Vertrauensdienstegesetz (VDG)

(1) Dieses Gesetz regelt die wirksame Durchführung der Vorschriften über Vertrauensdienste in der Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates vom 23. Juli 2014 über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt und zur Aufhebung der Richtlinie 1999/93/EG (ABl. L 257 vom 28.8.2014, S. 73) in der jeweils geltenden Fassung.

(2) Unberührt bleiben Rechtsvorschriften, die die Nutzung bestimmter Vertrauensdienste und die hierfür zu verwendenden Produkte regeln.

(1) Die Aufgaben der Aufsichtsstelle nach Artikel 17 der Verordnung (EU) Nr. 910/2014 und nach diesem Gesetz sowie nach der Rechtsverordnung nach § 20 obliegen

(2) Von der Aufgabenzuweisung an die Bundesnetzagentur unberührt bleiben die Aufgaben des Bundesamtes für Sicherheit in der Informationstechnik nach dem BSI-Gesetz und nach weiteren Fachgesetzen, insbesondere

(3) Das Bundesamt für Sicherheit in der Informationstechnik ist die für die Informationssicherheit zuständige nationale Stelle im Sinne von Artikel 19 Absatz 2 der Verordnung (EU) Nr. 910/2014.

(1) Ergänzend zu den Aufgaben aus der Verordnung (EU) Nr. 910/2014 obliegt der Aufsichtsstelle auch die Aufsicht über die Einhaltung dieses Gesetzes sowie der Rechtsverordnung nach § 20.

(2) 1Die Aufsichtsstelle kann gegenüber Vertrauensdiensteanbietern die erforderlichen Maßnahmen zur Einhaltung dieses Gesetzes sowie der Rechtsverordnung nach § 20 treffen. 2Zur Einhaltung dieses Gesetzes sowie der Rechtsverordnung nach § 20 kann sie von Vertrauensdiensteanbietern Nachweise anfordern und selbst Überprüfungen vornehmen. 3Im Übrigen stehen der Aufsichtsstelle die Maßnahmen nach der Verordnung (EU) Nr. 910/2014, insbesondere nach Artikel 17 Absatz 4, auch zur Durchsetzung dieses Gesetzes sowie der Rechtsverordnung nach § 20 zur Verfügung.

(3) Die Aufsichtsstelle kann einem Vertrauensdiensteanbieter den Betrieb vorübergehend, teilweise oder ganz untersagen, wenn

(1) Zur Prüfung der Einhaltung ihrer Verpflichtungen haben der Vertrauensdiensteanbieter und die für ihn tätigen Dritten den Bediensteten und Beauftragten

(2) 1Die zur Erteilung einer Auskunft verpflichtete natürliche Person kann die Auskunft auf solche Fragen verweigern, deren Beantwortung sie selbst oder einen der in § 52 Absatz 1 der Strafprozessordnung bezeichneten Angehörigen der Gefahr der Verfolgung wegen einer Straftat oder eines Verfahrens nach dem Gesetz über Ordnungswidrigkeiten aussetzen würde. 2Hierüber ist die Person zu belehren. 3Die Vorschriften über die Glaubhaftmachung des Verweigerungsgrundes nach § 56 der Strafprozessordnung sind entsprechend anzuwenden. 4Die Sätze 1 und 2 gelten für die Vorlage von Unterlagen entsprechend.

(1) 1Soweit möglich, haben Vertrauensdiensteanbieter die von ihnen angebotenen Vertrauensdienste für Menschen mit Behinderungen zugänglich und nutzbar zu machen. 2Soweit sie für die Nutzung der Vertrauensdienste erforderliche Endnutzerprodukte von Drittanbietern anbieten, haben sie, soweit möglich, auch mindestens ein marktübliches Endnutzerprodukt für Menschen mit Behinderungen anzubieten. 3Bei der Bewertung der Durchführbarkeit von Maßnahmen nach den Sätzen 1 und 2 sind auch technische und wirtschaftliche Belange zu berücksichtigen.

