Für einen individuellen Ausdruck passen Sie bitte die Einstellungen in der Druckvorschau Ihres Browsers an. Regelwerk, EU 2023, Betriebssicherheit - EU Bund

Die Europäische Kommission -

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,

gestützt auf die Richtlinie 2001/95/EG des Europäischen Parlaments und des Rates vom 3. Dezember 2001 über die allgemeine Produktsicherheit ¹, insbesondere auf Artikel 11 Absatz 1 Unterabsatz 3 und Anhang II Nummer 8,

gestützt auf die Verordnung (EU) 2019/1020 des Europäischen Parlaments und des Rates vom 20. Juni 2019 über Marktüberwachung und die Konformität von Produkten sowie zur Änderung der Richtlinie 2004/42/EG und der Verordnungen (EG) Nr. 765/2008 und (EU) Nr. 305/2011 ², insbesondere auf Artikel 20,

gestützt auf die Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG ³, insbesondere auf Artikel 28 Absatz 1,

gestützt auf die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG ⁴, insbesondere auf Artikel 26 Absatz 1,

nach Anhörung des Ausschusses, der nach Artikel 15 Absatz 1 der Richtlinie 2001/95/EG eingesetzt wurde,

nach Konsultation des Europäischen Datenschutzbeauftragten gemäß Artikel 42 der Verordnung (EU) 2018/1725,

in Erwägung nachstehender Gründe:

(1) Im Durchführungsbeschluss (EU) 2019/417 der Kommission ⁵ wurden die Leitlinien für die Verwaltung des gemeinschaftlichen Systems zum raschen Informationsaustausch "RAPEX" gemäß Artikel 12 der Richtlinie 2001/95/EG und für das dazugehörige Meldesystem festgelegt.

(2) In Artikel 28 der Verordnung (EU) 2018/1725 ist festgelegt, dass zwei oder mehr Verantwortliche, die gemeinsam die Zwecke der und die Mittel zur Verarbeitung festlegen, gemeinsam Verantwortliche sind. Die jeweiligen Zuständigkeiten der gemeinsam Verantwortlichen können im Unionsrecht geregelt werden, insbesondere was die Wahrnehmung der Rechte der betroffenen Person und ihre jeweiligen Informationspflichten nach den Artikeln 15 und 16 der Verordnung (EU) 2018/1725 angeht.

(3) In Artikel 26 der Verordnung (EU) 2016/679 ist festgelegt, dass zwei oder mehr Verantwortliche, die gemeinsam die Zwecke der und die Mittel zur Verarbeitung personenbezogener Daten festlegen, gemeinsam Verantwortliche sind. Die jeweiligen Zuständigkeiten der gemeinsam Verantwortlichen können im Unionsrecht geregelt werden, insbesondere was die Wahrnehmung der Rechte der betroffenen Person angeht, und wer welchen Informationspflichten nach den Artikeln 13 und 14 der Verordnung (EU) 2016/679 nachkommt.

(4) Die Kommission und die nationalen Behörden sind die gemeinsam Verantwortlichen für die Verarbeitung der Daten im Safety-Gate-/RAPEX-System.

(5) Es ist notwendig, die jeweiligen Funktionen, Zuständigkeiten und Vereinbarungen der Kommission und der nationalen Behörden als gemeinsam Verantwortliche nach Artikel 28 der Verordnung (EU) 2018/1725 und Artikel 26 der Verordnung (EU) 2016/679 festzulegen.

(6) Der Durchführungsbeschluss (EU) 2019/417 sollte daher entsprechend geändert werden

- hat folgenden Beschluss erlassen:

Artikel 1

Der Durchführungsbeschluss (EU) 2019/417 wird wie folgt geändert:

1. Artikel 1 erhält folgende Fassung:

"Artikel 1

(1) Die Leitlinien für die Verwaltung des Systems der Europäischen Union zum raschen Informationsaustausch 'RAPEX' gemäß Artikel 12 der Richtlinie 2001/95/EG und für das dazugehörige Meldesystem werden in Anhang I dieses Beschlusses dargelegt.

(2) Die gemeinsame Verantwortlichkeit für das System der Europäischen Union zum raschen Informationsaustausch 'RAPEX' wird in Anhang II dieses Beschlusses dargelegt."

2. Der Anhang wird in Anhang I umbenannt.

3. Der im Anhang dieses Beschlusses wiedergegebene Anhang II wird angefügt.

Artikel 2

Dieser Beschluss ist an die Mitgliedstaaten gerichtet.

