VERORDNUNG (EU) 2025/12 DES EUROPÄISCHEN PARLAMENTS UND DES RATES

vom 19. Dezember 2024

über die Erhebung und Übermittlung vorab übermittelter Fluggastdaten zur Verbesserung und Erleichterung der Kontrollen an den Außengrenzen, zur Änderung der Verordnungen (EU) 2018/1726 und (EU) 2019/817 sowie zur Aufhebung der Richtlinie 2004/82/EG des Rates

DAS EUROPÄISCHE PARLAMENT UND DER RAT DER EUROPÄISCHEN UNION —

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union, insbesondere auf Artikel 77 Absatz 2 Buchstaben b und d sowie Artikel 79 Absatz 2 Buchstabe c,

auf Vorschlag der Europäischen Kommission,

nach Zuleitung des Entwurfs des Gesetzgebungsakts an die nationalen Parlamente,

nach Stellungnahme des Europäischen Wirtschafts- und Sozialausschusses (1),

gemäß dem ordentlichen Gesetzgebungsverfahren (2),

in Erwägung nachstehender Gründe:

(1)

Die Durchführung von Grenzübertrittskontrollen von Personen an den Außengrenzen trägt erheblich zur Sicherstellung der langfristigen Sicherheit der Union, der Mitgliedstaaten und ihrer Bürger bei und bleibt somit eine wichtige Schutzmaßnahme, insbesondere im Raum ohne Binnengrenzkontrollen. Grenzübertrittskontrollen sind im Einklang mit der Verordnung (EU) 2016/399 des Europäischen Parlaments und des Rates (3), soweit anwendbar, durchzuführen, um zur Bekämpfung der illegalen Einwanderung und zur Abwehr von Bedrohungen der inneren Sicherheit, der öffentlichen Ordnung, der öffentlichen Gesundheit und der internationalen Beziehungen der Mitgliedstaaten beizutragen. Solche Grenzübertrittskontrollen sollten so durchgeführt werden, dass die Menschenwürde uneingeschränkt geachtet und einschlägiges Unionsrecht, einschließlich der Charta der Grundrechte der Europäischen Union (im Folgenden „Charta“), strikt eingehalten wird.

(2)

Die Verwendung von Daten zu Fluggästen und Fluginformationen, die vor der Ankunft von Fluggästen übermittelt werden, sogenannte vorab übermittelte Fluggastdaten (im Folgenden „API-Daten“), trägt dazu bei, die Durchführung der erforderlichen Grenzübertrittskontrollen während des Grenzübertritts zu beschleunigen. Für die Zwecke dieser Verordnung betrifft dies insbesondere das Überschreiten der Grenzen zwischen einem Drittland oder einem nicht unter die vorliegende Verordnung fallenden Mitgliedstaat und einem unter die vorliegende Verordnung fallenden Mitgliedstaat. Die Nutzung von API-Daten stärkt die Grenzübertrittskontrollen an den besagten Außengrenzen, da so ohne unverhältnismäßige negative Auswirkungen auf legal reisende Fluggäste ausreichend Zeit für eingehende und umfassende Grenzübertrittskontrollen von allen Fluggästen zur Verfügung steht. Im Interesse der Wirksamkeit und Effizienz der Grenzübertrittskontrollen an den Außengrenzen sollte daher ein geeigneter Rechtsrahmen geschaffen werden, damit sichergestellt wird, dass die zuständigen Grenzbehörden der Mitgliedstaaten an diesen Außengrenzübergangsstellen vor der Ankunft von Fluggästen Zugang zu API-Daten haben.

(3)

Der bestehende Rechtsrahmen für API-Daten, der aus der Richtlinie 2004/82/EG des Rates (4) und den nationalen Rechtsvorschriften zur Umsetzung dieser Richtlinie besteht, hat sich als entscheidend für die Verbesserung der Grenzübertrittskontrollen erwiesen, insbesondere durch die Schaffung eines Rahmens für die Mitgliedstaaten zur Einführung von Bestimmungen mit Verpflichtungen für Fluggesellschaften zur Übermittlung von API-Daten über Fluggäste, die in ihr Hoheitsgebiet befördert werden. Allerdings bestehen auf nationaler Ebene nach wie vor Unterschiede. Insbesondere werden API-Daten nicht systematisch von den Fluggesellschaften angefordert, und die Fluggesellschaften sind mit unterschiedlichen Anforderungen hinsichtlich der Art der zu erhebenden Informationen und der Voraussetzungen konfrontiert, unter denen die API-Daten an die zuständigen Grenzbehörden übermittelt werden müssen. Diese Unterschiede führen nicht nur zu unnötigen Kosten und Komplikationen für die Fluggesellschaften, sondern beeinträchtigen auch die Gewährleistung wirksamer und effizienter Vorabkontrollen von Personen, die an den Außengrenzen ankommen.

(4)

Der bestehende Rechtsrahmen sollte zur Gewährleistung klarer, harmonisierter und wirksamer Vorschriften für die Erhebung und Übermittlung von API-Daten zur Verbesserung und Erleichterung der Wirksamkeit und Effizienz der Grenzübertrittskontrollen an den Außengrenzen und zur Bekämpfung der illegalen Einwanderung aktualisiert und ersetzt werden, und zwar im Einklang mit den Vorschriften der Verordnung (EU) 2016/399 für die Mitgliedstaaten, für die sie gilt, und mit dem nationalen Recht, für die sie nicht gilt.

(5)

Für ein so weit wie möglich einheitliches Vorgehen sowohl auf Unionsebene als auch auf internationaler Ebene und angesichts der auf internationaler Ebene geltenden Vorschriften für die Erhebung von API-Daten sollte der mit dieser Verordnung geschaffene aktualisierte Rechtsrahmen den einschlägigen Verfahren Rechnung tragen, die international mit der Luftverkehrsbranche, etwa im Rahmen der Leitlinien der Weltzollorganisation, der Internationalen Luftverkehrs-Vereinigung und der Internationalen Zivilluftfahrt-Organisation (ICAO), für vorab übermittelte Fluggastdaten vereinbart wurden.

(6)

Durch die Erhebung und Übermittlung von API-Daten wird in die Privatsphäre natürlicher Personen eingegriffen und ihre personenbezogenen Daten werden verarbeitet. Damit ihre Grundrechte, insbesondere das Recht auf Achtung des Privatlebens und das Recht auf den Schutz personenbezogener Daten gemäß der Charta, in vollem Umfang geachtet werden, sollten geeignete Einschränkungen und Schutzvorkehrungen vorgesehen werden. Zum Beispiel sollte die Verarbeitung von API-Daten, insbesondere wenn es sich um personenbezogene Daten handelt, immer streng auf das beschränkt bleiben, was für die Erreichung der mit dieser Verordnung verfolgten Ziele erforderlich und verhältnismäßig ist. Darüber hinaus sollte sichergestellt werden, dass die Verarbeitung von gemäß dieser Verordnung erhobenen und übermittelten API-Daten zu keiner unzulässigen Form der Diskriminierung im Sinne der Charta führt.

(7)

Damit die Ziele dieser Verordnung erreicht werden, sollte sie für alle Fluggesellschaften gelten, die Flüge in die Union im Sinne dieser Verordnung — sowohl Linien- als auch Nichtlinienflüge — durchführen, unabhängig von ihrem Niederlassungsort. Die Erhebung von Daten zu anderen zivilen Formen des Betriebs von Luftfahrzeugen, etwa Flügen von Flugschulen, Ambulanzflügen, Notflügen sowie Militärflügen, fällt nicht in den Anwendungsbereich dieser Verordnung. Diese Verordnung lässt die Erhebung von Daten zu solchen Flügen gemäß nationalen Rechtsvorschriften, die mit dem Unionsrecht vereinbar sind, unberührt. Die Kommission sollte die Durchführbarkeit einer Unionsregelung prüfen, mit der die Betreiber von Privatflügen verpflichtet werden, Fluggastdaten zu erheben und zu übermitteln.

(8)

Die Verpflichtungen der Fluggesellschaften zur Erhebung und Übermittlung von API-Daten gemäß dieser Verordnung sollten sich auf alle Fluggäste auf Flügen in die Union, Transitfluggäste, deren endgültiges Reiseziel außerhalb der Union liegt, sowie auf alle Besatzungsmitglieder außer Dienst beziehen, die von einer Fluggesellschaft im Rahmen ihrer Aufgaben auf einem Flug befördert werden.

(9)

Im Interesse der Wirksamkeit und der Rechtssicherheit sollten die Angaben, die in ihrer Gesamtheit die gemäß dieser Verordnung zu erhebenden und zu übermittelnden API-Daten bilden, klar und erschöpfend aufgeführt werden und sowohl Informationen über jeden Fluggast als auch über den Flug umfassen, den der Fluggast angetreten hat. Gemäß dieser Verordnung und im Einklang mit internationalen Standards sollten diese Fluginformationen in allen in der vorliegenden Verordnung genannten Fällen soweit verfügbar Angaben zu Sitzplätzen und Gepäck sowie Angaben zur Grenzübergangsstelle der Einreise in das Hoheitsgebiet des betreffenden Mitgliedstaats umfassen. Wenn Angaben zu Gepäck oder Sitzplätzen in anderen IT-Systemen verfügbar sind, über die die Fluggesellschaft, ihr Abfertigungsdienstleister, ihr Systemanbieter oder die Flughafenbehörde verfügt, sollten die Fluggesellschaften diese Angaben in die API-Daten aufnehmen, die den zuständigen Grenzbehörden zu übermitteln sind. API-Daten im Sinne dieser Verordnung umfassen keine biometrischen Daten.

(10)

Zur Ermöglichung von Flexibilität und Innovation sollte es unter Berücksichtigung der verschiedenen Arten von Fluggesellschaften im Sinne dieser Verordnung und ihrer jeweiligen Geschäftsmodelle, unter anderem bezüglich Zeiten für den Check-in und der Zusammenarbeit mit Flughäfen, grundsätzlich jeder Fluggesellschaft überlassen bleiben, wie sie ihren Verpflichtungen in Bezug auf die Erhebung von API-Daten gemäß dieser Verordnung nachkommt. Da es jedoch geeignete technische Lösungen gibt, die die automatische Erhebung bestimmter API-Daten ermöglichen und gleichzeitig sicherstellen, dass die betreffenden API-Daten korrekt, vollständig und aktuell sind, und angesichts der Vorteile des Einsatzes dieser Technologie hinsichtlich Wirksamkeit und Effizienz, sollten die Fluggesellschaften verpflichtet werden, diese API-Daten aus den maschinenlesbaren Daten des Reisedokuments mithilfe automatischer Verfahren zu erheben. Ist die Verwendung solcher automatisierter Verfahren technisch unter außergewöhnlichen Umständen nicht möglich, sollten die Fluggesellschaften die API-Daten ausnahmsweise entweder beim Online-Check-in oder beim Check-in am Flughafen manuell erheben, um die Einhaltung ihrer Verpflichtungen nach dieser Verordnung sicherzustellen.

(11)

Die Erhebung von API-Daten mithilfe automatisierter Verfahren sollte strikt auf die im Reisedokument enthaltenen alphanumerischen Daten beschränkt sein und darf nicht zur Erhebung biometrischer Daten aus dem Reisedokument führen. Da die Erhebung von API-Daten Teil des Check-in ist, sei es online oder am Flughafen, enthält diese Verordnung keine Verpflichtung der Fluggesellschaften, die Reisedokumente der Fluggäste zum Zeitpunkt des Einsteigens zu prüfen. Zur Einhaltung dieser Verordnung ist es nicht erforderlich, dass die Fluggäste verpflichtet sind, beim Einsteigen ein Reisedokument mitzuführen. Dies sollte Verpflichtungen aus anderen Rechtsakten der Union oder nationalen Rechtsvorschriften, die mit dem Unionsrecht im Einklang stehen, unberührt lassen.

(12)

Die Erhebung von API-Daten aus Reisedokumenten sollte auch mit den ICAO-Standards zu maschinenlesbaren Reisedokumenten im Einklang stehen, die mit der Verordnung (EU) 2019/1157 des Europäischen Parlaments und des Rates (5), der Verordnung (EG) Nr. 2252/2004 des Rates (6) und der Richtlinie (EU) 2019/997 des Rates (7) in das Unionsrecht aufgenommen wurden.

(13)

Die in dieser Verordnung und in den entsprechenden delegierten Rechtsakten und Durchführungsrechtsakten festgelegten Anforderungen sollten zur einheitlichen Umsetzung dieser Verordnung durch die Fluggesellschaften führen, wodurch die Kosten für die Verknüpfung ihrer jeweiligen Systeme minimiert werden. Um eine harmonisierte Umsetzung dieser Anforderungen durch die Fluggesellschaften zu erleichtern, insbesondere in Bezug auf die Datenstruktur, das Datenformat und das Protokoll für die Übertragung der Daten, sollte die Kommission auf der Grundlage ihrer Zusammenarbeit mit den zuständigen Grenzbehörden, den anderen Behörden der Mitgliedstaaten, den Fluggesellschaften und den zuständigen Agenturen der Union sicherstellen, dass das von der Kommission zu erstellende Handbuch alle erforderlichen Leitlinien und Klarstellungen enthält.

(14)

Zur Verbesserung der Qualität der API-Daten sollte der gemäß dieser Verordnung einzurichtende Router überprüfen, ob die API-Daten, die ihm von den Fluggesellschaften übermittelt werden, sowohl inhaltlich als auch strukturell den unterstützten Datenformaten einschließlich standardisierter Datenfelder oder -codes genügen. Wird bei der Überprüfung festgestellt, dass die Daten nicht mit diesen Datenformaten übereinstimmen, sollte der Router die betreffende Fluggesellschaft unverzüglich und automatisch davon in Kenntnis gesetzt werden.

(15)

Es ist von grundlegender Bedeutung, dass die Systeme für die automatische Datenerhebung und andere im Rahmen dieser Verordnung eingerichtete Verfahren sich nicht negativ auf die Beschäftigten in der Luftfahrtbranche auswirken, denen Weiterbildungen und Umschulungen angeboten werden sollten, wodurch die Effizienz und Zuverlässigkeit der Datenerhebung und -übermittlung sowie die Arbeits- und Beschäftigungsbedingungen in der Branche verbessert würden.

(16)

Die Fluggäste sollten die Möglichkeit haben, mithilfe automatisierter Verfahren bestimmte API-Daten während eines Check-in-Prozesses online selbst bereitzustellen, beispielsweise über eine sichere App auf dem Smartphone des Fluggastes, einen Computer oder eine Webcam mit der Fähigkeit, die maschinenlesbaren Daten des Reisedokuments auszulesen. Wenn die Fluggäste die Online-Abfertigung nicht durchlaufen haben, sollten ihnen die Fluggesellschaften die Möglichkeit geben, die erforderlichen maschinenlesbaren API-Daten während des Check-in am Flughafen mithilfe eines Self-Service-Kiosks oder des Personals der Fluggesellschaft am Check-in-Schalter zur Verfügung zu stellen. Unbeschadet der Freiheit der Fluggesellschaften, Flugpreise zu bestimmen und ihre Geschäftspolitik festzulegen, ist es wichtig, dass die Verpflichtungen im Rahmen dieser Verordnung nicht zu unverhältnismäßigen Hindernissen, etwa zu zusätzlichen Gebühren für die Bereitstellung von API-Daten am Flughafen, für Fluggäste führen, die nicht in der Lage sind, API-Daten online zur Verfügung zu stellen. Darüber hinaus sollte in dieser Verordnung ein Übergangszeitraum vorgesehen werden, in dem die Fluggäste die Möglichkeit erhalten, API-Daten im Rahmen des Online-Check-in manuell bereitzustellen. In solchen Fällen sollten die Fluggesellschaften Techniken zur Verifizierung der Daten anwenden.

(17)

Zur Gewährleistung der Einhaltung der in der Charta verankerten Rechte und zur Sicherstellung barrierefreier und inklusiver Reisemöglichkeiten, insbesondere für schutzbedürftige Gruppen und Menschen mit Behinderungen, und im Einklang mit den in der Verordnung (EG) Nr. 1107/2006 des Europäischen Parlaments und des Rates (8) festgelegten Rechten von behinderten Flugreisenden und Flugreisenden mit eingeschränkter Mobilität sollten die Fluggesellschaften mit Unterstützung der Mitgliedstaaten sicherstellen, dass jederzeit eine Möglichkeit zur Bereitstellung der erforderlichen Daten durch Fluggäste am Flughafen zur Verfügung steht.

(18)

Angesichts der Vorteile des Einsatzes automatisierter Verfahren für die Erhebung maschinenlesbarer API-Daten und der Klarheit, die sich aus den im Rahmen dieser Verordnung zu erlassenden technischen Anforderungen in diesem Bereich ergeben, sollten Fluggesellschaften, die sich für die Verwendung automatisierter Verfahren zur Erhebung der gemäß der Richtlinie 2004/82/EG zu übermittelnden Informationen entscheiden, die Möglichkeit, aber nicht die Verpflichtung haben, diese Anforderungen nach ihrer Annahme im Zusammenhang mit einer solchen Verwendung automatisierter Verfahren anzuwenden, soweit die genannte Richtlinie anwendbar ist und dies zulässt. Eine solche freiwillige Anwendung dieser Verfahren gemäß der Richtlinie 2004/82/EG sollte nicht so verstanden werden, dass sie die den Fluggesellschaften und den Mitgliedstaaten aus dieser Richtlinie erwachsenden Verpflichtungen in irgendeiner Weise berührt.

(19)

Zur Gewährleistung der Wirksamkeit und Effizienz der von den zuständigen Grenzbehörden durchgeführten Vorabkontrollen sollten die an diese Behörden übermittelten API-Daten Daten von jenen Fluggästen enthalten, die die Außengrenzen tatsächlich überschreiten werden, d. h. von Fluggästen, die sich tatsächlich an Bord des Flugzeugs befinden, unabhängig davon, ob sich ihr Zielort innerhalb oder außerhalb der Union befindet. Daher sollten die Fluggesellschaften die API-Daten unverzüglich nach Abfertigungsschluss übermitteln. Darüber hinaus helfen API-Daten den zuständigen Grenzbehörden, legal reisende Fluggäste von Fluggästen zu unterscheiden, die möglicherweise von Interesse sind und daher zusätzlich überprüft werden müssen, was die weitere Koordinierung und Vorbereitung von bei der Ankunft zu ergreifenden Folgemaßnahmen erforderlich machen würde. Dieser Fall könnte z. B. bei einer unerwartet hohen Anzahl an Fluggästen von Interesse eintreten, deren physische Kontrollen an den Grenzen die Grenzübertrittskontrollen und die Wartezeiten an den Grenzen anderer, legal reisender Fluggäste beeinträchtigen könnten. Um den zuständigen Grenzbehörden die Vorbereitung angemessener und verhältnismäßiger Maßnahmen an der Grenze zu ermöglichen — wie z. B. die vorübergehende Verstärkung oder Umschichtung des Personals, insbesondere bei Flügen, bei denen die Zeit zwischen dem Abfertigungsschluss und der Ankunft an den Außengrenzen nicht zur Vorbereitung der am besten geeigneten Maßnahmen durch die zuständigen Grenzbehörden ausreicht —, sollten API-Daten auch vor dem Einsteigen zum Zeitpunkt des Check-in jedes Fluggastes übermittelt werden.

(20)

Um jegliches Missbrauchsrisiko zu abzuwenden und im Einklang mit dem Grundsatz der Zweckbindung sollten die zuständigen Grenzbehörden ausdrücklich daran gehindert werden, die im Rahmen dieser Verordnung empfangenen API-Daten zu anderen als den in dieser Verordnung ausdrücklich genannten Zwecken und anders als im Einklang mit den in der Verordnung (EU) 2016/399 genannten Vorschriften für die Mitgliedstaaten, für die diese Verordnung gilt, oder mit den betreffenden Vorschriften gemäß dem nationalen Recht, wenn die Verordnung nicht gilt, zu verarbeiten.

