(1) Die nach diesem Gesetz zuständigen Aufsichtsbehörden sind befugt, personenbezogene Daten zu verarbeiten, soweit dies zur Erfüllung ihrer gesetzlichen Aufgaben erforderlich ist.

(2) Verarbeiten die nach diesem Gesetz zuständigen Aufsichtsbehörden im Zuge einer aufsichtsrechtlichen Maßnahme nach diesem Gesetz oder auf Grundlage der nach diesem Gesetz ergangenen Rechtsverordnungen personenbezogene Daten, stehen den betroffenen Personen die Rechte aus den Artikeln 15 bis 18 und 20 bis 22 der Verordnung (EU) 2016/679 nicht zu, soweit die Erfüllung der Rechte der betroffenen Personen Folgendes gefährden würde:

1. 1. den Zweck der Maßnahme,
2. 2. die Stabilität der Finanzmärkte der Bundesrepublik Deutschland oder eines oder mehrerer Mitgliedstaaten des Europäischen Wirtschaftsraums,
3. 3. ein sonstiges wichtiges Ziel des allgemeinen öffentlichen Interesses der Bundesrepublik Deutschland oder eines oder mehrerer Mitgliedstaaten des Europäischen Wirtschaftsraums, insbesondere ein wichtiges wirtschaftliches oder finanzielles Interesse oder
4. 4. die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder die Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit.

Unter diesen Voraussetzungen ist die zuständige Aufsichtsbehörde auch von den Pflichten nach den Artikeln 12 bis 14, 19 und 34 sowie den Transparenzpflichten nach Artikel 5 der Verordnung (EU) 2016/679 befreit. Die Sätze 1 und 2 gelten entsprechend für Personen und Einrichtungen, derer sich die zuständige Aufsichtsbehörde bei der Durchführung ihrer Aufgaben bedient sowie für die registerführende Stelle.

(3) Die betroffene Person ist über den Wegfall der Beschränkung zu informieren, sofern dies nicht dem Zweck der Beschränkung abträglich ist.

(4) Wird der betroffenen Person in den Fällen des Absatzes 2 Satz 1 bis 3 keine Auskunft erteilt, so ist auf ihr Verlangen je nach Zuständigkeit dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit oder der nach Landesrecht für den Datenschutz zuständigen Aufsichtsbehörde die Auskunft zu erteilen, soweit nicht im Einzelfall festgestellt wird, dass dadurch die öffentliche Sicherheit des Bundes oder eines Landes oder die Stabilität und Integrität der Finanzmärkte gefährdet würde. Die Mitteilung des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit oder der nach Landesrecht für den Datenschutz zuständigen Aufsichtsbehörde an die betroffene Person über das Ergebnis der datenschutzrechtlichen Prüfung darf keine Rückschlüsse auf den Erkenntnisstand der zuständigen Aufsichtsbehörde und der Personen und Einrichtungen, derer sich die zuständige Aufsichtsbehörde bei der Durchführung ihrer Aufgaben bedient, zulassen, sofern diese nicht einer weitergehenden Auskunft zustimmt.