„Netzwerk für elektronische Gesundheitsdienste“ das freiwillige Netzwerk, mit dem die von den Mitgliedstaaten benannten, für elektronische Gesundheitsdienste zuständigen nationalen Behörden vernetzt und die in Artikel 14 der Richtlinie 2011/24/EU genannten Ziele verfolgt werden;

„nationale Kontaktstellen für elektronische Gesundheitsdienste“ organisatorische und technische Verbindungsstellen zur Bereitstellung grenzüberschreitender elektronischer Gesundheitsinformationsdienste unter der Zuständigkeit der Mitgliedstaaten;

„grenzüberschreitende elektronische Gesundheitsinformationsdienste“ bestehende Dienste, die über nationale Kontaktstellen für elektronische Gesundheitsdienste und über eine Kerndienstplattform, die von der Kommission für die Zwecke der grenzüberschreitenden Gesundheitsversorgung entwickelt wurde, ausgeführt werden;

„digitale eHealth-Service-Infrastruktur für grenzüberschreitende elektronische Gesundheitsinformationsdienste“ die Infrastruktur, die die Bereitstellung grenzüberschreitender elektronischer Gesundheitsinformationsdienste über nationale Kontaktstellen für elektronische Gesundheitsdienste und die Europäische Kerndienstplattform ermöglicht. Diese Infrastruktur umfasst sowohl von den Mitgliedstaaten entwickelte Basisdienste gemäß Artikel 2 Absatz 2 Buchstabe e der Verordnung (EU) Nr. 283/2014 als auch eine von der Kommission entwickelte Kerndienstplattform gemäß der Definition in Artikel 2 Absatz 2 Buchstabe d der genannten Verordnung;

„andere gemeinsame europäische elektronische Gesundheitsdienste“ digitale Dienste, die im Rahmen des Netzwerks für elektronische Gesundheitsdienste entwickelt und von den Mitgliedstaaten gemeinsam genutzt werden können;

„Steuerungsmodell“ eine Reihe von Vorschriften für die Benennung von Stellen, die an Beschlussfassungsprozessen in Bezug auf die digitale eHealth-Service-Infrastruktur für grenzüberschreitende elektronische Gesundheitsinformationsdienste oder andere im Rahmen des Netzwerks für elektronische Gesundheitsdienste entwickelte gemeinsame europäische elektronische Gesundheitsdienste beteiligt sind, sowie die Beschreibung dieser Prozesse;

„App-Nutzer“ eine Person, die im Besitz eines intelligenten Geräts ist und eine zugelassene Mobil-App zur Kontaktnachverfolgung und Warnung heruntergeladen hat und verwendet;

„Kontaktnachverfolgung“ Maßnahmen zur Nachverfolgung von Personen, die der Quelle einer schwerwiegenden grenzüberschreitenden Gesundheitsbedrohung im Sinne von Artikel 3 Buchstabe c des Beschlusses Nr. 1082/2013/EU des Europäischen Parlaments und des Rates ( 1 ) ausgesetzt waren;

„nationale Mobil-App zur Kontaktnachverfolgung und Warnung“ eine auf nationaler Ebene zugelassene Softwareanwendung, die in intelligenten Geräten, insbesondere in Smartphones, läuft und in der Regel für eine vielfältige und gezielte Interaktion mit Webressourcen konzipiert ist, über die die von vielen in intelligenten Geräten vorhandenen Sensoren erfassten Näherungsdaten und andere kontextbezogene Informationen zu dem Zweck verarbeitet werden, Kontakte mit Personen zu ermitteln, die mit SARS-CoV-2 infiziert sind, und Personen zu warnen, die möglicherweise SARS-CoV-2 ausgesetzt waren. Diese Mobil-Apps sind in der Lage, andere Bluetooth verwendende Geräte in der Nähe zu erkennen und Informationen mit Back-End-Servern über das Internet auszutauschen;

„Federation Gateway“ ein von der Kommission mithilfe eines gesicherten IT-Tools betriebenes Netzwerk-Gateway, das einen Mindestsatz personenbezogener Daten von den Back-End-Servern der Mitgliedstaaten empfängt, speichert und zur Verfügung stellt, um die Interoperabilität der nationalen Mobil-Apps zur Kontaktnachverfolgung und Warnung zu gewährleisten;

„Schlüssel“ eine eindeutige kurzlebige Kennung für einen App-Nutzer, der meldet, mit SARS-CoV-2 infiziert zu sein oder möglicherweise SARS-CoV-2 ausgesetzt gewesen zu sein;

