Durchführungsbeschluss (EU) 2020/1023 der Kommission vom 15. Juli 2020 zur Änderung des Durchführungsbeschlusses (EU) 2019/1765 hinsichtlich des grenzüberschreitenden Datenaustauschs zwischen nationalen Mobil-Apps zur Kontaktnachverfolgung und Warnung zwecks Bekämpfung der COVID-19-Pandemie (Text von Bedeutung für den EWR)

1 Werden personenbezogene Daten über das Federation Gateway ausgetauscht, so beschränkt sich die Verarbeitung auf die Ermöglichung der Interoperabilität nationaler Mobil-Apps zur Kontaktnachverfolgung und Warnung im Federation Gateway sowie der Kontinuität der Ermittlung von Kontaktpersonen in einem grenzüberschreitenden Kontext.

2 Die in Absatz 3 genannten personenbezogenen Daten werden dem Federation Gateway in einem pseudonymisierten Format übermittelt.

3 Die pseudonymisierten personenbezogenen Daten, die über das Federation Gateway ausgetauscht und darin verarbeitet werden, dürfen nur folgende Informationen enthalten: a) die Schlüssel, die bis zu 14 Tage vor dem Datum des Hochladens der Schlüssel von den nationalen Mobil-Apps zur Kontaktnachverfolgung und Warnung übermittelt wurden; b) Protokolldaten zu den Schlüsseln gemäß den technischen Spezifikationen, die im Ursprungsland der Schlüssel verwendet werden; c) die Verifizierung der Infektion; d) die relevanten Länder und das Ursprungsland der Schlüssel.

4 Die benannten nationalen Behörden oder amtlichen Stellen, die personenbezogene Daten im Federation Gateway verarbeiten, sind gemeinsam Verantwortliche für die im Federation Gateway verarbeiteten Daten. Die Zuständigkeiten der gemeinsam Verantwortlichen sind in Anhang II geregelt. Jeder Mitgliedstaat, der am grenzüberschreitenden Datenaustausch zwischen nationalen Mobil-Apps zur Kontaktnachverfolgung und Warnung teilnehmen möchte, teilt der Kommission im Vorfeld seine Absicht mit und gibt die nationale Behörde oder amtliche Stelle an, die als Verantwortliche benannt wurde.

5 Die Kommission ist die Auftragsverarbeiterin der personenbezogenen Daten, die im Federation Gateway verarbeitet werden. In ihrer Eigenschaft als Auftragsverarbeiterin gewährleistet die Kommission die Sicherheit der Verarbeitung personenbezogener Daten im Federation Gateway, einschließlich ihrer Übermittlung und Bereithaltung, und nimmt die in Anhang III festgelegten Zuständigkeiten eines Auftragsverarbeiters wahr.

6 Die Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung personenbezogener Daten im Federation Gateway wird von der Kommission und den zum Zugriff auf das Federation Gateway befugten nationalen Behörden regelmäßig geprüft, beurteilt und bewertet.

7 Unbeschadet der Entscheidung der gemeinsamen Verantwortlichen, die Verarbeitung im Federation Gateway zu beenden, wird das Federation Gateway spätestens 14 Tage, nachdem alle verbundenen nationalen Mobil-Apps zur Kontaktnachverfolgung und Warnung die Übermittlung von Schlüsseln über das Federation Gateway eingestellt haben, deaktiviert.“

Dieser Beschluss tritt am Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.