Artikel 7 - Verordnung zur Änderung der Personalausweisverordnung, der Passverordnung, der Aufenthaltsverordnung sowie weiterer Vorschriften (PAuswVuaÄndV k.a.Abk.)

V. v. 30.10.2023 BGBl. 2023 I Nr. 290; Geltung ab 01.11.2023, abweichend siehe Artikel 13

Artikel 7 Weitere Änderung der Personalausweisverordnung

Die Personalausweisverordnung, die zuletzt durch Artikel 1 dieser Verordnung geändert worden ist, wird wie folgt geändert:

1. Die Inhaltsübersicht wird wie folgt geändert:

a) Die Angabe zu Kapitel 2 wird wie folgt gefasst:

„Kapitel 2 Übermittlung des Lichtbilds durch Dienstleister".

b) Die bisherigen Angaben zu Kapitel 2 bis 11 werden die Angaben zu Kapitel 3 bis 12.

2. § 2 Satz 1 Nummer 2 wird wie folgt geändert:

a) In Buchstabe g wird am Ende das Wort „und" durch ein Komma ersetzt.

b) In Buchstabe h wird am Ende der Punkt durch das Wort „und" ersetzt.

c) Folgender Buchstabe i wird angefügt:

„i) das sichere Verfahren der Übermittlung von Lichtbildern von einem Dienstleister an eine Personalausweisbehörde."

3. § 3 wird wie folgt geändert:

a) Absatz 1 Satz 1 wird wie folgt gefasst:

„Aus Anhang 4 ergeben sich die Systemkomponenten

1. der Personalausweisbehörden,

2. des Ausweisherstellers,

3. der Cloudanbieter,

4. der Dienstleister, die Lichtbildaufnahmegeräte im Sinne des § 5a Absatz 2 Nummer 2 verwenden,

5. der Diensteanbieter und ihrer Auftragsverarbeiter nach Artikel 4 Nummer 8 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1; L 314 vom 22.11.2016, S. 72; L 127 vom 23.5.2018, S. 2; L 74 vom 4.3.2021, S. 35), deren jeweilige Zertifizierung verpflichtend oder optional ist."

b) Absatz 3 Satz 2 wird aufgehoben.

4. Dem § 4 wird folgender Absatz 4 angefügt:

„(4) Der Cloudanbieter dokumentiert zum Zwecke der Nachverfolgbarkeit des Übermittlungsvorgangs eines erstellten und übermittelten Lichtbilds

1. die Übermittlung eines verschlüsselten Lichtbilds durch einen Dienstleister, das Datum und die Uhrzeit der Übermittlung sowie

2. den Abruf eines verschlüsselten Lichtbilds durch die Personalausweisbehörde sowie das Datum und die Uhrzeit des Abrufs."

5. § 5 wird wie folgt geändert:

a) Dem Absatz 1 wird folgender Satz angefügt:

„Lichtbilder, die nach § 6a durch Lichtbildaufnahmegeräte der Personalausweisbehörde gefertigt wurden, sind unverzüglich nach Abruf durch die Personalausweisbehörde von dem Lichtbildaufnahmegerät zu löschen."

b) Folgender Absatz 7 wird angefügt:

„(7) Der Cloudanbieter ist verpflichtet, das Lichtbild unverzüglich nach Abruf durch die Personalausweisbehörde, spätestens aber sechs Monate nach Empfang des Lichtbilds von einem Dienstleister, zu löschen, es sei denn, die Personalausweisbehörde hat auf Veranlassung der antragstellenden Person vermerkt, dass das Lichtbild für einen Zeitraum von höchstens sechs Monaten ab Antragstellung nicht gelöscht werden soll. Im Übrigen ist der Cloudanbieter verpflichtet, die bei ihm gespeicherten Daten für folgende Fristen zu speichern; nach Fristablauf sind die Daten zu löschen:

1. die Protokolldaten nach § 4 Absatz 4 für zehn Jahre und sechs Monate nach ihrer Erstellung;

2. die personenbezogenen Daten der Dienstleister sowie die diesen Personen zuzuordnenden Pseudonyme für sechs Monate, ab dem Zeitpunkt, ab dem der Kontoinhaber von dem Cloudanbieter die Auflösung seines Nutzerkontos verlangt hat;

3. abweichend von Nummer 2 die dort genannten Daten für zehn Jahre und sechs Monate seit der Übermittlung des Lichtbilds an die zuständige Personalausweisbehörde, wenn dieses für die Personalausweisbeantragung durch eine dem Nutzerkonto zuzuordnende Person übermittelt wurde."

