Delegierte Verordnung (EU) 2025/2050 der Kommission vom 1. Juli 2025 zur Ergänzung der Verordnung (EU) 2022/2065 des Europäischen Parlaments und des Rates durch Festlegung der technischen Bedingungen und Verfahren, unter denen die Anbieter sehr großer Online-Plattformen und sehr großer Online-Suchmaschinen zugelassenen Forschenden Daten zur Verfügung stellen müssen

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

einem der folgenden Fälle früher beenden: a) eine der Parteien beantragt ausdrücklich die Beendigung der Mediation, b) es wird deutlich, dass das Verhalten der Parteien während der Mediation und ein Mangel an Treu und Glauben es unwahrscheinlich machen, dass eine Einigung erzielt wird. (11) Führt die Mediation zu einer Einigung zwischen den Parteien, so trägt der Koordinator für digitale Dienste am Niederlassungsort dieser Einigung Rechnung, ändert gegebenenfalls das begründete Verlangen und benachrichtigt den Hauptforschenden über die Änderung. (12) Erzielen die Parteien keine Einigung, so teilt der Koordinator für digitale Dienste am Niederlassungsort dem Datenlieferanten mit, dass die zuletzt gemäß Artikel 40 Absatz 6 Unterabsatz 2 der Verordnung (EU) 2022/2065 mitgeteilte Entscheidung des Koordinators für digitale Dienste am Niederlassungsort über das Änderungsersuchen gültig bleibt und als Grundlage für weitere Verfahrensschritte dient, und er benachrichtigt den Hauptforschenden. (13) Der Koordinator für digitale Dienste am Niederlassungsort registriert in AGORA ein vom Mediator erstelltes und von allen Parteien unterzeichnetes Kurzprotokoll der Mediation. Das Protokoll muss folgende Angaben enthalten: a) das Datum des schriftlichen Mediationsersuchens des Datenlieferanten, b) die Namen und Kontaktdaten der Parteien, c) das Datum des Beginns und der Beendigung der Mediation, d) das Ergebnis der Mediation, einschließlich der erzielten Einigung oder des Grundes für die Beendigung der Mediation. Artikel 14 Konsultation unabhängiger Sachverständiger (1) Vor der Formulierung eines begründeten Verlangens oder einer Entscheidung über ein Änderungsersuchen kann der Koordinator für digitale Dienste Sachverständige konsultieren. (2) Die Sachverständigen müssen unabhängig und unparteiisch sein, einschlägige Sachkenntnis und bewährte Fähigkeiten haben und über die Kapazitäten und Ressourcen verfügen, um die gestellte Aufgabe unverzüglich zu erfüllen. (3) Um ihre Unparteilichkeit zu belegen, müssen die Sachverständigen eine Erklärung unterzeichnen, in der sie bestätigen, dass sie a) keine finanziellen oder persönlichen Verbindungen zum Datenlieferanten oder den antragstellenden Forschenden haben, b) kein eigenes Interesse am Ergebnis des Datenzugangsprozesses haben, c) in keinem Interessenkonflikten stehen. (4) Der Koordinator für digitale Dienste registriert alle gemäß Absatz 1 durchgeführten Konsultationen zusammen mit den daraufhin eingegangenen Stellungnahmen der Sachverständigen unverzüglich in AGORA. KAPITEL IV BEDINGUNGEN FÜR DIE BEREITSTELLUNG DER VERLANGTEN DATEN FÜR ZUGELASSENE FORSCHENDE Artikel 15 Datenweitergabe und Datendokumentation (1) Die Datenlieferanten teilen dem Koordinator für digitale Dienste am Niederlassungsort jeweils innerhalb von drei Arbeitstagen Folgendes mit: a) dass den zugelassenen Forschenden gemäß dem begründeten Verlangen Zugang zu den verlangten Daten gewährt worden ist, b) dass der Zugang zu den Daten für die zugelassene Forschende beendet worden ist. (2) Die Datenlieferanten stellen den zugelassenen Forschenden alle zusätzlichen Informationen zur Verfügung, die für den Zugang zu den verlangten Daten und das Verstehen