Artikel 33a VO (EU) 2016/794

(1) Europol kann zum Zweck seiner Forschungs- und Innovationsprojekte personenbezogene Daten verarbeiten, sofern die Verarbeitung dieser personenbezogenen Daten:

a)

unbedingt erforderlich und hinreichend begründet ist, um die Ziele des Projekts zu erreichen,

b)

bei besonderen Kategorien personenbezogener Daten unbedingt erforderlich ist und geeigneten Garantien, zu denen eine Pseudonymisierung gehören kann, unterliegt.

Die Verarbeitung personenbezogener Daten im Rahmen eines Forschungs- und Innovationsprojekts durch Europol muss den Grundsätzen von Transparenz, Erklärbarkeit, Fairness und Rechenschaftspflicht folgen.

(2) Unbeschadet des Absatzes 1 gelten für die Verarbeitung personenbezogener Daten im Rahmen der Forschungs- und Innovationsprojekte von Europol die folgenden Garantien:

a)

Jedes Forschungs- und Innovationsprojekt bedarf der vorherigen Genehmigung durch den Exekutivdirektor, in Absprache mit dem Datenschutzbeauftragten und dem Grundrechtsbeauftragten, auf der Grundlage

i)

einer Beschreibung der Projektziele und einer Erklärung, wie das Projekt Europol oder die zuständigen Behörden der Mitgliedstaaten bei ihren Aufgaben unterstützt;

ii)

einer Beschreibung des geplanten Verarbeitungsvorgangs, in der die Ziele, der Umfang und die Dauer der Verarbeitung festgelegt sowie die Notwendigkeit und Verhältnismäßigkeit der Verarbeitung der personenbezogenen Daten, zum Beispiel zur Erforschung und Erprobung technologischer Lösungen und zur Gewährleistung der Genauigkeit der Projektergebnisse, dargelegt werden;

iii)

einer Beschreibung der Kategorien der zu verarbeitenden personenbezogenen Daten;

iv)

einer Beurteilung der Einhaltung der in Artikel 71 der Verordnung (EU) 2018/1725 festgelegten Datenschutzgrundsätze, der Speicherfristen und der Bedingungen für den Zugang zu den personenbezogenen Daten sowie

v)

einer Datenschutz-Folgenabschätzung einschließlich der Risiken für Rechte und Freiheiten der betroffenen Personen, des Risikos einer Verzerrung bei den für das Trainieren von Algorithmen verwendeten personenbezogenen Daten und beim Ergebnis der Verarbeitung, sowie der Maßnahmen, mit denen diesen Risiken begegnet werden soll und Grundrechtsverletzungen vermieden werden sollen.

b)

Der EDSB wird vor Beginn des Projekts unterrichtet.

c)

Der Verwaltungsrat wird vor Beginn des Projekts gemäß den in Artikel 18 Absatz 7 genannten Leitlinien gehört oder unterrichtet.

d)

Personenbezogene Daten, die im Rahmen des Projekts verarbeitet werden sollen,

i)

werden vorübergehend in eine getrennte, isolierte und geschützte Datenverarbeitungsumgebung innerhalb von Europol ausschließlich zur Durchführung des betreffenden Projekts kopiert;

ii)

werden gemäß Artikel 30 Absatz 3 der vorliegenden Verordnung nur von eigens dazu ermächtigten Bediensteten von Europol und — vorbehaltlich technischer Sicherheitsmaßnahmen — eigens dazu ermächtigten Bediensteten der zuständigen Behörden der Mitgliedstaaten und der gemäß Titel V AEUV eingerichteten Agenturen der Union eingesehen;

iii)

werden nicht übermittelt;

iv)

führen nicht zu Maßnahmen oder Entscheidungen, die Auswirkungen auf die betroffenen Personen infolge ihrer Verarbeitung haben;

v)

werden gelöscht, sobald das Projekt abgeschlossen oder die Speicherfrist für die personenbezogenen Daten nach Artikel 31 abgelaufen ist.

e)

Die Protokolle der Verarbeitung personenbezogener Daten im Rahmen des Projekts werden für zwei Jahre nach Abschluss des Projekts ausschließlich für den Zweck und die erforderliche Dauer der Überprüfung der Genauigkeit der Ergebnisse der Datenverarbeitung aufbewahrt.

(3) Der Verwaltungsrat legt in einem verbindlichen Dokument den allgemeinen Anwendungsbereich für die Forschungs- und Innovationsprojekte fest. Dieses Dokument wird gegebenenfalls aktualisiert und dem EDSB zu Kontrollzwecken zur Verfügung gestellt.

(4) Europol bewahrt ein Dokument mit einer detaillierten Beschreibung des Prozesses und der Erwägungen auf, die dem Trainieren, Erproben und Validieren der Algorithmen zugrunde lagen, um die Transparenz des Verfahrens und der Algorithmen — darunter deren Einhaltung der in diesem Artikel vorgesehenen Garantien — sicherzustellen und die Überprüfung der Genauigkeit der Ergebnisse, die auf der Nutzung solcher Algorithmen beruhen, zu ermöglichen. Europol stellt dieses Dokument der Beschreibung interessierten Parteien, einschließlich der Mitgliedstaaten und des Gemeinsamen Parlamentarischen Untersuchungsausschusses, auf Anfrage zur Verfügung.

(5) Wurden die für ein Forschungs- und Innovationsprojekt zu verarbeitenden Daten von einem Mitgliedstaat, einer Einrichtung der Union, einem Drittstaat oder einer internationalen Organisation bereitgestellt, so ersucht Europol um die Einwilligung dieses Datenlieferanten gemäß Artikel 19 Absatz 2, es sei denn, der Lieferant personenbezogener Daten hat eine vorherige Genehmigung für eine solche Verarbeitung für die Zwecke von Forschungs- und Innovationsprojekten, entweder allgemein oder unter besonderen Bedingungen, erteilt.

Europol verarbeitet Daten für Forschung und Innovationsprojekte nicht ohne Zustimmung des Datenlieferanten. Diese Zustimmung kann jederzeit widerrufen werden.