(2) 1Die Vertrauensdiensteanbieter haben auf ihrer Internetseite über die von ihnen vorgenommenen Maßnahmen zur Barrierefreiheit der Vertrauensdienste und der zur Erbringung solcher Dienste verwendeten Endnutzerprodukte zu informieren. 2Außerdem haben sie dort Hinweise zu geben, die die Nutzung der von ihnen angebotenen Vertrauensdienste und der hierbei verwendeten Endnutzerprodukte durch Menschen mit Behinderungen erleichtern. 3Diese Informationen und Hinweise sowie die Informationen, die sich an alle Verbraucher richten, müssen nach Maßgabe der Rechtsverordnung nach § 20 barrierefrei zugänglich und nutzbar sein.

(3) Barrieren können von jedermann der Aufsichtsstelle gemeldet werden.

(1) Unbeschadet anderer Rechtsgrundlagen dürfen Vertrauensdiensteanbieter auch bei Dritten personenbezogene Daten verarbeiten, soweit dies für die Erbringung, einschließlich der Prüfung und Sicherstellung der rechtlichen Gültigkeit, des jeweiligen Vertrauensdienstes erforderlich ist.

(2) 1Der Vertrauensdiensteanbieter darf personenbezogene Daten einer Person, die Vertrauensdienste nutzt, den zuständigen Stellen übermitteln,

(3) 1Die Vertrauensdiensteanbieter haben die Übermittlung zu dokumentieren. 2Die Dokumentation ist zwölf Monate aufzubewahren.

(4) 1Hat die zuständige Stelle ein Verlangen nach Datenübermittlung nach Absatz 2 Nummer 1 gestellt, so unterrichtet sie die betroffene Person über die erfolgte Übermittlung der Daten. 2Von der Unterrichtung kann abgesehen werden, solange die Wahrnehmung der gesetzlichen Aufgaben gefährdet würde und solange das Interesse der betroffenen Person an der Unterrichtung nicht überwiegt. 3Fünf Jahre nach der Übermittlung kann endgültig von der Benachrichtigung abgesehen werden, wenn die Voraussetzungen für die Benachrichtigung mit an Sicherheit grenzender Wahrscheinlichkeit auch in Zukunft nicht eintreten werden.

(5) Die allgemeinen Datenschutzanforderungen bleiben unberührt.

(1) Die Bundesnetzagentur legt nach Anhörung der betroffenen Kreise und im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik durch Verfügung im Amtsblatt fest, welche sonstigen Identifizierungsmethoden im Sinne des Artikels 24 Absatz 1 Unterabsatz 2 Buchstabe d Satz 1 der Verordnung (EU) Nr. 910/2014 anerkannt sind und welche Mindestanforderungen dafür jeweils gelten.

(2) Die Bundesnetzagentur überprüft die Verfügung nach Absatz 1 regelmäßig im Abstand von vier Jahren sowie

(3) 1Innovative Identifizierungsmethoden, die noch nicht durch Verfügung im Amtsblatt anerkannt sind, können von der Bundesnetzagentur im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik und nach Anhörung der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit für einen Zeitraum von bis zu zwei Jahren vorläufig anerkannt werden, sofern eine Konformitätsbewertungsstelle die gleichwertige Sicherheit der Identifizierungsmethode im Sinne des Artikels 24 Absatz 1 Unterabsatz 2 Buchstabe d der Verordnung (EU) Nr. 910/2014 bestätigt hat. 2Die Bundesnetzagentur veröffentlicht die vorläufig anerkannten Identifizierungsmethoden auf ihrer Internetseite. 3Die Bundesnetzagentur und das Bundesamt für Sicherheit in der Informationstechnik überwachen die Eignung der vorläufig anerkannten Identifizierungsmethoden über den gesamten Zeitraum der vorläufigen Anerkennung. 4Werden durch die Überwachung sicherheitsrelevante Risiken bei der vorläufig anerkannten Identifizierungsmethode erkannt, so kann die Aufsichtsstelle im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik dem qualifizierten Vertrauensdiensteanbieter die Behebung dieser Risiken durch ergänzende Maßnahmen auferlegen, sofern dies sicherheitstechnisch sinnvoll ist. 5Lässt sich durch ergänzende Maßnahmen keine hinreichende Sicherheit der vorläufig anerkannten Identifizierungsmethode gewährleisten, so soll die Aufsichtsstelle dem qualifizierten Vertrauensdiensteanbieter die Nutzung dieser Identifizierungsmethode untersagen.