(21)

Damit die zuständigen Grenzbehörden für die wirksame Durchführung von Vorabkontrollen bei allen Fluggästen, auch bei Fluggästen mit Langstrecken- und Anschlussflügen, sowie für die Überprüfung der Genauigkeit, Vollständigkeit und Aktualität der von den Fluggesellschaften erhobenen und übermittelten API-Daten ausreichend Zeit haben und die Fluggesellschaften erforderlichenfalls um zusätzliche Klarstellungen, Korrekturen oder Ergänzungen ersuchen können, damit die API-Daten verfügbar bleiben, bis alle Fluggäste tatsächlich an der Grenzübergangsstelle erschienen sind, sollten die zuständigen Grenzbehörden die im Rahmen dieser Verordnung empfangenen API-Daten für einen festgelegten Zeitraum, der auf das für diese Zwecke absolut Notwendige beschränkt ist. In Ausnahmefällen, in denen einzelne Fluggäste nach der Landung nicht innerhalb eines solchen festgelegten Zeitraums an einer Grenzübergangsstelle erscheinen, sollten die Mitgliedstaaten ihren zuständigen Grenzbehörden die Möglichkeit geben können, die API-Daten dieser einzelnen Fluggäste so lange zu speichern, bis sie an einer Grenzübergangsstelle erscheinen, oder maximal für einen zusätzlichen festgelegten Zeitraum. Wenn die Mitgliedstaaten von dieser Möglichkeit Gebrauch machen wollen, sollten die Mitgliedstaaten dafür verantwortlich sein, geeignete Mittel zur Identifizierung dieser einzelnen Fluggäste einzurichten, um sicherzustellen, dass die längere Speicherung ihrer spezifischen API-Daten auf das absolut Notwendige beschränkt bleibt.

(22)

Um Ersuchen um zusätzliche Klarstellungen, Korrekturen oder Ergänzungen durch die zuständigen Grenzbehörden nachkommen zu können, sollten die Fluggesellschaften die im Rahmen dieser Verordnung übermittelten API-Daten für einen festgelegten und absolut notwendigen Zeitraum speichern. Darüber hinaus, und zur Verbesserung des Reiseerlebnisses rechtmäßig reisender Fluggäste, sollten die Fluggesellschaften die API-Daten im Einklang mit dem geltenden Recht und insbesondere der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (9) speichern und verwenden können, wenn dies für den normalen Geschäftsverlauf, insbesondere für Reiseerleichterungen, erforderlich ist.

(23)

Damit die Fluggesellschaften für die Übermittlung der im Rahmen dieser Verordnung erhobenen API-Daten nicht viele einzelne Anbindungen zu den zuständigen Grenzbehörden der Mitgliedstaaten einrichten und aufrechterhalten müssen und es nicht zu den damit verbundenen Ineffizienzen und Sicherheitsrisiken kommt, sollte im Einklang mit dieser Verordnung und der Verordnung (EU) 2025/13 des Europäischen Parlaments und des Rates (10) als Anschluss- und Verteilungspunkt für diese Übermittlung nur ein einziger Router auf Unionsebene eingerichtet und betrieben werden. Im Interesse der Effizienz und Kosteneffizienz sollte sich der Router, soweit technisch möglich und unter uneingeschränkter Einhaltung der Vorschriften dieser Verordnung und der Verordnung (EU) 2025/13 auf technische Komponenten anderer einschlägiger Systeme stützen, die nach dem Unionsrecht geschaffen wurden, insbesondere den Web-Dienst gemäß der Verordnung (EU) 2017/2226 des Europäischen Parlaments und des Rates (11), den Zugang für Beförderungsunternehmen gemäß der Verordnung (EU) 2018/1240 des Europäischen Parlaments und des Rates (12) und den Zugang für Beförderungsunternehmen gemäß der Verordnung (EG) Nr. 767/2008 des Europäischen Parlaments und des Rates (13). Zur Verringerung der Auswirkungen auf die Fluggesellschaften und zur Sicherstellung eines einheitlichen Ansatzes für sie sollte die durch die Verordnung (EU) 2018/1726 des Europäischen Parlaments und des Rates (14) eingerichtete Agentur der Europäischen Union für das Betriebsmanagement von IT-Großsystemen im Raum der Freiheit, der Sicherheit und des Rechts (eu-LISA) den Router — soweit technisch und betrieblich möglich — in einer Weise konzipieren, die im Einklang mit den Verpflichtungen steht, die den Fluggesellschaften aus den Verordnungen (EG) Nr. 767/2008, (EU) 2017/2226 und (EU) 2018/1240 erwachsen.

(24)

Um die Effizienz der Übertragung von Flugverkehrsdaten zu verbessern und die Überwachung der an die zuständigen Grenzbehörden übertragenen API-Daten zu unterstützen, sollte der Router von anderen Organisationen wie der Europäischen Organisation für Flugsicherung (Eurocontrol) erhobene Echtzeit-Flugverkehrsdaten empfangen.

(25)

Gemäß der vorliegenden Verordnung sollte der Router die API-Daten automatisch an die jeweils zuständigen Grenzbehörden übertragen, die auf der Grundlage der Grenzübergangsstelle der Einreise in das Hoheitsgebiet eines Mitgliedstaats bestimmt werden sollten, die in den betreffenden API-Daten enthalten ist. Um diesen Verteilungsprozess zu erleichtern, sollte jeder Mitgliedstaat angeben, welche Grenzbehörden für den Empfang der vom Router übertragenen API-Daten zuständig sind. Mitgliedstaaten können ein zentrales Dateneingangsportal einrichten, über das die von dem Router übermittelten API-Daten eingehen und von dem diese Daten unverzüglich und automatisch an die zuständigen Grenzbehörden des betreffenden Mitgliedstaats weitergeleitet werden. Um das ordnungsgemäße Funktionieren dieser Verordnung zu gewährleisten und im Interesse der Transparenz sollten die Informationen über die zuständigen Grenzbehörden veröffentlicht werden.

(26)

Der Router sollte nur dazu dienen, die Übermittlung von API-Daten von den Fluggesellschaften an die zuständigen Grenzbehörden gemäß dieser Verordnung zu erleichtern, und keine API-Daten abspeichern. Um das Risiko eines unbefugten Zugriffs oder sonstigen Missbrauchs möglichst gering zu halten und gemäß dem Grundsatz der Datenminimierung, sollte daher keine Speicherung stattfinden, es sei denn, sie wird auf das für technische Zwecke im Zusammenhang mit der Übertragung absolut Notwendige beschränkt, und die API-Daten sollten unverzüglich, dauerhaft und automatisch von dem Router gelöscht werden, sobald die Übertragung abgeschlossen ist.

(27)

Damit die Fluggesellschaften so bald wie möglich von den Vorteilen der Nutzung des von der eu-LISA gemäß dieser Verordnung und der Verordnung (EU) 2025/13 entwickelten Routers profitieren und Erfahrungen mit dessen Nutzung sammeln können, sollten die Fluggesellschaften während eines Übergangszeitraums die Möglichkeit, aber nicht die Verpflichtung haben, den Router zur Übermittlung der Informationen zu nutzen, die sie im Rahmen der Richtlinie 2004/82/EG übermitteln müssen. Dieser Übergangszeitraum sollte beginnen, sobald der Router seinen Betrieb aufnimmt, und enden, wenn die Verpflichtungen aus der genannten Richtlinie nicht mehr gelten. Damit eine solche freiwillige Nutzung des Routers in verantwortungsvoller Weise erfolgt, sollte die vorherige schriftliche Zustimmung des Mitgliedstaats, der die Informationen erhalten soll, auf Antrag der Fluggesellschaft und gegebenenfalls nachdem dieser Mitgliedstaat Überprüfungen durchgeführt und Zusicherungen eingeholt hat, erforderlich sein. Damit Fluggesellschaften die Nutzung des Routers nicht wiederholt beginnen und beenden, sollten sie, sobald sie mit der Nutzung auf freiwilliger Basis begonnen haben, verpflichtet werden, diese fortzusetzen, es sei denn, es liegen objektive Gründe vor, den Router nicht mehr für die Übermittlung der Informationen an die betreffenden zuständigen Behörden des Mitgliedstaats zu verwenden, z. B. wenn sich herausstellt, dass die Informationen nicht rechtmäßig, sicher, wirksam und rasch übermittelt werden. Im Interesse der ordnungsgemäßen Anwendung der Möglichkeit der freiwilligen Nutzung des Routers und unter gebührender Berücksichtigung der Rechte und Interessen aller betroffenen Parteien sollte mit dieser Verordnung das dafür erforderliche Regelwerk für Beratung und für die Bereitstellung von Informationen geschaffen werden. Eine solche freiwillige Nutzung des Routers gemäß der Richtlinie 2004/82/EG, wie sie diese Verordnung vorsieht, sollte nicht so verstanden werden, dass sie die den Fluggesellschaften und den Mitgliedstaaten aus dieser Richtlinie erwachsenden Verpflichtungen in irgendeiner Weise berührt.

(28)

Der Router, der gemäß dieser Verordnung und der Verordnung (EU) 2025/13 einzurichten und zu betreiben ist, sollte so konzipiert sein, dass die für die Übermittlung der API-Daten im Rahmen dieser Verordnung nötigen technischen Anbindungen reduziert und vereinfacht werden; diese sollten sich auf eine einzige Anbindung je Fluggesellschaft und je zuständiger Grenzbehörde beschränken. Deshalb sollten die zuständigen Grenzbehörden und die Fluggesellschaften mit dieser Verordnung verpflichtet werden, eine solche Anbindung an den Router einzurichten und die dafür erforderlichen Anpassungen vorzunehmen, damit das mit dieser Verordnung eingerichtete System zur Übermittlung von API-Daten ordnungsgemäß funktionieren kann. Die Konzeption und Entwicklung des Routers durch die eu-LISA sollte die wirksame und effiziente Anbindung und Anpassung der Systeme und Infrastrukturen der Fluggesellschaften ermöglichen, indem alle einschlägigen Standards und technischen Anforderungen festgelegt werden. Um das ordnungsgemäße Funktionieren des durch diese Verordnung geschaffenen Systems zu gewährleisten, sollten detaillierte Vorschriften festgelegt werden. Im Zuge der Konzeption und Entwicklung des Routers sollte die eu-LISA dafür sorgen, dass die von den Fluggesellschaften und an die zuständigen Grenzbehörden übertragenen API-Daten in verschlüsselter Form übertragen werden.

(29)

Angesichts der in Rede stehenden Interessen der Union sollten alle Kosten, die der eu-LISA bei der Wahrnehmung ihrer Aufgaben gemäß dieser Verordnung in Bezug auf den Router entstehen, vom Unionshaushalt getragen werden, einschließlich der Kosten für die Konzeption und Entwicklung des Routers, das Hosting und die technische Verwaltung des Routers sowie für die Governance-Struktur der eu-LISA zur Unterstützung der Konzeption und Entwicklung, des Hostings und der technischen Verwaltung des Routers. Dies kann nach Maßgabe des anwendbaren Unionsrechts auch Kosten einbeziehen, die den Mitgliedstaaten im Zusammenhang mit ihrer Anbindung und Anpassung an den Router sowie der Wartung des Routers gemäß dieser Verordnung entstehen. Es ist wichtig, dass die Mitgliedstaaten für diese Kosten aus dem Unionshaushalt eine angemessene finanzielle Unterstützung erhalten. Zu diesem Zweck sollte der Finanzbedarf der Mitgliedstaaten aus dem Gesamthaushaltsplan der Union im Einklang mit den in den einschlägigen Rechtsakten der Union festgelegten Bestimmungen über die Förderfähigkeit und Kofinanzierungssätzen gedeckt werden. Der der eu-LISA jährlich zugewiesene EU-Beitrag sollte den Bedarf im Zusammenhang mit dem Hosting und der technischen Verwaltung des Routers auf der Grundlage einer von der eu-LISA durchgeführten Bewertung decken. Die Haushaltsmittel der Union sollten auch die Unterstützung von Fluggesellschaften und den zuständigen Grenzbehörden durch die eu-LISA, etwa durch Schulungen, abdecken, um die wirksame Übermittlung und Übertragung von API-Daten über den Router zu ermöglichen. Die Kosten, die den unabhängigen nationalen Aufsichtsbehörden im Zusammenhang mit den ihnen gemäß dieser Verordnung übertragenen Aufgaben entstehen, sollten von den betreffenden Mitgliedstaaten getragen werden.

(30)

Es ist nicht auszuschließen, dass die zentrale Infrastruktur, eine der technischen Komponenten des Routers oder die Kommunikationsinfrastruktur, mit denen die zuständigen Grenzbehörden und die Fluggesellschaften an den Router angebunden werden, aufgrund außergewöhnlicher Umstände und trotz aller angemessenen Maßnahmen gemäß dieser Verordnung nicht ordnungsgemäß funktionieren und es dadurch der Fluggesellschaft oder der zuständigen Grenzbehörde technisch unmöglich wird, API-Daten zu übermitteln bzw. zu empfangen. Wenn der Router nicht zur Verfügung steht und es den Fluggesellschaften somit in der Regel nach vernünftigem Ermessen unmöglich ist, die vom Ausfall betroffenen API-Daten rechtmäßig, sicher, wirksam und rasch auf andere Weise zu übermitteln, sollte die Verpflichtung der Fluggesellschaften zur Übermittlung dieser API-Daten an den Router ausgesetzt werden, solange das technisch nicht möglich ist. Um jedoch die Verfügbarkeit von API-Daten zu gewährleisten, die für die Verbesserung und Erleichterung der Wirksamkeit und Effizienz der Grenzübertrittskontrollen an den Außengrenzen sowie zur Bekämpfung der illegalen Einwanderung erforderlich sind, sollten die Fluggesellschaften weiterhin API-Daten erheben und speichern, damit diese übermittelt werden können, sobald dies technisch wieder möglich ist. Um die Dauer und die negativen Folgen eines jeglichen technischen Versagens möglichst gering zu halten, sollten die Betroffenen in einem solchen Fall einander unverzüglich unterrichten und die erforderlichen Maßnahmen ergreifen, um das technische Versagen zu beheben. Von dieser Regelung sollten die in dieser Verordnung verankerten Verpflichtungen aller betroffenen Parteien, für den ordnungsgemäßen Betrieb des Routers und seiner jeweiligen Systeme und Infrastruktur zu sorgen, unberührt bleiben, ebenso die Tatsache, dass gegen die Fluggesellschaften Sanktionen verhängt werden können, wenn sie diesen Verpflichtungen nicht nachkommen, und zwar auch dann, wenn sie sich in ungerechtfertigter Weise auf diese Regelung berufen. Zur Vorbeugung von Missbrauch und zur Erleichterung der Aufsicht und erforderlichenfalls der Verhängung von Sanktionen sollten die Fluggesellschaften der zuständigen Aufsichtsbehörde melden, wenn sie sich aufgrund eines Ausfalls ihres eigenen Systems oder ihrer eigenen Infrastruktur auf diese Regelung berufen.

(31)

Unterhalten Fluggesellschaften für die Übermittlung von API-Daten direkte Anbindungen an die zuständigen Grenzbehörden, so können diese Anbindungen geeignete Mittel bieten, die das erforderliche Maß an Datensicherheit gewährleisten, damit API-Daten direkt an die zuständigen Grenzbehörden übermittelt werden können, falls die Nutzung des Routers technisch nicht möglich ist. Die zuständigen Grenzbehörden sollten Fluggesellschaften in Ausnahmefällen, in denen es technisch nicht möglich ist, den Router zu nutzen, auffordern können, diese geeigneten Mittel einzusetzen. Dies sollte nicht bedeuten, dass die Fluggesellschaften verpflichtet sind, solche direkten Anbindungen oder andere geeignete Mittel aufrechtzuerhalten oder aufzubauen, die das erforderliche Maß an Datensicherheit gewährleisten, damit API-Daten direkt an die zuständigen Grenzbehörden übermittelt werden können. Bei der Übermittlung von API-Daten durch andere geeignete Mittel im Ausnahmefall, wie z. B. durch eine verschlüsselte E-Mail oder ein sicheres Webportal, unter Ausschluss der Verwendung nicht standardisierter elektronischer Formate, sollte das erforderliche Maß an Datensicherheit, Datenqualität und Datenschutz gewährleistet werden. API-Daten, die die zuständigen Grenzbehörden auf andere geeignete Weise empfangen, sollten im Einklang mit den Vorschriften und Datenschutzvorkehrungen der Verordnung (EU) 2016/399 und dem geltenden nationalen Recht weiterverarbeitet werden. Wenn die eu-LISA mitgeteilt hat, dass das technische Versagen erfolgreich behoben wurde, und bestätigt wurde, dass die Übertragung der API-Daten über den Router an die zuständige Grenzbehörde abgeschlossen ist, sollte die zuständige Grenzbehörde die API-Daten, die sie zuvor durch andere geeignete Mittel empfangen hat, unverzüglich löschen. Diese Löschung sollte bestimmte Fälle unberührt lassen, in denen API-Daten, die die zuständigen Grenzbehörden durch andere geeignete Mittel empfangen haben, inzwischen im Einklang mit der Verordnung (EU) 2016/679 weiterverarbeitet wurden, um die Wirksamkeit und Effizienz der Grenzübertrittskontrollen an den Außengrenzen zu verbessern und zu erleichtern und die illegale Einwanderung zu bekämpfen.

(32)

Im Interesse der Achtung des Grundrechts auf den Schutz personenbezogener Daten sollten in der vorliegenden Verordnung der Verantwortliche und der Auftragsverarbeiter bestimmt und Vorschriften für Überprüfungen festgelegt werden. Damit eine wirksame Kontrolle stattfinden kann, die personenbezogenen Daten ausreichend geschützt und die Sicherheitsrisiken möglichst klein gehalten werden, sollten auch Vorschriften für die Protokollierung, die Sicherheit der Datenverarbeitung und die Selbstkontrolle erlassen werden. Soweit sich diese Vorschriften auf die Verarbeitung personenbezogener Daten beziehen, sollten sie im Einklang mit den allgemein geltenden Rechtsakten der Union über den Schutz personenbezogener Daten stehen, insbesondere der Verordnung (EU) 2016/679 und der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates (15).

(33)

Unbeschadet spezifischerer Vorschriften der vorliegenden Verordnung für die Verarbeitung personenbezogener Daten sollte die Verordnung (EU) 2016/679 für die Verarbeitung personenbezogener Daten durch die Mitgliedstaaten und die Fluggesellschaften im Rahmen dieser Verordnung gelten. Für die Verarbeitung personenbezogener Daten durch die eu-LISA bei der Wahrnehmung ihrer Aufgaben aufgrund der vorliegenden Verordnung sollte die Verordnung (EU) 2018/1725 gelten.

(34)

Unter Berücksichtigung des Rechts der Fluggäste, über die Verarbeitung ihrer personenbezogenen Daten informiert zu werden, sollten die Mitgliedstaaten sicherstellen, dass den Fluggästen zum Zeitpunkt der Buchung und zum Zeitpunkt des Check-in genaue, leicht zugängliche und leicht verständliche Informationen über die Erhebung von API-Daten, die Übermittlung dieser Daten an die zuständigen Grenzschutzbehörden und ihre Rechte als betroffene Personen zur Verfügung gestellt werden.

(35)

Die Überprüfungen in Bezug auf den Schutz personenbezogener Daten, für die die Mitgliedstaaten zuständig sind, sollten von den in Artikel 51 der Verordnung (EU) 2016/679 genannten unabhängigen Aufsichtsbehörden oder von einer von der Aufsichtsbehörde mit dieser Aufgabe betrauten Prüfstelle durchgeführt werden.

