umwelt-online: Delegierte Verordnung (EU) 2021/2223 zur Ergänzung der Verordnung (EU) 2019/817 mit detaillierten Bestimmungen über den Betrieb des zentralen Speichers für Berichte und Statistiken (1)

gestützt auf die Verordnung (EU) 2019/817 des Europäischen Parlaments und des Rates vom 20. Mai 2019 zur Errichtung eines Rahmens für die Interoperabilität zwischen EU-Informationssystemen in den Bereichen Grenzen und Visa und zur Änderung der Verordnungen (EG) Nr. 767/2008, (EU) 2016/399, (EU) 2017/2226, (EU) 2018/1240, (EU) 2018/1726 und (EU) 2018/1861 des Europäischen Parlaments und des Rates, der Entscheidung 2004/512/EG des Rates und des Beschlusses 2008/633/JI des Rates ¹, insbesondere auf Artikel 39 Absatz 5 derselben,

(1) Mit den Verordnungen (EU) 2019/817 und (EU) 2019/818 des Europäischen Parlaments und des Rates ² wird ein Rahmen für die Interoperabilität zwischen den EU-Informationssystemen in den Bereichen Grenzen, Visa, polizeiliche und justizielle Zusammenarbeit, Asyl und Migration geschaffen.

(2) Zu diesem Rahmen gehört eine ganze Reihe von Komponenten und Hilfsmitteln zur Unterstützung der Interoperabilität, unter anderem ein Zentralspeicher für Berichte und Statistiken (im Folgenden der "zentrale Speicher"). Im zentralen Speicher werden anonymisierte Daten aus den zugrunde liegenden EU-Informationssystemen, dem gemeinsamen Dienst für den Abgleich biometrischer Daten, dem gemeinsamen Speicher für Identitätsdaten und dem Detektor für Mehrfachidentitäten gespeichert, um systemübergreifende statistische Berichte für politische und operative Zwecke sowie für die Zwecke der Datenqualität bereitzustellen.

(3) Die Europäische Agentur für das Betriebsmanagement von IT-Großsystemen im Raum der Freiheit, der Sicherheit und des Rechts ("eu-LISA") ist für die Einrichtung, den Betrieb und das Hosting des zentralen Speichers sowie für dessen Betriebsmanagement zuständig.

(4) Damit der zentrale Speicher systemübergreifende statistische Daten bereitstellen kann, müssen detaillierte Regeln für seinen Betrieb, einschließlich spezifischer Vorschriften für die Verarbeitung personenbezogener Daten, sowie Sicherheitsvorschriften festgelegt werden.

(5) eu-LISA sollte ein Tool zur Datenanonymisierung entwickeln, das als Bestandteil der Architektur des zentralen Speichers verhindert, dass Einzelpersonen anhand der statistischen Daten des zentralen Speichers identifiziert werden können. Der Anonymisierungsprozess sollte automatisiert ablaufen.

(6) Der kontrollierte und gesicherte Zugang sollte nur den entsprechend ermächtigten Bediensteten der zuständigen Behörden, Unionsorgane und Unionsagenturen gewährt werden, damit diese die Daten und Statistiken des zentralen Speichers einsehen können. Zu diesem Zweck sollte eu-LISA ein Berichterstattungstool als Bestandteil der Architektur des zentralen Speichers entwickeln. Das Personal von eu-LISA sollte keinen direkten Zugriff auf die personenbezogenen Daten haben, die in den EU-Informationssystemen oder in den Interoperabilitätskomponenten gespeichert sind.

(7) Damit der Abgleich von Identitätsdateien in oder zwischen den entsprechenden EU-Informationssystemen für einschlägige statistische Zwecke zurückverfolgt werden kann, sollte im zentralen Speicher für jeden derartigen Vorgang eine eindeutige Referenznummer geführt werden. Es sollte ausgeschlossen sein, dass diese Nummer für den Abruf von Informationen aus den Identitätsdateien verwendet wird.

(8) Die technische Lösung, in der der zentrale Speicher untergebracht ist, sollte am Technikstandort von eu-LISA und am Backup-Standort installiert werden, um zu gewährleisten, dass sie jederzeit verfügbar ist.