Brüssel, den 15. Mai 2023

.

"Anhang II
Gemeinsame Verantwortlichkeit für das System der Europäischen Union zum raschen Informationsaustausch 'RAPEX' gemäß Artikel 12 der Richtlinie 2001/95/EG des Europäischen Parlaments und des Rates ¹ (Richtlinie über die Allgemeine Produktsicherheit)

1. Gegenstand und Beschreibung der Verarbeitung

Die Anwendung Safety Gate/RAPEX ist ein Meldesystem für den raschen Informationsaustausch zwischen den nationalen Behörden der Mitgliedstaaten, den drei Staaten des Europäischen Wirtschaftsraums bzw. der Europäischen Freihandelsassoziation (EWR/EFTA) (Island, Liechtenstein und Norwegen) und der Kommission über Maßnahmen, die in Bezug auf gefährliche Produkte auf dem Markt der Union oder des EWR/der EFTA ergriffen werden. Der Zweck dieses Meldesystems besteht darin,

• das Inverkehrbringen gefährlicher Produkte auf dem Binnenmarkt zu verhindern,
• erforderlichenfalls Korrekturmaßnahmen zu ergreifen, um solche Produkte vom Markt zu nehmen oder zurückzurufen.

Der Informationsaustausch betrifft präventive und restriktive Maßnahmen sowie Maßnahmen im Zusammenhang mit gefährlichen Verbraucherprodukten sowie für die gewerbliche Nutzung bestimmten Produkten außer Lebens- und Futtermitteln, Arzneimitteln und Medizinprodukten. Sowohl die von den nationalen Behörden angeordneten als auch die von den Wirtschaftsakteuren freiwillig getroffenen Maßnahmen werden in Safety Gate/RAPEX erfasst.

2. Anwendungsbereich der gemeinsamen Verantwortlichkeit

Die Kommission und die nationalen Behörden sind die gemeinsam für die Verarbeitung der Daten im Safety-Gate-/RAPEX-System Verantwortlichen. Die 'nationalen Behörden' sind alle mitgliedstaatlichen Behörden und Behörden der EFTA-/EWR-Staaten, die auf dem Gebiet der Produktsicherheit tätig und Teil des Safety-Gate-/RAPEX-Netzes sind, einschließlich der für die Überprüfung der Übereinstimmung von Produkten mit den Sicherheitsanforderungen zuständigen Marktüberwachungsbehörden und der für die Kontrollen an den Außengrenzen zuständigen Behörden.

Für die Zwecke des Artikels 26 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates ² und des Artikels 28 der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates ³ fallen folgende Verarbeitungstätigkeiten in die Zuständigkeit der Kommission als gemeinsam für die Verarbeitung personenbezogener Daten Verantwortlicher:

(1) Die Kommission kann Informationen über Maßnahmen im Zusammenhang mit Produkten, von denen eine ernste Gefahr ausgeht und die in die Union und den Europäischen Wirtschaftsraum eingeführt oder aus ihnen ausgeführt werden, verarbeiten, um sie an die RAPEX-Kontaktstellen weiterzuleiten.

(2) Die Kommission kann Informationen von Drittstaaten, internationalen Organisationen, Unternehmen und anderen Schnellwarnsystemen über Produkte aus der Union und aus Drittstaaten, von denen eine Gefahr ausgeht, verarbeiten, um sie an die nationalen Behörden weiterzuleiten.

Die Kommission ist dafür zuständig, bei diesen Tätigkeiten für die Erfüllung der Verpflichtungen und Bedingungen nach der Verordnung (EU) 2018/1725 zu sorgen.

Folgende Verarbeitungstätigkeiten fallen in die Zuständigkeit der nationalen Behörden als gemeinsam für die Verarbeitung personenbezogener Daten Verantwortliche:

(1) Die nationalen Behörden können Informationen gemäß den Artikeln 11 und 12 der Richtlinie 2001/95/EG und Artikel 20 der Verordnung (EU) 2019/1020 des Europäischen Parlaments und des Rates ⁴ verarbeiten, um sie der Kommission und anderen Mitgliedstaaten sowie EFTA-/EWR-Staaten mitzuteilen.

(2) Die nationalen Behörden können Informationen über ihre Maßnahmen, die sie auf eine Safety-Gate-/RAPEX-Meldung hin ergreifen, verarbeiten, um sie der Kommission und anderen Mitgliedstaaten sowie EFTA-/EWR-Staaten mitzuteilen.