(36)

Die Verarbeitungsvorgänge im Rahmen dieser Verordnung, d. h. die Übertragung von API-Daten von Fluggesellschaften über den Router an die zuständigen Grenzbehörden der Mitgliedstaaten, dienen der Unterstützung dieser Behörden bei der Erfüllung ihrer Verpflichtungen im Rahmen des Grenzmanagements und bei der Bekämpfung der illegalen Einwanderung. Daher sollten die Mitgliedstaaten Behörden benennen, die für die Verarbeitung der Daten im Router, die Übertragung der Daten vom Router an die zuständigen Grenzbehörden und die anschließende Verarbeitung dieser Daten verantwortlich sind, um die Grenzübertrittskontrollen an den Außengrenzen zu verbessern und zu erleichtern. Die Mitgliedstaaten sollten der Kommission und der eu-LISA mitteilen, welche Behörden sie benannt haben. Für die Verarbeitung personenbezogener Daten im Router sollten die Mitgliedstaaten gemeinsam Verantwortliche gemäß Artikel 26 der Verordnung (EU) 2016/679 sein. Separat sollten die Fluggesellschaften ihrerseits Verantwortliche für die Verarbeitung von API-Daten sein, bei denen es sich um personenbezogene Daten nach der genannten Verordnung handelt. Auf dieser Grundlage sollten voneinander unabhängig sowohl die Fluggesellschaften als auch die zuständigen Grenzbehörden Verantwortliche für die Verfahren zur Verarbeitung von API-Daten nach dieser Verordnung sein. Da die eu-LISA für die Konzeption, die Entwicklung, das Hosting und die technische Verwaltung des Routers verantwortlich ist, sollte sie Auftragsverarbeiterin für die Verarbeitung von API-Daten, bei denen es sich um personenbezogene Daten handelt, über den Router sein, einschließlich der Übertragung der Daten vom Router an die zuständigen Grenzbehörden und der Speicherung dieser Daten auf dem Router, sofern eine solche Speicherung für technische Zwecke erforderlich ist.

(37)

Um sicherzustellen, dass die Fluggesellschaften die Vorschriften dieser Verordnung befolgen, sollte die Benennung und Ermächtigung von nationalen Behörden geregelt werden, die als nationale API-Aufsichtsbehörden mit der Aufsicht über diese Vorschriften betraut werden. Die Mitgliedstaaten können ihre zuständigen Grenzbehörden als nationale API-Aufsichtsbehörden benennen. Die Vorschriften dieser Verordnung, in denen eine solche Aufsicht, einschließlich gegebenenfalls der Verhängung von Sanktionen, geregelt ist, sollten die Aufgaben und Befugnisse der nach Maßgabe der Verordnung (EU) 2016/679 eingerichteten Aufsichtsbehörden unberührt lassen, auch in Bezug auf die Verarbeitung personenbezogener Daten gemäß der vorliegenden Verordnung.

(38)

Die Mitgliedstaaten sollten wirksame, verhältnismäßige und abschreckende Sanktionen, darunter auch finanzielle und nichtfinanzielle Sanktionen, gegen Fluggesellschaften vorsehen, die ihren Verpflichtungen gemäß dieser Verordnung nicht nachkommen, auch in Bezug auf die automatisierte Erhebung von API-Daten und die Übermittlung der Daten unter Berücksichtigung der vorgeschriebenen Fristen, Formate und Protokolle. Insbesondere sollten die Mitgliedstaaten sicherstellen, dass gegen Fluggesellschaften, die als juristische Person wiederholt gegen die Verpflichtung verstoßen, API-Daten gemäß dieser Verordnung an den Router zu übermitteln, verhältnismäßige finanzielle Sanktionen in Höhe von bis zu 2 % des Gesamtumsatzes der Fluggesellschaft im vorangegangenen Geschäftsjahr verhängt werden. Darüber hinaus sollten die Mitgliedstaaten gegen Fluggesellschaften Sanktionen, darunter auch finanzielle Sanktionen, wegen anderer Formen der Nichteinhaltung der Verpflichtungen nach dieser Verordnung verhängen können.

(39)

Bei der Festlegung der Vorschriften über die Sanktionen, die gemäß dieser Verordnung gegen Fluggesellschaften zu verhängen sind, könnten die Mitgliedstaaten die technische und betriebliche Durchführbarkeit der Sicherstellung einer vollständigen Korrektheit der Daten berücksichtigen. Darüber hinaus sollte bei der Verhängung von Sanktionen deren Anwendung und Höhe bestimmt werden. Nationale API-Aufsichtsbehörden könnten den von der Fluggesellschaft zur Minderung des Problems ergriffenen Maßnahmen sowie dem Umfang ihrer Zusammenarbeit mit den nationalen Behörden Rechnung tragen.

(40)

Für die Zwecke dieser Verordnung und der Verordnung (EU) 2025/13 sollte es eine einheitliche Governance-Struktur geben. Um die Kommunikation zwischen den Vertretern der Fluggesellschaften und den nach dieser Verordnung und der Verordnung (EU) 2025/13 für die Übertragung von API-Daten durch den Router zuständigen Vertretern der Behörden der Mitgliedstaaten zu ermöglichen und zu fördern, sollten spätestens zwei Jahre nach Inbetriebnahme des Routers zwei spezielle Gremien eingerichtet werden. Technische Fragen im Zusammenhang mit der Nutzung und Funktionsweise des Routers sollten in der API-PNR-Kontaktgruppe erörtert werden, an der auch Vertreter der eu-LISA teilnehmen sollten. Fragen der Vorgehensweise wie zum Beispiel im Zusammenhang mit Sanktionen sollten in der API-Expertengruppe erörtert werden.

(41)	Da diese Verordnung die Festlegung neuer Vorschriften für die Erhebung und Übermittlung von API-Daten zur Verbesserung und Erleichterung der Wirksamkeit und Effizienz der Grenzübertrittskontrollen an den Außengrenzen vorsieht, sollte die Richtlinie 2004/82/EG aufgehoben werden.

(42)

Da der Router von der eu-LISA konzipiert, entwickelt, gehostet und technisch verwaltet werden sollte, muss die Verordnung (EU) 2018/1726 geändert und diese Aufgabe zu den Aufgaben der eu-LISA hinzugefügt werden. Zur Speicherung der Berichte und Statistiken des Routers im mit der Verordnung (EU) 2019/817 des Europäischen Parlaments und des Rates (16) eingerichteten zentralen Speicher für Berichte und Statistiken (CRRS) muss die genannte Verordnung geändert werden. Um die Durchsetzung dieser Verordnung durch die nationalen API-Aufsichtsbehörden zu unterstützen, ist es erforderlich, dass die Änderungen der Verordnung (EU) 2019/817 Bestimmungen zu Statistiken darüber umfassen, ob die API-Daten korrekt und vollständig sind, z. B. indem angegeben wird, ob die Daten mit automatisierten Verfahren erhoben wurden. Es ist zudem wichtig, dass bezüglich der Durchführung dieser Verordnung zuverlässige und nützliche Statistiken erstellt werden, um zur Erreichung der Ziele dieser Verordnung beizutragen und die darin vorgesehenen Evaluierungen mit Informationen zu unterfüttern. Solche Statistiken sollten keine personenbezogenen Daten enthalten. Daher sollten Statistiken auf der Grundlage von API-Daten über den CRRS nur zum Zwecke der Durchführung dieser Verordnung und der wirksamen Aufsicht über ihre Anwendung bereitgestellt werden. Anhand der Daten, die der Router zu diesem Zweck automatisch an den CRRS überträgt, sollte keine Identifizierung der betreffenden Fluggäste möglich sein.

(43)

Um für mehr Klarheit und Rechtssicherheit zu sorgen, einen Beitrag zur Gewährleistung der Datenqualität zu leisten, die verantwortungsvolle Nutzung der automatisierten Mittel für die Erhebung maschinenlesbarer API-Daten im Rahmen dieser Verordnung und die manuelle Erhebung von API-Daten unter außergewöhnlichen Umständen und während des Übergangszeitraums sicherzustellen, um Klarheit in Bezug auf die technischen Anforderungen zu schaffen, die für die Fluggesellschaften gelten und für die sichere, wirksame und rasche Übermittlung der von ihnen gemäß dieser Verordnung erhobenen API-Daten an den Router erforderlich sind, und um sicherzustellen, dass nicht korrekte, unvollständige oder nicht mehr aktuelle Daten berichtigt bzw. vervollständigt oder aktualisiert werden, sollte der Kommission die Befugnis übertragen werden, gemäß Artikel 290 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) Rechtsakte zu erlassen, um den Übergangszeitraum für die manuelle Erhebung von API-Daten zu beenden; um Vorgaben bezüglich der technischen Anforderungen und Betriebsvorschriften zu erlassen, die die Fluggesellschaften bei der Nutzung automatisierter Mittel zur Erhebung maschinenlesbarer API-Daten im Rahmen dieser Verordnung, der manuellen Erhebung von API-Daten unter außergewöhnlichen Umständen und der Erhebung von API-Daten im Übergangszeitraum einhalten sollten, einschließlich Anforderungen an die Datensicherheit; um detaillierte Vorschriften bezüglich der gemeinsamen Protokolle und der unterstützten Datenformate festzulegen, die für die verschlüsselte Übermittlung von API-Daten durch Fluggesellschaften zu verwenden sind, einschließlich Anforderungen an die Datensicherheit; und um detaillierte Vorschriften für die Berichtigung, Vervollständigung und Aktualisierung von API-Daten festzulegen. Es ist von besonderer Bedeutung, dass die Kommission im Zuge ihrer Vorbereitungsarbeit angemessene Konsultationen mit relevanten Interessenträgern, einschließlich Fluggesellschaften, auch auf der Ebene von Sachverständigen, durchführt, die mit den in der Interinstitutionellen Vereinbarung vom 13. April 2016 über bessere Rechtsetzung (17) niedergelegten Grundsätzen vereinbar sind. Um insbesondere für eine gleichberechtigte Beteiligung an der Vorbereitung delegierter Rechtsakte zu sorgen, erhalten das Europäische Parlament und der Rat alle Dokumente zur gleichen Zeit wie die Sachverständigen der Mitgliedstaaten, und ihre Sachverständigen haben systematisch Zugang zu den Sitzungen der Sachverständigengruppen der Kommission, die mit der Vorbereitung der delegierten Rechtsakte befasst sind. Unter Berücksichtigung des Stands der Technik können sich diese technischen Anforderungen und Betriebsvorschriften im Laufe der Zeit ändern.

(44)

Zur Gewährleistung einheitlicher Bedingungen für die Durchführung dieser Verordnung, insbesondere hinsichtlich der Inbetriebnahme des Routers, der technischen Vorschriften und Betriebsvorschriften für die Überprüfung von Daten und für Benachrichtigungen, der technischen Vorschriften und Betriebsvorschriften für die Übertragung von API-Daten vom Router an die zuständigen Grenzbehörden in einer Weise, die eine sichere, wirksame und rasche Übertragung gewährleistet und sich nicht mehr als nötig auf die Reisen der Fluggäste und die Fluggesellschaften auswirkt, sowie der Anbindungen der zuständigen Grenzbehörden und Fluggesellschaften zum Router und der entsprechenden Anpassungen daran und zur Festlegung der Zuständigkeiten der Mitgliedstaaten als gemeinsam für die Verarbeitung Verantwortliche, z. B. in Bezug auf die Feststellung und Bewältigung von Sicherheitsvorfällen, einschließlich Verletzungen des Schutzes personenbezogener Daten, sowie des Verhältnisses zwischen den gemeinsam Verantwortlichen und der eu-LISA als Auftragsverarbeiterin, einschließlich der Unterstützung der für die Verarbeitung Verantwortlichen durch die eu-LISA mit geeigneten technischen und organisatorischen Maßnahmen, soweit dies möglich ist, um den Verpflichtungen der für die Verarbeitung Verantwortlichen zur Bearbeitung von Anträgen auf Ausübung der Rechte der betroffenen Person nachzukommen, sollten der Kommission Durchführungsbefugnisse übertragen werden. Diese Befugnisse sollten im Einklang mit der Verordnung (EU) Nr. 182/2011 des Europäischen Parlaments und des Rates (18) ausgeübt werden.

(45)

Allen interessierten Parteien, insbesondere den Fluggesellschaften und den zuständigen Grenzbehörden, sollte ausreichend Zeit eingeräumt werden, damit sie die notwendigen Vorbereitungen treffen können, um ihren jeweiligen Verpflichtungen aus dieser Verordnung nachkommen zu können, wobei zu berücksichtigen ist, dass manche Vorbereitungen, etwa in Bezug auf die Verpflichtung zur Anbindung und Anpassung an den Router, erst dann abgeschlossen werden können, wenn die Planungs- und Entwicklungsphase des Routers beendet ist und er in Betrieb genommen wird. Deshalb sollte die vorliegende Verordnung erst nach einer angemessenen Frist nach der von der Kommission gemäß dieser Verordnung und der Verordnung (EU) 2025/13 festgelegten Inbetriebnahme des Routers zur Anwendung kommen. Die Kommission sollte jedoch die Möglichkeit haben, bereits ab einem früheren Zeitpunkt delegierte Rechtsakte und Durchführungsrechtsakte im Rahmen der vorliegenden Verordnung zu erlassen, um sicherzustellen, dass das mit dieser Verordnung eingerichtete System so bald wie möglich einsatzbereit ist.

(46)

Die Phasen der Konzeption und Entwicklung des in der vorliegenden Verordnung und der Verordnung (EU) 2025/13 vorgesehenen Routers sollten schnellstmöglich begonnen und abgeschlossen werden, damit der Router den Betrieb so bald wie möglich aufnehmen kann; dies erfordert auch die Annahme der in dieser Verordnung vorgesehenen einschlägigen delegierten Rechtsakte und Durchführungsrechtsakte. Für einen reibungslosen und wirksamen Ablauf dieser Phasen sollte ein spezieller Programmverwaltungsrat eingerichtet werden, der dafür zuständig ist, die eu-LISA bei der Erfüllung ihrer Aufgaben in diesen Phasen zu überwachen. Er sollte zwei Jahre nach Aufnahme des Betriebs des Routers aufgelöst werden. Darüber hinaus sollte ein spezielles Beratungsgremium, die API-PNR-Beratergruppe, gemäß der Verordnung (EU) 2018/1726 eingerichtet werden, um der eu-LISA und dem Programmverwaltungsrat Fachwissen über die Phasen der Konzeption und Entwicklung des Routers sowie der eu-LISA Fachwissen in Bezug auf das Hosting und die Verwaltung des Routers zur Verfügung zu stellen. Der Programmverwaltungsrat und die API-PNR-Beratergruppe sollten in Anlehnung an bestehende Programmverwaltungsräte und Beratungsgruppen eingerichtet und betrieben werden.

(47)

Diese Verordnung sollte regelmäßigen Evaluierungen unterliegen, um sicherzustellen, dass ihre wirksame Anwendung überwacht wird. Insbesondere sollte die Erhebung von API-Daten nicht zulasten des Reiseerlebnisses rechtmäßig reisender Fluggäste gehen. Daher sollte die Kommission eine Bewertung der Auswirkungen dieser Verordnung auf das Reiseerlebnis rechtmäßig reisender Fluggäste in ihre regelmäßigen Evaluierungsberichte über die Anwendung dieser Verordnung aufnehmen. Die Evaluierung sollte auch eine Bewertung der Qualität der vom Router übermittelten Daten sowie der Leistung des Routers in Bezug auf die zuständigen Grenzbehörden umfassen.

(48)

Die in dieser Verordnung vorgesehene Klarstellung in Bezug auf die Anwendung von Bestimmungen für die Nutzung automatisierter Verfahren bei der Anwendung der Richtlinie 2004/82/EG sollte ebenfalls unverzüglich erfolgen. Daher sollten die diesbezüglichen Bestimmungen ab dem Tag des Inkrafttretens dieser Verordnung gelten. Damit der Router so bald wie möglich freiwillig genutzt werden kann, sollten außerdem die Bestimmungen über eine solche Nutzung sowie bestimmte andere, für die Gewährleistung der verantwortungsvollen Nutzung erforderliche Bestimmungen ab dem frühestmöglichen Zeitpunkt gelten, d. h. ab der Inbetriebnahme des Routers.

(49)

Da diese Verordnung zusätzliche Anpassungs- und Verwaltungskosten für die Fluggesellschaften mit sich bringt, sollte der Regelungsaufwand für die Luftverkehrsbranche insgesamt fortlaufend genau überprüft werden. Vor diesem Hintergrund sollte in dem Bericht zur Evaluierung des Funktionierens dieser Verordnung geprüft werden, inwieweit die Ziele dieser Verordnung erreicht wurden und inwieweit sie sich auf die Wettbewerbsfähigkeit der Branche ausgewirkt hat.

(50)	Diese Verordnung lässt die Zuständigkeiten der Mitgliedstaaten in Bezug auf nationale Rechtsvorschriften über die nationale Sicherheit unberührt, sofern diese Rechtsvorschriften mit dem Unionsrecht vereinbar sind.

(51)	Diese Verordnung lässt die Zuständigkeit der Mitgliedstaaten unberührt, gemäß ihren nationalen Rechtsvorschriften Fluggastdaten von anderen als den in dieser Verordnung genannten Beförderungsunternehmen zu erheben, sofern diese nationalen Rechtsvorschriften mit dem Unionsrecht vereinbar sind.

(52)

Da die Ziele dieser Verordnung, nämlich die Verbesserung und Erleichterung der Wirksamkeit und Effizienz der Grenzübertrittskontrollen an den Außengrenzen und die Bekämpfung der illegalen Einwanderung von den Mitgliedstaaten nicht ausreichend verwirklicht werden können, sondern vielmehr auf Unionsebene zu verwirklichen sind, kann die Union im Einklang mit dem in Artikel 5 des Vertrags über die Europäische Union (EUV) verankerten Subsidiaritätsprinzip tätig werden. Entsprechend dem in demselben Artikel genannten Grundsatz der Verhältnismäßigkeit geht diese Verordnung nicht über das für die Verwirklichung dieser Ziele erforderliche Maß hinaus.

(53)

Nach den Artikeln 1 und 2 des dem EUV und dem AEUV beigefügten Protokolls Nr. 22 über die Position Dänemarks beteiligt sich Dänemark nicht an der Annahme dieser Verordnung und ist weder durch diese Verordnung gebunden noch zu ihrer Anwendung verpflichtet. Da diese Verordnung den Schengen-Besitzstand ergänzt, beschließt Dänemark gemäß Artikel 4 des genannten Protokolls innerhalb von sechs Monaten, nachdem der Rat diese Verordnung angenommen hat, ob es sie in nationales Recht umsetzt.

(54)	Irland beteiligt sich an dieser Verordnung im Einklang mit Artikel 5 Absatz 1 des dem EUV und dem AEUV beigefügten Protokolls Nr. 19 über den in den Rahmen der Europäischen Union einbezogenen Schengen-Besitzstand sowie gemäß Artikel 6 Absatz 2 des Beschlusses 2002/192/EG des Rates (19).

(55)

Für Island und Norwegen stellt diese Verordnung eine Weiterentwicklung der Bestimmungen des Schengen-Besitzstands im Sinne des Übereinkommens zwischen dem Rat der Europäischen Union sowie der Republik Island und dem Königreich Norwegen über die Assoziierung der beiden letztgenannten Staaten bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands (20) dar, die zu dem in Artikel 1 Buchstabe A des Beschlusses 1999/437/EG des Rates (21) genannten Bereich gehören.

(56)

Für die Schweiz stellt diese Verordnung eine Weiterentwicklung der Bestimmungen des Schengen-Besitzstands im Sinne des Abkommens zwischen der Europäischen Union, der Europäischen Gemeinschaft und der Schweizerischen Eidgenossenschaft über die Assoziierung der Schweizerischen Eidgenossenschaft bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands (22) dar, die zu dem in Artikel 1 Buchstabe A des Beschlusses 1999/437/EG in Verbindung mit Artikel 3 des Beschlusses 2008/146/EG des Rates (23) genannten Bereich gehören.