6. Nach § 5 wird folgendes Kapitel 2 eingefügt:

„Kapitel 2 Übermittlung des Lichtbilds durch Dienstleister

§ 5a Fertigung und Übermittlung des Lichtbilds durch ein sicheres Verfahren

(1) In Fällen, in denen ein Personalausweis bei einer Personalausweisbehörde nach § 8 Absatz 1 des Personalausweisgesetzes beantragt wird, kann die antragstellende Person einen Dienstleister mit der Fertigung des Lichtbilds beauftragen. Der Dienstleister hat das Lichtbild elektronisch zu fertigen und im Anschluss durch ein sicheres Verfahren an die Personalausweisbehörde zu übermitteln. Dienstleister ist jede natürliche oder juristische Person, die gewerbsmäßig Lichtbilder von anderen Personen anfertigt, die zur Vorlage bei einer Personalausweisbehörde bestimmt sind.

(2) Ein sicheres Verfahren im Sinne des Absatzes 1 Satz 2 ist:

1. die Übermittlung des Lichtbilds an die Personalausweisbehörde von einem Dienstleister unter Einbindung eines Cloudanbieters oder

2. die Übermittlung des Lichtbilds an die Personalausweisbehörde von einem zertifizierten Lichtbildaufnahmegerät eines Dienstleisters, das unmittelbar an das Behördennetz einer Personalausweisbehörde angeschlossen ist.

§ 5b Übermittlung des Lichtbilds unter Einbindung eines Cloudanbieters

(1) Bei einer Übermittlung nach § 5a Absatz 2 Nummer 1 übermittelt der Dienstleister das Lichtbild an einen Cloudanbieter und übergibt der antragstellenden Person anschließend einen Code, den diese im Rahmen der Antragstellung der Personalausweisbehörde übergibt.

(2) Mit diesem Code ruft die Personalausweisbehörde das Lichtbild bei dem Cloudanbieter ab. Durch den Abruf wird das Lichtbild gemeinsam mit dem Pseudonym des Dienstleisters an die Personalausweisbehörde übermittelt.

(3) Die Übermittlung des Lichtbilds vom Dienstleister an die Personalausweisbehörde erfolgt verschlüsselt als Ende-zu-Ende-Verschlüsselung; eine Entschlüsselung durch den Cloudanbieter ist auszuschließen. Eine Übermittlung des Lichtbilds vom Dienstleister zum Cloudanbieter ist nur unter Verwendung von zertifizierten Komponenten nach Maßgabe von § 3 Absatz 1 Satz 1 zulässig.

(4) Die Verarbeitung der personenbezogenen Daten darf ausschließlich durch einen im Gebiet der Europäischen Union ansässigen Cloudanbieter und ausschließlich im Gebiet der Europäischen Union erfolgen.

§ 5c Registrierung und Identifizierung eines Dienstleisters bei einem Cloudanbieter

(1) Dienstleister haben sich bei einem Cloudanbieter mit einem Nutzerkonto zu registrieren. Bei der Registrierung ist ein Nachweis über die Dienstleistereigenschaft sowie ein Nachweis über die Identität des Dienstleisters zu erbringen.

(2) Der Nachweis über die Dienstleistereigenschaft ist zu erbringen durch Übermittlung:

1. eines Nachweises über die Gewerbeanmeldung;

2. durch einen Auszug aus dem Unternehmensregister;

3. durch eine Bescheinigung der Mitgliedschaft in der Handwerkskammer oder

4. einer Bestätigung eines Finanzamtes über die Anmeldung einer freiberuflichen Tätigkeit als Fotografin oder Fotograf.

(3) Bei der Registrierung erfolgt der Nachweis der Identität des Dienstleisters durch

1. einen elektronischen Identitätsnachweis gemäß § 18 des Personalausweisgesetzes, gemäß § 12 des eID-Karte-Gesetzes oder gemäß § 78 Absatz 5 des Aufenthaltsgesetzes oder

2. ein anderes elektronisches Identifizierungsmittel, das nach Artikel 6 der Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates vom 23. Juli 2014 über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt und zur Aufhebung der Richtlinie 1999/93/EG (ABl. L 257 vom 28.8.2014, S. 73; L 23 vom 29.1.2015, S. 19; L 155 vom 14.6.2016, S. 44) auf dem Sicherheitsniveau „hoch" im Sinne des Artikels 8 Absatz 2 Buchstabe c der Verordnung (EU) Nr. 910/2014 notifiziert worden ist.

Einem Nutzerkonto können mehrere Personen zugeordnet werden, wenn diese vom Dienstleister auf Dauer angelegt beschäftigt werden. Personen nach Satz 2 müssen sich bei der Registrierung in einem Nutzerkonto ebenfalls mittels eines der in Satz 1 genannten Identifizierungsmittel in dem Nutzerkonto registrieren.

(4) Für jede Person, die sich in einem Nutzerkonto nach Absatz 3 registriert hat, wird durch den Cloudanbieter ein Pseudonym erzeugt.

(5) Vor jeder Übermittlung eines Lichtbilds an den Cloudanbieter hat sich die übermittelnde Person des Dienstleisters erneut mit einem der in Absatz 3 Satz 1 genannten Identifizierungsmittel zu identifizieren. Bei jeder Übermittlung wird das Lichtbild durch den Cloudanbieter mit dem Pseudonym der übermittelnden Person dauerhaft verbunden. Die Personalausweisbehörde trägt im Personalausweisregister als lichtbildaufnehmende Stelle gemäß § 23 Absatz 3 Nummer 20 des Personalausweisgesetzes das übermittelte Pseudonym ein.

