A. Erlass der eIDAS-VO 2.0 und Einordnung
Die Nutzung elektronischer Mittel um sich als bestimmte Person für den Zugang zu Online-Diensten zu identifizieren und authentifizieren ist bereits weit verbreitet. Solche elektronischen Identifizierungsmittel (eID-Mittel) sind wie ihre Anwendungsfälle stark fragmentiert. Oft werden dabei Datenschutz und Privatsphäre nicht ausreichend beachtet.1
In Anerkennung ihrer Bedeutung für die digitale Souveränität Europas2 strebt die EU-Kommission durch einen neuen harmonisierten Rahmen die Schaffung einer hochsicheren, vertrauenswürdigen europäischen digitalen Identität und Stärkung der Kontrollmöglichkeiten der Nutzer an.3
I. Regelungszweck und Anwendungsbereich
Dazu legt die Verordnung (EU) Nr. 2024/1183 (eIDAS-VO 2.0)4seit ihrem Inkrafttreten am 20.05.2024 verbesserte Bedingungen für die Entwicklung des unionsweiten Rahmens einer digitalen Identität und für Vertrauensdienste fest.5 Sie hat nach Art. 1 eIDAS-VO-E das Ziel ein angemessenes Sicherheitsniveau bei unionsweit genutzten elektronischen Identifizierungsmitteln und Vertrauensdiensten zu gewährleisten. Sie baut auf der Verordnung (EU) Nr. 910/2014 (eIDAS-VO)6auf, die seit dem Jahr 20147 harmonisierte Rahmenbedingungen zur Förderung der grenzüberschreitenden Nutzung nationaler „elektronischer Identifizierungsmittel“ und Verwendung „elektronischer Vertrauensdienste“ aufstellt.8
Die eIDAS-VO 2.0 soll wie die eIDAS-VO den gesamten elektronischen Rechtsverkehr über alle Sektoren hinweg sichern (Art. 2 Abs. 1 eIDAS-VO), wodurch sie, vorbehaltlich speziellerer Vorschriften zur elektronischen Identifizierung bzw. zu Sicherungsmitteln, Bedeutung für alle sog. e-Welten („Metaverse“9), vom E-Commerce, Online-Banking bis hin zum E-Government hat.10 Bestehende Formvorschriften und Regelungen zum Abschluss und der Gültigkeit von Verträgen werden von dem Anwendungsbereich nicht berührt (Art. 2 Abs. 3 eIDAS-VO).
Neben der Einordnung der Novellierung und des Begriffs digitale Identitäten soll dieser Beitrag den Regelungsansatz der eIDAS-VO zu eID-Systemen darstellen.
II. Anstoß zur Novellierung der eIDAS-VO
Mit der Evaluierung durch die EU-Kommission im Jahr 2020 (Art. 49 eIDAS-VO) wurde eine Novellierung der eIDAS-VO angestoßen, um die vier großen Defizite in Bezug auf ihre Wirksamkeit zu adressieren.11
So blieb ihr Anwendungsfeld auf den öffentlichen Sektor beschränkt, die Verknüpfung privater Online-Anbieter mit dem eIDAS-System war mangels Gewährleistung der Interoperabilität kompliziert12 und nur begrenzt möglich. Private Anbieter, die eine eID anfordern, bieten stattdessen eigene Lösungen an,13 da bestehenden eID-Mitteln der Mitgliedstaaten die Flexibilität fehlte, um für vielseitige Anwendungsfällen im privaten Sektor eingesetzt zu werden.14
Zudem verfügten eID-Systeme nach der eIDAS-VO nicht über die Funktionalität zur Bereitstellung und Verwendung einzelner Attribute von Identitäten, die im neuen Markt von eID-Systemen15 zunehmend bedeutsam sind.16 Identitätsattribute sind zusätzliche Nachweise (z.B. Qualifikationsnachweise, Führerscheine, Kundenkarten) oder Angaben, die mit einer bestimmten digitalen Identität verknüpft sind.17 Die eID-Mittel nach der eIDAS-VO vermittelten folglich nur den Zugang zu Online-Diensten, die eine Identifizierung und Authentifizierung erfordern, wie etwa in Deutschland die Anmeldung zum Nutzerkonto (§ 3 Abs. 1, 4 OZG-E) im sog. Bürgerportal (§ 1a OZG-E) zur Inanspruchnahme digitaler Verwaltungsleistungen.
