s.a.: Liste zur Ergänzung / Festlegung der VO (EU) 2018/1240

Die Europäische Kommission -

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,

gestützt auf die Verordnung (EU) 2018/1240 des Europäischen Parlaments und des Rates vom 12. September 2018 über die Einrichtung eines Europäischen Reiseinformations- und -genehmigungssystems (ETIAS) und zur Änderung der Verordnungen (EU) Nr. 1077/2011, (EU) Nr. 515/2014, (EU) 2016/399, (EU) 2016/1624 und (EU) 2017/2226 ¹, insbesondere auf Artikel 6 Absatz 4,

in Erwägung nachstehender Gründe:

(1) Mit der Verordnung (EU) 2018/1240 wurde das Europäische Reiseinformations- und -genehmigungssystem (ETIAS) für Drittstaatsangehörige eingerichtet, die von der Pflicht befreit sind, beim Überschreiten der Außengrenzen im Besitz eines Visums zu sein. Darin wurden die Bedingungen und Verfahren für die Erteilung oder Verweigerung einer Reisegenehmigung festgelegt.

(2) Die nationalen ETIAS-Stellen können die Antragsteller bei der manuellen Bearbeitung von ETIAS-Anträgen um zusätzliche Angaben oder Unterlagen ersuchen. Im vorliegenden Beschluss sollte dargelegt werden, wie die Antragsteller diese zusätzlichen Angaben oder Unterlagen über ein zu diesem Zweck eingerichtetes Instrument bereitstellen können.

(3) Der Dienst für sichere Konten sollte über eine zu diesem Zweck eingerichtete öffentliche Website und die Anwendung für Mobilgeräte sowie über einen sicheren Link zugänglich sein.

(4) Der Dienst für sichere Konten sollte es ermöglichen, die Identität des Antragstellers zu bestätigen, und einen sicheren Zugang zum Instrument gewährleisten. Daher müssen die Authentifizierungsanforderungen, unter anderem die Übermittlung eines individuellen Codes an den Antragsteller, festgelegt werden.

(5) Darüber hinaus muss das Verfahren für die Übermittlung zusätzlicher Angaben oder Unterlagen festgelegt werden und definiert werden, welche Daten vom Dienst für sichere Konten ausgegeben werden.

(6) Der Antragsteller sollte ab dem Datum des Eingangs des Ersuchens um zusätzliche Angaben oder Unterlagen innerhalb der in Artikel 27 Absatz 2 oder Artikel 44 Absatz 3 genannten Frist jederzeit die Möglichkeit haben, solche Angaben oder Unterlagen zu übermitteln. Der Antragsteller sollte die Möglichkeit haben, innerhalb dieser Frist den Zwischenstand seiner Eingaben zu speichern und seine Dateneingabe fortzusetzen. Nach Ablauf dieser Fristen sollte der Antragsteller keinen Zugang mehr zum Dienst für sichere Konten haben.

(7) Es sollte festgelegt werden, über welche Kanäle der Dienst für sichere Konten mit dem ETIAS-Zentralsystem kommuniziert. Ferner sollten das Nachrichtenformat, die Standards und Protokolle sowie die Sicherheitsanforderungen festgelegt werden.

(8) Nach den Artikeln 1 und 2 des dem Vertrag über die Europäische Union und dem Vertrag über die Arbeitsweise der Europäischen Union beigefügten Protokolls Nr. 22 über die Position Dänemarks hat sich Dänemark nicht an der Annahme der Verordnung (EU) 2017/2226 beteiligt und ist somit weder durch diese Verordnung gebunden noch zu ihrer Anwendung verpflichtet. Da die Verordnung (EU) 2018/1240 den Schengen-Besitzstand jedoch ergänzt, hat Dänemark im Einklang mit Artikel 4 des genannten Protokolls am 21. Dezember 2018 seinen Beschluss mitgeteilt, die Verordnung (EU) 2018/1240 in nationales Recht umzusetzen.

(9) Dieser Beschluss stellt eine Weiterentwicklung der Bestimmungen des Schengen-Besitzstands dar, an denen sich das Vereinigte Königreich gemäß dem Beschluss 2000/365/EG des Rates ² nicht beteiligt; das Vereinigte Königreich beteiligt sich daher nicht an der Annahme dieses Beschlusses und ist weder durch diesen Beschluss gebunden noch zu seiner Anwendung verpflichtet.

