L_202502281DE.000101.fmx.xml

DURCHFÜHRUNGSBESCHLUSS (EU) 2025/2281 DER KOMMISSION

vom 13. November 2025

zur Änderung des Durchführungsbeschlusses (EU) 2022/2470 in Bezug auf die technischen Spezifikationen für die Qualität, Auflösung und Verarbeitung von Gesichtsbildern, die für die technische Entwicklung und Implementierung des zentralisierten Systems für die Ermittlung der Mitgliedstaaten, in denen Informationen zu Verurteilungen von Drittstaatsangehörigen und Staatenlosen vorliegen (ECRIS-TCN), erforderlich sind

DIE EUROPÄISCHE KOMMISSION —

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,

gestützt auf die Verordnung (EU) 2019/816 des Europäischen Parlaments und des Rates vom 17. April 2019 zur Einrichtung eines zentralisierten Systems für die Ermittlung der Mitgliedstaaten, in denen Informationen zu Verurteilungen von Drittstaatsangehörigen und Staatenlosen (ECRIS-TCN) vorliegen, zur Ergänzung des Europäischen Strafregisterinformationssystems und zur Änderung der Verordnung (EU) 2018/1726 (1), insbesondere auf Artikel 10 Absatz 1,

in Erwägung nachstehender Gründe:

(1)

Mit der Verordnung (EU) 2019/816 wurde ein zentralisiertes System für die Ermittlung der Mitgliedstaaten eingerichtet, in denen Informationen zu Verurteilungen von Drittstaatsangehörigen und Staatenlosen vorliegen (ECRIS-TCN). Dieses System ermöglicht es der Zentralbehörde eines Mitgliedstaats oder einer anderen zuständigen Behörde, umgehend und effizient festzustellen, welche Mitgliedstaaten über Strafregisterinformationen zu einem Drittstaatsangehörigen verfügen.

(2)	Der Durchführungsbeschluss (EU) 2022/2470 der Kommission (2) legt die Maßnahmen, die für die technische Entwicklung und Implementierung des ECRIS-TCN erforderlich sind, fest, einschließlich der technischen Spezifikationen für alphanumerische Daten und Fingerabdruckdaten.

(3)

Die mit der Verordnung (EU) 2018/1726 des Europäischen Parlaments und des Rates (3) errichtete Agentur der Europäischen Union für das Betriebsmanagement von IT-Großsystemen im Raum der Freiheit, der Sicherheit und des Rechts (eu-LISA) ist für die Entwicklung des ECRIS-TCN, einschließlich der Ausarbeitung und Anwendung der jeweiligen technischen Spezifikationen und der Erprobung, sowie für das Betriebsmanagement des Systems zuständig.

(4)

Zur Gewährleistung der Interoperabilität öffentlicher Dienste auf Unionsebene sollte die Architektur des ECRIS-TCN dem Europäischen Interoperabilitätsrahmen gemäß den Verordnungen (EU) 2019/817 (4) und (EU) 2019/818 (5) des Europäischen Parlaments und des Rates entsprechen. Dieser Rahmen umfasst einen gemeinsamen Dienst für den Abgleich biometrischer Daten, der gemäß Artikel 13 Absatz 1 Buchstabe b der Verordnung (EU) 2019/818 Templates von Gesichtsbildern, einschließlich in das ECRIS-TCN eingegebener Templates von Gesichtsbildern, speichert, wodurch die Abfrage anhand biometrischer Daten in verschiedenen Informationssystemen der Union ermöglicht wird.

(5)	Damit die Zentralbehörden Gesichtsbilder in das ECRIS-TCN eingeben können, müssen technische Spezifikationen für die Qualität, Auflösung und Verarbeitung der Gesichtsbilder festgelegt werden.

(6)

Bis zum Inkrafttreten des in Artikel 6 Absatz 2 der Verordnung (EU) 2019/816 vorgesehenen delegierten Rechtsakts sollten Gesichtsbilder nicht für die Abfrage des Systems verwendet werden. Ihre Verwendung sollte gemäß Artikel 6 Absatz 1 der Verordnung (EU) 2019/816 derzeit darauf beschränkt sein, die Identität eines Drittstaatsangehörigen, der infolge eines Abgleichs von alphanumerischen Daten oder Fingerabdruckdaten identifiziert wurde, nachzuweisen, und die Aufdeckung von Mehrfachidentitäten in den interoperablen IT-Systemen gemäß Artikel 13 Absatz 1 Buchstabe b und Artikel 27 Absatz 2 der Verordnung (EU) 2019/818 zu ermöglichen.

