s.a.: Liste zur Ergänzung / Festlegung der VO (EU) 2018/1240

Die Europäische Kommission -

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,

gestützt auf die Verordnung (EU) 2018/1240 des Europäischen Parlaments und des Rates vom 12. September 2018 über die Einrichtung eines Europäischen Reiseinformations- und -genehmigungssystems (ETIAS) und zur Änderung der Verordnungen (EU) Nr. 1077/2011, (EU) Nr. 515/2014, (EU) 2016/399, (EU) 2016/1624 und (EU) 2017/2226 ¹, insbesondere auf Artikel 54 Absatz 2 Unterabsatz 5,

in Erwägung nachstehender Gründe:

(1) Mit der Verordnung (EU) 2018/1240 wurde das Europäische Reiseinformations- und -genehmigungssystem (ETIAS) für Drittstaatsangehörige eingerichtet, die von der Pflicht befreit sind, beim Überschreiten der Außengrenzen im Besitz eines Visums zu sein. Darin wurden die Bedingungen und Verfahren für die Erteilung oder Verweigerung einer Reisegenehmigung festgelegt.

(2) Jeder Antragsdatensatz sollte nach Ablauf der Gültigkeitsdauer der Reisegenehmigung gelöscht werden. Damit nach Ablauf dieses Zeitraums leichter ein neuer Antrag gestellt werden kann, können Antragsteller in die Verlängerung der Speicherung ihres Antragsdatensatzes um drei Jahre einwilligen. Im vorliegenden Beschluss sollte dargelegt werden, wie Antragsteller ihre Einwilligung unter Verwendung eines zu diesem Zweck eingerichteten Instruments erteilen und widerrufen können.

(3) Das Einwilligungsinstrument sollte über eine zu diesem Zweck eingerichtete öffentliche Website, die Anwendung für Mobilgeräte sowie über einen sicheren Link zugänglich sein, nachdem die ETIAS-Reisegenehmigung erteilt wurde.

(4) Das Einwilligungsinstrument sollte es ermöglichen, die Identität des Antragstellers zu bestätigen. Daher müssen die Authentifizierungsanforderungen für den Zugang zu dem Einwilligungsinstrument festgelegt und, unter anderem durch Übermittlung eines individuellen Codes an jeden Antragsteller, ein sicherer Zugang gewährleistet werden. Ferner sollte das Einwilligungsinstrument den Antragstellern ermöglichen, vor der Erteilung oder dem Widerruf ihrer Einwilligung ihre Daten abzufragen, und es sollte festgelegt werden, wie die Einwilligung erteilt oder widerrufen werden sollte.

(5) Es sollte festgelegt werden, über welche Kanäle das Einwilligungsinstrument mit dem ETIAS-Zentralsystem kommuniziert. Ferner sollten das Nachrichtenformat, die Standards und Protokolle sowie die Sicherheitsanforderungen festgelegt werden.

(6) Nach den Artikeln 1 und 2 des dem Vertrag über die Europäische Union und dem Vertrag über die Arbeitsweise der Europäischen Union beigefügten Protokolls Nr. 22 über die Position Dänemarks hat sich Dänemark nicht an der Annahme der Verordnung (EU) 2017/2226 des Europäischen Parlaments und des Rates ² beteiligt und ist somit weder durch diese Verordnung gebunden noch zu ihrer Anwendung verpflichtet. Da die Verordnung (EU) 2018/1240 den Schengen-Besitzstand jedoch ergänzt, hat Dänemark im Einklang mit Artikel 4 des genannten Protokolls am 21. Dezember 2018 seinen Beschluss mitgeteilt, die Verordnung (EU) 2018/1240 in nationales Recht umzusetzen.

(7) Dieser Beschluss stellt eine Weiterentwicklung der Bestimmungen des Schengen-Besitzstands dar, an denen sich das Vereinigte Königreich gemäß dem Beschluss 2000/365/EG des Rates ³ nicht beteiligt; das Vereinigte Königreich beteiligt sich daher nicht an der Annahme dieses Beschlusses und ist weder durch diesen Beschluss gebunden noch zu seiner Anwendung verpflichtet.

(8) Dieser Beschluss stellt eine Weiterentwicklung der Bestimmungen des Schengen-Besitzstands dar, an denen sich Irland gemäß dem Beschluss 2002/192/EG des Rates ⁴ nicht beteiligt; Irland beteiligt sich daher nicht an der Annahme dieses Beschlusses und ist weder durch diesen Beschluss gebunden noch zu seiner Anwendung verpflichtet.

