Verordnung zur Entlastung der Bundespolizei und der Verwaltung im Bereich des Pass- und Ausweiswesens sowie zur Änderung weiterer Vorschriften (PassAuswÄndV k.a.Abk.)

(1) Diese Verordnung regelt

(2) Die Bestimmungen dieser Verordnung gelten für

(1) Aus Anlage 1 ergeben sich die Systemkomponenten

(2) Für die Zertifizierung gilt § 9 des BSI-Gesetzes sowie die BSI-Zertifizierungs- und -Anerkennungsverordnung.

(3) Die Kosten der Zertifizierung hat der Antragsteller zu tragen.

(1) In Fällen, in denen ein Pass bei einer Passbehörde nach § 19 Absatz 1 Satz 1 des Passgesetzes beantragt wird, kann die antragstellende Person einen Dienstleister mit der Fertigung des Lichtbilds beauftragen. Der Dienstleister hat das Lichtbild elektronisch zu fertigen und im Anschluss durch ein sicheres Verfahren an die Passbehörde zu übermitteln. Dienstleister ist jede natürliche oder juristische Person, die gewerbsmäßig Lichtbilder von anderen Personen anfertigt, die zur Vorlage bei einer Passbehörde bestimmt sind.

(2) Ein sicheres Verfahren im Sinne des Absatzes 1 Satz 2 ist:

(1) Bei einer Übermittlung nach § 4 Absatz 2 Nummer 1 übermittelt der Dienstleister das Lichtbild an einen Cloudanbieter und übergibt der antragstellenden Person anschließend einen Code, den sie im Rahmen der Antragstellung der Passbehörde übergibt.

(2) Mit diesem Code ruft die Passbehörde das Lichtbild bei dem Cloudanbieter ab. Durch den Abruf wird das Lichtbild gemeinsam mit dem Pseudonym der übermittelnden Person des Dienstleisters an die Passbehörde übermittelt.

(3) Die Übermittlung des Lichtbilds vom Dienstleister über den Cloudanbieter zur Passbehörde erfolgt verschlüsselt als Ende-zu-Ende-Verschlüsselung; eine Entschlüsselung durch den Cloudanbieter ist auszuschließen. Eine Übermittlung des Lichtbilds vom Dienstleister zum Cloudanbieter ist nur zulässig, wenn hierzu ausschließlich zertifizierte Systemkomponenten verwendet werden.

(4) Die Verarbeitung der personenbezogenen Daten darf ausschließlich durch einen im Gebiet der Europäischen Union ansässigen Cloudanbieter und ausschließlich im Gebiet der Europäischen Union erfolgen.

(1) Dienstleister haben sich bei einem Cloudanbieter mit einem Nutzerkonto zu registrieren. Bei der Registrierung ist ein Nachweis über die Dienstleistereigenschaft sowie ein Nachweis über die Identität des Dienstleisters zu erbringen.

(2) Der nach Absatz 1 Satz 2 erforderliche Nachweis über die Dienstleistereigenschaft ist zu erbringen durch

(3) Bei der Registrierung erfolgt der Nachweis der Identität des Dienstleisters durch

(4) Einem Nutzerkonto können mehrere Personen zugeordnet werden, wenn diese vom Dienstleister auf Dauer angelegt beschäftigt werden. Personen nach Satz 1 müssen sich bei der Registrierung in einem Nutzerkonto ebenfalls mittels eines der in Absatz 3 genannten Identifizierungsmittel in dem Nutzerkonto registrieren.

(5) Für jede Person, die sich in einem Nutzerkonto nach Absatz 4 registriert hat, wird durch den Cloudanbieter ein Pseudonym erzeugt.

(6) Vor jeder Übermittlung eines Lichtbilds an den Cloudanbieter hat sich die übermittelnde Person erneut mit einem der in Absatz 3 genannten Identifizierungsmittel zu identifizieren. Bei jeder Übermittlung wird das Lichtbild durch den Cloudanbieter mit dem Pseudonym der übermittelnden Person dauerhaft verbunden. Die Passbehörde trägt im Passregister nach § 21 Absatz 2 Nummer 16 des Passgesetzes das übermittelte Pseudonym als lichtbildaufnehmende Stelle ein.

