Delegierte Verordnung (EU) 2024/436 der Kommission vom 20. Oktober 2023 zur Ergänzung der Verordnung (EU) 2022/2065 des Europäischen Parlaments und des Rates durch Festlegung von Vorschriften für die Durchführung von Prüfungen sehr großer Online-Plattformen und sehr großer Online-Suchmaschinen

In dieser Verordnung werden Vorschriften für die Durchführung von Prüfungen nach Artikel 37 der Verordnung (EU) 2022/2065 in Bezug auf Folgendes festgelegt: a) die Verfahrensschritte, mit denen sichergestellt wird, dass die auszuwählende Prüfstelle die in Artikel 37 Absatz 3 der Verordnung (EU) 2022/2065 festgelegten Bedingungen erfüllt; b) die Verfahrensschritte für die Zusammenarbeit und die Unterstützung durch den geprüften Anbieter bei der Durchführung von Prüfungen, einschließlich des Zugangs zu einschlägigen Informationen im Hinblick auf die Erlangung von Prüfbelegen; c) die Festlegung und Auswahl der Prüfungsmethoden; d) die Vorlagen für den Prüfbericht und den Bericht über die Umsetzung der Prüfergebnisse.

Für die Zwecke dieser Verordnung bezeichnet der Ausdruck 1. „Prüfstelle“ eine einzelne Organisation, ein Konsortium oder eine sonstige Kombination von Organisationen, einschließlich Unterauftragnehmern, die der geprüfte Anbieter mit der Durchführung einer unabhängigen Prüfung nach Artikel 37 der Verordnung (EU) 2022/2065 beauftragt hat; 2. „geprüfter Dienst“ eine sehr große Online-Plattform oder eine sehr große Online-Suchmaschine, die nach Artikel 33 der Verordnung (EU) 2022/2065 benannt wurde; 3. „geprüfter Anbieter“ den Anbieter eines geprüften Dienstes, der unabhängigen Prüfungen nach Artikel 37 Absatz 1 der genannten Verordnung unterliegt; 4. „geprüfte Pflicht oder Verpflichtungszusage“ eine Pflicht oder Verpflichtungszusage nach Artikel 37 Absatz 1 der Verordnung (EU) 2022/2065, die Gegenstand der Prüfung ist; 5. „Prüfkriterien“ die Kriterien, anhand deren die Prüfstelle die Einhaltung jeder geprüften Pflicht oder Verpflichtungszusage bewertet; 6. „Prüfbelege“ sämtliche Informationen, die von einer Prüfstelle zur Untermauerung der Prüfungsfeststellungen und -schlussfolgerungen und zur Abgabe einer Stellungnahme verwendet werden, einschließlich Daten aus Dokumenten, Datenbanken oder IT-Systemen, Befragungen oder Tests; 7. „Falschangabe“ eine vorsätzliche oder unbeabsichtigte Auslassung, eine falsche Darstellung oder einen Fehler in den Erklärungen oder Daten, die der geprüfte Anbieter der Prüfstelle mitgeteilt oder übermittelt hat, oder in der Testumgebung, die der geprüfte Anbieter der Prüfstelle bereitgestellt hat; 8. „Prüfrisiko“ das Risiko, dass die Prüfstelle eine unzutreffende Stellungnahme abgibt oder zu einer unzutreffenden Schlussfolgerung hinsichtlich der Einhaltung einer geprüften Pflicht oder Verpflichtungszusage durch den geprüften Anbieter gelangt, wobei die Aufdeckungsrisiken, inhärenten Risiken und Kontrollrisiken in Bezug auf die geprüfte Pflicht oder Verpflichtungszusage zu berücksichtigen sind; 9. „Aufdeckungsrisiko“ das Risiko, dass die Prüfstelle eine Falschangabe nicht entdeckt, die für die Bewertung der Einhaltung einer geprüften Pflicht oder Verpflichtungszusage durch den geprüften Anbieter relevant ist; 10. „inhärentes Risiko“ das Risiko der Nichteinhaltung, das untrennbar mit der Art, der Konzeption, der Tätigkeit und der Nutzung des geprüften Dienstes sowie dem Kontext, in dem dieser betrieben wird, zusammenhängt, sowie das Risiko der Nichteinhaltung im Zusammenhang mit der Art der geprüften Pflicht oder Verpflichtungszusage; 11. „Kontrollrisiko“ das Risiko, dass Falschangaben nicht rechtzeitig im Rahmen interner Kontrollen des geprüften Anbieters verhindert, entdeckt und korrigiert werden; 12. „Wesentlichkeitsschwelle“ den Schwellenwert, über dem Abweichungen oder Falschangaben des geprüften Anbieters — einzeln oder in aggregierter Form — die Prüfungsfeststellungen und -schlussfolgerungen sowie die Stellungnahmen ernsthaft beeinträchtigen; 13. „hinreichendes Maß an Sicherheit“ ein hohes, aber nicht absolutes Maß an Sicherheit, das es der Prüfstelle ermöglicht, in ihrer Stellungnahme und ihren Prüfungsschlussfolgerungen auf der Grundlage ausreichender und geeigneter Nachweise festzustellen, ob der geprüfte Anbieter die geprüften Pflichten oder Verpflichtungszusagen einhält; 14. „interne Kontrolle“ sämtliche Maßnahmen, Verfahren und Tests, die vom geprüften Anbieter, einschließlich seiner Compliance-Beauftragten und seines Leitungsorgans, konzipiert, umgesetzt und aufrechterhalten werden, um die Einhaltung der geprüften Pflicht oder Verpflichtungszusage durch den geprüften Anbieter zu überwachen und sicherzustellen; 15. „zugelassener Forscher“ eine Forscherin bzw. einen Forscher, die bzw. der nach Artikel 40 Absatz 8 der Verordnung (EU) 2022/2065 mit diesem Status anerkannt wurde; 16. „Prüfverfahren“ jede Technik, die die Prüfstelle bei der Durchführung der Prüfung anwendet, einschließlich der Erhebung von Daten, der Wahl und Anwendung von Methoden wie Tests und vertiefte Analyseverfahren, sowie alle anderen Maßnahmen, die zur Erhebung und Analyse von Informationen zur Sammlung von Prüfbelegen und zur Formulierung von Prüfungsschlussfolgerungen ergriffen werden, einschließlich der Erstellung einer Stellungnahme oder des Prüfberichts; 17. „Test“ eine Prüfungsmethode, die aus Messungen, Experimenten oder anderen Kontrollen, darunter Kontrollen algorithmischer Systeme, besteht und durch die die Prüfstelle die Einhaltung der geprüften Pflicht oder Verpflichtung durch den geprüften Anbieter bewertet; 18. „vertieftes Analyseverfahren“ eine Prüfungsmethode, die von der Prüfstelle verwendet wird, um Informationen zu bewerten, aus denen auf Prüfrisiken oder die Einhaltung der geprüften Pflicht oder Verpflichtungszusage geschlossen werden kann.

