Die Europäische Kommission -

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,

gestützt auf die Verordnung (EU) 2022/2065 des Europäischen Parlaments und des Rates vom 19. Oktober 2022 über einen Binnenmarkt für digitale Dienste und zur Änderung der Richtlinie 2000/31/EG ¹, insbesondere Artikel 40 Absatz 13,

in Erwägung nachstehender Gründe:

(1) Artikel 40 der Verordnung (EU) 2022/2065 enthält Vorschriften über den Datenzugang, den Anbieter sehr großer Online-Plattformen und sehr großer Online-Suchmaschinen gewähren müssen. Sie ermöglicht es insbesondere Forschenden, die ein Verfahren zum Nachweis, dass sie die in Absatz 8 des genannten Artikels festgelegten Bedingungen erfüllen, abgeschlossen haben (im Folgenden "zugelassene Forschende"), einen solchen Zugang zu erhalten.

(2) Nach Artikel 40 Absatz 4 der Verordnung (EU) 2022/2065 muss zugelassenen Forschenden Zugang zu Daten gewährt werden, um sie bei der Untersuchung systemischer Risiken in der Union und bei der Bewertung der Wirksamkeit von Maßnahmen zur Minderung dieser Risiken zu unterstützen. Ihre Ergebnisse können einen wertvollen Beitrag zur Durchsetzung der Verordnung (EU) 2022/2065 darstellen und die Rechenschaftspflicht der Anbieter sehr großer Online-Plattformen und sehr großer Online-Suchmaschinen fördern. Zweck dieser Verordnung ist es, die technischen Bedingungen und Verfahren festzulegen, die erforderlich sind, um einen solchen Zugang auf sichere und effiziente, für alle Koordinatoren für digitale Dienste einheitliche Weise zu ermöglichen, mit der darüber hinaus die Gleichbehandlung von Forschenden und Datenlieferanten gewährleistet wird.

(3) Damit der Datenzugangsprozess für alle Koordinatoren für digitale Dienste einheitlich und für alle Beteiligten klar und transparent ist, muss eine spezielle digitale Infrastruktur (im Folgenden "DSA-Datenzugangsportal") geschaffen werden. Das DSA-Datenzugangsportal sollte es Forschenden, Datenlieferanten und Koordinatoren für digitale Dienste ermöglichen, sich am Datenzugangsprozess zu beteiligen, Zugang zu einschlägigen Informationen wie den Angaben der speziellen Kontaktstellen zu erhalten und diese weiterzugeben sowie miteinander zu kommunizieren. Das DSA-Datenzugangsportal sollte nicht als eine der Zugangsmodalitäten betrachtet werden, die für die Gewährung des Zugangs zu den Daten aufgrund eines begründeten Verlangens zu verwenden sind.

(4) Datenlieferanten und Forschende, die sich am Datenzugangsprozess beteiligen möchten, sollten zu diesem Zweck ein Konto im DSA-Datenzugangsportal einrichten. Damit die Koordinatoren für digitale Dienste auf die über das DSA-Datenzugangsportal übermittelten Informationen zugreifen können, ohne dafür ein gesondertes Konto im Portal einrichten zu müssen, sollte das DSA-Datenzugangsportal mit dem aufgrund der Durchführungsverordnung (EU) 2024/607 der Kommission ² eingerichteten Informationsaustauschsystem AGORA interoperabel sein.

(5) Um die Transparenz des Datenzugangsprozesses für alle Beteiligten zu gewährleisten und die Wirksamkeit und Effizienz des Datenzugangsprozesses und die Einhaltung des Artikels 40 Absatz 4 der Verordnung (EU) 2022/2065 und der vorliegenden Verordnung zu überwachen, sollte das DSA-Datenzugangsportal automatische Benachrichtigungen in Bezug auf verschiedene Schritte und Aktualisierungen des Prozesses erzeugen.

(6) Zur Bereitstellung kohärenter Informationen über den Datenzugangsprozess an Forschende sollten die Koordinatoren für digitale Dienste über ihre Online-Schnittstellen Informationen über den Datenzugangsprozess, einschließlich Links zum DSA-Datenzugangsportal, zur Verfügung stellen und leicht zugänglich machen. Um unnötigen Verwaltungsaufwand zu vermeiden, die Effizienz zu erhöhen und die Kommunikation zwischen allen am Datenzugangsprozess Beteiligten zu erleichtern, werden die Koordinatoren für digitale Dienste dazu angehalten, die Verwaltung von Informationen im Zusammenhang mit dem Datenzugangsprozess zu erleichtern, auch aus sprachlicher Sicht.

(7) Damit Forschende die Daten bestimmen können, die für die in Artikel 40 Absatz 4 der Verordnung (EU) 2022/2065 genannten Zwecke von Belang sind, sollten Datenlieferanten Datenkataloge für ihre Dienste zur Verfügung stellen. Diese Kataloge sollten über die Online-Schnittstellen der Datenlieferanten leicht auffindbar und zugänglich sein und die verfügbaren Datenbestände, ihre Datenstruktur und Metadaten beschreiben, zu denen nach Artikel 40 Absatz 4 der Verordnung (EU) 2022/2065 Zugang verlangt werden kann. Bei der Bereitstellung der DSA-Datenkataloge sollten die Datenlieferanten Risiken für die Vertraulichkeit, die Datensicherheit oder den Schutz personenbezogener Daten berücksichtigen, die sich aus der Veröffentlichung solcher Informationen ergeben können.

(8) Um zur Entwicklung einschlägiger Forschungsprojekte zu den in Artikel 40 Absatz 4 der Verordnung (EU) 2022/2065 genannten Zwecken beizutragen, sollten die DSA-Datenkataloge insbesondere Daten zu den systemischen Risiken in der Union enthalten, die Datenlieferanten in ihren jährlichen Risikobewertungen gemäß Artikel 34 der genannten Verordnung ermittelt haben, sowie Daten im Zusammenhang mit etwaigen Risikominderungsmaßnahmen gemäß Artikel 35 der genannten Verordnung. Zur Gewährleistung der Relevanz und Aktualität der DSA-Datenkataloge sollten diese Kataloge regelmäßig unter gebührender Berücksichtigung neu ermittelter Systemrisiken und der Entwicklung von Systemrisiken aktualisiert werden. Beispielsweise sollten sie neu auftretende Risiken widerspiegeln, die im Anschluss an eine Ad-hoc-Risikobewertung gemäß Artikel 34 der Verordnung (EU) 2022/2065 oder an einen Prüfbericht gemäß Artikel 37 der genannten Verordnung ermittelt werden. Damit der Verfahrensaufwand für die Datenlieferanten so gering wie möglich gehalten wird, können sich solche Kataloge gegebenenfalls auf vorhandene Datendokumentationsressourcen stützen, die für andere Zwecke und Zielgruppen wie Werbung, Erstellung von Inhalten oder Entwicklung von Anwendungen durch Dritte genutzt werden. Die DSA-Datenkataloge sollten nicht erschöpfend sein müssen und daher die antragstellenden Forschenden in ihren Datenzugangsanträgen weder binden noch einschränken.

(9) Um die Festlegung der Zugangsmodalitäten durch den Koordinator für digitale Dienste am Niederlassungsort zu erleichtern und den Gesamtaufwand des Datenzugangsprozesses für alle Beteiligten zu verringern, sollten die Datenlieferanten ihre vorgeschlagenen Zugangsmodalitäten für die in den DSA-Datenkatalogen beschriebenen Daten veröffentlichen. Diese vorgeschlagenen Zugangsmodalitäten sollten in einem angemessenen Verhältnis zur Sensibilität der Daten stehen und Angaben zu möglichen technischen, organisatorischen und rechtlichen Bedingungen enthalten, die aus Sicht der Datenlieferanten für die Gewährung des Zugangs zu den Daten angemessen sind. Die Koordinatoren für digitale Dienste am Niederlassungsort sollten nicht an die von den Datenlieferanten vorgeschlagenen Zugangsmodalitäten gebunden sein; sie sollten weiterhin dafür zuständig sein, die geeigneten Zugangsmodalitäten festzulegen.

