Durchführungsverordnung (EU) 2023/2117 der Kommission vom 12. Oktober 2023 zur Festlegung der für die Funktionsweise und die Verwaltung des Informationsspeichers nach der Verordnung (EU) 2018/1139 des Europäischen Parlaments und des Rates erforderlichen Vorschriften und detaillierten Anforderungen

In dieser Verordnung werden die Vorschriften und Verfahren für die Funktionsweise und die Verwaltung des Informationsspeichers festgelegt, die für eine wirksame Zusammenarbeit zwischen der Agentur und den zuständigen nationalen Behörden bei der Wahrnehmung ihrer Aufgaben im Zusammenhang mit der Zertifizierung, Aufsicht und Durchsetzung gemäß der Verordnung (EU) 2018/1139 erforderlich sind.

1 Für die Zwecke dieser Verordnung gelten die Begriffsbestimmungen der Verordnungen (EU) 2018/1139, (EU) 2016/679, (EU) 2018/1725 sowie der Durchführungsverordnungen (EU) 2019/947 und (EU) 2021/664 der Kommission.

2 Darüber hinaus gelten folgende Begriffsbestimmungen: a) „befugte Nutzer“ (authorised users): nach Artikel 74 Absatz 6 Satz 1 der Verordnung (EU) 2018/1139 die Kommission, die Agentur, die zuständigen nationalen Behörden und jede zuständige Behörde des Mitgliedstaats, die mit der Untersuchung von Unfällen und Störungen in der Zivilluftfahrt betraut ist; b) „Schnittstelle“ (interface): der Punkt, an dem unabhängige und oft nicht miteinander im Zusammenhang stehende Systeme miteinander verbunden sind und interagieren oder miteinander kommunizieren; c) „befugtes Personal“ (authorised staff): das Personal der befugten Nutzer, das auf den Speicher zugreifen kann; d) „Informationsobjektkategorie“ (information object category): die Art von Informationen, die in den Anwendungsbereich von Artikel 74 Absatz 1 der Verordnung (EU) 2018/1139 fallen und den befugten Nutzern für Austausch und Zugriff zur Verfügung stehen; e) „Informationsobjekt“ (information object): eine individuell ausgetauschte Information, die stets der Informationsobjektkategorie entspricht und mit deren Informationsformat kompatibel ist; f) „Informationsformat“ (information format): eine vordefinierte Struktur der Informationsobjektkategorie, die sich aus einem Schema von Feldern zusammensetzt, die den angegebenen Arten von Inhalten innerhalb jeder Informationsobjektkategorie und dem Vokabular entsprechen, das aus einem begrenzten Satz von jedem Feld zugeordneten zulässigen Werten besteht; g) „interessierte Parteien“ (interested party): Behörden der Organe, Einrichtungen und sonstigen Stellen der Europäischen Union und Behörden der Mitgliedstaaten, natürliche und juristische Personen, die einem Informationsobjekt im Sinne des Anhangs I dieser Verordnung unterliegen, sowie qualifizierte Stellen, die nach Artikel 69 der Verordnung (EU) 2018/1139 akkreditiert sind.

1 Der Speicher besteht aus den Schnittstellen für Speicherung, Austausch und Nutzerzugang.

2 Die in Absatz 1 genannte Schnittstelle für den Speicher umfasst Folgendes: a) eine zentrale Datenbank mit Informationen nach Artikel 74 Absatz 1 der Verordnung (EU) 2018/1139, die sowohl bestehende als auch neue Informationen enthält, und b) eine Darstellung des historischen Verlaufs der Änderungen an den Informationen und ihres Status (aktuell/archiviert).

3 Die in Absatz 1 genannte Schnittstelle für den Austausch umfasst Folgendes: a) eine Kommunikationsinfrastruktur, die sichere programmierbare Anwendungsschnittstellen (API) für Ausgabe, Änderung, Abfrage/Lesen und Archivierung von Informationen zwischen den Systemen der befugten Nutzer und dem Speicher bereitstellt, und b) Vorschriften zur Überprüfung der Informationsqualität, die die Kohärenz, Integrität und Richtigkeit der gespeicherten Informationen gewährleisten.