dieser Daten erforderlich sind, wie z. B. Codebücher, Änderungsprotokolle und Architekturdokumentation. Falls die Bereitstellung solcher Informationen zu einer erheblichen Schwachstelle in den Diensten des Datenlieferanten führen könnte, meldet der Datenlieferant dem Koordinator für digitale Dienste am Niederlassungsort dieses Risiko und schlägt, soweit möglich, alternative Informationen vor. (3) Bei der Gewährung des Datenzugangs dürfen Datenlieferanten den zugelassenen Forschenden keine Anforderungen an die Datenverwaltung wie an die Archivierung, Speicherung, Auffrischung und Löschung stellen oder Beschränkungen des Einsatzes von Standardanalysewerkzeugen auferlegen, die die Durchführung der betreffenden Forschungsarbeiten behindern können, es sei denn, solche Anforderungen oder Beschränkungen sind in dem begründeten Verlangen ausdrücklich aufgeführt. (4) Werden personenbezogene Daten verarbeitet, dürfen die Datenanbieter den zugelassenen Forschenden keine anderen als die in dem begründeten Verlangen genannten Bedingungen in Bezug auf die Verarbeitung der zugänglich gemachten personenbezogenen Daten auferlegen. KAPITEL V SCHLUSSBESTIMMUNGEN Artikel 16 Inkrafttreten Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. Diese Verordnung ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat. Brüssel, den 1. Juli 2025 Für die Kommission Die Präsidentin Ursula VON DER LEYEN (1) ABl. L 277 vom 27.10.2022, S. 1, ELI: http://data.europa.eu/eli/reg/2022/2065/oj. (2) Durchführungsverordnung (EU) 2024/607 der Kommission vom 15. Februar 2024 über die praktischen und operativen Modalitäten für die Funktionsweise des Informationsaustauschsystems gemäß der Verordnung (EU) 2022/2065 des Europäischen Parlaments und des Rates (Gesetz über digitale Dienste) (ABl. L, 2024/607, 16.2.2024, ELI: http://data.europa.eu/eli/reg_impl/2024/607/oj). (3) Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj). (4) Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG (ABl. L 295 vom 21.11.2018, S. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj). (5) Verordnung (EU) 2022/868 des Europäischen Parlaments und des Rates vom 30. Mai 2022 über europäische Daten-Governance und zur Änderung der Verordnung (EU) 2018/1724 (Daten-Governance-Rechtsakt) (ABl. L 152 vom 3.6.2022, S. 1, ELI: http://data.europa.eu/eli/reg/2022/868/oj). (6) Richtlinie (EU) 2019/790 des Europäischen Parlaments und des Rates vom 17. April 2019 über das Urheberrecht und die verwandten Schutzrechte im digitalen Binnenmarkt und zur Änderung der Richtlinien 96/9/EG und 2001/29/EG (ABl. L 130 vom 17.5.2019, S. 92, ELI: http://data.europa.eu/eli/dir/2019/790/oj). ANHANG Zuständigkeiten der Kommission als Auftragsverarbeiterin für Datenverarbeitungstätigkeiten im Zusammenhang mit dem DSA-Datenzugangsportal 1. Die Kommission übernimmt — im Namen der Koordinatoren für digitale Dienste — die Einrichtung und den Betrieb einer sicheren und zuverlässigen IT-Infrastruktur, des DSA-Datenzugangsportals, das die Verwaltung des Datenzugangsprozesses für Forschende, Forschungsorganisationen, Datenlieferanten und Koordinatoren für digitale Dienste unterstützt und strafft. 2. Zur Erfüllung ihrer Pflichten als Auftragsverarbeiterin für die Koordinatoren für digitale Dienste kann die Kommission Dritte als Unterauftragsverarbeiter beauftragen. In diesem Fall ermächtigen die Datenverantwortlichen die Kommission zur Beauftragung oder nötigenfalls zur Ersetzung von Unterauftragsverarbeitern. Die Kommission informiert die Datenverantwortlichen über eine solche Beauftragung oder Ersetzung von Unterauftragsverarbeitern, um den Datenverantwortlichen Gelegenheit zu geben, Einwände gegen solche Änderungen zu erheben. Die Kommission stellt sicher, dass dieselben Datenschutzverpflichtungen, die in dieser Verordnung festgelegt sind, auch für diese Unterauftragsverarbeiter gelten. 