1 Die Prüfung wird in einer Weise und für einen Zeitraum durchgeführt, die es der Prüfstelle ermöglichen, die Einhaltung aller geprüften Pflichten und Verpflichtungszusagen durch den geprüften Anbieter mit einem hinreichenden Maß an Sicherheit zu bewerten.

2 Die Prüfung erstreckt sich auf den Zeitraum, der unmittelbar nach dem von der vorherigen Prüfung abgedeckten Zeitraum beginnt und an einem Tag endet, der es der Prüfstelle ermöglicht, die Prüfung innerhalb des in Artikel 37 Absatz 1 der Verordnung (EU) 2022/2065 vorgeschriebenen Zeitrahmens durchzuführen, unter anderem indem sie ihre Bewertung gemäß Absatz 1 auf der Grundlage der in diesem Zeitraum gesammelten Nachweise und durchgeführten Prüfverfahren abgibt und den Prüfbericht gemäß Artikel 37 Absatz 4 der genannten Verordnung fertigstellt und dem geprüften Anbieter vorlegt.

3 Wurde kein früheres Audit durchgeführt, deckt die Prüfung den Zeitraum ab, der vier Monate nach der Mitteilung gemäß Artikel 33 Absatz 6 Unterabsatz 1 der Verordnung (EU) 2022/2065 beginnt, und die Dauer der Prüfung muss es ermöglichen, dass der Prüfbericht gemäß Artikel 6 Absatz 1 spätestens innerhalb eines Jahres nach Beginn des geprüften Zeitraums abgeschlossen werden kann.

1 Vor der Auswahl einer Prüfstelle im Hinblick auf die Durchführung der Prüfung prüft der geprüfte Anbieter, ob die auszuwählende Stelle die Anforderungen nach Artikels 37 Absatz 3 der Verordnung (EU) 2022/2065 erfüllt.

2 Besteht die auszuwählende Prüfstelle aus mehr als einer juristischen Person oder beabsichtigt sie, einen oder mehrere Unterauftragnehmer in Anspruch zu nehmen, so prüft der geprüfte Anbieter, ob alle diese juristischen Personen oder Unterauftragnehmer a) für sich genommen die Anforderungen nach Artikel 37 Absatz 3 Buchstaben a und c der Verordnung (EU) 2022/2065 erfüllen; b) gemeinsam die Anforderungen nach Artikel 37 Absatz 3 Buchstabe b der Verordnung (EU) 2022/2065 erfüllen;

1 Zu einem mit der Prüfstelle vereinbarten Zeitpunkt und in jedem Fall vor Durchführung eines Prüfverfahrens übermittelt der geprüfte Anbieter der ausgewählten Prüfstelle mindestens die folgenden Informationen: a) eine Beschreibung der internen Kontrollen, die in Bezug auf jede geprüfte Pflicht und Verpflichtungszusage eingeführt wurden, einschließlich zugehöriger Indikatoren und aller aktuellen und historischen Messungen, sowie Referenzwerte, die der geprüfte Anbieter verwendet hat, um die Einhaltung der geprüften Pflichten und Verpflichtungszusagen zu bestätigen oder zu überwachen, sowie alle Belege; b) seine vorläufige Analyse der inhärenten Risiken und Kontrollrisiken, sofern der geprüfte Anbieter eine solche Analyse durchgeführt hat, sowie alle Belege; c) Informationen über relevante Entscheidungsstrukturen, Zuständigkeiten der Abteilungen des Anbieters, einschließlich der Compliance-Funktion gemäß Artikel 41 der Verordnung (EU) 2022/2065, relevante IT-Systeme, Datenquellen, -verarbeitung und -speicherung sowie Erläuterungen zu relevanten algorithmischen Systemen und deren Interaktionen.

2 Der geprüfte Anbieter gewährt der Prüfstelle unverzüglich Zugang zu allen für die Durchführung der Prüfung erforderlichen Daten, einschließlich personenbezogener Daten, Unterlagen, Informationen über Verfahren und Prozesse, sowie zu den IT-Systemen, den Testumgebungen, dem Personal und den Räumlichkeiten des Anbieters sowie zu allen einschlägigen Unterauftragnehmern.

3 Der geprüfte Anbieter stellt alle erforderlichen Ressourcen zur Verfügung und stellt der Prüfstelle die Unterstützung und die Erläuterungen bereit, die sie benötigt, um die einschlägigen Informationen zu analysieren und Tests durchzuführen, auch wenn die von der Prüfstelle gemäß Artikel 37 Absatz 3 der Verordnung (EU) 2022/2065 angeforderten Informationen sich im Besitz von dritten Vertragspartnern des geprüften Anbieters befinden.