(9) Da die Verordnung (EU) 2019/817 den Schengen-Besitzstand ergänzt, hat Dänemark gemäß Artikel 4 des dem Vertrag über die Europäische Union und dem Vertrag über die Arbeitsweise der Europäischen Union beigefügten Protokolls Nr. 22 über die Position Dänemarks mitgeteilt, die Verordnung (EU) 2019/817 in nationales Recht umzusetzen. Dänemark ist daher an die vorliegende Verordnung gebunden.

(10) Die vorliegende Verordnung stellt eine Weiterentwicklung der Bestimmungen des Schengen-Besitzstands dar, an denen sich Irland nicht beteiligt ³ . Irland beteiligt sich daher nicht an der Annahme dieser Verordnung und ist weder durch diese Verordnung gebunden noch zu ihrer Anwendung verpflichtet.

(11) Für Island und Norwegen stellt diese Verordnung eine Weiterentwicklung der Bestimmungen des Schengen-Besitzstands im Sinne des Übereinkommens zwischen dem Rat der Europäischen Union sowie der Republik Island und dem Königreich Norwegen über die Assoziierung dieser beiden Staaten bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands ⁴ dar, die in den Bereich gemäß Artikel 1 Buchstabe A des Beschlusses 1999/437/EG des Rates ⁵ fallen.

(12) Für die Schweiz stellt diese Verordnung eine Weiterentwicklung der Bestimmungen des Schengen-Besitzstands im Sinne des Abkommens zwischen der Europäischen Union, der Europäischen Gemeinschaft und der Schweizerischen Eidgenossenschaft über die Assoziierung der Schweizerischen Eidgenossenschaft bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands ⁶ dar, die in den Bereich gemäß Artikel 1 Buchstabe A des Beschlusses 1999/437/EG in Verbindung mit Artikel 3 des Beschlusses 2008/146/EG des Rates ⁷ fallen.

(13) Für Liechtenstein stellt diese Verordnung eine Weiterentwicklung der Bestimmungen des Schengen-Besitzstands im Sinne des Protokolls zwischen der Europäischen Union, der Europäischen Gemeinschaft, der Schweizerischen Eidgenossenschaft und dem Fürstentum Liechtenstein über den Beitritt des Fürstentums Liechtenstein zu dem Abkommen zwischen der Europäischen Union, der Europäischen Gemeinschaft und der Schweizerischen Eidgenossenschaft über die Assoziierung der Schweizerischen Eidgenossenschaft bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands ⁸ dar, die in den Bereich gemäß Artikel 1 Buchstabe A des Beschlusses 1999/437/EG in Verbindung mit Artikel 3 des Beschlusses 2011/350/EU des Rates ⁹ fallen.

(14) Für Zypern, Bulgarien, Rumänien und Kroatien stellt diese Verordnung einen auf dem Schengen-Besitzstand aufbauenden oder anderweitig damit zusammenhängenden Rechtsakt im Sinne des Artikels 3 Absatz 1 der Beitrittsakte von 2003, des Artikels 4 Absatz 1 der Beitrittsakte von 2005 und des Artikels 4 Absatz 1 der Beitrittsakte von 2011 dar.

(15) Der Europäische Datenschutzbeauftragte wurde gemäß Artikel 42 Absatz 1 der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates ¹⁰ angehört und hat am 17. Juni 2021 eine Stellungnahme abgegeben

(1) Die in Artikel 39 Absatz 2 der Verordnung (EU) 2019/817 genannten Daten werden im Einklang mit der vorliegenden Verordnung im zentralen Speicher zugänglich gemacht und gespeichert.

(2) Der zentrale Speicher enthält statistische Daten, darunter auch Berichte über die Systemnutzung, damit die Funktionsweise der in Artikel 66 der Verordnung (EU) 2019/817 aufgeführten Interoperabilitätskomponenten überwacht werden kann.

(3) Der zentrale Speicher enthält technische Berichte, um sicherzustellen, dass die Weiterentwicklung und die Funktionsweise der Interoperabilitätskomponenten gemäß Artikel 78 Absatz 1 der Verordnung (EU) 2019/817 durch eu-LISA überwacht werden kann.

