Die Europäische Kommission -

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,

gestützt auf die Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates vom 23. Juli 2014 über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt und zur Aufhebung der Richtlinie 1999/93/EG ¹, insbesondere auf Artikel 11a Absatz 3,

in Erwägung nachstehender Gründe:

(1) Nach der Verordnung (EU) Nr. 910/2014 müssen europäische Brieftaschen für die digitale Identität (im Folgenden "Brieftaschen") und notifizierte elektronische Identifizierungsmittel als Authentifizierungsmöglichkeiten für den Zugang zu grenzüberschreitenden öffentlichen Online-Diensten, die von Mitgliedstaaten bereitgestellt werden, zur Verfügung stehen. Für solche grenzüberschreitenden Authentifizierungen verfügt der vertrauende Beteiligte mitunter bereits über Aufzeichnungen mit Informationen über den Nutzer der Brieftasche oder den Nutzer notifizierter elektronischer Identifizierungsmittel, und zwar aus seinem eigenen Register oder einem externen Register und häufig in Form eines Nutzerkontos. In diesen Fällen können bestimmte von den Brieftaschen oder den notifizierten elektronischen Identifizierungsmitteln stammende Informationen über den Nutzer von dem vertrauenden Beteiligten oder in dessen Namen abgeglichen werden. Dieser Abgleich könnte beispielsweise mithilfe einer zentralisierten Lösung, die von einer öffentlichen Stelle betrieben wird, mit Informationen erfolgen, die sich bereits im Besitz dieses vertrauenden Beteiligten oder eines von ihm herangezogenen Registers befinden, etwa eines Bevölkerungsregisters oder einer Datenbank mit Informationen über Nutzerkonten.

(2) Die Kommission bewertet regelmäßig neue Technologien, Praktiken, Normen und technische Spezifikationen. Um ein Höchstmaß an Harmonisierung zwischen den Mitgliedstaaten bei der Entwicklung und Zertifizierung der Brieftaschen zu gewährleisten, beruhen die in dieser Durchführungsverordnung festgelegten technischen Spezifikationen auf den Arbeiten, die im Rahmen der Empfehlung (EU) 2021/946 der Kommission ² durchgeführt wurden, insbesondere auf der Architektur und dem dazugehörigen Referenzrahmen. Nach Erwägungsgrund 75 der Verordnung (EU) 2024/1183 des Europäischen Parlaments und des Rates ³ sollte die Kommission diese Verordnung überprüfen und gegebenenfalls aktualisieren, damit sie mit globalen Entwicklungen, der Architektur und dem Referenzrahmen Schritt hält und den bewährten Verfahren des Binnenmarkts folgt.

(3) Damit der Identitätsabgleich in allen Mitgliedstaaten zuverlässig funktioniert, sollten die Mitgliedstaaten, die als vertrauende Beteiligte handeln, den anfänglichen Identitätsabgleich durchführen, sobald eine natürliche Person erstmals Zugang zu einem von dem vertrauenden Beteiligten betriebenen Dienst beantragt, und zwar entweder anhand des in der Durchführungsverordnung (EU) 2015/1501 der Kommission ⁴ festgelegten Mindestdatensatzes oder des in der Durchführungsverordnung (EU) 2024/2977 der Kommission ⁵ festgelegten Personenidentifizierungsdatensatzes. In dieser Verordnung liegt der Schwerpunkt zwar darauf, dass die Mitgliedstaaten als vertrauende Beteiligte auftreten, die Verordnung (EU) Nr. 910/2014 überlässt den Mitgliedstaaten aber die Entscheidung, ob das Identitätsabgleichsystem auch privaten vertrauenden Beteiligten zur Verfügung gestellt werden soll. Wenn Mitgliedstaaten einen Identitätsabgleich durch vertrauende Beteiligte vorsehen, die keine öffentlichen Stellen sind, sollten sie so weit wie möglich die in dieser Verordnung festgelegten Mechanismen und Verfahren anwenden.

