Durchführungsbeschluss (EU) 2022/483 der Kommission vom 21. März 2022 zur Änderung des Durchführungsbeschlusses (EU) 2021/1073 zur Festlegung technischer Spezifikationen und Vorschriften für die Umsetzung des mit der Verordnung (EU) 2021/953 des Europäischen Parlaments und des Rates geschaffenen Vertrauensrahmens für das digitale COVID-Zertifikat der EU (Text von Bedeutung für den EWR)

1 Der Vertrauensrahmen für das digitale COVID-Zertifikat der EU ermöglicht den Austausch von Zertifikatswiderrufslisten über das zentrale Gateway für das digitale COVID-Zertifikat der EU (im Folgenden das ‚Gateway‘) im Einklang mit den technischen Spezifikationen in Anhang I.

2 Wenn Mitgliedstaaten digitale COVID-Zertifikate der EU widerrufen, können sie Zertifikatswiderrufslisten an das Gateway übermitteln.

3 Übermitteln Mitgliedstaaten Zertifikatswiderruflisten, so führen die ausstellenden Behörden eine Liste der widerrufenen Zertifikate.

4 Werden personenbezogene Daten über das Gateway ausgetauscht, ist die Verarbeitung darauf beschränkt, den Austausch von Informationen über den Widerruf zu unterstützen. Diese personenbezogenen Daten dürfen nur zur Überprüfung des Widerrufsstatus von im Rahmen der Verordnung (EU) 2021/953 ausgestellten digitalen COVID-Zertifikaten der EU verwendet werden.

5 Die an das Gateway übermittelten Informationen enthalten gemäß den technischen Spezifikationen in Anhang I folgende Angaben: a) die pseudonymisierten eindeutigen Zertifikatkennungen der widerrufenen Zertifikate, b) das Ablaufdatum der übermittelten Zertifikatswiderrufsliste.

6 Widerruft eine ausstellende Behörde digitale COVID-Zertifikate der EU, die sie gemäß der Verordnung (EU) 2021/953 oder der Verordnung (EU) 2021/954 ausgestellt hat, und möchte sie entsprechende Informationen über das Gateway austauschen, so übermittelt sie die in Absatz 5 genannten Informationen im Einklang mit den technischen Spezifikationen in Anhang I in Form von Zertifikatswiderrufslisten in einem sicheren Format an das Gateway.

7 Die ausstellenden Behörden bieten so weit wie möglich eine Lösung an, um die Inhaber widerrufener Zertifikate zum Zeitpunkt des Widerrufs über den Widerrufsstatus ihrer Zertifikate und den Grund für den Widerruf zu informieren.

8 Über das Gateway werden die eingegangenen Zertifikatswiderrufslisten zusammengetragen. Zudem werden darüber Instrumente bereitgestellt, um die Listen an die Mitgliedstaaten weiterzugeben. Das Gateway löscht die Listen automatisch, wenn das von den übermittelnden Behörden für jede Liste angegebene Ablaufdatum erreicht ist.

9 Die benannten nationalen Behörden oder amtlichen Stellen der Mitgliedstaaten, die personenbezogene Daten im Gateway verarbeiten, sind gemeinsam Verantwortliche für die verarbeiteten Daten. Die jeweiligen Zuständigkeiten der gemeinsam Verantwortlichen werden gemäß Anhang VI zugewiesen.

10 Die Kommission ist die Auftragsverarbeiterin der personenbezogenen Daten, die im Gateway verarbeitet werden. In ihrer Eigenschaft als Auftragsverarbeiterin im Auftrag der Mitgliedstaaten gewährleistet die Kommission die sichere Übermittlung und das sichere Hosting personenbezogener Daten innerhalb des Gateways und erfüllt die Pflichten des Auftragsverarbeiters gemäß Anhang VII.

11 Die Wirksamkeit technischer und organisatorischer Maßnahmen zur Gewährleistung der Sicherheit bei der Verarbeitung personenbezogener Daten im Gateway wird von der Kommission und den gemeinsam Verantwortlichen regelmäßig geprüft, beurteilt und bewertet.

Drittländer, die COVID-19-Zertifikate ausstellen, für die die Kommission einen Durchführungsrechtsakt gemäß Artikel 3 Absatz 10 oder Artikel 8 Absatz 2 der Verordnung (EU) 2021/953 erlassen hat, können im Einklang mit den technischen Spezifikationen in Anhang I Listen widerrufener COVID-19-Zertifikate, die unter einen solchen Durchführungsrechtsakt fallen, zur Verarbeitung durch die Kommission im Auftrag der gemeinsam Verantwortlichen gemäß Artikel 5a über das Gateway übermitteln.

1 Der Entscheidungsprozess der gemeinsam Verantwortlichen wird von einer Arbeitsgruppe geregelt, die im Rahmen des in Artikel 14 der Verordnung (EU) 2021/953 genannten Ausschusses eingesetzt wird.

2 Die benannten nationalen Behörden oder amtlichen Stellen der Mitgliedstaaten, die als gemeinsam Verantwortliche personenbezogene Daten im Gateway verarbeiten, entsenden Vertreter in diese Gruppe.“

Dieser Beschluss tritt am dritten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. Der Geltungsbeginn liegt vier Wochen nach seinem Inkrafttreten.