Durchführungsverordnung (EU) 2024/607 der Kommission vom 15. Februar 2024 über die praktischen und operativen Modalitäten für die Funktionsweise des Informationsaustauschsystems gemäß der Verordnung (EU) 2022/2065 des Europäischen Parlaments und des Rates (Gesetz über digitale Dienste)

In dieser Verordnung werden die praktischen und operativen Modalitäten für die Funktionsweise eines zuverlässigen und sicheren Informationsaustauschsystems (im Folgenden „AGORA“) für die Aufsicht, Untersuchung, Durchsetzung und Überwachung gemäß der Verordnung (EU) 2022/2065 festgelegt.

1 Das Informationsaustauschsystem AGORA wird eingerichtet.

2 AGORA ist eine über das Internet zugängliche Softwareanwendung und das Instrument, das für den Austausch von Informationen, nötigenfalls auch einschließlich personenbezogener Daten, verwendet wird, der ansonsten auf anderem Wege wie Briefpost oder E-Mail erfolgen würde.

3 AGORA wird für den Informationsaustausch, einschließlich des Austauschs von Informationen, die personenbezogene Daten enthalten, zwischen den Koordinatoren für digitale Dienste, der Kommission und dem Europäischen Gremium für digitale Dienste (im Folgenden „Gremium“) sowie mit anderen zuständigen Behörden, denen Zugang zu AGORA gewährt wird, zur Wahrnehmung der ihnen gemäß der Verordnung (EU) 2022/2065 übertragenen Aufgaben im Zusammenhang mit der Aufsicht, Untersuchung, Durchsetzung und Überwachung gemäß dieser Verordnung verwendet.

Für die Zwecke dieser Verordnung gelten zusätzlich zu den Begriffsbestimmungen in Artikel 3 und Artikel 49 Absatz 1 der Verordnung (EU) 2022/2065, Artikel 4 der Verordnung (EU) 2016/679 und Artikel 3 der Verordnung (EU) 2018/1725 folgende Begriffsbestimmungen: a) „AGORA“ bezeichnet das von der Kommission eingerichtete und unterhaltene Informationsaustauschsystem zur Unterstützung der gesamten Kommunikation gemäß der Verordnung (EU) 2022/2065 zwischen AGORA-Akteuren in Bezug auf die Aufsicht, Untersuchung, Durchsetzung und Überwachung gemäß der Verordnung (EU) 2022/2065; b) „AGORA-Akteur“ bezeichnet die Koordinatoren für digitale Dienste, die Kommission, das Gremium oder andere zuständige Behörden, denen Zugang zu AGORA gewährt wird oder gewährt werden kann, wenn dies für die Wahrnehmung der ihnen gemäß der Verordnung (EU) 2022/2065 übertragenen Aufgaben erforderlich ist; c) „AGORA-Nutzer“ bezeichnet eine natürliche Person, die unter der Verantwortung eines AGORA-Akteurs arbeitet, dafür in AGORA registriert ist und die dem AGORA-Akteur durch die Verordnung (EU) 2022/2065 übertragenen Aufgaben wahrnimmt; d) „AGORA-Administrator“ bezeichnet einen AGORA-Nutzer, der von einem AGORA-Akteur zur Verwaltung von AGORA für diesen Akteur ernannt wurde.

1 Die Kommission ist in Bezug auf AGORA für die Durchführung der folgenden Aufgaben zuständig: a) Bereitstellung von AGORA in allen Amtssprachen der Union und Unterhaltung von AGORA, b) Gewährleistung der Zuverlässigkeit, Sicherheit, Verfügbarkeit, Wartung und Weiterentwicklung der Software und IT-Infrastruktur von AGORA, c) Bereitstellung voll automatisierter Werkzeuge für die maschinelle Übersetzung von über AGORA ausgetauschten Dokumenten und Nachrichten/Meldungen, d) Unterstützung anderer AGORA-Akteure bei der Benutzung von AGORA, e) Registrierung mindestens eines AGORA-Administrators im Namen jedes Koordinators für digitale Dienste und des Gremiums sowie Gewährung des Zugangs zu AGORA, f) Ernennung mindestens eines AGORA-Administrators, g) Durchführung von Verarbeitungsvorgängen mit personenbezogenen Daten in AGORA, soweit in der vorliegenden Verordnung vorgesehen, im Hinblick auf die Aufsicht, Untersuchung, Durchsetzung und Überwachung gemäß der Verordnung (EU) 2022/2065, h) Prüfung, Überwachung und Erstellung von Berichten, soweit für die Prüfung und Überwachung von AGORA gemäß der Verordnung (EU) 2022/2065 erforderlich, i) Bereitstellung von Wissen, Schulungen und Unterstützung sowie von technischer Hilfe für AGORA-Administratoren, j) Überwachung der Leistung aller anderen AGORA-Akteure im Zusammenhang mit dieser Verordnung gemäß Artikel 15.

