Delegierte Verordnung (EU) 2021/2104 der Kommission vom 19. August 2021 zur Festlegung detaillierter Bestimmungen über den Betrieb des Web-Portals gemäß Artikel 49 Absatz 6 der Verordnung (EU) 2019/817 des Europäischen Parlaments und des Rates

1 Das Web-Portal verwendet den Domänennamen „.europa.eu“ der Europäischen Union.

2 Die Beschreibung des Web-Portals wird zur Indexierung durch große öffentliche Suchmaschinen zur Verfügung gestellt.

3 Das Web-Portal ist in den Amtssprachen der Mitgliedstaaten und darüber hinaus in mindestens folgenden Sprachen öffentlich zugänglich: Russisch, Arabisch, Japanisch, Chinesisch, Albanisch, Bosnisch, Mazedonisch, Hindi und Türkisch.

4 Das Web-Portal enthält die in den Artikeln 47 und 48 der Verordnung (EU) 2019/817 genannten Informationen und eine Suchfunktion für den Abruf der Kontaktinformationen der zuständigen Behörde des Mitgliedstaats, der nach der manuellen Verifizierung verschiedener Identitäten für die Erstellung einer roten oder weißen Verknüpfung zuständig ist. Das Web-Portal kann zudem andere notwendige Informationen enthalten, die die Ausübung der in den Artikeln 47 und 48 der Verordnung (EU) 2019/817 genannten Rechte erleichtern.

5 Das Web-Portal steht im Einklang mit den Regeln, Leitlinien und Informationen des Europa-Web-Leitfadens der Europäischen Kommission, einschließlich der Leitlinien zur Barrierefreiheit.

6 Das Web-Portal verhindert, dass die Kontaktinformationen der Behörden Suchmaschinen und anderen automatischen Instrumenten für die Erfassung von Kontaktinformationen zur Verfügung gestellt werden.

1 eu-LISA entwickelt das Web-Portal und sorgt für seine technische Verwaltung gemäß Artikel 49 Absatz 5 der Verordnung (EU) 2019/817; dies umfasst auch Hosting, Betrieb und Wartung des Web-Portals.

2 Die Kommission stellt eu-LISA den in Artikel 1 Absatz 4 genannten Inhalt des Web-Portals sowie alle erforderlichen Berichtigungen oder Aktualisierungen zur Verfügung.

3 Die Mitgliedstaaten stellen eu-LISA zeitnah die Kontaktdaten der Behörden, die für die Prüfung und Beantwortung von Anträgen nach den Artikeln 47 und 48 der Verordnung (EU) 2019/817 zuständig sind, zur Verfügung, damit die Inhalte des Web-Portals gemäß Artikel 49 Absatz 4 der Verordnung (EU) 2019/817 regelmäßig hochgeladen und aktualisiert werden können.

4 Die Mitgliedstaaten nennen eu-LISA eine zentrale Anlaufstelle, die für Überprüfungs- und Wartungszwecke zuständig ist.

5 eu-LISA überprüft die übermittelten Kontaktdaten und ersucht alle Mitgliedstaaten, die verfügbaren Informationen zu überprüfen, um mögliche Änderungen oder Ergänzungen vornehmen zu können. Die Überprüfung wird mindestens einmal pro Jahr durchgeführt.

6 Für die Verarbeitung von Daten im Web-Portal sind die mitgliedstaatlichen Behörden Verantwortliche im Sinne des Artikels 4 Nummer 7 der Verordnung (EU) 2016/679 bzw. des Artikels 3 Nummer 8 der Richtlinie (EU) 2016/680.

7 Für die Verarbeitung personenbezogener Daten im Web-Portal ist eu-LISA Datenauftragsverarbeiter im Sinne des Artikels 3 Nummer 12 der Verordnung (EU) 2018/1725.

1 Das Web-Portal umfasst eine Suchfunktion, die es den Nutzern ermöglicht, die Angaben zu der für die manuelle Verifizierung verschiedener Identitäten zuständigen Behörde nach Artikel 34 Buchstabe d der Verordnung (EU) 2019/817 einzugeben, um die Kontaktinformationen dieser Behörde abzurufen.