(4) Für die Zwecke des grenzüberschreitenden Identitätsabgleichs unter Verwendung der Brieftaschen sollten zum eindeutigen Identitätsabgleich die obligatorischen Datenkennungen des Personenidentifizierungsdatensatzes gemäß Abschnitt 1 des Anhangs der Durchführungsverordnung (EU) 2024/2977 sowie etwaige fakultative Daten verwendet werden, die erforderlich sind, damit der Personenidentifizierungsdatensatz eindeutig ist.

(5) Für die Zwecke des grenzüberschreitenden Identitätsabgleichs unter Verwendung notifizierter elektronischer Identifizierungsmittel sollten zum eindeutigen Identitätsabgleich die obligatorischen Attribute des Mindestdatensatzes für eine natürliche Person gemäß Abschnitt 1 des Anhangs der Durchführungsverordnung (EU) 2015/1501 verwendet werden. Die Bezugnahme auf die obligatorischen Attribute des Mindestdatensatzes für eine natürliche Person sollte im Zusammenhang mit der Durchführungsverordnung (EU) 2015/1501 verstanden werden, in der ein Attribut als Bestandteil des Mindestsatzes von Personenidentifizierungsdaten beschrieben wird, im Gegensatz zur Begriffsbestimmung des Attributs in Artikel 3 Nummer 43 der Verordnung (EU) Nr. 910/2014 in der durch die Verordnung (EU) 2024/1183 geänderten Fassung.

(6) Wegen der Abhängigkeit von bereits vorhandenen Informationen, die der vertrauende Beteiligte zur Gewährleistung eines eindeutigen Identitätsabgleichs verwendet, ist der Identitätsabgleich möglicherweise nicht in allen Fällen erfolgreich. Um vertrauenden Beteiligten ein angemessenes Maß an Flexibilität zu verschaffen, können die Mitgliedstaaten ergänzende Verfahren einführen, mit denen ein gleichwertiges Maß an Vertrauen in das Ergebnis des Identitätsabgleichs erreicht wird.

(7) Wird der Identitätsabgleich gemäß den Bestimmungen dieser Verordnung als erfolgreich betrachtet, so sollte der vertrauende Beteiligte oder der in seinem Namen handelnde Beteiligte oder ein von vertrauenden Beteiligten herangezogenes Register oder das zentralisierte System sicherstellen, dass der Nutzer über die erfolgreiche Registrierung mit Anzeige des Nutzernamens oder Pseudonyms und gegebenenfalls unter anderem über die verfügbaren Optionen für die Speicherung des Ergebnisses des Identitätsabgleichs informiert wird. Diese Optionen können die Speicherung einer Verknüpfung in einem vom vertrauenden Beteiligten geführten und/oder von ihm herangezogenen Register und/oder die Ausstellung einer speziellen elektronischen Attributsbescheinigung, die eine künftig wiederverwendbare Verknüpfung enthält, und/oder die Nutzung alternativer Optionen, die vom vertrauenden Beteiligten oder von in seinem Namen handelnden Beteiligten bereitgestellt werden, umfassen. Soweit zutreffend sollte der Nutzer die Wahl zwischen verschiedenen Optionen haben und die Aufbewahrungsfrist bestimmen können, um abgeschlossene Identitätsabgleichverfahren in Zukunft wiederverwenden zu können.

(8) Um die Transparenz zu erhöhen und die Kontrolle durch den Nutzer zu verbessern, sollte dem Nutzer, falls sein Identitätsabgleich nicht erfolgreich war, eine klare Begründung gegeben werden, warum der Abgleich gescheitert ist. Darüber hinaus sollte der Nutzer über mögliche nächste Schritte informiert werden. Dies umfasst die für den Identitätsabgleich verwendeten Informationen und etwaige dabei festgestellte Unstimmigkeiten sowie klare Erläuterungen und Anweisungen für die Nutzer in Bezug auf mögliche Abhilfen und ergänzende Verfahren.

