(1)

Die Feststellung eines positiven COVID-19-Falls nach einer bestimmten grenzüberschreitenden Reise erfüllt die Kriterien gemäß Artikel 9 Absatz 1 des Beschlusses 1082/2013/EU, da dies potenziell immer noch für eine erhebliche Mortalität bei Menschen verantwortlich ist, potenziell rasch anwächst, potenziell mehr als einen Mitgliedstaat betrifft und potenziell eine koordinierte Reaktion auf Unionsebene erfordert. Entsprechend Nummer 23 der Empfehlung (EU) 2020/1475 vom 13. Oktober 2020 für eine koordinierte Vorgehensweise bei der Beschränkung der Freizügigkeit aufgrund der COVID-19-Pandemie (2) sollten Informationen über bei der Ankunft im Hoheitsgebiet eines Mitgliedstaats diagnostizierte COVID-19-Fälle über das Frühwarn- und Reaktionssystem (im Folgenden „EWRS“), das gemäß Artikel 8 des Beschlusses 1082/2013/EU eingerichtet wurde und das von dem Europäischen Zentrum für die Prävention und die Kontrolle von Krankheiten (im Folgenden „ECDC“) betrieben wird, unverzüglich an die Gesundheitsbehörden der Länder weitergeleitet werden, in denen sich die betreffende Person in den vorangegangenen 14 Tagen aufgehalten hat, damit die Kontakte der Person nachverfolgt werden können.

(2)

Gemäß der Empfehlung (EU) 2020/1475 können Mitgliedstaaten bei Einreisen in ihr Hoheitsgebiet die Vorlage ausgefüllter Reiseformulare (Passenger Locator Forms — „PLF“) verlangen, die die Datenschutzanforderungen erfüllen.

(3)

Indem die Mitgliedstaaten das Ausfüllen nationaler Reiseformulare verschiedener Formate vorschreiben, erheben sie PLF-Daten von grenzüberschreitenden Passagieren, die in ihr Hoheitsgebiet einreisen. Ein Verwendungszweck dieser Daten besteht darin, dass wenn eine Person, die ein Reiseformular ausgefüllt hat, als COVID-19-Fall identifiziert wird, die im Reiseformular erhobenen Daten dazu verwendet werden, den Reiseverlauf dieser Person festzustellen und einschlägige Informationen an die Mitgliedstaaten weiterzuleiten, die Verfahren zur Kontaktnachverfolgung in Bezug auf Personen durchführen müssen, die gegenüber dem infizierten Passagier möglicherweise exponiert waren.

(4)

Die Gesundheitsbehörden einiger Mitgliedstaaten haben bereits durch nationale Reiseformulare erhobene personenbezogene Daten untereinander ausgetauscht, um im Zusammenhang mit der COVID-19-Pandemie die Kontaktnachverfolgung zu ermöglichen. Dieser Austausch erfolgte insbesondere über die derzeit im Rahmen des EWRS bereitgestellte technische Infrastruktur.

(5)

Die derzeit im Rahmen des EWRS bereitgestellte technische Infrastruktur ist noch nicht darauf ausgelegt, das Volumen an PLF-Daten zu bewältigen, das durch die systematische und großflächige Nutzung von Reiseformularen generiert wird. Beispielsweise ermöglicht sie keine Übertragung zwischen unterschiedlichen nationalen Formaten und erfordert eine manuelle Eingabe, was die Aktualität und Wirksamkeit der Kontaktnachverfolgung beeinträchtigt. Dies gilt insbesondere, wenn die Kontaktnachverfolgung für grenzüberschreitende Passagiere durchgeführt werden muss, die in öffentlichen Verkehrsmitteln mit vorab zugewiesenen Sitzplätzen gereist sind, wie Flugzeugen, bestimmten Zügen, Fähren und Kreuzfahrtschiffen, bei denen die Zahl der exponierten Passagiere und die Dauer der Exposition gegenüber einem infizierten Passagier erheblich sein könnten.

