Data access for vetted researchers

Datenlieferanten und Forschende, die sich am Datenzugangsprozess beteiligen möchten, sollten zu diesem Zweck ein Konto im DSA-Datenzugangsportal einrichten. Damit die Koordinatoren für digitale Dienste auf die über das DSA-Datenzugangsportal übermittelten Informationen zugreifen können, ohne dafür ein gesondertes Konto im Portal einrichten zu müssen, sollte das DSA-Datenzugangsportal mit dem aufgrund der Durchführungsverordnung (EU) 2024/607 der Kommission(²) eingerichteten Informationsaustauschsystem AGORA interoperabel sein.

Um die Transparenz des Datenzugangsprozesses für alle Beteiligten zu gewährleisten und die Wirksamkeit und Effizienz des Datenzugangsprozesses und die Einhaltung des Artikels 40 Absatz 4 der Verordnung (EU) 2022/2065 und der vorliegenden Verordnung zu überwachen, sollte das DSA-Datenzugangsportal automatische Benachrichtigungen in Bezug auf verschiedene Schritte und Aktualisierungen des Prozesses erzeugen.

Zur Bereitstellung kohärenter Informationen über den Datenzugangsprozess an Forschende sollten die Koordinatoren für digitale Dienste über ihre Online-Schnittstellen Informationen über den Datenzugangsprozess, einschließlich Links zum DSA-Datenzugangsportal, zur Verfügung stellen und leicht zugänglich machen. Um unnötigen Verwaltungsaufwand zu vermeiden, die Effizienz zu erhöhen und die Kommunikation zwischen allen am Datenzugangsprozess Beteiligten zu erleichtern, werden die Koordinatoren für digitale Dienste dazu angehalten, die Verwaltung von Informationen im Zusammenhang mit dem Datenzugangsprozess zu erleichtern, auch aus sprachlicher Sicht.

Damit Forschende die Daten bestimmen können, die für die in Artikel 40 Absatz 4 der Verordnung (EU) 2022/2065 genannten Zwecke von Belang sind, sollten Datenlieferanten Datenkataloge für ihre Dienste zur Verfügung stellen. Diese Kataloge sollten über die Online-Schnittstellen der Datenlieferanten leicht auffindbar und zugänglich sein und die verfügbaren Datenbestände, ihre Datenstruktur und Metadaten beschreiben, zu denen nach Artikel 40 Absatz 4 der Verordnung (EU) 2022/2065 Zugang verlangt werden kann. Bei der Bereitstellung der DSA-Datenkataloge sollten die Datenlieferanten Risiken für die Vertraulichkeit, die Datensicherheit oder den Schutz personenbezogener Daten berücksichtigen, die sich aus der Veröffentlichung solcher Informationen ergeben können.

Um zur Entwicklung einschlägiger Forschungsprojekte zu den in Artikel 40 Absatz 4 der Verordnung (EU) 2022/2065 genannten Zwecken beizutragen, sollten die DSA-Datenkataloge insbesondere Daten zu den systemischen Risiken in der Union enthalten, die Datenlieferanten in ihren jährlichen Risikobewertungen gemäß Artikel 34 der genannten Verordnung ermittelt haben, sowie Daten im Zusammenhang mit etwaigen Risikominderungsmaßnahmen gemäß Artikel 35 der genannten Verordnung. Zur Gewährleistung der Relevanz und Aktualität der DSA-Datenkataloge sollten diese Kataloge regelmäßig unter gebührender Berücksichtigung neu ermittelter Systemrisiken und der Entwicklung von Systemrisiken aktualisiert werden. Beispielsweise sollten sie neu auftretende Risiken widerspiegeln, die im Anschluss an eine Ad-hoc-Risikobewertung gemäß Artikel 34 der Verordnung (EU) 2022/2065 oder an einen Prüfbericht gemäß Artikel 37 der genannten Verordnung ermittelt werden. Damit der Verfahrensaufwand für die Datenlieferanten so gering wie möglich gehalten wird, können sich solche Kataloge gegebenenfalls auf vorhandene Datendokumentationsressourcen stützen, die für andere Zwecke und Zielgruppen wie Werbung, Erstellung von Inhalten oder Entwicklung von Anwendungen durch Dritte genutzt werden. Die DSA-Datenkataloge sollten nicht erschöpfend sein müssen und daher die antragstellenden Forschenden in ihren Datenzugangsanträgen weder binden noch einschränken.