(1) Der Cloudanbieter dokumentiert zum Zwecke der Nachverfolgbarkeit des Übermittlungsvorgangs eines erstellten und übermittelten Lichtbilds

(2) Der Cloudanbieter ist verpflichtet, das Lichtbild unverzüglich nach Abruf durch die Passbehörde, spätestens aber sechs Monate nach Empfang des Lichtbilds von einem Dienstleister, zu löschen, es sei denn, die Passbehörde hat auf Veranlassung der antragstellenden Person vermerkt, dass das Lichtbild für einen Zeitraum von höchstens sechs Monaten ab Empfang des Lichtbilds durch den Cloudanbieter nicht gelöscht werden soll. Im Übrigen ist der Cloudanbieter verpflichtet, die bei ihm gespeicherten Daten für folgende Fristen zu speichern und nach Fristablauf zu löschen:

(3) Wenn bestimmte Tatsachen die Annahme begründen, dass ein beim Cloudanbieter abgerufenes Lichtbild auf unzulässige Weise erstellt worden ist, kann die Passbehörde vom Cloudanbieter die Auskunft verlangen, welcher Person das mit dem Lichtbild verbundene Pseudonym zugeordnet ist. Dies gilt auch für den Fall, dass ein Cloudanbieter seinen Betrieb einstellt und solange, bis die Daten durch den Cloudanbieter gelöscht werden.

(1) Bei einer Übermittlung nach § 4 Absatz 2 Nummer 2 fertigt der Dienstleister das Lichtbild durch sein Lichtbildaufnahmegerät an, das mit Zustimmung der jeweiligen Passbehörde unmittelbar an ihr Behördennetzwerk angeschlossen ist.

(2) Das Lichtbild wird mit dem Namen des Dienstleisters, der das Lichtbildaufnahmegerät zur Verfügung gestellt hat, sowie der Kennung des verwendeten Lichtbildaufnahmegeräts übermittelt. Die Passbehörde trägt im Passregister als lichtbildaufnehmende Stelle nach § 21 Absatz 2 Nummer 16 des Passgesetzes den Namen des Dienstleisters und die Kennung des verwendeten Lichtbildaufnahmegeräts ein.

(1) Wird das Lichtbild von der Passbehörde mit einem eigenen Lichtbildaufnahmegerät gefertigt, trägt die Passbehörde im Passregister als lichtbildaufnehmende Stelle nach § 21 Absatz 2 Nummer 16 des Passgesetzes die Passbehörde ein.

(2) Die Anfertigung des Lichtbilds mit einem eigenen Lichtbildaufnahmegerät ist nur zulässig, wenn das Lichtbildaufnahmegerät als Systemkomponente zertifiziert worden ist.

(3) Das nach Absatz 1 gefertigte Lichtbild ist unverzüglich vom Lichtbildaufnahmegerät zu löschen, wenn es durch die Passbehörde abgerufen wurde. Wird das gefertigte Lichtbild nicht sofort durch die Passbehörde abgerufen, so ist dieses bis zum Abruf zu speichern, längstens jedoch für 96 Stunden nach dessen Anfertigung.

(1) Nach ihrer Erfassung werden sämtliche Passantragsdaten in den Passbehörden zu einem digitalen Datensatz zusammengeführt und an den Passhersteller übermittelt. Die Datenübermittlung umfasst unter anderem auch die Qualitätswerte zu den erhobenen Fingerabdrücken und zu den Lichtbildern, die Behördenkennzahl, die Versionsnummern der Qualitätssicherungssoftware und der Sollwerte, den Zeitstempel des Passantrags sowie die Speichergröße der kodierten biometrischen Daten. Die Datenübermittlung erfolgt durch Datenübertragung über verwaltungseigene Kommunikationsnetze oder über das Internet. Sie erfolgt unmittelbar zwischen Passbehörde und Passhersteller oder über Vermittlungsstellen. Die zu übermittelnden Daten sind elektronisch zu signieren und zu verschlüsseln.

(2) Zum Signieren und Verschlüsseln der nach Absatz 1 zu übermittelnden Daten sind gültige Zertifikate gemäß den Anforderungen der vom Bundesamt für Sicherheit in der Informationstechnik erstellten Sicherheitsleitlinien der Wurzelzertifizierungsinstanz der Verwaltung zu nutzen. Diese sind auf der Internetseite des Bundesamtes für Sicherheit in der Informationstechnik veröffentlicht und können dort auf Anfrage bezogen werden. Der Passhersteller hat geeignete technische und organisatorische Regelungen zu treffen, die eine Weiterverarbeitung von ungültig signierten Antragsdaten ausschließen.