4 Die in Absatz 1 genannte Schnittstelle für den Nutzerzugang muss eine sichere Onlineabfrage der gespeicherten Informationen und einen sicheren Online-Lesezugriff auf diese Informationen ermöglichen. Die Schnittstelle für den Nutzerzugang darf nur dem dazu befugten Personal zur Verfügung gestellt werden.

5 Die Agentur erstellt die erforderlichen Unterlagen, die die Integration befugter Nutzer in den Speicher unterstützen. Diese Dokumentation besteht aus Folgendem: a) API-Standards und Austauschmechanismen, b) die für die Kommunikation mit dem Speicher erforderlichen Informationen zur Sicherheits-, Netz- und Anwendungskonfiguration, c) Vorschriften zur Festlegung der Gültigkeit von Struktur und Inhalt der mit dem Speicher ausgetauschten Informationen.

6 Die Agentur sorgt auch für eine Testumgebung, in der die befugten Nutzer die Funktionalität und Leistung der Austauschschnittstelle zwischen ihren Systemen und dem Speicher testen können.

1 Die Agentur ist für das Betriebsmanagement des Speichers und für die sichere Speicherung von Informationen im Speicher zuständig.

2 Die Übertragung der Informationen in den Speicher und deren Austausch durch die befugten Nutzer müssen über die Schnittstellen des Speichers erfolgen, wobei es den befugten Nutzern obliegt, eine sichere Online-Verbindung zwischen ihren Systemen und dem Speicher herzustellen.

3 Bevor die Agentur eine Entscheidung über das Betriebsmanagement des Speichers trifft oder ihn öffentlich zugänglich macht, konsultiert sie die Kommission und die zuständigen nationalen Behörden.

4 Die Übertragung der Informationen in den Speicher durch das befugte Personal der nationalen flugmedizinischen Sachverständigen und flugmedizinischen Zentren muss über deren jeweils zuständigen nationalen Behörden nach Artikel 10 Absatz 4 dieser Verordnung erfolgen.

1 Die Agentur pflegt den Speicher und stellt sicher, dass er in Bezug auf Privatsphäre, Vertraulichkeit, Integrität und Verfügbarkeit ordnungsgemäß funktioniert.

2 Die Agentur erstellt systematisch Sicherungskopien des Speichers und seiner Daten.

1 Für die Übertragung und regelmäßige Aktualisierung von Informationen und deren Austausch über den Speicher verwenden die befugten Nutzer gemeinsam vereinbarte Informationsformate, die von der Agentur vorgeschlagen werden.

2 Die Informationsformate müssen für jede Informationskategorie standardisiert werden. Die befugten Nutzer dürfen Informationsobjekte nur in dem für die jeweilige Informationskategorie spezifischen Informationsformat in den Speicher übertragen.

3 Die Liste der Informationsobjektkategorien ist in Anhang I festgelegt.

1 Die Agentur klassifiziert in Zusammenarbeit mit der Kommission und den zuständigen nationalen Behörden die Informationsobjektkategorien nach folgenden Merkmalen: a) Privatsphäre: nicht personenbezogene Daten, nicht sensible oder sensible personenbezogene Daten, b) Vertraulichkeit: keine, geringe, erhebliche, katastrophale Auswirkungen c) Integrität: keine, geringe, erhebliche, katastrophale Auswirkungen d) Verfügbarkeit: keine, geringe, erhebliche, katastrophale Auswirkungen.

2 Die genauen Definitionen der in Absatz 1 genannten Merkmale sind in Anhang II festgelegt.

3 Die Agentur nimmt in Zusammenarbeit mit der Kommission und den zuständigen nationalen Behörden, wann immer sie dies für erforderlich hält, eine Neubewertung der Klassifizierung der Informationen vor, indem sie anhand der Änderungen bei der Nutzung der Informationen sicherstellt, dass diese weiterhin angemessen ist.