Die nationalen Behörden sind dafür zuständig, bei diesen Tätigkeiten für die Erfüllung der Verpflichtungen und Bedingungen nach der Verordnung (EU) 2016/679 zu sorgen.

3. Zuständigkeiten, Aufgaben und Beziehungen der gemeinsam Verantwortlichen gegenüber den betroffenen Personen

3.1. Kategorien betroffener Personen und personenbezogener Daten

Die gemeinsam Verantwortlichen verarbeiten gemeinsam folgende Kategorien personenbezogener Daten:

1. Kontaktdaten der Nutzer von Safety Gate/RAPEX

   Folgende Daten dürfen verarbeitet werden:

   • Vorname
   • Nachname
   • E-Mail-Adresse
   • Staat
   • bevorzugte Sprache
2. Kontaktdaten der Verfasser und Validatoren von Meldungen und Rückmeldungen, die über Safety Gate/RAPEX übermittelt wurden

   Zu den Verfassern und Validatoren gehören:

   • nationale Safety-Gate-/RAPEX-Kontaktstellen und Inspektoren der Marktüberwachungsbehörden der Mitgliedstaaten der Union und der EFTA/EWR-Staaten oder der für die Kontrollen an den Außengrenzen zuständigen nationalen Behörden, die an dem Meldeverfahren beteiligt sind,
   • Kommissionsbedienstete wie Beamte, Bedienstete auf Zeit, Vertragsbedienstete, Praktikanten und externe Dienstleister.

   Folgende Daten dürfen verarbeitet werden:

   • Vornamen der Verfasser und Validatoren von Meldungen und Rückmeldungen, die über Safety Gate/RAPEX übermittelt wurden
   • Nachnamen der Verfasser und Validatoren von Meldungen und Rückmeldungen, die über Safety Gate/RAPEX übermittelt wurden
   • Namen der Behörden, die über Safety Gate/RAPEX übermittelte Meldungen und Rückmeldungen verfassen oder validieren
   • Adressen der Behörden, die über Safety Gate/RAPEX übermittelte Meldungen und Rückmeldungen verfassen oder validieren
   • E-Mail-Adressen der Verfasser und Validatoren von Meldungen und Rückmeldungen, die über Safety Gate/RAPEX übermittelt wurden
   • Telefonnummern der Verfasser und Validatoren von Meldungen und Rückmeldungen, die über Safety Gate/RAPEX übermittelt wurden
3. Zwei Arten personenbezogener Daten können nebenbei in das System gelangen:
   1. Wenn es zur Rückverfolgung gefährlicher Produkte im Sinne von Artikel 2 Buchstabe c der Richtlinie 2001/95/EG erforderlich ist, können die Kontaktdaten von Wirtschaftsakteuren (Herstellern, Aus- und Einführern, Händlern oder Einzelhändlern) personenbezogene Daten enthalten, die in das System aufgenommen werden. Diese Daten werden ausschließlich von den nationalen Behörden auf der Grundlage der bei ihrer Untersuchung erfassten Informationen in Safety Gate/RAPEX eingegeben.

      Folgende Daten der Wirtschaftsakteure dürfen verarbeitet werden:

      • Name
      • Adresse
      • Stadt
      • Staat
      • Kontaktdaten: Dieses Feld kann sich auf die natürliche Person beziehen, die die Hersteller oder bevollmächtigten Vertreter vertritt. Die Mitgliedstaaten werden jedoch gebeten, die Eingabe personenbezogener Daten zu vermeiden und nicht personenbezogene Kontaktdaten wie generische E-Mail-Adressen zu bevorzugen.
      • Kontaktadresse
   2. Namen der Personen, die Prüfungen gefährlicher Produkte durchgeführt oder Testberichte beglaubigt haben, wenn sie nebenbei in anderen Dokumenten, etwa Testberichten, erfasst wurden. Diese Namen sind in den Anlagen enthalten und können nicht abgefragt werden. Die Mitgliedstaaten werden gebeten, diese Daten vor der Übermittlung zu löschen, wenn sie für die Zwecke des Systems als nicht notwendig erachtet werden.

