Source: https://www.parlament.gv.at/PAKT/VHG/XXV/ME/ME_00316/fnameorig_630449.html
Timestamp: 2017-08-18 01:38:27
Document Index: 26736210

Matched Legal Cases: ['§ 16', '§ 6', '§ 8', '§ 10', '§ 2', '§ 4', '§ 13', '§ 4', '§ 7', '§ 4', '§ 16', '§ 4', '§ 4', '§ 4', '§ 4', '§ 4', '§ 4', '§ 4', '§ 4', '§ 6', '§ 5', '§ 6', '§ 6', '§ 7', '§ 10', '§ 10', '§ 4', '§ 14', '§ 14', '§ 14', '§ 14', '§ 10', '§ 14', 'Art. 7', '§ 15', '§ 14', 'Art. 7', '§ 15', '§ 18', '§ 4', '§ 10', '§ 14', '§ 21', '§ 24', '§ 25', '§ 25', '§ 25', '§ 28']

• Der Registrierungsprozess eines E-ID wird in Bezug auf die Sicherstellung der eindeutigen Identifizierung des E-ID-Werbers auf ein noch höheres Niveau gehoben. Die Identifizierung des E-ID-Werbers soll nunmehr ausschließlich bei Passbehörden, bei nach § 16 Abs. 3 Passgesetz 1992, BGBl. Nr. 839/1992, ermächtigten Gemeinden, Landespolizeidirektionen oder anderen geeigneten Behörden möglich sein. Im Zuge der Beantragung eines Reisedokuments wird die Registrierung eines E-ID nun von Amts wegen durchgeführt. Weiters wird im Registrierungsprozess eines E-ID die Möglichkeit geschaffen, die vorgelegten Ausweisdaten wie z. B. Reisepassnummer in den entsprechenden Registern abzufragen und gegenüber den von Sicherheitsbehörden geführten Fahndungsevidenzen abzugleichen, um damit das Risiko mindern zu können, dass die Identität der Personen nicht mit der beanspruchten Identität übereinstimmt.
Zu Z 1 bis 9, 14, 17, 20 und 23 (Inhaltsverzeichnis, Überschrift des 2. Abschnitts, § 6 Abs. 1 und Abs. 4 vierter Satz, § 8, § 10 Abs. 2):
Zu Z 10 (§ 2 Z 10):
Zu Z 11 (§ 4):
Wie bisher schon die Bürgerkarte, verbindet auch der neue E-ID die Personenbindung mit einer qualifizierten elektronischen Signatur. Die Erstellung von qualifizierten elektronischen Signaturen stellt einen qualifizierten Vertrauensdienst im Sinne der eIDAS-Verordnung dar und darf daher nur von einem qualifizierten Vertrauensdiensteanbieter erbracht werden. Damit dieser seiner Aufgabe nachkommen kann, ist es erforderlich, ihm jene Daten zu übermitteln, die notwendig sind, um ein qualifiziertes Zertifikat für qualifizierte elektronische Signaturen für einen E-ID-Werber auszustellen. Diese Daten sind die Identitätsdaten zur Person (Vorname, Familienname, Geburtsdatum, Geschlecht), eine Zustelladresse, die Telefonnummer eines Mobiltelefons, E-Mail-Adresse und die verschlüsselte Stammzahl (Abs. 4).