1 Die Agentur kann auf Antrag einer interessierten Partei dieser die im Speicher enthaltenen Informationen vorbehaltlich der in diesem Artikel festgelegten besonderen Nutzungsbedingungen zur Verfügung stellen.

2 Ein Antrag auf Weitergabe der im Speicher enthaltenen Informationen muss in der von der Agentur festgelegten Form und Weise gestellt werden.

3 Bei Eingang eines Antrags überprüft die Agentur, ob a) der Antrag von einer interessierten Partei gestellt wurde und ob b) die interessierte Partei nachweist, dass die angeforderten Informationen für ihre Tätigkeiten unbedingt erforderlich sind.

4 Die Agentur muss überprüfen, ob der Antrag gerechtfertigt ist und die in Absatz 5 festgelegten Bedingungen erfüllt sind, bevor sie der interessierten Partei die angeforderten Informationen zur Verfügung stellt.

5 Die Agentur darf der interessierten Partei die angeforderten Informationen nur unter den folgenden Bedingungen zur Verfügung stellen: a) Die interessierte Partei erhält keinen Zugang zum gesamten Inhalt des Speichers. b) Die Informationen sind für die Tätigkeiten der interessierten Partei unbedingt erforderlich. c) Es werden keine personenbezogenen Daten weitergegeben, es sei denn, diese Daten betreffen die interessierte Partei selbst oder deren Weitergabe ist für die Tätigkeiten der interessierten Partei unbedingt erforderlich.

6 Die Agentur stellt den befugten Nutzern eine aktualisierte Liste der eingegangenen Anträge und der von der Agentur ergriffenen Maßnahmen zur Verfügung.

7 Die interessierte Partei a) darf die Informationen nur für den im Antragsformular angegebenen Zweck verwenden, b) darf die erhaltenen Informationen nicht ohne die Erlaubnis der befugten Nutzer offenlegen, c) muss die erforderlichen Maßnahmen ergreifen, um die Vertraulichkeit der erhaltenen Informationen zu gewährleisten.

1 Die Agentur stellt sicher, dass alle Datenverarbeitungsvorgänge protokolliert werden. Die Protokolle müssen mit folgenden Angaben versehen sein: a) den Zweck des Antrags auf Zugang zum Speicher, b) Identifizierung des befugten Nutzers, der die Daten abruft, c) Datum und genaue Uhrzeit der Datenverarbeitungsvorgänge, d) Identifizierung des befugten Personals, das die Recherche durchführt.

2 Die Agentur darf die Protokolle der Datenverarbeitungsvorgänge nur zur Überwachung der Rechtmäßigkeit des Zugriffs auf die Informationen und zur Gewährleistung der Datenintegrität und -sicherheit verwenden. Die Protokolle müssen die für diesen Zweck unbedingt erforderlichen Daten enthalten, wobei dem Grundsatz der Datensparsamkeit nach Artikel 89 der Verordnung (EU) 2016/679 und Artikel 13 der Verordnung (EU) 2018/1725 Rechnung zu tragen ist. Die Protokolle müssen nach Abschluss des Überwachungsverfahrens oder spätestens nach einem Jahr gelöscht werden.

3 Auf Antrag erhalten die Kommission und die zuständigen nationalen Behörden Zugang zu den Protokollen, damit sie die Rechtmäßigkeit des Zugriffs auf die Informationen bewerten, die Rechtmäßigkeit der Datenverarbeitungsvorgänge überwachen und die Integrität und Sicherheit der Daten gewährleisten können.

1 Die befugten Nutzer müssen sicherstellen, dass nur befugtes Personal Zugang zum Speicher hat.

2 Die befugten Nutzer müssen sicherstellen, dass der Zugang ihres Personals zu den Informationen davon abhängig gemacht wird, welche der in Artikel 7 für die Informationsobjektkategorie festgelegten Merkmale der Privatsphäre und Vertraulichkeit zutreffen.