(57)

Für Liechtenstein stellt diese Verordnung eine Weiterentwicklung der Bestimmungen des Schengen-Besitzstands im Sinne des Protokolls zwischen der Europäischen Union, der Europäischen Gemeinschaft, der Schweizerischen Eidgenossenschaft und dem Fürstentum Liechtenstein über den Beitritt des Fürstentums Liechtenstein zu dem Abkommen zwischen der Europäischen Union, der Europäischen Gemeinschaft und der Schweizerischen Eidgenossenschaft über die Assoziierung der Schweizerischen Eidgenossenschaft bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands (24) dar, die zu dem in Artikel 1 Buchstabe A des Beschlusses 1999/437/EG in Verbindung mit Artikel 3 des Beschlusses 2011/350/EU des Rates (25) genannten Bereich gehören.

(58)	Für Zypern stellt diese Verordnung einen auf dem Schengen-Besitzstand aufbauenden oder anderweitig damit zusammenhängenden Rechtsakt im Sinne des Artikels 3 Absatz 1 der Beitrittsakte von 2003 dar.

(59)	Der Europäische Datenschutzbeauftragte wurde gemäß Artikel 42 Absatz 1 der Verordnung (EU) 2018/1725 angehört und hat am 8. Februar 2023 (26) eine Stellungnahme abgegeben —

HABEN FOLGENDE VERORDNUNG ERLASSEN:

KAPITEL 1

ALLGEMEINE BESTIMMUNGEN

Artikel 1

Gegenstand

Zur Verbesserung und Erleichterung der Wirksamkeit und Effizienz von Grenzübertrittskontrollen an den Außengrenzen und zur Bekämpfung der illegalen Einwanderung werden in dieser Verordnung Vorschriften festgelegt über

a)	die Erhebung von vorab zu übermittelnden Fluggastdaten (im Folgenden „API-Daten“) durch Fluggesellschaften;

b)	die Übermittlung von API-Daten durch die Fluggesellschaften an den Router;

c)	die Übertragung von API-Daten vom Router an die zuständigen Grenzbehörden

Diese Verordnung lässt die Verordnungen (EU) 2016/679 und (EU) 2018/1725 unberührt.

Artikel 2

Anwendungsbereich

Diese Verordnung gilt für Fluggesellschaften, die Flüge in die Union durchführen.

Artikel 3

Begriffsbestimmungen

Für die Zwecke dieser Verordnung bezeichnet der Ausdruck

1.	„Fluggesellschaft“ eine Fluggesellschaft im Sinne von Artikel 3 Nummer 1 der Richtlinie (EU) 2016/681 des Europäischen Parlaments und des Rates (27);

2.	„Grenzübertrittskontrollen“ die Grenzübertrittskontrollen im Sinne des Artikels 2 Nummer 11 der Verordnung (EU) 2016/399;

3.	„Flüge in die Union“ Flüge, die vom Hoheitsgebiet eines Drittstaats oder eines Mitgliedstaats, auf den diese Verordnung nicht anwendbar ist, aus starten und das Hoheitsgebiet eines oder mehrerer Mitgliedstaaten, auf den bzw. die diese Verordnung anwendbar ist, zum Ziel haben;

4.	„Grenzübergangsstelle“ eine Grenzübergangsstelle im Sinne von Artikel 2 Nummer 8 der Verordnung (EU) 2016/399;

5.	„Linienflug“ einen Flug, der nach einem festen Flugplan durchgeführt wird und für den die Öffentlichkeit Flugscheine erwerben kann;

6.	„Charterflug“ einen Flug, der nicht nach einem festen Flugplan durchgeführt wird und nicht unbedingt Teil einer regelmäßigen Flugstrecke oder Linienflugstrecke ist;

7.	„zuständige Grenzbehörde“ die von einem Mitgliedstaat zur Durchführung von Grenzübertrittskontrollen ermächtigte und von demselben Mitgliedstaat gemäß Artikel 14 Absatz 2 benannte und mitgeteilte Behörde;

8.	„Fluggast“ jede Person, mit Ausnahme der diensthabenden Besatzungsmitglieder, die mit Zustimmung der Fluggesellschaft in einem Luftfahrzeug befördert wird oder befördert werden soll, wobei diese Zustimmung durch die Eintragung der Person in die Fluggastliste belegt wird;

9.	„vorab übermittelte Fluggastdaten“ oder „API-Daten“ die in Artikel 4 Absatz 2 bzw. Absatz 3 genannten Fluggastdaten und Fluginformationen;

10.	„Router“ den in Artikel 11 der vorliegenden Verordnung und in Artikel 9 der Verordnung (EU) 2025/13 genannten Router;

11.	„personenbezogene Daten“ personenbezogene Daten im Sinne von Artikel 4 Nummer 1 der Verordnung (EU) 2016/679;

12.	„Echtzeit-Flugverkehrsdaten“ Informationen über den an- und abgehenden Flugverkehr eines unter diese Verordnung fallenden Flughafens.

KAPITEL 2

ERHEBUNG, ÜBERMITTLUNG, SPEICHERUNG UND LÖSCHUNG VON API-DATEN

Artikel 4

Erhebung von API-Daten durch Fluggesellschaften

(1) Die Fluggesellschaften erheben bei Flügen in die Union für jeden Fluggast API-Daten, die gemäß Artikel 6 an den Router zu übermitteln sind. Bei Flügen mit Code-Sharing zwischen Fluggesellschaften obliegt die Pflicht zur Übermittlung der API-Daten der Fluggesellschaft, die den Flug durchführt.

(2) Die API-Daten umfassen für jeden Fluggast auf dem Flug ausschließlich die folgenden Daten:

a)	Nachname (Familienname), Vorname(n);

b)	Geburtsdatum, Geschlecht und Staatsangehörigkeit;

c)	Art und Nummer des Reisedokuments sowie dessen aus drei Buchstaben bestehender Code des ausstellenden Staates;

d)	Datum des Ablaufs der Gültigkeitsdauer des Reisedokuments;

e)	Nummer zur Identifizierung eines Fluggastdatensatzes, die von einer Fluggesellschaft verwendet wird, um einen Fluggast in ihrem Informationssystem ausfindig zu machen (PNR-Buchungscode);

f)	Sitzplatzangaben zu dem Sitzplatz, der einem Fluggast in einem Luftfahrzeug zugewiesen wurde, sofern solche Informationen verfügbar sind;

g)	Gepäckanhängernummer(n) sowie Anzahl und Gewicht der aufgegebenen Gepäckstücke, sofern solche Informationen verfügbar sind;

h)	Code zur Angabe der Methode zur Erfassung und Validierung der unter den Buchstaben a bis d genannten Daten.

(3) Die API-Daten umfassen zudem ausschließlich die folgenden Fluginformationen für den Flug jedes Fluggastes:

a)	Flugnummer oder, wenn der Flug im Rahmen des Code-Sharings zwischen Fluggesellschaften durchgeführt wird, die Flugnummern, oder, falls keine solche Nummer existiert, ein anderes eindeutiges und geeignetes Mittel zur Identifizierung des Fluges;

b)	gegebenenfalls die Grenzübergangsstelle für die Einreise in das Hoheitsgebiet des Mitgliedstaats;

c)	Code des Ankunftsflughafens oder, wenn der Flug auf einem oder mehreren Flughäfen im Hoheitsgebiet eines oder mehrerer Mitgliedstaaten, auf die diese Verordnung anwendbar ist, landen soll, die Codes der im Hoheitsgebiet der betreffenden Mitgliedstaaten anzufliegenden Flughäfen;

d)	Code des Abflugflughafens;

e)	Code des Flughafens des ursprünglichen Abflugorts, sofern verfügbar;

f)	Datum und Uhrzeit (lokal) des Abflugs;

g)	Datum und Uhrzeit (lokal) der Ankunft;

h)	Kontaktdaten der Fluggesellschaft;

i)	das für die Übermittlung der API-Daten verwendete Format.

Artikel 5

Mittel zur Erhebung von API-Daten

(1) Bei der Erhebung der API-Daten gemäß Artikel 4 stellen die Fluggesellschaften sicher, dass die API-Daten, die sie gemäß Artikel 6 übermitteln, korrekt, vollständig und aktuell sind.

(2) Die Fluggesellschaften erheben die in Artikel 4 Absatz 2 Buchstaben a bis d genannten API-Daten mithilfe automatisierter Verfahren, um die maschinenlesbaren Daten des Reisedokuments des betreffenden Fluggastes zu erfassen. Dabei berücksichtigen sie die in Absatz 7 des vorliegenden Artikels genannten detaillierten technischen Anforderungen und operativen Vorschriften, sobald solche Vorschriften erlassen wurden und anwendbar sind.

Bieten Fluggesellschaften einen Online-Check-in-Prozess an, ermöglichen sie den Fluggästen, die in Artikel 4 Absatz 2 Buchstaben a bis d genannten API-Daten im Zuge dieses Online-Check-in mithilfe automatisierter Verfahren bereitzustellen. Fluggäste, die keinen Online-Check-in durchlaufen, erhalten von den Fluggesellschaften die Möglichkeit, diese API-Daten während der Abfertigung am Flughafen mithilfe automatisierter Verfahren mit der Unterstützung eines Self-Service-Kiosks oder des Personals am Schalter der Fluggesellschaft zur Verfügung zu stellen.

Ist der Einsatz automatisierter Verfahren technisch nicht möglich, erheben die Fluggesellschaften die in Artikel 4 Absatz 2 Buchstaben a bis d genannten API-Daten ausnahmsweise manuell, entweder beim Online-Check-in oder beim Check-in am Flughafen und stellen dabei die Einhaltung von Absatz 1 dieses Artikels sicher.

(3) Alle automatisierten Verfahren, mit denen die Fluggesellschaften API-Daten gemäß dieser Verordnung erheben, müssen zuverlässig, sicher und auf dem neuesten Stand sein. Die Fluggesellschaften sorgen dafür, dass die Übermittlung der API-Daten vom Fluggast an die Fluggesellschaft in verschlüsselter Form erfolgt.

(4) Zusätzlich zu den in Absatz 3 genannten automatisierten Verfahren müssen die Fluggesellschaften es den Fluggästen während eines Übergangszeitraums ermöglichen, API-Daten im Rahmen des Online-Check-in manuell bereitzustellen. In solchen Fällen müssen die Fluggesellschaften Techniken zur Verifizierung der Daten einsetzen, um die Einhaltung von Absatz 1 sicherzustellen.

(5) Der in Absatz 4 genannte Übergangszeitraum berührt nicht das Recht der Fluggesellschaften, die im Rahmen des Online-Check-in erhobenen API-Daten am Flughafen vor dem Einsteigen in das Luftfahrzeug zu überprüfen, um die Einhaltung von Absatz 1 im Einklang mit dem geltenden Unionsrecht sicherzustellen.

(6) Der Kommission wird die Befugnis übertragen, ab dem Tag vier Jahre nach Inbetriebnahme des Routers in Bezug auf die in Artikel 34 genannten API-Daten und auf der Grundlage einer Bewertung der Verfügbarkeit und Zugänglichkeit automatisierter Verfahren zur Erhebung von API-Daten einen delegierten Rechtsakt gemäß Artikel 44 zu erlassen, um den in Absatz 4 des vorliegenden Artikels genannten Übergangszeitraum zu beenden.

(7) Der Kommission wird die Befugnis übertragen, gemäß Artikel 44 delegierte Rechtsakte zur Ergänzung dieser Verordnung zu erlassen, in denen sie detaillierte technische Anforderungen und operative Vorschriften für die Erhebung der in Artikel 4 Absatz 2 Buchstaben a bis d genannten API-Daten mithilfe automatisierter Verfahren gemäß den Absätzen 2 und 3 des vorliegenden Artikels sowie für die manuelle Erhebung von API-Daten unter außergewöhnlichen Umständen gemäß Absatz 2 des vorliegenden Artikels und während des in Absatz 4 des vorliegenden Artikels genannten Übergangszeitraums festlegt. Diese technischen Anforderungen und Betriebsvorschriften umfassen Anforderungen an die Datensicherheit und die Verwendung der zuverlässigsten automatisierten Verfahren, die zur Erhebung der maschinenlesbaren Daten eines Reisedokuments zur Verfügung stehen.

(8) Fluggesellschaften, die die in Artikel 3 Absätze 1 und 2 der Richtlinie 2004/82/EG genannten Informationen mithilfe automatisierter Verfahren erheben, sind berechtigt, dies unter Einhaltung der in Absatz 7 dieses Artikels genannten technischen Anforderungen in Bezug auf diese Verwendung im Einklang mit der genannten Richtlinie zu tun.

Artikel 6

Pflichten der Fluggesellschaften im Zusammenhang mit der Übermittlung von API-Daten

(1) Die Fluggesellschaften übermitteln die verschlüsselten API-Daten zwecks Übertragung an die zuständigen Grenzbehörden gemäß Artikel 14 auf elektronischem Wege an den Router. Bei der Übermittlung der API-Daten berücksichtigen die Fluggesellschaften die in Absatz 3 dieses Artikels genannten detaillierten Vorschriften, sobald solche Vorschriften erlassen wurden und anwendbar sind.

(2) Die Fluggesellschaften übermitteln die API-Daten:

a)	für jeden Fluggast zum Zeitpunkt des Check-in, jedoch nicht früher als 48 Stunden vor der planmäßigen Abflugzeit, und

b)	für alle an Bord befindlichen Fluggäste unverzüglich nach Abfertigungsschluss, das heißt unmittelbar nachdem sich die Fluggäste vor dem Start an Bord des Flugzeugs begeben haben und keine Fluggäste mehr in das Flugzeug einsteigen oder es verlassen können;

(3) Der Kommission wird die Befugnis übertragen, gemäß Artikel 44 delegierte Rechtsakte zur Ergänzung dieser Verordnung zu erlassen, in denen sie die erforderlichen detaillierten Vorschriften über die gemeinsamen Protokolle und unterstützten Datenformate festlegt, die für die in Absatz 1 dieses Artikels genannte verschlüsselte Übermittlung von API-Daten an den Router zu verwenden sind, einschließlich der Übermittlung von API-Daten zum Zeitpunkt des Check-in sowie der Anforderungen an die Datensicherheit. Mit diesen detaillierten Vorschriften wird sichergestellt, dass die Fluggesellschaften API-Daten unter Verwendung der gleichen Struktur und des gleichen Inhalts übermitteln.

Artikel 7

Verarbeitung von API-Daten durch die zuständigen Grenzbehörden

Die zuständigen Grenzbehörden dürfen die API-Daten, die sie gemäß dieser Verordnung erhalten, ausschließlich für die Zwecke der Verbesserung und Erleichterung der Wirksamkeit und Effizienz der Grenzübertrittskontrollen an den Außengrenzen sowie der Bekämpfung der illegalen Einwanderung verarbeiten.

Die zuständigen Grenzbehörden dürfen die API-Daten nicht in einer Weise verarbeiten, die auf ein Profiling von Personen gemäß Artikel 22 der Verordnung (EU) 2016/679 oder eine Diskriminierung von Personen aus den in Artikel 21 der Charta aufgeführten Gründen hinausläuft.

Artikel 8

Speicherzeitraum und Löschung von API-Daten

(1) Die Fluggesellschaften speichern die gemäß Artikel 4 erhobenen API-Daten für einen Zeitraum von 48 Stunden ab dem Zeitpunkt, zu dem der Router gemäß Artikel 6 Absatz 2 Buchstaben a und b API-Daten empfangen hat. Nach Ablauf dieses Zeitraums haben sie diese API-Daten unverzüglich und dauerhaft zu löschen; dies gilt unbeschadet der Möglichkeit für die Fluggesellschaften, die Daten im Einklang mit geltendem Recht zu speichern und zu nutzen, wenn dies für die normale Ausübung ihrer Geschäftstätigkeit erforderlich ist, sowie unbeschadet von Artikel 16 Absätze 1 und 3.

(2) Die zuständigen Grenzbehörden speichern die API-Daten, die ihnen gemäß Artikel 14 übertragen wurden, für einen Zeitraum von 48 Stunden ab dem Zeitpunkt des Empfangs der API-Daten im Einklang mit Artikel 6 Absatz 2 Buchstaben a und b. Nach Ablauf dieses Zeitraums löschen sie diese API-Daten unverzüglich und dauerhaft.

In Ausnahmefällen dürfen die zuständigen Grenzbehörden API-Daten nur dann für einen zusätzlichen Zeitraum von bis zu 48 Stunden speichern, wenn sich diese API-Daten auf Fluggäste beziehen, die sich während des in Unterabsatz 1 dieses Absatzes genannten Zeitraums nicht an einer Grenzübergangsstelle gemeldet haben.

Artikel 9

Berichtigung, Vervollständigung und Aktualisierung von API-Daten

(1) Stellt eine Fluggesellschaft fest, dass die Daten, die sie gemäß dieser Verordnung speichert, unrechtmäßig verarbeitet wurden oder dass es sich bei den Daten nicht um API-Daten handelt, so hat sie diese Daten unverzüglich und dauerhaft zu löschen. Wurden diese Daten an den Router übermittelt, so hat die Fluggesellschaft unverzüglich die Agentur der Europäischen Union für das Betriebsmanagement von IT-Großsystemen im Raum der Freiheit, der Sicherheit und des Rechts (eu-LISA) davon in Kenntnis zu setzen. Nach Erhalt dieser Informationen unterrichtet die eu-LISA unverzüglich die zuständige Grenzbehörde, die die über den Router übertragenen Daten empfangen hat. Die zuständige Grenzbehörde hat diese Daten unverzüglich und dauerhaft zu löschen.

(2) Stellt eine Fluggesellschaft fest, dass die gemäß dieser Verordnung gespeicherten Daten unrichtig, unvollständig oder nicht mehr aktuell sind, so hat sie diese Daten unverzüglich zu berichtigen, zu vervollständigen oder zu aktualisieren. Dies gilt unbeschadet der Möglichkeit für die Fluggesellschaften, die Daten im Einklang mit dem geltenden Recht zu speichern und zu nutzen, wenn dies für die normale Ausübung ihrer Geschäftstätigkeit erforderlich ist.

(3) Stellt eine Fluggesellschaft nach der Übermittlung von API-Daten gemäß Artikel 6 Absatz 2 Buchstabe a, aber vor der Übermittlung gemäß Artikel 6 Absatz 2 Buchstabe b fest, dass die von ihr übermittelten Daten unrichtig sind, so übermittelt sie die berichtigten API-Daten unverzüglich an den Router.

(4) Stellt eine Fluggesellschaft nach der Übermittlung von API-Daten gemäß Artikel 6 Absatz 2 Buchstaben a oder b fest, dass die von ihr übermittelten Daten unrichtig, unvollständig oder nicht mehr aktuell sind, so übermittelt sie die berichtigten, vervollständigten oder aktualisierten API-Daten unverzüglich an den Router.

(5) Stellt eine zuständige Grenzbehörde nach der Übertragung von API-Daten gemäß Artikel 14 fest, dass die Daten unrichtig, unvollständig oder nicht mehr aktuell sind, so löscht sie diese Daten unverzüglich, es sei denn, diese Daten sind erforderlich, um die Einhaltung der in dieser Verordnung festgelegten Verpflichtungen sicherzustellen.

(6) Der Kommission wird die Befugnis übertragen, gemäß Artikel 44 delegierte Rechtsakte zur Ergänzung dieser Verordnung zu erlassen, in denen sie die erforderlichen detaillierten Vorschriften für die Berichtigung, Vervollständigung und Aktualisierung von API-Daten im Sinne dieses Artikels festlegt.

Artikel 10

Grundrechte

(1) Die Erhebung und Verarbeitung personenbezogener Daten gemäß dieser Verordnung und der Verordnung (EU) 2025/13 durch Fluggesellschaften und zuständige Behörden darf nicht zu einer Diskriminierung von Personen aus den in Artikel 21 der Charta der Grundrechte der Europäischen Union (im Folgenden „die Charta“) aufgeführten Gründen führen.

(2) Bei der Anwendung dieser Verordnung sind die Menschenwürde und die Grundrechte uneingeschränkt zu achten und die in der Charta anerkannten Grundsätze zu wahren, darunter auch das Recht auf Achtung der Privatsphäre, auf Asyl, auf Schutz personenbezogener Daten, auf Freizügigkeit und auf wirksame Rechtsbehelfe.