Eine Datenanwendung des öffentlichen Bereichs erhält gegenwärtig die (signierte) Personenbindung (und somit die Stammzahl des Betroffenen) und generiert unter Mitwirkung des Betroffenen das bPK selbst. Wird der E-ID im elektronischen Rechtsverkehr für Zwecke der Identifikation von Betroffenen verwendet, so soll nunmehr gemäß Abs. 5 jedes Mal eine Personenbindung erstellt und der Datenanwendung, gegenüber der sich der Inhaber des E-ID ausweisen möchte, signiert oder besiegelt übermittelt werden. Die Erstellung der Personenbindung erfolgt in diesem Fall durch die Stammzahlenregisterbehörde oder eine in ihrem Auftrag tätige andere Behörde und darf nur unter Mitwirkung der in dem E-ID als Inhaberin bezeichneten natürlichen Person durchgeführt werden. Dabei werden bei der Verwendung des E-ID im öffentlichen Bereich ein oder mehrere bPK zugeordnet. Mehrere bPK werden dann zugeordnet, wenn es sich bei der Datenanwendung um eine Portallösung handelt, in der der Zugang zu verschiedenen Anwendungen aus unterschiedlichen Bereichen über einen einzigen Login ermöglicht wird (Single Sign On). Dabei darf es jedenfalls zu keiner Speicherung von bPK in der Portalanwendung kommen, sondern lediglich bei den angebundenen Anwendungen und zwar nur jene bPKs, die von dieser Anwendung verarbeitet werden dürfen (siehe dazu § 13 Abs. 2). In der Praxis stellt sich häufig der Bedarf für Personen neben den Kernidentitätsdaten (Vorname, Familienname, Geburtsdatum) weitere Merkmale in gesicherter Form einer Datenanwendung zur Verfügung zu stellen. Diese Anforderung ergibt sich schon alleine aus den optionalen Merkmalen des Mindestdatensatzes einer natürlichen oder juristischen Person wie der im Anhang der Durchführungsverordnung (EU) 2015/1501 über den Interoperabilitätsrahmen gemäß Artikel 12 Absatz 8 der Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt festgelegt ist. Beispiele für solche weiteren Merkmale, die in der Praxis von Relevanz sein können, sind etwa Melde-, Personenstands- und Staatsbürgerschaftsdaten. Der Zugriff auf derartige Merkmale hat freilich nur mit Zustimmung und Wissen des Betroffenen und unter strenger Beachtung der datenschutzrechtlichen Vorgaben zu erfolgen.
Zu Z 12 (§§ 4a und 4b):
Voraussetzung für die Nutzung der neuen Funktion E-ID ist die vorherige Registrierung durch den Bürger. Der Registrierungsprozess wird regelmäßig durch den Antrag auf Ausstellung eines Reisedokumentes nach § 7 Passgesetz 1992 angestoßen. Die Registrierung des E-ID im Zuge der Ausstellung des Reisedokumentes kommt nur für Staatsbürger in Betracht, da die Ausstellung von österreichischen Reisedokumenten nach § 4 Passgesetz 1992 den Nachweis der Staatsbürgerschaft erfordert. Um eine schnellstmögliche Verbreitung der neuen Funktion E-ID zu gewährleisten, können Staatsbürger die Registrierung des E-ID unabhängig von einer Ausstellung eines Reisedokumentes bei der Passbehörde, einer nach § 16 Abs. 3 Passgesetz 1992 ermächtigten Gemeinde oder der Landespolizeidirektion verlangen. Im Einvernehmen mit dem Bundesminister für Inneres können nach § 4a Abs. 1 auch andere geeignete Behörden die Registrierung des E-ID vornehmen. Um die Öffentlichkeit entsprechend zu informieren, ist eine Veröffentlichung dieser zusätzlich verfügbaren Registrierungsbehörden im Internet durch den Bundesminister für Inneres vorgesehen.
Die Funktion E-ID soll keineswegs österreichischen Staatsbürgern vorbehalten werden, im Gegenteil soll Fremden die Nutzung der Funktion E-ID offen stehen. Die Registrierung von Fremden wird nach § 4a Abs. 2 auf deren Verlangen aufgrund der mit der Überprüfung ausländischer Reisedokumente verbundenen Herausforderungen von der Landespolizeidirektion vorgenommen. Voraussetzung für die Registrierung von Fremden ist der rechtmäßige Aufenthalt im Bundesgebiet sowie ein ausreichender Inlandsbezug. Für Asylwerber ist die Registrierung des E-ID erst nach positivem Entscheid über das Asylverfahren zulässig.