1 Der Prüfbericht nach Artikel 37 Absatz 4 der Verordnung (EU) 2022/2065 wird von der Prüfstelle ohne Einflussnahme seitens des geprüften Anbieters erstellt. Dieser Prüfbericht wird nach der Vorlage in Anhang I erstellt und enthält detaillierte und begründete Schlussfolgerungen in Bezug auf alle Elemente der Vorlage.

2 Gegebenenfalls wird der Bericht über die Umsetzung der Prüfergebnisse nach Artikel 37 Absatz 6 der Verordnung (EU) 2022/2065 gemäß der Vorlage in Anhang II erstellt.

1 Der geprüfte Anbieter und die Prüfstelle schließen eine schriftliche Vereinbarung, in der Folgendes festgelegt ist: a) die erschöpfende Liste der geprüften Pflichten und Verpflichtungszusagen; b) die Zuständigkeiten der Prüfstelle, gegebenenfalls einschließlich detaillierter Angaben zu jeder juristischen Person, aus der die Prüfstelle besteht, und der zur Unterzeichnung des Prüfberichts befugten Parteien; c) die Verfahren und Kontaktstellen, die der geprüfte Anbieter der Prüfstelle zur Verfügung stellt, um Zugang zu den in Artikel 5 Absatz 2 genannten Daten zu beantragen; d) den Zeitrahmen für die Prüfung, einschließlich des Anfangs- und Enddatums der Prüfverfahren und der Fertigstellung des Prüfberichts; e) ein Verfahren zur Beilegung von Streitigkeiten zwischen dem geprüften Anbieter und der Prüfstelle, die sich aus der Durchführung der Prüfung ergeben.

2 Die in Absatz 1 genannte Vereinbarung sowie alle anderen zwischen der Prüfstelle und dem geprüften Anbieter im Zusammenhang mit der Durchführung der Prüfung geschlossenen Vereinbarungen oder Prüfungsaufträge werden dem Prüfbericht beigefügt.

3 Werden während der Durchführung der Prüfung Änderungen an der in Absatz 1 genannten Vereinbarung vorgenommen, wird auf diese im Prüfbericht explizit hingewiesen.

1 Der Prüfbericht enthält die Prüfungsschlussfolgerungen, die die Prüfstelle hinsichtlich der Einhaltung der einzelnen geprüften Pflichten und Verpflichtungszusagen durch den geprüften Anbieter gezogen hat. Die Prüfungsschlussfolgerungen sind a) „positiv“, wenn die Prüfstelle mit einem hinreichenden Maß an Sicherheit zu dem Schluss gelangt, dass der geprüfte Anbieter einer geprüften Pflicht oder Verpflichtungszusage nachgekommen ist; b) „positiv mit Anmerkungen“, wenn die Prüfstelle zwar mit einem hinreichenden Maß an Sicherheit zu dem Schluss gelangt, dass der geprüfte Anbieter einer geprüften Pflicht oder Verpflichtungszusage nachgekommen ist, i) die Prüfstelle jedoch Anmerkungen zu den Referenzwerten aufnimmt, die der geprüfte Anbieter nach Artikel 5 Absatz 1 Buchstabe a übermittelt hat, oder ii) die Prüfstelle jedoch Verbesserungen empfiehlt, die sich nicht wesentlich auf ihre Schlussfolgerung auswirken; c) „negativ“, wenn die Prüfstelle mit einem hinreichenden Maß an Sicherheit zu dem Schluss gelangt, dass der geprüfte Anbieter einer geprüften Pflicht oder Verpflichtungszusage nicht nachgekommen ist.

2 Enthält ein Prüfbericht operative Empfehlungen nach Artikel 37 Absatz 4 Buchstabe h der Verordnung (EU) 2022/2065, so gelten diese Empfehlungen und ihr empfohlener Zeitrahmen spezifisch für jede geprüfte Pflicht oder Verpflichtungszusage, für die die Prüfungsschlussfolgerung nach Absatz 1 „positiv mit Anmerkungen“ oder „negativ“ lautet.

3 Umfassen die in Absatz 2 genannten operativen Empfehlungen spezifische Maßnahmen zur Gewährleistung der Einhaltung, so wird darin erläutert, wie sich diese Maßnahmen gemäß der Bewertung der Prüfstelle auf die Wesentlichkeitsschwelle im Vergleich zur Prüfungsschlussfolgerung für die jeweilige geprüfte Pflicht oder Verpflichtungszusage auswirken würden.

4 Auf der Grundlage der Prüfungsschlussfolgerungen enthält der Prüfbericht eine Stellungnahme zur Einhaltung aller geprüften Pflichten nach Artikel 37 Absatz 1 Buchstabe a der Verordnung (EU) 2022/2065 durch den geprüften Anbieter.

5 Auf der Grundlage der Schlussfolgerungen zu allen geprüften Verpflichtungszusagen enthält der Prüfbericht eine oder gegebenenfalls mehrere Stellungnahmen zur Einhaltung aller geprüften Verpflichtungszusagen, die vom geprüften Anbieter gemäß den in Artikel 37 Absatz 1 Buchstabe b der Verordnung (EU) 2022/2065 genannten Verhaltenskodizes und Krisenprotokollen gemacht wurden.

6 Stellungnahmen nach den Absätzen 4 und 5 sind a) „positiv“, wenn die Prüfstelle für alle geprüften Pflichten oder Verpflichtungszusagen eine „positive“ Prüfungsschlussfolgerung gezogen hat; b) „positiv mit Anmerkungen“, wenn die Prüfstelle für eine geprüfte Pflicht oder Verpflichtungszusage mindestens zu einer Prüfungsschlussfolgerung, die „positiv mit Anmerkungen“ lautet, gelangt ist und für keine der geprüften Pflichten oder Verpflichtungszusagen eine „negative“ Prüfungsschlussfolgerung gezogen hat; c) „negativ“, wenn die Prüfstelle für mindestens eine geprüfte Pflicht oder Verpflichtungszusage eine „negative“ Prüfungsschlussfolgerung gezogen hat.