(10) Dieser Beschluss stellt eine Weiterentwicklung der Bestimmungen des Schengen-Besitzstands dar, an denen sich Irland gemäß dem Beschluss 2002/192/EG des Rates ³ nicht beteiligt; Irland beteiligt sich daher nicht an der Annahme dieses Beschlusses und ist weder durch diesen Beschluss gebunden noch zu seiner Anwendung verpflichtet.

(11) Für Island und Norwegen stellt dieser Beschluss eine Weiterentwicklung der Bestimmungen des Schengen-Besitzstands im Sinne des Übereinkommens zwischen dem Rat der Europäischen Union sowie der Republik Island und dem Königreich Norwegen über die Assoziierung der beiden letztgenannten Staaten bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands ⁴ dar, die zu dem in Artikel 1 Buchstabe A des Beschlusses 1999/437/EG des Rates ⁵ genannten Bereich gehören.

(12) Für die Schweiz stellt dieser Beschluss eine Weiterentwicklung der Bestimmungen des Schengen-Besitzstands im Sinne des Abkommens zwischen der Europäischen Union, der Europäischen Gemeinschaft und der Schweizerischen Eidgenossenschaft über die Assoziierung der Schweizerischen Eidgenossenschaft bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands ⁶ dar, die zu dem in Artikel 1 Buchstabe A des Beschlusses 1999/437/EG in Verbindung mit Artikel 3 des Beschlusses 2008/146/EG des Rates ⁷ genannten Bereich gehören.

(13) Für Liechtenstein stellt dieser Beschluss eine Weiterentwicklung der Bestimmungen des Schengen-Besitzstands im Sinne des Protokolls zwischen der Europäischen Union, der Europäischen Gemeinschaft, der Schweizerischen Eidgenossenschaft und dem Fürstentum Liechtenstein über den Beitritt des Fürstentums Liechtenstein zu dem Abkommen zwischen der Europäischen Union, der Europäischen Gemeinschaft und der Schweizerischen Eidgenossenschaft über die Assoziierung der Schweizerischen Eidgenossenschaft bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands ⁸ dar, die zu dem in Artikel 1 Buchstabe A des Beschlusses 1999/437/EG in Verbindung mit Artikel 3 des Beschlusses 2011/350/EU des Rates ⁹ genannten Bereich gehören.

(14) Der Europäische Datenschutzbeauftragte wurde am 28. Januar 2019 konsultiert und hat am 8. Februar 2019 eine Stellungnahme abgegeben

- hat folgenden Beschluss erlassen:

Artikel 1 Zugang zum Dienst für sichere Konten

(1) Der Zugang zum Dienst für sichere Konten erfolgt über

1. die zu diesem Zweck eingerichtete öffentliche Website gemäß Artikel 16 der Verordnung (EU) 2018/1240;
2. die Anwendung für Mobilgeräte gemäß Artikel 16 der Verordnung (EU) 2018/1240;
3. einen durch den ETIAS-E-Mail-Dienst gemäß Artikel 6 Absatz 2 Buchstabe f der Verordnung (EU) 2018/1240 übermittelten Link.

(2) Der Zugang zum Dienst für sichere Konten besteht,

1. bis der ETIAS-Antragsteller die endgültige Übermittlung zusätzlicher Angaben oder Unterlagen bestätigt hat oder
2. bis zum Ablauf der Frist gemäß Artikel 27 Absatz 2 der Verordnung (EU) 2018/1240 oder
3. bis zum Ablauf der von der nationalen ETIAS-Stelle gemäß Artikel 44 der Verordnung (EU) 2018/1240 festgesetzten Frist.

Artikel 2 Zwei-Faktor-Authentifizierung für den Zugang zum Dienst für sichere Konten

(1) Für die Anmeldung beim Dienst für sichere Konten wird eine Zwei-Faktor-Authentifizierung verwendet.

(2) Die erste Authentifizierung erfolgt durch Eingabe folgender Daten:

1. Antragsnummer;
2. Nummer des Reisedokuments.

(3) Wenn der Antragsteller seine Antragsnummer nicht angibt, erfolgt die erste Authentifizierung durch Eingabe folgender Daten:

1. Nummer des Reisedokuments;
2. Ausstellungsland des Reisedokuments (aus einer vorgegebenen Liste auszuwählen);
3. Datum der Ausstellung und Datum des Ablaufs der Gültigkeitsdauer des Reisedokuments;
4. Vornamen beider Elternteile.

