(1) Erfordert das nationale Lagebild die Verarbeitung personenbezogener Daten, so werden diese Daten gemäß der Verordnung (EU) 2016/679 und gegebenenfalls der Richtlinie (EU) 2016/680 verarbeitet. Alle Mitgliedstaaten benennen eine Behörde, die als Verantwortlicher im Sinne von Artikel 4 Nummer 7 der Verordnung (EU) 2016/679 bzw. von Artikel 3 Nummer 8 der Richtlinie (EU) 2016/680, je nach Anwendbarkeit, gilt und die zentrale Zuständigkeit für die Verarbeitung personenbezogener Daten durch diesen Mitgliedstaat hat. Die Mitgliedstaaten teilen der Kommission diese Behörde mit.

(2) Schiffs- und Luftfahrzeugkennungen sind die einzigen personenbezogenen Daten, auf die im europäischen Lagebild und in spezifischen Lagebildern sowie bei den Diensten von EUROSUR zur Zusammenführung von Daten zugegriffen werden darf.

(3) Erfordert die Verarbeitung von Informationen im Rahmen von EUROSUR ausnahmsweise, andere personenbezogene Daten als Schiffs- und Luftfahrzeugkennungen zu verarbeiten, so ist jegliche derartige Verarbeitung auf das für die Zwecke von EUROSUR gemäß Artikel 18 unbedingt erforderliche Maß beschränkt.

(4) Der Austausch personenbezogener Daten mit Drittstaaten im Rahmen von EUROSUR beschränkt sich auf das für die Zwecke der vorliegenden Verordnung unbedingt erforderliche Maß. Er erfolgt durch die Agentur im Einklang mit Kapitel V der Verordnung (EU) 2018/1725 und durch die Mitgliedstaaten im Einklang mit Kapitel V der Verordnung (EU) 2016/679 bzw. mit Kapitel V der Richtlinie (EU) 2016/680 sowie den einschlägigen nationalen Datenschutzvorschriften zur Umsetzungen dieser Richtlinie.

(5) Der Austausch von Informationen gemäß Artikel 72 Absatz 2, Artikel 73 Absatz 3 und Artikel 74 Absatz 3, durch den einem Drittstaat Daten bereitgestellt werden, die dazu verwendet werden könnten, Personen oder Gruppen von Personen zu identifizieren, deren Antrag auf internationalen Schutz noch geprüft wird oder die ernsthaft gefährdet sind, Opfer von Folter, einer unmenschlichen oder erniedrigenden Behandlung oder Strafe oder einer anderen Verletzung der Grundrechte zu werden, ist untersagt.

(6) Die Mitgliedstaaten und die Agentur führen im Einklang mit Artikel 30 der Verordnung (EU) 2016/679, Artikel 24 der Richtlinie (EU) 2016/680 bzw. Artikel 31 der Verordnung (EU) 2018/1725, je nach Anwendbarkeit, ein Verzeichnis der Verarbeitungstätigkeiten.