Die Europäische Kommission -

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,

gestützt auf die Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates vom 23. Juli 2014 über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt und zur Aufhebung der Richtlinie 1999/93/EG ¹, insbesondere auf Artikel 5a Absatz 23,

in Erwägung nachstehender Gründe:

(1) Der durch die Verordnung (EU) Nr. 910/2014 geschaffene europäische Rahmen für die digitale Identität ist eine unverzichtbare Komponente für die Schaffung eines sicheren und interoperablen Ökosystems für die digitale Identität in der gesamten Union. Da die europäischen Brieftaschen für die digitale Identität (im Folgenden "Brieftaschen") den Eckpfeiler des Rahmens bilden, soll damit der Zugang zu Diensten in allen Mitgliedstaaten erleichtert und gleichzeitig der Schutz personenbezogener Daten und der Privatsphäre gewährleistet werden.

(2) Die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates ² und, sofern anwendbar, die Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates ³ gelten für jede Verarbeitung personenbezogener Daten gemäß der vorliegenden Verordnung.

(3) Gemäß Artikel 5a Absatz 23 der Verordnung (EU) Nr. 910/2014 muss die Kommission erforderlichenfalls die einschlägigen Spezifikationen und Verfahren festlegen. Erreicht wird dies durch vier Durchführungsverordnungen, nämlich über Protokolle und Schnittstellen: Durchführungsverordnung (EU) 2024/2982 der Kommission ⁴, Integrität und Kernfunktionen: Durchführungsverordnung (EU) 2024/2979 der Kommission ⁵, Personenidentifizierungsdaten und elektronische Attributsbescheinigungen: Durchführungsverordnung (EU) 2024/2977 der Kommission ⁶ sowie Notifizierungen an die Kommission Durchführungsverordnung (EU) 2024/2980 der Kommission ⁷. In dieser Verordnung werden die einschlägigen Anforderungen an Personenidentifizierungsdaten und elektronische Attributsbescheinigungen festgelegt, die an europäische Brieftaschen für die digitale Identität auszustellen sind.

(4) Die Kommission bewertet regelmäßig neue Technologien, Praktiken, Normen oder technische Spezifikationen. Um ein Höchstmaß an Harmonisierung zwischen den Mitgliedstaaten bei der Entwicklung und Zertifizierung der Brieftaschen zu gewährleisten, beruhen die in dieser Durchführungsverordnung festgelegten technischen Spezifikationen auf den Arbeiten, die auf der Grundlage der Empfehlung (EU) 2021/946 der Kommission vom 3. Juni 2021 für ein gemeinsames Instrumentarium der Union für ein koordiniertes Herangehen an einen europäischen Rahmen für die digitale Identität ⁸ durchgeführt wurden, insbesondere auf der Architektur und dem Referenzrahmen, die Teil davon sind. Nach Erwägungsgrund 75 der Verordnung (EU) 2024/1183 des Europäischen Parlaments und des Rates ⁹ sollte die Kommission diese Durchführungsverordnung gegebenenfalls überprüfen und aktualisieren, damit sie mit globalen Entwicklungen, der Architektur und dem Referenzrahmen Schritt hält und den bewährten Verfahren des Binnenmarkts folgt.

(5) Zur Gewährleistung des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen sollten die Brieftaschen mit mehreren den Schutz der Privatsphäre fördernden Merkmalen ausgestattet sein, um zu verhindern, dass Anbieter elektronischer Identifizierungsmittel und elektronischer Attributsbescheinigungen personenbezogene Daten, die im Rahmen der Bereitstellung anderer Dienste gewonnen worden sind, mit den personenbezogenen Daten kombinieren, die verarbeitet werden, um die Dienste bereitzustellen, die in den Anwendungsbereich der Verordnung (EU) Nr. 910/2014 fallen.