(7)

Die Datenqualität ist von zentraler Bedeutung für die Gewährleistung der Richtigkeit von Daten, die zu den grundlegenden Datenschutzgrundsätzen gemäß Artikel 5 Absatz 1 Buchstabe d der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (6) und Artikel 4 Absatz 1 Buchstabe d der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates (7) zählt. Die Qualität der gespeicherten Gesichtsbilder wirkt sich auf das ordnungsgemäße Funktionieren aller darauf basierenden automatisierten Abgleichverfahren sowie auf die Sichtprüfung bei dem Nachweis einer Identität gemäß Artikel 6 Absatz 1 der Verordnung (EU) 2019/816 aus. Daher sollte die Qualität der Gesichtsbilder im ECRIS-TCN die Datenqualitätsanforderungen erfüllen, die für den gemeinsamen Dienst für den Abgleich biometrischer Daten und die anderen Systeme, die darin Daten einspeisen, festgelegt wurden, um zuverlässige Übereinstimmungen zu gewährleisten.

(8)	Gesichtsbilder sollten gemäß Artikel 5 Absatz 3 der Verordnung (EU) 2019/816 nur dann in das ECRIS-TCN eingegeben werden, wenn das nationale Recht des Urteilsmitgliedstaats die Aufnahme und Speicherung von Gesichtsbildern verurteilter Personen zulässt.

(9)	Da der Schwerpunkt des Durchführungsbeschlusses (EU) 2022/2470 auf den technischen Spezifikationen für alphanumerische Daten und Fingerabdruckdaten liegt, werden mit dem vorliegenden Beschluss die einschlägigen technischen Spezifikationen für Gesichtsbilder eingeführt.

(10)

Die Erstellung von getrennten Statistiken zu der Zahl der Datensätze mit Kennzeichnungen gemäß Artikel 5 Absatz 1 Buchstabe c der Verordnung (EU) 2019/816 in Bezug auf Verurteilungen wegen einer terroristischen Straftat oder einer anderen im Anhang der Verordnung (EU) 2018/1240 des Europäischen Parlaments und des Rates (8) aufgeführten Straftat erwies sich als technisch nicht möglich. Daher sollte es nicht mehr erforderlich sein, solche getrennten Statistiken zu erstellen.

(11)	Der Durchführungsbeschluss (EU) 2022/2470 sollte daher entsprechend geändert werden.

(12)

Nach den Artikeln 1 und 2 des dem Vertrag über die Europäische Union und dem Vertrag über die Arbeitsweise der Europäischen Union beigefügten Protokolls Nr. 22 über die Position Dänemarks beteiligte sich Dänemark nicht an der Annahme der Verordnung (EU) 2019/816 und ist somit weder durch die genannte Verordnung gebunden noch zu ihrer Anwendung verpflichtet. Dänemark ist daher nicht zur Umsetzung des vorliegenden Beschlusses verpflichtet.

(13)

Nach den Artikeln 1 und 2 und Artikel 4a Absatz 1 des dem Vertrag über die Europäische Union und dem Vertrag über die Arbeitsweise der Europäischen Union beigefügten Protokolls Nr. 21 über die Position des Vereinigten Königreichs und Irlands hinsichtlich des Raums der Freiheit, der Sicherheit und des Rechts und unbeschadet des Artikels 4 dieses Protokolls beteiligte sich Irland nicht an der Annahme der Verordnung (EU) 2019/816 und ist weder durch die genannte Verordnung gebunden noch zu ihrer Anwendung verpflichtet. Irland ist daher nicht zur Umsetzung des vorliegenden Beschlusses verpflichtet.

(14)	Der Europäische Datenschutzbeauftragte wurde gemäß Artikel 42 Absatz 1 der Verordnung (EU) 2018/1725 angehört und hat am 5. Juni 2025 eine Stellungnahme abgegeben.

(15)

Mit diesem Beschluss werden verbindliche Anforderungen an transeuropäische digitale öffentliche Dienste im Sinne der Verordnung (EU) 2024/903 des Europäischen Parlaments und des Rates (9) eingeführt. Dementsprechend wurde eine Bewertung der Interoperabilität durchgeführt und der Bericht dieser Bewertung im Portal für ein interoperables Europa veröffentlicht.

(16)	Die in diesem Beschluss vorgesehenen Maßnahmen entsprechen der Stellungnahme des gemäß Artikel 38 der Verordnung (EU) 2019/816 eingesetzten Ausschusses —

HAT FOLGENDEN BESCHLUSS ERLASSEN:

Artikel 1

Änderung des Durchführungsbeschlusses (EU) 2022/2470

Der Durchführungsbeschluss (EU) 2022/2470 wird wie folgt geändert:

Artikel 2 wird wie folgt geändert:

Absatz 1 erhält folgende Fassung:

„(1) Sind alphanumerische Daten zusammen mit Fingerabdruckdaten oder dem Gesichtsbild einer Person oder aber mit beidem in einem gemäß Artikel 5 der Verordnung (EU) 2019/816 im ECRIS-TCN erstellten Datensatz enthalten, so werden die alphanumerischen Daten mit den entsprechenden Fingerabdruckdaten und dem entsprechenden Gesichtsbild verknüpft.“

Folgender Absatz 4 wird angefügt:

„(4) Der verwendete Kompressionsalgorithmus für Gesichtsbilder entspricht den Empfehlungen des ‚National Institute of Standards and Technology‘ (NIST).

