Anhang | Zuständigkeiten der Kommission als Auftragsverarbeiterin für Datenverarbeitungstätigkeiten im Zusammenhang mit dem DSA-Datenzugangsportal

Die Kommission übernimmt — im Namen der Koordinatoren für digitale Dienste — die Einrichtung und den Betrieb einer sicheren und zuverlässigen IT-Infrastruktur, des DSA-Datenzugangsportals, das die Verwaltung des Datenzugangsprozesses für Forschende, Forschungsorganisationen, Datenlieferanten und Koordinatoren für digitale Dienste unterstützt und strafft.
Zur Erfüllung ihrer Pflichten als Auftragsverarbeiterin für die Koordinatoren für digitale Dienste kann die Kommission Dritte als Unterauftragsverarbeiter beauftragen. In diesem Fall ermächtigen die Datenverantwortlichen die Kommission zur Beauftragung oder nötigenfalls zur Ersetzung von Unterauftragsverarbeitern. Die Kommission informiert die Datenverantwortlichen über eine solche Beauftragung oder Ersetzung von Unterauftragsverarbeitern, um den Datenverantwortlichen Gelegenheit zu geben, Einwände gegen solche Änderungen zu erheben. Die Kommission stellt sicher, dass dieselben Datenschutzverpflichtungen, die in dieser Verordnung festgelegt sind, auch für diese Unterauftragsverarbeiter gelten.
Bei der Verarbeitung durch die Kommission werden personenbezogene Daten nur insoweit verarbeitet, wie dies für Folgendes erforderlich ist:
1. Authentifizierung und Zugangskontrolle in Bezug auf alle Nutzer des DSA-Datenzugangsportal;
2. Genehmigung der Durchführung der Anträge von Nutzern des DSA-Datenzugangsportals auf Erstellung, Aktualisierung und Löschung von im Antrag enthaltenen Informationen im DSA-Datenzugangsportal;
3. Empfang der in Artikel 5 Absatz 3 dieser Verordnung genannten personenbezogenen Daten, die von Nutzern des DSA-Datenzugangsportals hochgeladen werden;
4. Speicherung der personenbezogenen Daten im DSA-Datenzugangsportal;
5. Löschung der personenbezogenen Daten an ihrem Ablaufdatum oder auf Anweisung des Datenverantwortlichen;
6. Löschung aller verbleibenden personenbezogenen Daten nach Beendigung der Bereitstellung von Diensten durch das DSA-Datenzugangsportal, es sei denn, das Unionsrecht oder das Recht der Mitgliedstaaten schreibt eine Speicherung der personenbezogenen Daten vor.
Die Kommission trifft alle organisatorischen, physischen und logischen Sicherheitsmaßnahmen auf der Grundlage des aktuellen Stands der Technik, um das Funktionieren des DSA-Datenzugangsportals zu gewährleisten. Zu diesem Zweck muss die Kommission
1. eine für das Sicherheitsmanagement des DSA-Datenzugangsportals zuständige Stelle benennen, den Datenverantwortlichen deren Kontaktdaten mitteilen und deren Verfügbarkeit zur Reaktion auf Sicherheitsbedrohungen gewährleisten;
2. die Verantwortung für die Sicherheit des DSA-Datenzugangsportals übernehmen, einschließlich regelmäßiger Prüfungen, Beurteilungen und Bewertungen der Sicherheitsmaßnahmen;
Die Kommission trifft alle erforderlichen Sicherheitsmaßnahmen, damit der reibungslose Betrieb des DSA-Datenzugangsportals nicht beeinträchtigt wird. Dies umfasst
1. Risikobewertungsverfahren, um potenzielle Bedrohungen des DSA-Datenzugangsportals zu ermitteln und abzuschätzen;
2. ein Audit- und Überprüfungsverfahren
  zur Überprüfung der Übereinstimmung der umgesetzten Sicherheitsmaßnahmen mit den geltenden Sicherheitsvorgaben,
  zur regelmäßigen Kontrolle der Integrität des DSA-Datenzugangsportals, der Sicherheitsparameter und der erteilten Genehmigungen,
  zur Erkennung von Sicherheitsverletzungen und von unbefugtem Eindringen in das DSA-Datenzugangsportal,
  zur Umsetzung von Änderungen zur Behebung bestehender Sicherheitslücken im DSA-Datenzugangsportal,
  zur Festlegung der Bedingungen, unter denen — auch auf Anfrage der Datenverantwortlichen — unabhängige Audits einschließlich Inspektionen sowie Überprüfungen von Sicherheitsmaßnahmen im Einklang mit den Bedingungen des Protokolls (Nr. 7) über die Vorrechte und Befreiungen der Europäischen Union, das dem Vertrag über die Arbeitsweise der Europäischen Union beigefügt ist, durchgeführt werden können und die Mitwirkung an diesen Audits und Überprüfungen zulässig ist;
3. ein Änderungskontrollverfahren, um die Auswirkungen einer Änderung vor ihrer Umsetzung zu dokumentieren und abzuschätzen und die Datenverantwortlichen über alle Änderungen auf dem Laufenden zu halten, die sich auf die Kommunikation mit dem DSA-Datenzugangsportal und/oder dessen Sicherheit auswirken können;
4. die Festlegung eines Wartungs- und Reparaturverfahrens mit Regeln und Bedingungen für die Wartung und/oder Reparatur des DSA-Datenzugangsportals;
5. die Festlegung eines Verfahrens in Bezug auf Sicherheitsvorfälle zur Bestimmung des Melde- und Eskalationsprogramms, zur unverzüglichen Unterrichtung der Datenverantwortlichen über jegliche Verletzung des Schutzes personenbezogener Daten, unter anderem, damit diese die nationalen Datenschutzaufsichtsbehörden informieren können, sowie zur Festlegung eines Disziplinarverfahrens, um gegen Sicherheitsverletzungen im DSA-Datenzugangsportal vorzugehen.
