Artikel 76 - Verarbeitung personenbezogener Daten
| (1) | Soweit zur Verhinderung von Geldwäsche und Terrorismusfinanzierung unbedingt erforderlich, dürfen Verpflichtete die in Artikel 9 Absatz 1 der Verordnung (EU) 2016/679 genannten besonderen Kategorien personenbezogener Daten sowie die in Artikel 10 jener Verordnung genannten personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten verarbeiten, sofern dabei die in den Absätzen 2 und 3 dieses Artikels vorgesehenen Sicherheitsmaßnahmen getroffen sind. | |
| (2) | Verpflichtete dürfen die unter Artikel 9 der Verordnung (EU) 2016/679 fallenden Daten verarbeiten, sofern: | |
| a) | sie ihre Kunden oder angehenden Kunden darüber unterrichten, dass diese Kategorien von Daten verarbeitet werden können, um die Anforderungen der vorliegenden Verordnung zu erfüllen; | |
| b) | die Daten aus verlässlichen Quellen stammen und zutreffend und auf dem neusten Stand sind; | |
| c) | sie keine Entscheidungen treffen, die auf der Grundlage dieser Daten zu verzerrten und diskriminierenden Ergebnissen führen würden; | |
| d) | sie, insbesondere im Hinblick auf Vertraulichkeit, Maßnahmen mit hohem Sicherheitsstandard gemäß Artikel 32 der Verordnung (EU) 2016/679 trifft. | |
| (3) | Die Verpflichteten können personenbezogene Daten gemäß Artikel 10 der Verordnung (EU) 2016/679 verarbeiten, sofern sie die in Absatz 2 dieses Artikels festgelegten Bedingungen erfüllen und | |
| a) | diese personenbezogenen Daten Geldwäsche, damit zusammenhängende Vortaten oder Terrorismusfinanzierung betreffen; | |
| b) | die Verpflichteten über Verfahren verfügen, die es erlauben, bei der Verarbeitung dieser Daten zwischen Vorwürfen, Ermittlungen, Verfahren und Verurteilungen zu unterscheiden, und dem Grundrecht auf ein faires Verfahren, dem Recht auf Verteidigung und der Unschuldsvermutung Rechnung tragen. | |
| (4) | Personenbezogene Daten dürfen von Verpflichteten auf der Grundlage dieser Verordnung ausschließlich für die Zwecke der Verhinderung von Geldwäsche und Terrorismusfinanzierung verarbeitet werden und dürfen nicht in einer Weise weiterverarbeitet werden, die mit diesen Zwecken unvereinbar ist. Es ist untersagt, personenbezogene Daten auf der Grundlage dieser Verordnung für kommerzielle Zwecke zu verarbeiten. | |
| (5) | Verpflichtete können Entscheidungen treffen, die sich aus automatisierten Verfahren, einschließlich Profiling im Sinne von Artikel 4 Nummer 4 der Verordnung (EU) 2016/679, oder aus Verfahren ergeben, bei denen Systeme der KI im Sinne von Artikel 3 Nummer 1 der Verordnung (EU) 2024/xxx des Europäischen Parlaments und des Rates (45) zur Anwendung kommen, sofern | |
| a) | die von solchen Systemen verarbeiteten Daten auf Daten beschränkt sind, die gemäß Kapitel III der vorliegenden Verordnung erlangt wurden; | |
| b) | alle Entscheidungen in Bezug auf die Aufnahme einer Geschäftsbeziehung mit einem Kunden, die Verweigerung der Aufnahme derselben oder die Unterhaltung derselben, auf die Ausführung einer gelegentlichen Transaktion für einen Kunden oder die Verweigerung der Ausführung derselben oder auf die Ausweitung oder Einschränkung des Umfangs der gemäß Artikel 20 der vorliegenden Verordnung angewandten Sorgfaltsmaßnahmen gegenüber Kunden einem sinnvollen menschlichen Eingreifen unterliegen, um die Richtigkeit und Angemessenheit dieser Entscheidungen sicherzustellen, und | |
| c) | der Kunde eine Erklärung zu der vom Verpflichteten getroffenen Entscheidung erhalten und diese Entscheidung anfechten kann, außer in Verbindung mit einer Meldung gemäß Artikel 69 der vorliegenden Verordnung. | |
| (45) | Verordnung (EU) 2024/xxx des Europäischen Parlaments und des Rates vom xxx zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz und zur Änderung der Verordnungen (EG) Nr. 300/2008, (EU) Nr. 167/2013, (EU) Nr. 168/2013, (EU) 2018/858, (EU) 2018/1139 und (EU) 2019/2144 und der Richtlinien 2014/90/EU, (EU) 2016/797 und (EU) 2020/1828 (Gesetz über Künstliche Intelligenz) (noch nicht im Amtsblatt veröffentlicht). |