Gesichtsbilder werden nur einmal unter folgenden Kompressionsbedingungen komprimiert:

a)	Die Kompression erfolgt mit dem Bildkompressionsstandard und Kodierungssystem JPG (ISO/IEC 10918) oder JPEG 2000 (ISO/IEC 15444);

b)	das maximal zulässige Bildkompressionsverhältnis ist 20:1.“

Folgender Artikel 2a wird angefügt:

„Artikel 2a

Mechanismus zur Überprüfung der Datenqualität

(1) Bei der Eingabe oder Änderung von alphanumerischen Daten, Fingerabdruckdaten oder Gesichtsbildern in ECRIS-TCN verwendet die Zentralbehörde des Urteilsmitgliedstaats einen Mechanismus zur Überprüfung der Datenqualität oder einen gleichwertigen Mechanismus in ihrer nationalen ECRIS-Implementierungssoftware gemäß Artikel 4 Absätze 4 bis 7 der Verordnung (EU) 2019/816.

(2) Der in Absatz 1 genannte Mechanismus zur Überprüfung der Datenqualität wird in die ECRIS-Referenzimplementierung integriert, als Softwareanwendung entwickelt und im Zentralsystem des ECRIS-TCN eingerichtet.

(3) eu-LISA ist gemäß Artikel 11 Absatz 2 der Verordnung (EU) 2019/816 für die Entwicklung, Wartung und Aktualisierung des Mechanismus zur Überprüfung der Datenqualität zuständig.

(4) Nutzen die Mitgliedstaaten den in Absatz 1 genannten Mechanismus zur Überprüfung der Datenqualität nicht und verwenden stattdessen einen gleichwertigen Mechanismus in ihrer nationalen ECRIS-Implementierungssoftware, so stellen sie sicher, dass dieser Mechanismus die gleiche Qualitätsüberprüfung von alphanumerischen Daten, Fingerabdruckdaten und Gesichtsbildern gewährleistet wie dieser Mechanismus zur Überprüfung der Datenqualität.“

3.	In Artikel 3 werden die Absätze 1 und 2 gestrichen.

Artikel 4 wird wie folgt geändert:

a)	Die Absätze 1, 2 und 3 werden gestrichen.

b)	Absatz 4 wird wie folgt geändert: „(4) Für das Verfahren zur Überprüfung der Datenqualität nutzen die Mitgliedstaaten mindestens die Version 2.0 der vom NIST festgelegten Qualitätsmetrik für Fingerabdruckbilder (NFIQ).“

Folgender Artikel 4a wird angefügt:

„Artikel 4a

Qualität von Gesichtsbildern

(1) Das Verfahren zur Überprüfung der Datenqualität gilt für alle Gesichtsbilder, die in das ECRIS-TCN eingegeben oder darin geändert werden, und gewährleistet, dass mindestens die folgenden Bedingungen erfüllt sind:

a)	Nur ein Gesichtsbild wird in der NIST-Datei bereitgestellt und gemäß dem Standard ANSI/NIST-ITL 1-2011, aktualisierte Version 2015, oder einer neueren Version übermittelt;

b)	bei den Gesichtsbildern handelt es sich um eine Graustufen-, Farb- oder Nah-Infrarot-Aufnahme;

c)	die Qualität der Gesichtsbilder basiert auf den Anforderungen an Frontalaufnahmen gemäß ISO/IEC 19794-5:2011 oder einer neueren Version;

d)	die NIST-Datei ermöglicht die Aufnahme ergänzender Informationen, einschließlich des Datums, an dem das Bild aufgenommen wurde;

e)	die Gesichtsbilder im Hochformat haben eine Auflösung von mindestens 600 × 800 Pixel und höchstens 1 200 × 1 600 Pixel;

f)	das Gesicht füllt das Bild so aus, dass der Abstand der Augenmittelpunkte mindestens 120 Pixel beträgt.