(10) Damit Datenzugangsanträge unabhängig von dem Koordinator für digitale Dienste, bei dem der Datenzugangsantrag eingereicht wird oder von dem das begründete Verlangen stammt, gleichbehandelt werden, sollte der Zeitrahmen für die Formulierung begründeter Verlangen festgelegt werden, sodass die Kohärenz zwischen allen Koordinatoren für digitale Dienste gewährleistet wird. Erfordert die Formulierung des begründeten Verlangens zusätzliche Zeit, sollte der Koordinator für digitale Dienste am Niederlassungsort den Hauptforschenden davon in Kenntnis setzen und die Gründe für die Verzögerung angeben. Solche Gründe können die Notwendigkeit zusätzlicher Überprüfungen durch den Koordinator für digitale Dienste am Ort der Forschungsorganisation oder am Niederlassungsort sein, z.B. wenn Datenzugangsanträge internationale Datenübermittlungen umfassen oder wenn der Koordinator für digitale Dienste am Niederlassungsort mögliche Risiken für die Sicherheit der Union festgestellt hat, wenn die Daten weitergegeben würden. Um auch die Schritte im Datenzugangsprozess vor der Formulierung begründeter Verlangen, einschließlich der Bewertung von Datenzugangsanträgen und der Gewährung des Status eines zugelassenen Forschenden, anzugleichen, werden die Koordinatoren für digitale Dienste dazu angehalten, im Rahmen des Europäischen Gremiums für digitale Dienste eine kohärente und koordinierte Arbeitsweise, einschließlich gemeinsamer operativer Kriterien, zu entwickeln.

(11) Zur Straffung der Verfahren für die Formulierung begründeter Verlangen sollten alle Koordinatoren für digitale Dienste am Niederlassungsort verpflichtet werden, zu überprüfen, ob bestimmte gemeinsame Elemente des Datenzugangsprozesses in den Datenzugangsanträgen gebührend berücksichtigt wurden. Zu diesem Zweck sollten die Koordinatoren für digitale Dienste am Niederlassungsort überprüfen, ob alle in dem Datenzugangsantrag genannten antragstellenden Forschenden ihren Anschluss an eine Forschungsorganisation nachgewiesen haben, z.B. durch Vorlage von Belegen für Arbeitsverträge oder eine andere Form der rechtlichen Verbindung mit der Forschungsorganisation. Die Koordinatoren für digitale Dienste am Niederlassungsort sollten ferner überprüfen, ob die antragstellenden Forschenden ihre Unabhängigkeit von kommerziellen Interessen unter Beweis gestellt haben, beispielsweise durch eine entsprechende Erklärung.

(12) Der Koordinator für digitale Dienste am Niederlassungsort sollte überprüfen, ob die Finanzierung des Forschungsprojekts, für das die Daten angefordert werden, in dem Datenzugangsantrag offengelegt wird. Die von den antragstellenden Forschenden bereitgestellten Informationen sollten Einzelheiten zu den Beiträgen enthalten, z.B. zur finanzierenden Einrichtung, dem Betrag, der Art und Dauer des Beitrags, einschließlich der Angabe, ob die Förderung bereits gewährt wurde oder ob ein Finanzierungsantrag noch bewertet wird, sowie gegebenenfalls einschlägige Verweise auf von der Union finanzierte Projekte. Soweit verfügbar, sollte der Datenzugangsantrag auch die Ergebnisse der Bewertungen enthalten, die von der oder den Einrichtungen, die die Mittel bereitstellen, durchgeführt wurden.

(13) Der Koordinator für digitale Dienste am Niederlassungsort sollte überprüfen, ob im Datenzugangsantrag beschrieben wird, wie die Daten und das Datenformat ausgewählt werden, wobei die Anforderungen an die Notwendigkeit und Verhältnismäßigkeit im Hinblick auf den Zweck der geplanten Forschung zu berücksichtigen sind. Sind die angeforderten Daten auch aus anderen Quellen verfügbar, sollte der Koordinator für digitale Dienste am Niederlassungsort prüfen, ob die Anforderung solcher Daten im Datenzugangsantrag unter Berücksichtigung der Informationen im Datenzugangsantrag hinreichend begründet ist. Mögliche Begründungen können auf den Nachweis einer schlechten Qualität oder Unzuverlässigkeit dieser Daten aus anderen Quellen oder die Ungeeignetheit des Formats, in dem diese Daten für die Zwecke des Forschungsprojekts aus anderen Quellen abgerufen werden können, abstellen, wodurch die Durchführung des Forschungsprojekts behindert würde. Daten, die angefordert werden können, um systemische Risiken oder deren Minderung in der Union zu untersuchen, können sich in Zukunft weiterentwickeln. Aktuelle Beispiele für solche Daten sind solche, die sich auf Nutzer der Dienste beziehen, wie Profilinformationen, Beziehungsnetze, die Exposition gegenüber Inhalten auf individueller Ebene und Datenverläufe zu vergangenen Interaktionen, Interaktionsdaten wie Kommentare oder andere Interaktionen, Daten im Zusammenhang mit Inhaltsempfehlungen, einschließlich Daten, die zur Personalisierung von Empfehlungen verwendet werden, Daten im Zusammenhang mit dem Targeting von Werbung und dem Profiling, einschließlich der Kosten pro Klick und anderer Maßstäbe zur Bemessung der Anzeigenpreise, Daten im Zusammenhang mit der Erprobung neuer Funktionen vor ihrer Einführung, einschließlich der Ergebnisse von Alpha- und Beta-Tests, Daten im Zusammenhang mit der Moderation und Governance von Inhalten, wie Daten über algorithmische oder andere Systeme und Prozesse zur Moderation von Inhalten, einschließlich Änderungsprotokollen, Archiven oder Verzeichnissen, in denen moderierte Inhalte dokumentiert werden, einschließlich Konten, sowie Daten im Zusammenhang mit Preisen, Mengen und Merkmalen von Waren oder Dienstleistungen, die vom Datenlieferanten bereitgestellt oder vermittelt werden.

(14) Der Koordinator für digitale Dienste am Niederlassungsort sollte prüfen, ob der Datenzugangsantrag ausreichende Informationen enthält, die belegen, dass der Forschende in der Lage ist, die spezifischen Anforderungen an die Vertraulichkeit, die Sicherheit und den Schutz personenbezogener Daten in Bezug auf die angeforderten Daten zu erfüllen, und ob er mögliche Risiken ermittelt hat, die sich aus dem Zugang zu diesen Daten für die Zwecke der Forschung ergeben, sowie ob er etwaige vorgeschlagene Zugangsmodalitäten, einschließlich der rechtlichen, organisatorischen und technischen Bedingungen, die zur Minimierung der ermittelten Risiken festgelegt werden, dokumentiert, z.B. durch eine Verpflichtungserklärung der Forschungsorganisation, mit der der Zugang zu Mitteln bestätigt wird, die einschlägige Schutzvorkehrungen darstellen können, oder andere Unterlagen.

(15) Wird der Zugang zu personenbezogenen Daten beantragt, sollte der Koordinator für digitale Dienste am Niederlassungsort prüfen, ob der Datenzugangsantrag Informationen über die Rechtsgrundlage für die Verarbeitung personenbezogener Daten, gegebenenfalls einschließlich besonderer Kategorien personenbezogener Daten, enthält und ob diese Rechtsgrundlage mit Artikel 6 Absatz 1 Buchstabe e oder f und gegebenenfalls mit Artikel 9 Absatz 2 Buchstabe g oder j der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates ³ im Einklang steht. Darüber hinaus sollte der Koordinator für digitale Dienste am Niederlassungsort prüfen, ob der Datenzugangsantrag ausreichende Hinweise darauf enthält, dass die Forschenden Risiken für den Schutz personenbezogener Daten bewertet haben. Dies könnte beispielsweise durch eine Datenschutz-Folgenabschätzung im Sinne des Artikels 35 der genannten Verordnung nachgewiesen werden. Damit auf personenbezogene Daten im Einklang mit der Verordnung (EU) 2016/679 zugegriffen werden kann, sollten die Koordinatoren für digitale Dienste die gemäß Artikel 51 der genannten Verordnung eingerichteten einschlägigen Aufsichtsbehörden konsultieren dürfen, die weiterhin für die Bewertung der Einhaltung der Verordnung (EU) 2016/679 zuständig sind.

(16) Zur Erleichterung der Formulierung des begründeten Verlangens und Wahrung der Integrität der im Datenzugangsantrag enthaltenen Informationen sollte der Koordinator für digitale Dienste am Niederlassungsort prüfen, ob der Datenzugangsantrag eine Zusammenfassung enthält. Diese Zusammenfassung sollte einen Überblick über die Informationen geben, die in das begründete Verlangens aufgenommen und im DSA-Datenzugangsportal veröffentlicht werden sollen, falls die Prüfung des Datenzugangsantrags zur Formulierung eines begründeten Verlangens führt.