(4) Im zentralen Speicher wird eine eindeutige Referenznummer geführt, die es ermöglicht, den Abgleich von Identitätsdateien in oder zwischen den einschlägigen EU-Informationssystemen für statistische Zwecke zurückzuverfolgen. Es darf nicht möglich sein, dass diese Referenznummer zum Abrufen der zugrunde liegenden Identitätsdateien verwendet wird.

(5) Mithilfe des zentralen Speichers können die ordnungsgemäß ermächtigten Bediensteten der in Artikel 39 Absatz 2 der Verordnung (EU) 2019/817 genannten zuständigen Behörden Folgendes erhalten:

(6) Die in Absatz 2 genannten technischen Berichte enthalten Statistiken über die Nutzung und Verfügbarkeit des Systems, Störfälle, seine Leistungsfähigkeit, biometrische Genauigkeit und Datenqualität sowie gegebenenfalls über noch nicht abgeschlossene Vorgänge.

(7) Die vom zentralen Speicher erstellten Betriebsberichte können vom Nutzer angepasst werden, um die Filterung oder Gruppierung der Daten mithilfe eines mit dem zentralen Speicher zur Verfügung gestellten Berichterstattungstools zu ermöglichen.

(8) Ein Berichtsverzeichnis wird zugänglich gemacht. Ersuchen um neue Berichte oder Änderungen an bestehenden Berichten müssen im Einklang mit den Regeln von eu-LISA für das Änderungsmanagement erfolgen.

(1) Der zentrale Speicher arbeitet mit einer technischen Lösung, durch die Daten aus den zugrunde liegenden EU-Informationssystemen und Interoperabilitätskomponenten gehostet werden.

(2) Die technische Lösung enthält ein Berichterstattungstool, das so konfiguriert ist, dass es die in Artikel 2 genannten Berichte und anpassbaren Berichte erstellen, pflegen und ausführen kann.

(3) Das Berichterstattungstool ermöglicht die Erstellung von Betriebsberichten und technischen Berichten sowie deren Abruf durch den Nutzer.

(4) Das Berichterstattungstool ermöglicht die Bereitstellung systemübergreifender statistischer Daten und analytischer Berichte für politische und operative Zwecke sowie für die Zwecke der Datenqualität, wenn dies nach dem Unionsrecht vorgesehen ist.

(5) Sämtliche Berichte werden mit der technischen Lösung verwaltet. In der technischen Lösung sind geeignete Maßnahmen zur Gewährleistung der Sicherheit und Integrität zu treffen, damit die Anforderungen des Sicherheitsplans gemäß Artikel 42 Absatz 3 der Verordnung (EU) 2019/817 erfüllt werden.

(6) Die technische Lösung wird am Technikstandort von eu-LISA und am Backup-Standort installiert.

Der zentrale Speicher ruft schreibgeschützte Kopien der Daten gemäß Artikel 39 Absatz 2 und Artikel 66 Absätze 1, 2 und 3 der Verordnung (EU) 2019/817 von den EU-Informationssystemen ab, damit er die Statistiken und Berichte gemäß den Artikeln 39 und 66 der vorstehenden Verordnung erstellen kann. Die Daten werden regelmäßig, mindestens jedoch täglich, mittels einseitiger Extraktion erhoben.

(1) Die aus den zugrunde liegenden EU-Informationssystemen und Interoperabilitätskomponenten gewonnenen Daten werden mithilfe eines Datenanonymisierungstools anonymisiert. Im zentralen Speicher dürfen nur anonymisierte Daten gespeichert werden.

(2) Das Tool zur Datenanonymisierung erkennt sensible Identitätsdaten in den EU-Informationssystemen und anonymisiert sie im Wege eines automatisierten Prozesses, bevor die statistischen Daten im zentralen Speicher gespeichert werden. Der Anonymisierungsprozess ist unumkehrbar.

(1) Der Zugang zum zentralen Speicher durch ordnungsgemäß ermächtigte Bedienstete wird im Einklang mit Artikel 63 der Verordnung (EU) 2017/2226, Artikel 84 der Verordnung (EU) 2018/1240, Artikel 60 der Verordnung (EU) 2018/1861 und Artikel 16 der Verordnung (EU) 2018/1860 gewährt und geregelt.