Die Kommission ergreift physische und/oder logische Sicherheitsmaßnahmen auf der Grundlage des aktuellen Stands der Technik für die Einrichtungen, in denen das DSA-Datenzugangsportal untergebracht ist, und für die Kontrollen der Daten und der Sicherheit des Zugriffs darauf. Zu diesem Zweck muss die Kommission
1. die physische Sicherheit durchsetzen, um abgegrenzte Sicherheitsbereiche einzurichten und das Erkennen von Verstößen im DSA-Datenzugangsportal zu ermöglichen;
2. den Zugang zu den Einrichtungen des DSA-Datenzugangsportals kontrollieren;
3. sicherstellen, dass Ausrüstungen nicht ohne Vorabgenehmigung durch die benannten zuständigen Stellen hinzugefügt, ersetzt oder entfernt werden können;
4. den Zugriff vom und auf das DSA-Datenzugangsportal kontrollieren;
5. sicherstellen, dass die Nutzer des DSA-Datenzugangsportals, die auf das DSA-Datenzugangsportal zugreifen, authentifiziert werden;
6. die Genehmigungsrechte für den Zugang zum DSA-Datenzugangsportal überprüfen, falls eine Sicherheitsverletzung in Bezug auf das DSA-Datenzugangsportal eintritt;
7. die Integrität der über das DSA-Datenzugangsportal übermittelten Informationen wahren;
8. technische und organisatorische Sicherheitsmaßnahmen umsetzen, um unbefugten Zugriff auf personenbezogene Daten im DSA-Datenzugangsportal zu verhindern;
9. erforderlichenfalls Maßnahmen zur Sperrung des unbefugten Zugangs zum DSA-Datenzugangsportal umsetzen (d. h. Sperrung eines Standorts/einer IP-Adresse).
Die Kommission
1. ergreift Maßnahmen zum Schutz ihrer Netzdomäne, einschließlich der Trennung von Anschlüssen, im Falle einer erheblichen Abweichung von den Qualitäts- und Sicherheitsgrundsätzen und -konzepten;
2. unterhält einen Risikomanagementplan in Bezug auf ihren Zuständigkeitsbereich;
3. überwacht in Echtzeit die Leistung aller Dienstkomponenten des DSA-Datenzugangsportals, erstellt regelmäßige Statistiken und führt Aufzeichnungen;
4. leistet den Nutzern des DSA-Datenzugangsportals Unterstützung für das DSA-Datenzugangsportal in englischer Sprache;
5. unterstützt die Datenverantwortlichen durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung ihrer Verpflichtung zur Bearbeitung von Anfragen/Anträgen in Bezug auf die Ausübung der Rechte der betroffenen Person gemäß Kapitel III der Verordnung (EU) 2016/679;
6. unterstützt die Datenverantwortlichen durch die Bereitstellung von Informationen über das DSA-Datenzugangsportal bei der Erfüllung der Verpflichtungen gemäß den Artikeln 32, 33, 34, 35 und 36 der Verordnung (EU) 2016/679;
7. stellt sicher, dass die im DSA-Datenzugangsportal verarbeiteten Daten für Personen, die nicht zugriffsbefugt sind, unverständlich sind;
8. trifft alle zweckdienlichen Maßnahmen, um den unbefugten Zugriff auf die über das DSA-Datenzugangsportal übermittelten personenbezogenen Daten zu verhindern;
9. trifft Maßnahmen, um die Kommunikation zwischen den Datenverantwortlichen zu erleichtern;
10. führt gemäß Artikel 31 Absatz 2 der Verordnung (EU) 2018/1725 ein Verzeichnis aller im Auftrag der Datenverantwortlichen durchgeführten Verarbeitungsvorgänge.