(17) Um sicherzustellen, dass die vom Koordinator für digitale Dienste am Niederlassungsort festgelegten Zugangsmodalitäten der Sensibilität der in einem Datenzugangsantrag angeforderten spezifischen Daten angemessen Rechnung tragen, sollte der Koordinator für digitale Dienste am Niederlassungsort eine Einzelfallprüfung auf der Grundlage der im Datenzugangsantrag enthaltenen Informationen vornehmen. Die in dem begründeten Verlangen festgelegten Zugangsmodalitäten sollten geeignet sein, die Anforderungen an die Datensicherheit, die Vertraulichkeit der Daten und den Schutz personenbezogener Daten zu erfüllen und gleichzeitig die Verwirklichung der Forschungsziele des Forschungsprojekts ermöglichen. Der Zugang zu den Daten kann beispielsweise gewährt werden durch Datenübertragung an die zugelassenen Forschenden über eine geeignete Schnittstelle und eine geeignete Datenspeicherung, durch Übertragung der Daten in eine sichere Verarbeitungsumgebung, die vom Datenlieferanten oder von einem Drittanbieter betrieben wird und zu der die zugelassenen Forschenden Zugang erhalten, ohne dass aber eine Datenübertragung an die zugelassenen Forschenden selbst stattfindet, oder durch andere vom Datenanbieter festzulegende oder zu unterstützende Zugangsmodalitäten. Bei der Festlegung der Zugangsmodalitäten sollte der Koordinator für digitale Dienste am Niederlassungsort auch alle rechtlichen, technischen oder organisatorischen Bedingungen aufführen, die für den Zugang gelten. In Fällen, in denen die Gewährung des Zugangs eine Übermittlung personenbezogener Daten an Drittländer oder internationale Organisationen im Sinne des Kapitels V der Verordnung (EU) 2016/679 umfasst, sollten die Zugangsmodalitäten auch Informationen darüber enthalten, ob ein geeigneter Übermittlungsmechanismus eingerichtet werden muss, sodass gewährleistet wird, dass der Datenlieferant die erforderlichen Maßnahmen ergreift, um der genannten Verordnung nachzukommen.

(18) Um sicherzustellen, dass die Datenzugangsmodalitäten spezifischen Sensibilitäten in Bezug auf Datenschutz, Datensicherheit oder Vertraulichkeit angemessen Rechnung tragen, sollte der Koordinator für digitale Dienste am Niederlassungsort auf der Grundlage der im Datenzugangsantrag erhaltenen Informationen verlangen können, dass der Datenzugang über sichere Verarbeitungsumgebungen gewährt wird. In solchen Fällen sollte der Koordinator für digitale Dienste am Niederlassungsort sicherstellen, dass die gewählte Umgebung im Einklang mit der am besten geeigneten Technik betrieben wird und es den zugelassenen Forschenden ermöglicht, die Ziele ihrer Forschung zu erreichen.

(19) Um die Kohärenz der von den Koordinatoren für digitale Dienste am Niederlassungsort an die Datenlieferanten übermittelten Informationen zu gewährleisten, ist es nötig, den Inhalt des begründeten Verlangens festzulegen.

(20) Um die Interessen der Datenlieferanten zu wahren und die Häufigkeit von Änderungsersuchen im Laufe der Zeit zu verringern sowie die Formulierung einschlägiger Datenzugangsanträge durch Forschende zu erleichtern, sollte der Koordinator für digitale Dienste am Niederlassungsort, der die entsprechenden begründeten Verlangen gestellt hat, einen Überblick über jedes begründete Verlangen, einschließlich etwaiger Änderungen und Aktualisierungen, im DSA-Datenzugangsportal öffentlich zugänglich machen.

(21) Damit der Koordinator für digitale Dienste am Niederlassungsort über die einschlägigen Informationen verfügt, um ein Änderungsersuchen zu bewerten, und damit ein einheitlicher Ansatz bei der Bewertung von Änderungsersuchen erleichtert wird, sollte der Datenlieferant verpflichtet sein, die Gründe für ein solches Ersuchen gemäß Artikel 40 Absatz 5 der Verordnung (EU) 2022/2065 anzugeben. Insbesondere sollte der Koordinator für digitale Dienste am Niederlassungsort bei der Prüfung eines Änderungsersuchens, das auf der Grundlage des fehlenden Zugangs eines Datenlieferanten zu den betreffenden Daten gestellt wird, in der Lage sein zu prüfen, ob die angebliche Unmöglichkeit hinreichend begründet ist, beispielsweise durch das Nichtvorhandensein der verlangten Daten oder durch technische Beschränkungen wie Verschlüsselung, und er sollte über die Informationen verfügen, die erforderlich sind, um zu prüfen, ob das Fehlen des Zugangs dauerhaft oder vorübergehend ist. In diesem Zusammenhang sollte klar sein, dass kommerzielle Erwägungen nicht als Grund für die automatische Verweigerung des Zugangs zu den verlangten Daten, sondern als Grund zur Änderung der Mittel der Gewährung des Zugangs zu den Daten angesehen werden sollten, was dazu führen kann, dass zusätzliche Anforderungen an die Sicherheit und Vertraulichkeit der Daten auferlegt werden.

(22) Um eine effiziente Streitbeilegung zu gewährleisten und nach einem Änderungsersuchen das Finden einer gegenseitig annehmbaren Lösung zu unterstützen, sollten Datenlieferanten die Koordinatoren für digitale Dienste am Niederlassungsort ersuchen können, an einer Mediation teilzunehmen. Eine solche Teilnahme sollte während des gesamten Mediationsverfahrens freiwillig sein und nicht zu einem Ergebnis führen, das den Koordinator für digitale Dienste am Niederlassungsort bindet, der weiterhin für die Entscheidung über die Änderungsersuchen zuständig bleibt. Alle am Mediationsverfahren teilnehmenden Parteien sollten nach Treu und Glauben handeln und sich um eine gerechte und gegenseitig annehmbare Einigung bemühen.

(23) Damit die Mediation den Datenzugangsprozess nicht auf unbestimmte Zeit verlängert, sollten die Übermittlung des schriftlichen Mediationsantrags, die Auswahl des Mediators und das Mediationsverfahren selbst innerhalb bestimmter Fristen erfolgen. Die Koordinatoren für digitale Dienste am Niederlassungsort sollten eine Frist für das Mediationsverfahren zu einem bestimmten begründeten Verlangen festlegen, und der Mediator sollte befugt sein, das Mediationsverfahren unter bestimmten Umständen zu beenden.

(24) Um das gegenseitige Vertrauen zwischen den an der Mediation teilnehmenden Parteien aufrechtzuerhalten, sollte der Koordinator für digitale Dienste am Niederlassungsort sicherstellen, dass der vorgeschlagene Mediator die Anforderungen an seine Unparteilichkeit und Unabhängigkeit erfüllt und über einschlägige Sachkenntnis in Bezug auf den Gegenstand der Mediation verfügt.

(25) Um eine sachkundige und wirksame Entscheidungsfindung in Bezug auf den Datenzugangsprozess zu erleichtern, sollten die Koordinatoren für digitale Dienste die Möglichkeit haben, Sachverständigengutachten zu bestimmten Elementen des Datenzugangsprozesses einzuholen, wie etwa zur Festlegung der Zugangsmodalitäten, einschließlich geeigneter Schnittstellen, der Formulierung des begründeten Verlangens und etwaiger Änderungsersuchen des Datenlieferanten. Die konsultierten Sachverständigen sollten über bewährte Sachkenntnis in der Angelegenheit, zu der sie um Stellungnahme ersucht werden, verfügen und unabhängig sein. Insbesondere sollten sie in keinem Interessenkonflikt stehen, der sich beispielsweise aus Verbindungen zu den antragstellenden Forschenden oder zum Datenlieferanten ergeben kann.

(26) Um die Transparenz zu erhöhen und es den Koordinatoren für digitale Dienste zu ermöglichen, auf ihrer im Laufe der Zeit erworbenen Sachkenntnis aufzubauen, sollten alle Aufträge für Sachverständigengutachten und die daraus abgeleiteten Folgemaßnahmen in AGORA registriert werden.