(3) Die Datenübertragung nach Absatz 1 Satz 3 erfolgt unter Verwendung eines XML-basierten Datenaustauschformats (XhD) und auf der Grundlage des Datenübermittlungsprotokolls OSCI-Transport, das in der vom Bundesamt für Sicherheit in der Informationstechnik festgelegten Fassung zu verwenden ist, die im Bundesanzeiger bekannt gemacht ist. Das Auswärtige Amt kann für die Datenübertragung an den Passhersteller als Übermittlungsprotokoll auch WSDL/SOAP verwenden. Die Datenübertragung zwischen den Stellen, die nach § 19 Absatz 2 des Passgesetzes für Passangelegenheiten im Ausland zuständig sind, und dem Auswärtigen Amt muss hinsichtlich Datensicherheit und Datenschutz ein den Anforderungen der Verordnung entsprechendes Niveau aufweisen. Zu Testzwecken kann nach Genehmigung durch das Bundesministerium des Innern von den Vorgaben für das Datenaustauschformat nach Satz 1 abgewichen werden.

(4) XhD ist ein auf XML basierendes Datenaustauschformat für Dokumentendaten und dokumentenabhängige Geschäftsprozesse in Nachrichten zwischen den Passbehörden und dem Passhersteller. OSCI-Transport ist der am 6. Juni 2002 vom Kooperationsausschuss ADV Bund/Länder/Kommunaler Bereich herausgegebene Standard für ein Datenübermittlungsprotokoll. Hinsichtlich des Standards OSCI-Transport gilt § 3 Absatz 4 und 5 der Ersten Bundesmeldedatenübermittlungsverordnung entsprechend.

(5) Vor der Übermittlung der Passantragsdaten hinterlegen Passbehörden und Passhersteller alle für eine elektronische und automatisierte Kommunikation benötigten technischen Verbindungsparameter im Deutschen Verwaltungsdiensteverzeichnis, insbesondere die dafür erforderlichen Zertifikate. Der Passhersteller nutzt eine Funktionalität des Deutschen Verwaltungsdiensteverzeichnisses, um die Passbehörde als eine solche zu verifizieren. Das Auswärtige Amt kann die benötigten technischen Verbindungsparameter und die damit verbundenen erforderlichen Zertifikate technisch unabhängig vom Deutschen Verwaltungsdiensteverzeichnis lösen. Die Lösung muss hinsichtlich Datensicherheit und Datenschutz ein den Anforderungen dieser Verordnung entsprechendes Niveau aufweisen.

(6) Soweit die Datenübermittlung über Vermittlungsstellen erfolgt, gelten die Absätze 1 bis 5 für die Datenübermittlung zwischen Vermittlungsstelle und Passhersteller entsprechend. Die Datenübermittlung zwischen Passbehörde und Vermittlungsstelle muss hinsichtlich Datensicherheit und Datenschutz ein den Anforderungen der Verordnung entsprechendes Niveau aufweisen. Die Einzelheiten richten sich nach dem jeweiligen Landesrecht.

(1) XPassAusweis ist ein Datenaustauschformat in dem Standard XInneres für die Übermittlung von Daten

(2) OSCI-Transport ist der am 6. Juni 2002 herausgegebene Standard für ein Datenübermittlungsprotokoll.

(3) Das Datenaustauschformat XPassAusweis und das Übermittlungsprotokoll OSCI-Transport sind beim Bundesarchiv, Potsdamer Straße 1, 56075 Koblenz, archivmäßig gesichert niedergelegt und der Öffentlichkeit zugänglich. Sie können beim Informationstechnikzentrum Bund (ITZBund), Dienstsitz Bonn, Bernkasteler Straße 8, 53175 Bonn, bezogen werden.

(4) Änderungen des Datenaustauschformats XPassAusweis und des Übermittlungsprotokolls OSCI-Transport werden vom Bundesministerium des Innern im Bundesanzeiger bekannt gemacht. In der Bekanntmachung sind das Herausgabedatum und der Beginn der Anwendung anzugeben."

„(2) Aus dem Pass- oder Personalausweisregister darf

(1) Aus Anlage 4 ergeben sich die Systemkomponenten

(2) Für die Zertifizierung gelten § 9 des BSI-Gesetzes sowie die BSI-Zertifizierungs- und -Anerkennungsverordnung.

