Die Verordnung (EU) 2023/1115 enthält Vorschriften zur Minimierung des Beitrags der Union zur Entwaldung und Waldschädigung. Dazu werden den Marktteilnehmern und Händlern Sorgfaltspflichten hinsichtlich der Vorschriften für das Inverkehrbringen und die Bereitstellung von bestimmten Rohstoffen oder Erzeugnissen auf oder deren Ausfuhr aus dem Unionsmarkt auferlegt. Wird in der vorliegenden Verordnung auf Marktteilnehmer Bezug genommen, ist dies so zu verstehen, dass auch Nicht-KMU-Händler gemeint sind, die relevante Erzeugnisse auf dem Markt bereitstellen, wenn die Bestimmungen der vorliegenden Verordnung für sie im Einklang mit ihren Verpflichtungen gemäß der Verordnung (EU) 2023/1115, insbesondere Artikel 5 Absatz 1, allgemein gelten.

Die Marktteilnehmer übernehmen förmlich die Verantwortung für die Konformität der relevanten Erzeugnisse, die sie in Verkehr bringen oder ausführen wollen, indem sie Sorgfaltserklärungen zur Verfügung stellen.

Es ist erforderlich, ein Informationssystem zu entwickeln und Marktteilnehmern und Händlern sowie gegebenenfalls deren Bevollmächtigten, zuständigen Behörden und Zollbehörden Zugang zu diesem System zu gewähren, damit sie ihren jeweiligen in der Verordnung (EU) 2023/1115 festgelegten Verpflichtungen nachkommen können. Das Informationssystem sollte den Informationsaustausch zwischen den Mitgliedstaaten, den zuständigen Behörden und den Zollbehörden ermöglichen.

Das Informationssystem sollte eine Softwareanwendung sein, die auf der TRACES-Plattform, eingeführt mit der Verordnung (EU) 2017/625 des Europäischen Parlaments und des Rates², beruht, und von der Kommission entwickelt und gepflegt wird.

Daher ist es erforderlich, die praktischen und operativen Modalitäten der Funktionsweise des Informationssystems festzulegen, um die effektive und einheitliche Umsetzung und Durchsetzung der Verordnung (EU) 2023/1115 zu ermöglichen.

Um Sprachbarrieren zu überwinden, sollte das Informationssystem in allen Amtssprachen der Union zur Verfügung stehen. Zu diesem Zweck sollte die Kommission die Benutzeroberfläche des Informationssystems in alle Amtssprachen der Union übersetzen.

Zur Erfüllung ihrer Verpflichtungen und Aufgaben gemäß der Verordnung (EU) 2023/1115 müssen Marktteilnehmer, Händler, zuständige Behörden, Zollbehörden und die Kommission möglicherweise Informationen austauschen, die auch personenbezogene Daten enthalten können. Ein solcher Informationsaustausch sollte den in den Verordnungen (EU) 2016/679³ und (EU) 2018/1725⁴ des Europäischen Parlaments und des Rates enthaltenen Vorschriften über den Schutz personenbezogener Daten entsprechen. Dementsprechend fällt der Austausch personenbezogener Daten, der zur Erfüllung der in der Verordnung (EU) 2023/1115 festgelegten Pflichten und Aufgaben erforderlich ist, in den Anwendungsbereich der rechtmäßigen Datenverarbeitung gemäß Artikel 5 Absatz 1 Buchstabe a der Verordnung (EU) 2018/1725 und Artikel 6 Absatz 1 Buchstabe e der Verordnung (EU) 2016/679.

Das Informationssystem sollte dazu dienen, die Marktteilnehmer, Händler und die zuständigen Behörden bei der Vorlage der und dem Zugang zu den erforderlichen Informationen über die auf dem Markt in Verkehr gebrachten oder bereitgestellten relevanten Erzeugnisse zu unterstützen. Personenbezogene Daten, die über das Informationssystem ausgetauscht werden können, sollten nur verarbeitet werden, um die Verpflichtungen und Aufgaben gemäß der Verordnung (EU) 2023/1115 zu erfüllen. Wenn beim Betrieb des Informationssystems personenbezogene Daten zum Zweck der Erfüllung von Verpflichtungen und Aufgaben gemäß der Verordnung (EU) 2023/1115 verarbeitet werden, sollten Marktteilnehmer und Händler sowie gegebenenfalls deren Bevollmächtigte, zuständige Behörden und Zollbehörden für die Verarbeitungstätigkeiten, die sie ausführen, Verantwortliche im Sinne der Verordnung (EU) 2016/679 und die Kommission eine Verantwortliche im Sinne der Verordnung (EU) 2018/1725 sein. Die zuständigen Behörden und die Zollbehörden sollten gemeinsam Verantwortliche im Sinne der Verordnung (EU) 2016/679 für die Verarbeitungstätigkeiten sein, wenn sie Aufgaben gemäß Artikel 21 der Verordnung (EU) 2023/1115 in Zusammenarbeit ausführen.