Um die Festlegung der Zugangsmodalitäten durch den Koordinator für digitale Dienste am Niederlassungsort zu erleichtern und den Gesamtaufwand des Datenzugangsprozesses für alle Beteiligten zu verringern, sollten die Datenlieferanten ihre vorgeschlagenen Zugangsmodalitäten für die in den DSA-Datenkatalogen beschriebenen Daten veröffentlichen. Diese vorgeschlagenen Zugangsmodalitäten sollten in einem angemessenen Verhältnis zur Sensibilität der Daten stehen und Angaben zu möglichen technischen, organisatorischen und rechtlichen Bedingungen enthalten, die aus Sicht der Datenlieferanten für die Gewährung des Zugangs zu den Daten angemessen sind. Die Koordinatoren für digitale Dienste am Niederlassungsort sollten nicht an die von den Datenlieferanten vorgeschlagenen Zugangsmodalitäten gebunden sein; sie sollten weiterhin dafür zuständig sein, die geeigneten Zugangsmodalitäten festzulegen.

Damit Datenzugangsanträge unabhängig von dem Koordinator für digitale Dienste, bei dem der Datenzugangsantrag eingereicht wird oder von dem das begründete Verlangen stammt, gleichbehandelt werden, sollte der Zeitrahmen für die Formulierung begründeter Verlangen festgelegt werden, sodass die Kohärenz zwischen allen Koordinatoren für digitale Dienste gewährleistet wird. Erfordert die Formulierung des begründeten Verlangens zusätzliche Zeit, sollte der Koordinator für digitale Dienste am Niederlassungsort den Hauptforschenden davon in Kenntnis setzen und die Gründe für die Verzögerung angeben. Solche Gründe können die Notwendigkeit zusätzlicher Überprüfungen durch den Koordinator für digitale Dienste am Ort der Forschungsorganisation oder am Niederlassungsort sein, z. B. wenn Datenzugangsanträge internationale Datenübermittlungen umfassen oder wenn der Koordinator für digitale Dienste am Niederlassungsort mögliche Risiken für die Sicherheit der Union festgestellt hat, wenn die Daten weitergegeben würden. Um auch die Schritte im Datenzugangsprozess vor der Formulierung begründeter Verlangen, einschließlich der Bewertung von Datenzugangsanträgen und der Gewährung des Status eines zugelassenen Forschenden, anzugleichen, werden die Koordinatoren für digitale Dienste dazu angehalten, im Rahmen des Europäischen Gremiums für digitale Dienste eine kohärente und koordinierte Arbeitsweise, einschließlich gemeinsamer operativer Kriterien, zu entwickeln.

Zur Straffung der Verfahren für die Formulierung begründeter Verlangen sollten alle Koordinatoren für digitale Dienste am Niederlassungsort verpflichtet werden, zu überprüfen, ob bestimmte gemeinsame Elemente des Datenzugangsprozesses in den Datenzugangsanträgen gebührend berücksichtigt wurden. Zu diesem Zweck sollten die Koordinatoren für digitale Dienste am Niederlassungsort überprüfen, ob alle in dem Datenzugangsantrag genannten antragstellenden Forschenden ihren Anschluss an eine Forschungsorganisation nachgewiesen haben, z. B. durch Vorlage von Belegen für Arbeitsverträge oder eine andere Form der rechtlichen Verbindung mit der Forschungsorganisation. Die Koordinatoren für digitale Dienste am Niederlassungsort sollten ferner überprüfen, ob die antragstellenden Forschenden ihre Unabhängigkeit von kommerziellen Interessen unter Beweis gestellt haben, beispielsweise durch eine entsprechende Erklärung.

