Anhang II

Zuständigkeiten der Kommission als Auftragsverarbeiterin für Datenverarbeitungstätigkeiten, die im Rahmen von AGORA von Koordinatoren für digitale Dienste, anderen nationalen Behörden und dem Gremium durchgeführt werden

1. 1. Die Kommission

      1. sorgt im Namen der Koordinatoren für digitale Dienste, anderer nationaler Behörden und des Gremiums für die Einrichtung und Unterhaltung von AGORA als eine sichere und zuverlässige Kommunikationsinfrastruktur, die den Informationsaustausch für koordinierte Untersuchungen, Kohärenzmechanismen und Tätigkeiten des Gremiums unterstützt, und

      2. verarbeitet personenbezogene Daten nur auf dokumentierte Anweisung der Verantwortlichen und gemeinsam Verantwortlichen, es sei denn, eine Verarbeitung ist nach Unionsrecht oder nationalem Recht erforderlich; in einem solchen Fall teilt die Kommission den Verantwortlichen und gemeinsam Verantwortlichen diese rechtliche Anforderung vor der Durchführung der Verarbeitungstätigkeit mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

   2. Zur Erfüllung ihrer Pflichten als Auftragsverarbeiterin für die Koordinatoren für digitale Dienste, andere nationale Behörden und das Gremium kann die Kommission Dritte als Unterauftragsverarbeiter beauftragen. In diesem Fall ermächtigen die Verantwortlichen und die gemeinsam Verantwortlichen die Kommission zur Beauftragung oder nötigenfalls zur Ersetzung von Unterauftragsverarbeitern. Die Kommission informiert die Verantwortlichen und gemeinsam Verantwortlichen über eine solche Beauftragung oder Ersetzung von Unterauftragsverarbeitern, um den Verantwortlichen und gemeinsam Verantwortlichen Gelegenheit zu geben, Einwände gegen solche Änderungen zu erheben. Die Kommission stellt sicher, dass dieselben Datenschutzverpflichtungen, die in dieser Verordnung festgelegt sind, auch für diese Unterauftragsverarbeiter gelten.

   3. Die Datenverarbeitung durch die Kommission umfasst Folgendes:

      1. Authentifizierung und Zugangskontrolle in Bezug auf alle AGORA-Administratoren und AGORA-Nutzer;

      2. Erteilung der Genehmigung für AGORA-Administratoren und AGORA-Nutzer, in AGORA enthaltene Aufzeichnungen und Informationen zu erstellen, zu aktualisieren und zu löschen;

      3. Empfang der in Artikel 12 Absatz 3 dieser Verordnung genannten personenbezogenen Daten von den nationalen AGORA-Nutzern und AGORA-Administratoren über eine von ihr bereitgestellte Anwendungsprogrammierschnittstelle, die es nationalen AGORA-Nutzern und AGORA-Administratoren ermöglicht, die betreffenden Daten hochzuladen;

      4. Speicherung personenbezogener Daten in AGORA;

      5. Bereitstellung personenbezogener Daten für den Zugang und das Herunterladen durch AGORA-Administratoren und AGORA-Nutzer sowie Durchführung sonstiger erforderlicher Datenverarbeitungstätigkeiten;

      6. Löschung personenbezogener Daten an ihrem Ablaufdatum oder auf Anweisung des Verantwortlichen, der sie übermittelt hatte;

      7. Löschung aller verbleibenden personenbezogenen Daten nach Beendigung der Leistung, es sei denn, das Unionsrecht oder das Recht der Mitgliedstaaten schreibt eine Speicherung der personenbezogenen Daten vor.

   4. Die Kommission trifft alle organisatorischen, physischen und logischen Sicherheitsmaßnahmen auf der Grundlage des aktuellen Stands der Technik, um das Funktionieren von AGORA zu gewährleisten. Zu diesem Zweck muss die Kommission

      1. eine für das Sicherheitsmanagement von AGORA zuständige Stelle benennen, den gemeinsam Verantwortlichen deren Kontaktdaten mitteilen und deren Verfügbarkeit zur Reaktion auf Sicherheitsbedrohungen gewährleisten;

      2. die Verantwortung für die Sicherheit von AGORA übernehmen, einschließlich regelmäßiger Prüfungen, Beurteilungen und Bewertungen der Sicherheitsmaßnahmen;

      3. dafür Sorge tragen, dass AGORA-Administratoren und AGORA-Nutzer, denen Zugang zu AGORA gewährt wird, einer vertraglichen, beruflichen oder gesetzlichen Geheimhaltungspflicht unterliegen.

   5. Die Kommission trifft alle erforderlichen Sicherheitsmaßnahmen, damit der reibungslose Betrieb von AGORA nicht beeinträchtigt wird. Dies umfasst

      1. Risikobewertungsverfahren, um potenzielle Bedrohungen des Systems zu ermitteln und abzuschätzen;

      2. ein Audit- und Überprüfungsverfahren

         1. zur Überprüfung der Übereinstimmung der umgesetzten Sicherheitsmaßnahmen mit den geltenden Sicherheitsvorgaben,

         2. zur regelmäßigen Kontrolle der Integrität der AGORA-Dateien, der Sicherheitsparameter und der erteilten Genehmigungen,

         3. zur Feststellung von Sicherheitsverletzungen und von unbefugtem Eindringen in AGORA,

         4. zur Umsetzung von Änderungen zur Behebung bestehender Sicherheitslücken in AGORA,

