Anhang I

ZUSTÄNDIGKEITEN DER KOORDINATOREN FÜR DIGITALE DIENSTE ALS GEMEINSAM VERANTWORTLICHE FÜR DATENVERARBEITUNGSTÄTIGKEITEN IM RAHMEN VON AGORA FÜR GEMEINSAME UNTERSUCHUNGEN UND FÜR DIE TÄTIGKEITEN DES GREMIUMS

1. ABSCHNITT 1

   1. Unterabschnitt 1 Anwendungsbereich der Regelung für die gemeinsame Verantwortlichkeit

      1. Die folgende Regelung für die gemeinsame Verantwortlichkeit gilt für die betreffenden Koordinatoren für digitale Dienste bei der Durchführung gemeinsamer Untersuchungen gemäß Artikel 60 der Verordnung (EU) 2022/2065.

      2. Die folgende Regelung für die gemeinsame Verantwortlichkeit gilt für die Koordinatoren für digitale Dienste als Mitglieder des Gremiums bei den Tätigkeiten des Gremiums zur Verarbeitung personenbezogener Daten gemäß der Verordnung (EU) 2022/2065, die im Zusammenhang mit der Aufsicht, Untersuchung, Durchsetzung und Überwachung in Bezug auf Dienste, die in den Anwendungsbereich der Verordnung (EU) 2022/2065 fallen, durchgeführt werden.

   2. Unterabschnitt 2 Verteilung der Verantwortlichkeiten

      1. Die gemeinsam Verantwortlichen verarbeiten personenbezogene Daten in AGORA.

      2. Die Koordinatoren für digitale Dienste bleiben die alleinigen Verantwortlichen für die Erhebung, Nutzung, Offenlegung und sonstige Verarbeitung personenbezogener Daten außerhalb von AGORA. Die Koordinatoren für digitale Dienste bleiben auch die alleinigen Verantwortlichen für die Tätigkeiten zur Verarbeitung personenbezogener Daten, die sie in AGORA für die Aufsicht, Untersuchung, Durchsetzung und Überwachung in Bezug auf Dienste, die in den Anwendungsbereich der Verordnung (EU) 2022/2065 fallen, durchführen.

      3. Jeder gemeinsam Verantwortliche ist dafür verantwortlich, dass die Verarbeitung personenbezogener Daten in AGORA im Einklang mit den Artikeln 5, 24 und 26 der Verordnung (EU) 2016/679 erfolgt.

      4. Jeder gemeinsam Verantwortliche richtet eine Anlaufstelle mit einer Funktions-Mailbox für die Kommunikation zwischen den gemeinsam Verantwortlichen sowie zwischen den gemeinsam Verantwortlichen und der Auftragsverarbeiterin ein.

      5. Jeder gemeinsam Verantwortliche leistet den anderen gemeinsam Verantwortlichen auf Anfrage unter Einhaltung aller geltenden Anforderungen der Verordnung (EU) 2016/679 und anderer geltender Datenschutzvorschriften, einschließlich der Verpflichtungen gegenüber seiner jeweiligen eigenen Aufsichtsbehörde rasche und effiziente Unterstützung bei der Durchführung dieser Regelung.

      6. Die gemeinsam Verantwortlichen legen die Arbeitsmodalitäten für die Verarbeitung personenbezogener Daten in AGORA fest und erteilten der Kommission als Auftragsverarbeiterin untereinander abgestimmte Anweisungen.

      7. Anweisungen für die Auftragsverarbeiterin werden von den Anlaufstellen der gemeinsam Verantwortlichen im Einvernehmen mit den anderen gemeinsam Verantwortlichen übermittelt. Der gemeinsam Verantwortliche, der die Anweisung erteilt, übermittelt sie der Auftragsverarbeiterin schriftlich und informiert alle anderen gemeinsam Verantwortlichen darüber. Ist die betreffende Angelegenheit so zeitkritisch, dass eine Sitzung der gemeinsam Verantwortlichen nicht mehr einberufen werden kann, so kann dennoch eine Anweisung erteilt werden, die allerdings von den gemeinsam Verantwortlichen zurückgenommen werden kann. Diese Anweisung wird schriftlich erteilt, und alle anderen gemeinsam Verantwortlichen werden zum Zeitpunkt der Erteilung der Anweisung darüber informiert.

      8. Die Modalitäten für die Zusammenarbeit zwischen den gemeinsam Verantwortlichen lassen die individuelle Zuständigkeit eines gemeinsam Verantwortlichen, seine zuständige Aufsichtsbehörde gemäß den Artikeln 24 und 33 der Verordnung (EU) 2016/679 zu unterrichten, unberührt. Für diese Unterrichtung ist keine Zustimmung eines anderen gemeinsam Verantwortlichen erforderlich.

      9. Die Modalitäten für die Zusammenarbeit zwischen den gemeinsam Verantwortlichen lassen die Zusammenarbeit der gemeinsam Verantwortlichen mit ihren jeweiligen Aufsichtsbehörden im Rahmen der Verordnung (EU) 2016/679 und der Verordnung (EU) 2018/1725 unberührt.

      10. Auf die ausgetauschten personenbezogenen Daten dürfen nur die von einem gemeinsam Verantwortlichen ermächtigten Personen zugreifen.