Der Koordinator für digitale Dienste am Niederlassungsort sollte überprüfen, ob die Finanzierung des Forschungsprojekts, für das die Daten angefordert werden, in dem Datenzugangsantrag offengelegt wird. Die von den antragstellenden Forschenden bereitgestellten Informationen sollten Einzelheiten zu den Beiträgen enthalten, z. B. zur finanzierenden Einrichtung, dem Betrag, der Art und Dauer des Beitrags, einschließlich der Angabe, ob die Förderung bereits gewährt wurde oder ob ein Finanzierungsantrag noch bewertet wird, sowie gegebenenfalls einschlägige Verweise auf von der Union finanzierte Projekte. Soweit verfügbar, sollte der Datenzugangsantrag auch die Ergebnisse der Bewertungen enthalten, die von der oder den Einrichtungen, die die Mittel bereitstellen, durchgeführt wurden.

Der Koordinator für digitale Dienste am Niederlassungsort sollte überprüfen, ob im Datenzugangsantrag beschrieben wird, wie die Daten und das Datenformat ausgewählt werden, wobei die Anforderungen an die Notwendigkeit und Verhältnismäßigkeit im Hinblick auf den Zweck der geplanten Forschung zu berücksichtigen sind. Sind die angeforderten Daten auch aus anderen Quellen verfügbar, sollte der Koordinator für digitale Dienste am Niederlassungsort prüfen, ob die Anforderung solcher Daten im Datenzugangsantrag unter Berücksichtigung der Informationen im Datenzugangsantrag hinreichend begründet ist. Mögliche Begründungen können auf den Nachweis einer schlechten Qualität oder Unzuverlässigkeit dieser Daten aus anderen Quellen oder die Ungeeignetheit des Formats, in dem diese Daten für die Zwecke des Forschungsprojekts aus anderen Quellen abgerufen werden können, abstellen, wodurch die Durchführung des Forschungsprojekts behindert würde. Daten, die angefordert werden können, um systemische Risiken oder deren Minderung in der Union zu untersuchen, können sich in Zukunft weiterentwickeln. Aktuelle Beispiele für solche Daten sind solche, die sich auf Nutzer der Dienste beziehen, wie Profilinformationen, Beziehungsnetze, die Exposition gegenüber Inhalten auf individueller Ebene und Datenverläufe zu vergangenen Interaktionen, Interaktionsdaten wie Kommentare oder andere Interaktionen, Daten im Zusammenhang mit Inhaltsempfehlungen, einschließlich Daten, die zur Personalisierung von Empfehlungen verwendet werden, Daten im Zusammenhang mit dem Targeting von Werbung und dem Profiling, einschließlich der Kosten pro Klick und anderer Maßstäbe zur Bemessung der Anzeigenpreise, Daten im Zusammenhang mit der Erprobung neuer Funktionen vor ihrer Einführung, einschließlich der Ergebnisse von Alpha- und Beta-Tests, Daten im Zusammenhang mit der Moderation und Governance von Inhalten, wie Daten über algorithmische oder andere Systeme und Prozesse zur Moderation von Inhalten, einschließlich Änderungsprotokollen, Archiven oder Verzeichnissen, in denen moderierte Inhalte dokumentiert werden, einschließlich Konten, sowie Daten im Zusammenhang mit Preisen, Mengen und Merkmalen von Waren oder Dienstleistungen, die vom Datenlieferanten bereitgestellt oder vermittelt werden.

Der Koordinator für digitale Dienste am Niederlassungsort sollte prüfen, ob der Datenzugangsantrag ausreichende Informationen enthält, die belegen, dass der Forschende in der Lage ist, die spezifischen Anforderungen an die Vertraulichkeit, die Sicherheit und den Schutz personenbezogener Daten in Bezug auf die angeforderten Daten zu erfüllen, und ob er mögliche Risiken ermittelt hat, die sich aus dem Zugang zu diesen Daten für die Zwecke der Forschung ergeben, sowie ob er etwaige vorgeschlagene Zugangsmodalitäten, einschließlich der rechtlichen, organisatorischen und technischen Bedingungen, die zur Minimierung der ermittelten Risiken festgelegt werden, dokumentiert, z. B. durch eine Verpflichtungserklärung der Forschungsorganisation, mit der der Zugang zu Mitteln bestätigt wird, die einschlägige Schutzvorkehrungen darstellen können, oder andere Unterlagen.