(3) Besondere Aufmerksamkeit ist dabei Kindern, älteren Menschen und Menschen mit einer Behinderung und schutzbedürftigen Menschen zu widmen. Bei der Anwendung dieser Verordnung ist dem Kindeswohl Vorrang einzuräumen.

KAPITEL 3

BESTIMMUNGEN BEZÜGLICH DES ROUTERS

Artikel 11

Der Router

(1) Gemäß den Artikeln 25 und 26 übernimmt die eu-LISA die Konzeption, die Entwicklung, das Hosting und die technische Verwaltung eines Routers, um die Übermittlung von verschlüsselten API-Daten durch die Fluggesellschaften an die zuständigen Grenzbehörden gemäß dieser Verordnung zu erleichtern.

(2) Der Router besteht aus:

a)	einer zentralen Infrastruktur, einschließlich einer Reihe technischer Komponenten, die den Empfang und die Übertragung von verschlüsselten API-Daten ermöglichen;

einem sicheren Kommunikationskanal zwischen der zentralen Infrastruktur und den zuständigen Grenzbehörden sowie einem sicheren Kommunikationskanal zwischen der zentralen Infrastruktur und den Fluggesellschaften für die Übermittlung und Übertragung von API-Daten und alle damit zusammenhängenden Mitteilungen;

c)	einem sicheren Kanal für den Empfang von Echtzeit-Flugverkehrsdaten.

(3) Unbeschadet des Artikels 12 der vorliegenden Verordnung werden erforderlichenfalls und soweit technisch möglich die technischen Komponenten des Web-Dienstes gemäß Artikel 13 der Verordnung (EU) 2017/2226, einschließlich Hardware- und Softwarekomponenten, des Zugangs für Beförderungsunternehmen gemäß Artikel 6 Absatz 2 Buchstabe k der Verordnung (EU) 2018/1240 und des Carrier Gateways gemäß Artikel 45c der Verordnung (EG) Nr. 767/2008, vom Router mitgenutzt und wiederverwendet.

Die eu-LISA konzipiert den Router — soweit technisch und operativ möglich — in einer Weise, die im Einklang mit den Verpflichtungen steht, die den Fluggesellschaften aus den Verordnungen (EG) Nr. 767/2008, (EU) 2017/2226 und (EU) 2018/1240 erwachsen.

(4) Der Router extrahiert automatisch die Daten und stellt sie gemäß Artikel 38 dieser Verordnung dem durch Artikel 39 der Verordnung (EU) 2019/817 eingerichteten zentralen Speicher für Berichte und Statistiken (CRRS) zur Verfügung.

(5) Die eu-LISA konzipiert und entwickelt den Router so, dass bei jeder Übermittlung von API-Daten von den Fluggesellschaften an den Router gemäß Artikel 6 und bei jeder Übertragung von API-Daten vom Router an die zuständigen Grenzbehörden gemäß Artikel 14 und an den CRRS gemäß Artikel 38 Absatz 2 die Übertragung der API-Daten mittels Ende-zu-Ende-Verschlüsselung erfolgt.

Artikel 12

Ausschließliche Nutzung des Routers

Für die Zwecke dieser Verordnung darf der Router ausschließlich genutzt werden

a)	von den Fluggesellschaften für die Übermittlung von verschlüsselten API-Daten gemäß dieser Verordnung und

b)	von den zuständigen Grenzbehörden zum Empfang von verschlüsselten API-Daten gemäß dieser Verordnung.

Dieser Artikel gilt unbeschadet des Artikels 10 der Verordnung (EU) 2025/13.

Artikel 13

Verifizierung des Datenformats und der Übermittlung

(1) Der Router verifiziert automatisch und auf der Grundlage von Echtzeit-Flugverkehrsdaten, ob die Fluggesellschaft die API-Daten gemäß Artikel 6 Absatz 1 übermittelt hat.

(2) Der Router verifiziert unverzüglich und automatisch, ob die API-Daten, die ihm gemäß Artikel 6 Absatz 1 übermittelt wurden, den in Artikel 6 Absatz 3 genannten detaillierten Vorschriften über die unterstützten Datenformate entsprechen.

(3) Ergibt die Verifizierung nach Absatz 1 dieses Artikels, dass die Daten von der Fluggesellschaft nicht übermittelt wurden, oder ergibt die Verifizierung nach Absatz 2 dieses Artikels, dass die Daten nicht den detaillierten Vorschriften hinsichtlich der unterstützten Datenformate entsprechen, setzt der Router die betreffende Fluggesellschaft und die zuständigen Grenzbehörden der Mitgliedstaaten, an die die Daten gemäß Artikel 14 Absatz 1 übermittelt werden sollten, darüber unverzüglich und automatisch in Kenntnis. In solchen Fällen überträgt die Fluggesellschaft die API-Daten unverzüglich in Einklang mit Artikel 6.

(4) Die Kommission erlässt Durchführungsrechtsakte zur Festlegung der erforderlichen detaillierten technischen und verfahrenstechnischen Vorschriften für die in den Absätzen 1, 2 und 3 dieses Artikels genannten Verifizierungen und Benachrichtigungen. Diese Durchführungsrechtsakte werden gemäß dem in Artikel 43 Absatz 2 genannten Prüfverfahren erlassen.

Artikel 14

Übertragung von API-Daten vom Router an die zuständigen Grenzbehörden

(1) Nach der in Artikel 13 genannten Verifizierung des Datenformats und der Datenübertragung überträgt der Router die ihm gemäß Artikel 6 oder Artikel 9 Absätze 3 und 4 übermittelten verschlüsselten API-Daten an die zuständigen Grenzbehörden des Mitgliedstaats oder, wenn der Flug auf einem oder mehreren Flughäfen im Hoheitsgebiet eines oder mehrerer Mitgliedstaaten, für die diese Verordnung gilt, landen soll, an die in Artikel 4 Absatz 3 Buchstabe c genannten zuständigen Grenzbehörden der Mitgliedstaaten. Er überträgt diese Daten unverzüglich und automatisch, ohne ihren Inhalt in irgendeiner Weise zu verändern, gemäß den in Absatz 5 dieses Artikels genannten detaillierten Vorschriften, sobald solche Vorschriften erlassen wurden und anwendbar sind.

Für die Zwecke dieser Übertragung erstellt und pflegt die eu-LISA eine Entsprechungstabelle mit den verschiedenen Herkunfts- und Zielflughäfen und den Ländern, zu denen sie gehören.

(2) Die Mitgliedstaaten benennen zuständige Grenzbehörden, die befugt sind, die API-Daten, die ihnen gemäß dieser Verordnung vom Router übertragen werden, zu empfangen. Sie melden der eu-LISA und der Kommission bis zu dem in Artikel 46 Absatz 2 genannten Geltungsbeginn dieser Verordnung den Namen und die Kontaktdaten der zuständigen Grenzbehörden und setzen die eu-LISA und die Kommission erforderlichenfalls über Aktualisierungen dieser Informationen in Kenntnis.

Die Kommission erstellt auf der Grundlage dieser Meldungen und Aktualisierungen eine Liste der gemeldeten zuständigen Grenzbehörden, einschließlich ihrer Kontaktdaten, und veröffentlicht diese.

(3) Die Mitgliedstaaten stellen sicher, dass ihre zuständigen Grenzbehörden, die API-Daten gemäß Absatz 1 empfangen, unverzüglich und automatisch den Empfang dieser Daten an den Router bestätigen.

(4) Die Mitgliedstaaten stellen sicher, dass nur die dazu ordnungsgemäß ermächtigten und entsprechend geschulten Bediensteten ihrer zuständigen Grenzbehörden, die gemäß Absatz 2 benannt wurden, Zugang zu den API-Daten haben, die ihnen über den Router übertragen werden. Sie legen die hierzu erforderlichen Vorschriften fest. Diese Vorschriften umfassen Vorschriften für die Erstellung und regelmäßige Aktualisierung einer Liste dieser Bediensteten und ihrer Profile.

(5) Die Kommission erlässt Durchführungsrechtsakte, in denen sie die detaillierten technischen und verfahrenstechnischen Vorschriften, einschließlich der Anforderungen an die Datensicherheit, festlegt, die für die in Absatz 1 dieses Artikels genannte Übertragung von API-Daten durch den Router erforderlich sind. Diese Durchführungsrechtsakte werden gemäß dem in Artikel 43 Absatz 2 genannten Prüfverfahren erlassen.

Artikel 15

Löschung von API-Daten vom Router

API-Daten, die gemäß dieser Verordnung an den Router übermittelt werden, werden im Router nur insoweit gespeichert, als dies für den Abschluss der Übertragung an die jeweils zuständigen Grenzbehörden gemäß der vorliegenden Verordnung erforderlich ist, und werden unverzüglich, dauerhaft und automatisch vom Router gelöscht, sobald gemäß Artikel 14 Absatz 3 bestätigt wird, dass die Übertragung der API-Daten an die jeweils zuständigen Grenzbehörden abgeschlossen ist.

Artikel 16

Maßnahmen für den Fall, dass die Nutzung des Routers technisch nicht möglich ist

(1) Wenn es wegen eines Ausfalls des Routers technisch nicht möglich ist, den Router für die Übertragung von API-Daten zu nutzen, benachrichtigt die eu-LISA die Fluggesellschaften und die zuständigen Grenzbehörden unverzüglich und automatisch über diese technische Unmöglichkeit. In diesem Fall ergreift die eu-LISA unverzüglich Maßnahmen zur Behebung der technischen Unmöglichkeit der Nutzung des Routers und informiert die Fluggesellschaften und die zuständigen Grenzbehörden unverzüglich, wenn das Problem erfolgreich behoben wurde.

Während des Zeitraums zwischen diesen Benachrichtigungen findet Artikel 6 Absatz 1 und Artikel 8 Absatz 1 keine Anwendung, sofern es aus technischen Gründen nicht möglich ist, API-Daten an den Router zu übermitteln. Die Fluggesellschaften speichern die API-Daten, bis die technischen Schwierigkeiten erfolgreich behoben wurden. Sobald die technischen Schwierigkeiten erfolgreich behoben wurden, übermitteln Fluggesellschaften die Daten gemäß Artikel 6 Absatz 1 an den Router.

Gehen die API-Daten später als 96 Stunden nach dem Abflug gemäß Artikel 4 Absatz 3 Buchstabe f ein, so überträgt der Router die API-Daten nicht an die zuständigen Grenzbehörden, sondern löscht die entsprechenden Daten.

Wenn es aus technischen Gründen nicht möglich ist, den Router zu nutzen sowie in Ausnahmefällen im Zusammenhang mit den Zielen dieser Verordnung, die es erforderlich machen, dass die zuständigen Grenzbehörden während der technischen Unmöglichkeit, den Router zu nutzen, API-Daten unverzüglich empfangen, können die zuständigen Grenzbehörden die Fluggesellschaften auffordern, jedes andere geeignete Mittel zu nutzen, das das erforderliche Maß an Datensicherheit, Datenqualität und Datenschutz bietet, um die API-Daten direkt an die zuständigen Grenzbehörden zu übermitteln. Die zuständigen Grenzbehörden verarbeiten die API-Daten, die sie auf andere geeignete Weise erhalten haben, im Einklang mit den Vorschriften und Sicherheitsvorkehrungen der Verordnung (EU) 2016/399 und dem geltenden nationalen Recht.

Nachdem die eu-LISA mitgeteilt hat, dass der technische Fehler erfolgreich behoben wurde, und wenn im Einklang mit Artikel 14 Absatz 3 bestätigt wurde, dass die Übertragung der API-Daten über den Router an die entsprechende zuständige Grenzbehörde abgeschlossen ist, löscht die zuständige Grenzbehörde unverzüglich die API-Daten, die sie durch andere geeignete Mittel empfangen hat.

(2) Wenn es wegen eines Ausfalls der in Artikel 23 genannten Systeme oder Infrastruktur eines Mitgliedstaats technisch nicht möglich ist, den Router für die Übertragung von API-Daten zu nutzen, benachrichtigen die zuständigen Grenzbehörden des betreffenden Mitgliedstaats die Fluggesellschaften, die zuständigen Behörden der anderen Mitgliedstaaten, die eu-LISA und die Kommission unverzüglich und automatisch über diese technische Unmöglichkeit. In diesem Fall ergreift der betreffende Mitgliedstaat unverzüglich Maßnahmen zur Behebung der technischen Unmöglichkeit der Nutzung des Routers und informiert die Fluggesellschaften, die zuständigen Behörden der anderen Mitgliedstaaten, die eu-LISA und die Kommission unverzüglich, sobald das Problem erfolgreich behoben wurde. Der Router speichert die API-Daten, bis die technischen Schwierigkeiten erfolgreich behoben wurden. Sobald die technischen Schwierigkeiten erfolgreich behoben wurden, überträgt der Router die Daten gemäß Artikel 14 Absatz 1.

Nachdem die eu-LISA mitgeteilt hat, dass der technische Fehler erfolgreich behoben wurde, und wenn im Einklang mit Artikel 14 Absatz 3 bestätigt wird, dass die Übertragung der API-Daten über den Router an die einschlägige zuständige Grenzbehörde abgeschlossen ist, löscht die zuständige Grenzbehörde unverzüglich die API-Daten, die sie durch andere geeignete Mittel empfangen hat.

(3) Wenn es wegen eines Ausfalls der in Artikel 24 genannten Systeme oder Infrastruktur einer Fluggesellschaft technisch nicht möglich ist, den Router für die Übermittlung von API-Daten zu nutzen, benachrichtigt die betreffende Fluggesellschaft die zuständigen Grenzbehörden, die eu-LISA und die Kommission unverzüglich und automatisch über diese technische Unmöglichkeit. In diesem Fall ergreift die Fluggesellschaft unverzüglich Maßnahmen zur Behebung der technischen Unmöglichkeit der Nutzung des Routers und benachrichtigt die eu-LISA und die Kommission unverzüglich, sobald das Problem erfolgreich behoben wurde.

In der Zeit zwischen diesen Benachrichtigungen finden Artikel 6 Absatz 1 und Artikel 8 Absatz 1 keine Anwendung, soweit es aus technischen Gründen nicht möglich ist, API-Daten an den Router zu übermitteln. Die Fluggesellschaften speichern die API-Daten, bis die technischen Schwierigkeiten erfolgreich behoben wurden. Sobald die technischen Schwierigkeiten erfolgreich behoben wurden, übermitteln Fluggesellschaften die Daten gemäß Artikel 6 Absatz 1 an den Router. Der Router darf die API-Daten jedoch nicht an die zuständigen Grenzbehörden übertragen, sondern muss die Daten löschen, wenn sie später als 96 Stunden nach Abflug gemäß Artikel 4 Absatz 3 Buchstabe f eingehen.

Nachdem die eu-LISA mitgeteilt hat, dass der technische Fehler erfolgreich behoben wurde, und wenn im Sinne von Artikel 14 Absatz 3 bestätigt wird, dass die Übertragung der API-Daten über den Router an die entsprechende zuständige Grenzbehörde abgeschlossen ist, löscht die zuständige Grenzbehörde unverzüglich die API-Daten, die sie durch andere geeignete Mittel empfangen hat.

Wurde die technische Unmöglichkeit erfolgreich behoben, so legt die betreffende Fluggesellschaft der in Artikel 36 genannten nationalen API-Aufsichtsbehörde unverzüglich einen Bericht mit allen erforderlichen Einzelheiten über die technische Unmöglichkeit vor, einschließlich der Gründe für die technische Unmöglichkeit, ihres Umfangs und ihrer Folgen sowie der ergriffenen Abhilfemaßnahmen.

KAPITEL 4

BESONDERE BESTIMMUNGEN ZUM SCHUTZ PERSONENBEZOGENER DATEN UND SICHERheit

Artikel 17

Protokollierung

(1) Die Fluggesellschaften erstellen Protokolle über alle nach dieser Verordnung mithilfe der in Artikel 5 Absatz 2 genannten automatisierten Verfahren durchgeführten Verarbeitungsvorgänge im Zusammenhang mit API-Daten. Die Protokolle umfassen Datum, Uhrzeit und Ort der Übermittlung der API-Daten. Diese Protokolle dürfen keine anderen personenbezogenen Daten als die Angaben enthalten, die zur Identifizierung des betreffenden Bediensteten der Fluggesellschaft erforderlich sind.

(2) Die eu-LISA protokolliert alle Verarbeitungsvorgänge im Zusammenhang mit der Übermittlung und Übertragung von API-Daten über den Router gemäß dieser Verordnung. Diese Protokolle enthalten folgende Angaben:

a)	die Fluggesellschaft, die die API-Daten an den Router übermittelt hat;

b)	die zuständigen Grenzbehörden, an die die API-Daten über den Router übertragen wurden;

c)	Datum und Uhrzeit der Übermittlung oder Übertragung gemäß den Buchstaben a und b sowie den Ort dieser Übermittlung oder Übertragung;

d)	jeden für die Wartung des Routers erforderlichen Zugang der Bediensteten der eu-LISA gemäß Artikel 26 Absatz 3;

e)	alle sonstigen Informationen zu diesen Verarbeitungsvorgängen, die für die Überwachung der Sicherheit und Integrität der API-Daten und der Rechtmäßigkeit dieser Verarbeitungsvorgänge erforderlich sind.

Diese Protokolle dürfen keine anderen personenbezogenen Daten als die Angaben enthalten, die zur Identifizierung des betreffenden Bediensteten der eu-LISA gemäß Unterabsatz 1 Buchstabe d erforderlich sind.

(3) Die Protokolle nach den Absätzen 1 und 2 dieses Artikels dürfen ausschließlich verwendet werden, um die Sicherheit und Integrität der API-Daten und die Rechtmäßigkeit der Verarbeitung sicherzustellen, insbesondere im Hinblick auf die Einhaltung der Anforderungen dieser Verordnung, einschließlich der Verfahren für Sanktionen bei Verstößen gegen diese Anforderungen gemäß den Artikeln 36 und 37.

(4) Die Fluggesellschaften und die eu-LISA treffen geeignete Maßnahmen, um die von ihnen gemäß den Absätzen 1 bzw. 2 erstellten Protokolle vor unbefugtem Zugriff und anderen Sicherheitsrisiken zu schützen.

(5) Die in Artikel 36 genannte nationale API-Aufsichtsbehörde und die zuständigen Grenzbehörden erhalten Zugriff auf die in Absatz 1 des vorliegenden Artikels vorgesehenen Protokolle, sofern für die in Absatz 3 des vorliegenden Artikels angegebenen Zwecke erforderlich.

(6) Die Fluggesellschaften und die eu-LISA speichern die gemäß den Absätzen 1 bzw. Absatz 2 erstellten Protokolle ab dem Zeitpunkt ihrer Erstellung ein Jahr lang. Nach Ablauf dieses Zeitraums löschen sie die Protokolle unverzüglich und dauerhaft.

Werden diese Protokolle jedoch für Verfahren zur Überwachung oder Gewährleistung der Sicherheit und Integrität der API-Daten oder der Rechtmäßigkeit der Verarbeitungsvorgänge gemäß Absatz 3 benötigt und sind diese Verfahren zum Zeitpunkt des Ablaufs der in Unterabsatz 1 des vorliegenden Absatzes genannten Zeitspanne bereits eingeleitet worden, so speichern die eu-LISA und die Fluggesellschaften die Protokolle so lange, wie dies für diese Verfahren erforderlich ist. In diesem Fall löschen sie diese Protokolle unverzüglich, wenn sie für die Verfahren nicht mehr erforderlich sind.

Artikel 18

Datenschutzrechtliche Verantwortung

(1) Die Fluggesellschaften sind Verantwortliche im Sinne des Artikels 4 Nummer 7 der Verordnung (EU) 2016/679 für die Verarbeitung von personenbezogenen API-Daten im Rahmen der Erhebung dieser Daten und deren Übermittlung an den Router gemäß der vorliegenden Verordnung.