3. Bei der Verarbeitung durch die Kommission werden personenbezogene Daten nur insoweit verarbeitet, wie dies für Folgendes erforderlich ist: a) Authentifizierung und Zugangskontrolle in Bezug auf alle Nutzer des DSA-Datenzugangsportal; b) Genehmigung der Durchführung der Anträge von Nutzern des DSA-Datenzugangsportals auf Erstellung, Aktualisierung und Löschung von im Antrag enthaltenen Informationen im DSA-Datenzugangsportal; c) Empfang der in Artikel 5 Absatz 3 dieser Verordnung genannten personenbezogenen Daten, die von Nutzern des DSA-Datenzugangsportals hochgeladen werden; d) Speicherung der personenbezogenen Daten im DSA-Datenzugangsportal; e) Löschung der personenbezogenen Daten an ihrem Ablaufdatum oder auf Anweisung des Datenverantwortlichen; f) Löschung aller verbleibenden personenbezogenen Daten nach Beendigung der Bereitstellung von Diensten durch das DSA-Datenzugangsportal, es sei denn, das Unionsrecht oder das Recht der Mitgliedstaaten schreibt eine Speicherung der personenbezogenen Daten vor. 4. Die Kommission trifft alle organisatorischen, physischen und logischen Sicherheitsmaßnahmen auf der Grundlage des aktuellen Stands der Technik, um das Funktionieren des DSA-Datenzugangsportals zu gewährleisten. Zu diesem Zweck muss die Kommission a) eine für das Sicherheitsmanagement des DSA-Datenzugangsportals zuständige Stelle benennen, den Datenverantwortlichen deren Kontaktdaten mitteilen und deren Verfügbarkeit zur Reaktion auf Sicherheitsbedrohungen gewährleisten; b) die Verantwortung für die Sicherheit des DSA-Datenzugangsportals übernehmen, einschließlich regelmäßiger Prüfungen, Beurteilungen und Bewertungen der Sicherheitsmaßnahmen; 5. Die Kommission trifft alle erforderlichen Sicherheitsmaßnahmen, damit der reibungslose Betrieb des DSA-Datenzugangsportals nicht beeinträchtigt wird. Dies umfasst a) Risikobewertungsverfahren, um potenzielle Bedrohungen des DSA-Datenzugangsportals zu ermitteln und abzuschätzen; b) ein Audit- und Überprüfungsverfahren i) zur Überprüfung der Übereinstimmung der umgesetzten Sicherheitsmaßnahmen mit den geltenden Sicherheitsvorgaben, ii) zur regelmäßigen Kontrolle der Integrität des DSA-Datenzugangsportals, der Sicherheitsparameter und der erteilten Genehmigungen, iii) zur Erkennung von Sicherheitsverletzungen und von unbefugtem Eindringen in das DSA-Datenzugangsportal, iv) zur Umsetzung von Änderungen zur Behebung bestehender Sicherheitslücken im DSA-Datenzugangsportal, v) zur Festlegung der Bedingungen, unter denen — auch auf Anfrage der Datenverantwortlichen — unabhängige Audits einschließlich Inspektionen sowie Überprüfungen von Sicherheitsmaßnahmen im Einklang mit den Bedingungen des Protokolls (Nr. 7) über die Vorrechte und Befreiungen der Europäischen Union, das dem Vertrag über die Arbeitsweise der Europäischen Union beigefügt ist, durchgeführt werden können und die Mitwirkung an diesen Audits und Überprüfungen zulässig ist; c) ein Änderungskontrollverfahren, um die Auswirkungen einer Änderung vor ihrer Umsetzung zu dokumentieren und abzuschätzen und die Datenverantwortlichen über alle Änderungen auf dem Laufenden zu halten, die sich auf die Kommunikation mit dem DSA-Datenzugangsportal und/oder dessen Sicherheit auswirken können; d) die Festlegung eines Wartungs- und Reparaturverfahrens mit Regeln und Bedingungen für die Wartung und/oder Reparatur des DSA-Datenzugangsportals; e) die Festlegung eines Verfahrens in Bezug auf Sicherheitsvorfälle zur Bestimmung des Melde- und Eskalationsprogramms, zur unverzüglichen Unterrichtung der Datenverantwortlichen über jegliche Verletzung des Schutzes personenbezogener Daten, unter anderem, damit diese die nationalen Datenschutzaufsichtsbehörden informieren können, sowie zur Festlegung eines Disziplinarverfahrens, um gegen Sicherheitsverletzungen im DSA-Datenzugangsportal vorzugehen. 