(2) Der zentrale Speicher ist für die Mitgliedstaaten, die Kommission und die Agenturen der Union entsprechend ihren Zugangsrechten nach dem Unionsrecht über eine sichere Netzverbindung (TESTA) zugänglich.

(3) Nur ordnungsgemäß ermächtigte Bedienstete der zuständigen Behörden nach Artikel 39 Absatz 2 und Artikel 66 Absätze 1 bis 5 der Verordnung (EU) 2019/817 erhalten Zugang zu dem Tool nach Artikel 3 Absatz 2 der vorliegenden Verordnung.

(4) Die zuständigen Behörden haben mithilfe von Nutzerprofilen Zugang zum zentralen Speicher. eu-LISA führt ein Verzeichnis der Nutzerprofile. Eine Behörde kann je nach ihren Zugangsrechten über mehrere Profile verfügen.

(5) Der Zugriff auf den zentralen Speicher ist zu protokollieren. Die protokollierten Informationen müssen mindestens das Folgende enthalten:

(6) Auf nationaler Ebene, bei der Kommission, der Europäischen Agentur für die Grenz- und Küstenwache und bei Europol werden Protokolle geführt, die die Identifizierung der Nutzer ermöglichen, die auf den zentralen Speicher zugreifen. eu-LISA führt Protokolle über sämtliche Zugriffsvorgänge. Die Protokolle werden ein Jahr lang im zentralen Speicher archiviert und dann automatisch gelöscht.

(7) Etwaige Aufgabenkollisionen im zentralen Speicher sind zu identifizieren, und der Zugang ist nach den folgenden Prinzipien zu gewähren:

(8) In den nach Artikel 15 Absatz 4 der Verordnung (EU) 2018/1861 erstellten Berichten über die Datenqualität ist ein Tool enthalten, mit dem die Mitgliedstaaten eu-LISA Rückmeldungen über die Behebung der aufgetretenen Probleme geben können.

Für die Zwecke der Anonymisierung personenbezogener Daten gemäß Artikel 5 übernimmt eu-LISA die Funktion des Datenauftragsverarbeiters im Sinne von Artikel 3 Nummer 12 der Verordnung (EU) 2018/1725.

(1) Die Daten des zentralen Speichers dürfen nur für Berichterstattungs- und Statistikzwecke abgefragt werden.

(2) eu-LISA ergreift die erforderlichen Sicherheitsmaßnahmen, um die Integrität der Daten im zentralen Speicher zu gewährleisten. Alle Änderungen an den Daten müssen zum Zwecke der Überprüfung rückverfolgbar sein.

Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.

Diese Verordnung ist in allen ihren Teilen verbindlich und gilt gemäß den Verträgen unmittelbar in den Mitgliedstaaten.

1) ABl. L 135 vom 22.05.2019 S. 27.

2) Verordnung (EU) 2019/818 des Europäischen Parlaments und des Rates vom 20. Mai 2019 zur Errichtung eines Rahmens für die Interoperabilität zwischen EU-Informationssystemen (polizeiliche und justizielle Zusammenarbeit, Asyl und Migration) und zur Änderung der Verordnungen (EU) 2018/1726, (EU) 2018/1862 und (EU) 2019/816 (ABl. L 135 vom 22.05.2019 S. 85).

3) Die vorliegende Verordnung fällt nicht in den Anwendungsbereich der Maßnahmen gemäß dem Beschluss 2002/192/EG des Rates vom 28. Februar 2002 zum Antrag Irlands auf Anwendung einzelner Bestimmungen des Schengen-Besitzstands auf Irland (ABl. L 64 vom 07.03.2002 S. 20).

4) ABl. L 176 vom 10.07.1999 S. 36.

5) Beschluss 1999/437/EG des Rates vom 17. Mai 1999 zum Erlass bestimmter Durchführungsvorschriften zu dem Übereinkommen zwischen dem Rat der Europäischen Union und der Republik Island und dem Königreich Norwegen über die Assoziierung dieser beiden Staaten bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands (ABl. L 176 vom 10.07.1999 S. 31).

6) ABl. L 53 vom 27.02.2008 S. 52.

