(1) Soweit der Betrieb der Interoperabilitäts-Reallabore eine Verarbeitung personenbezogener Daten erfordert oder anderweitig der Aufsicht anderer nationaler, regionaler oder lokaler Behörden unterliegt, die den Zugang zu Daten gewähren oder unterstützen, sorgen die beteiligten Einrichtungen der Union oder öffentlichen Stellen dafür, dass nationale Datenschutzbehörde sowie andere nationale, regionale oder lokale Behörden in den Betrieb des Interoperabilitäts-Reallabors einbezogen werden. Die Beteiligten können, falls anwendbar, die Beteiligung anderer GovTech-Akteure wie etwa nationaler oder europäischer Normungsorganisationen, notifizierter Stellen, Forschungs- und Versuchslabors, Innovationszentren und Unternehmen, die innovative Interoperabilitätslösungen testen wollen — insbesondere von KMU und Start-up-Unternehmen — am Interoperabilitäts-Reallabor erlauben.

(2) Die Beteiligung am Interoperabilitäts-Reallabor ist auf einen Zeitraum begrenzt, der der Komplexität und dem Ausmaß des Projekts angemessen ist, der zwei Jahre ab Einrichtung des Interoperabilitäts-Reallabors nicht überschreitet. Die Beteiligung kann um bis zu ein Jahr verlängert werden, wenn dies zur Erreichung des Zwecks der Verarbeitung erforderlich ist.

(3) Die Beteiligung am Interoperabilitäts-Reallabor muss auf einem spezifischen Plan beruhen, der von den Beteiligten unter Berücksichtigung, soweit zutreffend, der Hinweise anderer nationaler zuständiger Behörden oder des Europäischen Datenschutzbeauftragten ausgearbeitet wird. Dieser Plan enthält zumindest Folgendes:

1. a. eine Beschreibung der Beteiligten und ihrer Rollen, der geplanten innovativen Interoperabilitätslösung und ihrer Zweckbestimmung sowie des Entwicklungs-, Erprobungs- und Validierungsprozesses;
2. b. die besonderen Regulierungsfragen, um die es geht, und die Vorgaben, die von den für die Beaufsichtigung des Interoperabilitäts-Reallabors zuständigen Behörden erwartet werden;
3. c. die besonderen Modalitäten der Zusammenarbeit zwischen den Beteiligten und den Behörden sowie allen anderen am Interoperabilitäts-Reallabor beteiligten Akteuren;
4. d. einen Risikomanagement- und -überwachungsmechanismus zur Ermittlung, Vermeidung und Minderung von Risiken;
5. e. die wichtigsten Meilensteine, die von den Beteiligten erreicht werden müssen, damit die Interoperabilitätslösung als betriebsbereit betrachtet werden kann;
6. f. die Bewertungs- und Berichterstattungspflichten und mögliche Folgemaßnahmen;
7. g. – sofern es unbedingt erforderlich und verhältnismäßig ist, personenbezogene Daten zu verarbeiten — die Angabe der Gründe für die entsprechende Verarbeitung, der Kategorien der betreffenden personenbezogenen Daten, der Zwecke der Verarbeitung, zu denen die personenbezogenen Daten bestimmt sind, sowie der an der Verarbeitung beteiligten Verantwortlichen und Auftragsverarbeiter und ihrer Rolle.

(4) Die Beteiligung an den Interoperabilitäts-Reallaboren lässt die Aufsichts- und Abhilfebefugnisse der für die Beaufsichtigung des Reallabors zuständigen Behörden unberührt.

(5) Die Beteiligten des Interoperabilitäts-Reallabors haften nach dem geltenden Unionsrecht und nationalen Recht für alle Schäden, die im Zuge ihrer Beteiligung am Interoperabilitäts-Reallabor entstehen.

(6) Personenbezogene Daten dürfen im Interoperabilitäts-Reallabor für andere als die ihrer ursprünglichen rechtmäßigen Erhebung zugrunde liegenden Zwecke verarbeitet werden, wenn alle folgenden Bedingungen erfüllt sind:

1. a. die innovative Interoperabilitätslösung wird entwickelt, um das öffentliche Interesse im Zusammenhang mit einem hohen Maß an Effizienz und Qualität der öffentlichen Verwaltung und der öffentlichen Dienste zu wahren;
2. b. die Datenverarbeitung ist auf das für das Funktionieren der im Interoperabilitäts-Reallabor zu entwickelnden oder zu erprobenden Interoperabilitätslösung erforderliche Maß beschränkt und dies kann nicht durch die Verarbeitung anonymisierter, synthetischer oder sonstiger nicht personenbezogener Daten wirksam erreicht werden;
3. c. es bestehen wirksame Überwachungsmechanismen, um festzustellen, ob während des Betriebs des Interoperabilitäts-Reallabors hohe Risiken für die Rechte und Freiheiten der betroffenen Personen im Sinne des Artikels 35 Absatz 1 der Verordnung (EU) 2016/679 und des Artikels 39 der Verordnung (EU) 2018/1725 auftreten können, sowie ein Reaktionsmechanismus, um dieses Risiko umgehend zu mindern und erforderlichenfalls die Verarbeitung zu beenden;
4. d. personenbezogene Daten, die verarbeitet werden sollen, befinden sich in einer funktional getrennten, isolierten und geschützten Datenverarbeitungsumgebung unter der Kontrolle der Beteiligten, und nur gebührend befugte Personen haben Zugriff auf diese Daten;
5. e. es erfolgt keine Übermittlung oder Übertragung verarbeiteter personenbezogener Daten und auch kein anderweitiger Zugriff darauf durch nicht am Interoperabilitäts-Reallabor beteiligte Parteien und auch keine Weitergabe an Dritte, die nicht an dem Interoperabilitäts-Reallabor beteiligt sind, es sei denn, diese Offenlegung erfolgt gemäß der Verordnung (EU) 2016/679 oder gegebenenfalls der Verordnung (EU) 2018/1725 und mit der Zustimmung aller Beteiligten;
6. f. die Verarbeitung personenbezogener Daten berührt nicht die Anwendung der Rechte der betroffenen Personen gemäß den Rechtsvorschriften der Union über den Schutz personenbezogener Daten, insbesondere Artikel 22 der Verordnung (EU) 2016/679 und Artikel 24 der Verordnung (EU) 2018/1725;
7. g. alle personenbezogenen Daten werden mit angemessenen technischen und organisatorischen Maßnahmen geschützt und gelöscht, sobald die Beteiligung an dem Interoperabilitäts-Reallabor beendet oder das Ende der Speicherfrist für die personenbezogenen Daten erreicht ist;
8. h. die Protokolle der Verarbeitung personenbezogener Daten werden für die Dauer der Beteiligung am Interoperabilitäts-Reallabor aufbewahrt, es sei denn, nach den Rechtsvorschriften der Union oder den nationalen Rechtsvorschriften ist etwas anderes bestimmt;
9. i. eine vollständige und detaillierte Beschreibung des Prozesses und der Gründe für das Trainieren, Testen und Validieren der Interoperabilitätslösung wird zusammen mit den Testergebnissen als Teil der technischen Dokumentation aufbewahrt und dem Beirat übermittelt;
10. j. eine kurze Zusammenfassung der im Interoperabilitäts-Reallabor entwickelten Interoperabilitätslösung, einschließlich ihrer Ziele und erwarteten Ergebnisse, die im Portal für ein interoperables Europa veröffentlicht wird.

(7) Das Unionsrecht und nationale Recht, in dem die Grundlagen für eine für die Zwecke der Entwicklung, des Testens und des Trainings innovativer Interoperabilitätslösungen notwendige Verarbeitung personenbezogener Daten festgelegt sind, und jegliche andere Rechtsgrundlage, im Einklang mit Unionsrecht zum Schutz personenbezogener Daten, bleiben von Absatz 1 unberührt.

(8) Die Beteiligten übermitteln dem Beirat und der Kommission regelmäßige Zwischenberichte und einen Abschlussbericht über die Ergebnisse der Interoperabilitäts-Reallabore, einschließlich bewährter Verfahren, gewonnener Erkenntnisse, Sicherheitsmaßnahmen und Empfehlungen zu deren Betrieb, sowie gegebenenfalls über die Weiterentwicklung dieser Verordnung und anderer Rechtsvorschriften der Union, die innerhalb des Interoperabilitäts-Reallabors kontrolliert werden. Der Beirat gibt gegenüber der Kommission eine Stellungnahme zu den Ergebnissen des Interoperabilitäts-Reallabors ab und nennt darin gegebenenfalls die erforderlichen Maßnahmen für die Umsetzung neuer Interoperabilitätslösungen zur Förderung der grenzüberschreitenden Interoperabilität von Netz- und Informationssystemen, die verwendet werden, um transeuropäische digitale öffentliche Dienste bereitzustellen oder zu verwalten.

(9) Die Kommission sorgt dafür, dass Informationen über die Interoperabilitäts-Reallabore im Portal für ein interoperables Europa abrufbar sind.

(10) Bis zum 12. April 2025 erlässt die Kommission Durchführungsrechtsakte, welche die ausführlichen Vorschriften und Bedingungen für die Einrichtung und den Betrieb der Interoperabilitäts-Reallabore, die Kriterien für die Auswahlfähigkeit und das Verfahren für die Beantragung und Auswahl des Interoperabilitäts-Reallabors, für die Beteiligung daran und den Ausstieg daraus sowie die Rechte und Pflichten der Beteiligten darlegen. Diese Durchführungsrechtsakten werden gemäß dem in Artikel 22 Absatz 2 genannten Prüfverfahren erlassen.