3.2. Unterrichtung der von der Verarbeitung betroffenen Personen

Die Kommission verfasst die in den Artikeln 15 und 16 genannten Informationen und die Mitteilungen nach den Artikeln 17 bis 24 und 35 der Verordnung (EU) 2018/1725 in klarer und einfacher Sprache und stellt sie in prägnanter, transparenter, verständlicher und leicht zugänglicher Form bereit. Die Kommission ergreift ferner geeignete Maßnahmen, um die nationalen Behörden bei der Bereitstellung der in den Artikeln 13 und 14 genannten Informationen und der Mitteilungen gemäß den Artikeln 19 bis 26 und 37 der Verordnung (EU) 2016/679 in prägnanter, transparenter, verständlicher und leicht zugänglicher Form und in klarer und einfacher Sprache in Bezug auf folgende Daten zu unterstützen:

• Daten, die sich auf die Nutzer von Safety Gate/RAPEX beziehen,
• Daten, die sich auf die Verfasser und die Validatoren von Meldungen und Rückmeldungen beziehen.

Die Nutzer von Safety Gate/RAPEX werden in der Datenschutzerklärung, die in Safety Gate/RAPEX verfügbar ist, über ihre Rechte aufgeklärt.

Die nationalen Behörden ergreifen geeignete Maßnahmen, um die in den Artikeln 13 und 14 genannten Informationen und die Mitteilungen gemäß den Artikeln 19 bis 26 und 37 der Verordnung (EU) 2016/679 in prägnanter, transparenter, verständlicher und leicht zugänglicher Form und in klarer und einfacher Sprache in Bezug auf folgende Daten bereitzustellen:

• Angaben zu juristischen Personen, über die eine natürliche Person identifizierbar ist,
• Namen und andere Daten der Personen, die Prüfungen gefährlicher Produkte durchgeführt oder Testberichte beglaubigt haben.

Die Informationen werden schriftlich, auch in elektronischer Form, übermittelt.

Die nationalen Behörden verwenden das Muster für eine von der Kommission bereitgestellte Datenschutzerklärung, wenn sie ihren Verpflichtungen gegenüber den betroffenen Personen nachkommen.

3.3. Bearbeitung von Anträgen betroffener Personen

Die betroffenen Personen können ihre Rechte nach der Verordnung (EU) 2018/1725 bzw. der Verordnung (EU) 2016/679 bei und gegenüber jedem einzelnen der gemeinsam Verantwortlichen geltend machen.

gemeinsam Verantwortlichen bearbeiten die Anträge der betroffenen Personen nach dem von ihnen zu diesem Zweck festgelegten Verfahren. In der Datenschutzerklärung wird im Einzelnen erläutert, wie die betroffenen Personen ihre Rechte geltend machen können.

Die gemeinsam Verantwortlichen arbeiten zusammen und leisten einander auf Anfrage rasch und effizient Unterstützung bei der Bearbeitung der Anträge betroffener Personen.

Geht bei einem gemeinsam Verantwortlichen ein Antrag einer betroffenen Person ein, der nicht in seinen Zuständigkeitsbereich fällt, so leitet er ihn umgehend, spätestens jedoch binnen sieben Kalendertagen nach dem Antragseingang an den für diesen Antrag zuständigen gemeinsam Verantwortlichen weiter. Der zuständige gemeinsam Verantwortliche übermittelt der betroffenen Person innerhalb von weiteren drei Kalendertagen eine Empfangsbestätigung und setzt gleichzeitig den gemeinsam Verantwortlichen, bei dem der Antrag zuerst eingegangen ist, davon in Kenntnis.

Bei der Beantwortung des Antrags einer betroffenen Person auf Auskunft über personenbezogene Daten darf kein gemeinsam Verantwortlicher gemeinsam verarbeitete personenbezogene Daten offenlegen oder anderweitig zugänglich machen, ohne zuvor den anderen gemeinsam Verantwortlichen zu konsultieren.

4. Sonstige Zuständigkeiten und Funktionen der gemeinsam Verantwortlichen

4.1. Sicherheit der Verarbeitung

Jeder gemeinsam Verantwortliche trifft geeignete technische und organisatorische Maßnahmen, um

1. die Sicherheit, Integrität und Vertraulichkeit der gemeinsam verarbeiteten personenbezogenen Daten im Einklang mit dem Beschluss (EU, Euratom) 2017/46 ⁵ der Kommission bzw. dem einschlägigen Rechtsakt des Mitgliedstaats der Union oder des EFTA- bzw. EWR-Staats zu gewährleisten und zu schützen,
2. alle in seinem Besitz befindlichen personenbezogenen Daten vor unbefugter oder unrechtmäßiger Verarbeitung, Verlust, Verwendung, Offenlegung, Erwerb oder Zugriff zu schützen,
3. die personenbezogenen Daten nicht an andere als die zuvor vereinbarten Empfänger oder Auftragsverarbeiter weiterzugeben oder ihnen Auskunft darüber zu erteilen.