3 Die befugten Nutzer müssen Folgendes festlegen und pflegen: a) eine Liste des befugten Personals, b) Verfahren für den Zugang zum Speicher, wobei diese Verfahren den im Unionsrecht und im nationalen Recht festgelegten rechtlichen Anforderungen für den Zugriff auf Informationen und deren Verarbeitung entsprechen müssen. Sie müssen die Bedingungen für den Zugang des befugten Personals zum Speicher dokumentieren.

4 Die nationalen flugmedizinischen Sachverständigen und flugmedizinischen Zentren müssen dafür sorgen, dass nur das von ihrer zuständigen nationalen Behörde mit der entsprechenden Befugnis ausgestattete Personal Zugang zum Speicher hat.

1 Die Agentur muss die Infrastruktur des Speichers und seine Informationen schützen und hierzu Folgendes entwickeln: a) einen Sicherheitsmanagementplan, b) einen Plan zur Aufrechterhaltung des Betriebs, c) einen Plan für die Wiederherstellung nach einem Notfall.

2 Die Agentur muss die unbefugte Verarbeitung von Informationen sowie das unbefugte Lesen, Kopieren, Ändern, Entfernen oder Löschen von gespeicherten Informationen während der Weitergabe an den oder aus dem Speicher oder während der Übertragung, insbesondere durch geeignete Verschlüsselungstechniken, verhindern.

3 Die Agentur muss sicherstellen, dass die Personen, die befugt sind, auf den Speicher zuzugreifen, nur mittels einer persönlichen Nutzerkennung und vertraulicher Zugriffsverfahren ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können.

4 Die befugten Nutzer müssen die Sicherheit ihrer Informationen vor und während der Übertragung in den Speicher verwalten und ihre Infrastruktur schützen, indem sie Folgendes gewährleisten: a) die Einrichtung von Schnittstellen zwischen ihren Systemen und dem Speicher, b) Betrieb und Pflege der Schnittstellen, c) die angemessene Schulung des befugten Personals in Informationssicherheit sowie den geltenden Datenschutzvorschriften und Grundrechten, bevor sie die gespeicherten Informationen verarbeiten dürfen.

5 Die befugten Nutzer müssen zur Gewährleistung des Sicherheitsmanagements des Speichers zusammenarbeiten.

1 Im Speicher erfasste personenbezogene Daten dürfen nur verarbeitet werden, um die Zusammenarbeit zwischen den befugten Nutzern im Rahmen des für die Wahrnehmung ihrer Aufgaben im Zusammenhang mit der Zertifizierung, Aufsicht und Durchsetzung erforderlichen Umfangs zu gewährleisten. Die Verarbeitung muss auf das für die Wahrnehmung ihrer Aufgaben erforderliche Maß und strikt darauf beschränkt sein, was für die verfolgten Ziele erforderlich und verhältnismäßig ist.

2 Der Zugriff auf personenbezogene Daten und deren Verarbeitung erfolgen gemäß den technischen Spezifikationen des Speichers.

3 Die Pflicht zum Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen muss sowohl zum Zeitpunkt der Festlegung der Verarbeitungsmittel als auch zum Zeitpunkt der Verarbeitung selbst berücksichtigt werden.

4 Die Agentur führt regelmäßige Überprüfungen durch, um die Wirksamkeit aller umgesetzten Datenschutzgarantien sicherzustellen.

1 Die gemeinsame Verantwortlichkeit für die im Speicher erfassten personenbezogenen Daten liegt bei den befugten Nutzern.

2 Jeder gemeinsam Verantwortliche ist für die Erfüllung der Kriterien für die Klassifizierung von Informationen für jedes im Speicher verarbeiteten Informationsobjekt verantwortlich.