(6) Im Interesse der Harmonisierung sollten in allen elektronischen Brieftaschen bestimmte gemeinsame Funktionen zur Verfügung stehen, darunter das sichere Anfordern, Erhalten, Auswählen, Kombinieren, Speichern, Löschen, Weitergeben und Vorweisen - unter alleiniger Kontrolle durch den Brieftaschennutzer - von Personenidentifizierungsdaten und elektronischen Attributsbescheinigungen. Damit Personenidentifizierungsdaten und elektronische Attributsbescheinigungen über jede Einzelbrieftasche verarbeitet werden können, müssen technische Spezifikationen für Personenidentifizierungsdatenattribute, das Datenformat und die Infrastruktur, die erforderlich sind, um eine angemessene Vertrauenswürdigkeit der Personenidentifizierungsdaten zu gewährleisten, durch alle Brieftaschenlösungen unterstützt werden. Darüber hinaus sollen gemeinsame Spezifikationen für Attribute der Personenidentifizierungsdaten sicherstellen, dass diese Daten bei Bedarf für den Identitätsabgleich verwendet werden können.

(7) Die Mitgliedstaaten müssen sicherstellen, dass die Brieftaschen vertrauende Beteiligte, Anbieter von Personenidentifizierungsdaten und Anbieter elektronischer Attributsbescheinigungen unabhängig davon, wo sie in der Union niedergelassen sind, authentifizieren können. Dazu sollten diese Einrichtungen Zugriffszertifikate für auf Brieftaschen vertrauende Beteiligte verwenden, wenn sie sich gegenüber Einzelbrieftaschen identifizieren. Zur Gewährleistung der Interoperabilität dieser Zertifikate für alle in der Union bereitgestellten Brieftaschen sollten die Zugriffszertifikate für auf Brieftaschen vertrauende Beteiligte gemeinsamen Normen entsprechen. Die Kommission sollte in Zusammenarbeit mit den Mitgliedstaaten die Entwicklung neuer oder alternativer Normen, auf denen Zugriffszertifikate für auf Brieftaschen vertrauende Beteiligte aufgebaut werden könnten, genau überwachen. Insbesondere sollten Vertrauensmodelle bewertet werden, die sich in den Mitgliedstaaten als wirksam und sicher erwiesen haben.

(8) Um für Transparenz gegenüber den Nutzern von elektronischen Brieftaschen zu sorgen, sollten die Mitgliedstaaten Informationen veröffentlichen, aus denen hervorgeht, welche Brieftaschenlösungen von den Anbietern von Personenidentifizierungsdaten in ihrem Hoheitsgebiet unterstützt werden. Da die Identität des Nutzers so verlässlich wie möglich sein muss, sollte für den Identitätsnachweis von Brieftaschennutzern vor dem Beginn der Ausstellung von Personenidentifizierungsdaten ein gemeinsames Sicherheitsniveau "hoch" vorgeschrieben werden, das dem in der Verordnung (EU) Nr. 910/2014 für elektronische Identifizierungsmittel festgelegten Sicherheitsniveau entspricht. Auf diese Weise gewährleisten die Einzelbrieftaschen das höchstmögliche Maß an Vertrauenswürdigkeit für Identifizierungsmittel in der gesamten Union. Bei der Anmeldung von Brieftaschennutzern auf dem Sicherheitsniveau "hoch" kann auf verschiedene sichere Prozesse zurückgegriffen werden; wurde z.B. festgestellt, dass die Person im Besitz eines mit Foto oder biometrischen Merkmalen versehenen Identitätsnachweises ist, der zwar von dem Mitgliedstaat, in dem das elektronische Identifizierungsmittel beantragt wird, anerkannt wird, aber nicht ausgestellt wurde, und dass der Identitätsnachweis die beanspruchte Identität repräsentiert, so sollte geprüft werden, ob der Identitätsnachweis bei einer relevanten verlässlichen Quelle als gültig geführt wird,

(9) Im Interesse der Interoperabilität sollten für elektronische Attributsbescheinigungen einheitliche Anforderungen an das Format gelten.