Jeder gemeinsam Verantwortliche ergreift geeignete technische und organisatorische Maßnahmen, um die Sicherheit der Verarbeitung nach Artikel 33 der Verordnung (EU) 2018/1725 bzw. Artikel 32 der Verordnung (EU) 2016/679 zu gewährleisten.

Die gemeinsam Verantwortlichen leisten einander bei Sicherheitsvorfällen, einschließlich Verletzungen des Schutzes personenbezogener Daten, rasch und effizient Unterstützung.

4.2. Management von Sicherheitsvorfällen, einschließlich Verletzungen des Schutzes personenbezogener Daten

Die gemeinsam Verantwortlichen behandeln Sicherheitsvorfälle, einschließlich Verletzungen des Schutzes personenbezogener Daten, gemäß ihren internen Verfahren und den geltenden Rechtsvorschriften.

Die gemeinsam Verantwortlichen leisten einander insbesondere rasch und effizient Unterstützung, soweit dies zur Erleichterung der Erkennung und Bewältigung von Sicherheitsvorfällen, einschließlich Verletzungen des Schutzes personenbezogener Daten, im Zusammenhang mit dem gemeinsamen Verarbeitungsvorgang erforderlich ist.

Die gemeinsam Verantwortlichen benachrichtigen sich gegenseitig insbesondere über

1. potenzielle oder tatsächliche Risiken für die Verfügbarkeit, Vertraulichkeit oder Integrität der personenbezogenen Daten bei der gemeinsamen Verarbeitung,
2. Sicherheitsvorfälle, die mit dem gemeinsamen Verarbeitungsvorgang zusammenhängen,
3. Verletzungen des Schutzes personenbezogener Daten (d. h. Sicherheitsverstöße, die zufällig oder unrechtmäßig zur Zerstörung, zum Verlust, zur Veränderung, zur unbefugten Weitergabe oder zum Zugriff auf gemeinsam verarbeitete personenbezogene Daten führen), die voraussichtlichen Folgen dieser Verletzung, die Bewertung des Risikos für die Rechte und Freiheiten natürlicher Personen sowie sämtliche Maßnahmen, die ergriffen wurden, um gegen die Verletzung des Schutzes personenbezogener Daten vorzugehen und das Risiko für die Rechte und Freiheiten natürlicher Personen zu mindern,
4. Verstöße gegen die technischen oder organisatorischen Garantien des gemeinsamen Verarbeitungsvorgangs.

Jeder gemeinsam Verantwortliche ist für alle Sicherheitsvorfälle, einschließlich Verletzungen des Schutzes personenbezogener Daten, verantwortlich, die infolge eines Verstoßes gegen seine Verpflichtungen nach diesem Beschluss und der Verordnung (EU) 2018/1725 bzw. der Verordnung (EU) 2016/679 auftreten.

Die gemeinsam Verantwortlichen dokumentieren die Sicherheitsvorfälle (einschließlich Verletzungen des Schutzes personenbezogener Daten) und benachrichtigen sich gegenseitig unverzüglich, spätestens jedoch binnen 48 Stunden nach Bekanntwerden eines Sicherheitsvorfalls (einschließlich einer Verletzung des Schutzes personenbezogener Daten).

Der gemeinsam Verantwortliche, der für eine Verletzung des Schutzes personenbezogener Daten verantwortlich ist, dokumentiert diese Verletzung und meldet sie dem Europäischen Datenschutzbeauftragten oder der zuständigen nationalen Aufsichtsbehörde. Die Meldung erfolgt unverzüglich und möglichst binnen 72 Stunden, nachdem die Verletzung erkannt wurde, es sei denn, die Verletzung des Schutzes personenbezogener Daten führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Der gemeinsam Verantwortliche benachrichtigt die anderen gemeinsam Verantwortlichen über diese Mitteilung.