2 Nach Überprüfung der Gültigkeit und Vollständigkeit der Eingabedaten ruft das Web-Portal die Kontaktdaten dieser Behörde gemäß Artikel 49 Absatz 3 der Verordnung (EU) 2019/817 ab.

3 Das Web-Portal ermöglicht es dem Nutzer, mithilfe einer E-Mail-Vorlage über ein Online-Formular ein Auskunftsersuchen zu stellen, um die Kommunikation mit der für die manuelle Verifizierung verschiedener Identitäten zuständigen Behörde zu erleichtern. Die Vorlage enthält ein Eingabefeld für die einmalige Kennnummer nach Artikel 34 Buchstabe c der Verordnung (EU) 2019/817, damit die betreffende Behörde die jeweiligen Angaben zu der Verknüpfung und die entsprechenden Datensätze abrufen kann.

4 Die E-Mail-Vorlage enthält ein standardisiertes Ersuchen um weitere Informationen, das in den in Artikel 1 Absatz 3 genannten Sprachen verfügbar ist. Die E-Mail-Vorlage ist im Anhang dargelegt. Die E-Mail-Vorlage enthält des Weiteren eine Auswahlmöglichkeit für die in der Antwort zu verwendende(n) Sprache(n); diese umfasst mindestens zwei Sprachen, die von jedem Mitgliedstaat zu wählen sind. Die Sprache der E-Mail-Vorlage kann vom Nutzer gewählt werden.

5 Nach Übermittlung der ausgefüllten E-Mail-Vorlage über das Online-Formular wird dem Nutzer eine automatische Bestätigungsmail übermittelt, die die Kontaktdaten der für die Bearbeitung des betreffenden Ersuchens zuständigen Behörde enthält und es der Person ermöglicht, ihre Rechte gemäß Artikel 48 Absatz 1 der Verordnung (EU) 2019/817 auszuüben.

1 Das Web-Portal sorgt für eine Trennung zwischen den Seiten der Website, die Informationen für die Öffentlichkeit enthalten, sowie der Suchfunktion und den Seiten der Website, die dem Nutzer das Abrufen der Kontaktinformationen der für die manuelle Verifizierung verschiedener Identitäten zuständigen Behörde ermöglichen.

2 Damit eu-LISA die Inhalte verwalten kann, enthält das Web-Portal eine gesicherte Verwaltungsschnittstelle. Sämtliche Zugriffe auf diese Verwaltungsschnittstelle und die vorgenommenen Änderungen werden gemäß Artikel 7 protokolliert.

3 Die Verwaltungsschnittstelle gestattet eu-LISA, Inhalte des Web-Portals hinzuzufügen, zu ändern oder zu entfernen. Unter keinen Umständen ermöglicht diese Schnittstelle eu-LISA den Zugriff auf Daten zu Drittstaatsangehörigen, die in den Informationssystemen der EU gespeichert sind.

4 Die Content-Management-Lösung umfasst ein Staging-System, bei dem alle Änderungen vorbereitet, eingesehen und zur Veröffentlichung zu einem gegebenen Zeitpunkt an das Online-System weitergeleitet werden können. Das Staging-System muss zudem über Instrumente verfügen, welche die Verwaltung der Inhalte erleichtern und eine Vorschau des Ergebnisses von Änderungen ermöglichen.