      11. Jeder gemeinsam Verantwortliche führt ein Verzeichnis aller Verarbeitungstätigkeiten, die seiner Zuständigkeit unterliegen. Die gemeinsame Verantwortlichkeit ist in dem Verzeichnis anzugeben.

   3. Unterabschnitt 3 Zuständigkeiten und Funktionen bei der Bearbeitung von Anfragen/Anträgen und der Unterrichtung betroffener Personen

      1. Jeder Verantwortliche stellt natürlichen Personen, deren Daten für Zwecke gemeinsamer Untersuchungen und Tätigkeiten des Gremiums verarbeitet werden, die im Zusammenhang mit der Aufsicht, Untersuchung, Durchsetzung und Überwachung in Bezug auf Dienste, die in den Anwendungsbereich der Verordnung (EU) 2022/2065 fallen, durchgeführt werden, Informationen gemäß Artikel 14 der Verordnung (EU) 2016/679 zur Verfügung, es sei denn, dies erweist sich als unmöglich oder wäre mit einem unverhältnismäßigen Aufwand verbunden.

      2. Jeder Verantwortliche dient als Anlaufstelle für natürliche Personen, deren personenbezogene Daten er verarbeitet hat, und bearbeitet die von betroffenen Personen oder ihren Vertretern gestellten Anfragen/Anträge im Zusammenhang mit der Ausübung ihrer Rechte im Einklang mit der Verordnung (EU) 2016/679. Erhält ein gemeinsam Verantwortlicher eine Anfrage/einen Antrag einer betroffenen Person in Bezug auf eine Datenverarbeitung eines anderen gemeinsam Verantwortlichen, teilt er der betroffenen Person die Identität und die Kontaktdaten dieses zuständigen gemeinsam Verantwortlichen mit. Auf Anfrage eines anderen gemeinsam Verantwortlichen unterstützen sich die gemeinsam Verantwortlichen gegenseitig bei der Bearbeitung von Anfragen/Anträgen betroffener Personen und antworten einander unverzüglich, spätestens jedoch innerhalb eines Monats nach Eingang eines Amtshilfeersuchens.

      3. Jeder Verantwortliche stellt den betroffenen Personen den Inhalt dieses Anhangs zur Verfügung.

2. ABSCHNITT 2 MANAGEMENT VON SICHERHEITSVORFÄLLEN, EINSCHLIEßLICH VERLETZUNGEN DES SCHUTZES PERSONENBEZOGENER DATEN

   1. Die gemeinsam Verantwortlichen unterstützen einander bei der Ermittlung und Behandlung von Sicherheitsvorfällen, einschließlich Verletzungen des Schutzes personenbezogener Daten, im Zusammenhang mit der Verarbeitung in AGORA.

   2. Insbesondere teilen die gemeinsam Verantwortlichen einander Folgendes mit:

      1. potenzielle oder tatsächliche Risiken für die Verfügbarkeit, Vertraulichkeit und/oder Integrität der personenbezogenen Daten, die in AGORA verarbeitet werden,

      2. jede Verletzung des Schutzes personenbezogener Daten, die wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten und die Bewertung der Risiken für die Rechte und Freiheiten natürlicher Personen sowie alle Maßnahmen, die ergriffen wurden, um gegen die Verletzung des Schutzes personenbezogener Daten vorzugehen und das Risiko für die Rechte und Freiheiten natürlicher Personen zu mindern,

      3. jeden Verstoß gegen die technischen und/oder organisatorischen Schutzvorkehrungen für die Verarbeitungsvorgänge in AGORA.

   3. Die gemeinsam Verantwortlichen unterrichten die Kommission, die zuständigen Datenschutzaufsichtsbehörden und, falls erforderlich, die betroffenen Personen über alle Verletzungen des Schutzes personenbezogener Daten im Zusammenhang mit der Verarbeitung in AGORA gemäß den Artikeln 33 und 34 der Verordnung (EU) 2016/679 oder nach Mitteilung der Kommission.

   4. Jeder gemeinsam Verantwortliche trifft geeignete technische und organisatorische Maßnahmen, um

      1. die Verfügbarkeit, Integrität und Vertraulichkeit der gemeinsam verarbeiteten personenbezogenen Daten zu gewährleisten und zu schützen,

      2. alle in seinem Besitz befindlichen personenbezogenen Daten vor jeglicher unbefugten oder unrechtmäßigen Form der Verarbeitung, des Verlusts, der Verwendung, der Offenlegung, des Erwerbs oder Zugriffs zu schützen,

      3. zu gewährleisten, dass der Zugriff auf die personenbezogenen Daten nicht an andere Personen als die Empfänger oder Auftragsverarbeiter weitergegeben oder gewährt wird.

3. ABSCHNITT 3 Datenschutz-Folgenabschätzung

   1. Benötigt ein Verantwortlicher zur Erfüllung seiner Pflichten gemäß den Artikeln 35 und 36 der Verordnung (EU) 2016/679 Informationen von einem anderen Verantwortlichen oder vom Auftragsverarbeiter, so übermittelt er eine besondere Anfrage an die in Abschnitt 1 Unterabschnitt 2 Nummer 4 genannte Funktions-Mailbox. Der Letztere bemüht sich nach besten Kräften, diese Informationen zur Verfügung zu stellen.