(9) Für Island und Norwegen stellt dieser Beschluss eine Weiterentwicklung der Bestimmungen des Schengen-Besitzstands im Sinne des Übereinkommens zwischen dem Rat der Europäischen Union sowie der Republik Island und dem Königreich Norwegen über die Assoziierung der beiden letztgenannten Staaten bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands ⁵ dar, die zu dem in Artikel 1 Buchstabe A des Beschlusses 1999/437/EG des Rates ⁶ genannten Bereich gehören.

(10) Für die Schweiz stellt dieser Beschluss eine Weiterentwicklung der Bestimmungen des Schengen-Besitzstands im Sinne des Abkommens zwischen der Europäischen Union, der Europäischen Gemeinschaft und der Schweizerischen Eidgenossenschaft über die Assoziierung der Schweizerischen Eidgenossenschaft bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands ⁷ dar, die zu dem in Artikel 1 Buchstabe A des Beschlusses 1999/437/EG in Verbindung mit Artikel 3 des Beschlusses 2008/146/EG des Rates ⁸ genannten Bereich gehören.

(11) Für Liechtenstein stellt dieser Beschluss eine Weiterentwicklung der Bestimmungen des Schengen-Besitzstands im Sinne des Protokolls zwischen der Europäischen Union, der Europäischen Gemeinschaft, der Schweizerischen Eidgenossenschaft und dem Fürstentum Liechtenstein über den Beitritt des Fürstentums Liechtenstein zu dem Abkommen zwischen der Europäischen Union, der Europäischen Gemeinschaft und der Schweizerischen Eidgenossenschaft über die Assoziierung der Schweizerischen Eidgenossenschaft bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands ⁹ dar, die zu dem in Artikel 1 Buchstabe A des Beschlusses 1999/437/EG in Verbindung mit Artikel 3 des Beschlusses 2011/350/EU des Rates ¹⁰ genannten Bereich gehören.

(12) Der Europäische Datenschutzbeauftragte wurde am 28. Januar 2019 konsultiert und hat am 8. Februar 2019 eine Stellungnahme abgegeben

- hat folgenden Beschluss erlassen:

Artikel 1 Zugang zum Einwilligungsinstrument

Der Zugang zum Einwilligungsinstrument erfolgt über

1. die zu diesem Zweck eingerichtete öffentliche Website gemäß Artikel 16 der Verordnung (EU) 2018/1240;
2. die Anwendung für Mobilgeräte gemäß Artikel 16 der Verordnung (EU) 2018/1240;
3. einen durch den ETIAS-E-Mail-Dienst gemäß Artikel 6 Absatz 2 Buchstabe f der Verordnung (EU) 2018/1240 übermittelten Link.

Artikel 2 Zwei-Faktor-Authentifizierung für den Zugang zum Einwilligungsinstrument

(1) Für die Anmeldung beim Einwilligungsinstrument wird eine Zwei-Faktor-Authentifizierung verwendet.

(2) Die erste Authentifizierung erfolgt durch Eingabe folgender Daten:

1. Antragsnummer;
2. Nummer des Reisedokuments.

(3) Wenn der Antragsteller seine Antragsnummer nicht angibt, erfolgt die erste Authentifizierung durch Eingabe folgender Daten:

1. Nummer des Reisedokuments;
2. Ausstellungsland des Reisedokuments (aus einer vorgegebenen Liste auszuwählen);
3. Datum der Ausstellung und Datum des Ablaufs der Gültigkeitsdauer des Reisedokuments;
4. Vornamen beider Elternteile.

(4) Die Antragsnummer muss identisch sein mit derjenigen, die dem Antragsteller bei der Einreichung seines Antrags über den ETIAS-E-Mail-Dienst mitgeteilt wird. Die weiteren in Absatz 2 oder Absatz 3 genannten Daten, die der Antragsteller übermittelt, müssen mit den Daten in seinem Antragsformular identisch sein.

(5) Die zweite Authentifizierung erfolgt mittels eines individuellen Codes, der in das Einwilligungsinstrument eingegeben wird.

(6) Nach Übermittlung der Angaben gemäß Absatz 2 oder Absatz 3 wird automatisch der in Absatz 5 genannte individuelle Code generiert und dem Antragsteller über den in Artikel 6 Absatz 2 Buchstabe f der Verordnung (EU) 2018/1240 genannten E-Mail-Dienst zugesandt.

(7) Der individuelle Code darf nur kurze Zeit gültig sein. Mit dem Versand eines neuen individuellen Codes werden zuvor an denselben Antragsteller übermittelte individuelle Codes ungültig.