(9) Um geeignete Beschwerdeverfahren im Zusammenhang mit der Durchführung von Identitätsabgleichen zur Verfügung zu stellen, sollten vertrauende Beteiligte oder die in ihrem Namen handelnden Beteiligten oder von vertrauenden Beteiligten herangezogene Register geeignete Protokolle über den Identitätsabgleichprozess, die zum Abgleich verwendeten Informationen und sonstige von der natürlichen Person beigebrachte Nachweise sowie das Ergebnis des Identitätsabgleichs aufbewahren. Diese Protokolle sollten für einen Zeitraum von mindestens sechs und höchstens zwölf Monaten aufbewahrt werden, um die Registrierung und Bearbeitung von Beschwerden der Nutzer zu ermöglichen. Die Aufbewahrungsfrist könnte verlängert werden, wenn dies nach Unionsrecht oder nationalem Recht erforderlich ist.

(10) Damit Brieftaschennutzer den Identitätsabgleich nicht wiederholt durchführen müssen, können die Mitgliedstaaten vorschreiben, dass Identitätsabgleichsysteme in der Lage sein müssen, eine elektronische Attributsbescheinigung auszustellen, die eine Verknüpfung zwischen dem Brieftaschennutzer und einem Register, in dem der Nutzer als bekannter Nutzer registriert ist, enthält. Alternativ dazu können die Mitgliedstaaten auch eine Verknüpfung als Verweis auf ein dem vertrauenden Beteiligten zugängliches Register oder andere unterstützende Maßnahmen speichern.

(11) Damit die Vorteile eines funktionierenden Identitätsabgleichsystems den gemäß Artikel 5a Absatz 1 der Verordnung (EU) Nr. 910/2014 bereitzustellenden Brieftaschen und den notifizierten elektronischen Identifizierungssystemen zugutekommen, ist eine längere Frist für die Anwendung der entsprechenden Bestimmungen dieser Verordnung erforderlich. Was Brieftaschen anbelangt, sollte jeder Mitgliedstaat innerhalb von 24 Monaten nach dem Inkrafttreten der in Artikel 5a Absatz 23 und Artikel 5c Absatz 6 der Verordnung (EU) Nr. 910/2014 genannten Durchführungsrechtsakte zumindest eine Brieftasche zur Verfügung stellen. Deshalb sollte die Anwendung der einschlägigen Bestimmungen dieser Verordnung über den Identitätsabgleich mithilfe von Brieftaschen mit dem oben genannten Zeitrahmen übereinstimmen. Was notifizierte elektronische Identifizierungssysteme anbelangt, sollte ausreichend Zeit für die Ersetzung der Funktionen für den Identitätsabgleich eingeräumt werden.

(12) Da die Nutzung der Brieftasche freiwillig sein soll, sollten die Mitgliedstaaten den Nutzern alternative Methoden zur Verfügung stellen, um Zugang zu den Diensten, die sie als vertrauende Beteiligte erbringen, zu erhalten.

(13) Bei dem Versuch, sich für einen elektronischen Dienst zu authentifizieren, kann eine neue Nutzerregistrierung nahtlos erfolgen und einem Nutzer somit visuell und technisch genauso erscheinen wie ein erneuter Besuch bei einem elektronischen Dienst. Deshalb sollte eine neue Nutzerregistrierung bei einem elektronischen Dienst für die Zwecke dieser Verordnung als gleichwertig mit einem erfolgreichen Identitätsabgleich betrachtet werden.

(14) Die Mitgliedstaaten sollten dafür sorgen, dass der Identitätsabgleich nahtlos funktioniert und dass die Sitzung des Nutzers nicht mehrfach abläuft und Schritte wiederholt werden müssen, selbst wenn der Identitätsabgleich zunächst nicht erfolgreich ist und ergänzende Verfahren durchgeführt werden.

(15) Den Mitgliedstaaten steht es frei, ihre Benutzeroberflächen und Meldungen entsprechend ihrem nationalen Umfeld zu gestalten, soweit sie dabei dem Geist der in dieser Verordnung enthaltenen Anforderungen Rechnung tragen.

(16) Die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates ⁶ und, sofern anwendbar, die Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates ⁷ gelten für die Verarbeitung personenbezogener Daten gemäß der vorliegenden Verordnung.

(17) Der Europäische Datenschutzbeauftragte wurde gemäß Artikel 42 Absatz 1 der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates ⁸ angehört und gab am 31. Januar 2025 seine Stellungnahme ab.