(4) Der qualifizierte Vertrauensdiensteanbieter darf nach Maßgabe der datenschutzrechtlichen Bestimmungen personenbezogene Daten nutzen, die zu einem früheren Zeitpunkt im Rahmen einer ordnungsgemäßen Identitätsprüfung erhoben wurden, sofern und soweit diese Daten zum Zeitpunkt der Antragstellung die zuverlässige Identitätsfeststellung des Antragstellers gewährleisten.

(1) 1Ein qualifiziertes Zertifikat für elektronische Signaturen kann auf Verlangen eines Antragstellers folgende Attribute enthalten:

(2) Soll in das qualifizierte Zertifikat anstelle des Namens ein Pseudonym eingetragen werden, so sind Angaben über eine Vertretungsmacht für eine dritte Person oder amts- und berufsbezogene oder sonstige Angaben zur Person nur zulässig, wenn eine Einwilligung der dritten Person oder der jeweils zuständigen Stelle zur Verwendung des Pseudonyms vorliegt.

(3) 1Die Absätze 1 und 2 gelten entsprechend für qualifizierte Zertifikate für elektronische Siegel. 2Attribute in qualifizierten Zertifikaten für elektronische Siegel können auch die Vertretungsverhältnisse innerhalb der antragstellenden juristischen Person enthalten, sofern diese Vertretungsverhältnisse dem qualifizierten Vertrauensdiensteanbieter nachgewiesen werden.

(1) Der qualifizierte Vertrauensdiensteanbieter hat die Personen, die er nach Artikel 24 Absatz 2 Buchstabe d der Verordnung (EU) Nr. 910/2014 über die Nutzungsbedingungen zu unterrichten hat, weil sie einen qualifizierten Vertrauensdienst nutzen wollen, auch

(2) Soweit eine Person, die einen qualifizierten Vertrauensdienst nutzen will, bereits zu einem früheren Zeitpunkt nach Artikel 24 Absatz 2 Buchstabe d der Verordnung (EU) Nr. 910/2014 sowie nach Absatz 1 unterrichtet worden ist und sich keine Änderungen ergeben haben, kann eine erneute Unterrichtung unterbleiben.

(1) 1Der qualifizierte Vertrauensdiensteanbieter hat ein noch gültiges qualifiziertes Zertifikat insbesondere dann unverzüglich zu widerrufen, wenn

(2) Enthält ein qualifiziertes Zertifikat Attribute nach § 12 Absatz 1 oder § 12 Absatz 3 Satz 2, so kann auch die dritte Person oder die für die amts- und berufsbezogenen oder sonstigen Angaben zur Person zuständige Stelle einen Widerruf des Zertifikats verlangen, wenn

(3) Liegen die in Absatz 1 Satz 1 Nummer 3 oder eine der in Absatz 1 Satz 1 Nummer 4 genannten Voraussetzungen vor, so kann die Aufsichtsstelle den Widerruf eines qualifizierten Zertifikats anordnen.

(1) 1In dem Beendigungsplan nach Artikel 24 Absatz 2 Buchstabe i der Verordnung (EU) Nr. 910/2014 hat ein qualifizierter Vertrauensdiensteanbieter alle erforderlichen Maßnahmen vorzusehen, damit bei Einstellung der Tätigkeit, bei Entzug des Qualifikationsstatus oder wenn die Eröffnung eines Insolvenzverfahrens beantragt und die Tätigkeit nicht fortgesetzt wird, alle von ihm ausgegebenen qualifizierten Zertifikate im Zusammenhang mit elektronischen Signaturen und Siegeln sowie Zertifikate im Zusammenhang mit Anhang I Buchstabe g, Anhang III Buchstabe g und Artikel 42 Absatz 1 Buchstabe c der Verordnung (EU) Nr. 910/2014 einschließlich der Widerrufsinformationen

(2) Im Beendigungsplan hat der qualifizierte Vertrauensdiensteanbieter auch Vorkehrungen zu treffen, um die Inhaber der in Absatz 1 Satz 1 genannten Zertifikate, soweit möglich, mindestens zwei Monate im Voraus über die Einstellung seiner Tätigkeit und über die Übernahme seiner Zertifikate zu benachrichtigen.