(6)

Daher sollte eine technische Infrastruktur — die sogenannte „Plattform für den Austausch von Reiseformularen“ — eingerichtet werden, um den sicheren, zeitnahen und wirksamen Datenaustausch zwischen den für das EWRS zuständigen Behörden der Mitgliedstaaten zu ermöglichen, indem die interoperable und automatische Übermittlung von Informationen aus ihren bestehenden nationalen digitalen PLF-Systemen an andere für das EWRS zuständige Behörden erlaubt wird. Diese sollte auf der Austauschplattform aufbauen, die bereits von der Agentur der Europäischen Union für Flugsicherheit (EASA) entwickelt wurde, wobei die EASA bei der Verarbeitung personenbezogener Daten über die Plattform für den Austausch von Reiseformularen entsprechend diesem Durchführungsbeschlusses keine Rolle spielt. Die Plattform für den Austausch von Reiseformularen sollte auch den Austausch begrenzter epidemiologischer Daten ermöglichen, die für die Kontaktnachverfolgung gemäß Artikel 9 Absatz 3 des Beschlusses 1082/2013/EU erforderlich sind. Um zu vermeiden, dass Tätigkeiten sich mit bestehenden Strukturen und Mechanismen für die Überwachung, Frühwarnung und Bekämpfung schwerwiegender grenzüberschreitender Gesundheitsgefahren überschneiden oder etwaige Maßnahmen ihnen zuwiderlaufen, sollte die Plattform für den Austausch von Reiseformularen im Rahmen des EWRS als Ergänzung der in diesem System bestehenden Funktion für die selektive Nachrichtenübermittlung entwickelt werden.

(7)

Die Plattform für den Austausch von Reiseformularen sollte vom ECDC entsprechend Artikel 8 der Verordnung (EG) Nr. 851/2004 des Europäischen Parlaments und des Rates (3) betrieben werden.

(8)

Die auszutauschenden PLF-Daten und epidemiologischen Daten sollten auf der Plattform für den Austausch von Reiseformularen nicht gespeichert werden.

(9)

Wenn ein Mitgliedstaat nicht über ein national entwickeltes digitales Reiseformularsystem verfügt, könnte er das gemeinsame digitale Reiseformularsystem der Europäischen Union (European Union digital Passenger Locator Form System — „EUdPLF“) verwenden, mit dessen Entwicklung die gemeinsame Maßnahme „EU Healthy Gateways“ von der Kommission betraut wurde (Finanzhilfe Nr. 801493) (4). Der Zweck des EUdPLF besteht darin, einen zentralen Zugangspunkt und eine zentrale Datenbank für die Erfassung von Reiseformularen zu schaffen. In Zukunft sollte das EUdPLF mit der Plattform für den Austausch von Reiseformularen zu dem einzigen Zweck verbunden werden, den Datenaustausch zwischen Mitgliedstaaten mit eigenen nationalen digitalen Reiseformularsystemen einerseits und Mitgliedstaaten, die das EUdPLF verwenden, andererseits zu ermöglichen. Dieser Beschluss betrifft weder die Einrichtung des EUdPLF noch regelt er die Verarbeitung personenbezogener Daten im Zusammenhang mit dem EUdPLF.

(10)

Dieser Beschluss regelt nicht die Einrichtung nationaler Reiseformulare, über die die Mitgliedstaaten zu entscheiden haben. Die Mitgliedstaaten können frei entscheiden, ob sie Reiseformulare von allen in ihrem Hoheitsgebiet ankommenden Passagieren oder nur von Passagieren erheben, deren endgültiger Zielpunkt dieser Mitgliedstaat ist. Eine wirksame grenzüberschreitende Kontaktnachverfolgung auf der Grundlage von PLF-Daten erfordert, dass die Mitgliedstaaten über ihre nationalen Reiseformulare einen gemeinsamen Mindestumfang an PLF-Daten erheben. Daher sollten diese PLF-Mindestdaten festgelegt werden. Darüber hinaus sollten die Mitgliedstaaten aus Gründen der Kosteneffizienz, der Nachhaltigkeit und der erhöhten Sicherheit der Lösung in Erwägung ziehen, einen gemeinsamen Ansatz in Bezug auf die Frage zu verfolgen, ob Reiseformulare für alle Passagiere, einschließlich Passagiere im Transitverkehr, oder nur für Passagiere, deren endgültiger Zielpunkt der betreffende Mitgliedstaat ist, verbindlich sein sollen.