(27) Um eine wirksame Überwachung der Einhaltung der in dem begründeten Verlangen festgelegten Bedingungen zu erleichtern, sollte der Datenlieferant den Koordinator für digitale Dienste am Niederlassungsort innerhalb von drei Arbeitstagen nach dem Beginn und nach der Beendigung der Zugangsgewährung für die zugelassenen Forschenden hierüber benachrichtigen.

(28) Damit die zugelassenen Forschenden die angeforderten Daten zu den Zwecken der Forschung auswerten können und um einschlägige Kontextinformationen zu geben, sollten die Datenlieferanten den zugelassenen Forschenden die relevanten Metadaten und Dokumentationen zur Verfügung stellen, in denen die zugänglich gemachten Daten beschrieben werden, wie z.B. Codebücher, Änderungsprotokolle und Architekturdokumentation.

(29) Um den zugelassenen Forschenden eine sinnvolle Forschungsarbeit zu erleichtern, auch durch Ermöglichung des Kombinierens der angeforderten Daten mit Daten aus anderen Quellen, sollten Datenlieferanten keine Beschränkungen für die von den zugelassenen Forschenden verwendeten Analysewerkzeuge, einschließlich einschlägiger Software-Bibliotheken, auferlegen und auch keine Anforderungen an die Archivierung, Speicherung, Auffrischung und Löschung stellen, es sei denn, diese sind in den Zugangsmodalitäten des begründeten Verlangens ausdrücklich aufgeführt.

(30) Falls die Daten, die den zugelassenen Forschenden zur Verfügung gestellt werden, personenbezogene Daten im Sinne des Artikels 4 der Verordnung (EU) 2016/679 enthalten, sollte der Datenlieferant die in der genannten Verordnung festgelegten Vorschriften einhalten. Insbesondere begründet der Artikel 40 Absatz 4 der Verordnung (EU) 2022/2065 für jede Verarbeitung personenbezogener Daten, die nötig ist, damit der Datenlieferant Zugang zu den im begründeten Verlangen genannten Daten gewähren kann, eine rechtliche Verpflichtung im Sinne des Artikels 6 Absatz 1 Buchstabe c der Verordnung (EU) 2016/679. Falls besondere Kategorien personenbezogener Daten im Sinne des Artikels 9 der Verordnung (EU) 2016/679 verarbeitet werden sollen, erfüllt die vorliegende Verordnung die Anforderung des Artikels 9 Absatz 2 Buchstabe g der Verordnung (EU) 2016/679.

(31) Der Europäische Datenschutzbeauftragte wurde gemäß Artikel 42 Absatz 1 der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates ⁴ angehört und hat am 4. Dezember 2024 eine Stellungnahme abgegeben.

(32) nach Anhörung des Europäischen Gremiums für digitale Dienste gemäß Artikel 40 Absatz 13 der Verordnung (EU) 2022/2065 und mit dessen Zustimmung

- hat folgende Verordnung erlassen:

Kapitel I
Allgemeine Bestimmungen

Artikel 1 Gegenstand

In dieser Verordnung werden Verfahren und technische Bedingungen für die Gewährung des Zugangs zugelassener Forschender gemäß Artikel 40 Absatz 4 der Verordnung (EU) 2022/2065 zu Daten im Besitz von Anbietern sehr großer Online-Plattformen und sehr großer Online-Suchmaschinen festgelegt, und zwar insbesondere

1. die technischen Bedingungen für die Entwicklung und den Betrieb eines Datenzugangsportals;
2. die Verfahren und technischen Bedingungen für die Verwaltung des Datenzugangsprozesses durch die Koordinatoren für digitale Dienste und die Datenlieferanten;
3. die Anforderungen an die Formulierung begründeter Verlangen und die Prüfung von Änderungsersuchen;
4. die technischen Bedingungen für die Gewährung des Datenzugangs durch die Datenlieferanten.

Artikel 2 Begriffsbestimmungen

Für die Zwecke dieser Verordnung gelten die Begriffsbestimmungen in Artikel 4 der Verordnung (EU) 2016/679 und in Artikel 3 der Verordnung (EU) 2018/1725. Darüber hinaus bezeichnet der Ausdruck

1. "Datenzugangsantrag" die Angaben und einschlägigen Unterlagen, die antragstellende Forschende dem Koordinator für digitale Dienste am Niederlassungsort oder dem Koordinator für digitale Dienste des Mitgliedstaats der Forschungsorganisation, der der Hauptforschende angeschlossen ist, übermitteln, um den Status eines "zugelassenen Forschenden" gemäß Artikel 40 Absatz 8 Unterabsatz 1 der Verordnung (EU) 2022/2065 für ein bestimmtes Forschungsprojekt zu erlangen, das den Zugang zu Daten eines Datenlieferanten umfasst;

2. "Datenzugangsprozess" die Schritte und Verfahren, die zur Gewährung des Datenzugangs gemäß Artikel 40 Absatz 4 der Verordnung (EU) 2022/2065 führen können;

3. "antragstellender Forschender" eine natürliche Person, die allein, in einer Gruppe oder als Teil einer Einrichtung den Datenzugang gemäß Artikel 40 Absatz 4 der Verordnung (EU) 2022/2065 beantragt;

4. "Hauptforschender" den antragstellenden Forschenden, der den Antrag auf Datenzugang als Einzelperson oder im Namen einer Einrichtung oder einer Gruppe antragstellender Forschender einreicht;

5. "Datenlieferant" einen Anbieter einer sehr großen Online-Plattform oder einer sehr großen Online-Suchmaschine, der gemäß Artikel 33 Absatz 4 der Verordnung (EU) 2022/2065 als solcher benannt wurde und an den ein begründetes Verlangen gerichtet werden kann;

6. "begründetes Verlangen" ein begründetes Datenzugangsverlangen gemäß Artikel 40 Absatz 4 der Verordnung (EU) 2022/2065;

7. "Änderungsersuchen" einen Änderungsantrag gemäß Artikel 40 Absatz 5 der Verordnung (EU) 2022/2065, den der Datenlieferant nach Eingang eines begründeten Verlangens an den Koordinator für digitale Dienste am Niederlassungsort richtet;

8. "sichere Verarbeitungsumgebung" eine sichere Verarbeitungsumgebung im Sinne von Artikel 2 Nummer 20 der Verordnung (EU) 2022/868 des Europäischen Parlaments und des Rates ⁵.

Kapitel II
Informations- und Kontaktpflichten

Artikel 3 DSA-Datenzugangsportal

(1) Die Kommission richtet ein Datenzugangsportal für das Gesetz über digitale Dienste (im Folgenden "DSA-Datenzugangsportal") ein und betreibt es.

(2) Das DSA-Datenzugangsportal hat folgende Funktionen:

1. Es unterstützt und strafft die Verwaltung des Datenzugangsprozesses für Forschende, Datenlieferanten und Koordinatoren für digitale Dienste.
2. Es dient als zentrale digitale Informationsstelle für den Datenzugangsprozess und erleichtert den Informationsaustausch gemäß dieser Verordnung zwischen antragstellenden Forschenden, zugelassenen Forschenden, Datenlieferanten und Koordinatoren für digitale Dienste.

(3) Das DSA-Datenzugangsportal muss mit dem mit der Durchführungsverordnung (EU) 2024/607 eingerichteten Informationsaustauschsystem AGORA interoperabel sein. Die Koordinatoren für digitale Dienste haben in AGORA Zugang zu den über das DSA-Datenzugangsportal übermittelten Informationen.

(4) Die Datenlieferanten müssen ein Konto im DSA-Datenzugangsportal haben.

(5) Zur Teilnahme am Datenzugangsprozess müssen antragstellende Forschende ein Konto im DSA-Datenzugangsportal haben.

Artikel 4 Aufgaben und Zuständigkeiten bei der Verarbeitung personenbezogener Daten im DSA-Datenzugangsportal

(1) Die Koordinatoren für digitale Dienste sind separate Verantwortliche für die Verarbeitung der personenbezogenen Daten, die sie zur Verwaltung des Datenzugangsprozesses und zur Veröffentlichung einschlägiger Informationen durchführen.

(2) Die Kommission ist eine Auftragsverarbeiterin der personenbezogenen Daten, die im DSA-Datenzugangsportal verarbeitet werden.

(3) Die Zuständigkeiten der Kommission als Auftragsverarbeiterin für Datenverarbeitungstätigkeiten im DSA-Datenzugangsportal sind im Anhang festgelegt.