(18) Die in dieser Verordnung vorgesehenen Maßnahmen entsprechen der Stellungnahme des gemäß Artikel 48 der Verordnung (EU) Nr. 910/2014 eingesetzten Ausschusses

- hat folgende Verordnung erlassen:

Artikel 1 Gegenstand

Mit dieser Verordnung werden Vorschriften für den grenzüberschreitenden Identitätsabgleich natürlicher Personen durch öffentliche Stellen oder im Namen einer öffentlichen Stelle handelnde Stellen festgelegt, die regelmäßig zu aktualisieren sind, damit sie mit den Entwicklungen von Technologie und Normen sowie mit den auf der Grundlage der Empfehlung (EU) 2021/946 durchgeführten Arbeiten und insbesondere mit der Architektur und dem Referenzrahmen Schritt halten.

Artikel 2 Allgemeine Anforderungen

(1) Handelt eine öffentliche Stelle als vertrauender Beteiligter im Zusammenhang mit einem grenzüberschreitenden Online-Dienst, der von dieser öffentlichen Stelle oder in ihrem Namen angeboten wird, so stellen die Mitgliedstaaten sicher, dass das in Absatz 2 beschriebene Verfahren genutzt wird, um einen eindeutigen Identitätsabgleich natürlicher Personen zu gewährleisten.

(2) Der eindeutige Identitätsabgleich erfolgt durch den vertrauenden Beteiligten oder in seinem Namen oder durch ein von vertrauenden Beteiligten herangezogenes Register oder ein zentralisiertes System und umfasst, soweit zutreffend, die Abfrage, den Empfang und die Validierung der in Absatz 3 oder Absatz 4 genannten Informationen.

(3) Wenn auf eine Brieftasche zurückgegriffen wird, dienen als Informationen für den eindeutigen Identitätsabgleich die obligatorischen Personenidentifizierungsdaten gemäß Abschnitt 1 des Anhangs der Durchführungsverordnung (EU) 2024/2977 sowie etwaige fakultative Daten, die erforderlich sind, damit der vorgelegte Datensatz eindeutig ist, und gegebenenfalls zusätzliche Informationen oder ergänzende Verfahren.

(4) Wenn auf ein notifiziertes elektronisches Identifizierungssystem zurückgegriffen wird, dienen als Informationen für den eindeutigen Identitätsabgleich die obligatorischen Attribute des Mindestdatensatzes für eine natürliche Person gemäß Abschnitt 1 des Anhangs der Durchführungsverordnung (EU) 2015/1501 sowie gegebenenfalls zusätzliche Informationen oder ergänzende Verfahren.

(5) Zur Feststellung, ob eine eindeutige Übereinstimmung der Identität vorliegt, gleicht der vertrauende Beteiligte oder der in seinem Namen handelnde Beteiligte die vom Nutzer bereitgestellten Informationen mit den Informationen ab, die vom vertrauenden Beteiligten oder einem in seinem Namen handelnden Beteiligten oder in einem von vertrauenden Beteiligten herangezogenen Register bereits registriert worden sind.

(6) Das Ergebnis des in Absatz 5 beschriebenen Verfahrens darf - soweit möglich - nicht durch Unterschiede in Bezug auf Transliteration, Leerzeichen, Bindestriche, Verkettung und ähnliche orthografische Varianten, die nach dem Unionsrecht oder dem nationalen Recht des Mitgliedstaats erforderlich sind, beeinträchtigt werden.

(7) Wenn eine genaue Übereinstimmung der in Absatz 2 genannten Informationen vorliegt und diese nur eine natürliche Person betrifft oder wenn das Ergebnis des Verfahrens zu einer neuen Registrierung des Nutzers führt, die in ihrer Funktion einem erfolgreichen Identitätsabgleich gleichwertig ist, gilt der Identitätsabgleich als erfolgreich und ergibt einen eindeutigen Identitätsabgleich. Falls keine genaue Übereinstimmung vorliegt oder diese mehr als eine natürliche Person betrifft oder der Beteiligte, der den Identitätsabgleich durchführt, nicht garantieren kann, dass die Übereinstimmung eindeutig ist, so gilt der Identitätsabgleich als gescheitert.