(2) Jeder Mitgliedstaat benennt eine zuständige Behörde als Verantwortlichen gemäß diesem Artikel. Die Mitgliedstaaten setzen die Kommission, die eu-LISA und die anderen Mitgliedstaaten über diese nationalen Behörden in Kenntnis.

Alle von den Mitgliedstaaten benannten zuständigen Behörden sind für die Zwecke der Verarbeitung personenbezogener Daten im Router gemeinsam Verantwortliche gemäß Artikel 26 der Verordnung (EU) 2016/679.

(3) Die eu-LISA ist ein Auftragsverarbeiter im Sinne von Artikels 3 Nummer 12 der Verordnung (EU) 2018/1725 für die Zwecke der Verarbeitung von API-Daten, die personenbezogene Daten im Sinne dieser Verordnung darstellen, über den Router, einschließlich der Übertragung der Daten vom Router an die zuständigen Grenzbehörden und der Speicherung dieser Daten auf dem Router aus technischen Gründen. Die eu-LISA stellt sicher, dass der Router im Einklang mit dieser Verordnung betrieben wird.

(4) Die Kommission erlässt Durchführungsrechtsakte, in denen die jeweiligen Zuständigkeiten der gemeinsam Verantwortlichen und der jeweiligen Pflichten der gemeinsam Verantwortlichen und des Auftragsverarbeiters festgelegt werden. Diese Durchführungsrechtsakte werden gemäß dem in Artikel 43 Absatz 2 genannten Prüfverfahren erlassen.

Artikel 19

Informationen für Fluggäste

Im Einklang mit Artikel 13 der Verordnung (EU) 2016/679 stellen die Fluggesellschaften den Fluggästen auf Flügen, die unter diese Verordnung fallen, Informationen über den Zweck der Erhebung ihrer personenbezogenen Daten, die Art der erhobenen personenbezogenen Daten, die Empfänger der personenbezogenen Daten und die Mittel zur Ausübung ihrer Rechte als betroffene Personen zur Verfügung.

Diese Informationen werden den Fluggästen zum Zeitpunkt der Buchung und zum Zeitpunkt des Check-in schriftlich und in einem leicht zugänglichen Format mitgeteilt, unabhängig davon, mit welchem Mittel die personenbezogenen Daten zum Zeitpunkt des Check-in gemäß Artikel 5 erhoben werden.

Artikel 20

Sicherheit

(1) Die eu-LISA stellt die Sicherheit und Verschlüsselung der API-Daten, insbesondere personenbezogener API-Daten, die sie gemäß dieser Verordnung verarbeitet. Die zuständigen Grenzbehörden und die Fluggesellschaften gewährleisten die Sicherheit der API-Daten, insbesondere personenbezogener API-Daten, die sie gemäß dieser Verordnung verarbeiten. Die eu-LISA, die zuständigen Grenzbehörden und die Fluggesellschaften arbeiten gemäß ihren jeweiligen Zuständigkeiten und im Einklang mit dem Unionsrecht zusammen, um diese Sicherheit zu gewährleisten.

(2) Die eu-LISA ergreift die erforderlichen Maßnahmen, um die Sicherheit des Routers und der über den Router übertragenen API-Daten, insbesondere personenbezogener API-Daten, sicherzustellen, unter anderem durch Erstellung, Umsetzung und regelmäßige Aktualisierung eines Sicherheitsplans, eines Betriebskontinuitätsplans und eines Notfallwiederherstellungsplans, um

a)	den Router physisch zu schützen, unter anderem durch Aufstellung von Notfallplänen für den Schutz seiner kritischen Komponenten;

jegliche unbefugte Verarbeitung der API-Daten, einschließlich des unbefugten Zugriffs darauf und des unbefugten Kopierens, Änderns oder Löschens dieser Daten, sowohl während der Übermittlung der API-Daten an den und vom Router als auch während der Speicherung der API-Daten im Router, soweit dies für den Abschluss der Übertragung erforderlich ist, zu verhindern, insbesondere durch geeignete Verschlüsselungstechniken;

c)	sicherzustellen, dass die zum Zugriff auf den Router berechtigten Personen nur Zugang zu den Daten haben, für die sie Zugriffsberechtigung haben;

d)	sicherzustellen, dass überprüft und festgestellt werden kann, an welche zuständigen Grenzbehörden die API-Daten über den Router übertragen werden;

e)	seinem Verwaltungsrat alle Funktionsstörungen des Routers ordnungsgemäß zu melden;

f)	die Wirksamkeit der gemäß diesem Artikel und der Verordnung (EU) 2018/1725 erforderlichen Sicherheitsmaßnahmen zu überwachen und diese Sicherheitsmaßnahmen zu bewerten und zu aktualisieren, falls dies angesichts technologischer oder betrieblicher Entwicklungen erforderlich ist.

Die in Unterabsatz 1 dieses Absatzes genannten Maßnahmen berühren nicht Artikel 32 der Verordnung (EU) 2016/679 oder Artikel 33 der Verordnung (EU) 2018/1725.

Artikel 21

Eigenkontrolle

Die Fluggesellschaften und die zuständigen Grenzbehörden überwachen die Einhaltung der ihnen nach dieser Verordnung obliegenden Verpflichtungen, insbesondere in Bezug auf die Verarbeitung personenbezogener API-Daten. Bei den Fluggesellschaften umfasst die Überwachung eine häufige Verifizierung der in Artikel 17 Absatz 1 genannten Protokolle.

Artikel 22

Überprüfungen in Bezug auf den Schutz personenbezogener Daten

(1) Die in Artikel 51 der Verordnung (EU) 2016/679 genannten unabhängigen Aufsichtsbehörden überprüfen mindestens alle vier Jahre die Verarbeitungsvorgänge von personenbezogenen API-Daten, die die zuständigen Grenzbehörden für die Zwecke dieser Verordnung durchführen. Die Mitgliedstaaten stellen sicher, dass ihre unabhängigen Aufsichtsbehörden über ausreichende Ressourcen und Fachkenntnisse zur Wahrnehmung der Aufgaben verfügen, die ihnen gemäß dieser Verordnung übertragen werden.

(2) Der Europäische Datenschutzbeauftragte überprüft die Verarbeitungsvorgänge von personenbezogenen API-Daten, die die eu-LISA für die Zwecke dieser Verordnung durchführt, mindestens einmal jährlich nach den einschlägigen internationalen Prüfungsstandards. Der Prüfbericht wird dem Europäischen Parlament, dem Rat, der Kommission, den Mitgliedstaaten und der eu-LISA übermittelt. Die eu-LISA erhält vor der Annahme des Berichts Gelegenheit zur Stellungnahme.

(3) Auf Verlangen stellt die eu-LISA im Zusammenhang mit den in Absatz 2 dieses Artikels genannten Verarbeitungsvorgängen die vom Europäischen Datenschutzbeauftragten angeforderten Informationen bereit, gewährt dem Europäischen Datenschutzbeauftragten Zugang zu allen von ihm angeforderten Dokumenten und zu den in Artikel 17 Absatz 2 genannten Protokollen und gestattet dem Europäischen Datenschutzbeauftragten jederzeit Zutritt zu allen Räumlichkeiten der eu-LISA.

KAPITEL 5

BESTIMMUNGEN BEZÜGLICH DES ROUTERS

Artikel 23

Anbindung der zuständigen Grenzbehörden an den Router

(1) Die Mitgliedstaaten stellen die Anbindung ihrer zuständigen Grenzbehörden an den Router sicher. Sie sorgen dafür, dass die Systeme und Infrastruktur der zuständigen Grenzbehörden für den Empfang und die Weiterverarbeitung der gemäß dieser Verordnung übermittelten API-Daten an den Router angepasst werden.

Die Mitgliedstaaten stellen sicher, dass ihre zuständigen Grenzbehörden durch die Anbindung und Anpassung an den Router in der Lage sind, die API-Daten zu empfangen und weiterzuverarbeiten sowie alle diesbezüglichen Mitteilungen auf rechtmäßige, sichere, wirksame und rasche Weise auszutauschen.

(2) Die Kommission erlässt Durchführungsrechtsakte, in denen sie für die in Absatz 1 dieses Artikels genannten Anbindungen und Anpassungen an den Router die erforderlichen detaillierten Vorschriften, einschließlich zu Anforderungen an die Datensicherheit, festlegt. Diese Durchführungsrechtsakte werden gemäß dem in Artikel 43 Absatz 2 genannten Prüfverfahren erlassen.

Artikel 24

Anbindung der Fluggesellschaften an den Router

(1) Die Fluggesellschaften stellen ihre Anbindung an den Router sicher. Sie sorgen dafür, dass ihre Systeme und Infrastruktur für den Zweck der Übermittlung der gemäß dieser Verordnung an den Router zu übermittelnden API-Daten an den Router angepasst werden.

Die Fluggesellschaften stellen sicher, dass die Anbindung und Anpassung an den Router es ihnen ermöglichen, die API-Daten zu übermitteln sowie alle diesbezüglichen Mitteilungen auf rechtmäßige, sichere, wirksame und rasche Weise auszutauschen. Zu diesem Zweck testen die Fluggesellschaften in Zusammenarbeit mit der eu-LISA die Übermittlung von API-Daten an den Router gemäß Artikel 27 Absatz 3.

(2) Die Kommission erlässt Durchführungsrechtsakte, in denen sie für die in Absatz 1 dieses Artikels genannten Anbindungen und Anpassungen an den Router die erforderlichen detaillierten Vorschriften einschließlich zu Anforderungen an die Datensicherheit festlegt. Diese Durchführungsrechtsakte werden gemäß dem in Artikel 43 Absatz 2 genannten Prüfverfahren erlassen.

Artikel 25

Aufgaben der eu-LISA im Hinblick auf die Konzeption und Entwicklung des Routers

(1) Die eu-LISA ist für den Entwurf der physischen Architektur des Routers sowie für die Festlegung der technischen Spezifikationen verantwortlich.

(2) Die eu-LISA ist für die Entwicklung des Routers und für alle technischen Anpassungen, die für den Betrieb des Routers erforderlich sind, verantwortlich.

Die Entwicklung des Routers umfasst die Ausarbeitung und Umsetzung der technischen Spezifikationen, die Erprobung und die gesamte Projektverwaltung und -koordinierung in der Entwicklungsphase.

(3) Die eu-LISA sorgt dafür, dass der Router so konzipiert und entwickelt wird, dass er die in dieser Verordnung festgelegten Funktionen bereitstellt und dass er nach Erlass der Durchführungsrechtsakte und delegierten Rechtsakte gemäß Artikel 5 Absatz 7, Artikel 6 Absatz 3, Artikel 9 Absatz 6, Artikel 23 Absatz 2 und Artikel 24 Absatz 2 der vorliegenden Verordnung durch die Kommission und nach der Durchführung der Datenschutz-Folgenabschätzung gemäß Artikel 35 der Verordnung (EU) 2016/679 so bald wie möglich in Betrieb geht.

(4) Die eu-LISA stellt den zuständigen Grenzbehörden, den anderen zuständigen Behörden der Mitgliedstaaten und den Fluggesellschaften einen Konformitätstestsatz zur Verfügung. Der Konformitätstestsatz umfasst eine Testumgebung, einen Simulator, Testdatensätze und einen Testplan. Der Konformitätstestsatz muss einen umfassenden Test des Routers im Sinne von Absatz 5 ermöglichen und auch nach Abschluss dieses Tests verfügbar bleiben.

(5) Ist die eu-LISA der Auffassung, dass die Entwicklungsphase abgeschlossen ist, so führt sie in Abstimmung mit den zuständigen Grenzbehörden und anderen zuständigen Behörden der Mitgliedstaaten sowie den Fluggesellschaften unverzüglich einen umfangreichen Test des Routers durch und unterrichtet die Kommission über das Ergebnis dieses Tests.

Artikel 26

Aufgaben der eu-LISA im Hinblick auf das Hosting und die technische Verwaltung des Routers

(1) Die eu-LISA hostet den Router an den technischen Standorten der Agentur.

(2) Die eu-LISA ist für die technische Verwaltung des Routers verantwortlich, was seine Wartung und seine technischen Entwicklungen einschließt, und stellt dabei sicher, dass die API-Daten im Einklang mit dieser Verordnung sicher, wirksam und rasch über den Router übertragen werden.

Die technische Verwaltung des Routers umfasst die Wahrnehmung aller Aufgaben und die Umsetzung aller technischen Lösungen, die für das ordnungsgemäße Funktionieren des Routers gemäß dieser Verordnung im ununterbrochenen Betrieb (rund um die Uhr, sieben Tage in der Woche) erforderlich sind. Dazu gehören die Wartungsarbeiten und technischen Anpassungen, die erforderlich sind, um sicherzustellen, dass die Routerfunktionen insbesondere hinsichtlich der Verfügbarkeit, Richtigkeit und Zuverlässigkeit der API-Datenübertragung mit zufriedenstellender technischer Qualität arbeiten und dabei den technischen Spezifikationen und so weit wie möglich auch den betrieblichen Anforderungen der zuständigen Grenzbehörden und Fluggesellschaften Rechnung tragen.

(3) Die Bediensteten der eu-LISA haben keinen Zugriff auf die über den Router übertragenen API-Daten. Dieses Verbot schließt jedoch nicht aus, dass die Bediensteten der eu-LISA einen entsprechenden Zugang erhalten, soweit dies für die Wartung und die technische Verwaltung des Routers unbedingt erforderlich ist.

(4) Unbeschadet des Absatzes 3 dieses Artikels und des Artikels 17 des in der Verordnung (EWG, Euratom, EGKS) Nr. 259/68 des Rates (28) festgelegten Statuts der Beamten der Europäischen Union wendet die eu-LISA geeignete Regeln für die berufliche Schweigepflicht bzw. eine vergleichbare Geheimhaltungspflicht auf ihre Bediensteten an, die mit über den Router übertragenen API-Daten arbeiten. Diese Pflicht besteht auch nach dem Ausscheiden dieser Bediensteten aus dem Amt oder Dienstverhältnis oder der Beendigung ihrer Tätigkeit weiter.

Artikel 27

Unterstützungsaufgaben der eu-LISA in Bezug auf den Router

(1) Auf Ersuchen der zuständigen Grenzbehörden, anderer zuständiger Behörden der Mitgliedstaaten oder von Fluggesellschaften bietet die eu-LISA diesen Schulungen zur technischen Nutzung des Routers und zu ihrer Anbindung und Anpassung an den Router an.

(2) Die eu-LISA unterstützt die zuständigen Grenzbehörden beim Empfang von API-Daten über den Router gemäß dieser Verordnung, insbesondere bei der Anwendung der Artikel 14 und 23.

(3) Gemäß Artikel 24 Absatz 1 führt die eu-LISA unter Verwendung des in Artikel 25 Absatz 4 genannten Konformitätstestsatzes in Zusammenarbeit mit den Fluggesellschaften Tests der Übermittlung von API-Daten an den Router durch.

KAPITEL 6

GOVERNANCE

Artikel 28

Programmverwaltungsrat

(1) Bis zum 28. Januar 2025 richtet der Verwaltungsrat der eu-LISA einen Programmverwaltungsrat ein. Er setzt sich aus zehn Mitgliedern zusammen und besteht aus:

a)	sieben vom Verwaltungsrat der eu-LISA aus dem Kreis seiner Mitglieder oder ihrer Stellvertreter ernannten Mitglieder;

b)	dem Vorsitz der in Artikel 29 genannten API-PNR-Beratungsgruppe;

c)	einem von ihrem Exekutivdirektor ernannten Bediensteten der eu-LISA; und

d)	ein von der Kommission benanntes Mitglied.

In Bezug auf Buchstabe a werden die vom Verwaltungsrat der eu-LISA ernannten Mitglieder nur aus dem Kreis seiner Mitglieder oder seiner Stellvertreter aus den Mitgliedstaaten gewählt, für die diese Verordnung gilt.

(2) Der Programmverwaltungsrat gibt sich eine vom Verwaltungsrat der eu-LISA anzunehmende Geschäftsordnung.

Den Vorsitz führt ein Mitgliedstaat, der Mitglied des Programmverwaltungsrates ist.

(3) Der Programmverwaltungsrat überwacht die wirksame Erfüllung der Aufgaben der eu-LISA im Zusammenhang mit der Konzeption und Entwicklung des Routers gemäß Artikel 25.

Die eu-LISA stellt auf Ersuchen des Programmverwaltungsrates detaillierte und aktualisierte Informationen über die Konzeption und Entwicklung des Routers, einschließlich der von der eu-LISA zugewiesenen Ressourcen, zur Verfügung.

(4) Der Programmverwaltungsrat legt dem Verwaltungsrat der eu-LISA regelmäßig, mindestens jedoch dreimal pro Quartal, schriftliche Berichte über die Fortschritte bei der Konzeption und Entwicklung des Routers vor.

(5) Der Programmverwaltungsrat hat keine Entscheidungsbefugnis und kein Mandat zur Vertretung des Verwaltungsrats der eu-LISA oder seiner Mitglieder.

(6) Der Programmverwaltungsrat gilt ab dem in Artikel 46 Absatz 2 dieser Verordnung festgelegten Geltungsbeginn als aufgelöst.

Artikel 29

API-PNR-Beratungsgruppe

(1) Ab dem 28. Januar 2025 stellt die gemäß Artikel 27 Absatz 1 Buchstabe de der Verordnung (EU) 2018/1726 eingesetzte API-PNR-Beratungsgruppe dem Verwaltungsrat von eu-LISA das erforderliche Fachwissen in Bezug auf API-PNR zur Verfügung, insbesondere im Zusammenhang mit der Ausarbeitung ihres Jahresarbeitsprogramms und ihres jährlichen Tätigkeitsberichts.

(2) Die eu-LISA stellt der API-PNR-Beratungsgruppe soweit verfügbar Fassungen — auch vorläufige Fassungen — der technischen Spezifikationen und der in Artikel 25 Absätze 1, 2 und 4 genannten Konformitätstests zur Verfügung.

(3) Die API-PNR-Beratungsgruppe nimmt folgende Aufgaben wahr:

a)	Bereitstellung von Fachwissen für die eu-LISA und den Programmverwaltungsrat in Bezug auf die Konzeption und Entwicklung des Routers gemäß Artikel 25,

b)	Bereitstellung von Fachwissen für die eu-LISA in Bezug auf das Hosting und die technische Verwaltung des Routers gemäß Artikel 26,

c)	Abgabe einer Stellungnahme gegenüber dem Programmverwaltungsrat auf dessen Ersuchen zu den Fortschritten bei der Konzeption und Entwicklung des Routers, einschließlich der Fortschritte bei den in Absatz 2 genannten technischen Spezifikationen und Konformitätstests.

(4) Die API-PNR-Beratungsgruppe hat keine Entscheidungsbefugnis und kein Mandat zur Vertretung des Verwaltungsrats der eu-LISA oder seiner Mitglieder.

Artikel 30

API-PNR-Kontaktgruppe

(1) Der Verwaltungsrat der eu-LISA richtet bis zu dem in Artikel 46 Absatz 2 genannten Geltungsbeginn dieser Verordnung eine API-PNR-Kontaktgruppe ein.

(2) Die API-PNR-Kontaktgruppe ermöglicht die Kommunikation zwischen den zuständigen Behörden der Mitgliedstaaten und den Fluggesellschaften über technische Fragen im Zusammenhang mit ihren jeweiligen Aufgaben und Pflichten gemäß dieser Verordnung.

(3) Die API-PNR-Kontaktgruppe setzt sich aus Vertretern der zuständigen Behörden der Mitgliedstaaten und Vertretern der Fluggesellschaften, dem Vorsitz der API-PNR-Beratungsgruppe und Sachverständigen der eu-LISA zusammen.

(4) Der Verwaltungsrat der eu-LISA legt nach Stellungnahme der API-PNR-Beratungsgruppe die Geschäftsordnung der API-PNR-Kontaktgruppe fest.

(5) Der Verwaltungsrat der eu-LISA kann erforderlichenfalls auch Untergruppen der API-PNR-Kontaktgruppe einsetzen, um spezifische technische Fragen im Zusammenhang mit den jeweiligen im Rahmen dieser Verordnung bestehenden Aufgaben und Pflichten der zuständigen Behörden der Mitgliedstaaten und der Fluggesellschaften zu erörtern.