Artikel 5 Verarbeitung personenbezogener Daten im DSA-Datenzugangsportal

(1) Werden personenbezogene Daten im DSA-Datenzugangsportal registriert und über dieses Portal ausgetauscht, so erfolgt die Verarbeitung nur insoweit, wie dies verhältnismäßig und für die Zwecke des Datenzugangsprozesses und der Veröffentlichung einschlägiger Informationen erforderlich ist.

(2) Die Verarbeitung personenbezogener Daten darf im DSA-Datenzugangsportal nur in Bezug auf die folgenden Kategorien betroffener Personen erfolgen:

1. natürliche Personen, die ein Konto im DSA-Datenzugangsportal haben,
2. natürliche Personen, deren personenbezogene Daten im DSA-Datenzugangsportal oder in einem anderen Informationsaustausch gemäß dieser Verordnung in Bezug auf den Datenzugangsprozess enthalten sind.

(3) Die Verarbeitung personenbezogener Daten darf im DSA-Datenzugangsportal nur in Bezug auf die folgenden Kategorien personenbezogener Daten erfolgen:

1. Identitätsdaten wie Name, Benutzerkennung,
2. Kontaktinformationen wie Anschrift, E-Mail-Adresse, Kontaktdaten,
3. personenbezogene Daten, die in den Unterlagen enthalten sind, aus denen der Anschluss an eine Forschungsorganisation hervorgeht, sowie sonstige personenbezogene Informationen, die für die Zwecke der Teilnahme am Datenzugangsprozess als notwendig betrachtet werden.

(4) Die in Absatz 1 genannte Verarbeitung personenbezogener Daten erfolgt mithilfe von IT-Infrastrukturen, die sich im Europäischen Wirtschaftsraum befinden.

Artikel 6 Kontaktstellen und öffentliche Informationen über den Datenzugangsprozess

(1) Alle Koordinatoren für digitale Dienste und alle Datenlieferanten richten eine spezielle Kontaktstelle ein, deren Aufgabe es ist, Informationen und Unterstützung in Bezug auf den Datenzugangsprozess bereitzustellen.

(2) Die Koordinatoren für digitale Dienste und die Datenlieferanten teilen der Kommission ihre Kontaktstellen so bald wie möglich mit. Die Kommission veröffentlicht die Angaben der in Absatz 1 genannten Kontaktstellen auf der öffentlichen Schnittstelle des DSA-Datenzugangsportals.

(3) Jeder Koordinator für digitale Dienste macht die Angaben der gemäß Absatz 1 eingerichteten Kontaktstelle mit einem Link zum DSA-Datenzugangsportal auf seiner Online-Schnittstelle zugänglich und leicht auffindbar.

(4) Die Datenlieferanten machen folgende Informationen auf ihren Online-Schnittstellen zugänglich und leicht auffindbar:

1. die Angaben der von ihnen gemäß Absatz 1 eingerichteten Kontaktstelle,
2. einen Link zum DSA-Datenzugangsportal,
3. einen DSA-Datenkatalog, in dem die Datenbestände, die zu den in Artikel 40 Absatz 4 der Verordnung (EU) 2022/2065 genannten Zwecken zugänglich gemacht werden können, sowie deren Datenstruktur und Metadaten beschrieben werden,
4. vorgeschlagene Zugangsmodalitäten für die Daten im Katalog gemäß Buchstabe c, die der Sensibilitätsstufe der verschiedenen Datenbestände angemessen sind.

(5) Die in Absatz 4 Buchstaben c und d genannten Informationen werden regelmäßig aktualisiert, damit sie insbesondere stets aktuelle Daten im Zusammenhang mit den gemäß Artikel 34 der Verordnung (EU) 2022/2065 durchgeführten Risikobewertungen und den gemäß Artikel 37 der genannten Verordnung durchgeführten Prüfungen enthalten.

Kapitel III
Anforderungen an die Formulierung und Bearbeitung begründeter Verlangen

Artikel 7 Formulierung eines begründeten Verlangens

(1) Innerhalb von 80 Arbeitstagen nach Eingang eines Datenzugangsantrags entscheidet der Koordinator für digitale Dienste am Niederlassungsort unter gebührender Berücksichtigung der in Artikel 8 genannten Voraussetzungen und gegebenenfalls aller sonstigen für diese Zwecke relevanten Bewertungen, ob ein begründetes Verlangen formuliert werden kann, und trifft eine der folgenden Maßnahmen:

1. Formulierung eines begründeten Verlangens, dessen Übermittlung an den Datenlieferanten und Benachrichtigung des Hauptforschenden über die Übermittlung des begründeten Verlangens,
2. Benachrichtigung des Hauptforschenden über die Gründe, aus denen das begründete Verlangen nicht formuliert werden konnte.

(2) Benötigt der Koordinator für digitale Dienste am Niederlassungsort in hinreichend begründeten Fällen mehr Zeit, um ein begründetes Verlangen zu formulieren, so teilt er dies dem Hauptforschenden so bald wie möglich mit; er nennt dabei die Gründe für die Verzögerung und einen neuen Termin für die in Absatz 1 genannten Maßnahmen.

Artikel 8 Voraussetzungen für die Formulierung eines begründeten Verlangens

(1) Der Koordinator für digitale Dienste am Niederlassungsort entscheidet, ob ein begründetes Verlangen formuliert werden kann, wobei er folgende Elemente berücksichtigt:

1. für jeden antragstellenden Forschenden:
   1. eine Bestätigung des Anschlusses an eine Forschungsorganisation im Sinne von Artikel 2 Nummer 1 der Richtlinie (EU) 2019/790 des Europäischen Parlaments und des Rates ⁶,
   2. eine Erklärung über die Unabhängigkeit von geschäftlichen Interessen in Bezug auf das konkrete Projekt, für das die Daten angefordert werden,
   3. eine Verpflichtungszusage, ihre Forschungsergebnisse kostenlos öffentlich zugänglich zu machen;
2. Informationen über die Finanzierung des Forschungsprojekts, für das die Daten angefordert werden;
3. eine Beschreibung der angeforderten Daten, einschließlich Format, Umfang und - soweit möglich - spezifischer Attribute, einschlägiger Metadaten und Datendokumentationen, auch unter Berücksichtigung der nach Artikel 6 Absatz 4 dieser Verordnung bereitgestellten Informationen;
4. Informationen über die Notwendigkeit und Verhältnismäßigkeit des Zugangs zu den Daten sowie Informationen über den Zeitrahmen der Forschungsarbeiten, für die die Daten angefordert werden;
5. Informationen über die ermittelten Risiken im Hinblick auf die Vertraulichkeit, die Datensicherheit und den Schutz personenbezogener Daten im Zusammenhang mit den Daten, auf die zugegriffen werden soll, eine Beschreibung der zu treffenden technischen, rechtlichen und organisatorischen Maßnahmen, einschließlich - soweit möglich - vorgeschlagener Zugangsmodalitäten, um diese Risiken bei der Verarbeitung der angeforderten Daten zu mindern;
6. eine Beschreibung der mit den angeforderten Daten durchzuführenden Forschungstätigkeiten;
7. eine Zusammenfassung des Datenzugangsantrags, die folgende Angaben enthält:
   1. das Forschungsthema,
   2. den Datenlieferanten, von dem die Daten angefordert werden,
   3. eine Beschreibung der angeforderten Daten gemäß Buchstabe c.

Artikel 9 Zugangsmodalitäten

(1) Der Koordinator für digitale Dienste am Niederlassungsort legt die Modalitäten einschließlich der technischen, rechtlichen und organisatorischen Maßnahmen fest, nach denen der Datenlieferant den zugelassenen Forschenden Zugang zu den Daten gewährt.

(2) Die Koordinatoren für digitale Dienste können die gemäß Artikel 51 der Verordnung (EU) 2016/679 eingerichteten einschlägigen Aufsichtsbehörden konsultieren.

(3) Bei der Festlegung der Zugangsmodalitäten berücksichtigt der Koordinator für digitale Dienste am Niederlassungsort die im Datenzugangsantrag enthaltenen Informationen, insbesondere die in Artikel 8 Buchstabe e genannten Angaben, und beachtet auch die Rechte und Interessen der betroffenen Datenlieferanten und Nutzer, einschließlich des Schutzes von vertraulichen Informationen und Geschäftsgeheimnissen, und die Aufrechterhaltung der Sicherheit ihres Dienstes sowie der von den Datenlieferanten gemäß Artikel 6 Absatz 4 Buchstabe d bereitgestellten Informationen.