(4) Die Antragsnummer muss identisch sein mit derjenigen, die dem Antragsteller bei der Einreichung seines Antrags über den ETIAS-E-Mail-Dienst mitgeteilt wird. Die weiteren in Absatz 2 oder Absatz 3 genannten Daten, die der Antragsteller übermittelt, müssen mit den vom Antragsteller zum Zeitpunkt der Übermittlung des Antrags bereitgestellten Daten identisch sein.

(5) Die zweite Authentifizierung erfolgt mittels eines individuellen Codes, der zur Bestätigung der Authentifizierung in den Dienst für sichere Konten eingegeben wird.

(6) Nach Übermittlung der Angaben gemäß Absatz 2 oder Absatz 3 wird automatisch der in Absatz 4 genannte individuelle Code generiert und dem Antragsteller über den in Artikel 6 Absatz 2 Buchstabe f der Verordnung (EU) 2018/1240 genannten E-Mail-Dienst zugesandt.

(7) Der individuelle Code wird an die im Antrag genannte E-Mail-Adresse gesandt.

(8) Der individuelle Code darf nur kurze Zeit gültig sein. Mit dem Versand eines neuen individuellen Codes werden zuvor an denselben Antragsteller übermittelte individuelle Codes ungültig.

(9) Der individuelle Code darf nur einmal verwendet werden.

Artikel 3 Übermittlung zusätzlicher Angaben oder Unterlagen an den Dienst für sichere Konten

(1) Für die Zwecke des Artikels 27 der Verordnung (EU) 2018/1240 übermittelt der ETIAS-Antragsteller zusätzliche Angaben oder Unterlagen in einem der folgenden Formate:

1. Portable Document Format (PDF);
2. Joint Photographic Experts Group (JPEG) oder
3. Portable Network Graphics (PNG).

(2) In den Dienst für sichere Konten können beim endgültigen Upload maximal 20 Dateien und höchstens 50 MB hochgeladen werden.

(3) Der ETIAS-Antragsteller kann innerhalb der Frist gemäß Artikel 27 Absatz 2 der Verordnung (EU) 2018/1240 oder - wenn die Bestimmungen von Artikel 44 der genannten Verordnung Anwendung finden - innerhalb der von der nationalen ETIAS-Stelle festgesetzten Frist bei der Übermittlung zusätzlicher Angaben oder Unterlagen einen Zwischenstand speichern und seine Dateneingabe fortsetzen. Der Antragsteller kann im Dienst für sichere Konten eindeutig angeben, ob die betreffenden Daten endgültig übermittelt werden sollen oder nicht. Ferner kann er vor der Bestätigung der Übermittlung überprüfen, ob die Dokumente ordnungsgemäß hochgeladen wurden.

(4) Der Antragsteller kann die hochgeladenen Dokumente vor der endgültigen Übermittlung innerhalb der Frist gemäß Artikel 27 Absatz 2 der Verordnung (EU) 2018/1240 oder - wenn die Bestimmungen von Artikel 44 der genannten Verordnung Anwendung finden - innerhalb der von der nationalen ETIAS-Stelle festgesetzten Frist löschen.

(5) Der Antragsteller wird aufgefordert, durch Markieren eines entsprechenden Feldes im Dienst für sichere Konten die Übermittlung zu bestätigen.

Artikel 4 Dienst für sichere Konten - Datenausgabe

(1) Nach der endgültigen Übermittlung der zusätzlichen Angaben und/oder Unterlagen wird Folgendes veranlasst:

1. Die übermittelten zusätzlichen Angaben und/oder Unterlagen werden mit dem Hinweis "übermittelt" gekennzeichnet und als schreibgeschützte Version zur Verfügung gestellt.
2. Der Antragsteller erhält über den ETIAS-E-Mail-Dienst eine E-Mail, mit der die Übermittlung zusätzlicher Angaben und/oder Unterlagen bestätigt wird; sie enthält die Namen und Formate der hochgeladenen Dokumente, den Zeitstempel der endgültigen Übermittlung und die Hashwerte der übermittelten Dateien (alphanumerischer Wert von vorgegebener Länge, über den die Daten eindeutig gekennzeichnet werden).

(2) Nach Übermittlung der zusätzlichen Angaben und/oder Unterlagen hat der Antragsteller keinen Zugang mehr zum Dienst für sichere Konten.