(10) Zum Schutz der Daten der Brieftaschennutzer und zur Gewährleistung der Echtheit elektronischer Attributsbescheinigungen sollten vor dem Beginn der Ausstellung der Bescheinigungen an Einzelbrieftaschen Mechanismen für die Authentifizierung der Anbieter elektronischer Attributsbescheinigungen und für die Überprüfung der Echtheit und Gültigkeit von Einzelbrieftaschen durch diesen Anbieter gelten.

(11) Um die Verwendung von Personenidentifizierungsdaten und elektronischen Attributsbescheinigungen, die nach ihrer Ausstellung an eine Einzelbrieftasche ihre rechtliche Gültigkeit verloren haben, und ein späteres Vertrauen darauf zu verhindern, sollten die Anbieter von Personenidentifizierungsdaten und elektronischen Attributsbescheinigungen ein Konzept veröffentlichen, in dem die Umstände und Verfahren für den Widerruf dargelegt werden.

(12) Damit die Personenidentifizierungsdaten eindeutig den Brieftaschennutzer der Brieftasche repräsentieren, sollten die Mitgliedstaaten zusätzlich zu den in dieser Verordnung festgelegten obligatorischen Attributen in den Personenidentifizierungsdaten optionale Attribute bereitstellen, die erforderlich sind, um sicherzustellen, dass der Personenidentifizierungsdatensatz eindeutig zuzuordnen ist.

(13) Der Europäische Datenschutzbeauftragte wurde gemäß Artikel 42 Absatz 1 der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates ¹⁰ angehört und gab am 30. September 2024 seine Stellungnahme ab.

(14) Die in dieser Verordnung vorgesehenen Maßnahmen entsprechen der Stellungnahme des in Artikel 48 der Verordnung (EU) Nr. 910/2014 genannten Ausschusses

- hat folgende Verordnung erlassen:

Artikel 1 Gegenstand und Anwendungsbereich

Mit dieser Verordnung werden Vorschriften für die Ausstellung von Personenidentifizierungsdaten und elektronischen Attributsbescheinigungen für Einzelbrieftaschen festgelegt, die regelmäßig zu aktualisieren sind, damit sie mit den Entwicklungen von Technologie und Normen sowie mit den auf der Grundlage der Empfehlung (EU) 2021/946 durchgeführten Arbeiten und insbesondere mit der Architektur und dem Referenzrahmen Schritt halten.

Artikel 2 Begriffsbestimmungen

Für die Zwecke dieser Verordnung bezeichnet der Ausdruck

1. "Brieftaschennutzer" einen Nutzer, der die Kontrolle über die Einzelbrieftasche hat;

2. "Einzelbrieftasche" eine einzigartige Konfiguration einer Brieftaschenlösung, die Brieftascheninstanzen, sichere Kryptoanwendungen für Brieftaschen und sichere Kryptomodule für Brieftaschen umfasst, die einem einzelnen Brieftaschennutzer von einem Brieftaschenanbieter bereitgestellt werden;

3. "Brieftaschenlösung" eine Kombination aus Software, Hardware, Diensten, Einstellungen und Konfigurationen, einschließlich Brieftascheninstanzen, einer oder mehreren sicheren Kryptoanwendungen für Brieftaschen und einem oder mehreren sicheren Kryptomodulen für Brieftaschen;

4. "Anbieter von Personenidentifizierungsdaten" eine natürliche oder juristische Person, die für die Ausstellung und den Widerruf der Personenidentifizierungsdaten verantwortlich ist und sicherstellt, dass die Personenidentifizierungsdaten eines Nutzers kryptografisch an eine Einzelbrieftasche gebunden sind;

5. "Einzelbrieftaschenbescheinigung" ein Datenobjekt, das die Komponenten der Einzelbrieftasche beschreibt oder die Authentifizierung und Validierung dieser Komponenten ermöglicht;

