Vertrauensdienste, elektronische Signaturen und Identitätsverifizierung

• Regulation (EU) No 910/2014 — eIDAS as amended by Regulation (EU) 2024/1183
• Regulation (EU) 2016/679 — GDPR, Article 27
• Regulation (EU) 2024/1689 — AI Act for biometric verification

Wer muss benennen

Anbieter, die außerhalb der Union ansässig sind und Signatur-, Siegel-, Zeitstempel- oder Identitätsverifizierungsdienste für Nutzer in der EU anbieten. Die Datenseite benötigt einen Vertreter. Die Vertrauensdienstseite ist anders: Der qualifizierte Status erfordert eine Niederlassung in der Union und die Aufsicht durch eine nationale Stelle und kann nicht durch einen Vertreter erlangt werden.

Schwellen und Ausnahmen

Nicht qualifizierte Vertrauensdienste können ohne vorherige Genehmigung erbracht werden, unterliegen jedoch den Sicherheits- und Mitteilungspflichten. Der qualifizierte Status erfordert eine Konformitätsbewertung und die Aufnahme in die vertrauenswürdige Liste eines Mitgliedstaates.

Was auf das Etikett gehört

Nicht physisch. Veröffentlicht werden müssen die Nutzungsbedingungen, die Erklärung zur Zertifizierungspraktik, wo Zertifikate ausgestellt werden, und die Identität der Aufsichtsbehörde. Der DSGVO-Vertreter gehört in die Datenschutzerklärung.

Marktplatz-Felder

Unternehmenskäufer und öffentliche Beschaffungen in der Union benötigen für viele Anwendungsfälle den qualifizierten Status, und der Rahmen der EU-Digitalen Identitäts-Wallet erweitert die Situationen, in denen qualifizierte elektronische Signaturen erwartet werden.

Unterlagen, die Sie vorhalten müssen

Artikel 30 Aufzeichnungen über Identitätsdokumente, biometrische Vorlagen und Signaturprotokolle. Die Artikel 27 Bezeichnung. Datenschutz-Folgenabschätzung, da Identitätsverifizierungsprozesse besondere Kategorien biometrischer Daten betreffen. Aufbewahrungsplan, der den Beweiswert gegen Minimierung abwägt. Für Vertrauensdienste der Konformitätsbewertungsbericht, die Sicherheitsrichtlinie und die Verfahren zur Vorfallmeldung.

Normen und Prüfungen

Konformitätsbewertung durch eine akkreditierte Stelle für qualifizierte Dienste. Für biometrische Verifizierung, Genauigkeits- und Verzerrungstests, da das AI-Gesetz die Fernbiometrische Identifikation als hochriskant einstuft und erklärte Leistungsniveaus erfordert.

Sprachanforderungen

Bedingungen, Zertifikatspolitiken und Nutzerinformationen in den Sprachen der bedienten Märkte.

Ab wann es gilt

Der Vertreter vor Beginn der Verarbeitung. Verpflichtungen für Vertrauensdienste ab dem Moment, in dem die Dienste angeboten werden. Der geänderte eIDAS-Rahmen führt die Europäische Digitale Identitäts-Wallet bis 2026 und 2027 ein.

Aufbewahrungsfristen

Signatur- und Zertifikatsnachweise müssen lange genug aufbewahrt werden, um die Verifizierung Jahre später zu unterstützen, was eine rechtliche Verpflichtung darstellt, die einfache Minimierung übersteigt, und muss entsprechend dokumentiert werden. Biometrische Vorlagen sollten gelöscht werden, sobald die Verifizierung abgeschlossen ist, es sei denn, eine spezifische Grundlage rechtfertigt die Aufbewahrung.

Was bei Verstößen passiert

DSGVO-Strafen von bis zu 20 Millionen € oder 4 %, und Aufsichtsmaßnahmen gemäß eIDAS, einschließlich der Entfernung von der vertrauenswürdigen Liste, was das kommerzielle Angebot sofort beendet.

Wer kontrolliert

Datenschutzbehörden, nationale Aufsichtsbehörden für Vertrauensdienste und Marktüberwachungsbehörden gemäß dem AI-Gesetz für biometrische Systeme.

Wo die Grenze verläuft

Das Bereitstellen eines Signaturdienstes ist nicht dasselbe wie das Bereitstellen eines qualifizierten Dienstes, und nur letzterer trägt die rechtliche Vermutung der Gleichwertigkeit mit einer handschriftlichen Unterschrift. Der Verkauf eines nicht qualifizierten Dienstes in einen Markt, der rechtlich eine qualifizierte Signatur erfordert, ist das häufigste kommerzielle Versagen in diesem Sektor.

Häufige Fragen

Kann ein Anbieter außerhalb der EU qualifizierte Signaturen anbieten?

Nicht direkt. Der qualifizierte Status erfordert eine Niederlassung in der Union und die Aufsicht durch eine Stelle eines Mitgliedstaates oder die Anerkennung durch ein internationales Abkommen.

Ist die biometrische Identitätsverifizierung hochriskant gemäß dem AI-Gesetz?

Fernbiometrische Identifikationssysteme sind in Anhang III aufgeführt, also ja, mit Verpflichtungen, die ab August 2026 gelten, einschließlich eines autorisierten Vertreters für Anbieter außerhalb der EU.