(6) Die API-PNR-Kontaktgruppe, einschließlich ihrer Untergruppen, hat keine Entscheidungsbefugnis und kein Mandat zur Vertretung des Verwaltungsrats der eu-LISA oder seiner Mitglieder.

Artikel 31

API-Sachverständigengruppe

(1) Die Kommission setzt bis zu dem in Artikel 46 Absatz 2 genannten Tag des Geltungsbeginns dieser Verordnung im Einklang mit den horizontalen Bestimmungen über die Einsetzung und Arbeitsweise von Sachverständigengruppen der Kommission eine API-Sachverständigengruppe ein.

(2) Die API-Sachverständigengruppe dient der Kommunikation zwischen den zuständigen Behörden der Mitgliedstaaten sowie zwischen den zuständigen Behörden der Mitgliedstaaten und den Fluggesellschaften über strategische Fragen im Zusammenhang mit ihren jeweiligen Aufgaben und Pflichten aus dieser Verordnung, auch in Bezug auf die in Artikel 37 genannten Sanktionen.

(3) Den Vorsitz in der API-Sachverständigengruppe hat die Kommission inne, und die Sachverständigengruppe wird entsprechend den horizontalen Bestimmungen über die Einsetzung und die Arbeitsweise von Expertengruppen der Kommission eingerichtet. Sie setzt sich aus Vertretern der zuständigen Behörden der Mitgliedstaaten, Vertretern der Fluggesellschaften und Sachverständigen der eu-LISA zusammen. Die API-Sachverständigengruppe kann betroffene Interessenträger, insbesondere Vertreter des Europäischen Parlaments, des Europäischen Datenschutzbeauftragten und der unabhängigen nationalen Aufsichtsbehörden, einladen, sich an ihrer Arbeit zu beteiligen, sofern dies für die Erfüllung ihrer Aufgaben relevant ist.

(4) Die API-Sachverständigengruppe nimmt ihre Aufgaben gemäß dem Grundsatz der Transparenz wahr. Die Kommission veröffentlicht auf ihrer Internetseite die Protokolle der Sitzungen der API-Sachverständigengruppe sowie andere einschlägige Dokumente.

Artikel 32

Kosten für die eu-LISA, den Europäischen Datenschutzbeauftragten, die nationalen Aufsichtsbehörden und die Mitgliedstaaten

(1) Die Kosten, die der eu-LISA im Zusammenhang mit der Einrichtung und dem Betrieb des Routers gemäß dieser Verordnung entstehen, werden aus dem Gesamthaushaltsplan der Union finanziert.

(2) Die Kosten, die den Mitgliedstaaten im Zusammenhang mit der Durchführung dieser Verordnung, insbesondere ihrer Anbindung und Anpassung an den Router gemäß Artikel 23, entstehen, werden aus dem Gesamthaushaltsplan der Union im Einklang mit den in den geltenden Rechtsakten der Union festgelegten Bestimmungen über die Förderfähigkeit und Kofinanzierungssätzen unterstützt.

(3) Die Kosten, die dem Europäischen Datenschutzbeauftragten im Zusammenhang mit den ihm gemäß dieser Verordnung übertragenen Aufgaben entstehen, werden aus dem Gesamthaushalt der Union finanziert.

(4) Die Kosten, die den unabhängigen nationalen Aufsichtsbehörden im Zusammenhang mit den ihnen gemäß dieser Verordnung übertragenen Aufgaben entstehen, werden von den Mitgliedstaaten getragen.

Artikel 33

Haftung in Bezug auf den Router

Für Schäden am Router, die darauf zurückzuführen sind, dass ein Mitgliedstaat oder eine Fluggesellschaft den in dieser Verordnung festgelegten Verpflichtungen nicht nachgekommen ist, haftet dieser Mitgliedstaat bzw. diese Fluggesellschaft wie im geltenden Unionsrecht oder nationalen Recht vorgesehen, es sei denn, es wurde nachgewiesen, dass die eu-LISA, ein anderer Mitgliedstaat oder eine andere Fluggesellschaft keine angemessenen Maßnahmen ergriffen hat, um den Schaden abzuwenden oder zu mindern.

Artikel 34

Inbetriebnahme des Routers

Sobald die eu-LISA die Kommission über den erfolgreichen Abschluss des umfangreichen Tests des Routers gemäß Artikel 25 Absatz 5 unterrichtet hat, legt die Kommission unverzüglich im Wege eines Durchführungsrechtsakts den Zeitpunkt fest, an dem der Router seinen Betrieb aufnimmt. Dieser Durchführungsrechtsakt wird gemäß dem in Artikel 43 Absatz 2 genannten Prüfverfahren erlassen.

Die Kommission legt den in Absatz 1 genannten Zeitpunkt so fest, dass er innerhalb von 30 Tagen nach dem Erlass des Durchführungsrechtsakts liegt.

Artikel 35

Freiwillige Nutzung des Routers nach der Richtlinie 2004/82/EG

(1) Die Fluggesellschaften sind berechtigt, den Router zu nutzen, um die in Artikel 3 Absätze 1 und 2 der Richtlinie 2004/82/EG genannten Informationen gemäß der genannten Richtlinie an eine oder mehrere der dort genannten zuständigen Behörden zu übertragen, sofern der betreffende Mitgliedstaat dieser Nutzung zugestimmt und einen geeigneten Zeitpunkt für den Nutzungsbeginn festgelegt hat. Bevor der Mitgliedstaat dieser Nutzung zustimmt, vergewissert er sich, dass die Informationen insbesondere in Anbetracht der Anbindung der eigenen zuständigen Behörden an den Router und derjenigen der betreffenden Fluggesellschaft rechtmäßig, sicher, wirksam und rasch übertragen werden können.

(2) Beginnt eine Fluggesellschaft mit der Nutzung des Routers gemäß Absatz 1 dieses Artikels, so überträgt sie diese Informationen bis zu dem in Artikel 46 Absatz 2 genannten Geltungsbeginn dieser Verordnung weiterhin über den Router an die zuständigen Behörden des betreffenden Mitgliedstaats. Wenn jedoch nach Auffassung dieses Mitgliedstaats objektive Gründe eine Einstellung dieser Nutzung rechtfertigen und er die Fluggesellschaft entsprechend unterrichtet, stellt die Fluggesellschaft die Nutzung ab dem von dem Mitgliedstaat festgelegten geeigneten Zeitpunkt wieder ein.

(3) Der betroffene Mitgliedstaat

a)	setzt sich mit der eu-LISA ins Benehmen, bevor er der freiwilligen Nutzung des Routers nach Absatz 1 zustimmt;

b)	gibt der betreffenden Fluggesellschaft — außer in hinreichend begründeten dringenden Fällen — Gelegenheit, zu ihrer Absicht, die Nutzung nach Absatz 2 einzustellen, Stellung zu nehmen und gegebenenfalls auch die eu-LISA dazu zu konsultieren;

unterrichtet die eu-LISA und die Kommission unverzüglich über jede Nutzung, der sie zugestimmt hat, und über jede Einstellung dieser Nutzung und legt dazu alle erforderlichen Informationen vor, einschließlich des Zeitpunkts des Beginns der Nutzung, des Zeitpunkts der Einstellung der Nutzung und der Gründe für die Einstellung.

KAPITEL 7

AUFSICHT, SANKTIONEN, STATISTIKEN UND HANDBUCH

Artikel 36

Nationale API-Aufsichtsbehörde

(1) Die Mitgliedstaaten benennen eine oder mehrere nationale API-Aufsichtsbehörden, die dafür zuständig sind, die Anwendung der Bestimmungen dieser Verordnung durch die Fluggesellschaften in ihrem Hoheitsgebiet zu überwachen und die Einhaltung dieser Bestimmungen sicherzustellen.

(2) Die Mitgliedstaaten stellen sicher, dass die nationalen API-Aufsichtsbehörden über alle erforderlichen Mittel und alle erforderlichen Ermittlungs- und Durchsetzungsbefugnisse verfügen, um ihre Aufgaben gemäß dieser Verordnung wahrzunehmen und gegebenenfalls auch die in Artikel 37 genannten Sanktionen zu verhängen. Die Mitgliedstaaten stellen sicher, dass die Ausübung der der nationalen API-Aufsichtsbehörde übertragenen Befugnisse gemäß den im Unionsrecht gewährleisteten Grundrechten geeigneten Schutzvorkehrungen unterliegt.

(3) Die Mitgliedstaaten melden der Kommission bis zu dem in Artikel 46 Absatz 2 genannten Geltungsbeginn dieser Verordnung die Namen und Kontaktdaten der von ihnen gemäß Absatz 1 des vorliegenden Artikels benannten Behörden. Sie melden der Kommission unverzüglich alle diesbezüglichen Änderungen.

(4) Die Befugnisse der Aufsichtsbehörden nach Artikel 51 der Verordnung (EU) 2016/679 bleiben von diesem Artikel unberührt.

Artikel 37

Sanktionen

(1) Die Mitgliedstaaten erlassen Vorschriften über Sanktionen, die bei Verstößen gegen diese Verordnung zu verhängen sind, und treffen alle für die Anwendung der Sanktionen erforderlichen Maßnahmen. Die vorgesehenen Sanktionen müssen wirksam, verhältnismäßig und abschreckend sein.

(2) Die Mitgliedstaaten teilen der Kommission diese Vorschriften und Maßnahmen bis zu dem in Artikel 46 Absatz 2 festgelegten Geltungsbeginn dieser Verordnung mit und melden ihr unverzüglich alle diesbezüglichen Änderungen.

(3) Die Mitgliedstaaten stellen sicher, dass die nationalen API-Aufsichtsbehörden bei der Entscheidung darüber, ob sie Sanktionen verhängen, und bei der Festlegung von Art und Höhe der Sanktionen die relevanten Umstände berücksichtigen, darunter eventuell

a)	Art, Schwere und Dauer des Verstoßes;

b)	Grad des Verschuldens der Fluggesellschaft;

c)	frühere Verstöße der Fluggesellschaft;

d)	allgemeines Ausmaß der Zusammenarbeit der Fluggesellschaft mit den zuständigen Behörden;

e)	Größe der Fluggesellschaft, z. B. die Zahl der jährlich beförderten Fluggäste;

f)	ob andere nationale API-Aufsichtsbehörden bereits früher Sanktionen gegen dieselbe Fluggesellschaft wegen desselben Verstoßes verhängt haben.

(4) Die Mitgliedstaaten stellen sicher, dass bei dem wiederholten Versäumnis, API-Daten gemäß Artikel 6 Absatz 1 zu übermitteln, verhältnismäßige finanzielle Sanktionen in Höhe von bis zu 2 % des von der Fluggesellschaft im vorangegangenen Geschäftsjahr erwirtschafteten weltweiten Jahresumsatzes verhängt werden können. Die Mitgliedstaaten stellen sicher, dass die Nichteinhaltung anderer in dieser Verordnung festgelegter Verpflichtungen mit verhältnismäßigen Sanktionen, auch finanzieller Art, geahndet wird.

Artikel 38

Statistiken

(1) Um die Durchführung und Überwachung der Anwendung dieser Verordnung zu unterstützen, veröffentlicht die eu-LISA auf der Grundlage der in Absatz 5 genannten statistischen Informationen vierteljährlich Statistiken über die Funktionsweise des Routers und über die Einhaltung der in dieser Verordnung festgelegten Verpflichtungen durch die Fluggesellschaften. Diese Statistiken dürfen keine Identifizierung von Einzelpersonen ermöglichen.

(2) Für die in Absatz 1 genannten Zwecke überträgt der Router die in Absatz 5 aufgeführten Daten automatisch an den CRRS.

(3) Um die Durchführung und Überwachung der Anwendung dieser Verordnung zu unterstützen, stellt eu-LISA jährlich statistische Daten in einem Jahresbericht über das vergangene Jahr zusammen. Sie veröffentlicht diesen Jahresbericht und übermittelt ihn dem Europäischen Parlament, dem Rat, der Kommission, dem Europäischen Datenschutzbeauftragten, der Europäischen Agentur für die Grenz- und Küstenwache und den nationalen API-Aufsichtsbehörden nach Artikel 36. In dem Jahresbericht dürfen weder vertrauliche Arbeitsmethoden offengelegt werden, noch darf er laufende Ermittlungen der zuständigen Behörden der Mitgliedstaaten gefährden.

(4) Die eu-LISA stellt der Kommission auf deren Ersuchen hin Statistiken zu spezifischen Aspekten im Zusammenhang mit der Durchführung dieser Verordnung sowie die in Absatz 3 genannten Statistiken zur Verfügung.

(5) Der CRRS stellt der eu-LISA die für die Berichterstattung gemäß Artikel 45 und für die Erstellung der folgenden Statistiken gemäß diesem Artikel erforderlichen statistischen Angaben zur Verfügung, wobei diese Statistiken zu API-Daten keine Identifizierung der betreffenden Fluggäste ermöglichen dürfen:

a)	Staatsangehörigkeit, Geschlecht und Geburtsjahr des Fluggastes;

b)	Datum und ursprünglicher Abflugort, Abflugdatum und Abflugflughafen sowie Ankunftsdatum und Ankunftsflughafen;

c)	Art des Reisedokuments, aus drei Buchstaben bestehender Code des ausstellenden Staates und Datum des Ablaufs seiner Gültigkeitsdauer;

d)	Zahl der insgesamt für den betreffenden Flug abgefertigten Fluggäste;

e)	Code der Fluggesellschaft, die den Flug durchführt;

f)	Angabe, ob es sich um einen Charterflug oder um einen Gelegenheitsflug handelt;

g)	Angabe, ob API-Daten unverzüglich nach Abfertigungsschluss übermittelt wurden;

h)	Angabe, ob die personenbezogenen Daten des Fluggastes richtig, vollständig und aktuell sind;

i)	zur Erfassung der API-Daten genutzte technische Mittel.

(6) Für die Zwecke der Berichterstattung nach Artikel 45 und zur Erstellung der Statistiken gemäß diesem Artikel speichert die eu-LISA die Daten nach Absatz 5 dieses Artikels in dem CRRS. Sie speichert solche Daten gemäß Absatz 2 für einen Zeitraum von fünf Jahren, wobei sichergestellt wird, dass die Daten keine Identifizierung der betreffenden Fluggäste ermöglichen dürfen. Zur Durchführung und Überwachung der Anwendung dieser Verordnung stellt der CRRS ordnungsgemäß ermächtigten Bediensteten der zuständigen Grenzbehörden und anderer zuständiger Behörden der Mitgliedstaaten anpassbare Berichte und Statistiken zu API-Daten gemäß Absatz 5 dieses Artikels bereit.

(7) Die Verwendung der in Absatz 5 genannten Daten darf nicht zu dem Profiling von Personen gemäß Artikel 22 der Verordnung (EU) 2016/679 oder einer Diskriminierung von Personen aus den in Artikel 21 der Charta aufgeführten Gründen führen. Die in Absatz 5 genannten Daten dürfen weder für den Vergleich und den Abgleich noch für eine Kombination mit personenbezogenen Daten verwendet werden.

(8) Die von der eu-LISA zur Überwachung der Entwicklung und der Funktionsweise des Routers eingeführten Verfahren gemäß Artikel 39 Absatz 2 der Verordnung (EU) 2019/817 umfassen die Möglichkeit, regelmäßige Statistiken zur Sicherstellung dieser Überwachung zu erstellen.

Artikel 39

Handbuch

Die Kommission erstellt in enger Zusammenarbeit mit den zuständigen Behörden, anderen zuständigen Behörden der Mitgliedstaaten, den Fluggesellschaften und den zuständigen Einrichtungen und Agenturen der Union ein Handbuch mit Leitlinien, Empfehlungen und bewährten Verfahren für die Durchführung dieser Verordnung, unter anderem in Bezug auf die Vereinbarkeit mit den Grundrechten und auf Sanktionen gemäß Artikel 37, und macht dieses öffentlich zugänglich.

Das Handbuch berücksichtigt andere einschlägige Handbücher.

Die Kommission nimmt das Handbuch in Form einer Empfehlung an.

KAPITEL 8

AUSWIRKUNGEN AUF ANDERE BESTEHENDE INSTRUMENTE

Artikel 40

Aufhebung der Richtlinie 2004/82/EG

Die Richtlinie 2004/82/EG wird ab dem in Artikel 46 Absatz 2 dieser Verordnung festgelegten Geltungsbeginn aufgehoben.

Artikel 41

Änderungen der Verordnung (EU) 2018/1726

Die Verordnung (EU) 2018/1726 wird wie folgt geändert:

Folgender Artikel wird eingefügt:

„Artikel 13a

Aufgaben im Zusammenhang mit dem Router

In Bezug auf die Verordnungen (EU) 2025/12 (*1) und (EU) 2025/13 (*2) des Europäischen Parlaments und des Rates nimmt die Agentur die ihr durch die genannten Verordnungen übertragenen Aufgaben im Zusammenhang mit dem Router wahr.

(*1) Verordnung (EU) 2025/12 des Europäischen Parlaments und des Rates vom 19. Dezember 2024 über die Erhebung und Übermittlung vorab übermittelter Fluggastdaten (API) zur Verbesserung und Erleichterung der Grenzübertrittskontrollen an den Außengrenzen, zur Änderung der Verordnung (EU) 2019/817 und der Verordnung (EU) 2018/1726 sowie zur Aufhebung der Richtlinie 2004/82/EG des Rates (ABl. L, 2025/12, 8.1.2025, ELI: http://data.europa.eu/eli/reg/2025/12/oj)."

(*2) Verordnung (EU) 2025/13 des Europäischen Parlaments und des Rates vom 19. Dezember 2024 über die Erhebung und Übermittlung von vorab übermittelten Fluggastdaten zur Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität und zur Änderung der Verordnung (EU) 2019/818 (ABl. L, 2025/13, 8.1.2025, ELI: http://data.europa.eu/eli/reg/2025/13/oj)“ "

Artikel 17 Absatz 3 erhält folgende Fassung:

„(3) Sitz der Agentur ist Tallinn, Estland.

Die Aufgaben im Zusammenhang mit der Entwicklung und dem Betriebsmanagement gemäß Artikel 1 Absätze 4 und 5 sowie den Artikeln 3 bis 9, 11 und 13a werden am technischen Standort in Straßburg (Frankreich) erfüllt.

Ein Back-up-Standort, der beim Ausfall eines IT-Großsystems dessen Betrieb sicherstellen kann, wird in Sankt Johann im Pongau (Österreich) eingerichtet.“

Artikel 19 Absatz 1 wird wie folgt geändert:

Folgender Buchstabe wird eingefügt:

„eec)

Berichte über den Stand der Entwicklung des Routers gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2025/12 anzunehmen.“

Buchstabe ff Ziffer vi erhält folgende Fassung:

„vi)	die Interoperabilitätskomponenten nach Artikel 78 Absatz 3 der Verordnung (EU) 2019/817 und Artikel 74 Absatz 3 der Verordnung (EU) 2019/818, und für den Router nach Artikel 80 Absatz 5 der Verordnung (EU) 2024/982 und Artikel 45 Absatz 5 der Verordnung (EU) 2025/12;“

Buchstabe hh erhält folgende Fassung:

„hh)

förmliche Stellungnahmen zu den Berichten des Europäischen Datenschutzbeauftragten über seine Überprüfungen nach Artikel 56 Absatz 2 der Verordnung (EU) 2018/1861, Artikel 42 Absatz 2 der Verordnung (EG) Nr. 767/2008 und Artikel 31 Absatz 2 der Verordnung (EU) Nr. 603/2013, Artikel 56 Absatz 2 der Verordnung (EU) 2017/2226, Artikel 67 der Verordnung (EU) 2018/1240, Artikel 29 Absatz 2 der Verordnung (EU) 2019/816, Artikel 52 der Verordnungen (EU) 2019/817 und (EU) 2019/818, Artikel 58 Absatz 1 der Verordnung (EU) 2024/982 und Artikel 22 Absatz 3 der Verordnung (EU) 2025/12 anzunehmen und für geeignete Folgemaßnahmen zu diesen Überprüfungen zu sorgen;“

In Artikel 27 Absatz 1 wird folgender Buchstabe eingefügt:

„de)	die API-PNR-Beratungsgruppe.“

Artikel 42

Änderung der Verordnung (EU) 2019/817

Artikel 39 Absätze 1 und 2 der Verordnung (EU) 2019/817 erhalten folgende Fassung:

„(1) Es wird ein zentraler Speicher für Berichte und Statistiken (CRRS) eingerichtet, um die Ziele des EES, des VIS, des ETIAS sowie des SIS gemäß den entsprechenden geltenden Rechtsinstrumenten zu unterstützen und systemübergreifende statistische Daten und analytische Berichte für politische und operative Zwecke sowie für die Zwecke der Datenqualität bereitzustellen. Der CRRS unterstützt auch die Ziele der Verordnung (EU) 2025/12 des Europäischen Parlaments und des Rates (*3).