„Infektionsverifizierung“ die zur Bestätigung einer Infektion mit SARS-CoV-2 verwendete Methode, d. h. Eigenmeldung durch den App-Nutzer oder Bestätigung durch eine nationale Gesundheitsbehörde oder einen Labortest;

„relevante Länder“ den Mitgliedstaat oder die Mitgliedstaaten, in dem bzw. denen sich ein App-Nutzer in den 14 Tagen vor dem Datum des Hochladens der Schlüssel aufgehalten hat, die zugelassene Mobil-App zur Kontaktnachverfolgung und Warnung heruntergeladen hat sowie in den bzw. in die er gereist ist;

„Ursprungsland der Schlüssel“ den Mitgliedstaat, in dem sich der Back-End-Server befindet, der die Schlüssel in das Federation Gateway hochgeladen hat;

„Protokolldaten“ eine automatische Aufzeichnung eines Vorgangs im Zusammenhang mit dem Austausch von über das Federation Gateway verarbeiteten Daten und den Zugriff darauf, aus der insbesondere die Art der Verarbeitung, das Datum und die Uhrzeit der Verarbeitung sowie die Kennung der Person, die die Daten verarbeitet, hervorgehen.

die Entscheidung, am Netzwerk für elektronische Gesundheitsdienste teilzunehmen;

die für elektronische Gesundheitsdienste zuständige nationale Behörde, die Mitglied des Netzwerks für elektronische Gesundheitsdienste wird, sowie den Namen der Vertreterin/des Vertreters und ihrer/seiner Stellvertreterin bzw. ihres/seines Stellvertreters.

ihre Entscheidung, aus dem Netzwerk für elektronische Gesundheitsdienste auszutreten;

jegliche Änderung der Informationen gemäß Absatz 2 Buchstabe b.

Förderung einer größeren Interoperabilität der nationalen Informations- und Kommunikationstechnologiesysteme und der grenzüberschreitenden Übertragbarkeit elektronischer Gesundheitsdaten im Rahmen der grenzüberschreitenden Gesundheitsversorgung;

Bereitstellung von Leitlinien (in Zusammenarbeit mit anderen zuständigen Aufsichtsbehörden) für die Mitgliedstaaten in Bezug auf den Austausch von Gesundheitsdaten zwischen den Mitgliedstaaten und die Befähigung der Bürgerinnen und Bürger, auf ihre eigenen Gesundheitsdaten zuzugreifen und diese auszutauschen;

Bereitstellung von Leitlinien für die Mitgliedstaaten sowie Förderung des Austauschs bewährter Verfahren in Bezug auf die Entwicklung verschiedener digitaler Gesundheitsdienste wie Telemedizin oder m-Gesundheit, oder neuer Technologien in den Bereichen Massendaten („Big Data“) und künstliche Intelligenz unter Berücksichtigung laufender Maßnahmen auf EU-Ebene;

Bereitstellung von Leitlinien für die Mitgliedstaaten in Bezug auf die Unterstützung der Gesundheitsförderung, der Prävention von Krankheiten und der Verbesserung der Gesundheitsversorgung durch eine bessere Nutzung der Gesundheitsdaten und die Verbesserung der digitalen Kompetenzen von Patienten und Angehörigen der Gesundheitsberufe;

Bereitstellung von Leitlinien für die Mitgliedstaaten und Förderung des freiwilligen Austauschs bewährter Verfahren in Bezug auf Investitionen in die digitale Infrastruktur;

Bereitstellung von Leitlinien für die Mitgliedstaaten (in Zusammenarbeit mit anderen einschlägigen Stellen und Interessenträgern) in Bezug auf die erforderlichen Anwendungsfälle für die klinische Interoperabilität und die Tools, mit denen sich diese erreichen lässt;

Bereitstellung von Leitlinien für die Mitglieder über die Sicherheit der digitalen eHealth-Service-Infrastruktur für grenzüberschreitende elektronische Gesundheitsinformationsdienste oder andere im Rahmen des Netzwerks für elektronische Gesundheitsdienste entwickelte gemeinsame europäische elektronische Gesundheitsdienste unter Berücksichtigung der auf Unionsebene, insbesondere im Bereich der Sicherheit, ausgearbeiteten Rechtsvorschriften und Dokumente sowie der Empfehlungen im Bereich der Cybersicherheit in enger Zusammenarbeit mit der Kooperationsgruppe für Netz- und Informationssicherheit und mit der Agentur der Europäischen Union für Netz- und Informationssicherheit und gegebenenfalls den nationalen Behörden;

Bereitstellung von Leitlinien für die Mitgliedstaaten zum grenzüberschreitenden Austausch personenbezogener Daten über das Federation Gateway zwischen nationalen Mobil-Apps zur Kontaktnachverfolgung und Warnung.