(11)

Die Nutzung der Plattform für den Austausch von Reiseformularen sollte freiwillig sein, und es sollte den Mitgliedstaaten freigestellt sein, Warnmeldungen vorläufig im Rahmen der derzeit bestehenden technischen Infrastruktur des EWRS zu übermitteln, sofern dies die Zwecke der Kontaktnachverfolgung nicht beeinträchtigt.

(12)

Die für das EWRS zuständigen Behörden sollten im Einklang mit dem Grundsatz der Minimierung der Verarbeitung personenbezogener Daten nur genau festgelegte über ihre Reiseformulare erhobene Datensätze und andere begrenzte epidemiologische Daten, die für die Kontaktnachverfolgung erforderlich sind, austauschen. Wenn der Mitgliedstaat, der die Warnmeldung über einen infizierten Passagier übermittelt, auf der Grundlage der verfügbaren PLF-Daten alle betroffenen Mitgliedstaaten identifizieren kann, sollte er nur an die für das EWRS zuständigen Behörden dieser Mitgliedstaaten Daten übermitteln. Das ist beispielsweise der Fall, wenn der Mitgliedstaat, der den infizierten Passagier identifiziert, Reiseformulare für alle Passagiere, einschließlich Transitpassagiere, erfasst, die in seinem Hoheitsgebiet mit einer Direktverbindung vom ursprünglichen Abreiseort ankommen.

(13)

Wenn ein Passagier in einem Mitgliedstaat als mit SARS-CoV-2 infiziert diagnostiziert wird, sollten die für das EWRS zuständigen Behörden dieses Mitgliedstaats in der Lage sein, den für das EWRS zuständigen Behörden des Abreisemitgliedstaats einen aus den Reiseformularen extrahierten begrenzten Datensatz zu übermitteln, der strikt danach festgelegt sein sollte, was für die Durchführung einer Kontaktnachverfolgung exponierter Personen im Mitgliedstaat der Abreise und im Mitgliedstaat des Wohnsitzes, sofern anders als der Mitgliedstaat der Abreise, erforderlich ist, nämlich die Identitäts- und Kontaktinformationen des infizierten Passagiers.

(14)

Wenn ein Passagier in einem Mitgliedstaat als mit SARS-CoV-2 infiziert diagnostiziert wird, sollten die für das EWRS zuständigen Behörden dieses Mitgliedstaats außerdem in der Lage sein, einen begrenzten Datensatz an die für das EWRS zuständigen Behörden aller Mitgliedstaaten oder der betroffenen Mitgliedstaaten zu übermitteln, wenn diese Behörden über Informationen verfügen, die es ihnen ermöglichen, solche Mitgliedstaaten zu identifizieren. Die Daten sollten beschränkt sein auf den Abreiseort, den Ankunftsort, das Abreisedatum, das verwendete Verkehrsmittel (z. B Flugzeug, Bahn, Reisebus, Fähre, Schiff), die Kennnummer des Beförderungsdiensts — d. h. Flugnummer, Zugnummer, Kennzeichen des Reisebusses, Name der Fähre oder des Schiffs —, die Platznummer oder Kabinennummer des infizierten Passagiers und die Abreisezeit, falls die vorstehenden Daten nicht zur Identifizierung der Beförderung ausreichen. Dies sollte es den für das EWRS zuständigen Behörden, die die Daten erhalten, ermöglichen, festzustellen, ob exponierte Passagiere in ihrem Hoheitsgebiet angekommen sind, und gegebenenfalls eine Kontaktnachverfolgung durchzuführen.