(3) Die Kosten der Zertifizierung hat der Antragsteller zu tragen."

„(1) Für die Speicherung personenbezogener Daten nach dieser Verordnung bei den Personalausweisbehörden gilt § 23 Absatz 4 des Personalausweisgesetzes entsprechend."

(1) Wird das Lichtbild von der Personalausweisbehörde mit einem eigenen Lichtbildaufnahmegerät gefertigt, trägt die Personalausweisbehörde im Personalausweisregister als lichtbildaufnehmende Stelle nach § 23 Absatz 3 Nummer 20 des Personalausweisgesetzes die Personalausweisbehörde ein.

(2) Die Anfertigung des Lichtbilds mit einem eigenen Lichtbildaufnahmegerät ist nur zulässig, wenn das Lichtbildaufnahmegerät als Systemkomponente zertifiziert worden ist.

(3) Das nach Absatz 1 gefertigte Lichtbild ist unverzüglich durch die Personalausweisbehörde vom Lichtbildaufnahmegerät zu löschen, wenn es durch die Personalausweisbehörde abgerufen wurde. Wird das gefertigte Lichtbild nicht sofort durch die Personalausweisbehörde abgerufen, so ist dieses bis zum Abruf zu speichern, längstens jedoch für 96 Stunden nach dessen Anfertigung."

„(4) Die Absätze 1 bis 3 sind nicht anzuwenden, wenn die Person, für die der Personalausweis ausgestellt werden soll, bis zum Ablauf der Gültigkeitsdauer des auszustellenden Personalausweises ihr 16. Lebensjahr nicht vollenden wird."

(1) Der Personalausweis wird gemeinsam mit dem Sperrkennwort von der Personalausweisbehörde an die antragstellende Person, an eine andere nach § 9 Absatz 1 oder 2 des Personalausweisgesetzes berechtigte Person oder an eine von der antragstellenden Person bevollmächtigte Person ausgegeben. Hat die antragstellende Person aufgrund von § 17 Absatz 4 kein Kuvert mit einer Geheimnummer und einer Entsperrnummer von der Personalausweisbehörde erhalten, wird nur der Personalausweis ausgegeben.

(2) Der Personalausweis wird gemeinsam mit dem Sperrkennwort durch den Ausweishersteller an die zustellfähige inländische Meldeadresse der antragstellenden Person versendet, wenn sie einen gültigen Lichtbildausweis einer Behörde oder einer öffentlich-rechtlichen Körperschaft besitzt, der eine einwandfreie Feststellung ihrer Identität zulässt, und sie gegenüber der Personalausweisbehörde im Inland in dieses Verfahren eingewilligt hat. Ein Versand nach Satz 1 ist ausgeschlossen, wenn keine zustellfähige inländische Meldeadresse vorhanden ist. Der bisherige Personalausweis ist bei der Beantragung von der Personalausweisbehörde zu entwerten. Der Zusteller hat vor der Übergabe die Identität der antragstellenden Person durch Vorlage eines in Satz 1 genannten Lichtbildausweises zu überprüfen. Der Ausweishersteller informiert die Personalausweisbehörde über die erfolgte Übergabe des Personalausweises und des Sperrkennworts an die antragstellende Person.

(3) Die antragstellende Person soll bei einem Verfahren nach Absatz 2 der Personalausweisbehörde eine E-Mail-Adresse mitteilen, sofern eine solche der Personalausweisbehörde noch nicht vorliegt. Die Personalausweisbehörde übermittelt diese E-Mail-Adresse an den Ausweishersteller, damit dieser die E-Mail-Adresse dem Zusteller übermittelt. Der Zusteller kündigt in diesem Fall der antragstellenden Person den Zeitraum der Übergabe per E-Mail an die hinterlegte E-Mail-Adresse an. Die Ankündigung darf ausschließlich die Anrede, den Hinweis auf die bevorstehende Zustellung des Personalausweises, den voraussichtlichen Zustellzeitpunkt sowie die Modalitäten der Zustellung nach Absatz 2 Satz 4 enthalten. Die E-Mail-Adresse darf nur für die Zwecke verwendet werden, für die sie gespeichert wurde, und ist bei der Personalausweisbehörde, beim Ausweishersteller und beim Zusteller unverzüglich nach der Übergabe des Personalausweises an die antragstellende Person zu löschen, sofern sie ausschließlich für das Verfahren nach Absatz 2 gespeichert wurde. Erfolgt eine Übergabe nicht, so findet Satz 5 mit der Maßgabe Anwendung, dass der Ausweishersteller und der Zusteller die E-Mail-Adresse unverzüglich nach der Hinterlegung des Personalausweises bei der zuständigen Personalausweisbehörde oder die Personalausweisbehörde diese unverzüglich nach der Ausgabe des Personalausweises an die antragstellende Person zu löschen haben.

