnote 13.

[22] Art. 16 Abs. 5 Buchst. a der Verordnung 2018/1725: „Die Absätze 1 bis 4 finden keine Anwendung, wenn und soweit  die betroffene Person bereits über die Informationen verfügt ...“

[23] Art. 16 Abs. 5 Buchst. b der Verordnung 2018/1725: „Die Absätze 1 bis 4 finden keine Anwendung, wenn und soweit sich die Bereitstellung dieser Informationen als unmöglich erweist oder mit einem unverhältnismäßigen Aufwand verbunden wäre ...“

[24] Artikel 16 Absatz 6 der Verordnung (EU) 2018/1725.

[25] Art. 12 Abs. 2 der Verordnung 2018/1725. Siehe Fußnote 13.

[26] Art. 16 Abs. 5 Buchst. b der Verordnung 2018/1725: „Die Absätze 1 bis 4 finden keine Anwendung, wenn und soweit ... die Verpflichtung nach Absatz 1 dieses Artikels geeignet ist, die Verwirklichung der Ziele dieser Verarbeitung unmöglich zu machen oder ernsthaft zu beeinträchtigen ...“

[27] Artikel 16 Absatz 6 der Verordnung (EU) 2018/1725.

[28] Art. 12 Abs. 2 der Verordnung 2018/1725. Siehe Fußnote 13.

[29] Art. 16 Abs. 3 der Verordnung 2018/1725: „Der für die Verarbeitung Verantwortliche stellt die in den Absätzen 1 und 2 genannten Informationen zur Verfügung: ... c) wenn eine Weitergabe an einen anderen Empfänger vorgesehen ist, spätestens zum Zeitpunkt der erstmaligen Weitergabe der personenbezogenen Daten.“