Vereinbarung der Prioritäten der digitalen eHealth-Service-Infrastruktur und Überwachung ihres Betriebes;

Ausarbeitung von Leitlinien und Anforderungen für den Betrieb, einschließlich der Auswahl der Normen, auf die bei der digitalen eHealth-Service-Infrastruktur für grenzüberschreitende elektronische Gesundheitsinformationsdienste zurückgegriffen wird;

Einigung darüber, ob es den Mitgliedern des Netzwerks für elektronische Gesundheitsdienste erlaubt sein sollte, den Austausch elektronischer Gesundheitsdaten im Rahmen der digitalen eHealth-Service-Infrastruktur für grenzüberschreitende elektronische Gesundheitsinformationsdienste über ihre nationalen Kontaktstellen für elektronische Gesundheitsdienste auf der Grundlage der Einhaltung der Anforderungen des Netzwerks für elektronische Gesundheitsdienste, die mithilfe von von der Kommission bereitgestellten Tests und durchgeführten Audits bewertet wurde, zu beginnen und fortzuführen;

Billigung des jährlichen Arbeitsplans für die digitale eHealth-Service-Infrastruktur für grenzüberschreitende elektronische Gesundheitsinformationsdienste.

nimmt zusammen mit dem Vertreter der Mitglieder an den Sitzungen des Netzwerks für elektronische Gesundheitsdienste teil und führt gemeinsam mit ihm den Vorsitz;

arbeitet mit dem Netzwerk für elektronische Gesundheitsdienste in Bezug auf seine Tätigkeiten zusammen und unterstützt es diesbezüglich;

nimmt die Sekretariatsgeschäfte für das Netzwerk für elektronische Gesundheitsdienste wahr;

entwickelt geeignete technische und organisatorische Maßnahmen in Bezug auf die Kerndienste der digitalen eHealth-Service-Infrastruktur für grenzüberschreitende elektronische Gesundheitsinformationsdienste, führt diese durch und erhält sie aufrecht;

unterstützt das Netzwerk für elektronische Gesundheitsdienste bei der Einigung darüber, ob die technischen und organisatorischen Anforderungen an den grenzüberschreitenden Austausch von Gesundheitsdaten von den nationalen Kontaktstellen für elektronische Gesundheitsdienste eingehalten werden, indem sie die erforderlichen Tests und Audits bereitstellt und durchführt. Die Prüfer der Kommission können von Sachverständigen aus den Mitgliedstaaten unterstützt werden;

entwickelt geeignete technische und organisatorische Maßnahmen in Bezug auf die Sicherheit der Übermittlung und Bereithaltung personenbezogener Daten im Federation Gateway für die Zwecke der grenzüberschreitenden Interoperabilität nationaler Mobil-Apps zur Kontaktnachverfolgung und Warnung, führt diese durch und erhält sie aufrecht;

unterstützt das Netzwerk für elektronische Gesundheitsdienste bei der Einigung über die Einhaltung der technischen und organisatorischen Anforderungen an den grenzüberschreitenden Austausch personenbezogener Daten im Federation Gateway seitens der nationalen Behörden, indem sie die erforderlichen Tests und Audits bereitstellt und durchführt. Experten der Mitgliedstaaten können die Auditoren der Kommission unterstützen.

die Schlüssel, die bis zu 14 Tage vor dem Datum des Hochladens der Schlüssel von den nationalen Mobil-Apps zur Kontaktnachverfolgung und Warnung übermittelt wurden;

Protokolldaten zu den Schlüsseln gemäß den technischen Spezifikationen, die im Ursprungsland der Schlüssel verwendet werden;

die Verifizierung der Infektion;

die relevanten Länder und das Ursprungsland der Schlüssel.

