Art. 56 Datenschutz | DORA regulation | DORA

This article governs how the ESAs and competent authorities may handle personal data in the context of their supervisory work under this regulation.

It sets clear boundaries on when personal data processing is permitted and establishes the rules for how long that data may be kept.

It connects directly to the broader supervisory and oversight framework established elsewhere in the regulation, acting as the data protection guardrail for those activities.

Important points:

The ESAs and competent authorities may only process personal data when necessary to carry out their duties under this regulation, such as investigations, inspections, or drafting oversight plans.
All personal data processing must comply with either Regulation (EU) 2016/679 or Regulation (EU) 2018/1725, depending on which applies.
Personal data must be retained only until supervisory duties are discharged, with an absolute maximum retention period of 15 years, unless court proceedings require otherwise.

1. Die ESA und die zuständigen Behörden dürfen personenbezogene Daten nur verarbeiten, wenn dies zur Erfüllung ihrer jeweiligen Pflichten und Aufgaben gemäß dieser Verordnung erforderlich ist, insbesondere für Untersuchungen, Inspektionen, Auskunftsersuchen, Kommunikationszwecke, Veröffentlichungen, Evaluierungen, Verifizierungen, Bewertungen und die Erstellung von Überwachungsplänen. Die personenbezogenen Daten müssen im Einklang mit der Verordnung (EU) 2016/679 oder der Verordnung (EU) 2018/1725 verarbeitet werden, je nachdem, welche der beiden anwendbar ist.
1. Sofern in anderen sektorspezifischen Rechtsakten nichts anderes vorgesehen ist, werden die in Absatz 1 genannten personenbezogenen Daten bis zur Erfüllung der geltenden Aufsichtspflichten, in jedem Fall aber für höchstens 15 Jahre aufbewahrt, außer bei anhängigen Gerichtsverfahren, die eine weitere Speicherung dieser Daten erfordern.