§ 5d Pflichten des Cloudanbieters

Wenn bestimmte Tatsachen die Annahme begründen, dass ein beim Cloudanbieter abgerufenes Lichtbild auf unzulässige Weise erstellt worden ist, kann die Personalausweisbehörde vom Cloudanbieter verlangen, Auskunft darüber zu geben, welcher Person das mit dem Lichtbild verbundene Pseudonym zuzuordnen ist. Dies gilt auch für den Fall, dass ein Cloudanbieter seinen Betrieb einstellt und solange, bis die Daten durch den Cloudanbieter gelöscht werden.

§ 5e Übermittlung des Lichtbilds von einem Lichtbildaufnahmegerät eines Dienstleisters

(1) Bei einer Übermittlung nach § 5a Absatz 2 Nummer 2 fertigt der Dienstleister das Lichtbild durch sein Lichtbildaufnahmegerät an, das mit Zustimmung der jeweiligen Personalausweisbehörde unmittelbar an ihr Behördennetzwerk angeschlossen ist.

(2) Mit dem Lichtbild wird der Name des Dienstleisters, der das Lichtbildaufnahmegerät zur Verfügung gestellt hat, sowie die Kennung des verwendeten Lichtbildaufnahmegeräts der Personalausweisbehörde übermittelt. Die Personalausweisbehörde trägt im Personalausweisregister als lichtbildaufnehmende Stelle gemäß § 23 Absatz 3 Nummer 20 des Personalausweisgesetzes den Namen des Dienstleisters und die Kennung des verwendeten Lichtbildaufnahmegeräts ein."

7. Das bisherige Kapitel 2 wird das Kapitel 3.

8. Nach § 6 wird folgender § 6a eingefügt:

„§ 6a Fertigung des Lichtbilds durch die Personalausweisbehörde

(1) Wird das Lichtbild von der Personalausweisbehörde mit einem eigenen Lichtbildaufnahmegerät gefertigt, trägt die Personalausweisbehörde im Personalausweisregister als lichtbildaufnehmende Stelle gemäß § 23 Absatz 3 Nummer 20 des Personalausweisgesetzes die Personalausweisbehörde ein. Die Anfertigung des Lichtbilds mit einem eigenen Lichtbildaufnahmegerät ist nur zulässig, wenn das Lichtbildaufnahmegerät als Systemkomponente im Sinne des § 3 Absatz 1 Satz 1 zertifiziert worden ist.

(2) Das nach Absatz 1 gefertigte Lichtbild ist unverzüglich durch die Personalausweisbehörde vom Lichtbildaufnahmegerät zu löschen, wenn es durch die Personalausweisbehörde abgerufen wurde. Wird das gefertigte Lichtbild nicht sofort durch die Personalausweisbehörde abgerufen, so ist dieses bis zum Abruf zu speichern, längstens jedoch für 96 Stunden nach dessen Anfertigung."

9. § 7 Absatz 1 und 2 werden wie folgt gefasst:

„(1) Ein Lichtbild, das nach § 9 Absatz 3 Satz 3 des Personalausweisgesetzes gefertigt wird, muss aktuell sein und den Vorgaben der Technischen Richtlinie TR-03121 des Bundesamtes für Sicherheit in der Informationstechnik in der jeweils geltenden Fassung entsprechen.

(2) Abweichend von Absatz 1 kann für einen Personalausweis, der im Ausland bei der Personalausweisbehörde nach § 8 Absatz 2 Personalausweisgesetz beantragt wird, auch ein aktuelles Lichtbild in der Größe von 45 Millimeter x 35 Millimeter im Hochformat und ohne Rand vorgelegt werden, sofern die elektronische Fertigung mittels Geräten der Behörde zur Lichtbildaufnahme nicht möglich ist."

10. Die bisherigen Kapitel 3 bis 11 werden die Kapitel 4 bis 12.

11. In § 36b Absatz 1 werden die Wörter „der Kapitel 1 bis 9" durch die Wörter „des Kapitels 1 sowie der Kapitel 3 bis 10" ersetzt.

12. Anhang 4 wird wie folgt geändert:

a) Nummer 4 wird aufgehoben.

b) In Nummer 5 werden die Wörter „§ 7 Absatz 1 Satz 2 Nummer 2 selbst fertigen" durch die Wörter „§§ 6a, 7 Absatz 1 Satz 3 selbst fertigen oder für Dienstleister, die Lichtbildaufnahmegeräte im Sinne des § 5a Absatz 2 Nummer 2 verwenden" ersetzt.

c) Die folgenden Nummern 12 und 13 werden angefügt:

„12	Hard- und Software zum Betrieb der Cloud	Verpflichtung für den Cloudanbieter
13	Software zur Verschlüsselung und Übertragung der Lichtbilder von Dienstleistern an die Cloud	Verpflichtung für die Softwarehersteller".