(15)

Bei der Übermittlung von Daten an für das EWRS zuständige Behörden über die Plattform für den Austausch von Reiseformularen sollte die jeweilige für das EWRS zuständige Behörde in der Lage sein, epidemiologische Informationen hinzuzufügen, die darauf beschränkt sind, was für die Kontaktnachverfolgung erforderlich ist, d. h. den Typ des durchgeführten COVID-19-Tests, die Variante des SARS-CoV-2-Virus, das Datum der Probenahme und das Datum des Auftretens der Symptome.

(16)

Die Verarbeitung personenbezogener Daten von infizierten Passagieren, die über die Plattform für den Austausch von Reiseformularen ausgetauscht werden, muss durch die für das EWRS zuständigen Behörden entsprechend der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (5) erfolgen. Die Verarbeitung personenbezogener Daten unter der Verantwortung des ECDC als Betreiber der Plattform für den Austausch von Reiseformularen für die Zwecke der Kontaktnachverfolgung und der Kommission als dessen Unterauftragsverarbeiter muss im Einklang mit der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates (6) erfolgen.

(17)

Die Rechtsgrundlage für den Austausch von personenbezogenen Daten infizierter Passagiere, einschließlich Gesundheitsdaten, zwischen den für das EWRS zuständigen Behörden zum Zwecke der Kontaktnachverfolgung ist in Artikel 9 Absatz 1 und Artikel 9 Absatz 3 Buchstabe i des Beschlusses 1082/2013/EU im Einklang mit Artikel 6 Absatz 1 Buchstabe c und Artikel 9 Absatz 2 Buchstabe i der 9 Verordnung (EU) 2016/679 festgelegt. Im vorliegenden Beschluss sollten geeignete und spezifische Maßnahmen zur Sicherung der Rechte und Freiheiten der betroffenen Person festgelegt werden. Diese sollten Maßnahmen in Bezug auf die Festlegung der erforderlichen auszutauschenden Datensätze, die für das EWRS zuständigen Behörden, mit denen die Daten in den verschiedenen Fällen ausgetauscht werden sollten, die angemessenen Sicherheitsmaßnahmen, einschließlich der Verschlüsselung, und die Modalitäten für die Verarbeitung von Daten zwischen den nationalen Behörden über die Plattform für den Austausch von Reiseformularen innerhalb der Europäischen Union umfassen.

(18)

Die für das EWRS zuständigen Behörden, die an der Plattform für den Austausch von Reiseformularen beteiligt sind, bestimmen gemeinsam den Zweck und die Mittel der Verarbeitung personenbezogener Daten auf der Plattform für den Austausch von Reiseformularen und sind daher gemeinsam Verantwortliche. Gemäß Artikel 26 der Verordnung (EU) 2016/679 sind gemeinsam Verantwortliche verpflichtet, in transparenter Form festzulegen, wer von ihnen welche Verpflichtung gemäß der genannten Verordnung erfüllt. Ferner ist darin die Möglichkeit vorgesehen, dass diese Zuständigkeiten durch Rechtsvorschriften der Union oder der Mitgliedstaaten festgelegt werden, denen die Verantwortlichen unterliegen. In dem vorliegenden Beschluss sollten daher die jeweiligen Funktionen und Zuständigkeiten der gemeinsam Verantwortlichen festgelegt werden.