Zumal die inländische Behörde von Änderungen personenbezogener Daten im Ausland regelmäßig keine Kenntnis hat, wird im gegenständlichen Entwurf für die Zertifikate von Fremden eine Gültigkeitsdauer von zwei Jahren vorgeschlagen. Diese Regelung ist vor dem Hintergrund einer hohen Datenaktualität notwendig, beispielsweise werden der Behörde Personenstandsfälle oder Namensänderungen im Ausland mangels Zugriffmöglichkeit auf Register anderer Staaten nicht bekannt. Sobald die Gültigkeitsdauer des qualifizierten Zertifikates überschritten wurde, ist zur Überprüfung der personenbezogenen Daten ein neuerliches Durchlaufen des Registrierungsprozesses bei der Landespolizeidirektion erforderlich.
Im Hinblick auf eine möglichst effiziente und rasche Abwicklung des behördlichen Registrierungsprozesses können Inhaber eines Reisepasses oder eines Personalausweises nach § 4a Abs. 3 bereits im Vorfeld die für die Registrierung erforderlichen Daten an die Behörde übermitteln. Die Behörde hat diese Daten aus datenschutzrechtlichen Gründen innerhalb von 30 Tagen zu löschen, sofern in diesem Zeitraum keine Registrierung des E-ID vorgenommen wurde.
Entscheidende Voraussetzung für die Registrierung des E-ID ist nach § 4a Abs. 4 die Feststellung der eindeutigen Identität des Betroffenen. In diesem Zusammenhang soll im Registrierungsprozess die Möglichkeit geschaffen werden, die vorgelegten Ausweisdaten wie z. B. Reisepassnummer in den entsprechenden Registern abzufragen und gegebenenfalls mit den von Sicherheitsbehörden geführten Fahndungsevidenzen abzugleichen. Damit kann die Sicherheit bei der Identitätsfeststellung zur Registrierung des E-ID erhöht werden. Es werden dadurch auch die notwendigen Vorkehrungen getroffen, um das Risiko mindern zu können, dass die Identität der Personen nicht mit der beanspruchten Identität übereinstimmt, z. B. im Hinblick auf verlorene, gestohlene, ausgesetzte, widerrufene oder abgelaufene Beweismittel, wie es in Anhang unter Punkt 2.1.2 der Durchführungsverordnung (EU) 2015/1502 der Kommission vom 8. September 2015 zur Festlegung von Mindestanforderungen an technische Spezifikationen und Verfahren für Sicherheitsniveaus elektronischer Identifizierungsmittel gemäß Artikel 8 Absatz 3 der Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt, ABl. Nr. L 235 vom 9.9.2015 ab dem Sicherheitsniveau „substanziell“ im Sinne der eIDAS-VO vorgesehen ist.
Im Falle missbräuchlicher Verwendung oder falls der E-ID der Person nicht mehr eindeutig zugeordnet werden kann, ist in § 4a Abs. 5 die Möglichkeit vorgesehen, den E-ID zu widerrufen. Dies erfolgt durch den Widerruf des mit der betreffenden Person zu seinem E-ID verbundenen Zertifikats beim VDA und wirkt im Einklang mit der eIDAS-VO dauerhaft und kann somit auch nicht mehr rückgängig gemacht werden. Der Widerruf des E-ID ist dabei von der Behörde zu veranlassen und wird in weiterer Folge vom Vertrauensdiensteanbieter durchgeführt. Um die missbräuchliche Verwendung hintanzuhalten, ist der E-ID auch im Sterbefall des E-ID Inhabers zu widerrufen.
Der genaue Ablauf des Registrierungsprozesses und des Widerrufs, einschließlich der Möglichkeit der Vorabübermittlung bestimmter Daten an die Registrierungsbehörde nach § 4a Abs. 3, ist gemäß § 4a Abs. 6 durch Verordnung näher zu bestimmen.