schafft und gewährleistet eine sichere und zuverlässige Kommunikationsinfrastruktur, die die Netze der Mitglieder des Netzwerks für elektronische Gesundheitsinformationsdienste, die sich an der digitalen eHealth-Service-Infrastruktur für grenzüberschreitende elektronische Gesundheitsinformationsdienste („Zentrale Sichere Kommunikationsinfrastruktur“) beteiligen, miteinander verbindet. Um ihren Verpflichtungen nachzukommen, kann die Kommission Dritte beauftragen. Die Kommission stellt sicher, dass dieselben Datenschutzverpflichtungen, wie sie in diesem Beschluss festgelegt sind, auch für diese Dritten gelten;

konfiguriert einen Teil der Zentralen Sicheren Kommunikationsinfrastruktur so, dass die nationalen Kontaktstellen für elektronische Gesundheitsdienste sicher, zuverlässig und effizient Informationen austauschen können;

verarbeitet die personenbezogenen Daten nur auf dokumentierte Weisung der Verantwortlichen.

ergreift alle organisatorischen, physischen und logischen Sicherheitsmaßnahmen, um die Zentrale Sichere Kommunikationsinfrastruktur aufrechtzuerhalten. Zu diesem Zweck wird die Kommission

ergreift alle erforderlichen Sicherheitsmaßnahmen, um das reibungslose Funktionieren der Domain des anderen nicht zu beeinträchtigen. Zu diesem Zweck richtet die Kommission die besonderen Verfahren für den Anschluss an die Zentrale Sichere Kommunikationsinfrastruktur ein. Diese Information umfasst:

ergreift physische und/oder logische Sicherheitsmaßnahmen für die Einrichtungen, in denen die Ausrüstung für die Zentrale Sichere Kommunikationsinfrastruktur untergebracht ist, und für die Kontrollen der logischen Daten und der Zugangssicherheit. Zu diesem Zweck wird die Kommission

ergreift Maßnahmen zum Schutz ihrer Domain, einschließlich der Trennung von Anschlüssen, im Falle einer erheblichen Abweichung von den Qualitäts- oder Sicherheitsgrundsätzen und -konzepten;

führt einen Risikomanagementplan in Bezug auf ihren Zuständigkeitsbereich;

überwacht — in Echtzeit — die Leistung aller Dienstkomponenten ihrer Zentralen Sicheren Kommunikationsinfrastruktur, erstellt regelmäßige Statistiken und führt Aufzeichnungen;

unterstützt alle Dienste der Zentralen Sicheren Kommunikationsinfrastruktur in englischer Sprache 24 Stunden täglich und sieben Tage pro Woche über Telefon, E-Mail oder das Web-Portal und nimmt Anrufe von autorisierten Anrufern entgegen: von den Koordinatoren der Zentralen Sicheren Kommunikationsinfrastruktur und ihren jeweiligen Helpdesks, von Projektbeauftragten und benannten Mitarbeitern der Kommission;

unterstützt die Verantwortlichen durch Bereitstellung von Informationen über die Zentrale Sichere Kommunikationsinfrastruktur der digitalen eHealth-Service-Infrastruktur für grenzüberschreitende elektronische Gesundheitsinformationsdienste zur Umsetzung der Verpflichtungen gemäß den Artikeln 35 und 36 der Verordnung (EU) 2016/679.

stellt sicher, dass die innerhalb der Zentralen Sicheren Kommunikationsinfrastruktur übermittelten Daten verschlüsselt sind;

ergreift alle erforderlichen Maßnahmen, um zu verhindern, dass die Betreiber der Zentralen Sicheren Kommunikationsinfrastruktur unbefugten Zugriff auf die übermittelten Daten haben;

ergreift Maßnahmen, um die Interoperabilität und die Kommunikation zwischen den benannten zuständigen nationalen Behörden der Zentralen Sicheren Kommunikationsinfrastruktur zu erleichtern.

potenzielle oder tatsächliche Risiken für die Verfügbarkeit, Vertraulichkeit und/oder Integrität der personenbezogenen Daten, die im Federation Gateway verarbeitet werden;

Sicherheitsvorfälle, die mit der Verarbeitung im Federation Gateway in Verbindung stehen;

jede Verletzung des Schutzes personenbezogener Daten, die wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten und die Bewertung der Risiken für die Rechte und Freiheiten natürlicher Personen sowie alle Maßnahmen, die ergriffen wurden, um gegen die Verletzung des Schutzes personenbezogener Daten vorzugehen und das Risiko für die Rechte und Freiheiten natürlicher Personen zu mindern;

jeden Verstoß gegen die technischen und/oder organisatorischen Vorkehrungen für die Verarbeitungsvorgänge im Federation Gateway.