(4) Zusätzlich zu den in Absatz 3 genannten Elementen berücksichtigt der Koordinator für digitale Dienste am Niederlassungsort bei der Festlegung der Zugangsmodalitäten folgende Elemente:

1. falls der Zugang mit der Verarbeitung personenbezogener Daten einhergeht:
   1. die Bewertung der Risiken bezüglich der Verarbeitung personenbezogener Daten gemäß Artikel 8 Buchstabe e, gegebenenfalls einschließlich Datenschutz-Folgenabschätzungen im Sinne des Artikels 35 der Verordnung (EU) 2016/679,
   2. vorgesehene technische und organisatorische Maßnahmen gemäß Artikel 8 Buchstabe e;
2. einschlägige Netzsicherheitsmaßnahmen, Verschlüsselung, Zugangskontrollmechanismen, Datensicherungsstrategien, Datenintegritätsmechanismen, Pläne für die Reaktion auf Sicherheitsvorfälle;
3. gegebenenfalls Informationen über die vorgesehene Speicherdauer und die Pläne für die Datenvernichtung;
4. organisatorische Maßnahmen wie interne Überprüfungsverfahren, Beschränkungen von Zugangsrechten und Informationsaustausch;
5. vorgeschlagene Vertragsklauseln wie Geheimhaltungsvereinbarungen, Datenvereinbarungen und sonstige schriftliche Erklärungen, in denen mögliche Bedingungen für den Zugang und die Verarbeitung zwischen dem Hauptforschenden und dem Datenlieferanten festgelegt werden;
6. ob die antragstellenden Forschenden Schulungen zur Datensicherheit und zum Schutz personenbezogener Daten absolviert haben;
7. ob für die Verarbeitung der Daten sichere Verarbeitungsumgebungen erforderlich sind.

(5) Ist nach Ansicht des Koordinators für digitale Dienste am Niederlassungsort zur Gewährung des Zugangs zu den verlangten Daten eine sichere Verarbeitungsumgebung zu verwenden, so verlangt der Koordinator für digitale Dienste am Niederlassungsort Unterlagen, aus denen hervorgeht, dass der Betreiber dieser Umgebung

1. Bedingungen für den Zugang zur sicheren Verarbeitungsumgebung festgelegt hat, um das Risiko des unbefugten Lesens, Kopierens, Änderns oder Entfernens der in der sicheren Verarbeitungsumgebung gespeicherten Daten zu minimieren;
2. gewährleistet, dass zugelassene Forschende ausschließlich Zugang zu den Daten haben, die Gegenstand des begründeten Verlangens sind, und zwar mittels individueller und eindeutiger Nutzerkennungen und vertraulicher Zugriffsweisen;
3. für den Zeitraum, der für eine Verifizierung und Prüfung aller Verarbeitungsvorgänge in dieser Umgebung erforderlich ist, identifizierbare Protokolle über den Zugang zur sicheren Verarbeitungsumgebung führt;
4. gewährleistet, dass die Rechenleistung, die den zugelassenen Forschenden zur Verfügung steht, für die Zwecke des Forschungsprojekts angemessen und ausreichend ist;
5. die Wirksamkeit der in den Buchstaben a bis d genannten Maßnahmen überwacht.

Artikel 10 Inhalt eines begründeten Verlangens

(1) Ein begründetes Verlangen muss mindestens folgende Angaben enthalten:

1. das Datum, ab dem der Datenlieferant Zugang zu den verlangten Daten gewähren soll, und das Datum, an dem diese Zugangsgewährung beendet wird;
2. die gemäß Artikel 9 festgelegten Zugangsmodalitäten;
3. die in Artikel 8 Buchstabe g genannte Zusammenfassung des Datenzugangsantrags.

(2) Der Koordinator für digitale Dienste am Niederlassungsort kann in dem begründeten Verlangen die Namen und Kontaktdaten aller im Datenzugangsantrag genannten zugelassenen Forschenden angeben, soweit dies erforderlich ist, um den Zugang zu den verlangten Daten entsprechend den im begründeten Verlangen festgelegten Zugangsmodalitäten zu ermöglichen.

(3) Falls die Zugangsgewährung eine Übermittlung personenbezogener Daten an Drittländer oder internationale Organisationen im Sinne des Kapitels V der Verordnung (EU) 2016/679 umfasst, sollte das begründete Verlangen auch Informationen darüber enthalten, ob es erforderlich ist, einen geeigneten Übermittlungsmechanismus einzurichten oder zu verwenden, um die Einhaltung der Verordnung (EU) 2016/679 zu gewährleisten.

Artikel 11 Veröffentlichung einer Übersicht über das begründete Verlangen im DSA-Datenzugangsportal

(1) Nach der Formulierung eines begründeten Verlangens veröffentlicht der Koordinator für digitale Dienste am Niederlassungsort eine Übersicht über das begründete Verlangen auf der öffentlichen Schnittstelle des DSA-Datenzugangsportals. Die Übersicht enthält alle folgenden Angaben:

1. die in Artikel 8 Buchstabe g genannte Zusammenfassung des Datenzugangsantrags.
2. die gemäß Artikel 9 festgelegten Zugangsmodalitäten.

(2) Die in Absatz 1 genannte Übersicht wird aktualisiert, um etwaigen Änderungen Rechnung zu tragen, die sich aus einer Änderung eines oder mehrerer Elemente infolge der Prüfung eines Änderungsersuchens oder des Ergebnisses einer Mediation gemäß Artikel 13 ergeben.

Artikel 12 Verfahren für die Prüfung von Änderungsersuchen

(1) Nach Eingang eines Änderungsersuchens gemäß Artikel 40 Absatz 5 der Verordnung (EU) 2022/2065 benachrichtigt der Koordinator für digitale Dienste am Niederlassungsort den betreffenden Hauptforschenden.

(2) Bei seiner Entscheidung über ein Änderungsersuchen gemäß Artikel 40 Absatz 5 Buchstabe a der Verordnung (EU) 2022/2065 berücksichtigt der Koordinator für digitale Dienste am Niederlassungsort Folgendes:

1. ob die Gründe für den angeblich fehlenden Zugriff auf die Daten hinreichend belegt worden sind,
2. ob dieser fehlende Zugriff auf die Daten dauerhaft oder vorübergehend ist.

(3) Bei seiner Entscheidung über ein Änderungsersuchen gemäß Artikel 40 Absatz 5 Buchstabe b der Verordnung (EU) 2022/2065 berücksichtigt der Koordinator für digitale Dienste am Niederlassungsort Folgendes:

1. ob die angeblichen Schwachstellen und ihre Bedeutung hinreichend belegt worden sind,
2. die Wahrscheinlichkeit und Schwere eines Schadens, der sich aus diesen angeblichen erheblichen Schwachstellen ergeben würde,
3. inwieweit die im begründeten Verlangen festgelegten Zugangsmodalitäten das Risiko des Eintretens eines solchen Schadens wirksam mindern.

(4) Während der Bewertung eines Änderungsersuchens kann der Koordinator für digitale Dienste am Niederlassungsort vom Datenlieferanten oder vom Hauptforschenden jederzeit alle zusätzlichen Informationen anfordern, die er für erforderlich hält, um seine Bewertung abzuschließen.

(5) Ein solches Verlangen nach zusätzlichen Informationen wird so bald wie möglich gestellt, damit der Datenlieferant oder der Hauptforschende ausreichend Zeit zur Beantwortung hat, und lässt jedenfalls die in Artikel 40 Absatz 6 Unterabsatz 2 der Verordnung (EU) 2022/2065 festgelegte Frist unberührt. Falls der Datenlieferant oder der Hauptforschende die verlangten Informationen nicht oder nicht innerhalb der vom Koordinator für digitale Dienste am Niederlassungsort gesetzten Frist oder nur teilweise übermittelt, trifft der Koordinator für digitale Dienste am Niederlassungsort seine Entscheidung innerhalb der in Artikel 40 Absatz 6 der Verordnung (EU) 2022/2065 festgelegten Frist auf der Grundlage der Informationen, die ihm innerhalb einer angemessenen Frist übermittelt wurden.

Artikel 13 Mediation

(1) Ist der Datenlieferant mit der Entscheidung des Koordinators für digitale Dienste am Niederlassungsort über das Änderungsersuchen nicht einverstanden, so kann der Datenlieferant innerhalb von fünf Arbeitstagen nach der Mitteilung des Koordinators für digitale Dienste am Niederlassungsort gemäß Artikel 40 Absatz 6 Unterabsatz 2 der Verordnung (EU) 2022/2065 den Koordinator für digitale Dienste am Niederlassungsort schriftlich ersuchen, an einer Mediation teilzunehmen.