Im Zuge der Registrierung des E-ID hat die jeweilige Registrierungsbehörde als Auftraggeber im Sinne des Datenschutzgesetzes 2000 (DSG 2000), BGBl. I Nr. 165/1999, bestimmte Daten im vom Bundesministerium für Inneres betriebenen Identitätsdokumentenregister zu erfassen und zu verarbeiten (§ 4b). Diese Daten werden von den zur Registrierung ermächtigten Behörden gemeinsam in dieser Datenverarbeitung verwendet. Obgleich die Stammzahlenregisterbehörde als datenschutzrechtlicher Auftraggeber für das Identitätsdokumentenregister grundsätzlich die in § 6 Abs. 2 DSG 2000 angeführte Pflicht zur Einhaltung der datenschutzrechtlichen Grundsätze trifft, bleibt die Verantwortlichkeit bezüglich der eingetragenen Daten bei der jeweiligen eintragenden Registrierungsbehörde. Bei der Verarbeitung von Daten durch die Registrierungsbehörde werden bereits im Identitätsdokumentenregister, im Zentralen Melderegister oder Ergänzungsregister vorhandene Daten nicht erneut erfasst, um eine redundante Datenhaltung zu verhindern.
Zu Z 13 (§ 5):
In Fällen berufsmäßiger Parteienvertretung ergibt sich die generelle Befugnis zur Vertretung aus zusätzlichen Merkmalen im Signaturzertifikat des E-ID des Vertreters. So ist etwa aus dem Signaturzertifikat ersichtlich, dass jemand als Rechtsanwalt auftritt. Die Anmerkung einer solchen Berufsberechtigung, aber auch der Entzug, richtet sich nach den jeweils einschlägigen berufsrechtlichen Vorschriften. Als Alternative soll dies nun auch als Identitätsmerkmal abgebildet werden können, wobei die Information in einem solchen Fall in Echtzeit in Registern oder Datenanwendungen, die nach berufsrechtlichen Bestimmungen zu führen sind, von der Stammzahlenregisterbehörde gemäß Abs. 1 abgefragt und in die Personenbindung eingefügt wird. Auch wenn ein Organwalter für Betroffene eine Verfahrenshandlung vornehmen soll, gibt es nun die Alternative, die generelle Befugnis des Organwalters auf Grund einer von der zuständigen Behörde geführten Datenanwendung abzufragen.
Zu Z 15 und 16 (§ 6 Abs. 4):
Zu Z 18 (§ 6 Abs. 5):
Zu Z 19 (§ 7 Abs. 2):
Zu Z 21(Überschrift zu § 10)
Zu Z 22 (§ 10 Abs. 1):
Das nunmehr vorgesehene Modell des österreichischen E-ID soll die Prüfbarkeit des bPK sicherstellen, indem die bPK-Bildung immer an einer zentralen Stelle unter der Hoheit der Stammzahlenregisterbehörde stattfinden soll (vgl. § 4 Abs. 5, § 14 Abs. 2 und § 14a Abs. 2). Zu diesem Zweck müssen Anwendungen des öffentlichen oder privaten Bereichs gemäß § 14 sowie ausländische Services gemäß § 14a (bzw. deren ausländischer „Knoten“ im Sinne der eIDAS-VO), einmalig bei der Stammzahlenregisterbehörde registriert werden, damit immer das korrekte bPK an die Anwendung übermittelt werden kann.