Der gemeinsam Verantwortliche, der für eine Verletzung des Schutzes personenbezogener Daten verantwortlich ist, teilt den betroffenen Personen die Verletzung des Schutzes personenbezogener Daten mit, wenn die Verletzung des Schutzes personenbezogener Daten wahrscheinlich zu einem hohen Risiko für die Rechte und Freiheiten der Personen führt. Der gemeinsam Verantwortliche benachrichtigt die anderen gemeinsam Verantwortlichen über diese Mitteilung.

4.3. Örtliche Beschränkung der Verarbeitung personenbezogener Daten

Personenbezogene Daten, die für die Zwecke des Meldeverfahrens über Safety Gate/RAPEX erhoben werden, werden in der von der Kommission betriebenen Anwendung Safety Gate/RAPEX gespeichert und erfasst, damit der Zugriff auf die Anwendung auf eindeutig identifizierte Personen beschränkt ist und die in der Anwendung gespeicherten Daten somit gut geschützt sind.

Personenbezogene Daten, die für die Zwecke des Verarbeitungsvorgangs erhoben werden, dürfen ausschließlich im Hoheitsgebiet der Union bzw. des EWR verarbeitet werden und dieses Gebiet nicht verlassen, es sei denn, sie stehen im Einklang mit den Artikeln 45, 46 oder 49 der Verordnung (EU) 2016/679 oder mit den Artikeln 47, 48 oder 50 der Verordnung (EU) 2018/1725.

Nach Artikel 12 Absatz 4 der Richtlinie 2001/95/EG wird Beitrittsländern, Drittländern oder internationalen Organisationen der Zugang zu Safety Gate/RAPEX im Rahmen von Abkommen zwischen der Union und diesen Ländern oder internationalen Organisationen gemäß den in diesen Abkommen festgelegten Modalitäten gewährt. Ausgewählte Informationen des Safety-Gate-/RAPEX-Systems können ausgetauscht werden. Allerdings dürfen diese Informationen keine personenbezogenen Daten enthalten.

4.4. Empfänger

Der Zugriff auf personenbezogene Daten ist nur befugten Bediensteten und Auftragnehmern der Kommission und der nationalen Behörden zu Verwaltungs- und Betriebszwecken gestattet, die der Erleichterung der Verarbeitungsvorgänge im Safety-Gate-/RAPEX-System dienen. Der Zugang wird durch eine Identitäts- und Passwortabfrage wie folgt geregelt:

• Nur die Kommission und die von den Behörden der Mitgliedstaaten der Union und der EFTA-/EWR-Staaten eigens benannten Nutzer sowie die Behörden des Vereinigten Königreichs - in Bezug auf die Nutzer in Nordirland - können auf Safety Gate/RAPEX zugreifen.
• Der Zugriff auf die in Safety Gate/RAPEX erfassten personenbezogenen Daten wird nur den benannten und befugten Nutzern der Anwendung gewährt, die über eine Benutzerkennung und ein Passwort verfügen. Der Zugriff auf die Anwendung und die Erteilung eines Passworts ist nur auf Antrag der zuständigen nationalen Behörde unter der allgemeinen Aufsicht des Safety-Gate-/RAPEX-Teams der Kommission möglich.
• Zugriff auf die in Safety Gate/RAPEX erfassten personenbezogenen Daten erhalten nur die für die Verarbeitung zuständigen Bediensteten der Europäischen Kommission und nach dem Prinzip der erforderlichen Kenntnisnahme ermächtigte Personen. Diese Bediensteten sind an die im Statut vorgesehene Geheimhaltungspflicht und erforderlichenfalls an weitere Vertraulichkeitsvereinbarungen gebunden.

Folgende Personen haben Zugriff auf die erhobenen personenbezogenen Daten:

1. Bedienstete und Auftragnehmer der Kommission,
2. benannte Kontaktstellen und Inspektoren der Marktüberwachungsbehörden der Mitgliedstaaten der Union und der EFTA/EWR-Staaten sowie die Behörden des Vereinigten Königreichs in Bezug auf die Nutzer in Nordirland,
3. benannte Inspektoren der für die Kontrollen an den Außengrenzen zuständigen Behörden der Mitgliedstaaten der Union und der EFTA/EWR-Staaten.

Folgende Personen haben Zugriff auf alle erhobenen personenbezogenen Daten sowie die Möglichkeit, diese auf Antrag zu ändern:

1. Mitglieder des Safety-Gate-/RAPEX-Teams der Kommission,
2. Mitglieder des Safety-Gate-/RAPEX-Helpdesks der Kommission.