In datenschutzrechtlicher Hinsicht fehlte eine Bestimmung zur selektiven Weitergabe von Daten.18 Zuletzt waren unionsweit einsetzbare staatliche eID-Systeme nicht flächendeckend verfügbar, da mangels Pflicht dazu bis zum Jahr 2020 nur 14 Mitgliedstaaten eID-Mittel notifizierten.19 Durch zunehmende Digitalisierung privater und öffentlicher Dienste stieg aber die Bedeutung einer sicheren eID sowie des elektronischen Attributsnachweises.20
Daher brachte die EU-Kommission am 03.06.2021 einen Vorschlag zur Anpassung der eIDAS-VO an die veränderten Bedingungen, insbesondere der Ausweitung ihrer Vorteile auf den privaten Sektor und zur Verbesserung ihrer Wirksamkeit ein.21 In einer begleitenden Empfehlung unterstützte sie die gemeinsame Entwicklung des Instrumentariums für eine einheitliche, interoperable technische Umsetzung (Toolbox-Prozess, C.IV.).22
III. Gesetzgebungsprozess und Bedeutung der eIDAS-VO 2.0
Nachdem das EU-Parlament am 16.03.2023 eine Reihe von Änderungsvorschlägen23mit wichtigen Anpassungen zur Verankerung des Schutzes von Daten und Privatsphäre gebilligt24 und der finale Text nach erfolgreichen Trilogverhandlungen25 Ende Februar 2024 vom EU-Parlament sowie dem Rat der EU angenommen wurde, ist die eIDAS-VO 2.0 nach endgültiger Unterzeichnung am 20.05.2024 in Kraft getreten.26
Sie trägt mit ihren Zielen dem Politikprogramm 2030 für die digitale Dekade Rechnung, wonach bis zum Jahr 2030 alle wichtigen öffentlichen Dienste online verfügbar sein und alle Personen eine sichere elektronische Identität (eID) erhalten sollen,27die vertrauenswürdig ist, unionsweit anerkannt und von den Nutzern kontrolliert wird sowie Ihnen die volle Datenhoheit gewährleistet.28 ´
B. Regelungsinhalt
Die eIDAS-VO 2.0 legt in sechs Kapiteln und 52 Artikeln neben den allgemeinen Bestimmungen (Art. 1-5), der Rechtswirkung elektronischer Dokumente (Art. 46), dem Rahmen für die Governance (Art. 46a-46e), Bestimmungen zur Befugnisübertragung und Durchführung (Art. 47, 48) sowie den Schlussbestimmungen (Art. 48 a-52) – aufbauend auf der eIDAS-VO – zwei getrennte inhaltliche Regelungskomplexe in Kapitel II („elektronische Identifizierung“) und Kapitel IIII („Vertrauensdienste“) fest.
Dabei ist Kapitel II (eID) nun in zwei Abschnitte unterteilt – den Vorschriften zur neu eingeführten sog. Europäischen Brieftasche für die Digitale Identität (Art. 5a-5f) und den angepassten Regelungen zu elektronischen Identifizierungssystemen in (Art. 6-12b), Art. 1 Buchst. b) eIDAS-VO.
Im Folgenden wird nach einer Begriffsbestimmung (C.I.) kurz der Regelungsansatz der eIDAS-VO von 2014 zur Harmonisierung von eID-Systemen erläutert (C.II.) und die punktuell erneuerten Vorschriften zu „elektronischen Identifizierungssystemen“ besprochen (C.III.).
Der Kern der eIDAS-VO 2.0 – die Schaffung einer europäischen Brieftasche für die Digitale Identität (sog. EUid-Brieftaschen) – wird in einem folgenden Beitrag besprochen (Teil II).
Die Vorschriften zu Vertrauensdiensten behandelt dieser kurze Beitrag nicht.