(2) Werden Gesichtsbilder in das ECRIS-TCN eingegeben oder darin geändert, die nicht die in Absatz 1 genannten Bedingungen erfüllen, so werden sie vom ECRIS-TCN verworfen und weder gespeichert noch verarbeitet.“

Artikel 7 Absatz 2 Buchstabe b wird wie folgt geändert:

Ziffer iii erhält folgende Fassung:

„iii)

Zahl der Datensätze, die Kennzeichnungen gemäß Artikel 5 Absatz 1 Buchstabe c der Verordnung (EU) 2019/816 enthalten, in Bezug auf Verurteilungen wegen einer terroristischen Straftat oder einer anderen im Anhang der Verordnung (EU) 2018/1240 aufgeführten Straftat;“

Folgende Buchstaben werden angefügt:

„viii)

Zahl der Datensätze, die Gesichtsbilder enthalten;

ix)	Zahl der Datensätze, die Gesichtsbilder enthalten, deren Aufnahme gemäß Artikel 4a Absatz 2 nicht akzeptiert wurde;“.

7.	Der Anhang wird gemäß dem Anhang des vorliegenden Beschlusses geändert.

Artikel 2

Inkrafttreten

Dieser Beschluss tritt am zwanzigsten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.

Brüssel, den 13. November 2025

Für die Kommission

Die Präsidentin

Ursula VON DER LEYEN

(1) ABl. L 135 vom 22.5.2019, S. 85, ELI: http://data.europa.eu/eli/reg/2019/816/oj.

(2) Durchführungsbeschluss (EU) 2022/2470 der Kommission vom 14. Dezember 2022 zur Festlegung von Maßnahmen, die für die technische Entwicklung und Implementierung des zentralisierten Systems für die Ermittlung der Mitgliedstaaten, in denen Informationen zu Verurteilungen von Drittstaatsangehörigen und Staatenlosen vorliegen (ECRIS-TCN), erforderlich sind (ABl. L 322 vom 16.12.2022, S. 107, ELI: http://data.europa.eu/eli/dec_impl/2022/2470/oj).

(3) Verordnung (EU) 2018/1726 des Europäischen Parlaments und des Rates vom 14. November 2018 über die Agentur der Europäischen Union für das Betriebsmanagement von IT-Großsystemen im Raum der Freiheit, der Sicherheit und des Rechts (eu-LISA), zur Änderung der Verordnung (EG) Nr. 1987/2006 und des Beschlusses 2007/533/JI des Rates sowie zur Aufhebung der Verordnung (EU) Nr. 1077/2011 (ABl. L 295 vom 21.11.2018, S. 99, ELI: http://data.europa.eu/eli/reg/2018/1726/oj).

(4) Verordnung (EU) 2019/817 des Europäischen Parlaments und des Rates vom 20. Mai 2019 zur Errichtung eines Rahmens für die Interoperabilität zwischen EU-Informationssystemen in den Bereichen Grenzen und Visa und zur Änderung der Verordnungen (EG) Nr. 767/2008, (EU) 2016/399, (EU) 2017/2226, (EU) 2018/1240, (EU) 2018/1726 und (EU) 2018/1861 des Europäischen Parlaments und des Rates und der Entscheidung 2004/512/EG des Rates und des Beschlusses 2008/633/JI des Rates (ABl. L 135 vom 22.5.2019, S. 27, ELI: http://data.europa.eu/eli/reg/2019/817/oj).

(5) Verordnung (EU) 2019/818 des Europäischen Parlaments und des Rates vom 20. Mai 2019 zur Errichtung eines Rahmens für die Interoperabilität zwischen EU-Informationssystemen (polizeiliche und justizielle Zusammenarbeit, Asyl und Migration) und zur Änderung der Verordnungen (EU) 2018/1726, (EU) 2018/1862 und (EU) 2019/816 (ABl. L 135 vom 22.5.2019, S. 85, ELI: http://data.europa.eu/eli/reg/2019/818/oj).

(6) Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).

(7) Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG (ABl. L 295 vom 21.11.2018, S. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

(8) Verordnung (EU) 2018/1240 des Europäischen Parlaments und des Rates vom 12. September 2018 über die Einrichtung eines Europäischen Reiseinformations- und -genehmigungssystems (ETIAS) und zur Änderung der Verordnungen (EU) Nr. 1077/2011, (EU) Nr. 515/2014, (EU) 2016/399, (EU) 2016/1624 und (EU) 2017/2226 (ABl. L 236 vom 19.9.2018, S. 1, ELI: http://data.europa.eu/eli/reg/2018/1240/oj).

(9) Verordnung (EU) 2024/903 des Europäischen Parlaments und des Rates vom 13. März 2024 über Maßnahmen für ein hohes Maß an Interoperabilität des öffentlichen Sektors in der Union (Verordnung für ein interoperables Europa) (ABl. L, 2024/903, 22.3.2024, ELI: http://data.europa.eu/eli/reg/2024/903/oj).