(2) Der Koordinator für digitale Dienste am Niederlassungsort ist nicht verpflichtet, am Mediationsverfahren teilzunehmen.

(3) Das in Absatz 1 genannte schriftliche Ersuchen muss eine kurze Beschreibung der konkreten Elemente der vom Koordinator für digitale Dienste am Niederlassungsort gemäß Artikel 40 Absatz 6 Unterabsatz 2 der Verordnung (EU) 2022/2065 mitgeteilten Entscheidung enthalten, gegen die der Datenlieferant Einwände erhebt.

(4) Der Koordinator für digitale Dienste am Niederlassungsort und der Datenlieferant vereinbaren die Bestellung eines Mediators und leiten die Mediation innerhalb von 20 Arbeitstagen nach Eingang des Mediationsersuchens gemäß Absatz 3 ein.

(5) Bevor der Koordinator für digitale Dienste am Niederlassungsort der Bestellung eines Mediators zustimmt, prüft er, ob der Mediator unparteiisch und unabhängig ist und über die einschlägige Sachkenntnis in Bezug auf den in Absatz 1 genannten Gegenstand verfügt.

(6) Der Datenlieferant trägt alle Kosten der Mediation.

(7) Der Koordinator für digitale Dienste am Niederlassungsort benachrichtigt den Hauptforschenden unverzüglich über das in Absatz 1 genannte Mediationsersuchen und kann den Hauptforschenden einladen, an der Mediation als Partei teilzunehmen. Wurde der Datenzugangsantrag bei dem für die Forschungsorganisation zuständigen Koordinator für digitale Dienste gestellt, so kann der Koordinator für digitale Dienste am Niederlassungsort den Koordinator für digitale Dienste der Forschungsorganisation zur Teilnahme am Mediationsverfahren einladen. Eine Partei, die vom Koordinator für digitale Dienste am Niederlassungsort zur Teilnahme an der Mediation eingeladen wird, ist nicht verpflichtet, am Mediationsverfahren teilzunehmen.

(8) Die Teilnahme an der Mediation lässt das Recht der Parteien unberührt, vor, während oder nach der Mediation ein Gerichtsverfahren anzustrengen.

(9) Der Koordinator für digitale Dienste am Niederlassungsort legt eine Frist für die Mediation fest, die 40 Arbeitstage ab dem Tag des Beginns der Mediation gemäß Absatz 4 nicht überschreiten darf.

(10) Der Mediator kann die Mediation in einem der folgenden Fälle früher beenden:

1. eine der Parteien beantragt ausdrücklich die Beendigung der Mediation,
2. es wird deutlich, dass das Verhalten der Parteien während der Mediation und ein Mangel an Treu und Glauben es unwahrscheinlich machen, dass eine Einigung erzielt wird.

(11) Führt die Mediation zu einer Einigung zwischen den Parteien, so trägt der Koordinator für digitale Dienste am Niederlassungsort dieser Einigung Rechnung, ändert gegebenenfalls das begründete Verlangen und benachrichtigt den Hauptforschenden über die Änderung.

(12) Erzielen die Parteien keine Einigung, so teilt der Koordinator für digitale Dienste am Niederlassungsort dem Datenlieferanten mit, dass die zuletzt gemäß Artikel 40 Absatz 6 Unterabsatz 2 der Verordnung (EU) 2022/2065 mitgeteilte Entscheidung des Koordinators für digitale Dienste am Niederlassungsort über das Änderungsersuchen gültig bleibt und als Grundlage für weitere Verfahrensschritte dient, und er benachrichtigt den Hauptforschenden.

(13) Der Koordinator für digitale Dienste am Niederlassungsort registriert in AGORA ein vom Mediator erstelltes und von allen Parteien unterzeichnetes Kurzprotokoll der Mediation. Das Protokoll muss folgende Angaben enthalten:

1. das Datum des schriftlichen Mediationsersuchens des Datenlieferanten,
2. die Namen und Kontaktdaten der Parteien,
3. das Datum des Beginns und der Beendigung der Mediation,
4. das Ergebnis der Mediation, einschließlich der erzielten Einigung oder des Grundes für die Beendigung der Mediation.

Artikel 14 Konsultation unabhängiger Sachverständiger

(1) Vor der Formulierung eines begründeten Verlangens oder einer Entscheidung über ein Änderungsersuchen kann der Koordinator für digitale Dienste Sachverständige konsultieren.

(2) Die Sachverständigen müssen unabhängig und unparteiisch sein, einschlägige Sachkenntnis und bewährte Fähigkeiten haben und über die Kapazitäten und Ressourcen verfügen, um die gestellte Aufgabe unverzüglich zu erfüllen.

(3) Um ihre Unparteilichkeit zu belegen, müssen die Sachverständigen eine Erklärung unterzeichnen, in der sie bestätigen, dass sie

1. keine finanziellen oder persönlichen Verbindungen zum Datenlieferanten oder den antragstellenden Forschenden haben,
2. kein eigenes Interesse am Ergebnis des Datenzugangsprozesses haben,
3. in keinem Interessenkonflikten stehen.

(4) Der Koordinator für digitale Dienste registriert alle gemäß Absatz 1 durchgeführten Konsultationen zusammen mit den daraufhin eingegangenen Stellungnahmen der Sachverständigen unverzüglich in AGORA.

Kapitel IV
Bedingungen für die Bereitstellung der verlangten Daten für zugelassene Forschende

Artikel 15 Datenweitergabe und Datendokumentation

(1) Die Datenlieferanten teilen dem Koordinator für digitale Dienste am Niederlassungsort jeweils innerhalb von drei Arbeitstagen Folgendes mit:

1. dass den zugelassenen Forschenden gemäß dem begründeten Verlangen Zugang zu den verlangten Daten gewährt worden ist,
2. dass der Zugang zu den Daten für die zugelassene Forschende beendet worden ist.

(2) Die Datenlieferanten stellen den zugelassenen Forschenden alle zusätzlichen Informationen zur Verfügung, die für den Zugang zu den verlangten Daten und das Verstehen dieser Daten erforderlich sind, wie z.B. Codebücher, Änderungsprotokolle und Architekturdokumentation. Falls die Bereitstellung solcher Informationen zu einer erheblichen Schwachstelle in den Diensten des Datenlieferanten führen könnte, meldet der Datenlieferant dem Koordinator für digitale Dienste am Niederlassungsort dieses Risiko und schlägt, soweit möglich, alternative Informationen vor.

(3) Bei der Gewährung des Datenzugangs dürfen Datenlieferanten den zugelassenen Forschenden keine Anforderungen an die Datenverwaltung wie an die Archivierung, Speicherung, Auffrischung und Löschung stellen oder Beschränkungen des Einsatzes von Standardanalysewerkzeugen auferlegen, die die Durchführung der betreffenden Forschungsarbeiten behindern können, es sei denn, solche Anforderungen oder Beschränkungen sind in dem begründeten Verlangen ausdrücklich aufgeführt.

(4) Werden personenbezogene Daten verarbeitet, dürfen die Datenanbieter den zugelassenen Forschenden keine anderen als die in dem begründeten Verlangen genannten Bedingungen in Bezug auf die Verarbeitung der zugänglich gemachten personenbezogenen Daten auferlegen.

Kapitel V
Schlussbestimmungen

Artikel 16 Inkrafttreten

Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.

Diese Verordnung ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat.

Brüssel, den 1. Juli 2025

.

1. Die Kommission übernimmt - im Namen der Koordinatoren für digitale Dienste - die Einrichtung und den Betrieb einer sicheren und zuverlässigen IT-Infrastruktur, des DSA-Datenzugangsportals, das die Verwaltung des Datenzugangsprozesses für Forschende, Forschungsorganisationen, Datenlieferanten und Koordinatoren für digitale Dienste unterstützt und strafft.

2. Zur Erfüllung ihrer Pflichten als Auftragsverarbeiterin für die Koordinatoren für digitale Dienste kann die Kommission Dritte als Unterauftragsverarbeiter beauftragen. In diesem Fall ermächtigen die Datenverantwortlichen die Kommission zur Beauftragung oder nötigenfalls zur Ersetzung von Unterauftragsverarbeitern. Die Kommission informiert die Datenverantwortlichen über eine solche Beauftragung oder Ersetzung von Unterauftragsverarbeitern, um den Datenverantwortlichen Gelegenheit zu geben, Einwände gegen solche Änderungen zu erheben. Die Kommission stellt sicher, dass dieselben Datenschutzverpflichtungen, die in dieser Verordnung festgelegt sind, auch für diese Unterauftragsverarbeiter gelten.