C. Der alte und neue harmonisierte Rahmen für digitale Identitäten
I. Begriffsbestimmung
Der Begriff digitale Identität wird in den Gesetzgebungsmaterialien mehrfach genannt, aber nicht legal definiert. Er ist bisher nur in Art. 11 Abs. 1 BayDiG geregelt, wonach jeder natürlichen Person das „Recht auf eine eigene digitale Identität“ zusteht, ohne dies zu konkretisieren.29
Die eIDAS-VO 2.0 verwendet, wie die eIDAS-VO von 2014, den Begriff „elektronische Identifizierungsmittel“. Das ist eine materielle oder immaterielle Einheit, die Personenidentifizierungsdaten (Art. 3 Nr. 3 eIDAS-VO-E) enthält und zur Authentifizierung (Art. 3 Nr. 5 eIDAS-VO-E) bei Online-Diensten oder ggf. bei Offline-Diensten30 verwendet wird, Art. 3 Nr. 2 eIDAS-VO-E. Die „elektronische Identifizierung“ ist der Prozess der Verwendung von Personenidentifizierungsdaten in elektronischer Form, die eine natürliche oder juristische Person oder eine natürliche Person, die eine andere natürliche Person oder eine juristische Person vertritt, eindeutig repräsentieren, Art. 3 Nr. 1 eIDAS-VO-E. „Personenidentifizierungsdaten“ sind (dabei) ein Datensatz, der im Einklang mit dem Unionsrecht oder dem nationalen Recht ausgestellt wird und es ermöglicht, die Identität einer natürlichen oder juristischen Person oder einer natürlichen Person, die eine andere natürliche Person oder eine juristische Person vertritt, festzustellen, Art. 3 Nr. 3 eIDAS-VO-E.
Ein elektronisches Identifizierungsmittel (eID-Mittel) soll also die digitale Identität, die einer natürlichen oder juristischen Person zugeordnet ist, auf die Identität mit dieser Person überprüfen (Authentifizierung, Art. 3 Nr. 5 eIDAS-VO-E)31 und steht damit in funktionalem Verhältnis zum Begriff digitale Identität.32 Der gesamte technisch-organisatorische Prozess, der die sichere Identifizierung ermöglicht, ist das elektronische Identifizierungssystem, Art. 3 Nr. 4 eIDAS-VO-E.33
Zur groben Einordnung der vielfältigen eID-Lösungen werden staatliche digitale Identitäten und Identitätsmanagementsysteme privater Anbieter wie Banken und Telekommunikationsanbieter einerseits und Login-Dienste digitaler Plattformen (Google oder Meta) andererseits unterschieden.34 Diese Login-Dienste bieten sog. Single-sign-on-Dienste als Authentifizierungsmittel an, also die Möglichkeit zur Anmeldung auf Websites von Drittanbietern mittels der Zugangsdaten zum Nutzerprofil auf ihren Plattformen.35 Solche Lösungen sind vermeintlich benutzerfreundlich (komfortabel), doch entgegen dem sog. Self-sovereign-identity-Konzept36 verwaltet nicht der Nutzer selbst seine digitale Identität, sondern die Anbieter üben die volle Kontrolle über die Verwaltung aus.37
Die eID-Funktion des Personalausweises (§ 18 PAuswG) ist eine staatliche eID. Der Inhaber kann sich durch den im Chip des Personalausweises gespeicherten Online-Ausweis bei der Abfrage der Identität durch einen Online-Dienst mittels der NFC-Schnittstelle auf einem Smartphone über die AusweisApp2 und Eingabe der sechsstelligen PIN identifizieren und authentifizieren. Der Chip im Personalausweis prüft dabei vor der Übermittlung der Personenidentifizierungsdaten die staatliche Berechtigung des Online-Dienst-Anbieters zur Abfrage der Daten.38 Dieses Verfahren wurde vom BSI und der Kommission zwar für hochsicher befunden,39 sein Einsatz hat sich aber bisher nicht durchgesetzt. Die Nutzungsrate lag im Jahr 2024 trotz eines zuletzt deutlichen Anstiegs von acht weiter nur bei zweiundzwanzig Prozent.40
II. Harmonisierung von eID-Systemen durch die eIDAS-VO