7 Ist der Anbieter gemäß der Bewertung der Prüfstelle während einer begrenzten Zeit innerhalb des in Artikel 3 Absatz 2 genannten Zeitraums einer geprüften Pflicht oder Verpflichtungszusage nicht nachgekommen, so wird diese Bewertung im Prüfbericht ordnungsgemäß dokumentiert.

8 Kann die Prüfstelle nicht mit einem hinreichenden Maß an Sicherheit eine Prüfungsschlussfolgerung nach Absatz 1 oder eine Stellungnahme nach den Absätzen 4 und 5 abgeben, so enthält der Prüfbericht eine Erläuterung der Umstände und der Gründe, warum ein solches Maß an Sicherheit nicht erreicht werden konnte.

1 Der Prüfbericht enthält eine fundierte Analyse des Prüfrisikos, die von der Prüfstelle durchgeführt wird, um zu bewerten, ob der geprüfte Anbieter jede geprüfte Pflicht oder Verpflichtungszusage einhält.

2 Die Analyse des Prüfrisikos erfolgt vor der Durchführung von Prüfverfahren und wird während der Durchführung der Prüfung unter Berücksichtigung neuer Prüfbelege aktualisiert, die nach dem fachlichen Urteil der Prüfstelle die Bewertung des Prüfrisikos wesentlich verändern.

3 Die Analyse des Prüfrisikos trägt folgenden Faktoren Rechnung: a) inhärente Risiken; b) Kontrollrisiken; c) Aufdeckungsrisiken.

4 Bei der Durchführung der Analyse des Prüfrisikos wird Folgendes berücksichtigt: a) die Art des geprüften Dienstes und der gesellschaftliche und wirtschaftliche Kontext, in dem der geprüfte Dienst betrieben wird, einschließlich der Wahrscheinlichkeit und Schwere einer Exposition gegenüber Krisensituationen und unerwarteten Ereignissen; b) die Art der Pflichten und Verpflichtungszusagen; c) sonstige zweckdienliche Informationen, darunter i) gegebenenfalls Informationen aus früheren Prüfungen, denen der geprüfte Dienst unterzogen wurde; ii) gegebenenfalls Informationen aus Berichten des Europäischen Gremiums für digitale Dienste oder von der Kommission nach Artikel 35 Absätze 2 und 3 der Verordnung (EU) 2022/2065 herausgegebenen Leitlinien und anderen einschlägigen Orientierungshilfen der Kommission in Bezug auf die Anwendung der Verordnung (EU) 2022/2065; iii) gegebenenfalls Informationen aus Prüfberichten, die nach Artikel 42 Absatz 4 der Verordnung (EU) 2022/2065 von anderen Anbietern sehr großer Online-Plattformen oder sehr großer Online-Suchmaschinen, die unter ähnlichen Bedingungen betrieben werden oder ähnliche Dienstleistungen wie der geprüfte Dienst erbringen, veröffentlicht wurden.

1 Unbeschadet der spezifischen Prüfungsmethoden nach den Artikeln 13, 14 und 15 werden die Prüfungen unter Verwendung geeigneter Prüfungsmethoden durchgeführt, um die bewerteten Prüfrisiken auf ein Niveau zu senken, das es der Prüfstelle ermöglicht, mit einem hinreichenden Maß an Sicherheit zu Prüfungsschlussfolgerungen zu gelangen.

2 Der Prüfbericht enthält eine Beschreibung der von der Prüfstelle vor der Durchführung von Prüfverfahren entwickelten Prüfungsmethoden, die mindestens Folgendes umfasst: a) die auf der Grundlage von Informationen gemäß Artikel 5 Absatz a 1 Buchstabe a festgelegten Prüfkriterien, die zur Bewertung der Einhaltung jeder geprüften Pflicht oder Verpflichtungszusage verwendet werden, sowie die tolerierte und gegebenenfalls qualitativ oder quantitativ formulierte Wesentlichkeitsschwelle; b) alle Tests und vertieften Analyseverfahren sowie Prüfbelege, die die Prüfstelle für jede geprüfte Pflicht oder Verpflichtungszusage zu verwenden beabsichtigt, um deren Einhaltung zu bewerten. Der Prüfbericht enthält eine Beschreibung etwaiger Änderungen der bei der Durchführung der Prüfung verwendeten Methoden im Vergleich zu den Methoden, die vor der Durchführung der Prüfverfahren konzipiert wurden.

3 Hat eine Prüfstelle begründete Zweifel an den bei der Durchführung der Prüfung bewerteten Informationen, insbesondere in Bezug auf die von dem geprüften Anbieter vorgelegten Informationen, so sind die Wahl und Anwendung der Methode so anzupassen, dass der Prüfstelle die erforderlichen Prüfbelege nach Artikel 11 zur Verfügung stehen.

4 Begründete Zweifel nach Absatz 3 liegen insbesondere dann vor, wenn eines der folgenden Elemente gegeben ist: a) fachliches Urteil und kritische Grundhaltung bei der Bewertung von Informationen, auch in Bezug auf interne Kontrollen des geprüften Anbieters, die die Prüfstelle dazu veranlassen, begründete Zweifel zu formulieren; b) externe Hinweise auf Prüfrisiken, insbesondere Berichte des Europäischen Gremiums für digitale Dienste nach Artikel 35 Absatz 2 der Verordnung (EU) 2022/2065, Leitlinien der Kommission nach Artikel 35 Absatz 3 der genannten Verordnung und sonstige einschlägige Orientierungshilfen der Kommission in Bezug auf die Anwendung der Verordnung (EU) 2022/2065 sowie Prüfberichte, die gemäß den in den Artikeln 45, 46 und 48 der genannten Verordnung genannten Verhaltenskodizes oder Krisenprotokollen erstellt werden; c) Informationen über Ereignisse, die während der Durchführung der Prüfung eintreten, einschließlich Krisensituationen, die zusätzliche Maßnahmen des geprüften Anbieters erfordern, um die Einhaltung bestimmter geprüfter Pflichten oder Verpflichtungszusagen sicherzustellen.