         5. zur Festlegung der Bedingungen, unter denen – auch auf Anfrage der Verantwortlichen – unabhängige Audits einschließlich Inspektionen sowie Überprüfungen von Sicherheitsmaßnahmen im Einklang mit den Bedingungen des Protokolls (Nr. 7) über die Vorrechte und Befreiungen der Europäischen Union, das dem Vertrag über die Arbeitsweise der Europäischen Union beigefügt ist, durchgeführt werden können und die Mitwirkung an diesen Audits und Überprüfungen zulässig ist;

      3. eine Änderung des Kontrollverfahrens, um die Auswirkungen einer Änderung vor ihrer Umsetzung zu dokumentieren und abzuschätzen und um die Verantwortlichen und gemeinsam Verantwortlichen über alle Änderungen auf dem Laufenden zu halten, die sich auf die Kommunikation mit AGORA und/oder die Sicherheit von AGORA auswirken können;

      4. die Festlegung eines Wartungs- und Reparaturverfahrens mit Regeln und Bedingungen für die Wartung und/oder Reparatur von AGORA;

      5. die Festlegung eines Verfahrens in Bezug auf Sicherheitsvorfälle zur Bestimmung des Melde- und Eskalationsprogramms, zur unverzüglichen Unterrichtung der Verantwortlichen über jegliche Verletzung des Schutzes personenbezogener Daten, unter anderem, damit diese die nationalen Datenschutzaufsichtsbehörden informieren können, sowie zur Festlegung eines Disziplinarverfahrens, um gegen Sicherheitsverletzungen in AGORA vorzugehen.

   6. Die Kommission ergreift physische und/oder logische Sicherheitsmaßnahmen auf der Grundlage des aktuellen Stands der Technik für die Einrichtungen, in denen AGORA untergebracht ist, und für die Kontrollen der Daten und der Sicherheit des Zugriffs darauf. Zu diesem Zweck muss die Kommission

      1. die physische Sicherheit durchsetzen, um abgegrenzte Sicherheitsbereiche einzurichten und das Erkennen von Verstößen in AGORA zu ermöglichen,

      2. den Zugang zu den Einrichtungen von AGORA kontrollieren und ein Besucherregister für Rückverfolgungszwecke führen,

      3. sicherstellen, dass externe Personen, denen Zugang zu den Räumlichkeiten gewährt wird, von entsprechend bevollmächtigten Mitarbeitern begleitet werden,

      4. sicherstellen, dass Ausrüstungen nicht ohne Vorabgenehmigung durch die benannten zuständigen Stellen hinzugefügt, ersetzt oder entfernt werden können,

      5. den Zugang von und zu AGORA kontrollieren,

      6. sicherstellen, dass AGORA-Administratoren und AGORA-Nutzer, die auf AGORA zugreifen, identifiziert und authentifiziert werden,

      7. die Genehmigungsrechte für den Zugang zu AGORA überprüfen, falls eine Sicherheitsverletzung in Bezug auf AGORA eintritt,

      8. die Integrität der über AGORA übermittelten Informationen wahren,

      9. technische und organisatorische Sicherheitsmaßnahmen umsetzen, um unbefugten Zugriff auf personenbezogene Daten in AGORA zu verhindern,

      10. erforderlichenfalls Maßnahmen zur Sperrung des unbefugten Zugangs zu AGORA umsetzen (d. h. Sperrung eines Standorts/einer IP-Adresse).

   7. Die Kommission

      1. ergreift Maßnahmen zum Schutz ihrer Netzdomäne, einschließlich der Trennung von Anschlüssen, im Falle einer erheblichen Abweichung von den Qualitäts- und Sicherheitsgrundsätzen und -konzepten;

      2. unterhält einen Risikomanagementplan in Bezug auf ihren Zuständigkeitsbereich;

      3. überwacht in Echtzeit die Leistung aller Dienstkomponenten von AGORA, erstellt regelmäßige Statistiken und führt Aufzeichnungen;

      4. leistet AGORA-Administratoren und AGORA-Nutzern Unterstützung für AGORA in englischer Sprache;

      5. unterstützt die Verantwortlichen und gemeinsam Verantwortlichen durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung ihrer Verpflichtung zur Bearbeitung von Anfragen/Anträgen in Bezug auf die Ausübung der Rechte der betroffenen Person gemäß Kapitel III der Verordnung (EU) 2016/679;

      6. unterstützt die Verantwortlichen und gemeinsam Verantwortlichen durch Bereitstellung von Informationen über AGORA bei der Erfüllung der Verpflichtungen gemäß den Artikeln 32, 33, 34, 35 und 36 der Verordnung (EU) 2016/679;

      7. stellt sicher, dass die in AGORA verarbeiteten Daten für Personen, die nicht zugriffsbefugt sind, unverständlich sind;

      8. trifft alle zweckdienlichen Maßnahmen, um den unbefugten Zugriff auf die über AGORA übermittelten personenbezogenen Daten zu verhindern;

      9. trifft Maßnahmen, um die Kommunikation zwischen den Verantwortlichen und gemeinsam Verantwortlichen zu erleichtern;

      10. führt gemäß Artikel 31 Absatz 2 der Verordnung (EU) 2018/1725 ein Verzeichnis aller im Auftrag der Verantwortlichen und gemeinsam Verantwortlichen durchgeführten Verarbeitungsvorgänge.