(8) Die Mitgliedstaaten können auf zentralisierte Identitätsabgleichsysteme, die von einer in diesem Mitgliedstaat niedergelassenen öffentlichen Stelle betrieben werden, zurückgreifen, um sicherzustellen, dass mithilfe von Online-Verfahren ein Abgleich zwischen notifizierten elektronischen Identifizierungsmitteln oder Brieftaschen aus einem anderen Mitgliedstaat und bestehenden Registrierungen und Aufzeichnungen möglich ist.

(9) Wenn Mitgliedstaaten erlauben, dass auf Brieftaschen vertrauende Beteiligte, die keine öffentlichen Stellen sind, Identitätsabgleiche vornehmen, so wenden sie, soweit zutreffend, die in dieser Verordnung festgelegten Mechanismen und Verfahren an.

Artikel 3 Pflichten vertrauender Beteiligter bei erfolgreichem Identitätsabgleich

(1) Wenn ein Nutzer erstmalig den Identitätsabgleich durchführt und der Abgleich gemäß Artikel 2 Absatz 7 als erfolgreich betrachtet wird, so stellt der vertrauende Beteiligte oder der in seinem Namen handelnde Beteiligte oder ein von vertrauenden Beteiligten herangezogenes Register oder das zentralisierte System sicher, dass dem Nutzer mitgeteilt wird, dass ihm der Zugang zu dem von ihm gewünschten Dienst gewährt wird.

(2) Soweit zutreffend wird dem Nutzer auch mitgeteilt, ob

1. er als neuer Nutzer registriert worden ist,
2. ein erfolgreicher Abgleich mit einem einzigen bestehenden Nutzer des vertrauenden Beteiligten erfolgt ist,
3. ein erfolgreicher Abgleich mit einem einzigen bestehenden Nutzer in einem Register, das von dem vertrauenden Beteiligten oder dem in seinem Namen handelnden Beteiligten herangezogen wird, erfolgt ist,
4. er abgeschlossene Identitätsabgleiche in Zukunft wiederverwenden kann, indem er eine der folgenden Optionen, einschließlich der Aufbewahrungsfrist, wählt:
   • Speicherung einer Verknüpfung in einem von dem vertrauenden Beteiligten geführten Register oder in einem von dem vertrauenden Beteiligten herangezogen Register, die bei künftigen Zugangsanträgen weiterverwendet werden kann,
   • Ausstellung einer speziellen elektronischen Attributsbescheinigung, die eine Verknüpfung enthält, die bei künftigen Zugangsanträgen weiterverwendet werden kann,
   • alternative Optionen, die von dem vertrauenden Beteiligten oder dem in seinem Namen handelnden Beteiligten oder dem zentralisierten System bereitgestellt werden und bei künftigen Zugangsanträgen weiterverwendet werden können.

Artikel 4 Pflichten vertrauender Beteiligter bei gescheitertem Identitätsabgleich

(1) Wird ein Identitätsabgleich gemäß Artikel 2 Absatz 7 als gescheitert betrachtet, so stellt der vertrauende Beteiligte oder der in seinem Namen handelnde Beteiligte oder das zentralisierte System sicher, dass der Nutzer eines notifizierten elektronischen Identifizierungsmittels oder einer Brieftasche darüber informiert wird, ob

1. die bereitgestellten Daten nicht erfolgreich und eindeutig mit denen eines bestehenden Nutzers des vertrauenden Beteiligten oder eines bestehenden Nutzers in einem Register, das von dem vertrauenden Beteiligten oder dem in seinem Namen handelnden Beteiligten herangezogen wird, abgeglichen wurden;
2. es andere Optionen für den Identitätsabgleich gibt, die dem Nutzer zur Verfügung stehen, oder andere Methoden, wie der Nutzer Zugang zu dem Dienst erhalten kann.

