Art. 3 32026R1881

Anwendungsbereich der Ausnahme

VERORDNUNG (EU) 2026/1881 DES EUROPÄISCHEN PARLAMENTS UND DES RATES vom 24. Juli 2026 über eine vorübergehende Ausnahme von bestimmten Vorschriften der Richtlinie 2002/58/EG hinsichtlich der Verwendung von Technologien durch Anbieter nummernunabhängiger interpersoneller Kommunikationsdienste zur Verarbeitung personenbezogener und anderer Daten zwecks Bekämpfung des sexuellen Missbrauchs von Kindern im Internet (Text von Bedeutung für den EWR)

(1)

Artikel 5 Absatz 1 und Artikel 6 Absatz 1 der Richtlinie 2002/58/EG gelten nicht für die Vertraulichkeit von Kommunikation, bei der auch personenbezogene und andere Daten durch die Anbieter im Zusammenhang mit der Bereitstellung nummernunabhängiger interpersoneller Kommunikationsdienste verarbeitet werden, sofern:

die Verarbeitung

unbedingt erforderlich ist, damit eine spezielle Technologie zum alleinigen Zweck der Aufdeckung und Entfernung von Online-Material über sexuellen Missbrauch von Kindern und der Meldung dieses Materials an Strafverfolgungsbehörden und Organisationen, die im öffentlichen Interesse gegen sexuellen Missbrauch von Kindern vorgehen, sowie zur Aufdeckung der Kontaktaufnahme zu Kindern und ihrer Meldung an Strafverfolgungsbehörden und Organisationen, die im öffentlichen Interesse gegen sexuellen Missbrauch von Kindern vorgehen, verwendet werden kann;

ii)

nicht bei interpersoneller Kommunikation erfolgt, bei der Ende-zu-Ende-Verschlüsselung verwendet wurde oder wird;

iii)

verhältnismäßig ist und auf Technologien beschränkt bleibt, die von Anbietern zu den unter Ziffer i genannten Zwecken verwendet werden;

iv)

auf Inhaltsdaten und damit verbundene Verkehrsdaten beschränkt ist, die für die unter Ziffer i genannten Zwecke unbedingt erforderlich sind;

auf das, was für die unter Ziffer i genannten Zwecke unbedingt erforderlich ist, beschränkt ist;

die für die unter Buchstabe a Ziffer i des vorliegenden Absatzes genannten Zwecke verwendete Technologie dem Stand der Technik in der Branche entspricht und am wenigsten in die Privatsphäre eingreift, auch im Hinblick auf den Grundsatz des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen gemäß Artikel 25 der Verordnung (EU) 2016/679, und, soweit sie zum Durchsuchen von Text in Kommunikation verwendet wird, nicht in der Lage ist, den wesentlichen Inhalt der Kommunikation zu erschließen, sondern lediglich Muster erkennen kann, die auf einen möglichen sexuellen Missbrauch von Kindern im Internet hindeuten;

in Bezug auf jede spezielle Technologie, die zu den unter Buchstabe a Ziffer i des vorliegenden Absatzes genannten Zwecken verwendet wird, eine vorherige Datenschutz-Folgenabschätzung gemäß Artikel 35 der Verordnung (EU) 2016/679 und ein Verfahren der vorherigen Konsultation gemäß Artikel 36 der genannten Verordnung durchgeführt wurden;

im Hinblick auf neue Technologien, d. h. Technologien, die zur Aufdeckung von Online-Material über sexuellen Missbrauch von Kindern verwendet werden und die vor dem 31. Juli 2026 von keinem Anbieter im Zusammenhang mit Diensten, die für Nutzer nummernunabhängiger interpersoneller Kommunikationsdienste (im Folgenden „Nutzer“) in der Union erbracht wurden, verwendet worden sind, sowie im Hinblick auf Technologien, die zur Ermittlung möglicher Kontaktaufnahmen zu Kindern verwendet werden, erstattet der Anbieter der zuständigen Behörde Bericht über die Maßnahmen, die ergriffen wurden, um die Einhaltung der schriftlichen Empfehlungen, die gemäß Artikel 36 Absatz 2 der Verordnung (EU) 2016/679 von der gemäß Kapitel VI Abschnitt 1 der genannten Verordnung benannten zuständigen Aufsichtsbehörde (im Folgenden „Aufsichtsbehörde“) im Rahmen des Verfahrens der vorherigen Konsultation abgegeben wurden, nachzuweisen;