schafft und gewährleistet eine sichere und zuverlässige Kommunikationsinfrastruktur, die die nationalen Mobil-Apps zur Kontaktnachverfolgung und Warnung der am Federation Gateway teilnehmenden Mitgliedstaaten miteinander verbindet. Um ihren Verpflichtungen als Auftragsverarbeiterin im Federation Gateway nachzukommen, kann die Kommission Dritte als Unterauftragsverarbeiter beauftragen; die Kommission unterrichtet die gemeinsam Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Beauftragung oder Ersetzung anderer Auftragsverarbeiter und gibt dabei den Verantwortlichen gemäß Anhang II Abschnitt 1 Unterabschnitt 1 Nummer 4 die Möglichkeit, gegen derartige Änderungen Einspruch zu erheben. Die Kommission stellt sicher, dass dieselben Datenschutzverpflichtungen, wie sie in diesem Beschluss festgelegt sind, auch für diese Unterauftragsverarbeiter gelten;

verarbeitet personenbezogene Daten nur auf dokumentierte Weisung der Verantwortlichen, es sei denn, dass eine Verarbeitung nach Unionsrecht oder nationalem Recht erfolgen muss; in einem solchen Fall teilt die Kommission den Verantwortlichen diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet;

verarbeitet die Daten wie folgt:

Die Auftragsverarbeiterin trifft die zur Wahrung der Integrität der verarbeiteten Daten erforderlichen Maßnahmen;

trifft alle organisatorischen, physischen und logischen Sicherheitsmaßnahmen auf Grundlage des aktuellen Stands der Technik, um das Federation Gateway aufrechtzuerhalten. Zu diesem Zweck wird die Kommission:

trifft alle erforderlichen Sicherheitsmaßnahmen, damit das reibungslose Funktionieren der nationalen Back-End-Server nicht beeinträchtigt wird. Zu diesem Zweck richtet die Kommission besondere Verfahren für den Anschluss der Back-End-Server an das Federation Gateway ein. Dazu gehören:

ergreift physische und/oder logische Sicherheitsmaßnahmen auf Grundlage des aktuellen Stands der Technik für die Einrichtungen, in denen die Ausrüstung für das Federation Gateway untergebracht ist, und für die Kontrollen der logischen Daten und der Zugriffssicherheit. Zu diesem Zweck wird die Kommission:

ergreift Maßnahmen zum Schutz ihrer Netzdomäne, einschließlich der Trennung von Anschlüssen, im Falle einer erheblichen Abweichung von den Qualitäts- oder Sicherheitsgrundsätzen und -konzepten;

führt einen Risikomanagementplan in Bezug auf ihren Zuständigkeitsbereich;

überwacht — in Echtzeit — die Leistung aller Dienstkomponenten ihres Federation Gateways, erstellt regelmäßige Statistiken und führt Aufzeichnungen;

leistet Unterstützung für alle Dienste des Federation Gateways in englischer Sprache rund um die Uhr über Telefon, E-Mail oder das Web-Portal und nimmt Anrufe von autorisierten Anrufern entgegen: von den Koordinatoren des Federation Gateways und ihren jeweiligen Helpdesks, von Projektbeauftragten und benannten Mitarbeitern der Kommission;

unterstützt, soweit dies möglich ist, die Verantwortlichen durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung ihrer Verpflichtung zur Bearbeitung von Anfragen/Anträgen in Bezug auf die Ausübung der Rechte der betroffenen Person gemäß Kapitel III der Datenschutz-Grundverordnung;

unterstützt die Verantwortlichen durch die Bereitstellung von Informationen über das Federation Gateway dabei, den Verpflichtungen gemäß den Artikeln 32, 35 und 36 der Datenschutz-Grundverordnung nachzukommen;

stellt sicher, dass die im Federation Gateway verarbeiteten Daten für Personen, die nicht zugriffsbefugt sind, unverständlich sind;

ergreift alle erforderlichen Maßnahmen, damit die Betreiber des Federation Gateways keinen unbefugten Zugriff auf übermittelte Daten haben;

ergreift Maßnahmen, um die Interoperabilität und die Kommunikation zwischen den benannten Verantwortlichen des Federation Gateway zu erleichtern;

führt gemäß Artikel 31 Absatz 2 der Verordnung (EU) 2018/1725 ein Verzeichnis aller im Auftrag eines Verantwortlichen durchgeführten Verarbeitungsvorgänge.