7) Beschluss 2008/146/EG des Rates vom 28. Januar 2008 über den Abschluss - im Namen der Europäischen Gemeinschaft - des Abkommens zwischen der Europäischen Union, der Europäischen Gemeinschaft und der Schweizerischen Eidgenossenschaft über die Assoziierung der Schweizerischen Eidgenossenschaft bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands (ABl. L 53 vom 27.02.2008 S. 1).

8) ABl. L 160 vom 18.06.2011 S. 21.

9) Beschluss 2011/350/EU des Rates vom 7. März 2011 über den Abschluss - im Namen der Europäischen Union - des Protokolls zwischen der Europäischen Union, der Europäischen Gemeinschaft, der Schweizerischen Eidgenossenschaft und dem Fürstentum Liechtenstein über den Beitritt des Fürstentums Liechtenstein zum Abkommen zwischen der Europäischen Union, der Europäischen Gemeinschaft und der Schweizerischen Eidgenossenschaft über die Assoziierung der Schweizerischen Eidgenossenschaft bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands in Bezug auf die Abschaffung der Kontrollen an den Binnengrenzen und den freien Personenverkehr (ABl. L 160 vom 18.06.2011 S. 19).

10) Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG (ABl. L 295 vom 21.11.2018 S. 39).

11) Verordnung (EU) 2017/2226 des Europäischen Parlaments und des Rates vom 30. November 2017 über ein Einreise-/Ausreisesystem (EES) zur Erfassung der Ein- und Ausreisedaten sowie der Einreiseverweigerungsdaten von Drittstaatsangehörigen an den Außengrenzen der Mitgliedstaaten und zur Festlegung der Bedingungen für den Zugang zum EES zu Gefahrenabwehr- und Strafverfolgungszwecken und zur Änderung des Übereinkommens von Schengen sowie der Verordnungen (EG) Nr. 767/2008 und (EU) Nr. 1077/2011 (ABl. L 327 vom 09.12.2017 S. 20).

12) Verordnung (EU) 2018/1240 des Europäischen Parlaments und des Rates vom 12. September 2018 über die Einrichtung eines Europäischen Reiseinformations- und -genehmigungssystems (ETIAS) und zur Änderung der Verordnungen (EU) Nr. 1077/2011, (EU) Nr. 515/2014, (EU) 2016/399, (EU) 2016/1624 und (EU) 2017/2226 (ABl. L 236 vom 19.09.2018 S. 1).

13) Verordnung (EU) 2018/1860 des Europäischen Parlaments und des Rates vom 28. November 2018 über die Nutzung des Schengener Informationssystems für die Rückkehr illegal aufhältiger Drittstaatsangehöriger (ABl. L 312 vom 07.12.2018 S. 1).

14) Verordnung (EU) 2018/1861 des Europäischen Parlaments und des Rates vom 28. November 2018 über die Einrichtung, den Betrieb und die Nutzung des Schengener Informationssystems (SIS) im Bereich der Grenzkontrollen, zur Änderung des Übereinkommens zur Durchführung des Übereinkommens von Schengen und zur Änderung und Aufhebung der Verordnung (EG) Nr. 1987/2006 (ABl. L 312 vom 07.12.2018 S. 14).

15) Verordnung (EU) 2018/1862 des Europäischen Parlaments und des Rates vom 28. November 2018 über die Einrichtung, den Betrieb und die Nutzung des Schengener Informationssystems (SIS) im Bereich der polizeilichen Zusammenarbeit und der justiziellen Zusammenarbeit in Strafsachen, zur Änderung und Aufhebung des Beschlusses 2007/533/JI des Rates und zur Aufhebung der Verordnung (EG) Nr. 1986/2006 des Europäischen Parlaments und des Rates und des Beschlusses 2010/261/EU der Kommission (ABl. L 312 vom 07.12.2018 S. 56).

16) Verordnung (EU) 2019/816 des Europäischen Parlaments und des Rates vom 17. April 2019 zur Einrichtung eines zentralisierten Systems für die Ermittlung der Mitgliedstaaten, in denen Informationen zu Verurteilungen von Drittstaatsangehörigen und Staatenlosen (ECRIS-TCN) vorliegen, zur Ergänzung des Europäischen Strafregisterinformationssystems und zur Änderung der Verordnung (EU) 2018/1726 (ABl. L 135 vom 22.05.2019 S. 1).