(4) Abweichend von Absatz 2 darf die Personalausweisbehörde im Ausland Personalausweise gemeinsam mit dem Sperrkennwort auch auf dem Postweg versenden, ohne dass der Zusteller die antragstellende Person identifiziert, sofern die Abholung des Personalausweises für die antragstellende Person nur unter unzumutbaren Umständen möglich wäre und der Wohnort in einem Staat liegt, in dem eine hinreichende Gewähr für eine ordnungsgemäße Übergabe besteht. Als unzustellbar zurückgesandte Personalausweise und Sperrkennwörter gibt die Personalausweisbehörde nach Maßgabe von Absatz 1 an die antragstellende Person aus.

(5) Wurde gegenüber der antragstellenden Person, die keine Wohnung in der Bundesrepublik Deutschland hat, eine Anordnung nach § 6 Absatz 7 des Personalausweisgesetzes getroffen, soll die Ausgabe des Personalausweises durch die Personalausweisbehörde in Deutschland erfolgen, in deren Bezirk die antragstellende Person für ihre Wohnung, bei mehreren Wohnungen für ihre Hauptwohnung, zuletzt meldepflichtig war. War die antragstellende Person noch nie in der Bundesrepublik Deutschland meldepflichtig, soll die Ausgabe durch eine von der antragstellenden Person zu benennende Personalausweisbehörde in der Bundesrepublik Deutschland erfolgen. Die Ausgabe des Personalausweises an eine andere nach § 9 Absatz 1 oder 2 des Personalausweisgesetzes berechtigte Person oder an eine von der antragstellenden Person bevollmächtigte Person ist in diesen Fällen ausgeschlossen.

(1) Der Ausweisinhaber kann sich die auslesbaren personenbezogenen Daten, die auf seinem Personalausweis gespeichert sind, jederzeit bei einer Personalausweisbehörde anzeigen lassen.

(2) Für das Lesen der Daten nach Absatz 1 sind zertifizierte Lesegeräte mit hoheitlichem Berechtigungszertifikat zu verwenden.

„(1) Die Personalausweisbehörde ändert die Anschrift auf dem Personalausweis, indem sie einen Aufkleber mit der neuen Anschrift und der Personalausweisnummer nach dem Muster in Anlage 1a anfertigt. Hat der Ausweisinhaber eine elektronische Anmeldung nach § 23a des Bundesmeldegesetzes durchgeführt, wird nach erfolgter Änderung der Anschrift nach Absatz 2 Satz 5 ein Aufkleber nach Anlage 1b mit der neuen Anschrift durch die Personalausweisbehörde auf dem Postweg an die Zuzugsanschrift der antragstellenden Person versendet. Der Ausweisinhaber hat den Aufkleber unverzüglich auf dem Ausweis auf dem für die Anschrift vorgesehenen Feld anzubringen."

„(1) Soweit dieser Abschnitt keine besonderen Regelungen enthält, gelten für die die eID-Karte betreffenden Angelegenheiten die Vorschriften des Abschnitts 1 sowie der Abschnitte 3 bis 10 entsprechend."

„(6) Die Gebühr kann ermäßigt oder von ihrer Erhebung abgesehen werden, wenn die Person, die die Gebühr schuldet, bedürftig ist. Eine Bedürftigkeit im Sinne von Satz 1 liegt nicht schon dann vor, wenn Leistungen nach dem Zweiten Buch Sozialgesetzbuch oder nach dem Zwölften Buch Sozialgesetzbuch bezogen werden."

„(8) Für die Datenübermittlung durch Ausländerbehörden und andere öffentliche Stellen an die Registerbehörde wird der Datensatz für das Ausländerwesen (DSAusländer) in der durch das Bundesministerium des Innern im Bundesanzeiger bekannt gemachten gültigen Fassung verwendet.

(9) Die öffentlichen Stellen, an die nach dem AZR-Gesetz Daten übermittelt werden, ergeben sich aus Spalte D der Abschnitte I bis III der Anlage zu dieser Verordnung."