(1)

Gegenstand der Verordnung (EU) 2021/953 ist das digitale COVID-Zertifikat der EU, mit dem nachgewiesen wird, dass eine Person eine COVID-19-Impfung oder ein negatives Testergebnis erhalten hat oder von einer Infektion genesen ist; hierdurch soll für den Inhaber des Zertifikats die Ausübung des Rechts auf Freizügigkeit während der COVID-19-Pandemie erleichtert werden.

(2)

Gemäß der Verordnung (EU) 2021/954 des Europäischen Parlaments und des Rates (2) müssen die Mitgliedstaaten die Vorschriften der Verordnung (EU) 2021/953 auf diejenigen Drittstaatsangehörigen anwenden, die nicht in den Anwendungsbereich dieser Verordnung fallen, sich jedoch in ihrem Hoheitsgebiet rechtmäßig aufhalten oder ihren Wohnsitz haben und gemäß Unionsrecht zu Reisen in andere Mitgliedstaaten berechtigt sind.

(3)

Gemäß der Empfehlung (EU) 2022/290 des Rates zur Änderung der Empfehlung (EU) 2020/912 zur vorübergehenden Beschränkung nicht unbedingt notwendiger Reisen in die EU und möglichen Aufhebung dieser Beschränkung (3) sollten Drittstaatsangehörige, die nicht unbedingt notwendige Reisen aus einem Drittland in die Union unternehmen wollen, im Besitz eines gültigen Impf- oder Genesungsnachweises sein, beispielsweise eines digitalen COVID-Zertifikats der EU oder eines von einem Drittland ausgestellten COVID-19-Zertifikats, für das ein Durchführungsrechtsakt gemäß Artikel 8 Absatz 2 der Verordnung (EU) 2021/953 gilt.

(4)

Damit das digitale COVID-Zertifikat der EU in der gesamten Union verwendet werden kann, hat die Kommission den Durchführungsbeschluss (EU) 2021/1073 (4) erlassen, in dem technische Spezifikationen und Vorschriften festgelegt sind, um die digitalen COVID-Zertifikate der EU zu füllen, auf sichere Weise auszustellen und zu überprüfen, den Schutz personenbezogener Daten zu gewährleisten, die gemeinsame Struktur der eindeutigen Zertifikatkennung sicherzustellen und einen gültigen, sicheren und interoperablen Strichcode zu erstellen.

(5)

Gemäß Artikel 4 der Verordnung (EU) 2021/953 mussten die Kommission und die Mitgliedstaaten einen Vertrauensrahmen für das digitale COVID-Zertifikat der EU errichten und pflegen. Dieser Vertrauensrahmen kann auch den bilateralen Austausch von Zertifikatswiderrufslisten mit den eindeutigen Zertifikatkennungen widerrufener Zertifikate unterstützen.

(6)

Am 1. Juli 2021 wurde das Gateway für das digitale COVID-Zertifikat der EU (im Folgenden das „Gateway“) in Betrieb genommen, das der Kernbestandteil des Vertrauensrahmens ist und über das öffentliche Schlüssel zur Überprüfung der digitalen COVID-Zertifikate der EU auf sichere und vertrauenswürdige Weise zwischen den Mitgliedstaaten ausgetauscht werden können.

(7)

Aufgrund ihrer erfolgreichen und breit angelegten Einführung sind die digitalen COVID-Zertifikate der EU in das Interesse von Betrügern gerückt, die nach Möglichkeiten suchen, Zertifikate auf betrügerische Weise auszustellen. Solche betrügerisch ausgestellten Zertifikate müssen daher widerrufen werden. Darüber hinaus können die Mitgliedstaaten bestimmte digitale COVID-Zertifikate der EU auf nationaler Ebene aus medizinischen Gründen und aus Gründen der öffentlichen Gesundheit widerrufen, beispielsweise weil sich eine Impfstoffcharge nachträglich als fehlerhaft herausstellt.