Die eIDAS-VO von 201441 verfolgte einen vertrauensbasierten Ansatz, der das Vertrauen in elektronische Transaktionen durch gegenseitige Anerkennung von eID-Systemen stärken und damit die Nutzung öffentlicher und privater Online-Dienstleistungen, des elektronischen Geschäftsverkehrs und des elektronischen Handelns in der EU fördern sollte.42
Konkret wurde in den Vorschriften zu „elektronischen Identifizierungssystemen“ (Art. 6 ff. eIDAS-VO) eine Pflicht zur gegenseitigen Anerkennung von eID-Mitteln eines anderen Mitgliedstaates, die eine Authentifizierung für öffentliche Dienste ermöglichen, eingeführt. Ein eID-System war unionsweit anzuerkennen, wenn es die acht Mindestanforderungen an die technischen Funktionalitäten erfüllt (Art. 7 Buchst. a bis h eIDAS-VO), nach Art. 9 Abs. 1 eIDAS-VO notifiziert und in der Liste der Kommission nach Art. 9 Abs. 2 eIDAS-VO veröffentlicht wurde, Art. 6 Abs. 1 Buchst. a eIDAS-VO. Eine Pflicht zur Notifizierung bestand nicht.43 Um das erforderliche Vertrauen für die Akzeptanz und Notifizierung zu schaffen, wurden drei einheitliche Sicherheitsniveaus44 bestimmt („niedrig“, „substantiell“, „hoch“, Art. 8 Abs. 1 eIDAS-VO), die nach dem Grad des jeweils durch ein eID-System vermittelten Vertrauens in die behauptete Identität aufeinander aufbauen.45 Ausgehend von dem Niveau „niedrig“ sind weitere technische Anforderungen an das jeweils höhere Sicherheitsniveau abstrakt festgelegt (Art. 8 Abs. 2 eIDAS-VO), um die Gefahr von Identitätsmissbrauch oder der Identitätsveränderung zu „mindern“ (Art. 8 Abs. 1 Buchst. a eIDAS-VO), „substanziell mindern“ (Art. 8 Abs. 1 Buchst. b eIDAS-VO) oder zu „verhindern“ (Art. 8 Abs. 1 Buchst. c eIDAS-VO). Die technischen Spezifikationen, Normen und Verfahren mit Mindestanforderungen legt der Durchführungsrechtsakt 2015/150246 der Kommission nach Maßgabe von Art. 8 Abs. 3 eIDAS-VO fest.47 Auf nationaler Ebene hat das BSI als Prüf- und Bewertungsmaßstab für das Sicherheitsniveau der nationalen eID-Systeme (Personalausweis, Aufenthaltstitel und Unionsbürgerkarte) ein offizielles „Mapping“48 erlassen und die technischen Bedingungen in technischen Richtlinien konkretisiert.49
Die Anerkennungspflicht besteht dabei nur für ein eID-Mittel anderer Mitgliedstaaten auf dem Sicherheitsniveau „substantiell“ und „hoch“, wobei das Sicherheitsniveau dem von einem anerkennenden Mitgliedstaat für den Zugang zu seinem Online-Dienst geforderten Sicherheitsniveau mindestens entsprechen („substantiell“ oder „hoch“) oder ein höheres Niveau („hoch“) aufweisen muss, Art. 6 Abs. 1 Buchst. b eIDAS-VO. Die Anerkennung von eID-Mitteln auf einem „niedrigen“ Sicherheitsniveau steht im Ermessen der Mitgliedstaaten.50
III. Verbesserter harmonisierter Rahmen von eID-Systemen durch die eIDAS-VO 2.0
Die eIDAS-VO 2.0 sieht nur punktuelle Änderungen der Vorschriften zu eID-Systemen vor. Zur Verbreitung von eID-Systemen und Erleichterung der Notifizierung von eID-Systemen privater Anbieter durch Mitgliedstaaten wird das Notifizierungsverfahren für eID-Mittel durch Anpassung von den Art. 7 Abs. 1 Buchst. g, 9 Abs. 2, 3 und 12 eIDAS-VO-E vereinfacht und beschleunigt51. Die Zusammenarbeit der Mitgliedstaaten in Bezug auf die Sicherheit und Interoperabilität notifizierter eID-Systeme soll durch die gegenseitige Begutachtung eines eID-Systems gefördert werden (Art. 12 Abs. 5 eIDAS-VO-E). Dazu stellt der notifizierende Mitgliedstaat sechs Monate vor der Mitteilung an die Kommission zur Notifizierung eine Beschreibung des Systems entsprechend Art. 12 Abs. 6 eIDAS-VO-E zur Verfügung (Art. 7 Abs. 1 Buchst. g eIDAS-VO-E).
Daneben erfolgen redaktionelle Änderungen in den Art. 8 Abs. 3, 9 Abs. 2, 3 eIDAS-VO-E.
Der Beitrag wird fortgesetzt.