1 Das Web-Portal wird so gestaltet und implementiert, dass die Vertraulichkeit, Integrität und Verfügbarkeit der Dienste sowie die Beweisbarkeit von Transaktionen gewährleistet sind, indem die Einhaltung zumindest folgender anwendungsbezogener Sicherheitsgrundsätze sichergestellt wird: a) tief gestaffelte Verteidigung („defense in depth“): mehrstufige Sicherheitsmechanismen; b) positives Sicherheitsmodell („positive security model“): Festlegung zulässiger Transaktionen und Ablehnung aller sonstigen Transaktionen; c) gesicherter Ausfall („fail securely“): sicherer Umgang mit Fehlern; d) minimale Berechtigung („run with least privilege“); e) Einfachheit in der Sicherheit („keep security simple“): Vermeidung komplexer Architekturen, wenn ein einfacherer Ansatz schneller und einfacher wäre; f) unbefugtes Eindringen erkennen und verhindern („detect and prevent intrusions“): Sicherstellung, dass alle sicherheitsrelevanten Informationen protokolliert und entsprechend behandelt werden, durch proaktive Kontrollen des Schutzes der Informationen des Web-Portals und der Kontaktdaten der Mitgliedstaaten vor Cyberangriffen und dem Abfluss von Informationen; g) Infrastruktur nicht trauen („do not trust infrastructure“): Authentifizierung und Autorisierung aller von anderen Systemen ausgehenden Vorgänge durch die Anwendung; h) Diensten nicht trauen („do not trust services“): Gewährleistung, dass externen Systemen nicht vertraut wird; i) sichere Standardeinstellungen („establish secure defaults“): Software- und Betriebssystemumgebungen müssen gemäß bewährten Verfahren und Industriestandards gesichert sein.

2 Das Web-Portal wird zudem so gestaltet und implementiert, dass die Verfügbarkeit und Integrität der aufgezeichneten Protokolle gewährleistet ist.

3 Aus Sicherheits- und Datenschutzgründen enthält das Web-Portal einen Hinweis, in dem die Nutzer über die Regeln für die Nutzung des Web-Portals und über die Folgen der Übermittlung unrichtiger Angaben informiert werden. Der Hinweis umfasst ein Formular zur Anerkennung der Regeln für die Nutzung des Web-Portals, das der Nutzer übermitteln muss, bevor er das Web-Portal nutzen darf. Die technische und organisatorische Implementierung des Web-Portals muss mit dem Sicherheitsplan, dem Betriebskontinuitätsplan und dem Notfallwiederherstellungsplan gemäß Artikel 42 Absatz 3 der Verordnung (EU) 2019/817 im Einklang stehen.

1 Das Web-Portal entspricht den Datenschutzbestimmungen der Verordnung (EU) 2016/679, der Verordnung (EU) 2018/1725 und der Richtlinie (EU) 2016/680.

2 Das Web-Portal enthält einen Datenschutzhinweis. Dieser ist über einen speziellen Link zugänglich. Zudem ist der Hinweis von jeder Seite des Web-Portals zugänglich. Er ist umfassend und klar verfasst.

1 Unbeschadet der schriftlichen Aufzeichnungen nach Artikel 48 Absatz 10 der Verordnung (EU) 2019/817 wird jeder Zugriff auf das Web-Portal in einem Protokoll aufgezeichnet, das folgende Informationen enthält: a) IP-Adresse des vom Antragsteller verwendeten Systems; b) Datum und Uhrzeit des Antrags; c) technische Informationen über die Umgebung, die für den Antrag verwendet wird, z. B. Art des Geräts, Version des Betriebssystems, Modell und Version des Browsers.

2 Die protokollierten Informationen werden nur für statistische Zwecke sowie zur Überwachung der Nutzung des Web-Portals verwendet, um Missbrauch zu verhindern.

3 Bei Zugriffen auf die Verwaltungsschnittstelle des Web-Portals werden zusätzlich zu den in Absatz 1 genannten Informationen folgende Daten protokolliert: a) Kennung des Nutzers, der auf die Verwaltungsschnittstelle zugreift; b) auf dem Web-Portal durchgeführte Vorgänge (Hinzufügung, Aktualisierung oder Löschung von Inhalten).

4 Zusätzliche anonyme technische Informationen können während der Nutzung des Web-Portals protokolliert werden, um dessen Nutzung und Leistung zu optimieren, solange sie keine personenbezogenen Daten enthalten.

5 Die gemäß den Absätzen 1 und 3 protokollierten Informationen werden höchstens zwei Jahre lang gespeichert.

6 eu-LISA führt Protokolle über alle Datenverarbeitungsvorgänge im Web-Portal.

7 eu-LISA, die mitgliedstaatlichen Behörden der Mitgliedstaaten und die Stellen der Union erstellen jeweils eine Liste der Bediensteten, die befugt sind, auf die Protokolle der Datenverarbeitungsvorgänge des Web-Portals zuzugreifen.

Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.