die verwendeten Technologien an sich hinreichend zuverlässig sind, da sie die Fehlerquote bei der Erkennung von Inhalten, die sexuellen Missbrauch von Kindern im Internet darstellen, weitestmöglich begrenzen, und bei gelegentlich auftretenden Fehlern deren Folgen unverzüglich berichtigen;

die zur Aufdeckung von Mustern einer möglichen Kontaktaufnahme zu Kindern verwendeten Technologien auf die Verwendung geeigneter Schlüsselindikatoren und objektiv ermittelter Risikofaktoren wie Altersunterschiede und die wahrscheinliche Beteiligung eines Kindes an der durchsuchten Kommunikation beschränkt sind und das Recht auf Überprüfung durch einen Menschen wahrt;

die Anbieter

interne Verfahren eingeführt haben, um Missbrauch von, unbefugten Zugriff auf und unbefugte Weitergabe von personenbezogenen und anderen Daten zu verhindern;

ii)

menschliche Aufsicht über und erforderlichenfalls menschliche Eingriffe in die Verarbeitung personenbezogener und anderer Daten mit Hilfe von Technologien, die unter diese Verordnung fallen, gewährleisten;

iii)

sicherstellen, dass Material, das zuvor nicht als Online-Material über sexuellen Missbrauch von Kindern oder als Kontaktaufnahme zu Kindern identifiziert wurde, nicht ohne vorherige Bestätigung durch einen Menschen an Strafverfolgungsbehörden oder Organisationen, die im öffentlichen Interesse gegen sexuellen Missbrauch von Kindern vorgehen, gemeldet wird;

iv)

geeignete Verfahren und Beschwerdemechanismen eingeführt haben, um sicherzustellen, dass Nutzer innerhalb einer angemessenen Frist Beschwerden bei ihnen einreichen können, um ihre Sichtweise darzulegen;

die Nutzer in klarer, deutlicher und verständlicher Weise darüber informieren, dass sie sich im Einklang mit dieser Verordnung auf die Ausnahme von Artikel 5 Absatz 1 und Artikel 6 Absatz 1 der Richtlinie 2002/58/EG hinsichtlich der Vertraulichkeit der Kommunikation der Nutzer berufen, und zwar ausschließlich für die in Buchstabe a Ziffer i des vorliegenden Absatzes genannten Zwecke, sowie die hinter den Maßnahmen, die sie im Rahmen der Ausnahmeregelung ergriffen haben, stehende Logik und die Auswirkungen auf die Vertraulichkeit der Kommunikation der Nutzer, einschließlich der Möglichkeit, dass personenbezogene Daten an Strafverfolgungsbehörden und Organisationen, die im öffentlichen Interesse gegen sexuellen Missbrauch von Kindern vorgehen, weitergegeben werden;

vi)

die Nutzer über Folgendes informieren, wenn ihre Inhalte entfernt oder ihr Konto gesperrt oder ein ihnen angebotener Dienst eingestellt wurde:

die Möglichkeiten, bei ihnen Beschwerde einzulegen;

die Möglichkeit, Beschwerde bei einer Aufsichtsbehörde einzulegen; und

das Recht auf einen gerichtlichen Rechtsbehelf;

vii)

bis zum 1. Februar 2027 und danach bis zum 31. Januar jedes Jahres einen Bericht über die in den Anwendungsbereich dieser Verordnung fallende Verarbeitung personenbezogener Daten veröffentlichen und der zuständigen Aufsichtsbehörde und der Kommission vorlegen, einschließlich über:

die Art und Menge der verarbeiteten Daten;

den spezifischen Grund, der für die Verarbeitung gemäß der Verordnung (EU) 2016/679 geltend gemacht wird;

den Grund, der für die Übermittlung personenbezogener Daten in Länder außerhalb der Union gemäß Kapitel V der Verordnung (EU) 2016/679 geltend gemacht wird;

die Zahl der aufgedeckten Fälle von Missbrauch von Kindern im Internet, wobei zwischen Online-Material über sexuellen Missbrauch von Kindern und Kontaktaufnahmen zu Kindern zu unterscheiden ist;

die Zahl der Fälle, in denen Nutzer Beschwerden über den internen Beschwerdemechanismus oder bei einer Justizbehörde eingereicht haben, und das Ergebnis dieser Beschwerden;

die Anzahl und der Anteil der mit verschiedenen verwendeten Technologien aufgetretenen Fehler (falsch positive Ergebnisse);

die Maßnahmen zur Begrenzung der Fehlerquote und die erreichte Fehlerquote;

die Aufbewahrungsregeln und die gemäß der Verordnung (EU) 2016/679 angewandten Datenschutzvorkehrungen;