(8)

Das System der digitalen COVID-Zertifikate der EU erkennt gefälschte Zertifikate sofort, doch echte Zertifikate, die unrechtmäßig auf der Grundlage falscher Dokumente, durch unbefugten Zugriff oder mit betrügerischer Absicht ausgestellt wurden, können in anderen Mitgliedstaaten nur erkannt werden, wenn die auf nationaler Ebene erstellten Listen widerrufener Zertifikate zwischen den Mitgliedstaaten ausgetauscht werden. Gleiches gilt für Zertifikate, die aus medizinischen Gründen und aus Gründen der öffentlichen Gesundheit widerrufen wurden. Wenn die Anwendungen der Mitgliedstaaten zur Überprüfung der Zertifikate die von anderen Mitgliedstaaten widerrufenen Zertifikate nicht erkennen, stellt dies eine Gefahr für die öffentliche Gesundheit dar und untergräbt das Vertrauen der Bürger in das System der digitalen COVID-Zertifikate der EU.

(9)

Wie in Erwägungsgrund 19 der Verordnung (EU) 2021/953 dargelegt, sollten die Mitgliedstaaten aus medizinischen Gründen und aus Gründen der öffentlichen Gesundheit und im Falle betrügerisch ausgestellter oder erlangter Zertifikate für die Zwecke dieser Verordnung Zertifikatswiderrufslisten erstellen und mit anderen Mitgliedstaaten austauschen können, insbesondere um Zertifikate zu widerrufen, die irrtümlich, in betrügerischer Absicht oder nach der Aussetzung einer COVID-19-Impfstoffcharge, die sich als fehlerhaft herausgestellt hat, ausgestellt wurden. Den Mitgliedstaaten sollte es nicht möglich sein, von anderen Mitgliedstaaten ausgestellte Zertifikate zu widerrufen. Ausgetauschte Zertifikatswiderrufslisten sollten keine anderen personenbezogenen Daten enthalten, als die eindeutigen Zertifikatkennungen. Insbesondere sollte nicht angegeben werden, warum ein Zertifikat widerrufen wurde.

(10)

Zusätzlich zu der allgemeinen Information darüber, dass und aus welchen Gründen Zertifikate widerrufen werden können, sollten Inhaber widerrufener Zertifikate von der für die Ausstellung zuständigen Behörde unverzüglich über den Widerruf ihrer Zertifikate und die Gründe für den Widerruf informiert werden. Allerdings kann es sich in manchen Fällen, insbesondere bei digitalen COVID-Zertifikaten der EU, die in Papierform ausgestellt werden, als unmöglich erweisen oder mit einem unverhältnismäßigen Aufwand verbunden sein, den Inhaber ausfindig zu machen und über den Widerruf zu informieren. Die Mitgliedstaaten sollten keine zusätzlichen personenbezogenen Daten erheben, die zur Ausstellung nicht benötigt werden, nur um Zertifikatinhaber informieren zu können, wenn ihre Zertifikate widerrufen werden.

(11)

Daher muss der Vertrauensrahmen für das digitale COVID-Zertifikate der EU verbessert werden, indem der bilaterale Austausch von Zertifikatswiderrufslisten zwischen den Mitgliedstaaten unterstützt wird.

(12)

Dieser Beschluss gilt nicht für die vorübergehende Aussetzung von Zertifikaten für nationale Anwendungsfälle, die nicht in den Anwendungsbereich der Verordnung über das digitale COVID-Zertifikat der EU fallen, beispielsweise weil der Inhaber eines Impfzertifikats positiv auf SARS-CoV-2 getestet wurde. Der Beschluss lässt die festgelegten Verfahren zur Überprüfung der Verfahrensvorschriften für die Gültigkeit von Zertifikaten unberührt.

(13)

Während aus technischer Sicht unterschiedliche Architekturen für den Austausch von Widerrufslisten möglich sind, eignet sich das Gateway am besten für diesen Austausch, da hierdurch der Datenaustausch auf den bereits bestehenden Vertrauensrahmen beschränkt bleibt und im Vergleich zu einem alternativen Peer-to-Peer-System sowohl die möglichen Schwachstellen als auch die Anzahl der Übermittlungsvorgänge zwischen Mitgliedstaaten minimiert werden.