Die Verarbeitung, Übermittlung, Speicherung und sonstige Verarbeitung personenbezogener Daten natürlicher Personen sollte im Informationssystem erfolgen, um die Verpflichtungen und Aufgaben gemäß der Verordnung (EU) 2023/1115 zu erfüllen.

Im Informationssystem sollten personenbezogene Daten verarbeitet werden, soweit dies für die Erfüllung der Verpflichtungen gemäß der Verordnung (EU) 2023/1115 unbedingt erforderlich ist. Im Informationssystem sollten nur die in Artikel 12 Absatz 2 dieser Durchführungs­verordnung aufgeführten Kategorien personenbezogener Daten verarbeitet werden.

Daten, die von den Informationssystem-Nutzern übermittelte personenbezogene Daten enthalten, anhand derer betroffene Personen identifiziert werden können, sollten im Informationssystem nicht länger gespeichert werden als dies für die Zwecke, für die die personenbezogenen Daten verarbeitet werden, unbedingt notwendig ist. Dieser Zeitraum sollte zehn Jahre ab dem Datum betragen, an dem die Sorgfaltserklärung über das Informationssystem eingereicht wird, wobei Herstellungsprozesse über einen langen Zeitraum zu berücksichtigen sind, damit Marktteilnehmer und Händler sowie gegebenenfalls deren Bevollmächtigte auf bestehende Sorgfaltserklärungen gemäß Artikel 33 Absatz 2 Buchstabe c der Verordnung (EU) 2023/1115 Bezug nehmen und ihren Verpflichtungen im Hinblick auf die Gewährleistung nachkommen können, dass die Sorgfaltspflicht in Bezug auf die relevanten Erzeugnisse, die in den relevanten Erzeugnissen enthalten sind oder aus denen diese bestehen, gemäß Artikel 4 Absatz 9 der Verordnung (EU) 2023/1115 ausgeübt wurde. Eine längere Speicherung und Verarbeitung personenbezogener Daten sollte möglich sein, wenn dies zur Erfüllung der individuellen Aufgaben und Pflichten der Informationssystem-Akteure gemäß der Verordnung (EU) 2023/1115 erforderlich ist.

Im Einklang mit der Politik des offenen Datenzugangs der Union sollte die Kommission der breiten Öffentlichkeit Zugang zu den Datensätzen des Informationssystems in einem vollständig anonymisierten und maschinenlesbaren offenen Format in Form von ordnungsgemäß aggregierten und anonymisierten Datensätzen gewähren, die auf der Website der Kommission zugänglich sein sollten.

Nach den Grundsätzen des Schutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen und insbesondere im Hinblick auf die Beschränkungen, die für den Zugang zu den im Informationssystem ausgetauschten personenbezogenen Daten aufzuerlegen sind, sollte das Informationssystem unter gebührender Beachtung der Anforderungen der Datenschutzvorschriften entwickelt und konzipiert werden. Deshalb sollte das Informationssystem ein deutlich höheres Schutz- und Sicherheitsniveau als andere Verfahren des Informationsaustauschs wie Telefon, Briefpost oder E-Mail bieten.

Die Kommission sollte die Software und die IT-Infrastruktur des Informationssystems bereitstellen und verwalten, deren Zuverlässigkeit, Sicherheit, Verfügbarkeit, Pflege und Betrieb gewährleisten und an der Schulung und der technischen Unterstützung der Informationssystem-Akteure und -Nutzer mitwirken. Das Informationssystem sollte einen wirksamen Datenaustausch mit den einschlägigen Systemen und Datenquellen der Kommissionsdienststellen ermöglichen.

Unter Einhaltung ihrer Verpflichtungen aus Kapitel 3 der Verordnung (EU) 2023/1115 sollten die Mitgliedstaaten die Möglichkeit haben, ihre Funktionen und Zuständigkeiten in Bezug auf das Informationssystem so anzupassen, wie es ihren internen Verwaltungsstrukturen entspricht, und im Informationssystem bestimmte Aufgaben oder eine bestimmte Abfolge der Phasen einzelner Arbeitsprozesse umsetzen.