(3) 1In den Fällen des Absatzes 1 Satz 1 Nummer 2 erteilt die Bundesnetzagentur bei Vorliegen eines berechtigten Interesses Auskunft zu den Aufzeichnungen, soweit dies technisch und ohne unverhältnismäßig großen Aufwand möglich ist. 2Ein darüber hinausgehendes Auskunftsrecht gemäß § 19 des Bundesdatenschutzgesetzes und nach Artikel 15 der Verordnung (EU) 2016/679 bleibt hiervon unberührt.

(4) Qualifizierte Vertrauensdiensteanbieter haben für die gesamte Zeit ihres Betriebs

(5) 1Die Bundesnetzagentur hat eine Vertrauensinfrastruktur zur dauerhaften Prüfbarkeit qualifizierter elektronischer Zertifikate und qualifizierter elektronischer Zeitstempel einzurichten, zu unterhalten und laufend zu aktualisieren. 2Näheres regelt die Rechtsverordnung nach § 20 Absatz 2 Nummer 5.

(1) 1Die Bundesnetzagentur benennt auf Antrag eine Organisation als private Stelle gemäß Artikel 30 Absatz 1 der Verordnung (EU) Nr. 910/2014 sowie gemäß Artikel 39 Absatz 2 in Verbindung mit Artikel 30 Absatz 1 der Verordnung (EU) Nr. 910/2014, sofern die Akkreditierungsstelle nach § 1 Absatz 1 des Akkreditierungsstellengesetzes durch Akkreditierung festgestellt hat, dass die private Stelle die erforderlichen Anforderungen erfüllt. 2Die Benennung kann

(2) 1Solange die Europäische Kommission keine delegierten Rechtsakte nach Artikel 30 Absatz 4 der Verordnung (EU) Nr. 910/2014 erlassen hat, erstellt und veröffentlicht

(3) Eine Stelle, die nach § 17 Absatz 4 Satz 1 des Signaturgesetzes in Verbindung mit § 18 des Signaturgesetzes anerkannt wurde, nimmt hinsichtlich der von ihr auf Grundlage des Signaturgesetzes bestätigten Produkte ihre hiermit zusammenhängenden Aufgaben bis zum Auslaufen der entsprechenden Produktbestätigungen wahr.

(4) Das Bundesamt für Sicherheit in der Informationstechnik ist die öffentliche Stelle gemäß Artikel 30 Absatz 1 der Verordnung (EU) Nr. 910/2014 sowie gemäß Artikel 39 Absatz 2 in Verbindung mit Artikel 30 Absatz 1 der Verordnung (EU) Nr. 910/2014.

(1) Ordnungswidrig handelt, wer vorsätzlich oder fahrlässig

(2) Ordnungswidrig handelt, wer gegen die Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates vom 23. Juli 2014 über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt und zur Aufhebung der Richtlinie 1999/93/EG (ABl. L 257 vom 28.8.2014, S. 73; L 23 vom 29.1.2015, S. 19) verstößt, indem er vorsätzlich oder fahrlässig

(3) Die Ordnungswidrigkeit kann in den Fällen des Absatzes 2 Nummer 5 bis 8 mit einer Geldbuße bis zu einhunderttausend Euro, in den übrigen Fällen mit einer Geldbuße bis zu zwanzigtausend Euro geahndet werden.

(4) Verwaltungsbehörden im Sinne des § 36 Absatz 1 Nummer 1 des Gesetzes über Ordnungswidrigkeiten sind die Bundesnetzagentur und das Bundesamt für Sicherheit in der Informationstechnik jeweils im Rahmen ihrer Zuständigkeit nach § 2 Absatz 1.

(1) 1Die Bundesregierung legt durch Rechtsverordnung nähere Anforderungen an die Zugänglich- und Nutzbarmachung von Vertrauensdiensten nach Artikel 15 der Verordnung (EU) Nr. 910/2014 und nach § 7 fest. 2Sie hat dabei technische und wirtschaftliche Belange zu berücksichtigen. 3Die Rechtsverordnung kann auch Nachweis-, Mitwirkungs- und Informationspflichten der Vertrauensdiensteanbieter enthalten.

(2) Die Bundesregierung wird ermächtigt, in der Rechtsverordnung nach Absatz 1 auch die zur Durchführung der Verordnung (EU) Nr. 910/2014 und dieses Gesetzes erforderlichen Rechtsvorschriften zu erlassen über