die Namen der Organisationen, die im öffentlichen Interesse gegen sexuellen Missbrauch von Kindern vorgehen und mit denen Daten gemäß dieser Verordnung ausgetauscht wurden;

bei Verdacht auf sexuellen Missbrauch von Kindern im Internet die Inhaltsdaten und damit verbundenen Verkehrsdaten, die für die Zwecke gemäß Buchstabe a Ziffer i verarbeitet werden, und die bei einer solchen Verarbeitung generierten personenbezogenen Daten auf sichere Weise gespeichert werden, und zwar ausschließlich für die folgenden Zwecke:

um den mutmaßlichen sexuellen Missbrauch von Kindern im Internet unverzüglich den zuständigen Strafverfolgungs- und Justizbehörden oder Organisationen, die im öffentlichen Interesse gegen sexuellen Missbrauch von Kindern vorgehen, zu melden;

ii)

das Konto des betroffenen Nutzers zu sperren oder die Bereitstellung des Dienstes für den betroffenen Nutzer auszusetzen oder zu kündigen;

iii)

eine eindeutige, unumkehrbare digitale Signatur (sog. „Hash“) von Daten, die zuverlässig als Online-Material über sexuellen Missbrauch von Kindern identifiziert wurden, zu erstellen;

iv)

dem betroffenen Nutzer die Möglichkeit zu geben, beim Anbieter Beschwerde einzulegen oder verwaltungsrechtliche oder gerichtliche Rechtsbehelfe im Zusammenhang mit dem mutmaßlichen sexuellen Missbrauch von Kindern im Internet einzulegen; oder

Anfragen der zuständigen Strafverfolgungs- und Justizbehörden in Übereinstimmung mit dem geltenden Recht zu beantworten und ihnen die zur Verhütung, Aufdeckung, Ermittlung oder Verfolgung von Straftaten gemäß der Richtlinie 2011/93/EU erforderlichen Daten zu übermitteln;

die Daten nicht länger gespeichert werden, als es für die unter Buchstabe h genannten relevanten Zwecke unbedingt erforderlich ist, und in keinem Fall länger als 12 Monate ab dem Datum der Ermittlung eines Verdachts auf sexuellen Missbrauch von Kindern im Internet;

jeder begründete und überprüfte Verdachtsfall auf sexuellen Missbrauch von Kindern im Internet unverzüglich den zuständigen nationalen Strafverfolgungsbehörden oder den Organisationen, die im öffentlichen Interesse gegen sexuellen Missbrauch von Kindern vorgehen, gemeldet wird.

(2)

Bis zum 1. April 2027 gilt die in Absatz 1 Buchstabe c genannte Bedingung nicht für Anbieter, die

vor dem 31. Juli 2026 eine spezielle Technologie zu den unter Absatz 1 Buchstabe a Ziffer i genannten Zwecken eingesetzt haben, ohne ein Verfahren der vorherigen Konsultation in Bezug auf diese Technologie abgeschlossen zu haben;

vor dem 1. September 2026 ein Verfahren der vorherigen Konsultation einleiten; und

im Rahmen des Verfahrens der vorherigen Konsultation gemäß Buchstabe b ordnungsgemäß mit der zuständigen Aufsichtsbehörde zusammenarbeiten.

(3)

Bis zum 1. April 2027 gilt die in Absatz 1 Buchstabe d genannte Bedingung nicht für Anbieter, die Die in dem Bericht nach Absatz 1 Buchstabe g Ziffer vii enthaltenen Daten werden schriftlich anhand eines Standardformulars bereitgestellt. Bis zum 1. November 2026 legt die Kommission Inhalt und die Darstellung dieses Formulars im Wege von Durchführungsrechtsakten fest. Dabei kann die Kommission beschließen, die in Absatz 1 Buchstabe g Ziffer vii aufgeführten Datenkategorien in Unterkategorien zu unterteilen. Diese Durchführungsrechtsakte werden gemäß dem in Artikel 10 Absatz 2 genannten Beratungsverfahren erlassen.

vor dem 31. Juli 2026 eine der unter Absatz 1 Buchstabe d genannten Technologien eingesetzt haben, ohne ein Verfahren der vorherigen Konsultation in Bezug auf diese Technologie abgeschlossen zu haben;

vor dem 1. September 2026 ein Verfahren gemäß Absatz 1 Buchstabe d einleiten; und

im Rahmen des Verfahrens nach Absatz 1 Buchstabe d ordnungsgemäß mit der zuständigen Aufsichtsbehörde zusammenarbeiten.