5 Die Prüfverfahren umfassen mindestens Folgendes: a) die Durchführung von Tests und vertieften Analyseverfahren für die internen Kontrollen, die der geprüfte Anbieter für jede der geprüften Pflichten oder Verpflichtungszusagen eingeführt hat; b) die Durchführung vertiefter Analyseverfahren zur Bewertung der Einhaltung jeder geprüften Pflicht und Verpflichtungszusage, auch in Bezug auf algorithmische Systeme; c) die Durchführung von Tests, auch in Bezug auf algorithmische Systeme, in Bezug auf die geprüften Pflichten und Verpflichtungszusagen, an denen die Prüfstelle begründete Zweifel im Sinne von Absatz 4 hat, und in Bezug auf geprüfte Pflichten und Verpflichtungen, wenn die Prüfstelle es für erforderlich hält, bei ihrer Wahl der Methode nach Absatz 1 Tests durchzuführen.

6 Ist es gemäß den Pflichten oder Verpflichtungszusagen nach Artikel 37 Absatz 1 der Verordnung (EU) 2022/2065 erforderlich, dass der geprüfte Anbieter bestimmte Informationen veröffentlicht, so müssen die Prüfungsmethoden eine Bewertung zu der Frage enthalten, ob diese Informationen frei von wesentlichen Fehlern oder Auslassungen sind, die andernfalls dazu führen könnten, dass die Informationen irreführend sind.

Die Prüfungsschlussfolgerungen und Stellungnahmen stützen sich auf Prüfbelege, die die beiden folgenden Anforderungen erfüllen: a) Sie sind relevant und ausreichend, um die nach Artikel 9 ermittelten Prüfrisiken zu verringern und die Prüfstelle in die Lage zu versetzen, Schlussfolgerungen und Stellungnahmen nach Artikel 8 abzugeben. b) Sie sind nach dem fachlichen Urteil und der kritischen Grundhaltung der Prüfstelle verlässlich.

1 Stützen sich die Prüfbelege ganz oder teilweise auf eine Stichprobe von Daten oder Informationen, so werden der Stichprobenumfang und die Methode für die Stichprobenauswahl so bestimmt, dass das Aufdeckungsrisiko so gering wie möglich gehalten wird und der geprüfte Anbieter keinen Einfluss nimmt.

2 Der Stichprobenumfang und die Methode für die Stichprobenauswahl werden so bestimmt, dass die Repräsentativität der Daten oder Informationen gewährleistet ist und gegebenenfalls alle folgenden Aspekte berücksichtigt werden: a) die Repräsentativität der Stichprobe für den in Artikel 3 Absätze 2 und 3 genannten Zeitraum; b) relevante Änderungen des geprüften Dienstes während dieses Zeitraums; c) relevante Änderungen des Rahmens, in dem der geprüfte Dienst während dieses Zeitraums erbracht wird; d) gegebenenfalls relevante Merkmale algorithmischer Systeme, einschließlich Personalisierung auf der Grundlage von Profiling oder sonstigen Kriterien; e) sonstige relevante Merkmale oder Untergliederungen der Daten, Informationen und Nachweise, die Gegenstand der Prüfung sind; f) gegebenenfalls Darstellung und angemessene Analyse von Bedenken in Bezug auf bestimmte Gruppen wie Minderjährige oder schutzbedürftige Gruppen und Minderheiten, in Bezug auf die geprüfte Pflicht oder Verpflichtungszusage.

3 Der Prüfbericht enthält eine Begründung für die Wahl des Stichprobenumfangs und der Methode für die Stichprobenauswahl.

1 Die Bewertung der Einhaltung des Artikels 34 der Verordnung (EU) 2022/2065 durch den geprüften Anbieter umfasst unter anderem eine Analyse aller folgenden Aspekte: a) ob der geprüfte Anbieter die in Artikel 34 Absatz 1 Unterabsatz 1 der Verordnung (EU) 2022/2065 genannten systemischen Risiken in der Union sorgfältig ermittelt, analysiert und bewertet hat, indem er unter anderem bewertet, i) wie der geprüfte Anbieter die mit seinem Dienst verbundenen Risiken ermittelt hat, wobei er regionalen und sprachlichen — auch für einen Mitgliedstaat spezifischen — Aspekten der Nutzung seines Dienstes Rechnung trägt, und ob die Risiken angemessen ermittelt wurden; ii) wie der geprüfte Anbieter die einzelnen Risiken analysiert und bewertet hat, einschließlich der Art und Weise, wie er der Wahrscheinlichkeit und der Schwere der Risiken Rechnung getragen hat, und ob die Bewertung angemessen war; iii) wie der geprüfte Anbieter die in Artikel 34 Absatz 2 Unterabsatz 1 der Verordnung (EU) 2022/2065 genannten Faktoren ermittelt, analysiert und bewertet hat, ob sie angemessen ermittelt wurden und inwieweit diese Faktoren die in Absatz 1 des genannten Artikels ermittelten Risiken beeinflussen; iv) welche Informationsquellen der geprüfte Anbieter genutzt hat und wie er die Informationen gesammelt hat, wobei auch zu bewerten ist, ob und wie er sich auf wissenschaftliche und technische Erkenntnisse stützte; v) ob und wie der geprüfte Anbieter Annahmen zu Risiken bei den am stärksten von den spezifischen Risiken betroffenen Gruppen geprüft hat; b) ob die Risikobewertung innerhalb der in Artikel 34 Absatz 1 Unterabsatz 2 der Verordnung (EU) 2022/2065 festgelegten Fristen und gegebenenfalls innerhalb der Fristen für Tätigkeiten durchgeführt wurde, die als Risikominderungsmaßnahmen zur Erkennung systemischer Risiken nach Artikel 35 Absatz 1 Buchstabe f der genannten Verordnung festgelegt wurden; c) wie der geprüfte Anbieter Funktionen ermittelt hat, die wahrscheinlich kritische Auswirkungen auf die Risiken haben, für die Risikobewertungen nach Artikel 34 Absatz 1 Unterabsatz 2 der Verordnung (EU) 2022/2065 vor ihrer Einführung durchgeführt werden sollen, ob diese Funktionen korrekt ermittelt wurden und ob die Risikobewertung angemessen durchgeführt wurde; d) ob der geprüfte Anbieter die Belege, die in Bezug auf die Risikobewertung aufbewahrt werden sollten, korrekt ermittelt hat und ob er die notwendigen Mittel vorgesehen hat, um sicherzustellen, dass diese Dokumente nach Artikel 34 Absatz 3 der Verordnung (EU) 2022/2065 mindestens drei Jahre aufbewahrt werden, und ob die Dokumente entsprechend aufbewahrt wurden.