(2) Zu den in Absatz 1 Buchstabe b genannten Optionen oder anderen Methoden gehören beispielsweise:

1. ein anderes notifiziertes elektronisches Identifizierungsmittel oder eine andere Brieftasche,
2. eine Aktualisierung der Informationen, die bereits beim vertrauenden Beteiligten, dem in seinem Namen handelnden Beteiligten oder in einem vom vertrauenden Beteiligten herangezogenen Register oder in dem zentralisierten Identitätsabgleichsystem registriert sind,
3. zusätzliche Informationen zum Identitätsabgleich oder zum zentralisierten System, die vom vertrauenden Beteiligten oder einem in seinem Namen handelnden Beteiligten bereitgestellt werden.

(3) Führen die ergänzenden Methoden zu einem erfolgreichen und eindeutigen Abgleich oder einer erfolgreichen Registrierung, so gelten für das Ergebnis die in Artikel 3 festgelegten Verpflichtungen.

(4) Stellt der vertrauende Beteiligte oder das zentralisierte System gleich zu Beginn oder nach erfolgloser Durchführung der ergänzenden Identitätsabgleichverfahren fest, dass der Nutzer zuvor nicht registriert war, so kann der vertrauende Beteiligte oder das zentralisierte System diesen Nutzer als einen neuen Nutzer betrachten und ihn gegebenenfalls gemäß den nationalen Rechtsvorschriften oder Verwaltungsgepflogenheiten registrieren.

(5) Führen die ergänzenden Verfahren zu keinem erfolgreichen und eindeutigen Abgleich, kann der Beteiligte, der den Identitätsabgleich durchführt, prüfen, ob der Nutzer zuvor noch nicht mit dem vertrauenden Beteiligten oder einem vom vertrauenden Beteiligten herangezogenen Register zu tun hatte und daher als neuer Nutzer zu betrachten ist.

(6) Gibt es einen neuen Nutzer, so wenden die vertrauenden Beteiligten das in Artikel 3 festgelegte Verfahren an. Vertrauende Beteiligte können neue Nutzer gemäß den nationalen Rechtsvorschriften oder Verwaltungsgepflogenheiten registrieren.

Artikel 5 Pflichten vertrauender Beteiligter nach Abschluss des Identitätsabgleichs

(1) Nach dem Abschluss eines Identitätsabgleichs gemäß Artikel 2, unabhängig davon, ob dieser erfolgreich oder erfolglos war, bewahrt der vertrauende Beteiligte oder der in seinem Namen handelnde Beteiligte oder das vom vertrauenden Beteiligten herangezogene Register die Protokolle in Bezug auf den Identitätsabgleich und dessen Ergebnis auf, einschließlich, soweit verfügbar:

1. vom Nutzer und vom vertrauenden Beteiligten bereitgestellte Werte, die zur Durchführung des Identitätsabgleichs verwendet werden,
2. Datum und Uhrzeit des Identitätsabgleichs,
3. alle einschlägigen Belege, die im Rahmen der in Artikel 4 Absätze 1 und 2 genannten ergänzenden Methoden vorgelegt werden und für die Streitbeilegung erforderlich sind,
4. gegebenenfalls alle Kennungen oder Kontonummern, die von dem vertrauenden Beteiligten oder in einem vom vertrauenden Beteiligten oder in seinem Namen handelnden Beteiligten herangezogenen Register oder in dem Identitätsabgleichsystem verwendet werden und die sich auf die natürliche Person beziehen.

(2) Vertrauende Beteiligte oder die in ihrem Namen handelnden Beteiligten beachten im Zusammenhang mit der Protokollierung der in Absatz 1 genannten Informationen die Grundsätze der eingebauten Sicherheit und des eingebauten Datenschutzes.

(3) Vertrauende Beteiligte oder die in ihrem Namen handelnden Beteiligten bewahren die Protokolle für Sicherheitszwecke für einen Zeitraum von mindestens sechs und höchstens zwölf Monaten auf. Für andere Zwecke, darunter die Ermöglichung der Registrierung und Bearbeitung von Beschwerden der Nutzer, kann die Aufbewahrungsfrist verlängert werden, wenn dies nach Unionsrecht oder nationalem Recht erforderlich ist.

Artikel 6 Inkrafttreten

Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.

Sie gilt ab dem 24. Dezember 2026.

Diese Verordnung ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat.

Brüssel, den 6. Mai 2025

ENDE