(14)

Dementsprechend sollte das Gateway für das digitale COVID-Zertifikat der EU ausgeweitet werden, um den sicheren Austausch von Informationen über widerrufene digitale COVID-Zertifikate der EU für die Zwecke ihrer sicheren Überprüfung über das Gateway zu unterstützen. In diesem Zusammenhang sollten geeignete Sicherheitsmaßnahmen zum Schutz der im Gateway verarbeiteten personenbezogenen Daten ergriffen werden. Um ein hohes Schutzniveau zu gewährleisten, sollten die Mitgliedstaaten Zertifikatsattribute durch einen unumkehrbaren Hashwert in den Widerrufslisten pseudonymisieren. Die eindeutigen Kennungen sollten für die Zwecke der Verarbeitung im Rahmen des Gateways als pseudonymisierte Daten gelten.

(15)

Darüber hinaus sollten Bestimmungen über die Rolle der Mitgliedstaaten und der Kommission beim Austausch von Zertifikatswiderrufslisten festgelegt werden.

(16)

Die Verarbeitung personenbezogener Daten von Zertifikatinhabern, die unter der Verantwortung der Mitgliedstaaten oder anderer öffentlicher Organisationen oder amtlicher Stellen in den Mitgliedstaaten erfolgt, sollte mit der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (5) im Einklang stehen. Die Verarbeitung personenbezogener Daten unter der Verantwortung der Kommission zum Zweck der Verwaltung und der Gewährleistung der Sicherheit des Gateways für das digitale COVID-Zertifikat der EU sollte im Einklang mit der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates (6) erfolgen.

(17)

Die Mitgliedstaaten, vertreten durch die benannten nationalen Behörden oder amtlichen Stellen, legen gemeinsam den Zweck der und die Mittel zur Verarbeitung personenbezogener Daten über das Gateway für das digitale COVID-Zertifikat der EU fest und sind daher gemeinsam Verantwortliche. Artikel 26 der Verordnung (EU) 2016/679 verpflichtet die gemeinsam für die Verarbeitung personenbezogener Daten Verantwortlichen, in transparenter Form festzulegen, wer von ihnen welche Verpflichtung gemäß dieser Verordnung erfüllt. Ferner ist darin die Möglichkeit vorgesehen, dass diese Zuständigkeiten durch Rechtsvorschriften der Union oder der Mitgliedstaaten festgelegt werden, denen die Verantwortlichen unterliegen. Die Regelung gemäß Artikel 26 sollte in Anhang III dieses Beschlusses aufgenommen werden.

(18)

Mit der Verordnung (EU) 2021/953 wird der Kommission die Aufgabe übertragen, einen solchen Austausch zu unterstützen. Dieser Auftrag lässt sich am besten erfüllen, indem die Kommission die vorgelegten Zertifikatswiderrufslisten im Auftrag der Mitgliedstaaten zusammenführt. Daher sollte der Kommission eine Rolle als Auftragsverarbeiterin zugewiesen werden, damit sie den Austausch von Listen über das Gateway für das digitale COVID-Zertifikat der EU im Auftrag der Mitgliedstaaten erleichtern kann.

(19)

Als Anbieterin technischer und organisatorischer Lösungen für das Gateway für das digitale COVID-Zertifikat der EU verarbeitet die Kommission im Auftrag der Mitgliedstaaten als gemeinsam Verantwortliche die personenbezogenen Daten in den Widerrufslisten im Gateway. Daher handelt sie als deren Auftragsverarbeiterin. Gemäß Artikel 28 der Verordnung (EU) 2016/679 und Artikel 29 der Verordnung (EU) 2018/1725 erfolgt die Verarbeitung durch einen Auftragsverarbeiter auf der Grundlage eines Vertrags oder eines Rechtsinstruments nach dem Recht der Union oder dem Recht der Mitgliedstaaten, der bzw. das den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet und die Verarbeitung regelt. Daher ist es erforderlich, Vorschriften für die Verarbeitung durch die Kommission als Auftragsverarbeiterin festzulegen.