2 Unbeschadet anderer Analysen, die erforderlich sind, um ein hinreichendes Maß an Sicherheit zu erreichen, umfassen die Methoden für die Prüfung der Einhaltung von Artikel 34 der Verordnung (EU) 2022/2065 mindestens eine Bewertung der folgenden Elemente durch die Prüfstelle: a) der internen Kontrollen, die der geprüfte Anbieter eingeführt hat, um die Durchführung der Risikobewertungen in Bezug auf jeden der in Artikel 34 Absatz 2 Unterabsatz 1 der Verordnung (EU) 2022/2065 genannten Faktoren zu überwachen; eine entsprechende Bewertung i) beruht für diese internen Kontrollen auf vertieften Analyseverfahren; ii) beruht auf Tests, bei denen ermittelt wird, ob diese internen Kontrollen verlässlich sind und sorgfältig konzipiert, durchgeführt und überwacht werden; iii) dient der Einschätzung, wie die Compliance-Beauftragten ihre Aufgaben nach Artikel 41 Absatz 3 Buchstaben b, d, e und ggf. f der Verordnung (EU) 2022/2065 durchgeführt haben und wie das Leitungsorgan des geprüften Anbieters an den Entscheidungen im Zusammenhang mit dem Risikomanagement nach Artikel 41 Absätze 6 und 7 der genannten Verordnung beteiligt war; b) der Maßnahmen, Mittel und Verfahren, die der geprüfte Anbieter eingeführt hat, um die Einhaltung von Artikel 34 der Verordnung (EU) 2022/2065 und deren Ergebnisse sicherzustellen; diese Bewertung stützt sich auf i) vertiefte Analyseverfahren; ii) Tests, einschließlich algorithmischer Systeme, wenn die Prüfstelle aufgrund der Ergebnisse der vertieften Analyseverfahren und der Bewertung der internen Kontrollen begründete Zweifel hat, oder wenn die Prüfstelle es für erforderlich hält, Tests bei ihrer Wahl der Methode nach Artikel 10 Absatz 1 durchzuführen.

3 Die von der Prüfstelle zur Untermauerung der gemäß diesem Artikel durchgeführten Bewertung analysierten Informationen umfassen unter anderem a) den vom geprüften Anbieter erstellten Risikobewertungsbericht für den betreffenden geprüften Zeitraum, der erforderlichenfalls vertrauliche Informationen enthält, die nicht zu den nach Artikel 42 Absatz 2 der genannten Verordnung veröffentlichten Informationen gehören, sowie alle Belege; b) gegebenenfalls sonstige Risikobewertungsberichte des geprüften Anbieters und Belege dazu; c) vom geprüften Anbieter nach Artikel 5 übermittelte Informationen; d) alle einschlägigen Transparenzberichte des geprüften Anbieters nach Artikel 15 Absatz 1 der Verordnung (EU) 2022/2065; e) sonstige Testergebnisse, Unterlagen, Belege, Erklärungen, die in Beantwortung schriftlicher oder mündlicher Fragen der Prüfstelle an das Personal des geprüften Anbieters abgegeben wurden, sowie gegebenenfalls vor Ort vorgebrachte Bemerkungen; f) sonstige einschlägige Belege, auch auf der Grundlage von Informationen, die vom geprüften Anbieter bereitgestellt wurden; g) sofern verfügbar, Berichte nach Artikel 35 Absatz 2 der Verordnung (EU) 2022/2065 und Orientierungshilfen der Kommission, einschließlich Leitlinien nach Artikel 35 Absatz 3 der Verordnung erstellte Leitlinien sowie andere einschlägige Orientierungshilfen der Kommission in Bezug auf die Anwendung der Verordnung (EU) 2022/2065.

4 Die von der Prüfstelle analysierten Informationen können gegebenenfalls Informationen nach Artikel 42 Absatz 4 der Verordnung (EU) 2022/2065, unter anderem aus Prüf-, Risikobewertungs- und Risikominderungsberichten, in Bezug auf andere sehr große Online-Plattformen oder sehr große Online-Suchmaschinen umfassen, oder auch Daten und Forschungsarbeiten, die von zugelassenen Forscherinnen und Forschern nach Artikel 40 Absatz 8 Buchstabe g der Verordnung öffentlich zugänglich gemacht werden.