(3) Der Dienst für sichere Konten verfügt über eine integrierte technische Lösung, die dazu beiträgt sicherzustellen, dass jedes im Antragsdatensatz gespeicherte Dokument mit dem vom Antragsteller im Dienst für sichere Konten hochgeladenen Dokument identisch ist.

Artikel 5 Kommunikation des Dienstes für sichere Konten mit dem ETIAS-Zentralsystem

(1) Wenn eine nationale ETIAS-Stelle im Einklang mit Artikel 27 oder Artikel 44 der Verordnung (EU) 2018/1240 zusätzliche Angaben oder Unterlagen anfordert, informiert das ETIAS-Zentralsystem den Dienst für sichere Konten unverzüglich über den in Artikel 6 Absatz 2 Buchstabe l der Verordnung (EU) 2018/1240 genannten sicheren Web-Dienst über dieses Ersuchen.

(2) Bei der Übermittlung zusätzlicher Angaben oder Unterlagen durch den Antragsteller veranlasst der Dienst für sichere Konten Folgendes:

1. Er berechnet die Hashwerte der übermittelten Dateien und
2. er übermittelt die zusätzlichen Angaben oder Unterlagen über den sicheren Web-Dienst an das ETIAS-Zentralsystem.

(3) Der Dienst für sichere Konten führt die erforderlichen Überprüfungsverfahren durch, um vor der Übermittlung der Unterlagen an das ETIAS-Zentralsystem sicherzustellen, dass diese sicher und gesichert sind.

(4) Gemäß Artikel 27 Absatz 9 und Artikel 44 Absatz 3 der Verordnung (EU) 2018/1240 nimmt das ETIAS-Zentralsystem die zusätzlichen Angaben und/oder Unterlagen in den Antragsdatensatz auf und speichert sie dort.

Artikel 6 Nachrichtenformat, Standards und Protokolle

Das Nachrichtenformat und die zu implementierenden Protokolle werden in den technischen Spezifikationen gemäß Artikel 73 Absatz 3 der Verordnung (EU) 2018/1240 aufgeführt.

Artikel 7 Besondere Sicherheitserwägungen

(1) Der Dienst für sichere Konten wird so konzipiert und eingerichtet, dass er gegen unrechtmäßigen Zugriff gesichert ist. Zu diesem Zweck wird die Zahl der Versuche, mit demselben Reisedokument, derselben Antragsnummer oder demselben individuellen Code auf den Dienst für sichere Konten zuzugreifen, begrenzt. Der Dienst für sichere Konten wird zudem durch Maßnahmen zum Schutz gegen nichtmenschliche Eingriffe gesichert.

(2) Der Dienst für sichere Konten sieht nach einigen Minuten ohne Aktivität eine automatische Abschaltung (Timeout) vor.

(3) Weitere Einzelheiten zur Vertraulichkeit, Integrität und Verfügbarkeit der verarbeiteten Daten werden in den technischen Spezifikationen gemäß Artikel 73 Absatz 3 der Verordnung (EU) 2018/1240 festgelegt.

Artikel 8 Protokolle

(1) Der Dienst für sichere Konten führt Aktivitätsprotokolle, die Folgendes enthalten:

1. Authentifizierungsdaten, einschließlich der Angabe, ob die Authentifizierung erfolgreich war oder nicht;
2. Datum und Uhrzeit der Übermittlung des individuellen Codes;
3. Datum und Uhrzeit des Zugriffs;
4. Anzahl der hochgeladenen Dokumente;
5. Überprüfung, ob die Dokumente sicher und gesichert sind.

(2) Zusätzlich wird in Bezug auf jedes Dokument Folgendes protokolliert:

1. Datum und Uhrzeit, zu denen das (die) Dokument(e) hochgeladen wurde(n);
2. Dokumentenname(n);
3. Dokumentengröße;
4. Hashwerte der hochgeladenen Dokumente.

(3) Die Aktivitäts- und Dokumentenprotokolle des Dienstes für sichere Konten werden in das Zentralsystem kopiert. Sie werden für einen Zeitraum von höchstens einem Jahr nach dem Ende der Speicherfrist des Antragsdatensatzes gespeichert, sofern sie nicht für bereits eingeleitete Kontrollverfahren benötigt werden. Danach werden sie automatisch gelöscht.

Diese Protokolle dürfen nur für die in Artikel 69 Absatz 4 der Verordnung (EU) 2018/1240 genannten Zwecke verwendet werden.

Artikel 9

Dieser Beschluss tritt am zwanzigsten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.

Brüssel, den 26. Februar 2019

ENDE