3. Bei der Verarbeitung durch die Kommission werden personenbezogene Daten nur insoweit verarbeitet, wie dies für Folgendes erforderlich ist:

1. Authentifizierung und Zugangskontrolle in Bezug auf alle Nutzer des DSA-Datenzugangsportal;
2. Genehmigung der Durchführung der Anträge von Nutzern des DSA-Datenzugangsportals auf Erstellung, Aktualisierung und Löschung von im Antrag enthaltenen Informationen im DSA-Datenzugangsportal;
3. Empfang der in Artikel 5 Absatz 3 dieser Verordnung genannten personenbezogenen Daten, die von Nutzern des DSA-Datenzugangsportals hochgeladen werden;
4. Speicherung der personenbezogenen Daten im DSA-Datenzugangsportal;
5. Löschung der personenbezogenen Daten an ihrem Ablaufdatum oder auf Anweisung des Datenverantwortlichen;
6. Löschung aller verbleibenden personenbezogenen Daten nach Beendigung der Bereitstellung von Diensten durch das DSA-Datenzugangsportal, es sei denn, das Unionsrecht oder das Recht der Mitgliedstaaten schreibt eine Speicherung der personenbezogenen Daten vor.

4. Die Kommission trifft alle organisatorischen, physischen und logischen Sicherheitsmaßnahmen auf der Grundlage des aktuellen Stands der Technik, um das Funktionieren des DSA-Datenzugangsportals zu gewährleisten. Zu diesem Zweck muss die Kommission

1. eine für das Sicherheitsmanagement des DSA-Datenzugangsportals zuständige Stelle benennen, den Datenverantwortlichen deren Kontaktdaten mitteilen und deren Verfügbarkeit zur Reaktion auf Sicherheitsbedrohungen gewährleisten;
2. die Verantwortung für die Sicherheit des DSA-Datenzugangsportals übernehmen, einschließlich regelmäßiger Prüfungen, Beurteilungen und Bewertungen der Sicherheitsmaßnahmen;

5. Die Kommission trifft alle erforderlichen Sicherheitsmaßnahmen, damit der reibungslose Betrieb des DSA-Datenzugangsportals nicht beeinträchtigt wird. Dies umfasst

1. Risikobewertungsverfahren, um potenzielle Bedrohungen des DSA-Datenzugangsportals zu ermitteln und abzuschätzen;
2. ein Audit- und Überprüfungsverfahren
   1. zur Überprüfung der Übereinstimmung der umgesetzten Sicherheitsmaßnahmen mit den geltenden Sicherheitsvorgaben,
   2. zur regelmäßigen Kontrolle der Integrität des DSA-Datenzugangsportals, der Sicherheitsparameter und der erteilten Genehmigungen,
   3. zur Erkennung von Sicherheitsverletzungen und von unbefugtem Eindringen in das DSA-Datenzugangsportal,
   4. zur Umsetzung von Änderungen zur Behebung bestehender Sicherheitslücken im DSA-Datenzugangsportal,
   5. zur Festlegung der Bedingungen, unter denen - auch auf Anfrage der Datenverantwortlichen - unabhängige Audits einschließlich Inspektionen sowie Überprüfungen von Sicherheitsmaßnahmen im Einklang mit den Bedingungen des Protokolls (Nr. 7) über die Vorrechte und Befreiungen der Europäischen Union, das dem Vertrag über die Arbeitsweise der Europäischen Union beigefügt ist, durchgeführt werden können und die Mitwirkung an diesen Audits und Überprüfungen zulässig ist;
3. ein Änderungskontrollverfahren, um die Auswirkungen einer Änderung vor ihrer Umsetzung zu dokumentieren und abzuschätzen und die Datenverantwortlichen über alle Änderungen auf dem Laufenden zu halten, die sich auf die Kommunikation mit dem DSA-Datenzugangsportal und/oder dessen Sicherheit auswirken können;
4. die Festlegung eines Wartungs- und Reparaturverfahrens mit Regeln und Bedingungen für die Wartung und/oder Reparatur des DSA-Datenzugangsportals;
5. die Festlegung eines Verfahrens in Bezug auf Sicherheitsvorfälle zur Bestimmung des Melde- und Eskalationsprogramms, zur unverzüglichen Unterrichtung der Datenverantwortlichen über jegliche Verletzung des Schutzes personenbezogener Daten, unter anderem, damit diese die nationalen Datenschutzaufsichtsbehörden informieren können, sowie zur Festlegung eines Disziplinarverfahrens, um gegen Sicherheitsverletzungen im DSA-Datenzugangsportal vorzugehen.

6. Die Kommission ergreift physische und/oder logische Sicherheitsmaßnahmen auf der Grundlage des aktuellen Stands der Technik für die Einrichtungen, in denen das DSA-Datenzugangsportal untergebracht ist, und für die Kontrollen der Daten und der Sicherheit des Zugriffs darauf. Zu diesem Zweck muss die Kommission

1. die physische Sicherheit durchsetzen, um abgegrenzte Sicherheitsbereiche einzurichten und das Erkennen von Verstößen im DSA-Datenzugangsportal zu ermöglichen;
2. den Zugang zu den Einrichtungen des DSA-Datenzugangsportals kontrollieren;
3. sicherstellen, dass Ausrüstungen nicht ohne Vorabgenehmigung durch die benannten zuständigen Stellen hinzugefügt, ersetzt oder entfernt werden können;
4. den Zugriff vom und auf das DSA-Datenzugangsportal kontrollieren;
5. sicherstellen, dass die Nutzer des DSA-Datenzugangsportals, die auf das DSA-Datenzugangsportal zugreifen, authentifiziert werden;
6. die Genehmigungsrechte für den Zugang zum DSA-Datenzugangsportal überprüfen, falls eine Sicherheitsverletzung in Bezug auf das DSA-Datenzugangsportal eintritt;
7. die Integrität der über das DSA-Datenzugangsportal übermittelten Informationen wahren;
8. technische und organisatorische Sicherheitsmaßnahmen umsetzen, um unbefugten Zugriff auf personenbezogene Daten im DSA-Datenzugangsportal zu verhindern;
9. erforderlichenfalls Maßnahmen zur Sperrung des unbefugten Zugangs zum DSA-Datenzugangsportal umsetzen (d. h. Sperrung eines Standorts/einer IP-Adresse).

7. Die Kommission

1. ergreift Maßnahmen zum Schutz ihrer Netzdomäne, einschließlich der Trennung von Anschlüssen, im Falle einer erheblichen Abweichung von den Qualitäts- und Sicherheitsgrundsätzen und -konzepten;
2. unterhält einen Risikomanagementplan in Bezug auf ihren Zuständigkeitsbereich;
3. überwacht in Echtzeit die Leistung aller Dienstkomponenten des DSA-Datenzugangsportals, erstellt regelmäßige Statistiken und führt Aufzeichnungen;
4. leistet den Nutzern des DSA-Datenzugangsportals Unterstützung für das DSA-Datenzugangsportal in englischer Sprache;
5. unterstützt die Datenverantwortlichen durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung ihrer Verpflichtung zur Bearbeitung von Anfragen/Anträgen in Bezug auf die Ausübung der Rechte der betroffenen Person gemäß Kapitel III der Verordnung (EU) 2016/679;
6. unterstützt die Datenverantwortlichen durch die Bereitstellung von Informationen über das DSA-Datenzugangsportal bei der Erfüllung der Verpflichtungen gemäß den Artikeln 32, 33, 34, 35 und 36 der Verordnung (EU) 2016/679;
7. stellt sicher, dass die im DSA-Datenzugangsportal verarbeiteten Daten für Personen, die nicht zugriffsbefugt sind, unverständlich sind;
8. trifft alle zweckdienlichen Maßnahmen, um den unbefugten Zugriff auf die über das DSA-Datenzugangsportal übermittelten personenbezogenen Daten zu verhindern;
9. trifft Maßnahmen, um die Kommunikation zwischen den Datenverantwortlichen zu erleichtern;
10. führt gemäß Artikel 31 Absatz 2 der Verordnung (EU) 2018/1725 ein Verzeichnis aller im Auftrag der Datenverantwortlichen durchgeführten Verarbeitungsvorgänge.

ENDE