(2) Die eu-LISA sorgt an ihren technischen Standorten für die Einrichtung, die Implementierung und das Hosting des CRRS, das logisch nach den EU-Informationssystemen getrennt die Daten und Statistiken nach Artikel 63 der Verordnung (EU) 2017/2226, Artikel 17 der Verordnung (EG) Nr. 767/2008, Artikel 84 der Verordnung (EU) 2018/1240, Artikel 60 der Verordnung (EU) 2018/1861 und Artikel 16 der Verordnung (EU) 2018/1860 enthält. Die eu-LISA erhebt auch die Daten und Statistiken des in Artikel 38 Absatz 1 der Verordnung (EU) 2025/12 genannten Routers. Der Zugang zum CRRS erfolgt in Form eines kontrollierten, gesicherten Zugangs und spezifischer Nutzerprofile und wird den in Artikel 63 der Verordnung (EU) 2017/2226, Artikel 17 der Verordnung (EG) Nr. 767/2008, Artikel 84 der Verordnung (EU) 2018/1240, Artikel 60 der Verordnung (EU) 2018/1861 und Artikel 45 Absatz 2 der Verordnung (EU) 2025/12 genannten Behörden ausschließlich zu Berichterstattungs- und Statistikzwecken gewährt.

KAPITEL 9

SCHLUSSBESTIMMUNGEN

Artikel 43

Ausschussverfahren

(1) Die Kommission wird von einem Ausschuss unterstützt. Dieser Ausschuss ist ein Ausschuss im Sinne der Verordnung (EU) Nr. 182/2011.

(2) Wird auf diesen Absatz Bezug genommen, so gilt Artikel 5 der Verordnung (EU) Nr. 182/2011. Gibt der Ausschuss keine Stellungnahme ab, erlässt die Kommission den Entwurf des Durchführungsrechtsaktes nicht, und Artikel 5 Absatz 4 Unterabsatz 3 der Verordnung (EU) Nr. 182/2011 findet Anwendung.

Artikel 44

Ausübung der Befugnisübertragung

(1) Die Befugnis zum Erlass delegierter Rechtsakte wird der Kommission unter den in diesem Artikel festgelegten Bedingungen übertragen.

(2) Die Befugnis zum Erlass delegierter Rechtsakte gemäß Artikel 5 Absätze 6 und 7, Artikel 6 Absatz 3 und Artikel 9 Absatz 6 wird der Kommission für einen Zeitraum von fünf Jahren ab dem 28. Januar 2025 übertragen. Die Kommission erstellt spätestens neun Monate vor Ablauf des Zeitraums von fünf Jahren einen Bericht über die Befugnisübertragung. Die Befugnisübertragung verlängert sich stillschweigend um Zeiträume gleicher Länge, es sei denn, das Europäische Parlament oder der Rat widerspricht einer solchen Verlängerung spätestens drei Monate vor Ablauf des jeweiligen Zeitraums.

Was einen delegierten Rechtsakt betrifft, der gemäß Artikel 5 Absatz 6 erlassen wurde, lehnt weder das Europäische Parlament noch der Rat die stillschweigende Verlängerung nach Unterabsatz 1 des vorliegenden Absatzes ab, wenn das Europäische Parlament oder der Rat gemäß Absatz 6 des vorliegenden Artikels Einwände erhoben hat.

(3) Die Befugnisübertragung gemäß Artikel 5 Absatz 7, Artikel 6 Absatz 3 und Artikel 9 Absatz 6 kann vom Europäischen Parlament oder vom Rat jederzeit widerrufen werden. Der Beschluss über den Widerruf beendet die Übertragung der in diesem Beschluss angegebenen Befugnis. Er wird am Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union oder an einem im Beschluss über den Widerruf angegebenen späteren Tag wirksam. Die Gültigkeit von delegierten Rechtsakten, die bereits in Kraft sind, wird von dem Beschluss über den Widerruf nicht berührt.

(4) Vor dem Erlass eines delegierten Rechtsakts konsultiert die Kommission die von den einzelnen Mitgliedstaaten benannten Sachverständigen im Einklang mit den in der Interinstitutionellen Vereinbarung vom 13. April 2016 über bessere Rechtsetzung enthaltenen Grundsätzen.

(5) Sobald die Kommission einen delegierten Rechtsakt erlässt, übermittelt sie ihn gleichzeitig dem Europäischen Parlament und dem Rat.

(6) Ein delegierter Rechtsakt, der gemäß Artikel 5 Absätze 6 oder 7, Artikel 6 Absatz 3 oder Artikel 9 Absatz 6 erlassen wurde, tritt nur in Kraft, wenn weder das Europäische Parlament noch der Rat innerhalb einer Frist von zwei Monaten nach Übermittlung dieses Rechtsakts an das Europäische Parlament und den Rat Einwände erhoben haben oder wenn vor Ablauf dieser Frist das Europäische Parlament und der Rat beide der Kommission mitgeteilt haben, dass sie keine Einwände erheben werden. Auf Initiative des Europäischen Parlaments oder des Rates wird diese Frist um zwei Monate verlängert.

Artikel 45

Überwachung und Evaluierung

(1) Die eu-LISA stellt sicher, dass zur Überwachung der Entwicklung und der Funktionsweise des Routers geeignete Verfahren vorhanden sind, wobei für die Entwicklung Ziele in Bezug auf Planung und Kosten und für die Funktionsweise Ziele in Bezug auf die technische Leistung, Kostenwirksamkeit, Sicherheit und Dienstleistungsqualität festzulegen sind.

(2) Bis zum 29. Januar 2026 und danach jedes Jahr während der Entwicklungsphase des Routers erstellt eu-LISA einen Bericht über den Stand der Entwicklung des Routers und legt diesen Bericht dem Europäischen Parlament und dem Rat vor. Der Bericht enthält genaue Angaben über die angefallenen Kosten und über etwaige Risiken, welche sich auf die Gesamtkosten auswirken könnten, die gemäß Artikel 32 zulasten des Gesamthaushaltsplans der Union gehen.

(3) Sobald der Router in Betrieb geht, erstellt eu-LISA einen Bericht, in dem detailliert dargelegt wird, wie die Ziele, insbesondere in Bezug auf die Planung und die Kosten, erreicht wurden, und in dem Gründe für etwaige Abweichungen angegeben werden, und übermittelt diesen dem Europäischen Parlament und dem Rat.

(4) Die Kommission erstellt bis zum 29. Januar 2029 und danach alle vier Jahre einen Bericht mit einer Gesamtevaluierung dieser Verordnung, in deren Rahmen die Notwendigkeit und der Zusatznutzen der Erhebung von API-Daten aufgezeigt wird, einschließlich einer Bewertung

a)	der Anwendung dieser Verordnung;

b)	des Umfangs, in dem die Ziele dieser Verordnung erreicht wurden;

c)	der Auswirkungen dieser Verordnung auf die durch das Unionsrecht geschützten Grundrechte;

d)	der Auswirkungen dieser Verordnung auf das Reiseerlebnis rechtmäßig reisender Fluggäste;

e)	der Auswirkungen dieser Verordnung auf die Wettbewerbsfähigkeit des Luftfahrtsektors und der Belastung für Unternehmen;

f)	der Qualität der vom Router an die zuständige Grenzbehörde übertragenen Daten;

g)	der Leistung des Routers mit Blick auf die zuständigen Grenzbehörden.

Für die Zwecke von Buchstabe e des ersten Unterabsatzes befasst sich der Bericht der Kommission auch mit der Wechselwirkung dieser Verordnung mit anderen einschlägigen Gesetzgebungsakten der Union, insbesondere der Verordnungen (EG) Nr. 767/2008, (EU) 2017/2226 und (EU) 2018/1240, um die Gesamtauswirkungen der damit verbundenen Meldepflichten auf die Fluggesellschaften zu bewerten, Bestimmungen zu ermitteln, die zur Verringerung der Belastung der Fluggesellschaften gegebenenfalls aktualisiert und vereinfacht werden können, und Aktionen und Maßnahmen zu prüfen, die zur Senkung des Gesamtkostendrucks auf die Fluggesellschaften ergriffen werden könnten;

(5) Die Kommission übermittelt den Evaluierungsbericht dem Europäischen Parlament, dem Rat, dem Europäischen Datenschutzbeauftragten und der Agentur der Europäischen Union für Grundrechte. Auf der Grundlage der Evaluierung legt die Kommission dem Europäischen Parlament und dem Rat gegebenenfalls einen Gesetzgebungsvorschlag zur Änderung dieser Verordnung vor.

(6) Die Mitgliedstaaten und die Fluggesellschaften stellen der eu-LISA und der Kommission auf deren Ersuchen die Informationen zur Verfügung, die für die Erstellung der in den Absätzen 2, 3 und 4 genannten Berichte erforderlich sind, wie Daten zu den Ergebnissen der anhand von API-Daten an den Außengrenzen über die Informationssysteme der Union und die nationalen Datenbanken durchgeführten Vorabkontrollen. Insbesondere stellen die Mitgliedstaaten quantitative und qualitative Informationen über die Erhebung von API-Daten aus operativer Sicht zur Verfügung. Bei den bereitgestellten Informationen handelt es sich nicht um personenbezogene Daten. Die Mitgliedstaaten können davon absehen, solche Informationen bereitzustellen, soweit dies erforderlich ist, um vertrauliche Arbeitsmethoden nicht offenzulegen oder um laufende Ermittlungen ihrer zuständigen Grenzbehörden nicht zu gefährden. Die Kommission stellt sicher, dass alle übermittelten vertraulichen Informationen angemessen geschützt werden.

Artikel 46

Inkrafttreten und Geltungsbeginn

Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.

Sie gilt ab dem Tag zwei Jahre nach dem von der Kommission gemäß Artikel 34 bestimmten Zeitpunkt der Inbetriebnahme des Routers.

Außerdem gilt Folgendes:

Artikel 5 Absätze 7 und 8, Artikel 6 Absatz 3, Artikel 9 Absatz 6, Artikel 13 Absatz 4, Artikel 14 Absatz 5, Artikel 18 Absatz 4, Artikel 23 Absatz 2, Artikel 24 Absatz 2, Artikel 25, Artikel 28 und Artikel 29, Artikel 32 Absatz 1 und Artikel 34, Artikel 43 und Artikel 44 gelten ab dem 28. Januar 2025.

b)	Artikel 5 Absatz 6, Artikel 12, Artikel 15, Artikel 17 Absätze 1, 3 und 4, Artikel 18 Absätze 1, 2 und 3 und Artikel 19, Artikel 20, Artikel 26, Artikel 27, Artikel 33 und Artikel 35 gelten ab dem von der Kommission gemäß Artikel 34 bestimmten Zeitpunkt der Inbetriebnahme des Routers.

Diese Verordnung ist in allen ihren Teilen verbindlich und gilt gemäß den Verträgen unmittelbar in den Mitgliedstaaten.

Geschehen zu Brüssel am 19. Dezember 2024.

Im Namen des Europäischen Parlaments

Die Präsidentin

R. METSOLA

Im Namen des Rates

Der Präsident

BÓKA J.

(1) ABl. C 228 vom 29.6.2023, S. 97.

(2) Standpunkt des Europäischen Parlaments vom 25. April 2024 (noch nicht im Amtsblatt veröffentlicht) und Beschluss des Rates vom 12. Dezember 2024.

(3) Verordnung (EU) 2016/399 des Europäischen Parlaments und des Rates vom 9. März 2016 über einen Gemeinschaftskodex für das Überschreiten der Grenzen durch Personen (Schengener Grenzkodex) (ABl. L 77 vom 23.3.2016, S. 1).

(4) Richtlinie 2004/82/EG des Rates vom 29. April 2004 über die Verpflichtung von Beförderungsunternehmen, Angaben über die beförderten Personen zu übermitteln (ABl. L 261 vom 6.8.2004, S. 24).

(5) Verordnung (EU) 2019/1157 des Europäischen Parlaments und des Rates vom 20. Juni 2019 zur Erhöhung der Sicherheit der Personalausweise von Unionsbürgern und der Aufenthaltsdokumente, die Unionsbürgern und deren Familienangehörigen ausgestellt werden, die ihr Recht auf Freizügigkeit ausüben (ABl. L 188 vom 12.7.2019, S. 67).

(6) Verordnung (EG) Nr. 2252/2004 des Rates vom 13. Dezember 2004 über Normen für Sicherheitsmerkmale und biometrische Daten in von den Mitgliedstaaten ausgestellten Pässen und Reisedokumenten (ABl. L 385 vom 29.12.2004, S. 1).

(7) Richtlinie (EU) 2019/997 des Rates vom 18. Juni 2019 zur Festlegung eines EU-Rückkehrausweises und zur Aufhebung des Beschlusses 96/409/GASP (ABl. L 163 vom 20.6.2019, S. 1).

(8) Verordnung (EG) Nr. 1107/2006 des Europäischen Parlaments und des Rates vom 5. Juli 2006 über die Rechte von behinderten Flugreisenden und Flugreisenden mit eingeschränkter Mobilität (ABl. L 204 vom 26.7.2006, S. 1).

(9) Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1).

(10) Verordnung (EU) 2025/13 des Europäischen Parlaments und des Rates vom 19. Dezember 2024 über die Erhebung und Übermittlung von API-Daten zur Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität und zur Änderung der Verordnung (EU) 2019/818 (ABl. L, 2025/13, 8.1.2025, ELI: http://data.europa.eu/eli/reg/2025/13/oj).

(11) Verordnung (EU) 2017/2226 des Europäischen Parlaments und des Rates vom 30. November 2017 über ein Einreise-/Ausreisesystem (EES) zur Erfassung der Ein- und Ausreisedaten sowie der Einreiseverweigerungsdaten von Drittstaatsangehörigen an den Außengrenzen der Mitgliedstaaten und zur Festlegung der Bedingungen für den Zugang zum EES zu Gefahrenabwehr- und Strafverfolgungszwecken und zur Änderung des Übereinkommens zur Durchführung des Übereinkommens von Schengen sowie der Verordnungen (EG) Nr. 767/2008 und (EU) Nr. 1077/2011 (ABl. L 327 vom 9.12.2017, S. 20).

(12) Verordnung (EU) 2018/1240 des Europäischen Parlaments und des Rates vom 12. September 2018 über die Einrichtung eines Europäischen Reiseinformations- und -genehmigungssystems (ETIAS) und zur Änderung der Verordnungen (EU) Nr. 1077/2011, (EU) Nr. 515/2014, (EU) 2016/399, (EU) 2016/1624 und (EU) 2017/2226 (ABl. L 236 vom 19.9.2018, S. 1).

(13) Verordnung (EG) Nr. 767/2008 des Europäischen Parlaments und des Rates vom 9. Juli 2008 über das Visa-Informationssystem (VIS) und den Informationsaustausch zwischen den Mitgliedstaaten über Visa für einen kurzfristigen Aufenthalt, Visa für einen längerfristigen Aufenthalt und Aufenthaltstitel (VIS-Verordnung) (ABl. L 218 vom 13.8.2008, S. 60).

(14) Verordnung (EU) 2018/1726 des Europäischen Parlaments und des Rates vom 14. November 2018 über die Agentur der Europäischen Union für das Betriebsmanagement von IT-Großsystemen im Raum der Freiheit, der Sicherheit und des Rechts (eu-LISA), zur Änderung der Verordnung (EG) Nr. 1987/2006 und des Beschlusses 2007/533/JI des Rates sowie zur Aufhebung der Verordnung (EU) Nr. 1077/2011 (ABl. L 295 vom 21.11.2018, S. 99).

(15) Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG (ABl. L 295 vom 21.11.2018, S. 39).

(16) Verordnung (EU) 2019/817 des Europäischen Parlaments und des Rates vom 20. Mai 2019 zur Errichtung eines Rahmens für die Interoperabilität zwischen EU-Informationssystemen in den Bereichen Grenzen und Visa und zur Änderung der Verordnungen (EG) Nr. 767/2008, (EU) 2016/399, (EU) 2017/2226, (EU) 2018/1240, (EU) 2018/1726 und (EU) 2018/1861 des Europäischen Parlaments und des Rates, der Entscheidung 2004/512/EG des Rates und des Beschlusses 2008/633/JI des Rates (ABl. L 135 vom 22.5.2019, S. 27).

(17) ABl. L 123 vom 12.5.2016, S. 1.

(18) Verordnung (EU) Nr. 182/2011 des Europäischen Parlaments und des Rates vom 16. Februar 2011 zur Festlegung der allgemeinen Regeln und Grundsätze, nach denen die Mitgliedstaaten die Wahrnehmung der Durchführungsbefugnisse durch die Kommission kontrollieren (ABl. L 55 vom 28.2.2011, S. 13).

(19) Beschluss 2002/192/EG des Rates vom 28. Februar 2002 zum Antrag Irlands auf Anwendung einzelner Bestimmungen des Schengen-Besitzstands auf Irland (ABl. L 64 vom 7.3.2002, S. 20).

(20) ABl. L 176 vom 10.7.1999, S. 36.

(21) Beschluss 1999/437/EG des Rates vom 17. Mai 1999 zum Erlass bestimmter Durchführungsvorschriften zu dem Übereinkommen zwischen dem Rat der Europäischen Union und der Republik Island und dem Königreich Norwegen über die Assoziierung dieser beiden Staaten bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands (ABl. L 176 vom 10.7.1999, S. 31).

(22) ABl. L 53 vom 27.2.2008, S. 52.

(23) Beschluss 2008/146/EG des Rates vom 28. Januar 2008 über den Abschluss — im Namen der Europäischen Gemeinschaft — des Abkommens zwischen der Europäischen Union, der Europäischen Gemeinschaft und der Schweizerischen Eidgenossenschaft über die Assoziierung der Schweizerischen Eidgenossenschaft bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands (ABl. L 53 vom 27.2.2008, S. 1).

(24) ABl. L 160 vom 18.6.2011, S. 21.

(25) Beschluss 2011/350/EU des Rates vom 7. März 2011 über den Abschluss — im Namen der Europäischen Union — des Protokolls zwischen der Europäischen Union, der Europäischen Gemeinschaft, der Schweizerischen Eidgenossenschaft und dem Fürstentum Liechtenstein über den Beitritt des Fürstentums Liechtenstein zum Abkommen zwischen der Europäischen Union, der Europäischen Gemeinschaft und der Schweizerischen Eidgenossenschaft über die Assoziierung der Schweizerischen Eidgenossenschaft bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands in Bezug auf die Abschaffung der Kontrollen an den Binnengrenzen und den freien Personenverkehr (ABl. L 160 vom 18.6.2011, S. 19).

(26) ABl. C 84 vom 7.3.2023, S. 2.

(27) Richtlinie (EU) 2016/681 des Europäischen Parlaments und des Rates vom 27. April 2016 über die Verwendung von Fluggastdatensätzen (PNR-Daten) zur Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität (ABl. L 119 vom 4.5.2016, S. 132).

(28) ABl. L 56 vom 4.3.1968, S. 1.