2 Um die Kommission bei der Wahrnehmung ihrer in Absatz 1 genannten Aufgaben zu unterstützen, übermitteln die anderen AGORA-Akteure der Kommission Informationen über die von ihnen im Rahmen von AGORA durchgeführten Vorgänge.

1 Die Kommission gilt in Bezug auf die Verarbeitung personenbezogener Daten bei der Registrierung von AGORA-Administratoren als Auftragsverarbeiterin im Sinne von Artikel 3 Nummer 12 der Verordnung (EU) 2018/1725.

2 Die Kommission gilt in Bezug auf die Verarbeitung personenbezogener Daten ihrer eigenen AGORA-Administratoren und AGORA-Nutzer als separate Verantwortliche im Sinne von Artikel 3 Nummer 8 der Verordnung (EU) 2018/1725.

3 Wenn die Kommission beim Betrieb von AGORA personenbezogene Daten zu Zwecken des Informationsaustauschs, der Informationsanforderung und des Zugangs zu Informationen, für Handlungsaufforderungen und Unterstützungsanfragen verarbeitet, gilt sie für die von ihr durchgeführten Verarbeitungstätigkeiten gegenüber den anderen AGORA-Akteuren als separate Verantwortliche im Sinne von Artikel 3 Nummer 8 der Verordnung (EU) 2018/1725.

4 Wenn die Kommission beim Betrieb von AGORA personenbezogene Daten im Namen anderer AGORA-Akteure zu Zwecken des Informationsaustauschs, der Informationsanforderung und des Zugangs zu Informationen, für Handlungsaufforderungen und Unterstützungsanfragen verarbeitet, gilt sie als Auftragsverarbeiterin im Sinne von Artikel 3 Nummer 12 der Verordnung (EU) 2018/1725.

5 Die Zuständigkeiten der Kommission als Auftragsverarbeiterin für Datenverarbeitungstätigkeiten, die solche anderen AGORA-Akteure in AGORA durchführen, werden für die Zwecke dieser Verordnung in Anhang II festgelegt.

1 Jeder Koordinator für digitale Dienste ernennt für seinen Mitgliedstaat mindestens einen AGORA-Administrator.

2 Jeder Koordinator für digitale Dienste ist dafür verantwortlich, sicherzustellen, dass in Bezug auf die Wahrnehmung der ihm gemäß der Verordnung (EU) 2022/2065 übertragenen Aufgaben nur befugte AGORA-Nutzer Zugang zu AGORA haben.

3 Jeder Koordinator für digitale Dienste meldet der Kommission unverzüglich jeden von ihm gemäß Absatz 1 ernannten AGORA-Administrator. Die Kommission teilt diese Informationen den anderen Koordinatoren für digitale Dienste und dem Gremium mit.

4 Jeder Koordinator für digitale Dienste sorgt dafür, dass die Zuständigkeiten des AGORA-Administrators gemäß dieser Verordnung wahrgenommen werden.

5 Die Koordinatoren für digitale Dienste gelten in Bezug auf die Verarbeitung personenbezogener Daten bei der Registrierung ihrer AGORA-Nutzer und bei der Gewährung des Zugangs zu AGORA als separate Verantwortliche im Sinne von Artikel 4 Nummer 7 der Verordnung (EU) 2016/679.

6 Wenn die Koordinatoren für digitale Dienste beim Betrieb von AGORA personenbezogene Daten zu Zwecken des Informationsaustauschs, der Informationsanforderung und des Zugangs zu Informationen, für die Beantwortung von Auskunftsersuchen, für Meldungen, Handlungsaufforderungen und Unterstützungsanfragen verarbeiten, gelten sie für die von ihnen durchgeführten Verarbeitungstätigkeiten als separate Verantwortliche im Sinne der Verordnung (EU) 2016/679.