Wird der Zugang zu personenbezogenen Daten beantragt, sollte der Koordinator für digitale Dienste am Niederlassungsort prüfen, ob der Datenzugangsantrag Informationen über die Rechtsgrundlage für die Verarbeitung personenbezogener Daten, gegebenenfalls einschließlich besonderer Kategorien personenbezogener Daten, enthält und ob diese Rechtsgrundlage mit Artikel 6 Absatz 1 Buchstabe e oder f und gegebenenfalls mit Artikel 9 Absatz 2 Buchstabe g oder j der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates(³) im Einklang steht. Darüber hinaus sollte der Koordinator für digitale Dienste am Niederlassungsort prüfen, ob der Datenzugangsantrag ausreichende Hinweise darauf enthält, dass die Forschenden Risiken für den Schutz personenbezogener Daten bewertet haben. Dies könnte beispielsweise durch eine Datenschutz-Folgenabschätzung im Sinne des Artikels 35 der genannten Verordnung nachgewiesen werden. Damit auf personenbezogene Daten im Einklang mit der Verordnung (EU) 2016/679 zugegriffen werden kann, sollten die Koordinatoren für digitale Dienste die gemäß Artikel 51 der genannten Verordnung eingerichteten einschlägigen Aufsichtsbehörden konsultieren dürfen, die weiterhin für die Bewertung der Einhaltung der Verordnung (EU) 2016/679 zuständig sind.

Zur Erleichterung der Formulierung des begründeten Verlangens und Wahrung der Integrität der im Datenzugangsantrag enthaltenen Informationen sollte der Koordinator für digitale Dienste am Niederlassungsort prüfen, ob der Datenzugangsantrag eine Zusammenfassung enthält. Diese Zusammenfassung sollte einen Überblick über die Informationen geben, die in das begründete Verlangens aufgenommen und im DSA-Datenzugangsportal veröffentlicht werden sollen, falls die Prüfung des Datenzugangsantrags zur Formulierung eines begründeten Verlangens führt.

Um sicherzustellen, dass die vom Koordinator für digitale Dienste am Niederlassungsort festgelegten Zugangsmodalitäten der Sensibilität der in einem Datenzugangsantrag angeforderten spezifischen Daten angemessen Rechnung tragen, sollte der Koordinator für digitale Dienste am Niederlassungsort eine Einzelfallprüfung auf der Grundlage der im Datenzugangsantrag enthaltenen Informationen vornehmen. Die in dem begründeten Verlangen festgelegten Zugangsmodalitäten sollten geeignet sein, die Anforderungen an die Datensicherheit, die Vertraulichkeit der Daten und den Schutz personenbezogener Daten zu erfüllen und gleichzeitig die Verwirklichung der Forschungsziele des Forschungsprojekts ermöglichen. Der Zugang zu den Daten kann beispielsweise gewährt werden durch Datenübertragung an die zugelassenen Forschenden über eine geeignete Schnittstelle und eine geeignete Datenspeicherung, durch Übertragung der Daten in eine sichere Verarbeitungsumgebung, die vom Datenlieferanten oder von einem Drittanbieter betrieben wird und zu der die zugelassenen Forschenden Zugang erhalten, ohne dass aber eine Datenübertragung an die zugelassenen Forschenden selbst stattfindet, oder durch andere vom Datenanbieter festzulegende oder zu unterstützende Zugangsmodalitäten. Bei der Festlegung der Zugangsmodalitäten sollte der Koordinator für digitale Dienste am Niederlassungsort auch alle rechtlichen, technischen oder organisatorischen Bedingungen aufführen, die für den Zugang gelten. In Fällen, in denen die Gewährung des Zugangs eine Übermittlung personenbezogener Daten an Drittländer oder internationale Organisationen im Sinne des Kapitels V der Verordnung (EU) 2016/679 umfasst, sollten die Zugangsmodalitäten auch Informationen darüber enthalten, ob ein geeigneter Übermittlungsmechanismus eingerichtet werden muss, sodass gewährleistet wird, dass der Datenlieferant die erforderlichen Maßnahmen ergreift, um der genannten Verordnung nachzukommen.

Um sicherzustellen, dass die Datenzugangsmodalitäten spezifischen Sensibilitäten in Bezug auf Datenschutz, Datensicherheit oder Vertraulichkeit angemessen Rechnung tragen, sollte der Koordinator für digitale Dienste am Niederlassungsort auf der Grundlage der im Datenzugangsantrag erhaltenen Informationen verlangen können, dass der Datenzugang über sichere Verarbeitungsumgebungen gewährt wird. In solchen Fällen sollte der Koordinator für digitale Dienste am Niederlassungsort sicherstellen, dass die gewählte Umgebung im Einklang mit der am besten geeigneten Technik betrieben wird und es den zugelassenen Forschenden ermöglicht, die Ziele ihrer Forschung zu erreichen.