Zu Z 24 (§ 10 Abs. 3):
Zu Z 26 und 27 (§ 14):
Da eine Datenanwendung des privaten Bereichs derzeit keine Personenbindung erhält (weil die Stammzahl nicht übermittelt werden darf), wird das bPK des Betroffenen beim Betroffenen selbst generiert. Eine Bestätigung der Personenidentifikationsdaten, wie es Art. 7 lit. f eIDAS-VO verlangt, wäre in der derzeitigen Konzeption unmittelbar nur bei der Verwendung der Bürgerkarte (nunmehr: E-ID) bei einer Anwendung des öffentlichen Bereichs durchführbar, weil nur dort die Signatur oder das Siegel der Stammzahlenregisterbehörde über den Personenbindungsdatensatz, der die Stammzahl enthält, beim Empfänger prüfbar ist. Demgegenüber ist nach dem derzeitigen Modell im privaten Bereich bzw. für ausländische Services diese Bestätigung der Identifikationsdaten nicht unmittelbar möglich, da – mangels Signatur oder Siegel der Stammzahlenregisterbehörde über das bPK – keine direkte Prüfbarkeit des bPK gegeben ist (eine Verifizierung könnte lediglich im Wege einer gesonderten ZMR-Abfrage erfolgen). Das nunmehr vorgesehene Modell des E-ID soll daher die direkte Prüfbarkeit des bPK sicherstellen, indem die bPK-Bildung immer an einer zentralen Stelle unter der Hoheit der Stammzahlenregisterbehörde stattfinden soll. Bei jeder Verwendung des E-ID wird eine Personenbindung erstellt und von der Stammzahlenregisterbehörde signiert oder besiegelt. Die elektronische Prüfung kann daher immer aufgrund der signierten oder besiegelten Personenbindung erfolgen. Die bisherige Prüfmöglichkeit der verwendeten Personenbindung des § 15 Abs. 2 letzter Satz über eine Anfrage beim ZMR kann daher entfallen. Bei der Verwendung des E-ID im privaten Bereich enthält die Personenbindung anders als bei der Verwendung im öffentlichen Bereich oder bei der Verwendung für Anwendungen im Ausland nur ein bPK zum E-ID-Inhaber. Vorname, Familienname, Geburtsdatum, weitere Merkmale sowie die Einzelvertretungsbefugnis können in die Personenbindung optional eingefügt werden, wenn der Betroffene dem zustimmt. Im Gegensatz zum öffentlichen Bereich kann es für den Betroffenen im privaten Bereich interessant bzw. ausreichend sein, in bestimmten Fällen bloß Informationen über das Alter oder das Geburtsdatum, jedoch nicht weitere Identitätsdaten preiszugeben. Der Betroffene erhält dadurch im privaten Bereich die Wahlmöglichkeit, ob er z. B. beim Nachweis der Volljährigkeit (etwa in Supermärkten, Trafiken, Bars oder Diskotheken) auch den Namen offenlegen möchte.
Zu Z 28 (§ 14a):
Da Art. 7 lit. f eIDAS-VO im grenzüberschreitenden Bereich jedenfalls eine Möglichkeit der Bestätigung der Personenidentifikationsdaten verlangt, hat die Personenbindung die im Fall der Verwendung des E-ID für E-ID-taugliche Anwendungen im Ausland neben dem bPK (gebildet mit einem staatenspezifischen Kennzeichen) jedenfalls auch Vorname, Name und Geburtsdatum des E-ID-Inhabers zu enthalten. Auch in diesem Fall ist es nach Maßgabe der technischen Möglichkeiten und mit Zustimmung des Betroffenen denkbar, dass weitere Merkmale in die Personenbindung eingefügt werden.