6. "Brieftascheninstanz" die Anwendung, die als Bestandteil einer Einzelbrieftasche auf dem Gerät oder in der Umgebung eines Brieftaschennutzers installiert und konfiguriert ist und die der Brieftaschennutzer verwendet, um mit der Brieftasche zu interagieren;

7. "sichere Kryptoanwendung für Brieftaschen" (Wallet Secure Cryptographic Application) eine Anwendung, die kritische Werte verwaltet und dabei mit den kryptografischen und den nicht-kryptografischen Funktionen eines sicheren Kryptomoduls für Brieftaschen verknüpft ist und diese nutzt;

8. "sicheres Kryptomodul für Brieftaschen" (Wallet Secure Cryptographic Device) eine manipulationssichere Vorrichtung, die eine Umgebung bietet, die mit der sicheren Kryptoanwendung für Brieftaschen verknüpft ist und von dieser genutzt wird, um kritische Werte zu schützen und kryptografische Funktionen für die sichere Ausführung kritischer Vorgänge bereitzustellen;

9. "Brieftaschenanbieter" eine natürliche oder juristische Person, die Brieftaschenlösungen bereitstellt;

10. "kritische Werte" Werte bzw. Daten innerhalb oder im Zusammenhang mit einer Einzelbrieftasche, die so außerordentlich wichtig sind, dass die Beeinträchtigung ihrer Verfügbarkeit, Vertraulichkeit oder Integrität eine sehr schwerwiegende, beeinträchtigende Wirkung auf die verlässliche Verwendbarkeit der Einzelbrieftasche hätte;

11. "auf Brieftaschen vertrauender Beteiligter" einen vertrauenden Beteiligten, der beabsichtigt, zur Erbringung öffentlicher oder privater Dienste mittels digitaler Interaktion auf Einzelbrieftaschen zu vertrauen;

12. "Zugriffszertifikat für auf Brieftaschen vertrauende Beteiligte" ein Zertifikat für elektronische Siegel oder Signaturen, mit dem auf Brieftaschen vertrauende Beteiligte authentifiziert und validiert werden und das von einem Anbieter von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte ausgestellt wird;

13. "Anbieter von Zugriffszertifikaten für auf Brieftaschen vertrauende Beteiligte" eine natürliche oder juristische Person, die von einem Mitgliedstaat beauftragt wurde, Zugriffszertifikate für auf Brieftaschen vertrauende Beteiligte auszustellen, die in diesem Mitgliedstaat registriert sind.

Artikel 3 Ausstellung von Personenidentifizierungsdaten an Einzelbrieftaschen

(1) Die Anbieter von Personenidentifizierungsdaten stellen Personenidentifizierungsdaten an Einzelbrieftaschen im Einklang mit den elektronischen Identifizierungssystemen aus, in deren Rahmen Brieftaschenlösungen bereitgestellt werden.

(2) Die Anbieter von Personenidentifizierungsdaten stellen sicher, dass die an Einzelbrieftaschen ausgestellten Personenidentifizierungsdaten die Informationen enthalten, die für die Authentifizierung und Validierung der Personenidentifizierungsdaten erforderlich sind.

(3) Die Anbieter von Personenidentifizierungsdaten stellen sicher, dass die an Einzelbrieftaschen ausgestellten Personenidentifizierungsdaten den technischen Spezifikationen im Anhang entsprechen.

(4) Die Mitgliedstaaten stellen sicher, dass die einem bestimmten Brieftaschennutzer ausgestellten Personenidentifizierungsdaten für den Mitgliedstaat eindeutig zuzuordnen sind.

(5) Die Anbieter von Personenidentifizierungsdaten stellen sicher, dass die von ihnen ausgestellten Personenidentifizierungsdaten kryptografisch an die Einzelbrieftasche, an die sie ausgestellt werden, gebunden sind.

(6) Die Mitgliedstaaten veröffentlichen eine Liste der Brieftaschenlösungen, die von Anbietern von Personenidentifizierungsdaten, die Teil der elektronischen Identifizierungssysteme des betreffenden Mitgliedstaats sind, unterstützt werden.