(20)

Die unterstützende Rolle der Kommission umfasst nicht die Einrichtung einer zentralen Datenbank gemäß Erwägungsgrund 52 der Verordnung (EU) 2021/953. Dadurch soll verhindert werden, dass alle ausgestellten digitalen COVID-Zertifikate der EU zentral gespeichert werden; gleichzeitig werden die Mitgliedstaaten nicht daran gehindert, Widerrufslisten auszutauschen, wie dies in Artikel 4 Absatz 2 der Verordnung (EU) 2021/953 ausdrücklich vorgesehen ist.

(21)

Bei der Verarbeitung personenbezogener Daten im Gateway für das digitale COVID-Zertifikat der EU ist die Kommission an den Beschluss (EU, Euratom) 2017/46 der Kommission gebunden (7).

(22)

Gemäß Artikel 3 Absatz 10 der Verordnung (EU) 2021/953 kann die Kommission Durchführungsrechtsakte erlassen, um COVID-19-Zertifikate, die von einem Drittland ausgestellt wurden, mit dem die Union und die Mitgliedstaaten ein Abkommen über den freien Personenverkehr geschlossen haben, das es den Vertragsparteien gestattet, die Freizügigkeit aus Gründen der öffentlichen Gesundheit nichtdiskriminierend zu beschränken, und das keinen Mechanismus zur Aufnahme von Rechtsakten der Union enthält, als den gemäß dieser Verordnung ausgestellten Zertifikaten gleichwertig anzuerkennen. Auf dieser Grundlage erließ die Kommission am 8. Juli 2021 den Durchführungsbeschluss (EU) 2021/1126 (8) zur Feststellung der Gleichwertigkeit der von der Schweiz ausgestellten COVID-19-Zertifikate.

(23)

Gemäß Artikel 8 Absatz 2 der Verordnung (EU) 2021/953 kann die Kommission Durchführungsrechtsakte erlassen, in denen festgelegt wird, dass COVID-19-Zertifikate, die von einem Drittland im Einklang mit Standards und technologischen Systemen ausgestellt werden, die mit dem Vertrauensrahmen für das digitale COVID-Zertifikat der EU interoperabel sind und die Überprüfung der Echtheit, Gültigkeit und Integrität des Zertifikats ermöglichen, und die die im Anhang der Verordnung aufgeführten Daten enthalten, als den digitalen COVID-Zertifikaten der EU gleichwertig zu betrachten sind, um den Inhabern die Ausübung ihres Rechts auf Freizügigkeit innerhalb der Union zu erleichtern. Wie in Erwägungsgrund 28 der Verordnung (EU) 2021/953 erwähnt, betrifft Artikel 8 Absatz 2 der genannten Verordnung die Anerkennung von Zertifikaten, die Unionsbürgern und ihren Familienangehörigen von Drittländern ausgestellt werden. Die Kommission hat bereits mehrere solche Durchführungsrechtsakte erlassen.

(24)

Um Lücken bei der Erkennung widerrufener Zertifikate zu vermeiden, die unter solche Durchführungsrechtsakte fallen, sollten Drittländer, deren COVID-19-Zertifikate gemäß Artikel 3 Absatz 10 und Artikel 8 Absatz 2 der Verordnung (EU) 2021/953 als gleichwertig anerkannt wurden, auch die Möglichkeit haben, entsprechende Zertifikatswiderrufslisten an das Gateway für das digitale COVID-Zertifikat der EU zu übermitteln.