7 Wenn andere von den Mitgliedstaaten gemäß Artikel 49 Absatz 1 der Verordnung (EU) 2022/2065 benannte zuständige Behörden, bei denen es sich nicht um den Koordinator für digitale Dienste handelt, im Betrieb von AGORA personenbezogene Daten verarbeiten, gelten diese Behörden als separate Verantwortliche im Sinne der Verordnung (EU) 2016/679.

1 Das Gremium ernennt einen AGORA-Administrator. Der AGORA-Administrator ist Teil der administrativen und analytischen Unterstützung, die gemäß Artikel 62 Absatz 4 der Verordnung (EU) 2022/2065 für die Tätigkeiten des Gremiums geleistet wird.

2 Das Gremium ist dafür verantwortlich, dass nur befugte AGORA-Nutzer Zugang zu AGORA haben.

3 Das Gremium teilt der Kommission unverzüglich die Identität seines gemäß Absatz 1 ernannten AGORA-Administrators und die Aufgaben mit, für die dieser gemäß Artikel 8 der vorliegenden Verordnung zuständig ist. Die Kommission stellt diese Informationen den Koordinatoren für digitale Dienste zur Verfügung.

Die AGORA-Administratoren sind für Folgendes zuständig: a) Registrierung von AGORA-Nutzern sowie Gewährung und Entzug der Zugangsrechte für AGORA, b) Funktion als Hauptansprechpartner der Kommission in Fragen, die AGORA betreffen, einschließlich der Bereitstellung von Informationen zu Aspekten des Schutzes personenbezogener Daten im Einklang mit dieser Verordnung, der Verordnung (EU) 2016/679 und der Verordnung (EU) 2018/1725, c) Bereitstellung von Wissen, Schulungen und Unterstützung sowie von technischer Hilfe und eines Helpdesks für die von ihnen registrierten AGORA-Nutzer, d) Gewährleistung effizienter und angemessener Reaktionen seitens der AGORA-Akteure.

1 Die AGORA-Akteure erteilen und entziehen den AGORA-Administratoren, für die sie zuständig sind, die Zugangsrechte.

2 Nur befugte AGORA-Administratoren und befugte AGORA-Nutzer dürfen Zugang zu AGORA haben.

3 Die AGORA-Akteure treffen geeignete Vorkehrungen, damit AGORA-Administratoren und AGORA-Nutzer nur dann auf die in AGORA verarbeiteten personenbezogenen Daten zugreifen dürfen, wenn dies für die Aufsicht, Untersuchung, Durchsetzung und Überwachung gemäß der Verordnung (EU) 2022/2065 unbedingt erforderlich ist.

4 Wenn ein Verfahren im Zusammenhang mit der Aufsicht, Untersuchung, Durchsetzung und Überwachung gemäß der Verordnung (EU) 2022/2065 auch die Verarbeitung personenbezogener Daten umfasst, dürfen nur die an diesem Verfahren beteiligten AGORA-Administratoren und AGORA-Nutzer Zugang zu diesen personenbezogenen Daten haben.

1 Alle Mitgliedstaaten und die Kommission wenden ihre eigenen Vorschriften zur Wahrung des Berufsgeheimnisses oder vergleichbarer Vertraulichkeitspflichten auf ihre AGORA-Akteure und AGORA-Nutzer im Einklang mit nationalem Recht bzw. dem Unionsrecht an.

2 Jeder AGORA-Akteur stellt sicher, dass die unter seiner Verantwortung tätigen AGORA-Administratoren und AGORA-Nutzer den Ersuchen anderer AGORA-Akteure um vertrauliche Behandlung von über AGORA ausgetauschten Informationen nachkommen.

1 Die Übermittlung, Speicherung und sonstige Verarbeitung personenbezogener Daten in AGORA darf nur soweit sie erforderlich und verhältnismäßig ist und nur zu folgenden Zwecken erfolgen: a) Unterstützung der Kommunikation zwischen AGORA-Akteuren im Zusammenhang mit der Aufsicht, Untersuchung, Durchsetzung und Überwachung gemäß der Verordnung (EU) 2022/2065, b) Fallbearbeitung durch AGORA-Akteure bei der Ausübung ihrer eigenen Tätigkeiten im Zusammenhang mit der Aufsicht, Untersuchung, Durchsetzung und Überwachung gemäß der Verordnung (EU) 2022/2065, c) Durchführung der geschäftlichen und technischen Umwandlung der in dieser Verordnung genannten Daten, sofern dies erforderlich ist, um den in den Buchstaben a und b genannten Informationsaustausch zu ermöglichen.

