(1) Die Bundesanstalt ist befugt, personenbezogene Daten zu verarbeiteten, soweit dies zur Erfüllung ihrer gesetzlichen Aufgaben erforderlich ist. Verarbeitet die Bundesanstalt im Zuge einer aufsichtsrechtlichen Maßnahme im Rahmen ihrer gesetzlichen Zuständigkeit nach den maßgeblichen Aufsichtsgesetzen personenbezogene Daten, stehen den betroffenen Personen die Rechte nach den Artikeln 15 bis 18 und 20 bis 22 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1; L 314 vom 22.11.2016, S. 72; L 127 vom 23.5.2018, S. 2) in der jeweils geltenden Fassung nicht zu, soweit die Erfüllung dieser Rechte der betroffenen Personen Folgendes gefährden würde:

1.

die Stabilität und Integrität der Finanzmärkte der Bundesrepublik Deutschland oder eines oder mehrerer Mitgliedstaaten des Europäischen Wirtschaftsraums,

2.

den Zweck der Maßnahme,

3.

ein sonstiges wichtiges Ziel des allgemeinen öffentlichen Interesses der Bundesrepublik Deutschland oder eines oder mehrerer Mitgliedstaaten des Europäischen Wirtschaftsraums, insbesondere ein wichtiges wirtschaftliches oder finanzielles Interesse, oder

4.

die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder die Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit.

Unter diesen Voraussetzungen ist die Bundesanstalt auch von den Pflichten nach den Artikeln 5, 12 bis 14, 19 und 34 der Verordnung (EU) 2016/679 befreit. Die Sätze 2 und 3 gelten entsprechend für Personen und Einrichtungen, derer sich die Bundesanstalt bei der Durchführung ihrer Aufgaben bedient, sowie für die Deutsche Bundesbank. § 4 Absatz 3 bis 5 des Sanierungs- und Abwicklungsgesetzes bleibt unberührt.

(2) Die jeweils betroffene Person ist über das Ende der Beschränkung in geeigneter Form zu unterrichten, sofern dies nicht dem Zweck der Beschränkung abträglich ist. Diese Verpflichtung gilt entsprechend für Personen und Einrichtungen, derer sich die Bundesanstalt bei der Durchführung ihrer Aufgaben bedient.

(3) Wird der betroffenen Person in den Fällen des Absatzes 1 Satz 2 bis 4 keine Auskunft erteilt, so ist auf ihr Verlangen dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit die Auskunft zu erteilen, soweit nicht im Einzelfall festgestellt wird, dass dadurch die öffentliche Sicherheit des Bundes oder eines Landes oder die Stabilität und Integrität der Finanzmärkte gefährdet würde. Die Mitteilung der oder des Bundesbeauftragen an die betroffene Person über das Ergebnis der datenschutzrechtlichen Prüfung darf keine Rückschlüsse auf den Erkenntnisstand der Bundesanstalt, der Personen und Einrichtungen, deren sich die Bundesanstalt bei der Durchführung ihrer Aufgaben bedient, sowie der Deutschen Bundesbank zulassen, sofern diese nicht einer weitergehenden Auskunft zustimmen.

(4) Soweit Personen, Institute und Unternehmen personenbezogene Daten für aufsichtsrechtliche Zwecke an die Bundesanstalt, die Personen und Einrichtungen, deren sich die Bundesanstalt bei der Durchführung ihrer Aufgaben bedient, oder die Deutsche Bundesbank übermitteln oder diese von dort von Personen, Instituten und Unternehmen erhoben werden, bestehen die Pflichten dieser Personen, Institute und Unternehmen zur Information der betroffenen Person nach Artikel 13 Absatz 3 und Artikel 14 Absatz 4 der Verordnung (EU) 2016/679 und das Recht auf Auskunft der betroffenen Person nach Artikel 15 der Verordnung (EU) 2016/679 nicht.