Zu Z 29 und 30 (§ 15):
Zu Z 31 (§ 18):
Im Rahmen der Nutzung des E-ID soll es hinkünftig dem E-ID-Inhaber möglich sein, neben den Kernidentitätsdaten (Vorname, Familiennamename, Geburtsdatum) weitere Merkmale aus elektronischen Registern eines Auftraggebers des öffentlichen Bereichs Dritten zu Verfügung zu stellen. Um den Inhalt der Merkmale allenfalls zu prüfen, steht dem E-ID-Inhaber selbstverständlich ein Einblick in diese Daten zu. Während in elektronischen Verfahren mit Auftraggebern des öffentlichen Bereichs nur eine Ergänzung der Kernidentitätsdaten durch zusätzliche Merkmale vorgesehen ist (§ 4 Abs. 5 iVm § 10 Abs. 1), kann der E-ID-Inhaber bei der Verwendung des E-ID im privaten Bereich die zu Verfügung zu stellenden Merkmale frei wählen (§ 14 Abs. 3). Dies ermöglicht den Nachweis bestimmter Informationen gegenüber einem Dritten bei freier Wahl der zu übermittelnden Zusatzinformationen.
Zur Nutzung des E-ID-Systems durch Private ist eine Überprüfung der verwendeten Anwendung erforderlich. Bei Vorliegen von Anhaltspunkten der missbräuchlichen Verwendung von Daten, kann eine Eröffnung der Nutzung unterbleiben oder nachträglich unterbunden werden. Die Vorgaben zur Eröffnung der Nutzung und des Unterbindens werden mittels Verordnung des Bundesministers für Inneres spezifiziert.
Zusätzlich ist vorgesehen, dass jede Transaktion in einer nur dem E-ID-Inhaber zugänglichen Form protokolliert wird. Damit soll im Sinne größtmöglicher Transparenz ausschließlich für den E-ID-Inhaber selbst jederzeit nachvollziehbar sein, an wen zu welchem Zeitpunkt welche Merkmale übermittelt wurden. Bei Bedarf soll der E-ID-Inhaber für einzelne Transaktionen die Protokollierung deaktivieren können.
Zu Z 32 (§ 21a):
Zu Z 33 (§ 24 Abs. 6):
Die Notwendigkeit einer Vorlaufzeit für die technischen Anpassungen macht die spätere Anwendbarkeit der Bestimmungen erforderlich. Lediglich § 25 Abs. 3 soll bereits ab Zeitpunkt des Inkrafttretens Anwendung finden, um die Durchführung eines Pilotbetriebes zu ermöglichen. Der Zeitpunkt für die Aufnahme des Echtbetriebes ist vom Bundesminister für Inneres im Bundesgesetzblatt zu veröffentlichen.
Zu Z 34 (§ 25):
In den Übergangsbestimmungen wird in Abs. 2 die Möglichkeit eines zeitlich, örtlich oder auf bestimmte Personengruppen eingeschränkten Pilotbetriebes des E-ID-Systems ab dem auf die Kundmachung des Bundesgesetzes folgenden Tag festgelegt. Eine Erprobung des E-ID-Systems unter Verwendung von Echtdaten ist erforderlich, um realistische Rahmenbedingungen für den Pilotbetrieb zu schaffen und damit einen höheren Erfahrungsgewinn für das Echtsystem zu erlangen. Voraussetzung für die Durchführung eines Pilotbetriebes ist weiters die Freiwilligkeit der teilnehmenden Personen.
In Abs. 3 wird klargestellt, dass die neuen Bestimmungen im Zusammenhang mit dem E-ID mit Ausnahme des § 25 Abs. 3 erst ab dem Zeitpunkt der Aufnahme des Echtbetriebes Anwendung finden. Für die bestehenden sowie bis dahin ausgestellten Bürgerkarten gilt die bisherige Rechtslage unverändert. Ab Aufnahme des Echtbetriebes werden bestehende Bürgerkarten bereits am neuen technischen System teilnehmen, die Einsatzmöglichkeiten der bestehenden Bürgerkarten werden nur nach Maßgabe der technischen Möglichkeiten auf jene des E-ID erweitert. Mit Verordnung kann ein vereinfachter Prozess für den Umstieg von der Bürgerkarte auf den E-ID vorgesehen werden, um möglichst einfach die Teilnahme am neuen System zu ermöglichen.
Zu Z 35 und 36 (§ 28 Z 1 und 4):