1 Die Agentur ist verantwortlich für a) Einrichtung, Betrieb und Verwaltung des Speichers; b) die kontinuierliche Verwaltung des Speichers, insbesondere der Zugangsrechte sowie der Sicherheit und Vertraulichkeit der im Speicher verarbeiteten personenbezogenen Daten nach den Artikeln 4, 5, 9 und 12; c) die Benachrichtigung der befugten Nutzer, des Europäischen Datenschutzbeauftragten und erforderlichenfalls der betroffenen Personen nach Artikel 34 der Verordnung (EU) 2018/1725 über Verletzungen des Schutzes personenbezogener Daten im Speicher; d) die Festlegung und den Einsatz der technischen Mittel, die es den betroffenen Personen ermöglichen, ihre Rechte im Einklang mit der Verordnung (EU) 2018/1725 geltend zu machen.

2 Die zuständigen nationalen Behörden und die Kommission sind für Folgendes verantwortlich: a) Sie sind verantwortlich für die Verarbeitung der im Speicher erfassten personenbezogenen Daten gemäß den in Artikel 3 genannten Schnittstellen für die Speicherung, den Austausch und den Nutzerzugang sowie den Sicherheitsanforderungen nach Artikel 12 Absatz 4. b) Sie sind verantwortlich für die Gewährleistung der Sicherheit jeder Verarbeitung personenbezogener Daten außerhalb des Speichers, wenn diese Daten für die Zwecke der oder im Zusammenhang mit der Verarbeitung durch den Speicher verarbeitet werden. c) Sie sind verantwortlich für die Benennung des befugten Personals, dem nach Artikel 11 Zugang zum Speicher gewährt wird, und dessen Bekanntgabe an die Agentur. d) Sie handeln als Kontaktstelle für die in ihre Zuständigkeit als alleinige Verantwortliche fallenden betroffenen Personen, auch für den Fall, dass diese ihre Rechte ausüben, und setzen hierfür erforderlichenfalls die von der Agentur gemäß Absatz 1 Buchstabe d bereitgestellten technischen Mittel oder die in Absatz 3 genannten Kommunikationskanäle ein. e) Sie unterrichten die Agentur über jeden Sicherheitsvorfall, einschließlich Verletzungen des Schutzes personenbezogener Daten, die die Sicherheit, Vertraulichkeit, Verfügbarkeit oder Integrität der übertragenen und/oder im Speicher erfassten personenbezogenen Daten gefährden könnten. f) Sie melden nach den Artikeln 33 und 34 der Verordnung (EU) 2016/679 bzw. Artikel 34 der Verordnung (EU) 2018/1725 Verletzungen des Schutzes personenbezogener Daten, die im Speicher verarbeitete personenbezogene Daten betreffen, den jeweiligen zuständigen Aufsichtsbehörden und erforderlichenfalls den betroffenen Personen.

3 Jeder gemeinsam Verantwortliche benennt a) eine Kontaktstelle mit einer funktionalen Mailbox für die Kommunikation zwischen ihnen; b) eine Kontaktstelle, die betroffene Personen bei der Ausübung ihrer Rechte gemäß den geltenden Datenschutzvorschriften unterstützt.

4 Erhält ein gemeinsam Verantwortlicher eine Anfrage einer betroffenen Person, die nicht seiner Zuständigkeit unterliegt, so leitet er sie umgehend an den zuständigen gemeinsam Verantwortlichen weiter. Auf Anfrage unterstützen sich die gemeinsam Verantwortlichen gegenseitig bei der Bearbeitung von Anfragen betroffener Personen und antworten einander unverzüglich, spätestens jedoch innerhalb von 15 Tagen nach Eingang eines Amtshilfeersuchens.

5 Benötigt ein Verantwortlicher zur Erfüllung seiner Pflichten nach den Artikeln 33 und 34 der Verordnung (EU) 2016/679 oder Artikel 34 der Verordnung (EU) 2018/1725 Informationen von einem anderen Verantwortlichen, so übermittelt er eine konkrete Anfrage an die in Absatz 3 Buchstabe a genannte funktionale Mailbox. Letzterer bemüht sich nach besten Kräften, diese Informationen zur Verfügung zu stellen.