(8) Der individuelle Code wird an die im Antrag genannte E-Mail-Adresse gesandt.

(9) Der individuelle Code darf nur einmal verwendet werden.

Artikel 3 Abfrage der Daten über das Einwilligungsinstrument

(1) Damit der Antragsteller seine Einwilligung zur Verlängerung der Speicherung seines Antragsdatensatzes erteilen oder widerrufen kann, teilt ihm das Instrument mit, welche Daten gespeichert oder gelöscht würden.

(2) Bevor der Antragsteller seine Einwilligung erteilt, hat er Zugriff auf

1. eine schreibgeschützte Version des Antragsformulars und der übermittelten personenbezogenen Daten;
2. eine schreibgeschützte Version zusätzlicher übermittelter Unterlagen oder Angaben;
3. eine schreibgeschützte Version der nach der Entscheidung über die Erteilung der Reisegenehmigung gemäß Artikel 39 Absatz 1 Buchstaben a, c und d der Verordnung (EU) 2018/1240 zum Antragsdatensatz hinzugefügten Daten.

(3) Bevor der Antragsteller seine Einwilligung erteilt, wird ihm Folgendes mitgeteilt:

1. dass der Antragsdatensatz im Falle der Einwilligung für einen weiteren Zeitraum von drei Jahren nach Ablauf der Gültigkeitsdauer der Reisegenehmigung gespeichert wird;
2. dass die Einwilligung bis zum Ende der verlängerten Speicherfrist jederzeit widerrufen werden kann;
3. dass die Daten gespeichert werden, damit leichter ein neuer Antrag gestellt werden kann;
4. dass die Daten für die in Artikel 71 Buchstabe o der Verordnung (EU) 2018/1240 genannten Zwecke genutzt werden können;
5. die Verfahren für die Wahrnehmung der Rechte nach den Artikeln 17 bis 24 der Verordnung (EU) 2018/1725, die Kontaktdaten des Datenschutzbeauftragten der Europäischen Agentur für die Grenz- und Küstenwache, des Europäischen Datenschutzbeauftragten und der nationalen Aufsichtsbehörde des Mitgliedstaats des geplanten ersten Aufenthalts, falls die Reisegenehmigung vom ETIAS-Zentralsystem ausgestellt wurde, oder des zuständigen Mitgliedstaats, falls die Reisegenehmigung von einer nationalen ETIAS-Stelle ausgestellt wurde.

Artikel 4 Erteilung der Einwilligung

(1) Die Einwilligung wird erteilt, indem im Einwilligungsinstrument eine Erklärung durch Markieren eines entsprechenden Feldes elektronisch unterzeichnet wird.

(2) Nach Erteilung der Einwilligung erhält der Antragsteller eine E-Mail mit folgendem Inhalt:

1. Bestätigung, dass der Antragsdatensatz des Antragstellers für einen weiteren Zeitraum von drei Jahren nach Ablauf der Gültigkeitsdauer der Reisegenehmigung gespeichert wird;
2. Link zum Einwilligungsinstrument;
3. Mitteilung, dass die Daten gespeichert werden, damit leichter ein neuer Antrag gestellt werden kann, und dass diese Daten für die in Artikel 71 Buchstabe o der Verordnung (EU) 2018/1240 genannten Zwecke genutzt werden können;
4. Mitteilung, dass die Einwilligung bis zum Ende der verlängerten Speicherfrist jederzeit widerrufen werden kann;
5. Mitteilung, dass dem Antragsteller geraten wird, seine aktuelle Antragsnummer aufzubewahren, um den gespeicherten Antragsdatensatz zur Einreichung eines neuen Antrags verwenden zu können.

Artikel 5 Widerruf der Einwilligung

(1) Die Einwilligung zur Speicherung des Antragsdatensatzes wird durch das Markieren eines entsprechenden Feldes im Einwilligungsinstrument widerrufen.

(2) Wenn die Einwilligung während der Gültigkeitsdauer der aktuellen Reisegenehmigung widerrufen wird, wird dem Antragsteller eine E-Mail zugesandt, mit der bestätigt wird, dass sein Antragsdatensatz nach Ablauf der Gültigkeitsdauer seiner aktuellen Reisegenehmigung gelöscht wird.

(3) Wenn die Einwilligung während der verlängerten Speicherfrist widerrufen wird, wird dem Antragsteller eine E-Mail zugesandt, mit der bestätigt wird, dass sein Antragsdatensatz gelöscht wird.