1 Die Bewertung der Einhaltung des Artikels 35 der Verordnung (EU) 2022/2065 durch den geprüften Anbieter umfasst unter anderem eine Analyse aller folgenden Aspekte: a) wie der geprüfte Anbieter Risikominderungsmaßnahmen für jedes der in Artikel 34 Absatz 1 der Verordnung (EU) 2022/2065 genannten systemischen Risiken ermittelt hat und ob bei der Ermittlung dieser Risikominderungsmaßnahmen sorgfältig vorgegangen wurde; b) wie der geprüfte Anbieter bewertet hat, ob die Risikominderungsmaßnahmen nach Artikel 35 Absatz 1 Buchstaben a bis k der Verordnung (EU) 2022/2065 auf den geprüften Dienst anwendbar waren und ob die Schlussfolgerung dieser Bewertung angemessen war, auch in Bezug auf die Maßnahmen, die der geprüfte Anbieter nicht ergriffen hat; c) ob die vom geprüften Anbieter eingeführten Risikominderungsmaßnahmen angemessen, verhältnismäßig und wirksam sind, um die betreffenden Risiken zu mindern, unter anderem i) indem bewertet wird, ob damit gemeinsam auf alle Risiken reagiert wird, unter besonderer Berücksichtigung der Risiken im Zusammenhang mit der Ausübung der Grundrechte; ii) indem vergleichend bewertet wird, wie den Risiken vor und nach der Einführung der spezifischen Risikominderungsmaßnahmen begegnet wurde; iii) ob die Risikominderungsmaßnahmen angemessen konzipiert und durchgeführt wurden.

2 Unbeschadet anderer Analysen, die erforderlich sind, um ein hinreichendes Maß an Sicherheit zu erreichen, umfassen die Methoden für die Prüfung der Einhaltung von Artikel 35 der Verordnung (EU) 2022/2065 mindestens eine Bewertung der folgenden Elemente durch die Prüfstelle: a) der internen Kontrollen, die der geprüfte Anbieter eingeführt hat, um die Anwendung der Risikominderungsmaßnahmen nach Artikel 35 Absatz 1 der Verordnung (EU) 2022/2065 zu überwachen, wobei zu prüfen ist, ob diese angemessen, verhältnismäßig und wirksam sind; eine entsprechende Bewertung i) beruht für diese internen Kontrollen auf vertieften Analyseverfahren; ii) beruht auf Tests, bei denen ermittelt wird, ob diese internen Kontrollen verlässlich sind und sorgfältig konzipiert, durchgeführt und überwacht werden; iii) dient der Einschätzung, wie die Compliance-Beauftragten ihre Aufgaben nach Artikel 41 Absatz 3 Buchstaben b, d, e und ggf. f der Verordnung (EU) 2022/2065 durchgeführt haben und wie das Leitungsorgan des Anbieters nach Artikel 41 Absätze 6 und 7 der genannten Verordnung beteiligt war; b) der von den geprüften Anbietern eingeführten Risikominderungsmaßnahmen; diese Bewertung stützt sich auf i) vertiefte Analyseverfahren; ii) Tests, einschließlich algorithmischer Systeme, wenn die Prüfstelle aufgrund der Ergebnisse der vertieften Analyseverfahren und der Bewertung der internen Kontrollen begründete Zweifel hat oder wenn sie es für erforderlich hält, Tests bei ihrer Wahl der Methode nach Artikel 10 Absatz 1 durchzuführen.

3 Die von der Prüfstelle zur Untermauerung der gemäß diesem Artikel durchgeführten Bewertung analysierten Informationen umfassen unter anderem a) die vom geprüften Anbieter erstellten Risikobewertungs- und Risikominderungsberichte für den betreffenden geprüften Zeitraum, die erforderlichenfalls vertrauliche Informationen enthalten, die nicht zu den nach Artikel 42 Absatz 2 der Verordnung (EU) 2022/2065 veröffentlichten Informationen gehören, sowie alle Belege; b) gegebenenfalls sonstige Risikobewertungs- und Risikominderungsberichte des geprüften Anbieters und Belege dazu; c) vom geprüften Anbieter nach Artikel 5 übermittelte Informationen; d) alle einschlägigen Transparenzberichte des geprüften Anbieters nach Artikel 15 Absatz 1 der Verordnung (EU) 2022/2065; e) gegebenenfalls frühere Risikominderungsberichte und die zugehörigen Belege, die Zeiträume betreffen, die nicht in den geprüften Zeitraum fallen, und die erforderlichenfalls vertrauliche Informationen enthalten, die nicht zu den nach Artikel 42 Absatz 2 der Verordnung (EU) 2022/2065 veröffentlichten Informationen gehören; f) sonstige Testergebnisse, Unterlagen, Belege, Erklärungen, die in Beantwortung schriftlicher bzw. mündlicher Fragen der Prüfstelle an das Personal des geprüften Anbieters abgegeben wurden, sowie gegebenenfalls vor Ort vorgebrachte Bemerkungen; g) sonstige einschlägige Belege, auch auf der Grundlage von Informationen, die vom geprüften Anbieter bereitgestellt wurden; h) sofern verfügbar, Berichte nach Artikel 35 Absatz 2 der Verordnung (EU) 2022/2065 und Orientierungshilfen der Kommission, einschließlich Leitlinien nach Artikel 35 Absatz 3 der Verordnung erstellte Leitlinien sowie andere einschlägige Orientierungshilfen der Kommission in Bezug auf die Anwendung der Verordnung (EU) 2022/2065.

4 Die von der Prüfstelle analysierten Informationen können gegebenenfalls Informationen nach Artikel 42 Absatz 4 der Verordnung (EU) 2022/2065, unter anderem aus Prüf-, Risikobewertungs- und Risikominderungsberichten, in Bezug auf andere sehr große Online-Plattformen oder sehr große Online-Suchmaschinen umfassen, oder auch Daten und Forschungsarbeiten, die von zugelassenen Forscherinnen und Forschern nach Artikel 40 Absatz 8 Buchstabe g der Verordnung (EU) 2022/2065 öffentlich zugänglich gemacht werden.