6. Die Kommission ergreift physische und/oder logische Sicherheitsmaßnahmen auf der Grundlage des aktuellen Stands der Technik für die Einrichtungen, in denen das DSA-Datenzugangsportal untergebracht ist, und für die Kontrollen der Daten und der Sicherheit des Zugriffs darauf. Zu diesem Zweck muss die Kommission a) die physische Sicherheit durchsetzen, um abgegrenzte Sicherheitsbereiche einzurichten und das Erkennen von Verstößen im DSA-Datenzugangsportal zu ermöglichen; b) den Zugang zu den Einrichtungen des DSA-Datenzugangsportals kontrollieren; c) sicherstellen, dass Ausrüstungen nicht ohne Vorabgenehmigung durch die benannten zuständigen Stellen hinzugefügt, ersetzt oder entfernt werden können; d) den Zugriff vom und auf das DSA-Datenzugangsportal kontrollieren; e) sicherstellen, dass die Nutzer des DSA-Datenzugangsportals, die auf das DSA-Datenzugangsportal zugreifen, authentifiziert werden; f) die Genehmigungsrechte für den Zugang zum DSA-Datenzugangsportal überprüfen, falls eine Sicherheitsverletzung in Bezug auf das DSA-Datenzugangsportal eintritt; g) die Integrität der über das DSA-Datenzugangsportal übermittelten Informationen wahren; h) technische und organisatorische Sicherheitsmaßnahmen umsetzen, um unbefugten Zugriff auf personenbezogene Daten im DSA-Datenzugangsportal zu verhindern; i) erforderlichenfalls Maßnahmen zur Sperrung des unbefugten Zugangs zum DSA-Datenzugangsportal umsetzen (d. h. Sperrung eines Standorts/einer IP-Adresse). 7. Die Kommission a) ergreift Maßnahmen zum Schutz ihrer Netzdomäne, einschließlich der Trennung von Anschlüssen, im Falle einer erheblichen Abweichung von den Qualitäts- und Sicherheitsgrundsätzen und -konzepten; b) unterhält einen Risikomanagementplan in Bezug auf ihren Zuständigkeitsbereich; c) überwacht in Echtzeit die Leistung aller Dienstkomponenten des DSA-Datenzugangsportals, erstellt regelmäßige Statistiken und führt Aufzeichnungen; d) leistet den Nutzern des DSA-Datenzugangsportals Unterstützung für das DSA-Datenzugangsportal in englischer Sprache; e) unterstützt die Datenverantwortlichen durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung ihrer Verpflichtung zur Bearbeitung von Anfragen/Anträgen in Bezug auf die Ausübung der Rechte der betroffenen Person gemäß Kapitel III der Verordnung (EU) 2016/679; f) unterstützt die Datenverantwortlichen durch die Bereitstellung von Informationen über das DSA-Datenzugangsportal bei der Erfüllung der Verpflichtungen gemäß den Artikeln 32, 33, 34, 35 und 36 der Verordnung (EU) 2016/679; g) stellt sicher, dass die im DSA-Datenzugangsportal verarbeiteten Daten für Personen, die nicht zugriffsbefugt sind, unverständlich sind; h) trifft alle zweckdienlichen Maßnahmen, um den unbefugten Zugriff auf die über das DSA-Datenzugangsportal übermittelten personenbezogenen Daten zu verhindern; i) trifft Maßnahmen, um die Kommunikation zwischen den Datenverantwortlichen zu erleichtern; j) führt gemäß Artikel 31 Absatz 2 der Verordnung (EU) 2018/1725 ein Verzeichnis aller im Auftrag der Datenverantwortlichen durchgeführten Verarbeitungsvorgänge. ELI: http://data.europa.eu/eli/reg_del/2025/2050/oj ISSN 1977-0642 (electronic edition)