Erläuternder Bericht

6.2 Datenschutz

Die Regeln des Datenschutzrechts (DSG und zugehörige Verordnungen) gelten für alle. Natürliche Personen, Ausstellerinnen und Verifikatorinnen des privaten Sektors unterliegen den Bestimmungen für Private. Der Bund (fedpol und andere Behörden) sowie die Ausstellerinnen und Verifikatorinnen des öffentlichen Sektors unterliegen den Bestimmungen für Bundesorgane. Im vorliegenden Verordnungsentwurf wird nicht auf die einschlägigen Bestimmungen des DSG verwiesen, um Wiederholungen zu vermeiden und die Auslegung nicht zu erschweren. Das BGEID präzisiert bereits, wie der Datenschutz im Kontext der E-ID umgesetzt wird. Die Ausführungsbestimmungen konkretisieren den im BGEID geschaffenen Rahmen für die Bearbeitung,

Aufbewahrung und Löschung von Daten.

Das BIT stellt ein öffentlich zugängliches Basisregister bereit. Es ermöglicht Verifikatorinnen zu prüfen, dass Nachweise nicht nachträglich verändert wurden und von den eingetragenen Ausstellerinnen stammen. Enthalten sind kryptografische Schlüssel zur Überprüfung der Authentizität und Integrität der Nachweise, Identifikatoren der Ausstellerinnen und Verifikatorinnen sowie Daten über deren Widerruf. Die Widerrufsdaten dürfen keine Rückschlüsse auf die Identität der Inhaberin oder den Inhalt des Nachweises zulassen.

Für die Eintragung im Basisregister sind selbstdeklarierte Angaben erforderlich. Anpassungen im Register werden täglich gespeichert und zehn Jahre lang aufbewahrt. Beim Abfragen des Registers fallen Daten wie IP-Adressen an, die zur Sicherheit und Wartung der Infrastruktur maximal 90 Tage gespeichert werden dürfen. Die Speicherung von Daten bei der Vorweisung und Überprüfung elektronischer Nachweise erfordert die Einwilligung der Inhaberin, die jederzeit widerrufen werden kann. Alle anderen Daten werden 90 Tage nach Erfassung vernichtet.

Das BIT stellt ein öffentlich zugängliches Vertrauensregister zur Verfügung. Es enthält geprüfte Informationen über die Identität von Ausstellerinnen und Verifikatorinnen, um eine sichere Nutzung elektronischer Nachweise zu gewährleisten. Die Aufnahme ins Register erfolgt nur auf Antrag und mit expliziter Einwilligung der betroffenen Person. Weitere geprüfte Daten können Handelsregister-Informationen oder Bescheinigungen sein. Zusätzliche Personendaten wie Kontaktdaten zeichnungsberechtigter Personen werden im Prüfprozess erhoben, aber nicht öffentlich zugänglich gemacht.

Das BIT stellt eine Anwendung zur Verifikation elektronischer Nachweise bereit. Damit kann auf einfache Weise die kryptografische Gültigkeit eines Nachweises überprüft werden, insbesondere der E-ID. Der Bund als Herausgeber hat keinen Zugriff auf die Inhalte der elektronischen Nachweise oder auf die Informationen bezüglich deren Verwendung. In der Anwendung können Nutzende diverse Nachweise ablegen und Personendaten dezentral speichern. Der Bund als Herausgeber der Anwendung hat keinen Zugriff auf die Inhalte der elektronischen Nachweise. Auch Sicherheitskopien, die auf einem vom Bund betriebenen System gespeichert werden, bleiben dank benutzerseitiger Verschlüsselung unlesbar. Zur Sicherstellung der digitalen Brieftaschenauthentizität werden technische Identifikatoren verwendet, die primär durch die Ausstellerin der E-ID verarbeitet werden.