Um die Kohärenz der von den Koordinatoren für digitale Dienste am Niederlassungsort an die Datenlieferanten übermittelten Informationen zu gewährleisten, ist es nötig, den Inhalt des begründeten Verlangens festzulegen.

Um die Interessen der Datenlieferanten zu wahren und die Häufigkeit von Änderungsersuchen im Laufe der Zeit zu verringern sowie die Formulierung einschlägiger Datenzugangsanträge durch Forschende zu erleichtern, sollte der Koordinator für digitale Dienste am Niederlassungsort, der die entsprechenden begründeten Verlangen gestellt hat, einen Überblick über jedes begründete Verlangen, einschließlich etwaiger Änderungen und Aktualisierungen, im DSA-Datenzugangsportal öffentlich zugänglich machen.

Damit der Koordinator für digitale Dienste am Niederlassungsort über die einschlägigen Informationen verfügt, um ein Änderungsersuchen zu bewerten, und damit ein einheitlicher Ansatz bei der Bewertung von Änderungsersuchen erleichtert wird, sollte der Datenlieferant verpflichtet sein, die Gründe für ein solches Ersuchen gemäß Artikel 40 Absatz 5 der Verordnung (EU) 2022/2065 anzugeben. Insbesondere sollte der Koordinator für digitale Dienste am Niederlassungsort bei der Prüfung eines Änderungsersuchens, das auf der Grundlage des fehlenden Zugangs eines Datenlieferanten zu den betreffenden Daten gestellt wird, in der Lage sein zu prüfen, ob die angebliche Unmöglichkeit hinreichend begründet ist, beispielsweise durch das Nichtvorhandensein der verlangten Daten oder durch technische Beschränkungen wie Verschlüsselung, und er sollte über die Informationen verfügen, die erforderlich sind, um zu prüfen, ob das Fehlen des Zugangs dauerhaft oder vorübergehend ist. In diesem Zusammenhang sollte klar sein, dass kommerzielle Erwägungen nicht als Grund für die automatische Verweigerung des Zugangs zu den verlangten Daten, sondern als Grund zur Änderung der Mittel der Gewährung des Zugangs zu den Daten angesehen werden sollten, was dazu führen kann, dass zusätzliche Anforderungen an die Sicherheit und Vertraulichkeit der Daten auferlegt werden.

Um eine effiziente Streitbeilegung zu gewährleisten und nach einem Änderungsersuchen das Finden einer gegenseitig annehmbaren Lösung zu unterstützen, sollten Datenlieferanten die Koordinatoren für digitale Dienste am Niederlassungsort ersuchen können, an einer Mediation teilzunehmen. Eine solche Teilnahme sollte während des gesamten Mediationsverfahrens freiwillig sein und nicht zu einem Ergebnis führen, das den Koordinator für digitale Dienste am Niederlassungsort bindet, der weiterhin für die Entscheidung über die Änderungsersuchen zuständig bleibt. Alle am Mediationsverfahren teilnehmenden Parteien sollten nach Treu und Glauben handeln und sich um eine gerechte und gegenseitig annehmbare Einigung bemühen.

Damit die Mediation den Datenzugangsprozess nicht auf unbestimmte Zeit verlängert, sollten die Übermittlung des schriftlichen Mediationsantrags, die Auswahl des Mediators und das Mediationsverfahren selbst innerhalb bestimmter Fristen erfolgen. Die Koordinatoren für digitale Dienste am Niederlassungsort sollten eine Frist für das Mediationsverfahren zu einem bestimmten begründeten Verlangen festlegen, und der Mediator sollte befugt sein, das Mediationsverfahren unter bestimmten Umständen zu beenden.

Um das gegenseitige Vertrauen zwischen den an der Mediation teilnehmenden Parteien aufrechtzuerhalten, sollte der Koordinator für digitale Dienste am Niederlassungsort sicherstellen, dass der vorgeschlagene Mediator die Anforderungen an seine Unparteilichkeit und Unabhängigkeit erfüllt und über einschlägige Sachkenntnis in Bezug auf den Gegenstand der Mediation verfügt.