1 Die Bewertung der Einhaltung des Artikels 36 Absatz 1 Unterabsatz 1 Buchstabe a der Verordnung (EU) 2022/2065 durch den geprüften Anbieter umfasst unter anderem eine Analyse, ob und wie der geprüfte Anbieter die erforderlichen Maßnahmen durchgeführt hat, insbesondere a) ob und wie der geprüfte Anbieter die einschlägigen Systeme ermittelt hat, die an dem Betrieb und der Nutzung seines Dienstes beteiligt sind und erheblich zu der schwerwiegenden Bedrohung beitragen, und ob diese Systeme angemessen ermittelt wurden; b) ob und wie der geprüfte Anbieter den erheblichen Beitrag zur schwerwiegenden Bedrohung definiert und überwacht hat und ob seine Bewertung angemessen war; c) jedes sonstige Erfordernis, das in dem in Artikel 36 Absatz 1 bzw. Absatz 7 Unterabsatz 2 der Verordnung (EU) 2022/2065 genannten Beschluss der Kommission festgelegt ist.

2 Die Bewertung der Einhaltung von Artikel 36 Absatz 1 Unterabsatz 1 Buchstabe b der Verordnung (EU) 2022/2065 durch den geprüften Anbieter umfasst unter anderem eine Analyse, ob und wie der geprüfte Anbieter die erforderlichen Maßnahmen durchgeführt hat, insbesondere a) ob und wie der geprüfte Anbieter Maßnahmen ermittelt hat, um einen Beitrag zu der schwerwiegenden Bedrohung zu verhindern, zu beseitigen oder zu begrenzen; b) ob und wie mit den vom geprüften Anbieter ergriffenen Maßnahmen der Schwere der schwerwiegenden Bedrohung und der Dringlichkeit begegnet wurde und ob die Maßnahmen in dieser Hinsicht angemessen waren; c) ob und wie der geprüfte Anbieter die von den Maßnahmen betroffenen Parteien und ihre berechtigten Interessen ermittelt hat und wie der geprüfte Anbieter die tatsächlichen oder potenziellen Auswirkungen der Maßnahmen auf die Rechte dieser Parteien, einschließlich der Grundrechte, und ihre berechtigten Interessen bewertet hat; d) ob die von dem geprüften Anbieter ergriffenen Maßnahmen wirksam und verhältnismäßig waren; e) jedes sonstige Erfordernis, das in dem in Artikel 36 Absatz 1 bzw. Absatz 7 Unterabsatz 2 der Verordnung (EU) 2022/2065 genannten Beschluss der Kommission festgelegt ist.

3 Die Bewertung der Einhaltung des Artikels 36 Absatz 1 Unterabsatz 1 Buchstabe c der Verordnung (EU) 2022/2065 durch den geprüften Anbieter umfasst unter anderem eine Analyse der Art und Weise, wie der geprüfte Anbieter die erforderliche Maßnahme durchgeführt hat, insbesondere, ob der geprüfte Anbieter der Kommission die im Beschluss der Kommission nach Artikel 36 Absatz 1 bzw. Absatz 7 Unterabsatz 2 der Verordnung (EU) 2022/2065 vorgeschriebenen erforderlichen Informationen übermittelt hat, und ob diese Berichte korrekt waren.

1 Die Einhaltung der in Artikel 37 der Verordnung (EU) 2022/2065 und in der vorliegenden Verordnung festgelegten Pflichten wird im Zusammenhang mit der Prüfung bzw. den Prüfungen bewertet, die im Jahreszeitraum vor der laufenden Prüfung durchgeführt wurden.

2 Zusätzlich zu Absatz 1 umfasst die Prüfung eine Bewertung der Einhaltung des Artikels 37 Absatz 2 der Verordnung (EU) 2022/2065 durch den geprüften Anbieter in Bezug auf die laufende Prüfung.

3 Wurden in Absatz 1 genannte frühere Prüfungen von derselben Prüfstelle wie die laufende Prüfung durchgeführt oder besteht die Prüfstelle, die die laufende Prüfung durchführt, aus mindestens einer juristischen Person, die an der früheren Prüfung teilgenommen hat, muss im Prüfbericht dargelegt werden, welche Schritte die Prüfstelle unternommen hat, um die Objektivität der Bewertung sicherzustellen.

1 Der geprüfte Anbieter stellt der Prüfstelle Folgendes zur Verfügung: a) eine Liste und den Wortlaut aller Verhaltenskodizes nach den Artikeln 45 und 46 der Verordnung (EU) 2022/2065 und der Krisenprotokolle nach Artikel 48 der genannten Verordnung, die der geprüfte Anbieter unterzeichnet hat; b) eine detaillierte Liste der Verpflichtungszusagen, die der geprüfte Anbieter in diesen Verhaltenskodizes und Krisenprotokollen gemacht hat; c) gegebenenfalls die wesentlichen Leistungsindikatoren, die im Rahmen der einzelnen Verhaltenskodizes und Krisenprotokolle vereinbart wurden; d) gegebenenfalls verfügbare Messungen, Daten und Unterlagen sowie vom geprüften Anbieter erstellte Berichte über die Einhaltung der gemachten Verpflichtungszusagen durch den geprüften Anbieter, einschließlich des Zugangs zu allen einschlägigen Informationen und Daten im Zusammenhang mit dem Betrieb der vom geprüften Anbieter angebotenen Dienste, die für die Umsetzung des Verhaltenskodex oder des Krisenprotokolls von Belang sind; e) gegebenenfalls sonstige von den Unterzeichnern des Verhaltenskodex oder des Krisenprotokolls erstellte Messungen, Daten und Unterlagen sowie die Bewertungen durch die Kommission oder das Gremium nach Artikel 45 Absatz 4 der Verordnung (EU) 2022/2065.

2 Die Bewertung der Einhaltung der in Artikel 45 der Verordnung (EU) 2022/2065 genannten Verhaltenskodizes durch den geprüften Anbieter umfasst unter anderem die Messung der wesentlichen Leistungsindikatoren, die im Verhaltenskodex nach Artikel 45 Absatz 3 der genannten Verordnung vereinbart wurden, wobei anzugeben ist, welches die Wesentlichkeitsschwelle der Prüfungsschlussfolgerungen ist und ob die mitgeteilten Daten korrekt sind.

Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.