(25)

Einige Drittstaatsangehörige, die Inhaber widerrufener COVID-19-Zertifikate sind, die von einem Drittland ausgestellt wurden, dessen COVID-19-Zertifikate gemäß der Verordnung (EU) 2021/953 als gleichwertig anerkannt wurden, fallen zu dem Zeitpunkt, zu dem das betreffende Drittland eine Widerrufsliste erstellt, die auch ihr Zertifikat enthält, möglicherweise weder unter die genannte Verordnung noch unter die Verordnung (EU) 2021/954. Zu dem Zeitpunkt, zu dem ein Drittland eine Zertifikatswiderrufsliste erstellt, ist jedoch nicht bekannt, ob alle Drittstaatsangehörigen, die Inhaber widerrufener Zertifikate sind, unter eine der beiden Verordnungen fallen. Es ist daher nicht möglich, Personen, die zum Zeitpunkt der Erstellung der Zertifikatswiderrufslisten dieser Länder nicht unter eine der genannten Verordnungen fallen, auszuschließen, und ein entsprechender Versuch würde dazu führen, dass die Mitgliedstaaten widerrufene Zertifikate von Drittstaatsangehörigen, die erstmals in die Union einreisen, nicht erkennen könnten. Doch auch die widerrufenen Zertifikate dieser Drittstaatsangehörigen würden von den Mitgliedstaaten bei der Einreise der Zertifikatinhaber in die Union und bei Reisen innerhalb der Union überprüft. Die Drittländer, deren Zertifikate gemäß der Verordnung (EU) 2021/953 als gleichwertig anerkannt wurden, sind nicht an der Verwaltung des Gateways beteiligt und gelten daher nicht als gemeinsam Verantwortliche.

(26)

Darüber hinaus hat sich das System des digitalen COVID-Zertifikats der EU als das einzige international umfassend funktionierende COVID-19-Zertifikatsystem erwiesen Das digitale COVID-Zertifikat der EU hat daher weltweit an Bedeutung gewonnen und dazu beigetragen, die Pandemie auf internationaler Ebene zu bekämpfen, da sicheres internationales Reisen und die weltweite Erholung erleichtert werden. Bei der Annahme weiterer Durchführungsrechtsakte gemäß Artikel 8 Absatz 2 der Verordnung (EU) 2021/953 ergeben sich neue Erfordernisse beim Füllen des digitalen COVID-Zertifikats der EU. Gemäß den Vorschriften des Durchführungsbeschlusses (EU) 2021/1073 ist der Nachname im technischen Inhalt des Zertifikats ein Pflichtfeld. Damit andere Systeme eingebunden werden können und interoperabel sind, muss diese Anforderung geändert werden, denn in einigen Drittländern gibt es Personen ohne Nachnamen. In Fällen, in denen sich der Name des Zertifikatinhabers nicht in zwei Teile unterteilen lässt, sollte der Name in das Feld (Name bzw. Vorname) des digitalen COVID-Zertifikats der EU eingetragen werden, in dem er auch im Reise- oder Ausweisdokument des Inhabers steht. Durch diese Änderung würde der technische Inhalt der Zertifikate auch besser an die derzeit gültigen Spezifikationen für maschinenlesbare Reisedokumente angepasst, die von der Internationalen Zivilluftfahrt-Organisation herausgegeben wurden.

(27)

Der Durchführungsbeschluss (EU) 2021/1073 sollte daher entsprechend geändert werden.

(28)

Der Europäische Datenschutzbeauftragte wurde gemäß Artikel 42 Absatz 1 der Verordnung (EU) 2018/1725 konsultiert und hat am 11. März 2022 eine Stellungnahme abgegeben.

(29)

Damit die Mitgliedstaaten und die Kommission genügend Zeit haben, um die für den Austausch von Zertifikatswiderrufslisten über das Gateway für das digitale COVID-Zertifikat der EU erforderlichen Änderungen umzusetzen, sollte der Geltungsbeginn dieses Beschlusses vier Wochen nach seinem Inkrafttreten liegen.

(30)

Die in diesem Beschluss vorgesehenen Maßnahmen entsprechen der Stellungnahme des nach Artikel 14 der Verordnung (EU) 2021/953 eingesetzten Ausschusses —