Um eine sachkundige und wirksame Entscheidungsfindung in Bezug auf den Datenzugangsprozess zu erleichtern, sollten die Koordinatoren für digitale Dienste die Möglichkeit haben, Sachverständigengutachten zu bestimmten Elementen des Datenzugangsprozesses einzuholen, wie etwa zur Festlegung der Zugangsmodalitäten, einschließlich geeigneter Schnittstellen, der Formulierung des begründeten Verlangens und etwaiger Änderungsersuchen des Datenlieferanten. Die konsultierten Sachverständigen sollten über bewährte Sachkenntnis in der Angelegenheit, zu der sie um Stellungnahme ersucht werden, verfügen und unabhängig sein. Insbesondere sollten sie in keinem Interessenkonflikt stehen, der sich beispielsweise aus Verbindungen zu den antragstellenden Forschenden oder zum Datenlieferanten ergeben kann.

Um die Transparenz zu erhöhen und es den Koordinatoren für digitale Dienste zu ermöglichen, auf ihrer im Laufe der Zeit erworbenen Sachkenntnis aufzubauen, sollten alle Aufträge für Sachverständigengutachten und die daraus abgeleiteten Folgemaßnahmen in AGORA registriert werden.

Um eine wirksame Überwachung der Einhaltung der in dem begründeten Verlangen festgelegten Bedingungen zu erleichtern, sollte der Datenlieferant den Koordinator für digitale Dienste am Niederlassungsort innerhalb von drei Arbeitstagen nach dem Beginn und nach der Beendigung der Zugangsgewährung für die zugelassenen Forschenden hierüber benachrichtigen.

Damit die zugelassenen Forschenden die angeforderten Daten zu den Zwecken der Forschung auswerten können und um einschlägige Kontextinformationen zu geben, sollten die Datenlieferanten den zugelassenen Forschenden die relevanten Metadaten und Dokumentationen zur Verfügung stellen, in denen die zugänglich gemachten Daten beschrieben werden, wie z. B. Codebücher, Änderungsprotokolle und Architekturdokumentation.

Um den zugelassenen Forschenden eine sinnvolle Forschungsarbeit zu erleichtern, auch durch Ermöglichung des Kombinierens der angeforderten Daten mit Daten aus anderen Quellen, sollten Datenlieferanten keine Beschränkungen für die von den zugelassenen Forschenden verwendeten Analysewerkzeuge, einschließlich einschlägiger Software-Bibliotheken, auferlegen und auch keine Anforderungen an die Archivierung, Speicherung, Auffrischung und Löschung stellen, es sei denn, diese sind in den Zugangsmodalitäten des begründeten Verlangens ausdrücklich aufgeführt.

Falls die Daten, die den zugelassenen Forschenden zur Verfügung gestellt werden, personenbezogene Daten im Sinne des Artikels 4 der Verordnung (EU) 2016/679 enthalten, sollte der Datenlieferant die in der genannten Verordnung festgelegten Vorschriften einhalten. Insbesondere begründet der Artikel 40 Absatz 4 der Verordnung (EU) 2022/2065 für jede Verarbeitung personenbezogener Daten, die nötig ist, damit der Datenlieferant Zugang zu den im begründeten Verlangen genannten Daten gewähren kann, eine rechtliche Verpflichtung im Sinne des Artikels 6 Absatz 1 Buchstabe c der Verordnung (EU) 2016/679. Falls besondere Kategorien personenbezogener Daten im Sinne des Artikels 9 der Verordnung (EU) 2016/679 verarbeitet werden sollen, erfüllt die vorliegende Verordnung die Anforderung des Artikels 9 Absatz 2 Buchstabe g der Verordnung (EU) 2016/679.

Der Europäische Datenschutzbeauftragte wurde gemäß Artikel 42 Absatz 1 der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates(⁴) angehört und hat am 4. Dezember 2024 eine Stellungnahme abgegeben.

nach Anhörung des Europäischen Gremiums für digitale Dienste gemäß Artikel 40 Absatz 13 der Verordnung (EU) 2022/2065 und mit dessen Zustimmung —