(19)

Das ECDC als Anbieter technischer und organisatorischer Lösungen für die Plattform für den Austausch von Reiseformularen verarbeitet PLF-Daten und epidemiologische Daten im Auftrag der Mitgliedstaaten, die als gemeinsam Verantwortliche an der Plattform für den Austausch von Reiseformularen beteiligt sind, und ist daher ein Auftragsverarbeiter im Sinne von Artikel 3 Nummer 12 der Verordnung (EU) 2018/1725. Gemäß Artikel 28 der Verordnung (EU) 2016/679 und Artikel 29 der Verordnung (EU) 2018/1725 muss die Verarbeitung durch einen Auftragsverarbeiter auf der Grundlage eines Vertrags oder eines Rechtsinstruments nach dem Recht der Union oder dem Recht der Mitgliedstaaten erfolgen, der bzw. das den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet und die Verarbeitung regelt. Daher müssen Regeln für die Verarbeitung durch das ECDC als Auftragsverarbeiter festgelegt werden.

(20)

Artikel 3 Absatz 3 der Verordnung (EG) Nr. 851/2004 sieht vor, dass das ECDC mit der Kommission und den Mitgliedstaaten zusammenarbeitet, um eine wirksame Kohärenz zwischen deren jeweiligen Tätigkeitsbereichen zu fördern. Dementsprechend sollten Dienstleistungsvereinbarungen zwischen der Kommission und dem ECDC geschlossen werden, um bei der technischen Entwicklung und dem Betrieb der Plattform für den Austausch von Reiseformularen zusammenzuarbeiten. In diesen ist die Aufteilung der (organisatorischen, finanziellen und technischen) Zuständigkeiten zwischen den Parteien festzulegen, um die Umsetzung der Plattform für den Austausch von Reiseformularen sowie die technischen Maßnahmen im Zusammenhang mit deren Betrieb, Wartung und Weiterentwicklung zu erleichtern.

(21)

Der Durchführungsbeschluss (EU) 2017/253 sollte daher entsprechend geändert werden.

(22)

Die Plattform für den Austausch von Reiseformularen soll im Jahr 2021 aus dem Soforthilfeinstrument finanziert werden, das eingerichtet wurde, um die Mitgliedstaaten bei der Bewältigung der Coronavirus-Pandemie zu unterstützen, indem sie auf europäischer Ebene strategisch und koordiniert auf die Erfordernisse eingeht, sowie durch die Maßnahme „Unterstützende Tätigkeiten für die Europäische Verkehrspolitik, Verkehrssicherheit und Passagierrechte einschließlich Kommunikationstätigkeiten“. Im Jahr 2022 soll ihre Finanzierung aus dem Programm „Digitales Europa“ erfolgen.

(23)

Angesichts des vorgesehenen Datums der Inbetriebnahme der Plattform für den Austausch von Reiseformularen sollte der vorliegende Beschluss ab dem 1. Juni 2021 gelten. Der Datenaustausch sollte nach 12 Monaten eingestellt werden oder sobald der Generaldirektor der Weltgesundheitsorganisation gemäß den Internationalen Gesundheitsvorschriften erklärt hat, dass die durch SARS-CoV-2 verursachte gesundheitliche Notlage von internationaler Tragweite beendet ist, sofern diese Erklärung früher abgegeben wird.

(24)

Der Betrieb der Plattform für den Austausch von Reiseformularen sollte sich auf die Bekämpfung der COVID-19-Pandemie beschränken. Er könnte in Zukunft jedoch durch einen Änderungsdurchführungsbeschluss auf Epidemien ausgeweitet werden, für deren Bekämpfung Mitgliedstaaten entsprechend den Kriterien in Artikel 9 Absatz 1 und den Bedingungen gemäß Artikel 9 Absatz 3 des Beschlusses 1082/2013/EU PLF-Daten für die Zwecke der Kontaktnachverfolgung austauschen müssen.

(25)

Der Europäische Datenschutzbeauftragte wurde gemäß Artikel 42 Absatz 1 der Verordnung (EU) 2018/1725 konsultiert und hat am 6. Mai 2021 eine Stellungnahme abgegeben.

(26)

Die in diesem Beschluss vorgesehenen Maßnahmen stehen im Einklang mit der Stellungnahme des gemäß Artikel 18 des Beschlusses Nr. 1082/2013/EU eingesetzten Ausschusses für schwerwiegende grenzüberschreitende Gesundheitsgefahren —