1 Die Verantwortlichen dürfen die Ausübung der Rechte von betroffenen Personen nur in dem Umfang und so lange beschränken, wie dies zur Gewährleistung der Sicherheit in der Zivilluftfahrt unbedingt erforderlich ist. Betroffene Personen dürfen in der Ausübung ihrer Rechte nur in folgenden Fällen beschränkt werden: a) laufende Untersuchungen, Inspektionen oder Überwachungstätigkeiten nach Artikel 75 Absatz 2 Buchstabe e der Verordnung (EU) 2018/1139, die von der Agentur im Rahmen ihrer Zuständigkeiten oder von den zuständigen Behörden nach nationalem Recht oder Unionsrecht durchgeführt werden; b) laufende Verfahren vor dem Gerichtshof der Europäischen Union oder einem anderen nach nationalem oder internationalem Recht zuständigen Gericht.

2 Liegt die Verantwortung bei der Kommission und der Agentur, können sie die Ausübung der Rechte betroffener Personen im Falle laufender IT-Sicherheitsuntersuchungen, die sich direkt oder indirekt auf das Funktionieren des Speichers auswirken, nur in dem Umfang und so lange beschränken, wie dies zum Schutz der Sicherheit in der Zivilluftfahrt unbedingt erforderlich ist.

3 Alle Beschränkungen unterliegen einer Prüfung der Notwendigkeit und Verhältnismäßigkeit und müssen in Umfang und Dauer begrenzt sein.

4 Die betroffene Person, deren Rechte beschränkt werden, wird über die Gründe und den Umfang der Beschränkung unterrichtet.

1 Befugte Nutzer sind zu Folgendem verpflichtet: a) Sie müssen personenbezogene Daten, einschließlich aller Dokumente, die für die in der Verordnung (EU) 2018/1139 genannten Verfahren erforderlich sind, für einen Zeitraum von höchstens zehn Jahren ab dem Datum des Ablaufs des Dokuments oder ab dem Datum, an dem es nicht mehr gültig ist, im Speicher speichern, es sei denn, das nationale Recht schreibt eine andere Frist vor. b) Sie müssen personenbezogene Daten aus dem Speicher löschen, sobald die Speicherfrist abgelaufen ist.

2 Mit dem Speicher muss Folgendes technisch möglich sein: a) die automatische Löschung personenbezogener Daten nach Ablauf der Speicherfrist, b) die automatische Pseudonymisierung oder andere technische Lösungen mit gleicher Wirkung von zu Archivierungszwecken gespeicherten personenbezogenen Daten.

1 Nach Ablauf der Speicherfrist kann die Agentur für Archivierungs- und historische Forschungszwecke personenbezogene Daten aus dem Speicher in einem separaten Register speichern.

2 Diese personenbezogenen Daten sind auf die für den Zweck der Archivierung und Forschung im Interesse der Flugsicherheit unbedingt erforderlichen Daten zu beschränken, wobei dem Grundsatz der Datensparsamkeit nach Artikel 89 der Verordnung (EU) 2016/679 und Artikel 13 der Verordnung (EU) 2018/1725 Rechnung zu tragen ist.

3 Die Agentur entwickelt ein Protokoll für den Zugang zum Speicher. Für diesen Speicher gelten die Artikel 4, 5 und 9 bis 12.

1 Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.

2 Kapitel I und II gelten ab dem 1. April 2025.

3 Die Anforderungen an Informationsobjekte, die nach Inkrafttreten dieser Verordnung festgelegt wurden, gelten wie folgt: a) ab dem 1. Januar 2027 für die Prioritätsgruppe A, Anhang I, b) ab dem 1. Januar 2028 für die Prioritätsgruppe B, Anhang I, c) ab dem 1. Januar 2029 für die Prioritätsgruppe C, Anhang I.

4 Die Anforderungen an Informationsobjekte, die vor Inkrafttreten dieser Verordnung festgelegt wurden und in Anhang I aufgeführt sind, gelten ab dem 1. Januar 2029.