Eine Liste aller Safety-Gate-/RAPEX-Kontaktstellen (von den nationalen Behörden in der Union und den EWR-Staaten benannte Nutzer) mit ihren Kontaktdaten (Name, Vorname, Name der Behörde, Anschrift der Behörde, Telefon, Fax, E-Mail) ist auf der öffentlich zugänglichen Safety-Gate-Seite der Europa-Website ⁶ abrufbar. Die Nutzerverwaltung auf nationaler Ebene wird von den nationalen Safety-Gate-/RAPEX-Kontaktstellen über die Safety-Gate-/RAPEX-Anwendung kontrolliert.

Alle Nutzer können auf den Inhalt von Benachrichtigungen mit dem Status 'von EK validiert' zugreifen. Nur nationale Safety-Gate-/RAPEX-Nutzer können auf die Entwürfe ihrer Meldungen (vor der Übermittlung an die Europäische Kommission) zugreifen. Bedienstete der Kommission und befugte Personen können auf Meldungen mit dem Status 'an EK übermittelt' zugreifen.

Jeder gemeinsam Verantwortliche benachrichtigt alle anderen gemeinsam Verantwortlichen, wenn personenbezogene Daten an Empfänger in Drittländern oder an internationale Organisationen übermittelt werden.

5. Besondere Zuständigkeiten der gemeinsam Verantwortlichen

Die Kommission gewährleistet und ist verantwortlich für Folgendes:

1. Entscheidung über die Mittel, Anforderungen und Zwecke der Verarbeitung,
2. Aufzeichnung der Verarbeitungsvorgänge,
3. Sicherstellung, dass die betroffenen Personen ihre Rechte möglichst einfach geltend machen können,
4. Bearbeitung der Anträge betroffener Personen,
5. Einschränkung oder Abweichung von den Rechten betroffener Personen, sofern dies erforderlich und verhältnismäßig ist,
6. Beachtung der Grundsätze des Datenschutzes durch Technik und durch datenschutzfreundliche Voreinstellungen,
7. Feststellung und Bewertung der Rechtmäßigkeit, Notwendigkeit und Verhältnismäßigkeit der Übermittlungen und Übertragungen personenbezogener Daten,
8. gegebenenfalls vorherige Konsultation der/des Europäischen Datenschutzbeauftragten,
9. Sicherstellung, dass sich die zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen,
10. Zusammenarbeit auf Anfrage mit der/dem Europäischen Datenschutzbeauftragten bei der Erfüllung ihrer/seiner Aufgaben.

Die nationalen Behörden gewährleisten und sind verantwortlich für Folgendes:

1. Aufzeichnung der Verarbeitungsvorgänge,
2. Sicherstellung, dass die der Verarbeitung unterliegenden personenbezogenen Daten dem Zweck angemessen, sachlich richtig, erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sind,
3. Aufklärung und Benachrichtigung der betroffenen Personen in transparenter Weise über ihre Rechte,
4. Sicherstellung, dass die betroffenen Personen ihre Rechte möglichst einfach geltend machen können,
5. Verpflichtung, nur mit Auftragsverarbeitern zu arbeiten, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen der Verordnung (EU) 2016/679 erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet,
6. Verarbeitung durch den Auftragsverarbeiter auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht der Mitgliedstaaten gemäß Artikel 28 der Verordnung (EU) 2016/679,
7. vorherige Konsultation der nationalen Aufsichtsbehörde bei Bedarf,
8. Sicherstellung, dass sich die zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen,
9. Zusammenarbeit auf Anfrage mit der nationalen Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben.

6. Dauer der Verarbeitung

Die gemeinsam Verantwortlichen dürfen personenbezogene Daten nicht länger speichern oder verarbeiten, als es für die Erfüllung der in diesem Beschluss festgelegten vereinbarten Zwecke und Pflichten erforderlich ist, d. h. nur für den Zeitraum, der für den Zweck der Erhebung oder Weiterverarbeitung erforderlich ist. Im Einzelnen gilt:

1. Die Kontaktdaten der Nutzer der Safety-Gate-/RAPEX-Anwendung bleiben im System gespeichert, solange diese Nutzer sind. Sobald die Information eingeht, dass eine bestimmte Person kein Nutzer des Systems mehr ist, werden die Kontaktdaten umgehend aus der Anwendung gelöscht.
2. Die Kontaktdaten der Inspektoren der Marktüberwachungsbehörden der Mitgliedstaaten der Union und der EFTA/EWR-Staaten sowie der Inspektoren der für die Kontrollen an den Außengrenzen zuständigen Behörden, die in den Meldungen und Rückmeldungen enthalten sind, bleiben nach der Validierung der Meldung oder Rückmeldung fünf Jahre lang im System gespeichert.
3. Die personenbezogenen Daten anderer möglicherweise in das System aufgenommener natürlicher Personen werden in einer Form gespeichert, die eine Identifizierung über einen Zeitraum von 30 Jahren ab dem Zeitpunkt der Eingabe der Informationen in Safety Gate/RAPEX ermöglicht, was dem geschätzten maximalen Lebenszyklus von Produktkategorien wie elektrischen Geräten oder Kraftfahrzeugen entspricht.

Berechtigten Anträgen betroffener Personen auf Sperrung, Berichtigung oder Löschung ihrer Daten gibt die Kommission innerhalb eines Monats nach Eingang des Antrags statt.

7. Haftung bei Verstößen

Bei Verstößen haftet die Kommission gemäß Kapitel VIII der Verordnung (EU) 2018/1725.

Die Behörden der Mitgliedstaaten der Union haften bei Verstößen gemäß Kapitel VIII der Verordnung (EU) 2016/679.

8. Zusammenarbeit der gemeinsam Verantwortlichen

Jeder gemeinsam Verantwortliche leistet den anderen gemeinsam Verantwortlichen auf deren Ersuchen hin rasch und effizient Unterstützung bei der Durchführung dieses Beschlusses, wobei er alle geltenden Anforderungen der Verordnung (EU) 2018/1725 bzw. der Verordnung (EU) 2016/679 und andere geltende Datenschutzvorschriften einhält.

9. Beilegung von Streitigkeiten

Die gemeinsam Verantwortlichen bemühen sich um eine gütliche Beilegung etwaiger Streitigkeiten, die sich aus der Auslegung oder Anwendung dieses Beschlusses ergeben.

Kommen zwischen den gemeinsam Verantwortlichen Fragen, Streitigkeiten oder Meinungsverschiedenheiten in Bezug auf oder im Zusammenhang mit diesem Beschluss auf, so bemühen sie sich, diese im Rahmen einer Konsultation zu lösen.

Vorzugsweise sollten alle Streitigkeiten beigelegt werden, sobald sie entstehen, und zwar von den Kontaktstellen gemäß Nummer 10, die auf der öffentlich zugänglichen Safety-Gate-Seite der Europa-Website aufgeführt sind.

Der Zweck der Konsultation besteht darin, nach Möglichkeit Maßnahmen zur Lösung des Problems zu prüfen und zu vereinbaren; dafür verhandeln die gemeinsam Verantwortlichen nach Treu und Glauben. Jeder gemeinsam Verantwortliche reagiert auf einen Antrag auf gütliche Beilegung binnen sieben Arbeitstagen nach Antragstellung. Die Frist für eine gütliche Einigung beträgt 30 Arbeitstage ab dem Zeitpunkt der Antragstellung.

Kann die Streitigkeit nicht gütlich beigelegt werden, so kann jeder gemeinsam Verantwortliche eine Mediation oder ein Gerichtsverfahren wie folgt anstrengen:

1. Im Falle einer Mediation benennen die gemeinsam Verantwortlichen gemeinsam einen von ihnen akzeptierten Mediator, der dafür verantwortlich ist, die Beilegung der Streitigkeit binnen zwei Monaten nach seiner Befassung in die Wege zu leiten.
2. Im Falle eines Gerichtsverfahrens wird die Angelegenheit gemäß Artikel 272 des Vertrags über die Arbeitsweise der Europäischen Union an den Gerichtshof der Europäischen Union verwiesen.

10. Kontaktstellen für die Zusammenarbeit der gemeinsam Verantwortlichen

Jeder gemeinsam Verantwortliche benennt eine einzige Kontaktstelle, an die sich die anderen gemeinsam Verantwortlichen wenden, wenn es um Fragen, Beschwerden und die Bereitstellung von Informationen im Rahmen dieses Beschlusses geht.

Eine genaue Liste aller von der Kommission und den nationalen Behörden in der Union und den EWR-Staaten benannten Kontaktstellen mit ihren Kontaktdaten (Name, Vorname, Name der Behörde, Anschrift der Behörde, Telefon, Fax, E-Mail) ist auf der öffentlich zugänglichen Safety-Gate-Seite der Europa-Website abrufbar."

ENDE