2 Die Verarbeitung personenbezogener Daten darf in AGORA nur in Bezug auf die folgenden Kategorien betroffener Personen erfolgen: a) natürliche Personen, deren personenbezogene Angaben in Unterlagen enthalten sind, die im Zusammenhang mit der Aufsicht, Untersuchung, Durchsetzung und Überwachung gemäß der Verordnung (EU) 2022/2065 erlangt wurden, b) AGORA-Administratoren und AGORA-Nutzer, denen Zugang zu AGORA gewährt wird.

3 Die Verarbeitung personenbezogener Daten darf in AGORA nur in Bezug auf die folgenden Kategorien personenbezogener Daten erfolgen: a) Identifizierungsdaten, Kontaktdaten, Daten zur Beteiligung an dem betreffenden Fall, fallbezogene Daten und sonstige Informationen, die für die Aufsicht, Untersuchung, Durchsetzung und Überwachung gemäß der Verordnung (EU) 2022/2065 als notwendig erachtet werden, b) Name, Anschrift, Kontaktangaben, Telefonnummer und Benutzerkennung der AGORA-Administratoren und AGORA-Nutzer gemäß Absatz 2 Buchstabe b.

4 AGORA speichert die in Artikel 11 Absatz 3 der vorliegenden Verordnung aufgeführten Kategorien personenbezogener Daten und die Protokolle mit Informationen über die Datenflüsse und Bewegungen der im Zusammenhang mit der Aufsicht, Untersuchung, Durchsetzung und Überwachung gemäß der Verordnung (EU) 2022/2065 ausgetauschten Daten.

5 Die in Absatz 2 genannte Datenspeicherung erfolgt mithilfe von IT-Infrastrukturen, die sich im Europäischen Wirtschaftsraum befinden.

6 Jeder AGORA-Akteur sorgt dafür, dass betroffene Personen ihre Rechte im Einklang mit der Verordnung (EU) 2016/679 und der Verordnung (EU) 2018/1725 ausüben können, und ist für die Einhaltung dieser Verordnungen bei den in seinem Namen durchgeführten Verarbeitungstätigkeiten verantwortlich.

7 Die nationalen Aufsichtsbehörden und der Europäische Datenschutzbeauftragte gewährleisten im Rahmen ihrer jeweiligen Befugnisse eine koordinierte Überwachung des AGORA-Systems und dessen Nutzung durch AGORA-Administratoren und AGORA-Nutzer.

1 Die Koordinatoren für digitale Dienste sind gemeinsam Verantwortliche im Sinne des Artikels 26 Absatz 1 der Verordnung (EU) 2016/679 für die Übermittlung, Speicherung und sonstige Verarbeitung personenbezogener Daten in AGORA bezüglich der Tätigkeiten des Gremiums im Zusammenhang mit der Aufsicht, Untersuchung, Durchsetzung und Überwachung gemäß der Verordnung (EU) 2022/2065.

2 Wenn gemeinsame Untersuchungen gemäß Artikel 60 der Verordnung (EU) 2022/2065 im Zusammenhang mit der Aufsicht, Untersuchung, Durchsetzung und Überwachung gemäß der Verordnung (EU) 2022/2065 durchgeführt werden, gelten die betreffenden Koordinatoren für digitale Dienste als gemeinsam Verantwortliche im Sinne des Artikels 26 Absatz 1 der Verordnung (EU) 2016/679 für die Übermittlung, Speicherung und sonstige Verarbeitung personenbezogener Daten in AGORA im Zusammenhang mit einer bestimmten gemeinsamen Untersuchung.

3 Für die Zwecke der Absätze 1 und 2 werden die Verpflichtungen gemäß Anhang I zwischen den gemeinsam Verantwortlichen aufgeteilt.

4 Die Kommission gilt als Auftragsverarbeiterin im Sinne des Artikels 3 Nummer 12 der Verordnung (EU) 2018/1725 bezüglich der Verarbeitung personenbezogener Daten im Namen der Koordinatoren für digitale Dienste für die Zwecke der Tätigkeiten des Gremiums und für gemeinsame Untersuchungen gemäß Artikel 60 der Verordnung (EU) 2022/2065, die im Zusammenhang mit der Aufsicht, Untersuchung, Durchsetzung und Überwachung gemäß der Verordnung (EU) 2022/2065 durchgeführt werden.