(7) Die Mitgliedstaaten melden die Brieftaschennutzer gemäß den in der Durchführungsverordnung (EU) 2015/1502 der Kommission ¹¹ festgelegten Anforderungen an die Anmeldung auf dem Sicherheitsniveau "hoch" an. Im Zusammenhang mit dem Anmeldeverfahren führen die Anbieter von Personenidentifizierungsdaten eine Identitätsüberprüfung des Brieftaschennutzers gemäß den Anforderungen an Identitätsnachweis und -überprüfung durch, bevor sie die Personenidentifizierungsdaten an die Einzelbrieftasche des betreffenden Brieftaschennutzers ausstellen.

(8) Bei der Ausstellung von Personenidentifizierungsdaten an Einzelbrieftaschen identifizieren sich die Anbieter von Personenidentifizierungsdaten anhand ihres Zugriffszertifikats für auf Brieftaschen vertrauende Beteiligte oder eines anderen Authentifizierungsmechanismus gemäß einem auf dem Sicherheitsniveau "hoch" notifizierten elektronischen Identifizierungssystem.

(9) Vor der Ausstellung von Personenidentifizierungsdaten an eine Brieftasche authentifizieren und validieren die Anbieter von Personenidentifizierungsdaten die Einzelbrieftaschenbescheinigung und überprüfen, ob die Einzelbrieftasche zu einer Brieftaschenlösung gehört, die der Anbieter von Personenidentifizierungsdaten akzeptiert, oder sie verwenden dazu einen anderen Authentifizierungsmechanismus gemäß einem auf dem Sicherheitsniveau "hoch" notifizierten elektronischen Identifizierungssystem.

Artikel 4 Ausstellung elektronischer Attributsbescheinigungen an Einzelbrieftaschen

(1) Elektronische Attributsbescheinigungen, die an Einzelbrieftaschen ausgestellt werden, müssen zumindest einer der Normen entsprechen, die in der Liste in Anhang I der Durchführungsverordnung (EU) 2024/2979 aufgeführt ist.

(2) Die Anbieter elektronischer Attributsbescheinigungen müssen sich anhand ihres Zugriffszertifikats für auf Brieftaschen vertrauende Beteiligte gegenüber der Einzelbrieftasche identifizieren.

(3) Die Anbieter elektronischer Attributsbescheinigungen stellen sicher, dass die an Einzelbrieftaschen ausgestellten elektronischen Attributsbescheinigungen die Informationen enthalten, die für die Authentifizierung und Validierung dieser elektronischen Attributsbescheinigungen erforderlich sind.

Artikel 5 Widerruf von Personenidentifizierungsdaten

(1) Anbieter von Personenidentifizierungsdaten, die an eine Einzelbrieftasche ausgestellt wurden, verfügen über schriftliche und öffentlich zugängliche Konzepte für die Verwaltung des Gültigkeitsstatus, gegebenenfalls einschließlich der Bedingungen, unter denen solche Personenidentifizierungsdaten unverzüglich widerrufen werden können.

(2) Nur Anbieter von Personenidentifizierungsdaten oder elektronischen Attributsbescheinigungen können die von ihnen ausgestellten Personenidentifizierungsdaten oder elektronischen Attributsbescheinigungen widerrufen.

(3) Wenn Anbieter von Personenidentifizierungsdaten solche Personenidentifizierungsdaten widerrufen haben, informieren sie die Brieftaschennutzer, auf die sich diese Personenidentifizierungsdaten beziehen, innerhalb von 24 Stunden über spezielle sichere Kanäle über den Widerruf und die Gründe für den Widerruf. Dies muss auf präzise und leicht zugängliche Weise und in klarer und einfacher Sprache erfolgen.