Artikel 6 Kommunikation des Einwilligungsinstruments mit dem Zentralsystem

(1) Nach Erteilung der Einwilligung zur Speicherung eines Antragsdatensatzes gemäß Artikel 54 der Verordnung (EU) 2018/1240

1. unterrichtet das Einwilligungsinstrument das ETIAS-Zentralsystem über den in Artikel 6 Absatz 2 Buchstabe l der Verordnung (EU) 2018/1240 genannten sicheren Web-Dienst von dieser Einwilligung,
2. speichert das ETIAS-Zentralsystem den Antragsdatensatz für einen Zeitraum von drei Jahren nach Ablauf der Gültigkeitsdauer der aktuellen Reisegenehmigung.

(2) Nach Widerruf der Einwilligung zur Speicherung eines Antragsdatensatzes gemäß Artikel 54 der Verordnung (EU) 2018/1240

1. unterrichtet das Einwilligungsinstrument das ETIAS-Zentralsystem von diesem Widerruf,
2. löscht das ETIAS-Zentralsystem den Antragsdatensatz automatisch nach Ablauf der Gültigkeitsdauer der aktuellen Reisegenehmigung oder während der verlängerten Speicherfrist von drei Jahren, wenn die Einwilligung während dieses Zeitraums widerrufen wird.

(3) Nach Ablauf der Speicherfrist wird der Antragsdatensatz gemäß Artikel 54 Absatz 3 der Verordnung (EU) 2018/1240 automatisch aus dem ETIAS-Zentralsystem gelöscht.

Artikel 7 Nachrichtenformat, Standards und Protokolle

Das Nachrichtenformat und die zu implementierenden Protokolle werden in den technischen Spezifikationen gemäß Artikel 73 Absatz 3 der Verordnung (EU) 2018/1240 aufgeführt.

Artikel 8 Besondere Sicherheitserwägungen

(1) Das Einwilligungsinstrument wird so konzipiert und eingerichtet, dass es die Vertraulichkeit, Integrität und Verfügbarkeit der verarbeiteten Daten gewährleistet und die Nichtabstreitbarkeit von Transaktionen sicherstellt. Seine technische und organisatorische Umsetzung erfüllt die Anforderungen des ETIAS-Sicherheitsplans gemäß Artikel 59 Absatz 3 der Verordnung (EU) 2018/1240 und der für die öffentliche Website und die Anwendung für Mobilgeräte gemäß Artikel 16 Absatz 10 der genannten Verordnung geltenden Bestimmungen in Bezug auf Datenschutz und Sicherheit.

(2) Das Einwilligungsinstrument wird so konzipiert und eingerichtet, dass es gegen unrechtmäßigen Zugriff gesichert ist. Zu diesem Zweck wird die Zahl der Versuche, mit derselben Reisedokumentnummer, derselben Antragsnummer oder demselben individuellen Code auf das Einwilligungsinstrument zuzugreifen, begrenzt. Das Instrument wird zudem durch Maßnahmen zum Schutz gegen nichtmenschliche Eingriffe gesichert.

(3) Das Einwilligungsinstrument sieht nach einigen Minuten ohne Aktivität eine automatische Abschaltung (Timeout) vor.

(4) Weitere Einzelheiten zur Vertraulichkeit, Integrität und Verfügbarkeit der verarbeiteten Daten werden in den technischen Spezifikationen gemäß Artikel 73 Absatz 3 der Verordnung (EU) 2018/1240 festgelegt.

Artikel 9 Protokolle

(1) Das Einwilligungsinstrument führt Aktivitätsprotokolle, die Folgendes enthalten:

1. Authentifizierungsdaten, einschließlich der Angabe, ob die Authentifizierung erfolgreich war oder nicht;
2. Datum und Uhrzeit des Zugriffs;
3. Angabe, ob die Einwilligung erteilt oder widerrufen wurde.

(2) Die Aktivitätsprotokolle des Instruments werden in das Zentralsystem kopiert. Sie werden für einen Zeitraum von höchstens einem Jahr nach dem Ende der verlängerten Speicherfrist des Antragsdatensatzes gespeichert, sofern sie nicht für bereits eingeleitete Kontrollverfahren benötigt werden. Danach werden sie automatisch gelöscht.

Diese Protokolle dürfen nur für die in Artikel 69 Absatz 4 der Verordnung (EU) 2018/1240 genannten Zwecke verwendet werden.

Artikel 10

Dieser Beschluss tritt am zwanzigsten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.

ENDE