1 Die Kommission trifft die erforderlichen, dem Stand der Technik entsprechenden Maßnahmen, um die Sicherheit der in AGORA verarbeiteten personenbezogenen Daten zu gewährleisten, einschließlich einer angemessenen Datenzugangskontrolle und eines Sicherheitsplans, der regelmäßig zu aktualisieren ist.

2 Die Kommission trifft die erforderlichen, dem Stand der Technik entsprechenden Maßnahmen im Hinblick auf Sicherheitsvorfälle, ergreift Abhilfemaßnahmen und stellt sicher, dass überprüft werden kann, welche personenbezogenen Daten wann, von wem und zu welchem Zweck in AGORA verarbeitet wurden.

1 Die Kommission stellt AGORA in allen Amtssprachen der Union zur Verfügung und bietet den AGORA-Nutzern automatisierte maschinelle Übersetzungswerkzeuge für die Übersetzung von in AGORA ausgetauschten Dokumenten und Nachrichten/Meldungen an.

2 Ein Koordinator für digitale Dienste oder eine andere zuständige Behörde, der Zugang zu AGORA gewährt wird, kann im Zusammenhang mit der Wahrnehmung der ihm/ihr gemäß der Verordnung (EU) 2022/2065 übertragenen Aufgaben alle in AGORA erhaltenen Informationen, Dokumente, Erkenntnisse, Feststellungen, Erklärungen oder beglaubigten Kopien auf der gleichen Grundlage vorlegen wie ähnliche Informationen, die er/sie im eigenen Land erhalten hat, und zwar zu Zwecken, die mit den Zwecken vereinbar sind, für die die Daten ursprünglich erhoben wurden, und im Einklang mit dem einschlägigen nationalen Recht und EU-Recht.

1 Die Kommission überwacht regelmäßig die Funktionsweise von AGORA und bewertet dessen Leistung regelmäßig.

2 Die Kommission legt dem Europäischen Parlament, dem Rat und dem Europäischen Datenschutzbeauftragten bis zum 17. Februar 2027 und danach alle drei Jahre einen Bericht über die Durchführung dieser Verordnung vor. Der Bericht enthält Informationen über die gemäß Absatz 1 durchgeführte Überwachung und Bewertung sowie über die von den AGORA-Akteuren in Verbindung mit AGORA zur Sicherstellung eines effizienten Informationsaustauschs und angemessener Reaktionen erbrachten Leistungen. In dem Bericht wird auch auf Durchführungsaspekte in Bezug auf den Schutz personenbezogener Daten in AGORA und die Datensicherheit eingegangen.

3 Für die Zwecke der Erstellung des in Absatz 2 genannten Berichts übermitteln die Koordinatoren für digitale Dienste, das Gremium und andere zuständige Behörden, denen Zugang gewährt wird, soweit dies zur Wahrnehmung der ihnen gemäß der Verordnung (EU) 2022/2065 übertragenen Aufgaben erforderlich ist, der Kommission jährlich alle für die Durchführung dieser Verordnung relevanten Informationen in Form von Berichten, auch über die Anwendung der in der Verordnung festgelegten Anforderungen an den Datenschutz und die Datensicherheit.

1 Die Kosten für Einrichtung, Wartung und Betrieb von AGORA werden durch die jährlichen Aufsichtsgebühren gedeckt, die von der Kommission gemäß Artikel 43 Absatz 2 der Verordnung (EU) 2022/2065 und gemäß der Delegierten Verordnung (EU) 2023/1127 der Kommission erhoben werden.

2 Die Kosten des AGORA-Betriebs auf der Ebene der Mitgliedstaaten, einschließlich der Personalkosten für Schulungen, Bekanntmachung, technische Hilfe und Helpdesk-Tätigkeiten, sowie der Verwaltung von AGORA auf nationaler Ebene und etwaiger Anpassungen nationaler Netze und Informationssysteme werden von dem Mitgliedstaat getragen, dem sie entstehen.

Die Mitgliedstaaten treffen alle erforderlichen Maßnahmen, um die effektive Durchführung dieser Verordnung durch ihre AGORA-Akteure sicherzustellen.

Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.