(4) Anbieter von Personenidentifizierungsdaten müssen Personenidentifizierungsdaten, die an Brieftascheneinheiten ausgestellt wurden, in jedem der folgenden Fälle widerrufen:

1. auf ausdrückliches Ersuchen des Brieftaschennutzers, an dessen Einzelbrieftasche die Personenidentifizierungsdaten oder die elektronische Attributsbescheinigung ausgestellt wurden;
2. wenn die Einzelbrieftaschenbescheinigung der Einzelbrieftasche, an die die Personenidentifizierungsdaten ausgestellt wurden, widerrufen wurde;
3. in anderen Situationen, die von den Anbietern von Personenidentifizierungsdaten oder elektronischen Attributsbescheinigungen in ihren in Absatz 1 genannten Konzepten festgelegt werden.

(5) Anbieter von Personenidentifizierungsdaten, die an eine Einzelbrieftasche ausgestellt wurden, stellen sicher, dass Widerrufe nicht rückgängig gemacht werden können.

(6) Die widerrufenen Personenidentifizierungsdaten bleiben so lange zugänglich, wie dies nach Unionsrecht oder nationalem Recht erforderlich ist.

(7) Wenn Anbieter von Personenidentifizierungsdaten Personenidentifizierungsdaten, die an Einzelbrieftaschen ausgestellt wurden, widerrufen, machen sie den Gültigkeitsstatus der von ihnen ausgestellten Personenidentifizierungsdaten unter Wahrung der Privatsphäre öffentlich zugänglich und geben in den Personenidentifizierungsdaten an, wo diese Informationen abrufbar sind.

(8) Anbieter elektronischer Identifizierungsmittel ermöglichen technische Verfahren zum Schutz der Privatsphäre, die die Unverknüpfbarkeit gewährleisten, wenn für die elektronischen Attributsbescheinigungen keine Identifizierung des Nutzers erforderlich ist.

Artikel 6 Inkrafttreten

Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.

Diese Verordnung ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat.

Brüssel, den 28. November 2024

.

1. Identifizierungsdatensatz für natürliche Personen

Tabelle 1: Obligatorische Personenidentifizierungsdaten für natürliche Personen

Ist ein Attributswert für die Person nicht bekannt oder kann er nicht auf andere Weise als Teil des Personenidentifizierungsdatensatzes ausgestellt werden, verwenden die Mitgliedstaaten stattdessen einen der Situation angemessenen Attributswert.

Tabelle 2: Fakultative Personenidentifizierungsdaten für natürliche Personen

2. Identifizierungsdatensatz für juristische Personen

Tabelle 3: Obligatorische Personenidentifizierungsdaten für juristische Personen

Ist ein Datenelement für die Person nicht bekannt oder kann es nicht auf andere Weise als Teil des Personenidentifizierungsdatensatzes ausgestellt werden, verwenden die Mitgliedstaaten stattdessen einen der Situation angemessenen Attributswert.

Tabelle 4: Fakultative Personenidentifizierungsdaten für juristische Personen

3. Metadatensatz für Personenidentifizierungsdaten

Tabelle 5: Metadaten für die Personenidentifizierungsdaten

4. Kodierung von Personenidentifizierungsdatenattributen

Personenidentifizierungsdaten werden in zwei Formaten ausgestellt:

1. Format nach ISO/IEC 18013-5:2021;
2. "Verifiable Credentials Data Model 1.1" (Datenmodell für überprüfbare Nachweise), W3C-Empfehlung, 3. März 2022.

5. Einzelheiten der Vertrauensinfrastruktur

Die Liste der Anbieter von Personenidentifizierungsdaten, die die Kommission gemäß der Durchführungsverordnung (EU) 2024/2980 zur Festlegung der Vorschriften für die Anwendung der Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates in Bezug auf Notifizierungen an die Kommission bezüglich des Ökosystems europäischer Brieftaschen für die digitale Identität [vom Amt für Veröffentlichungen einzufügen] bereitgestellt hat, ermöglicht die Authentifizierung der Personenidentifizierungsdaten.

ENDE