Um die wirksame Umsetzung der Verordnung (EU) 2023/1115 zu erleichtern, sollten die zuständigen Behörden die Möglichkeit haben, im Informationssystem Maßnahmen wie die Erstellung von Risikoprofilen für die Kontrollpläne gemäß Artikel 16 Absatz 5 der Verordnung (EU) 2023/1115, die Speicherung der Kontrollergebnisse der Marktteilnehmer und Händler, die Aussetzung der Vergabe von Referenznummern für Sorgfaltserklärungen sowie im Falle einer nicht anfechtbaren Nichtkonformität die Abweisung der betreffenden Sorgfaltserklärungen durchzuführen, um die Einhaltung der genannten Verordnung sicherzustellen. Gemäß Artikel 16 Absatz 1 der Verordnung (EU) 2023/1115, in dem vorgesehen ist, dass die zuständigen Behörden in ihrem Gebiet Kontrollen durchführen, sollten die zuständigen Behörden Maßnahmen in Bezug auf die Sorgfaltserklärungen ergreifen können, für die Informationen von Informationssystem-Nutzern bezüglich des Mitgliedstaats vorliegen, in dem ein Erzeugnis auf den Unionsmarkt gelangt oder ihn verlässt oder bereitgestellt wird. Liegen solche Informationen nicht vor, so sollten die zuständigen Behörden Maßnahmen in Bezug auf die Sorgfaltserklärungen der Informationssystem-Nutzer ergreifen können, die in ihrem Mitgliedstaat niedergelassen sind oder ihm zugeordnet sind.

Informationen, die die zuständige Behörde, die Zollbehörde, die Kommission oder eine andere Behörde, der Zugang zu den Informationen gewährt wurde, über das Informationssystem von einer anderen zuständigen Behörde, Zollbehörde, der Kommission oder einer anderen solchen Behörde erhalten hat, sollten ihren Wert als Beweismittel in Straf-, Zivil- oder Verwaltungsverfahren nach einschlägigem EU-Recht oder nationalem Recht nicht allein deshalb einbüßen, weil sie ihren Ursprung in einem anderen Mitgliedstaat haben oder auf elektronischem Wege eingegangen sind. Diese Informationen sollten von den betreffenden Informationssystemnutzern genauso behandelt werden wie ähnliche Dokumente aus dem eigenen Mitgliedstaat.

Es sollte möglich sein, die Namen und Kontaktdaten von Informationssystem-Nutzern zu verarbeiten, soweit dies erforderlich ist, um die Ziele und Verpflichtungen der Verordnung (EU) 2023/1115 und der vorliegenden Verordnung zu erfüllen, was die Überwachung der Nutzung des Informationssystems durch Administratoren und Nutzer, die Kommunikation, Schulungen und Sensibilisierungsinitiativen sowie die Sammlung von Informationen im Zusammenhang mit dem Anwendungsbereich der Verordnung (EU) 2023/1115 oder die gegenseitige Amtshilfe im Rahmen der genannten Verordnung einschließt.

Um eine wirksame Überwachung der Funktionsweise des Informationssystems und die Berichterstattung darüber zu gewährleisten, sollten die zuständigen Behörden, Zollbehörden oder anderen Behörden, denen Zugang zum Informationssystem gewährt wird, der Kommission einschlägige Informationen zur Verfügung stellen, sofern die Kommission diese Informationen benötigt, um ihren Verpflichtungen gemäß der Verordnung (EU) 2023/1115 und der vorliegenden Verordnung nachzukommen.

Betroffene Personen sollten über die Verarbeitung ihrer personenbezogenen Daten im Informationssystem und über ihre diesbezüglichen Rechte gemäß der Verordnung (EU) 2016/679 und der Verordnung (EU) 2018/1725 informiert werden, insbesondere über das Recht auf Auskunft über die sie betreffenden Daten und das Recht, unrichtige Daten berichtigen und unrechtmäßigerweise verarbeitete Daten löschen zu lassen.

Jeder Informationssystem-Nutzer sollte als Verantwortlicher für die Datenverarbeitungstätigkeiten, die er im Rahmen des Anwendungsbereichs der Verordnung (EU) 2023/1115 durchführt, sicherstellen, dass die betroffenen Personen ihre Rechte im Einklang mit der Verordnung (EU) 2016/679 und der Verordnung (EU) 2018/1725 ausüben können. Dies sollte auch die Schaffung eines Verfahrens zur regelmäßigen Prüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung umfassen.

Die Umsetzung dieser Verordnung und die Leistung des Informationssystems sollten mithilfe des Berichts über die Funktionsweise des Informationssystems anhand statistischer Daten des Informationssystems und anderer einschlägiger Daten überwacht werden. Die Kommission sollte diesen Bericht dem Europäischen Parlament, dem Rat und dem Europäischen Datenschutzbeauftragten vorlegen. In dem Bericht sollte auch auf Aspekte in Bezug auf den Schutz personenbezogener Daten im Informationssystem und die Datensicherheit eingegangen werden.

Der Europäische Datenschutzbeauftragte wurde gemäß Artikel 42 Absatz 1 der Verordnung (EU) 2018/1725 konsultiert und hat am 5. November 2024 eine Stellungnahme abgegeben.

Die in dieser Verordnung vorgesehenen Maßnahmen entsprechen der Stellungnahme des Ausschusses der Europäischen Union (EU) zur Verordnung über entwaldungsfreie Erzeugnisse –