Vorlage

L 248/60 DE Amtsblatt der Europäischen Union 13.7.2021

ii) Folgende Buchstaben werden eingefügt:

„ja) sicherzustellen, dass eingesetzte Systeme im Störungsfall für den Normalbetrieb wiederhergestellt werden können;

jb) die Zuverlässigkeit sicherzustellen, indem dafür Sorge getragen wird, dass alle Funktionsstörungen der Systeme ordnungsgemäß gemeldet werden und dass die erforderlichen technischen Maßnahmen ergriffen werden, damit die personenbezogenen Daten im Fall einer Datenverfälschung infolge einer Fehlfunktion der Systeme wiederhergestellt werden können;“;

b) Absatz 3 erhält folgende Fassung:

„(3) eu-LISA ergreift die erforderlichen Maßnahmen, um die in Absatz 2 genannten Ziele in Bezug auf den Betrieb des VIS, einschließlich der Annahme eines Sicherheitsplans, zu verwirklichen.“.

37. Folgender Artikel wird eingefügt:

„Artikel 32a

Sicherheitsvorfälle

(1) Jedes Ereignis, das sich auf die Sicherheit des VIS auswirkt oder auswirken kann und VIS-Daten beschädigen oder ihren Verlust herbeiführen kann, ist als Sicherheitsvorfall anzusehen, insbesondere wenn möglicherweise ein unbefugter Datenzugriff erfolgt ist oder wenn die Verfügbarkeit, Integrität und Vertraulichkeit von Daten tatsächlich oder möglicherweise beeinträchtigt wurde.

(2) Sicherheitsvorfällen ist durch eine rasche, wirksame und angemessene Reaktion zu begegnen.

(3) Unbeschadet der Meldung und Mitteilung einer Verletzung des Schutzes personenbezogener Daten gemäß Artikel 33 der Verordnung (EU) 2016/679, Artikel 30 der Richtlinie (EU) 2016/680 oder beiden Artikeln benachrichtigen die Mitgliedstaaten die Kommission, eu-LISA und den Europäischen Datenschutzbeauftragten über Sicherheitsvorfälle. Im Falle eines Sicherheitsvorfalls in Verbindung mit dem VIS-Zentralsystem benachrichtigt eu-LISA die Kommission und den Europäischen Datenschutzbeauftragten. Bei einem Sicherheitsvorfall im Zusammenhang mit dem VIS benachrichtigen Europol und die Europäische Agentur für die Grenz- und Küstenwache die Kommission und den Europäischen Datenschutzbeauftragten.

(4) Informationen über einen Sicherheitsvorfall, der sich auf den Betrieb des VIS oder die Verfügbarkeit, Integrität und Vertraulichkeit der VIS-Daten auswirkt oder auswirken kann, werden der Kommission und — falls sie betroffen sind — den Mitgliedstaaten, Europol und der Europäischen Agentur für die Grenz- und Küstenwache bereitgestellt. Ein solcher Sicherheitsvorfall wird ferner nach Maßgabe des von eu-LISA bereitzustellenden Plans für die Bewältigung von Sicherheitsvorfällen gemeldet.

(5) Die Mitgliedstaaten, die Europäische Agentur für die Grenz- und Küstenwache, eu-LISA und Europol arbeiten im Falle eines Sicherheitsvorfalls zusammen.

(6) Die Kommission unterrichtet das Europäische Parlament und den Rat unverzüglich über schwerwiegende Vorfälle und die zu ihrer Behebung ergriffenen Maßnahmen. Diese Informationen werden gegebenenfalls gemäß den geltenden Geheimschutzvorschriften als ‚EU RESTRICTED/RESTREINT UE‘ eingestuft.“

38. Die Artikel 33 und 34 erhalten folgende Fassung:

„Artikel 33

Haftung

(1) Unbeschadet der Haftung und des Anspruchs auf Schadenersatz durch den für die Verarbeitung Verantwortlichen oder den Auftragsverarbeiter gemäß der Verordnung (EU) 2016/679, der Richtlinie (EU) 2016/680 und der Verordnung (EU) 2018/1725

a) hat jede Person oder jeder Mitgliedstaat, der oder dem durch eine rechtswidrige Verarbeitung personenbezogener

Daten oder durch andere gegen die vorliegende Verordnung verstoßende Handlungen seitens eines Mitgliedstaats ein materieller oder immaterieller Schaden entstanden ist, das Recht auf Schadenersatz durch diesen Mitgliedstaat;

b) hat jede Person oder jeder Mitgliedstaat, der oder dem durch gegen diese Verordnung verstoßende Handlungen

seitens eines Organs, einer Einrichtung, eines Amtes oder einer Agentur der Union ein materieller oder immaterieller Schaden entstanden ist, das Recht auf Schadenersatz durch dieses Organ, diese Einrichtung, dieses Amt oder diese Agentur der Union;

Der Mitgliedstaat oder das Organ, die Einrichtung, das Amt oder die Agentur der Union werden vollständig oder teilweise von ihrer Haftung nach Unterabsatz 1 befreit, wenn sie nachweisen, dass sie für den Umstand, durch den der Schaden eingetreten ist, nicht verantwortlich sind.