Article 76 - Processing of personal data
| 1. | To the extent that it is strictly necessary for the purposes of preventing money laundering and terrorist financing, obliged entities may process special categories of personal data referred to in Article 9(1) of Regulation (EU) 2016/679 and personal data relating to criminal convictions and offences referred to in Article 10 of that Regulation subject to the safeguards provided for in paragraphs 2 and 3 of this Article. | |
| 2. | Obliged entities shall be able to process personal data covered by Article 9 of Regulation (EU) 2016/679 provided that: | |
(a) | they inform their customers or prospective customers that such categories of data may be processed for the purpose of complying with the requirements of this Regulation; | |
| (b) | the data originate from reliable sources, are accurate and up-to-date; | |
| (c) | they do not take decisions that would lead to biased and discriminatory outcomes on the basis of those data; | |
| (d) | they adopt measures of a high level of security in accordance with Article 32 of Regulation (EU) 2016/679, in particular in terms of confidentiality; | |
| 3. | Obliged entities shall be able to process personal data covered by Article 10 of Regulation (EU) 2016/679 provided that they comply with the conditions laid down in paragraph 2 of this Article and that: | |
| (a) | such personal data relate to money laundering, its predicate offences or terrorist financing; | |
| (b) | the obliged entities have procedures in place that allow the distinction, in the processing of such data, between allegations, investigations, proceedings and convictions, taking into account the fundamental right to a fair trial, the right of defence and the presumption of innocence. | |
| 4. | Personal data shall be processed by obliged entities on the basis of this Regulation only for the purposes of the prevention of money laundering and terrorist financing and shall not be further processed in a way that is incompatible with those purposes. The processing of personal data on the basis of this Regulation for commercial purposes shall be prohibited. | |
| 5. | Obliged entities may adopt decisions resulting from automated processes, including profiling as defined in Article 4, point (4), of Regulation (EU) 2016/679, or from processes involving AI systems as defined in Article 3, point (1), of Regulation (EU) 2024/xxx of the European Parliament and of the Council (45), provided that: | |
| (a) | the data processed by such systems is limited to data obtained pursuant to Chapter III of this Regulation; | |
| (b) | any decision to enter or refuse to enter into or maintain a business relationship with a customer or to carry out or refuse to carry out an occasional transaction for a customer, or to increase or decrease the extent of the customer due diligence measures applied pursuant to Article 20 of this Regulation, is subject to meaningful human intervention to ensure the accuracy and appropriateness of such a decision; and | |
| (c) | the customer may obtain an explanation of the decision reached by the obliged entity, and may challenge that decision, except in relation to a report as referred to in Article 69 of this Regulation. | |
| (45) | Regulation (EU) 2024/xxx of the European Parliament and of the Council of xxx laying down harmonised rules on artificial intelligence and amending Regulations (EC) No 300/2008, (EU) No 167/2013, (EU) No 168/2013, (EU) 2018/858, (EU) 2018/1139 and (EU) 2019/2144 and Directives 2014/90/EU, (EU) 2016/797 and (EU) 2020/1828 (Artificial Intelligence Act) (Not yet published in the Official Journal). |